Blue Team Lead — løn 2026: 64.304 kr. om måneden

En blue team lead står i spidsen for forsvaret. Modstykket kaldes red team, som angriber for at finde huller; det blå hold opdager, standser og lukker.

Det daglige:

• Overvågning: alarmer fra systemerne gennemgås. Langt de fleste er uskadelige, og holdets vigtigste opgave er at finde de få, der ikke er
• Undersøgelse: ved mistanke følges sporene — hvilke maskiner, hvilke konti, hvornår begyndte det, og hvad blev der rørt ved
• Hændelseshåndtering: ved et reelt angreb ledes indsatsen: afskæring af maskiner, spærring af konti, kommunikation til ledelse og eventuelt myndigheder
• Forbedring: hver hændelse skal føre til en ændring. Nye detektionsregler skrives, og huller lukkes
• Øvelser: angreb simuleres, så holdet træner det, der ellers kun sker sjældent
• Ledelse: vagtplan, oplæring og faglig udvikling af holdet

Hvilken lovgivning dækker denne rolle? EU's NIS2-direktiv stiller krav til risikostyring og til at indberette væsentlige hændelser for virksomheder i en række samfundsvigtige sektorer, og det er gennemført i dansk ret med tilhørende tilsyn. Dertil kommer databeskyttelsesforordningen, som kræver, at brud på persondatasikkerheden anmeldes til Datatilsynet uden unødig forsinkelse og som udgangspunkt inden 72 timer.

Arbejdspladserne er større virksomheder, sikkerhedsleverandører og myndigheder.

Kernen er overvågningssystemet — et SIEM som Microsoft Sentinel, Splunk eller Elastic, hvor logs fra hele huset samles og regler udløser alarmer.

På maskinerne kører detektionsværktøjer, der ser adfærd frem for kendte filer, og som kan afskære en maskine fra nettet med ét klik.

Hændelser styres i et sagssystem, hvor tidslinje, beviser og beslutninger dokumenteres — det er også det, der skal kunne fremvises bagefter.

Til analyse bruges værktøjer til netværkstrafik, hukommelsesundersøgelse og skadelig kode i lukkede miljøer. Trusselsoplysninger hentes fra fælles kilder og fra myndighedernes varslinger, og bruges til at skrive nye detektionsregler.