Kontinuitetsplaner – Var beredd på det värsta!

Ofta när vi pratar säkerhet så är det olika skyddsmetoder vi diskuterar. Hur avancerad brandvägg behöver vi? Räcker det med antivirus eller behövs också EDR? Måste vi budgetera för DLP eller räcker det att vi har våra informationsklassificeringar i ordning? Men … inget skydd är hundra procent säkert. Inget vi köper och installerar kan helt säkert säga att vi inte kommer få problem när någon försöker attackera oss, eller att någon klickat på en länk i ett e-postmeddelande. Och vi vet alla att det händer, dessutom är det nästan alltid så att det är fel person som råkat klicka på fel länk. Just den personen som hade tillgång till den informationen som inte var säkerhetskopierad. Här kommer krisberedskapen in! Om vi har planerat och testat vår plan så är risken mycket mindre att vi drabbas av allvarliga konsekvenser när något händer!

Utgå ifrån dina processer!

Om ni har dokumenterade processer, bra! Då har ni ett perfekt material att utgå ifrån. Om inte, misströsta inte! Du kommer vinna massor på att göra en processinventering. Det behöver inte ens ta särskilt lång tid, tiden kommer gå åt först då du känner att du vill utveckla dina processer. Du kommer också märka att ni gör en del saker som nästan ingen (förutom den som utförde arbetet) viste att ni gjorde.

Nu kommer den roliga biten, för varje process, gå igenom alla steg och ställ frågorna. Om vi inte har tillgång till rätt information, vad händer då? Om vi inte kan utföra X, vad händer då? Och självklart, vad kan vi göra för att säkerställa att vi har informationen tillgänglig och att vi kan utföra X. Här får vi lov att tänka lite utanför boxen. Ofta kan vi tillåta att saker går lite långsammare, att vi kanske blir lite fördröjda med vissa saker. Bara vi inte stannar helt. Tänk också vilka manuella rutiner som skulle kunna hjälpa organisationen att fungera under en kris och vad som skulle behöva förberedas för att dessa manuella rutiner skulle kunna fungera.

Testa din plan!

Du måste testa din plan. Hur ska du annars veta att den fungerar? Du måste dessutom testa den regelbundet! Men, säger kanske någon, om vi testar planen så kan det få för stora konsekvenser på den normala driften. Det går inte! Visst, så kan det vara, det finns visa saker som vi inte kan testa men försök in i det längsta att konstruera din plan så att den går att testa. Otestade planer har en tendens att inte fungera i praktiken, när det väl händer. Jag skulle, utan att ha en riktigt bra undersökning bakom mig, vilja påstå att mer än femtio procent av alla planer som inte testats heller inte fungerar när de behövs som mest.

När du testat din plan så kommer du hitta smarta förbättringar. Dessutom kommer alla som varit med på testen att i högre grad veta vad de ska göra när krisen kommer. Det kommer kräva mindre av krisledaren.

Bra saker att tänka på:

• Se till att det finns en krisledare, någon som har högt förtroende i organisationen och som kommer våga (och ha mandat för) att ta svåra beslut. Se också till att det inte är enbart en person, vi kan alla vara otillgängliga vid fel tillfälle. Ha en lista på några stycken och deras kontaktuppgifter
• Kontaktlista: Skapa en kontaktlista till alla som kan tänkas vara viktiga att få kontakt med under en kris, gärna med alternativa metoder. Utgå ifrån att ni kan få problem med e-Post, mobiltelefonnät mm.
• Spara kontinuitetsplanen och kontaktlistan på flera ställen, om ett av ställena är på papper i en pärm så skapa en schemalagd rutin för att säkerställa att den är uppdaterad. Verifiera vid test eller övning att alla ställen har samma version av kontinuitetsplanen.
• Det är bättre att göra en plan än att göra den den bästa plan någon har sett någon gång. En plan är alltid bättre än ingen plan. Ta sedan för vana att minst en gång om året, exempelvis efter en test eller övning, sätta er ner en stund för att fundera på om det är något scenario (hotbild) ni missat och som ni skulle behöva förbereda er på.

Vill du veta mer om kontinuitetsplanering så är du välkommen att kontakta mig eller mina kollegor på Fujitsu ESC Sweden. Vi kan cybersäkerhet!

Henning Ankarudd
Lead Security Solution Architect
Fujitsu Sverige