Tjekliste til white team før start

Dagen før holdet begynder, er det for sent at opdage, at udlejeren ikke har givet lov, eller at ingen kan nås en søndag. White team har brug for en sidste gennemgang, der samler de beslutninger, der er truffet i planlægningen, og viser, om der er huller. Tjeklisten nedenfor hviler på de fire ting, en øvelse ikke kan gennemføres sikkert uden: et klart mandat, tilladelser fra alle, der råder over det, øvelsen berører, kontakter og stopregler, der virker i praksis, og en aftalt måde at holde øvelsen adskilt fra rigtige hændelser.

Listen er ikke en erstatning for planen og rules of engagement. Den er en kontrol af, at de findes og er kendt af de rette. Hvert punkt bør kunne besvares med et ja og en henvisning til et dokument.

Mandat og formål

White team skal kunne pege på, hvem der har sagt ja, og til hvad. NIST beskriver white team som en lille gruppe, der kender til red team-aktiviteter, som ikke er annonceret, og som skal sikre, at testen holder sig inden for de aftalte grænser. Den rolle kræver et mandat, der er skrevet ned. → White team

☐ Sponsor · er der en navngiven sponsor i ledelsen, som har godkendt øvelsen skriftligt?
☐ Formål · er det spørgsmål, øvelsen skal besvare, formuleret og kendt af holdet?
☐ Mål og flag · er målene aftalt, og er flag placeret, hvor de skal bruges?
☐ Leder · er white team-lederen udpeget med mandat til at stoppe øvelsen?

Tilladelser

En øvelse kan berøre mere end organisationens egne systemer. Hver part, der råder over noget i scope, skal have givet lov. → Tilladelser til en red team-øvelse

☐ Egne juridiske enheder · har alle berørte selskaber givet tilladelse?
☐ Leverandører og cloud · er driftsleverandørens og udbydernes krav afklaret og opfyldt?
☐ Bygninger · har ejer eller udlejer givet lov, hvis fysisk adgang indgår?
☐ Vagtselskab · er det besluttet, hvem hos vagtselskabet der kender til øvelsen?
☐ Tilladelsesbrevet · er det underskrevet, og har holdet det med?

Scope, risiko og fredede områder

Scope i en red team-øvelse er bredt, men udelukkelserne skal være skarpe. White team skal vide præcis, hvad holdet ikke må røre, og hvilke risici ledelsen har accepteret. Kontrollér også, at listen over udelukkelser er den samme i planen, i rules of engagement og i tilladelsesbrevet. Forskellige udgaver skaber tvivl, når der skal træffes en hurtig beslutning.

☐ Udelukkelser · er fredede systemer, personer og lokationer skrevet ned?
☐ Forbudte handlinger · er det klart, hvilke handlinger holdet aldrig må udføre?
☐ Risikovurdering · er øvelsens risici vurderet og accepteret af ejeren af de berørte processer? → Risikovurdering af selve øvelsen
☐ Kritiske perioder · er perioder, hvor øvelsen skal holde pause, aftalt?

Kontakter, der virker

En kontaktliste er kun værd noget, hvis den virker, når den skal bruges. Test den. Ring numrene, og kontrollér, at de rigtige personer svarer, og at de ved, hvad de skal gøre. Det gælder især de eksterne kontakter. En kontaktperson hos vagtselskabet eller driftsleverandøren, som har fået besked for flere måneder siden, kan have skiftet job, holde ferie eller have glemt aftalen.

☐ White team døgnet rundt · kan nogen med mandat nås i hele den periode, holdet er aktivt?
☐ Holdets kontakt · har white team et direkte nummer til holdets leder?
☐ Facility og sikkerhed · er der en kontaktperson, hvis holdet bliver stoppet i en bygning?
☐ Leverandørkontakter · er der kontakter hos leverandører, der kan bekræfte øvelsen uden at afsløre den bredt?
☐ Sikker kanal · findes der en kommunikationsvej, der ikke går gennem de systemer, øvelsen berører?

Stopregler og adskillelse

Det vigtigste, white team gør under øvelsen, er at skelne øvelse fra virkelighed og stoppe, når det er nødvendigt. Begge dele skal være aftalt på forhånd. → Stopregler

☐ Stopkriterier · er det beskrevet, hvornår øvelsen sættes på pause eller afbrydes?
☐ Adskillelse · er der en procedure for at afklare, om en eskalering skyldes holdet? → Øvelse eller rigtigt angreb?
☐ Ægte hændelse · er det aftalt, hvad der sker, hvis der opstår en rigtig hændelse?
☐ Kontrolleret afsløring · er det aftalt, hvem der kan afsløre øvelsen, og over for hvem?

Fortrolighed, data og dokumentation

Fortroligheden er forudsætningen for, at øvelsen måler noget, og dokumentationen er forudsætningen for, at den kan bruges bagefter. Punkterne her kan blive behandlet som praktiske detaljer, men de afgør, om tidslinjen, rapporten og oprydningen bliver troværdige, når øvelsen er slut.

☐ Need to know · findes der en oversigt over, hvem der ved hvad?
☐ Fortrolighedsaftaler · har alle eksterne, der kender til øvelsen, underskrevet?
☐ Persondata · er det aftalt, hvad holdet må gemme, og hvornår det slettes? → Persondata i øvelsen
☐ Logbog · er det aftalt, hvordan holdet fører logbog, og hvordan white team får løbende adgang?
☐ Statusmøder · er tidspunkter og deltagere for statusmøderne fastlagt?
☐ Oprydning · føres der fra første dag en liste over alt, holdet opretter eller placerer?

Gennemgangen og beslutningen om at starte

Hold gennemgangen som et kort møde i white team, så tidligt før start, at der er tid til at lukke de huller, der dukker op. Holdets leder bør deltage i den del, der handler om kontakter, stopregler og logbog, så begge sider har samme forståelse af reglerne. Sponsor behøver ikke deltage, men skal have resultatet.

Mødet ender med en beslutning: start som planlagt, start med begrænset scope, eller udskyd. Hvis et punkt mangler, kan det løses ved at lade den del af øvelsen vente, fx fysisk adgang til en bygning, hvor udlejerens tilladelse endnu ikke er på plads, mens resten begynder. Skriv beslutningen ned med dato og navn på den, der traf den. → Faserne i en red team-øvelse

☐ Ferie og fravær · er der stedfortrædere for white team-lederen og de vigtigste kontakter i hele perioden?
☐ Beslutning · er beslutningen om at starte skrevet ned og sendt til sponsor?

Det skal I lade være med

At krydse af uden et dokument at henvise til · et mundtligt ja er ikke en tilladelse.
At lade kontaktlisten være uafprøvet · ring numrene, før holdet går i gang.
At udskyde den sidste gennemgang til startdagen · der skal være tid til at rette huller.
At lade white team vokse for at få alle med · få personer, klare roller.
At starte, selv om et punkt mangler · udskyd hellere starten eller begræns scope.

Hvad kan og ikke kan konkluderes

En gennemgået tjekliste viser, at de grundlæggende forudsætninger for en sikker og styret øvelse er på plads. Den kan ikke forudse alt, der sker undervejs, og den erstatter ikke white teams løbende vurdering. Den giver til gengæld et fælles udgangspunkt, som både holdet og ledelsen kan henvise til, hvis noget skal afklares senere.

Kilder

NIST CSRC Glossary, White Team: white team som en lille gruppe med forhåndskendskab til red team-aktiviteter, der ikke er annonceret, og som sikrer, at testen holder sig inden for aftalte grænser.

Senest gennemgået: oktober 2026.