Når ledelsen hører om angrebssimulering eller red teaming, er det fristende at tro, at det mest omfattende også er det rigtige. Valget afhænger dog af to ting: hvor moden virksomhedens sikkerhed er, og hvilket spørgsmål ledelsen vil have besvaret. For en virksomhed, der ikke kender sine grundlæggende svagheder, kan en penetrationstest være det rette første niveau. Angrebssimulering bliver relevant, når de kendte huller er lukket, og ledelsen vil vide, om organisationen opdager og reagerer på et målrettet angreb.
To forskellige spørgsmål
En penetrationstest spørger: hvilke svagheder findes der i de systemer, vi har udvalgt? Testeren arbejder bredt inden for et aftalt område og dokumenterer det, der kan udnyttes. Resultatet er en liste over fund, som IT og leverandører kan rette.
En angrebssimulering spørger noget andet: kan en modstander nå et bestemt mål, og opdager vi det undervejs? Her er det ikke bredden, men vejen til målet, der tæller. Øvelsen kan omfatte mennesker, processer og fysisk adgang, ikke kun systemer. Resultatet handler om organisationens evne til at se og handle.
For ledelsen er forskellen vigtig, fordi de to svar bruges til forskellige beslutninger. Det første giver grundlag for at prioritere rettelser. Det andet giver grundlag for at vurdere overvågning, beredskab og samarbejdet med leverandører, når det gælder. → Penetrationstest, scanning eller gennemgang
Modenhed afgør rækkefølgen
En simulering af et målrettet angreb forudsætter, at der er noget at simulere imod. Hvis virksomheden ikke har overvågning, ingen klar ansvarsfordeling ved hændelser og mange kendte svagheder, kan øvelsen vise det, en almindelig test også kunne have vist, blot med større indsats og mere uro i organisationen.
Nogle tegn på, at virksomheden kan være klar til næste niveau:
- Tidligere test · der er gennemført penetrationstest, og de væsentlige fund er rettet og efterprøvet.
- Overvågning · nogen holder øje med systemerne, internt eller hos en leverandør, og ledelsen ved, hvem.
- Beredskab · der findes en plan for, hvad der sker ved en hændelse, og den er afprøvet.
- Ledelsens spørgsmål · ledelsen vil vide noget om opdagelse og reaktion, ikke kun om svagheder.
Mangler flere af punkterne, er det et signal om at begynde med en afgrænset test og bygge videre derfra. → Står en penetrationstest mål med vores størrelse?
Hvad angrebssimulering kræver af ledelsen
En angrebssimulering stiller større krav til ledelsens engagement end en penetrationstest. Der skal tages stilling til, hvem i virksomheden der kender til øvelsen, og hvem der ikke gør. Der skal være en lille kontrolgruppe, som kan stoppe øvelsen og skelne den fra en rigtig hændelse. Og hvis øvelsen omfatter medarbejdere eller adgang til bygninger, skal ledelsen godkende det udtrykkeligt.
Det betyder også, at ledelsen skal være forberedt på resultater, der handler om mennesker og processer. Et resultat om, at en henvendelse blev overset, eller at et alarmsignal ikke blev fulgt op, er ikke en fejl hos en enkelt medarbejder, men en oplysning om organisationen. → Kan en test sige noget om medarbejdernes sikkerhedsadfærd?
Testens egne risici er også større. En øvelse, der løber over længere tid og bevæger sig tæt på forretningskritiske systemer, kræver klare aftaler om grænser og om, hvornår der skal stoppes. → Testens egne risici
Når finanssektoren har sin egen ramme
Virksomheder i den finansielle sektor kan være omfattet af særlige rammer for trusselsbaseret test. Det er et særskilt område med egne krav til udførelse og godkendelse, og det afgøres ikke af, hvad ledelsen selv foretrækker. Ledelsen i en finansiel virksomhed bør spørge sin compliancefunktion, om en sådan ramme gælder, før der vælges niveau. Red teaming, både inden for og uden for de finansielle rammer, er forklaret mere udførligt på red-teaming.dk.
Et tænkt valg
En mellemstor grossist har fået lavet to penetrationstest af webshoppen og kontornettet. Fundene fra første test er rettet, og den anden test viste færre og mindre alvorlige forhold. Driften ligger hos en leverandør, som også overvåger netværket. Bestyrelsen spørger nu, om virksomheden ville opdage det, hvis nogen faktisk forsøgte at komme ind.
Det er et spørgsmål, en ny penetrationstest ikke svarer godt på. Her kan en afgrænset angrebssimulering give mening, fordi grundlaget er på plads, og fordi spørgsmålet handler om opdagelse. Havde grossisten aldrig testet, ville rådet være det modsatte. Ledelsen skal så bestemme, hvilke mål øvelsen skal forsøge at nå, fx kundedata eller økonomisystemet, og hvem der skal kende til den. → Flerårig testplan
Spørgsmål, ledelsen kan stille, før niveauet vælges
Ledelsen behøver ikke kende forskellen på metoderne i detaljer for at træffe et godt valg. Det er nok at stille de rigtige spørgsmål til IT, til driftsleverandøren og til den, der skal udføre opgaven.
- Til IT · hvilke fund fra sidste test står stadig åbne, og hvorfor?
- Til driftsleverandøren · hvad ser I, hvis nogen forsøger at komme ind, og hvem får besked?
- Til udføreren · hvilket spørgsmål kan jeres opgave besvare, og hvilket kan den ikke?
- Til ledelsen selv · hvad vil vi gøre anderledes, alt efter hvad svaret bliver?
Hvis svarene viser, at grundlaget ikke er på plads, er det ikke et nederlag at vælge den enkle test først. Det er en prioritering, der gør den senere øvelse mere værd. Og hvis svarene viser, at grundlaget er solidt, har ledelsen et bedre argument for at investere i det næste niveau.
Det skal I lade være med
- At vælge det mest omfattende for en sikkerheds skyld · niveauet skal passe til spørgsmålet og modenheden.
- At springe den grundlæggende test over · uden kendskab til de enkle svagheder bliver en simulering dyr læring.
- At kalde en almindelig test for angrebssimulering · navnet ændrer ikke, hvad der bliver afprøvet.
- At inddrage medarbejdere uden ledelsens godkendelse · det kræver en særskilt beslutning og klare grænser.
- At antage, at en øvelse opfylder en finansiel ramme · spørg, om den er udført inden for rammen eller uden for den.
Hvad kan og ikke kan konkluderes
Et valg af niveau siger noget om, hvilket spørgsmål ledelsen vil have besvaret, ikke om, hvor sikker virksomheden er. En penetrationstest kan ikke vise, om organisationen opdager et angreb. En angrebssimulering kan ikke erstatte den brede gennemgang af svagheder. Begge er øjebliksbilleder, og ingen af dem fritager ledelsen fra at tage stilling til resultatet.
Tjekliste før ledelsen vælger niveau
- ☐ Ved vi, hvilke svagheder vores vigtigste systemer har i dag?
- ☐ Er fundene fra tidligere test rettet og efterprøvet?
- ☐ Har vi overvågning og en afprøvet plan for hændelser?
- ☐ Handler vores spørgsmål om svagheder eller om opdagelse og reaktion?
- ☐ Er vi omfattet af en særlig ramme for trusselsbaseret test?
- ☐ Er ledelsen klar til at godkende inddragelse af medarbejdere og bygninger?
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til ledelsen
Læs også: Testens egne risici · Er ledelsen klar, hvis testen viser det værste?
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
