Beredskab

Hvad er mest kritisk?

I planlægningsfasen er det vigtigt at identificere forretningskritiske processer og systemer for at prioritere sin tid og ressourcer der, hvor det vil gøre mest ondt at blive ramt.

Arbejdet kan hjælpes på vej ved at kortlægge virksomhedens processer og udarbejde en Business Impact Assessment (BIA) for hver proces, der hjælper jer med at diskutere spørgsmålet, hvad er det værste, der kan ske, hvis fortrolighed, integritet eller tilgængelighed af data kompromitteres.

Arbejdet skal hjælpe med at identificere, hvad der er mest kritisk for virksomheden, fordi konsekvensen ved det værste, der kan ske, er så stor, at virksomheden ikke kan acceptere risikoen, for at den indtræffer.

I samme forbindelse udpeges virksomhedens mest kritiske IT-systemer, som ofte omtales som kronjuveler. Kronjuvelerne er afgørende for virksomhedens drift, og en plan for genoprettelse i tilfælde af nedbrud skal sikre, at virksomhedens drift kan fortsætte eller hurtigt genoptages under en krise.

Med afsæt i BIA’en kan I sætte mål for, hvor længe der må gå, før et system genoprettes (RTO), hvor meget data virksomheden kan tåle at miste (RPO), og hvor længe virksomheden kan overleve nedetid (MTD).

Trusselsbilledet

Arbejdet med BIAer drejer sig kun om konsekvens, mens størrelsen på en risiko typisk vurderes på baggrund af både konsekvens og sandsynlighed. Der er naturligvis ingen objektiv måde at vurdere sandsynligheden for en hændelse, men der er flere elementer, der øger sandsynligheden og dermed størrelsen på risikoen. Dette kan være med til at prioritere jeres ressourcer der, hvor risikoen er størst.

Det aktuelle trusselsbillede har en indvirkning på vurderingen af risikosandsynlighed, og det er derfor en god idé at holde sig opdateret på, hvordan trusselslandskabet udvikler sig. Relevante kanaler at holde sig opdateret gennem kan være

• Styrelsen for Samfundssikkerhed: Vurdering af cybertruslen mod Danmark
• Forsvarets efterretningstjeneste: Årligt vurdering af udefrakommende trusler mod Danmark
• CISA Known Exploited Vulnerabilities: Liste over sårbarheder, der udnyttes nu
• ENISA: Årlig vurdering af trusselslandskabet

Principper for beredskab

Det er klart informationssikkerhedsberedskab ikke står alene, og virksomhedens modstandsdygtighed kræver, at I har forberedt jer på andre krisetyper. Når I arbejder med beredskab, er der flere principper, der er værd at overveje - og som ikke kun er relevante for informationssikkerhed.

Mennesker før maskiner

Menneskeliv kommer altid først og hensynet til involverede menneskers fysiske sikkerhed vil altid veje tungere end system- og datasikkerhed.

Kommunikér tidligt

Del tidligt det, I ved, også når I ikke ved alt. Aftal faste tidspunkter for næste opdatering, så kolleger og samarbejdspartnere ved, hvad de kan forvente.

Failover før root cause

Få driften hurtigt i gang igen ved at skifte til backupdrift eller manuelle processer, før I leder efter root cause (den bagvedliggende årsag). Stabil drift først, dyb fejlsøgning bagefter.

Øvelser > dokumenter

En øvelse slår et ubrugt dokument. Det kræver træning at kunne følge planen under pres. Planlæg korte, hyppige øvelser og opdater dokumenterne bagefter.

Single source of truth

Sørg for at arbejde ud fra et fælles udgangspunkt. Sørg for at logge status, beslutninger og kontaktdata et fælles sted frem for at spredt rundt i indbakken.

Skabeloner for beredskabsplan

Der er ikke en rigtig eller forkert måde at udarbejde selve beredskabsplanen på, og formatet vil variere med jeres virksomheds behov. DI har udviklet en beredskabsskabelon i samarbejde med Beredskabsstyrelsen [link til beredskabsskabelon].

Derudover er der flere formater, I kan overveje at inkorporere i planlægningsarbejdet, som understøtter resten af PDCA-strukturen.

• Årshjul for test og øvelser kan hjælpe med at skemalægge arbejdet med at teste og simulere beredskabsplanen i løbet af året. Link
• Drejebog for hændelser kan informere test og øvelsesarbejdet med forskellige scenarier, der sikrer, at organisationen er trænet i forskelligartede krisesituationer.
• Roller og RACI skal gøre det tydeligt, hvem der har ansvar for hvad, og hvilke funktioner, der trænes i beredskabsplanen – Følgende kunne være relevante for jer;
  • Incident Manager/Beredskabskoordinator (Husk en primær + stedfortræder)
  • CISO/IT-sikkerhed (Ansvar for SOC/overvågning, EDR, netværk)
  • IT-Drift/Platform (Ansvar for AD/IdM, infrastruktur, backup)
  • DPO/Legal (Ansvar for GDPR, notifikationer, DPIA, kontrakter)
  • Forretningsejere/Procesansvarlige (Ansvar for at forstå påvirkningen på deres ansvarsområde samt at opstille ’workarounds’ for kritiske processer og systemer)
  • Kommunikation/PR (Ansvarlig for intern og ekstern kommunikation, samt pressestyring)
  • Leverandøransvarlig/Procurement (Ansvarlig for kontakten med leverandører ifht SLA, eskalation, kontrakter)
  • HR (Ansvar for medarbejderkommunikation og træning)
  • Direktion/BCM (Ansvar for over beslutninger og prioritering i krisesituationen)
  • Ekstra ved OT: OT-lead, HSE, site managers
  • Sørg for at indbyg redundans, således at hver rolle har en stedfortræder, så der ikke er stilstand i beredskabet, fordi en nøgleperson er på ferie eller ikke svarer telefonen. Sørg dog for at der findes en kontaktliste med 24/7-nummer til alle på listen.
• Kommunikationspakker forberedt til forskellige interessentgrupper - for eksempel interne medarbejdere, kunder eller myndigheder og er samtidig del af beredskabsplanen.
• Lessons learned skabelon kan give en fast struktur for at afholde debrief, opsamle vigtige opdagelser fra krisehåndteringen og bruge det til at forbedre beredskabsplanerne fremadrettet. Resultatet skal ind i beredskabsplanen.

I "Do"-fasen fører I jeres beredskabsplan ud i livet. Det er her, alle de overvejelser, I gjorde jer i planlægningsfasen, skal stå deres prøve. Her skal I lave en scenario-test med relevante deltagere.

Sikkerdigital.dk har udviklet konkrete scenarier, I kan bruge til at afprøve jeres beredskab [link til Beredskabsspillet]. De indeholder både scenarier, relevante deltagere og indspil til testen. Vælg et scenario og ret det gerne til jeres virkelighed før I går videre.

Do-fasen deler vi op i tre; Forberedelse før øvelse, Under øvelse og Efter øvelse:

Forberedelse til øvelse

Under øvelsen 

Instrukser til deltagerne kunne være:

• Alle deltagere medbringer computer.
• Alle deltagere opfordres til at “tænke højt” ​
• Undlad at besvare e-mails, telefonopkald, mv. som ikke er relateret til øvelsen. ​
• I det omfang det er muligt, iværksættes handlingen som I ville gøre i en reel krisesituation. skriv mailen i stedet for blot at forklare, hvad man ville skrive.
• Beredskabsøvelsen er baseret på et fiktivt scenarie inspireret af virkelige hændelser og kendte trusler.​
• Scenariet har til hensigt at ”aktivere” forskellige elementer i beredskabsplanerne.​
• Baseret på jeres valg og fravalg kan I blive tildelt små opgaver undervejs. Eks. at besøge bestemte elementer i jeres plan​
• Formålet med øvelsen er uddannelse og træning. Dette betyder også, at vi er en krisestab sammensat til lejligheden.​
• Sekundært er formålet input og opdateringer til beredskabsplanen​
• Formålet er ikke en individuel bedømmelse. ​
• Hvis elementer fremstår uklart eller i savner information så 1) Spørge facilitatoren og 2) gør jeres egne antagelser.​
• Øvelsen inkluderer personer i lokalet. Det forventes ikke man tager kontakt til leverandører, kollegaer eller lign.

Efter øvelse

Husk: Det er bedre at fejle i en øvelse og rette planen til bagefter, end at fejle for første gang under et rigtigt angreb.

Det anbefales, at den store test afholdes, når beredskabsplanen er blevet kommunikeret til de involverede parter, så alle har prøvet den i praksis, og derefter bør den afholdes ved behov. Fx hvis der har været stor udskiftning i deltagerkredsen, ved store organisationsændringer eller hvis den ikke har været trænet i flere år.

Man kan ikke planlægge sig ud af enhver krise. Verden er uforudsigelig, og uanset hvor lang jeres beredskabsplan er, vil den ikke dække alle tænkelige scenarier. Derfor handler "Check"-fasen om at sikre, at det vi kan afdække på forhånd, er på plads.

Det er i øvelsen, I finder ud af, om telefonnumrene i planen stadig virker, om IT-afdelingen rent faktisk kan genskabe data fra jeres backup, og om ledelsen kan bevare roen, når systemerne er nede.

Sæt beredskabet i system med et årshjul

I stedet for at drive et stort projekt hvert eller hvert andet år, kan det være en fordel at planlægge træningen i mindre bidder i løbet af året. Ved at sætte øvelser i et årshjul, sikrer I, at test af beredskabet indgår som en del af virksomhedens drift, og der løbende sættes tid af til at gennemføre øvelserne.

Deltagerne lærer langt mere af at stå i en (kontrolleret) presset situation end af at læse en politik. Det skaber tryghed og fjerner usikkerhed.

For eksempel kan I strukturere årets aktiviteter således:

Hvert kvartal: "Skrivebordsøvelsen" (Tabletop)

Her samles nøglepersoner i et mødelokale i et par timer. Gruppen præsenteres for et tænkt scenarie - f.eks. "Direktørens computer er låst af ransomware" og gennemgår mundtligt, hvem der gør hvad. Undervejs kastes "bomber" ind (såkaldte injects), som f.eks.: "Nu har pressen ringet, hvad siger I til dem?".

Hvert halve år: Den tekniske stresstest

Denne test foregår længere inde i det tekniske maskinrum. Kan I faktisk rulle en backup ud? Virker jeres nødstrøm? Det er her "Runbooks" (de tekniske opskrifter) valideres, så I ved, at de virker, når det virkelig gælder.

Beredskabsarbejde er aldrig færdigt. I "Act"-fasen tager I alt det, I har lært fra jeres øvelser (Check) og jeres virkelige hændelser (Do), og bruger det til at styrke beredskabet fremadrettet. Det er med til at lukke blinde vinkler, styrke klarhed og i sidste ende sikre modstandsdygtighed - selv om verden er omskiftelig.

Vurder modenhed

For at vide, hvor I skal hen, skal I vide, hvor I står. En måde at vurdere beredskabets modenhed på kan være at score virksomheden på en skal fra 1-5 inden for udvalgte områder (f.eks. ledelse, IT-teknik, træning og kommunikation):

• Niveau 1: Vi gør tingene tilfældigt, når de opstår (brandslukning).
• Niveau 2: Vi har de første tjeklister og planer, men vi er meget afhængige af, at enkelte nøglepersoner er til stede.
• Niveau 3: Vi har faste processer og planer, der bliver brugt og er kendt af alle relevante medarbejdere.
• Niveau 4: Vi styrer beredskabet med data og målinger, så vi ved præcis, hvor vi er stærke, og hvor vi er langsomme.
• Niveau 5: Vi er på forkant, automatiserer alt det vi kan, og lærer af hver eneste lille fejl for at forebygge fremtidige hændelser.

Målet er ikke nødvendigvis at ramme 5 over hele linjen - det vigtigste er, at I sætter et realistisk mål for, hvor I vil være næste år.

Fra "hvad skete der" til "hvad gør vi nu"

Når en øvelse eller en hændelse er slut, vil det sandsynligvis vise sig, at der er nogle ting, I ikke har taget højde for i beredskabsplanen. Det er godt, for det giver os en chance for at lære og være bedre forberedt den dag krisen rammer, men læringspunkter er værdiløse, hvis de bare bliver stående i et mødereferat.

I forbindelse med afholdelse af debriefing, hvor der faciliteres en lessons learned-session kan det være en god idé at overveje følgende:

• Giv opgaverne et navn: Hvem har ansvaret for at rette planen?
• Sæt en deadline: Hvornår skal den nye backup-løsning for eksempel være testet?
• Følg op: Sørg for at få lukket de åbne punkter, før næste kvartalsøvelse starter.

Start et sted

En kort plan, der er testet og tydelig, er meget bedre end en kompleks samling af udfyldte skabeloner, der aldrig bliver brugt.

Det kan være en god idé at sætte ambitionsniveauet ned og opbygge modenhed over tid, hvis jeres virksomhed aldrig har arbejdet struktureret med beredskab. Start for eksempel med en simpel drejebog; Et par sider med de vigtigste telefonnumre og de første 5 skridt ved et angreb. Når den sidder på rygraden og virker i praksis, kan I begynde at udvikle mere avancerede tekniske vejledninger og runbooks.

En simpel plan, der virker i virkeligheden, er meget bedre end en avanceret manual, som ingen forstår, når uheldet er ude, og IT-systemerne er nede.