…

Beredskabsplanen

Hvorfor organisationen står stille, selvom systemerne kommer tilbage

Planen lå i mappen. Systemerne var lavet om tre gange, siden den blev skrevet. Ingen havde prøvet den af.

De fleste beredskabsplaner besvarer det tekniske spørgsmål, altså hvordan data kommer tilbage. Det organisatoriske står sjældent i dem.

Hvem beslutter at lukke driften ned. Hvem taler med kunderne. Hvem underretter myndighed, og inden for hvilken frist.

Dansk Erhverv opgør, at kun 5 procent af danske virksomheder i høj grad kan opretholde deres kerneopgaver uden IT. Det er de timer, en beredskabsplan skal dække, og det er dem, de færreste har øvet.

Seksten sager fra arkivet viser, hvad der sker i netop de timer.

Fælles for dem er, at teknikken sjældent var det, der sinkede mest.

Hvorfor det gentager sig

Planen er skrevet til systemerne, ikke til organisationen: Den beskriver genopretningsrækkefølgen. Den beskriver ikke, hvem der har mandat til at træffe beslutninger klokken tre om natten.

Kommunikationsvejen ligger i det, der er nede: Mail og telefoni hos samme leverandør som driften. Går driften ned, går beskeden til kunderne ned samtidig.

Fristerne er kortere, end de fleste tror: Efter NIS2 har I 24 timer til den første varsling. Efter persondataforordningen har I 72 timer til Datatilsynet. Samme angreb, to ure, der ikke nødvendigvis starter samtidig.

Planen følger ikke med systemerne: En migrering til skyen, et leverandørskifte eller en ny integration gør planen forældet. Det bemærker ingen, før den skal bruges.

To pligter, to modtagere, to tærskler

Det er den del, der oftest bliver blandet sammen. Jeres advokat siger 72 timer. Jeres IT-chef siger 24. Begge har ret, fordi de taler om hver sin pligt.

NIS2 kræver en tidlig varsling inden 24 timer, en indledende vurdering inden 72 timer og en endelig rapport senest en måned efter. Uret starter, når I får kendskab til hændelsen. Ikke når I forstår den.

Persondataforordningen kræver anmeldelse til Datatilsynet uden unødig forsinkelse og om muligt inden 72 timer. Den udløses af noget andet, nemlig om personoplysninger er kompromitteret.

Derfor kan samme angreb udløse begge, kun den ene eller ingen af dem. Et ransomware-angreb, der lammer produktionen uden at berøre persondata, kan udløse NIS2-pligten alene. En mail sendt til den forkerte modtager kan udløse den anden alene.

Én ting overrasker de fleste. Et databrud kræver ikke, at nogen har hentet data ud. Krypterede filer tæller også, fordi data er gjort utilgængelige.

Uret starter, før nogen har overblik

Fem sager om de første timer, hvor beslutninger skal træffes på ufuldstændige oplysninger.

• Klokken 02.40 ringer telefonen, og I har 24 timer: De 24 timer er en yderste grænse. Loven skriver uden unødigt ophold. En hændelse er væsentlig, allerede hvis den kan forårsage alvorlige driftsforstyrrelser.
• Samme angreb, to anmeldelsespligter: To modtagere og to tærskler. De udløses af hver sit spørgsmål.
• Hackerne holder ikke juleferie: Angrebene lægges i weekender og helligdage, hvor bemandingen er lavest og beslutningsvejen længst.
• Koncernen bad de berørte om selv at sende legitimation: Over 100 institutioner var berørt. Krisekommunikationen blev improviseret undervejs.
• En måned mellem alarm og offentlighed: Aftal på forhånd, hvem der udtaler sig, og hvem der anmelder til Datatilsynet.

Kommunikationen gik ned sammen med driften

Her fandtes planen. Den forudsatte bare, at man kunne få fat i hinanden.

• Krisekommunikationsplanen dækkede egne systemer, ikke skyen: Ligger mail og telefoni hos samme leverandør som driften, forsvinder begge dele samtidig.
• Mobilnettet er kriseredskabet, og det kan være væk: Styrelsen for Samfundssikkerhed hævede i 2025 trusselsniveauet for cyberaktivisme mod telesektoren.
• Overbelastningsangreb mod danske organisationer: Styrelsen for Samfundssikkerhed melder om mange angreb mod virksomheder, myndigheder og kommuner.
• Tre nedbrud på tretten måneder uden et eneste angreb: Beredskabet skal også dække de nedbrud, ingen har forårsaget med vilje.
• Jeres største kunde blev hacket: 18 milliarder kroner i skade. Planen skal også dække de dage, hvor det ikke er jer, der er nede.

Organisationen fandt en vej udenom

Seks sager, hvor forskellen lå i, om der fandtes en manuel procedure og nogen, der havde prøvet den.

• Europas største fiskerihavn gik over til papir: Der fandtes en analog nødprocedure. Det var forskellen på nedsat drift og ingen drift.
• 600 medarbejdere sendt hjem: Uden en manuel procedure stopper produktionen, i samme øjeblik systemerne gør.
• 170 lufthavne deler samme software: Da platformen gik ned, blev check-in håndteret i hånden i de lufthavne, der havde øvet det.
• 86 procent af hospitalslederne tvivler på 72 timer: Tallet kommer fra en rundspørge blandt 284 europæiske hospitalsledere.
• Ledelsen hæfter personligt efter NIS2: Beredskab er dermed ikke længere en opgave, der kan uddelegeres til IT alene.
• 1,2 milliarder til totalberedskab: Den nationale indsats forudsætter, at hver organisation kan klare sig selv de første døgn.

Hvad der går galt, når planen skrives

Den bliver skrevet én gang og lagt væk: Et dokument uden ejer og uden fast gennemgang er forældet inden for et år.

Den bliver aldrig prøvet af: En plan, der ikke er øvet, er et sæt formodninger. Øvelsen er det eneste, der viser, hvilke af dem der ikke holder.

Kontaktlisten ligger i systemet: Telefonnumre i et system, der er nede, er ikke en kontaktliste.

Ledelsen deltager ikke: Beslutninger om nedlukning, løsesum og offentlig kommunikation ligger hos ledelsen. Er ledelsen ikke med i øvelsen, er de beslutninger ikke øvet.

Ingen har afgjort, hvornår uret gik i gang: Fristen løber fra kendskab til hændelsen. Uden en aftale om, hvem der registrerer det tidspunkt, står I bagefter uden at kunne dokumentere, at I overholdt fristen.

Hvad I kan gøre

1. Sæt navn på beslutningerne: Hvem lukker driften ned, hvem udtaler sig, hvem anmelder. Med stedfortræder, fordi angreb sjældent kommer i arbejdstiden.
2. Læg kontaktlisten på papir og uden for jeres egne systemer: Med leverandører, forsikring, myndigheder og de tre vigtigste kunder.
3. Øv de to frister på samme øvelse: 24 timer efter NIS2 og 72 timer til Datatilsynet, med det materiale I faktisk vil have på det tidspunkt.
4. Beskriv den manuelle procedure for jeres kerneydelse: Hvordan leverer I i et døgn uden systemer. Havnene og lufthavnene i sagerne ovenfor havde svaret på forhånd.
5. Gennemgå planen, næste gang I skifter et kritisk system: En migrering eller et leverandørskifte er det tidspunkt, planen bliver forældet.

Hvilken ydelse afdækker det

En sikkerhedsmodenhedsvurdering måler, om beredskabet findes som praksis eller kun som dokument, og om I kan vise fremgang fra år til år over for en bestyrelse.

Skal selve planen skrives eller opdateres, hører det under IT-sikkerhedspolitik.

Jeg sælger ikke produkter og har ingen leverandørpartnerskaber. Vurderingen af jeres beredskab er derfor ikke en optakt til et værktøjssalg.

Beslægtede mønstre

Det tekniske spørgsmål om, hvorvidt data overhovedet kan komme tilbage, behandles under ransomware og backup. Er det leverandøren og ikke jer, der er nede, er vinklen leverandørangreb.

Alle ni mønstre ligger samlet under cybersikkerhed.

Find ud af, om jeres beredskab holder

Hvornår øvede I sidst en nedlukning med ledelsen i lokalet? Og hvad viste den?

Ring på 70 13 63 23 eller udfyld formularen.

Så tager vi en snak om jeres beredskab og finder ud af, om jeg kan hjælpe.