De fleste virksomheder, der har en beredskabsplan, har den fra dengang den blev skrevet. Den ligger i et intranet eller et delt drev, telefonnumrene er tre år gamle, og halvdelen af de nævnte personer arbejder et andet sted.

Den gode nyhed er, at man kan komme meget langt med to timer og et mødelokale. Her er en øvelse, der kan gennemføres uden konsulenter og uden at slukke noget.

Sådan sætter I det op

Deltagere: Direktør eller ejer, den økonomiansvarlige, en fra driften, den der plejer at kontakte IT, og gerne jeres IT-leverandør.

Format: Bordøvelse. Ingen systemer bliver rørt. En person læser scenariet op i etaper, og de øvrige svarer på, hvad de ville gøre.

Vigtigste regel: Ingen må slå op i systemer, der ville være utilgængelige i scenariet. Ligger planen i SharePoint, og scenariet er at Microsoft 365 er utilgængeligt, findes planen ikke. Det er den regel, der gør øvelsen ærlig.

Scenariet

Mandag morgen kl. 7.40. En medarbejder ringer: hendes computer viser en besked om, at filerne er krypteret. Hun kan ikke åbne noget på fællesdrevet. To andre melder samme problem inden for fem minutter.

Etape 1: de første femten minutter

Spørg rundt om bordet:

  • Hvem har mandat til at tage systemer af netværket? Kan personen gøre det kl. 7.40, eller skal de spørge nogen først?
  • Hvem ringer til IT-leverandøren, og på hvilket nummer? Findes nummeret uden adgang til mail?
  • Hvem informerer resten af huset — og hvordan, hvis mailen er nede?
  • Hvem beslutter, om medarbejderne skal sendes hjem eller sættes til andet arbejde?
  • Hvad siger vi til dem, der møder ind om tyve minutter og tænder deres maskiner?

Typiske huller: nummeret findes kun i en mailsignatur. Ingen ved, hvem der må trække stikket. Der findes ingen alternativ kommunikationsvej til medarbejderne.

Etape 2: den første time

  • Hvordan finder I ud af, hvad der er ramt? Hvem kan se det?
  • Er backuppen tilgængelig — og ligger den et sted, angrebet ikke kan nå?
  • Hvem kontakter forsikringen, og hvor findes policenummeret?
  • Hvem anmelder til politiet?
  • Hvem vurderer, om der er personoplysninger involveret, og hvem holder styr på 72-timers fristen?
  • Hvem skriver logbogen over, hvad der sker hvornår?

Typiske huller: ingen kender policenummeret. Ingen ved, hvem der har ansvaret for vurderingen efter GDPR. Ingen har skrevet ned, hvornår fristen begyndte at løbe.

Etape 3: resten af dagen

  • Kan I tage imod ordrer, sende fakturaer eller betale løn i morgen, hvis systemerne stadig er nede?
  • Har I en manuel nødprocedure — papir, telefon, regneark — for de mest kritiske funktioner?
  • Hvad siger I til kunderne? Hvem skriver det, og hvem godkender det?
  • Hvad siger I, hvis pressen eller en brancheavis ringer?
  • Har I kunder, I er kontraktuelt forpligtet til at underrette?

Typiske huller: ingen nødprocedure for det mest kritiske. Ingen forberedt kundebesked. Uklarhed om, hvem der taler udadtil.

Etape 4: dagene efter

  • I hvilken rækkefølge skal systemerne op? Hvad er vigtigst forretningsmæssigt?
  • Hvem skifter alle kodeord, og hvordan sikrer I, at angriberen ikke stadig har adgang?
  • Hvornår kan I sige, at det er overstået — og hvem beslutter det?
  • Hvad skal ændres, så det ikke sker igen?
  • Hvem følger op på, at det faktisk bliver ændret?

Typiske huller: ingen har prioriteret rækkefølgen af systemer på forhånd, og derfor bliver det tilfældigt, hvad der kommer op først — typisk det, der teknisk er lettest, frem for det, der betyder mest.

Skriv resultatet ned med det samme

Efter to timer har I typisk fundet mellem fem og femten konkrete mangler. Skriv dem ned med en ansvarlig og en dato. Det er øvelsens egentlige produkt — ikke en følelse af at have været igennem det.

Lav samtidig planen om til én side, print den, og hæng den op mindst to steder — plus en kopi hos den, der har ansvaret, derhjemme. Den skal kunne læses, når intet virker.

Hvad der skal stå på den ene side

  • Telefonnumre: IT-leverandør, intern ansvarlig, forsikring med policenummer, politiets anmeldelse, en ekstern rådgiver hvis relevant.
  • Hvem der må tage systemer af nettet — og at de må gøre det uden at spørge.
  • De første fem handlinger, i rækkefølge.
  • Hvor backuppen ligger, og hvem der kan gendanne.
  • Prioriteret liste over systemer, der skal op først.
  • Udkast til besked til medarbejdere og til kunder.
  • Datoen for, hvornår planen sidst blev testet.

Gentag én gang om året

Anden gang tager det halvanden time, fordi de fleste huller er lukket. Skift scenariet: næste år kan det være et længerevarende internetnedbrud, en central medarbejder der er utilgængelig i tre uger, en leverandør der går ned, eller en mistanke om at en medarbejder har taget data med.

Variationen er vigtig, fordi hvert scenarie afdækker forskellige huller. Ransomware afdækker backup og isolation; et internetnedbrud afdækker afhængighed og redundans; en medarbejdersag afdækker logning og adgangsstyring.

Involvér flere end ledelsen

Efter den første øvelse i ledelsen er det værd at tage en kort version med de medarbejdere, der ville skulle handle: receptionen, bogholderiet, produktionen.

De ved ofte noget, ledelsen ikke ved — for eksempel at den manuelle nødprocedure, der står i planen, ikke har været brugt i fem år og ikke længere passer til systemet.

Netdk deltager gerne

Vi sidder med ved bordøvelsen hos vores kunder og bidrager med de tekniske svar, så øvelsen bliver realistisk. Vi hjælper også med at skrive én-siden og med at teste, at gendannelse faktisk virker.

Vi kommer ud til virksomheder i Aarhus, Randers, Silkeborg, Viborg, Skanderborg, Lystrup og Odder — og ved en rigtig hændelse er det netop de dage, hvor det betyder noget, at der kan komme en person.

Næste skridt

Sæt to timer i kalenderen, og ring på 70 23 57 70, så deltager vi.