Trusselsefterretning som grundlag for scenarierne

Et scenarie, der bygger på holdets fornemmelse af, hvad der kunne ske, kan være både spændende og fagligt solidt, men det er svært at forsvare over for en direktion, der spørger, hvorfor netop det forløb blev valgt. Trusselsefterretning giver svaret. Den beskriver, hvem der realistisk går efter organisationen, hvad de vil have, og hvordan de plejer at arbejde, så scenarierne hviler på dokumentation frem for gætværk.

I de regulerede rammer for finanssektoren er efterretningen en fast del af testen. TIBER-EU beskriver, at en leverandør af trusselsefterretning vurderer de mulige trusler og laver rekognoscering af virksomheden, og at den skræddersyede efterretning former testene, så de afspejler virkelige angriberes adfærd. Uden for den ramme er der ingen pligt, men logikken er den samme.

For sikkerhedsfunktionen er efterretningen også et styringsværktøj. Den gør det muligt at drøfte scenarierne med ledelsen på et sagligt grundlag, før øvelsen går i gang, og den giver white team en målestok for, om holdets valg undervejs holder sig til det aftalte. En øvelse uden efterretning er ikke nødvendigvis dårlig, men dens valg bliver sværere at begrunde, og resultatet bliver sværere at sammenligne med den næste øvelse, fordi ingen kan se, hvilket trusselsbillede der lå bag.

Hvad efterretningen skal levere til øvelsen

Efterretning til en red team-øvelse er ikke en generel trusselsrapport om sektoren. Den er målrettet den konkrete organisation og den konkrete øvelse. TIBER-DK beskriver tre ting, rapporten mindst skal give: skræddersyede scenarier, der kan omsættes til en realistisk testplan; modstandernes mål og motiver, der kan styre holdet mod de aftalte flag; og dokumentation, der senere kan bære argumentet for rettelser og forbedringer.

Det sidste punkt er let at overse. Efterretningen er ikke kun et input til holdet. Den er også det grundlag, CISO’en senere kan pege på, når ledelsen spørger, hvorfor en bestemt forbedring skal prioriteres. En rettelse, der lukker en vej, som en navngiven type modstander er kendt for at bruge, er lettere at begrunde end en rettelse, der blot lukker et fund. → Scenarievalg

Hvad organisationen selv skal bidrage med

Efterretningsleverandøren kan se meget udefra, men ikke alt. Organisationen ved, hvilke funktioner der er kritiske, hvilke hændelser der har været, og hvad risikoregistret siger. TIBER-DK nævner blandt andet et overblik over de systemer, der understøtter de kritiske funktioner, den aktuelle trusselsvurdering, eksempler på nylige angreb og tidligere efterretningsrapporter.

Her opstår et praktisk problem. Oplysningerne skal indsamles uden at afsløre over for resten af organisationen, at en øvelse er på vej. TIBER-DK anerkender det og lægger op til, at kontrolteamet indsamler oplysningerne i god tid og med omtanke. Planlæg derfor indsamlingen som en del af fortroligheden og ikke som en eftertanke. → Fortrolighed om øvelsen

Hvem leverer efterretningen?

Der er tre almindelige modeller. Efterretningen kan komme fra en intern funktion, der i forvejen følger trusselsbilledet. Den kan købes hos en specialiseret leverandør, der kun leverer efterretning. Eller den kan leveres af samme firma, som stiller red team. Hver model har sine fordele, men det er værd at overveje uafhængigheden.

TIBER-DK oplyser, at det med afsæt i DORA er obligatorisk at bruge en ekstern leverandør af trusselsefterretning i en TIBER-test. Uden for den ramme kan organisationen frit vælge, men princippet om, at den, der beskriver truslen, ikke behøver at være den, der skal efterligne den, kan give et mere troværdigt resultat. → Valg af leverandør til red teaming

Styr informationsstrømmen til holdet

En af de mere subtile pointer i TIBER-DK handler om, hvad red team får at vide. Oplysninger, som kontrolteamet giver efterretningsleverandøren, skal kun gå videre til holdet, hvis leverandøren kan bekræfte dem. Begrundelsen er, at holdet ikke skal få fordele, som en virkelig modstander ikke ville have.

Princippet er nyttigt i enhver øvelse. Hvis holdet får et internt netværkskort eller en liste over nøglepersoner direkte fra white team, måler øvelsen noget andet end en realistisk modstanders muligheder. Nogle gange er det et bevidst valg, fx for at spare tid. Så skal det skrives ned som en del af scenariet, så rapporten kan læses korrekt. → White team

Efterretningen ældes

Et trusselsbillede er et øjebliksbillede. Nye grupper dukker op, kendte grupper skifter mål, og organisationen selv ændrer sig gennem opkøb, nye leverandører og nye digitale tjenester. Efterretning, der var præcis ved planlægningen, kan være forældet, når rapporten læses.

Det har to konsekvenser. For det første skal efterretningsrapporten dateres og opbevares sammen med øvelsens øvrige materiale, så en senere læser kan se, hvilket billede der blev testet imod. For det andet bør den næste øvelse begynde med en ny vurdering frem for genbrug af den gamle. TIBER-DK lægger op til, at tidligere efterretningsrapporter kan indgå som input, men ikke som erstatning. → Modstandersimulering

Efterretning, der også gavner forsvaret

En god efterretningsrapport har værdi ud over øvelsen. Når øvelsen er afsluttet, kan blue team bruge beskrivelserne af modstandere og deres adfærd til at kontrollere overvågningsregler og prioritere logning. Det er et argument for at aftale med leverandøren, at rapporten må deles med forsvaret efter øvelsen, og at den skrives, så den kan bruges uden for red team. I TIBER-rammen er efterretningsdelen også en del af den genafspilning, hvor hele forløbet gennemgås bagefter. → TIBER-EU

Det skal I lade være med

At købe en generel sektorrapport som efterretning · Øvelsen kræver et billede af jeres organisation og jeres mål.
At give holdet ubekræftede interne oplysninger · Det giver holdet fordele, som en modstander ikke har, uden at det fremgår.
At afsløre øvelsen under indsamlingen · Planlæg, hvordan oplysninger hentes uden at vække opmærksomhed.
At genbruge sidste års efterretning · Trusselsbilledet og organisationen har ændret sig.
At gemme rapporten væk efter øvelsen · Forsvaret kan bruge den til at forbedre overvågningen.

Hvad kan og ikke kan konkluderes

God efterretning gør det muligt at begrunde scenarierne og at forklare ledelsen, hvorfor resultatet er relevant. Den kan ikke garantere, at den valgte modstander er den, der rent faktisk angriber, og den dækker ikke angribere, der ikke er beskrevet. Konklusionerne fra øvelsen gælder det trusselsbillede, der blev lagt til grund, på det tidspunkt, det blev lavet.

Tjekliste til efterretningsdelen

☐ Er efterretningen målrettet organisationen og øvelsens mål?
☐ Er det besluttet, hvem der leverer den, og hvor uafhængig leverandøren er?
☐ Er det planlagt, hvordan interne oplysninger indsamles i fortrolighed?
☐ Er det aftalt, hvilke oplysninger holdet må få, og hvordan det dokumenteres?
☐ Er rapporten dateret, og bliver den opbevaret med øvelsens materiale?
☐ Må rapporten deles med blue team bagefter?

Kilder

ECB: TIBER-EU: leverandøren af trusselsefterretning og den skræddersyede efterretnings rolle i testen.
Danmarks Nationalbank: TIBER-DK Implementation Document: krav om ekstern efterretningsleverandør, oplysninger fra kontrolteamet, kontrolleret informationsstrøm til red team og rapportens tre mindsteindhold.

Senest gennemgået: oktober 2026.