Tilladelser til en red team‑øvelse: mere end IT skal sige ja

En red team-øvelse berører langt mere end de systemer, IT-afdelingen råder over. Den kan omfatte bygninger, lejede lokaler, vagtselskaber, driftsleverandører, cloudtjenester og medarbejdere, og for hver del skal der være en part, der kan give tilladelse. Svaret på, om øvelsen er lovlig, hviler på, at hver handling, holdet må foretage, er dækket af en tilladelse fra den, der faktisk råder over det, handlingen berører.

Det er sikkerhedsfunktionens opgave at samle tilladelserne, før øvelsen begynder. Teksten er ikke juridisk rådgivning. Når ejerforhold eller aftaler er uklare, bør en jurist vurdere den konkrete situation.

Hvorfor tilladelsen er bredere end ved en pentest

Ved en penetrationstest handler tilladelsen primært om systemerne. Hvordan den afklares, er beskrevet på penetrationtest.dk. En red team-øvelse kan kombinere teknik med social engineering og fysisk adgang, og den foregår i den virkelige drift over en længere periode. Det betyder flere parter og flere typer handlinger.

Straffeloven har regler, der gør sondringen mellem berettiget og uberettiget afgørende. § 263, stk. 1, handler om at skaffe sig uberettiget adgang til en andens datasystem eller data. § 264, stk. 1, handler blandt andet om at skaffe sig uberettiget adgang til fremmed hus eller andet ikke frit tilgængeligt sted. Begge bestemmelser viser, hvorfor tilladelsen skal være klar og dokumenteret for både de digitale og de fysiske dele af øvelsen.

Kortlæg, hvem der råder over hvad

Start med en oversigt over alt, øvelsen kan berøre. Den skal vise, hvem der ejer eller råder over hvert element, og hvem der kan give tilladelse på deres vegne:

Egne systemer · organisationens ledelse, fx gennem et mandat til sikkerhedsfunktionen.
Systemer hos driftsleverandøren · leverandøren efter kontrakten, eventuelt med egne krav til varsling. → Driftsleverandører og cloududbydere i øvelsen
Cloudtjenester · udbyderens vilkår for sikkerhedstest gælder ved siden af jeres egen tilladelse.
Bygninger og lokaler · ejeren eller udlejeren, hvis I ikke selv ejer bygningen.
Fælles arealer · reception, adgangskontrol og parkering kan være styret af en anden lejer eller et administrationsselskab.
Vagtselskab og alarmcentral · deres aftaler med jer eller udlejeren bestemmer, hvad de skal vide.
Datterselskaber · hvert selskab skal give tilladelse til de dele, det råder over.

Oversigten kan afsløre, at en øvelse, der lignede et internt anliggende, berører flere eksterne parter end ventet.

Notér for hver part, hvilke handlinger tilladelsen dækker, i hvilket tidsrum, og hvem der har underskrevet. En tilladelse, der kun siger, at øvelsen må finde sted, er for upræcis, hvis holdet senere skal kunne vise, at en bestemt handling var godkendt. Gem også versionen af scope, som tilladelsen blev givet på, så ændringer undervejs kan følges.

Bygninger og lejemål

Fysisk adgang kræver særlig opmærksomhed. Hvis organisationen lejer sine lokaler, råder den ikke nødvendigvis over hele bygningen. Indgange, trapper, kælder og fællesarealer kan være udlejerens, og adgangskontrollen kan være fælles med andre lejere.

En tilladelse fra jeres egen direktion dækker ikke udlejerens arealer. Afklar derfor med udlejeren, hvad holdet må, og hvordan andre lejere beskyttes mod at blive inddraget. Hvis det ikke kan lade sig gøre, må den del af øvelsen afgrænses til jeres egne lokaler. → Lejede lokaler og fælles bygninger

Et vagtselskab, der ikke er informeret, kan reagere, som det skal over for en ukendt person. Det kan føre til politiets indgriben. Aftal på forhånd, hvem hos vagtselskabet der kender til øvelsen, og hvordan en situation bringes til ophør. → Vagtselskab og alarmcentral

Leverandører og tredjeparter

Angrebsveje kan gå gennem leverandører. En øvelse kan berøre en driftsleverandørs systemer, en SaaS-tjeneste eller en ekstern servicedesk. Leverandøren skal give tilladelse til de handlinger, der berører dens systemer og medarbejdere, og det skal ske uden at afsløre øvelsen for mere end højst nødvendigt.

Det kan løses ved, at en eller to personer hos leverandøren kender til øvelsen og indgår i white team eller har en direkte kontakt dertil. Deres rolle og fortrolighed skal fremgå af aftalen. Hvis en leverandør ikke vil give tilladelse, skal den del af scope udgå. Det er bedre at have et mindre scope med klare tilladelser end et bredt scope, hvor holdet må gætte sig til, hvad der er i orden.

Mennesker

En teknisk tilladelse dækker ikke social engineering. Hvis medarbejdere skal være mål, kræver det en særskilt beslutning fra ledelsen, gerne med inddragelse af HR. Det samme gælder, hvis direktion eller bestyrelse skal indgå. → Direktion og bestyrelse som mål

Medarbejdere hos leverandører og andre lejere er en særlig gruppe. De er ikke ansat hos jer, og jeres ledelse kan ikke give tilladelse på deres vegne. Hvis de kan blive berørt, skal deres arbejdsgiver inddrages, eller de skal holdes uden for øvelsen.

Overvej også besøgende, kunder og forbipasserende. En fysisk del af øvelsen kan let komme til at berøre personer, som ingen har tænkt på, fx i en fælles reception. Rules of engagement bør sige, hvordan holdet undgår at involvere dem.

Tilladelsesbrevet samler det hele

Når tilladelserne er på plads, samles de i et tilladelsesbrev, som holdet har med under øvelsen. Brevet skal vise, hvem der har godkendt øvelsen, hvad den omfatter, og hvem der kan kontaktes døgnet rundt for at bekræfte den. Det er holdets dokumentation, hvis det bliver stoppet. Kontaktpersonerne på brevet skal være orienteret og kunne nås hele perioden, også om aftenen og i weekender, hvis holdet arbejder på de tidspunkter. → Tilladelsesbrevet

Nielco IT tilbyder red teaming med fysisk adgang og social engineering. Uanset leverandør bør I selv eje tilladelserne, fordi det er jeres organisation, der skal kunne dokumentere dem bagefter.

Det skal I lade være med

At gå ud fra, at direktionens ja dækker alt · udlejer, leverandører og datterselskaber skal selv sige ja.
At glemme fællesarealer · reception og adgangskontrol kan tilhøre andre.
At lade vagtselskabet være uvidende uden en plan · det kan føre til en farlig situation.
At inddrage andres medarbejdere uden deres arbejdsgivers tilladelse · jeres mandat rækker ikke dertil.
At gemme tilladelserne i løse mails · saml dem, så de kan dokumenteres bagefter.

Hvad kan og ikke kan konkluderes

En samlet og dokumenteret tilladelse er en forudsætning for, at øvelsen kan gennemføres forsvarligt. Den fjerner ikke alle juridiske spørgsmål, og den kan ikke erstatte en juridisk vurdering, hvis ejerforhold eller aftaler er uklare. Teksten beskriver, hvad der som udgangspunkt skal afklares, ikke hvad der er tilstrækkeligt i jeres konkrete situation.

Tjekliste før start

☐ Er der en oversigt over alle parter, øvelsen kan berøre?
☐ Har hver part givet en skriftlig tilladelse til de relevante handlinger?
☐ Er udlejer og eventuelle andre lejere afklaret?
☐ Ved vagtselskabet, hvad det skal gøre?
☐ Er social engineering godkendt særskilt?
☐ Er tilladelsesbrevet udstedt og kontaktpersonerne tilgængelige døgnet rundt?

Kilder

Straffeloven (LBK nr. 1294 af 2025): § 263, stk. 1, om uberettiget adgang til en andens datasystem eller data, og § 264, stk. 1, om uberettiget adgang til fremmed hus eller andet ikke frit tilgængeligt sted.

Senest gennemgået: oktober 2026.