Purple Team Coordinator — løn 2026: 64.304 kr. om måneden

En purple team-koordinator står mellem to hold i it-sikkerhed: det hold, der angriber egne systemer for at finde huller, og det hold, der overvåger og forsvarer. Navnet kommer af, at de to traditionelt kaldes rødt og blåt hold.

• Planlægning: vælge hvilke angrebsteknikker der skal afprøves, typisk ud fra hvad rigtige angribere faktisk bruger
• Gennemførelse: angrebet udføres kontrolleret og aftalt, ikke som en overraskelse
• Måling: opdagede overvågningen det, hvornår, og var alarmen præcis nok til at kunne handles på
• Hullerne: hvor der ikke blev opdaget noget, skal der bygges ny overvågning eller nye alarmer
• Gentagelse: når hullet er lukket, køres samme angreb igen for at bevise, at det nu fanges
• Dokumentation: resultaterne skrives ned, så udviklingen kan følges over tid
• Formidling: ledelsen skal forstå, hvad der blev fundet, uden at drukne i tekniske detaljer

Forskellen fra en almindelig sikkerhedstest er samarbejdet. En klassisk test slutter med en rapport over fundne huller; purple team-arbejdet slutter først, når forsvaret faktisk kan se angrebet næste gang.

Rollen findes i større virksomheder med egen sikkerhedsovervågning, i finanssektoren, i forsyningsvirksomheder og hos de leverandører, der udfører sikkerhedstest for andre.

Hvilken lovgivning dækker denne rolle? Adgang til it-systemer uden tilladelse er strafbart efter straffelovens regler om datahærværk og uberettiget adgang — derfor kræver alt arbejde en skriftlig aftale med den, der ejer systemet. Virksomheder i kritiske sektorer er omfattet af NIS2-direktivet, der stiller krav om risikostyring og om at kunne håndtere hændelser. Finansielle virksomheder er desuden omfattet af EU's DORA-forordning, som kræver test af den digitale modstandsdygtighed. Behandles personoplysninger under test, gælder databeskyttelsesforordningen.

Angrebsdelen bruger testværktøjer som Caldera og Atomic Red Team, der kan udføre kendte angrebsteknikker kontrolleret, samt de værktøjer, sikkerhedstestere i øvrigt bruger.

Forsvarsdelen bygger på overvågningssystemer (SIEM) som Microsoft Sentinel, Splunk eller Elastic, hvor logs samles og alarmer udløses, og på systemer til overvågning af de enkelte maskiner (EDR).

Som fælles sprog bruges MITRE ATT&CK — en offentlig oversigt over angriberes fremgangsmåder, som både angreb og forsvar kan placeres i. Resultaterne dokumenteres typisk i Confluence eller lignende, så udviklingen kan følges fra øvelse til øvelse.