White team: kontrolgruppen, der styrer øvelsen

En red team-øvelse foregår i den virkelige drift og mod et forsvar, der ikke ved besked. Nogen skal derfor kende til den, holde den inden for de aftalte grænser og kunne gribe ind, hvis noget går galt. Den gruppe kaldes white team. Svaret på, hvordan gruppen sættes sammen, hviler på tre forhold: den skal have mandat til at træffe beslutninger, den skal dække de områder, øvelsen berører, og den skal være så lille, at øvelsen forbliver hemmelig.

For en CISO er white team det vigtigste styringsredskab i øvelsen. Det er her, ansvaret for øvelsens sikkerhed ligger, og det er her, beslutningerne undervejs bliver truffet.

Hvad white team er

Den amerikanske CNSSI-ordliste, som NIST’s begrebsordbog gengiver, beskriver white team som en lille gruppe med forhåndskendskab til uanmeldte red team-aktiviteter. Gruppen observerer og sikrer, at testen ikke overskrider en aftalt tærskel. En bredere definition i samme ordliste tilføjer, at gruppen dømmer mellem red team og blue team, håndhæver reglerne, løser problemer, besvarer spørgsmål og sikrer, at øvelsen ikke skaber driftsproblemer. Den hjælper også med at fastlægge rules of engagement og målepunkter og har normalt ansvaret for evaluering og lessons learned.

I TIBER-rammerne for finanssektoren hedder gruppen kontrolteam. TIBER-DK skriver, at kontrolteamet skal være så lille som muligt, og at dets medlemmer er de eneste i virksomheden, der kender til testen. Betegnelserne er forskellige, men funktionen er den samme. → Holdene i øvelsen

Mandatet

White team skal kunne træffe beslutninger, mens øvelsen står på, uden at skulle søge godkendelse hver gang. Mandatet bør stå på skrift og være godkendt af den ledelse, der har sagt ja til øvelsen. Det kan omfatte:

Retten til at stoppe · at sætte øvelsen på pause eller afbryde den, når kriterierne er opfyldt.
Retten til at afgøre tvivl · om en hændelse hører til øvelsen eller er virkelig.
Retten til at ændre · at godkende justeringer i scenariet og give holdet hjælp, hvis det sidder fast.
Adgang til ledelsen · at kunne nå den øverste ansvarlige hurtigt, også uden for arbejdstid.

TIBER-DK lægger vægt på, at kontrolteamet har det nødvendige mandat til at styre alle sider af testen uden at bringe hemmeligholdelsen i fare, og at det har adgang til toppen af organisationens eskaleringskæde for sikkerhedshændelser. Det er et nyttigt pejlemærke også for øvelser uden for de regulerede rammer. → Stopregler

Sammensætningen

Hvem der skal sidde i white team, afhænger af scenariet. TIBER-DK nævner personer med beslutningskraft eller fagkundskab inden for cyber, operationel risiko, forretning samt projekt- og teststyring, og en gruppe, der har overblik over forretningsområder, teknik og sikkerhed. Uden for de regulerede test er det en fornuftig udgangspunktsliste.

I praksis kan white team bestå af:

CISO’en eller en stedfortræder · ejeren af øvelsen og dens formål.
En person med overblik over driften · der kan vurdere, om en handling truer kritiske systemer.
En kontakt til forretningen · der kender den funktion, øvelsen sigter mod.
Leverandørens holdleder · som repræsentant for red team i de løbende beslutninger.

Hvis øvelsen omfatter mennesker eller bygninger, kan det være nødvendigt med en person fra HR eller facility. Her må man afveje fagkundskaben mod risikoen for, at flere kender til øvelsen. En sådan person kan orienteres om sin del uden at indgå i hele gruppen. → Lederen af white team

Størrelsen og hemmeligholdelsen

Hver person, der kender til øvelsen, er en mulig kilde til, at den siver ud. Det kan ske ved et uforsigtigt ord, en mødeindkaldelse med et sigende emne eller en kollega, der får et advarende vink. Derfor skal gruppen være lille, og den skal arbejde efter need to know. Det gælder også gruppens egne dokumenter, mødeindkaldelser og chatkanaler, som bør holdes adskilt fra de steder, forsvaret til daglig kan se.

Samtidig må gruppen ikke blive så lille, at den mangler den viden, der skal til for at træffe sikre beslutninger, eller så sårbar, at øvelsen må stoppe, fordi én person er syg. Der skal være mindst én stedfortræder for lederen, og alle i gruppen skal vide, hvem der træder til, hvis en anden ikke kan nås.

White team gennem forløbet

Gruppens arbejde begynder længe før holdet går i gang. Før øvelsen fastlægger white team mål, scope, rules of engagement, stopregler og kommunikationsplan, og den samler tilladelserne. Under øvelsen holder gruppen statusmøder med holdet, følger forsvarets reaktioner, afgør tvivlsspørgsmål og godkender hjælp til holdet, hvis det er aftalt. → Leg-up

Efter øvelsen leder white team overgangen til læring: gennemgangen med blue team, rapporten og handlingsplanen. Det er også white team, der skal forklare forsvaret, hvorfor øvelsen blev holdt hemmelig, og sikre, at ingen føler sig udstillet. → Lessons learned-mødet

Når et medlem også er en del af forsvaret

I nogle organisationer er det umuligt at sammensætte et white team uden personer, der også har en rolle i forsvaret. En driftschef kan være den, der modtager eskaleringer om natten. Det kræver en klar aftale om, hvad personen gør, når en alarm fra øvelsen lander på bordet.

Udgangspunktet er, at personen handler, som rollen kræver, og samtidig orienterer white team, så gruppen kan vurdere, om reaktionen skal have lov at løbe. TIBER-DK anbefaler, at kontrolteamet på forhånd har forberedt en troværdig forklaring, der kan bruges, hvis forsvaret opdager testen, så hemmeligholdelsen ikke brydes unødigt. → Øvelse eller rigtigt angreb?

Det skal I lade være med

At gøre white team til en styregruppe · gruppen skal kunne handle hurtigt og diskret.
At udelade en person med driftsindsigt · sikkerhedsbeslutninger kræver kendskab til systemerne.
At give gruppen et mandat, der kun findes mundtligt · det holder ikke i en presset situation.
At glemme stedfortrædere · én fraværende person må ikke lamme øvelsen.
At orientere flere for en sikkerheds skyld · hver ekstra person svækker realismen.

Hvad kan og ikke kan konkluderes

Et velfungerende white team gør det muligt at gennemføre øvelsen sikkert og læse resultatet korrekt. Det siger ikke noget om, hvor godt forsvaret er, og det kan ikke fjerne alle risici ved en øvelse i drift. Sammensætningen beskrevet her er et udgangspunkt, ikke en standard; den rigtige gruppe afhænger af scenariet og organisationen.

Tjekliste til white team

☐ Er gruppens mandat skrevet ned og godkendt af ledelsen?
☐ Har gruppen en leder og mindst én stedfortræder?
☐ Dækker gruppen drift, forretning og sikkerhed?
☐ Er det aftalt, hvad medlemmer med en rolle i forsvaret gør ved en alarm?
☐ Er der en forberedt forklaring, hvis forsvaret opdager øvelsen?
☐ Kan gruppen nå ledelsen uden for arbejdstid? → Tjekliste til white team før start

Kilder

CSRC Glossary: white team: definitionerne fra CNSSI 4009-2022 af white teams størrelse og opgaver.
Danmarks Nationalbank: TIBER-DK Implementation Document: kontrolteamets størrelse, mandat, sammensætning, adgang til eskaleringskæden og forberedte forklaringer ved opdagelse.

Senest gennemgået: oktober 2026.