Tilladelsesbrevet: dokumentet, holdet har med

Når et red team arbejder i jeres bygninger eller kontakter jeres medarbejdere, kan det blive standset af en receptionist, en vagt, en opmærksom kollega eller i yderste fald politiet. I den situation skal holdet kunne vise, at det, det gør, er godkendt. Det dokument kaldes et tilladelsesbrev. Svaret på, hvad brevet skal indeholde, hviler på, hvem der skal læse det: en person, der ikke ved noget om øvelsen, og som skal kunne afgøre hurtigt, om det er ægte.

Brevet er ikke selve tilladelsen. Det er et sammendrag af den, beregnet til at blive vist i en presset situation. De egentlige tilladelser ligger i aftalerne bag. Teksten er ikke juridisk rådgivning.

Hvorfor brevet er nødvendigt

En øvelse med fysisk adgang og social engineering indebærer handlinger, der uden tilladelse ville være uberettigede. Straffeloven har bestemmelser om uberettiget adgang til en andens datasystem eller data og om uberettiget adgang til fremmed hus eller andet ikke frit tilgængeligt sted. Det er tilladelsen fra den, der råder over stedet, der gør forskellen.

Brevet gør det muligt at vise tilladelsen på stedet. Uden det kan en situation, der skulle have været afklaret med et telefonopkald, ende med en anmeldelse, en tilbageholdelse eller et brud på fortroligheden, der ødelægger øvelsen. Brevet er også holdets beskyttelse, og en seriøs leverandør vil ikke sende folk ud uden det. → Tilladelser til en red team-øvelse

Det skal brevet indeholde

Brevet skal være kort, så det kan læses på et minut, men det skal indeholde det væsentlige:

Organisationen · navn, adresse og evt. logo, så det er tydeligt, hvem der står bag.
Formålet · at der gennemføres en godkendt sikkerhedsøvelse, uden detaljer om scenariet.
Personerne · navnene på de medlemmer af holdet, brevet dækker.
Perioden · de datoer og eventuelt tidsrum, hvor øvelsen finder sted.
Stederne · de adresser og områder, der er omfattet.
Kontaktpersonerne · mindst to personer, der kan bekræfte øvelsen, med telefonnumre, der besvares døgnet rundt i perioden.
Underskriften · fra en person med bemyndigelse, med navn, titel og dato.

Brevet skal ikke indeholde scenariet, målet eller oplysninger om, hvordan holdet arbejder. Det kan blive læst af personer, der ikke skal kende detaljerne, og det kan i værste fald blive tabt. Udsted brevet i et begrænset antal eksemplarer, nummerér dem, og aftal, at de afleveres tilbage, når øvelsen er slut. Hvis perioden forlænges eller holdet ændres, udstedes et nyt brev, og de gamle trækkes tilbage.

Hvem der skriver under

Underskriveren skal have bemyndigelse til at give den tilladelse, brevet beskriver. For egne lokaler kan det være en direktør eller en person med et skriftligt mandat fra direktionen. Hvis I lejer lokalerne, dækker jeres underskrift ikke udlejerens arealer, og der kan være behov for et særskilt brev eller en tilføjelse fra udlejeren. → Lejede lokaler og fælles bygninger

Vælg en underskriver, der selv kan bekræfte brevet, hvis nogen ringer. En direktør, der står på brevet, men ikke ved, at øvelsen finder sted den pågældende dag, svækker brevets værdi.

Hvis øvelsen omfatter flere selskaber i en koncern eller flere lokationer, kan der være brug for et brev pr. selskab eller adresse. Det gør brevene længere at administrere, men lettere at bekræfte, fordi den, der ringer, møder en kontaktperson, der kender netop det sted. Overvej også sproget, hvis holdet skal arbejde i et andet land; et brev, som vagten ikke kan læse, hjælper kun lidt. → Ledelsens godkendelse

Kontaktpersonerne skal svare

Kontaktpersonerne er brevets vigtigste del. Den, der standser holdet, vil ringe for at få bekræftet, at brevet er ægte. Hvis ingen tager telefonen, står holdet med et papir, der ikke kan bekræftes, og situationen kan udvikle sig.

Kontaktpersonerne skal derfor være orienteret, kunne nås hele perioden og vide præcis, hvad de skal sige. De bør være medlemmer af white team. Aftal, hvem der svarer på hvilke tidspunkter, og test numrene, før øvelsen går i gang. Det er en god idé at gentage testen, hvis øvelsen løber over flere uger, fordi vagtplaner, ferier og nye telefoner kan ændre billedet undervejs.

Et brev kan forfalskes. Den, der vil kontrollere det, bør derfor ringe til organisationen via et nummer, vedkommende selv finder, fx hovednummeret, og ikke kun via numrene i brevet. Overvej at sikre, at omstillingen eller vagtcentralen kan stille videre til en kontaktperson uden at afsløre øvelsen for flere end nødvendigt.

Brevet og fortroligheden

Brevet afslører, at der foregår en øvelse. Det er netop formålet, når holdet bliver standset, men det betyder også, at brevet skal behandles fortroligt. Holdet bør kun vise det, når det er nødvendigt, og kun til den person, der har standset det.

Kontaktpersonerne skal vide, hvordan de håndterer en opringning, så den, der ringede, får bekræftelse uden at fortælle det videre. Det kan klares ved at bede personen om at holde det for sig selv og takke for opmærksomheden. Opmærksomheden er i sig selv et fund, der skal med i rapporten som et eksempel på en proces, der virkede. → Kodenavn og dokumenthåndtering

Når brevet bliver vist

Hver gang brevet bliver vist, skal det noteres: hvor, hvornår, af hvem og hvordan situationen sluttede. Holdet orienterer white team med det samme, og white team beslutter, om den del af øvelsen fortsætter, eller om det fysiske spor er brugt op. Hvis politiet er involveret, skal holdet samarbejde fuldt ud, og white team skal kunne bekræfte øvelsen over for myndigheden. Notaterne bruges bagefter både i rapporten og i debriefingen af de medarbejdere, der standsede holdet. → Hvis holdet bliver stoppet i bygningen

Det skal I lade være med

At lade brevet beskrive scenariet · det skal bekræfte øvelsen, ikke forklare den.
At skrive numre på, der ikke besvares · et brev uden svar er værdiløst.
At lade en person underskrive, der ikke kan bekræfte · underskriveren skal kende til øvelsen.
At glemme udlejerens arealer · jeres underskrift dækker ikke andres bygninger.
At bruge brevet som adgangskort · det er til bekræftelse, ikke til at komme forbi kontroller.

Hvad kan og ikke kan konkluderes

Et godt tilladelsesbrev gør det muligt at afklare en situation hurtigt og roligt, og det beskytter både holdet og organisationen. Det dækker kun de handlinger, der faktisk er godkendt i aftalerne bag, og det kan ikke gøre en handling lovlig, som ingen med bemyndigelse har tilladt. Det fjerner heller ikke behovet for en juridisk vurdering, hvis ejerforholdene er uklare.

Tjekliste til tilladelsesbrevet

☐ Er brevet kort og uden detaljer om scenariet?
☐ Står personer, periode og adresser tydeligt?
☐ Er underskriveren bemyndiget og orienteret?
☐ Er der mindst to kontaktpersoner, der kan nås døgnet rundt?
☐ Er numrene testet, før øvelsen begynder?
☐ Er det aftalt, hvordan en opringning håndteres, og hvordan visninger noteres?

Kilder

Straffeloven (LBK nr. 1294 af 2025): § 263, stk. 1, om uberettiget adgang til en andens datasystem eller data, og § 264, stk. 1, om uberettiget adgang til fremmed hus eller andet ikke frit tilgængeligt sted.

Senest gennemgået: oktober 2026.