Tilknyttede konsulenter: når en større øvelse kræver flere folk

En længerevarende øvelse med både teknik, fysisk adgang og social engineering kan næppe løses af én person. Spørgsmålet for sikkerhedsfunktionen er derfor ikke, om der kommer flere folk på opgaven, men hvem de er, hvem de svarer til, og hvem der står til ansvar for deres arbejde. Svaret hviler på kontrakten og på en navngiven liste over holdet, som white team kender og har godkendt.

Det gælder, uanset om leverandøren har egne ansatte på holdet eller trækker på konsulenter, der arbejder i leverandørens regi. For organisationen er det afgørende, at der er én kontraktpart, én ansvarlig leder af holdet og fuld klarhed over, hvem der har adgang til hvad.

Hvorfor øvelsen vokser ud over én person

En red team-øvelse adskiller sig fra en afgrænset test ved at løbe over længere tid og ved at kombinere flere discipliner. Nogle opgaver kræver, at holdet arbejder parallelt. Andre kræver kompetencer, som ikke nødvendigvis findes hos samme person, fx trusselsefterretning, fysisk adgang og arbejde i cloudmiljøer. → Red team-holdet

Tidsrummet spiller også ind. Hvis scenariet forudsætter aktivitet uden for normal arbejdstid, eller hvis flere lokationer indgår samme dag, skal der være folk nok til at gøre det forsvarligt. En øvelse, hvor én person både skal udføre og dokumentere alt, giver et svagere grundlag for den senere måling.

Hos Nielco IT bliver de større opgaver bemandet med tilknyttede konsulenter, som arbejder i Nielco IT’s regi. Hvem I end vælger, bør I stille de samme spørgsmål om holdets sammensætning.

Én kontraktpart og én leder af holdet

Det første, I skal have afklaret, er ansvarskæden. Kontrakten indgås med én part, og den part svarer over for jer for alt, hvad holdet gør. Det skal fremgå, at det gælder for alle personer på opgaven, også dem, der ikke er ansat hos kontraktparten. → Kontrakten om en red team-øvelse

Bed om en navngiven leder af holdet. Lederen er den, white team taler med, når noget skal stoppes, ændres eller afklares. Hvis flere personer kan tage kontakt til white team hver for sig, bliver det svært at vide, hvad der er aftalt, og hvem der har sagt ja til hvad.

Kontraktpart · den juridiske enhed, der svarer for hele holdet.
Leder af holdet · én navngiven person med beslutningskompetence under øvelsen.
Stedfortræder · en person, der kan træde til, hvis lederen ikke kan nås.
Kontakt til white team · aftalt kanal og aftalte tidspunkter.

Hvem arbejder i opgaven

Før øvelsen begynder, bør white team have en liste over alle, der deltager. Listen skal vise navn, rolle og de dele af øvelsen, hver person må udføre. Personer, der skal udføre fysisk adgang eller social engineering, skal stå på tilladelsesbrevet, så de kan identificeres, hvis de bliver stoppet. → Tilladelsesbrevet

Aftal også, hvad der sker, hvis en person skal skiftes ud undervejs. En ny deltager bør godkendes af white team, før personen begynder, og listen og tilladelsesbrevet opdateres. Det kan lyde formelt, men det er den eneste måde, hvorpå I bagefter kan dokumentere, hvem der gjorde hvad.

Spørg desuden, hvordan leverandøren sikrer sig, at de tilknyttede konsulenter er egnede. Det handler ikke kun om faglighed, men om dømmekraft i situationer, hvor en medarbejder reagerer uventet, eller en dør fører et andet sted hen end forventet.

Fortrolighed for hver person

Kendskabet til øvelsen skal holdes på få hænder, og det gælder også på leverandørens side. Hver person på holdet bør være bundet af fortrolighed om øvelsen, om jeres organisation og om alt, hvad holdet ser undervejs. Det kan ske gennem leverandørens aftaler med konsulenterne, men I bør bede om at få bekræftet, at bindingen omfatter alle. → Fortrolighed om øvelsen

Aftal, hvem på holdet der må kende til de mest følsomme dele, fx hvem der står i white team, og hvilke kontrolpunkter organisationen selv har lagt ind. Ikke alle på holdet behøver at vide alt.

Adgang til materiale og data

En større øvelse skaber meget materiale: noter, logbog, skærmbilleder, optagelser fra fysisk adgang og eventuelle data, holdet har haft adgang til. Når flere personer arbejder i opgaven, øges risikoen for, at materialet spredes på flere computere, telefoner og lagringstjenester.

Spørg, hvor materialet opbevares, hvem der har adgang, og hvordan det samles hos holdets leder. Aftal også, hvordan og hvornår det slettes efter øvelsen, og hvordan sletningen bekræftes. → Opbevaring af materiale

Én samlet fortælling i rapporten

Når flere personer har arbejdet på hver sin del af øvelsen, er der risiko for, at rapporten bliver en samling af separate afsnit. Det svækker netop det, en red team-øvelse skal vise: hvordan de enkelte skridt hang sammen, og hvor forsvaret havde mulighed for at opdage og reagere.

Spørg derfor, hvordan holdet fører en fælles logbog med tidspunkter, så hvert skridt kan holdes op mod jeres egne logs og alarmer. Spørg også, hvem der skriver den samlede vurdering, og hvordan bidrag fra de enkelte deltagere bliver kontrolleret, før rapporten afleveres. → Red teamets logbog

Aftal endelig, hvem fra holdet der deltager i gennemgangen med blue team og ledelsen. Det kan være en fordel, at de personer, der udførte de fysiske og personrettede dele, er til stede, så spørgsmål kan besvares direkte og uden gætværk. Det gælder også, når blue team vil forstå, hvorfor en bestemt hændelse ikke udløste en alarm.

Det skal I lade være med

At acceptere et hold uden navne · white team skal vide, hvem der må handle på jeres vegne.
At lade hver konsulent tale direkte med jer · én leder giver én sandhed om, hvad der er aftalt.
At antage, at fortrolighed dækker alle · bed om at få det bekræftet for hver person.
At glemme udskiftninger · en ny person uden opdateret tilladelsesbrev kan ikke dokumentere sin rolle.
At lade materialet ligge spredt · aftal ét sted, én ansvarlig og en plan for sletning.

Hvad kan og ikke kan konkluderes

En navngiven liste og en klar ansvarskæde gør det muligt at styre en øvelse med flere deltagere og at dokumentere bagefter, hvem der gjorde hvad. Den siger intet om holdets faglige niveau i sig selv, og den fjerner ikke behovet for, at white team følger øvelsen tæt. Antallet af personer på holdet er heller ikke et mål for kvalitet. Det afgørende er, at holdet passer til scenariet og kan arbejde inden for rules of engagement.

Tjekliste før start

☐ Er kontraktparten ansvarlig for alle personer på holdet?
☐ Er der en navngiven leder og en stedfortræder?
☐ Har white team en liste med navn og rolle for hver deltager?
☐ Står alle med fysiske eller personrettede opgaver på tilladelsesbrevet?
☐ Er fortrolighed bekræftet for hver person?
☐ Er der en procedure for udskiftning af deltagere?
☐ Er opbevaring og sletning af materiale aftalt?

Kilder

NIST CSRC Glossary, Red Team: red team som en gruppe personer, der er autoriseret og organiseret til at efterligne en mulig modstander (efter CNSSI 4009-2022).

Senest gennemgået: oktober 2026.