Valg af leverandør til red teaming: spørgsmål til tilbuddet

Et red team får adgang til det, organisationen beskytter bedst, og arbejder i perioder uden at forsvaret ved det. Valget af leverandør hviler derfor på tillid lige så meget som på faglighed: Kan holdet efterligne en modstander troværdigt, og kan det samtidig arbejde disciplineret inden for de regler, I aftaler? De to egenskaber skal begge være til stede, og de viser sig bedst i de svar, leverandøren giver på konkrete spørgsmål.

Tilbuddets pris og overskrift siger lidt om det. Det er indholdet bag, der afgør, om øvelsen bliver brugbar. Stil de samme spørgsmål til alle de leverandører, I taler med, og skriv svarene ned. Så bliver forskellene tydelige, og valget kan begrundes over for ledelsen og eventuelt revisionen bagefter.

Erfaring, der ligner opgaven

Spørg ind til erfaring med øvelser, der minder om jeres: samme type mål, samme slags organisation, mennesker og bygninger, hvis de indgår. Leverandøren skal kunne beskrive, hvordan sådanne øvelser kan forløbe, uden at nævne kunder eller afsløre fortrolige detaljer. En leverandør, der fortæller om andres sager med genkendelige oplysninger, vil sandsynligvis gøre det samme med jeres.

Spørg også, hvem der konkret skal udføre opgaven. Et tilbud kan være skrevet af en erfaren person og udført af en anden. Hvis leverandøren bruger underleverandører eller tilknyttede konsulenter, skal det fremgå, og I skal vide, hvem der har ansvaret. Spørg også, om holdet forbliver det samme hele vejen, eller om personer kan blive skiftet ud undervejs. → Red team-holdet

Samarbejdet med white team

En god leverandør taler mere om styring end om teknik. Spørg, hvordan holdet kommunikerer med white team, hvor ofte der holdes status, og hvem I kan ringe til, hvis noget uventet sker. Spørg, hvordan holdet reagerer, hvis det bliver opdaget, og hvordan det håndterer en situation, hvor det er uklart, om noget er en del af øvelsen eller et ægte angreb.

Svarene viser, om leverandøren betragter white team som en partner eller som en formalitet. Det sidste er et advarselstegn.

Spørg også til planlægningen før start. Hvor meget af forberedelsen forventer leverandøren, at I står for, og hvor meget tager den selv? Hvilke dokumenter skal være på plads, før holdet begynder? En leverandør med erfaring kan have en fast liste og kunne forklare, hvorfor hvert punkt er der. Den liste siger meget om, hvordan øvelsen vil blive styret, når presset kommer. → White team

Risikostyring og stopregler

Øvelsen foregår som udgangspunkt i drift. Leverandøren skal kunne forklare, hvordan den undgår at forstyrre kritiske processer, hvordan den forholder sig til systemer, der ikke må røres, og hvornår den selv stopper og kontakter jer. Spørg til konkrete stopkriterier og til, hvordan holdet dokumenterer sine handlinger undervejs, så de kan genskabes bagefter.

Nationalbankens implementeringsdokument for TIBER-DK understreger for de regulerede test, at erfarne udbydere er et centralt middel til at styre risikoen, og at de skal leve op til høje standarder for risikostyring og vise stærk etisk adfærd. Det er en ramme for udpegede finansielle virksomheder, men kravet giver mening for enhver øvelse. Bed leverandøren beskrive en situation, hvor holdet valgte at stoppe eller at gå en omvej af hensyn til driften, uden at nævne kunden. Et konkret og nøgternt svar er et godt tegn. → Stopregler

Etik, mennesker og data

Hvis social engineering eller fysisk adgang indgår, skal leverandøren kunne forklare, hvordan medarbejdere beskyttes. Hvordan undgås det, at enkeltpersoner udstilles? Hvordan sikres det, at ingen bliver presset ud over det rimelige? Hvordan håndteres en medarbejder, der konfronterer holdet?

Spørg også til data. Hvad gemmer holdet undervejs, hvor opbevares det, hvem har adgang, og hvornår slettes det? En leverandør, der ikke har et klart svar, har sandsynligvis ikke en klar praksis. Det gælder også optagelser og billeder fra fysisk adgang, som kan vise medarbejdere, der aldrig har givet samtykke til at blive fotograferet. Nielco IT underskriver fortrolighedsaftale på forespørgsel, og den slags aftaler bør I under alle omstændigheder kræve af den leverandør, I vælger. → Etik i red teaming

Fra scenarie til leverance

Spørg, hvordan leverandøren kommer fra jeres situation til et scenarie. Bygger den på et generelt trusselsbillede, på en skræddersyet analyse, eller forventer den, at I leverer grundlaget? Ingen af svarene er forkerte, men de giver meget forskellige øvelser. Spørg også, hvordan leverandøren vil sikre, at scenariet holder fast i jeres spørgsmål, og ikke bliver styret af det, holdet er bedst til. Det skal også fremgå, om analysen er en del af tilbuddet eller en særskilt opgave.

Bed om et anonymiseret eksempel på en rapport eller en beskrivelse af dens opbygning. Kig efter en tidslinje over holdets handlinger, en vurdering af, hvad forsvaret så, og anbefalinger, der kan gives ejere i forskellige afdelinger. Spørg, om leverandøren deltager i en fælles gennemgang med blue team, og hvordan eventuel genafprøvning af udvalgte dele håndteres. → Red team-rapporten

De regulerede krav som pejlemærke

I finanssektoren stiller DORA, forordning (EU) 2022/2554, i artikel 27 krav til testere, der udfører trusselsbaserede penetrationstest. Kravene omfatter blandt andet egnethed og omdømme, kompetencer inden for trusselsefterretning, penetrationstest og red teaming, certificering eller overholdelse af en adfærdskodeks og ansvarsforsikring. Kravene gælder kun for den regulerede test. Uden for den kan de bruges som inspiration til spørgsmål, men de er ikke en standard, en almindelig leverandør skal opfylde. CREST har desuden vejledninger om indkøb af sikkerhedsydelser, hvor red teaming er nævnt.

Det skal I lade være med

At vælge på pris alene · forskellen ligger i styring og leverance.
At acceptere ukendte underleverandører · I skal vide, hvem der arbejder i jeres miljø.
At springe referencetjek over · tal med en kontaktperson, leverandøren foreslår, uden at bede om fortrolige detaljer.
At lade leverandøren skrive reglerne alene · rules of engagement er jeres dokument.
At ignorere, hvordan mennesker behandles · det afgør, om organisationen vil tåle næste øvelse.
At blande regulerede og frivillige krav sammen · en almindelig øvelse er ikke en TLPT.

Hvad kan og ikke kan konkluderes

Gode svar på spørgsmålene ovenfor øger sandsynligheden for, at øvelsen bliver styret forsvarligt og giver brugbar læring. De garanterer ikke resultatet, og certificeringer eller erfaring kan ikke erstatte jeres egen styring gennem white team. Valget af leverandør til en reguleret test følger egne regler, som ikke er beskrevet her.

Tjekliste til tilbudssamtalen

☐ Ved I, hvem der konkret udfører opgaven?
☐ Er samarbejdet med white team beskrevet?
☐ Har leverandøren konkrete stopkriterier?
☐ Er håndtering af mennesker og data beskrevet?
☐ Er det klart, hvordan scenarierne bliver til?
☐ Har I set et eksempel på leverancen? → Kontrakten om en red team-øvelse

Kilder

Danmarks Nationalbank: TIBER-DK Implementation Document: erfarne udbydere som middel til at styre risikoen, krav om høje standarder for risikostyring og etisk adfærd.
Forordning (EU) 2022/2554 (DORA): artikel 27 om krav til testere ved trusselsbaserede penetrationstest.
CREST, Implementation and Procurement Guides: vejledninger om indkøb af sikkerhedsydelser, herunder overvejelser om red teaming.

Senest gennemgået: oktober 2026.