Hvornår social engineering bør holdes ude af øvelsen

Social engineering kan opfattes som en selvfølgelig del af red teaming, fordi rigtige angreb kan begynde med en mail, et opkald eller et besøg. Men det er et valg, ikke en forudsætning. Om det skal med, afhænger af, hvad øvelsen skal svare på, hvad organisationen allerede ved om sin modstandskraft over for henvendelser, og hvad det koster i tillid og risiko at inddrage medarbejderne. En øvelse, der begynder med en aftalt adgang, kan give mere læring for de samme ressourcer.

Spørgsmålet afgør metoden

En red team-øvelse er bygget op om et spørgsmål. Hvis spørgsmålet er, om forsvaret opdager og stopper en modstander, der allerede er inde, er det ikke afgørende, hvordan modstanderen kom ind. Den første adgang er et middel, og når den kan stilles til rådighed, kan holdet bruge tiden på den del af forløbet, der faktisk skal måles. → Spørgsmålet bag øvelsen

Hvis spørgsmålet derimod er, om organisationen kan modstå målrettede henvendelser, er social engineering selve genstanden. Så hører det med, men så bør øvelsen også planlægges med det som omdrejningspunkt og ikke som et indledende trin, der skal overstås.

Når der allerede er et svar

Nogle organisationer ved i forvejen meget om deres modstandskraft over for phishing og andre henvendelser. De har kørt kampagner, set rigtige forsøg og har en meldevej, der bruges. Hvis det billede er rimeligt klart, er der måske lidt at lære af, at et red team kan få en medarbejder til at klikke. Det kunne sikkerhedsfunktionen have forudsagt.

Det er en god grund til at springe den del over og bruge øvelsen på det, der er mindre kendt: hvad der sker efter den første adgang. Spørg også, hvad et nyt bevis for, at nogen kan narres, ville ændre. Hvis svaret er, at ledelsen allerede har accepteret risikoen, og at de relevante kontroller ligger længere inde i forløbet, er det dér, øvelsen bør bruge sin tid. → Phishing i red teaming eller phishingkampagne

Når hensynet til medarbejderne vejer tungt

Social engineering rammer mennesker, der ikke har sagt ja til at være med. Der er perioder og situationer, hvor det hensyn bør veje tungere end realismen:

Under omstruktureringer eller afskedigelser · en konstrueret henvendelse kan opleves langt mere personligt end ellers.
Efter en alvorlig hændelse · medarbejdere, der netop har været udsat for et rigtigt angreb, har brug for ro til at genopbygge tilliden.
I mindre enheder · hvor få medarbejdere er mål, kan det være svært at holde resultatet anonymt.
Hvor tillidsforholdet er skrøbeligt · fx hvis tidligere øvelser er blevet opfattet som kontrol.

I de situationer kan en øvelse uden social engineering være den mest ansvarlige løsning. Det er ikke et udtryk for, at organisationen viger uden om et svagt punkt. Det er en afvejning af, hvad øvelsen giver, mod hvad den koster de mennesker, den rammer, og den afvejning hører til sikkerhedsfunktionens ansvar. → Medarbejderhensyn

Når risikoen for drift eller omdømme er for stor

Nogle organisationer har kunder, borgere eller patienter tæt på de kanaler, social engineering ville bruge. En servicedesk, der også betjener kunder, eller en reception, der er første kontakt for sårbare personer, kan være uegnet som mål, fordi en konstrueret henvendelse kan påvirke andre end medarbejderne. Det samme gælder, hvis en henvendelse kan udløse en reaktion fra myndigheder, presse eller samarbejdspartnere.

Overvej også, om den nødvendige godkendelse kan opnås. Hvis HR, tillidsrepræsentanter eller ledelsen ikke kan stå inde for social engineering i den aktuelle situation, er det et tegn på, at øvelsen bør gennemføres uden. → HR og tillidsrepræsentanter

Assumed breach som alternativ

I en assumed breach-øvelse får holdet en aftalt adgang, der svarer til det, en modstander ville have efter en vellykket første henvendelse. Det kan være en almindelig brugerkonto eller en arbejdsstation på kontornettet. Derfra afprøves resten af forsvaret som i en fuld øvelse: om holdets bevægelser opdages, eskaleres og stoppes. → Assumed breach som scenarie

Fordelen er, at øvelsen bliver mere forudsigelig at planlægge. Den afhænger ikke af, at en bestemt henvendelse lykkes, og den kræver ikke, at medarbejdere narres. Ulempen er, at den springer over et led, som rigtige angreb kan bruge. Det led kan afprøves for sig, fx i en målrettet kontroløvelse af en enkelt arbejdsgang, hvor medarbejderne og deres ledere er informeret på forhånd.

Valget af startpunkt er en del af planlægningen. Hvilken adgang holdet får, hvem der stiller den til rådighed, og hvordan det holdes skjult for forsvaret, skal aftales i white team. → Udgangspunkt i assumed breach

Social engineering kan komme senere

At holde social engineering ude af én øvelse er ikke en beslutning for altid. Det kan give mening at begynde med en øvelse, der starter med en aftalt adgang, rette det, den viser, og derefter tage stilling til, om en senere øvelse skal omfatte medarbejderne. På det tidspunkt er det også lettere at forklare formålet, fordi organisationen har set, hvad øvelserne bruges til. Skriv begrundelsen for fravalget ned, så den kan tages op igen ved næste planlægning. En kort note om, hvorfor medarbejderne blev holdt uden for, og hvad der skal være på plads, før det kan ændres, gør det lettere for den næste, der skal tage stilling, og viser revisorer og ledelse, at valget var bevidst.

Det skal I lade være med

At tage social engineering med af vane · begynd med spørgsmålet.
At bruge tid på at bekræfte det kendte · hvis I ved, at nogen vil klikke, er der lidt at lære af det.
At overse de berørte uden for organisationen · kunder og borgere kan blive påvirket.
At gå videre uden HR’s og ledelsens opbakning · manglende opbakning er et signal.
At kalde en assumed breach-øvelse for ufuldstændig · den svarer på et andet og måske vigtigere spørgsmål.
At glemme det sprungne led · afprøv det for sig, hvis det er relevant.

Hvad kan og ikke kan konkluderes

En øvelse uden social engineering kan give et præcist billede af, hvordan forsvaret håndterer en modstander, der allerede er inde. Den kan ikke vise, hvor let det er at komme ind via medarbejderne, og resultatet bør ikke læses, som om den første adgang er umulig. Den viser ét led af forløbet grundigt, og de andre led må belyses på anden måde.

Tjekliste til beslutningen

☐ Er det formuleret, hvad øvelsen skal svare på?
☐ Ved I allerede nok om modstandskraften over for henvendelser?
☐ Er der forhold i organisationen, der gør social engineering uhensigtsmæssigt lige nu?
☐ Kan andre end medarbejderne blive berørt af en konstrueret henvendelse?
☐ Er startpunktet for en assumed breach-øvelse aftalt i white team?
☐ Er det besluttet, om det sprungne led skal afprøves for sig?

Kilder

CSRC Glossary: social engineering: definitioner af social engineering som forsøg på at narre nogen til at afgive oplysninger eller give adgang.
Danmarks Nationalbank, TIBER-DK Implementation Document: red team-testplanen skal angive tilladte og forbudte fremgangsmåder, herunder etiske grænser for social engineering.

Senest gennemgået: oktober 2026.