...
Planen lå i mappen. Systemerne var lavet om tre gange, siden den blev skrevet. Ingen havde prøvet den af.
De fleste beredskabsplaner besvarer det tekniske spørgsmål, altså hvordan data kommer tilbage. Det organisatoriske står sjældent i dem.
Hvem beslutter at lukke driften ned. Hvem taler med kunderne. Hvem underretter myndighed, og inden for hvilken frist.
Dansk Erhverv opgør, at kun 5 procent af danske virksomheder i høj grad kan opretholde deres kerneopgaver uden IT. Det er de timer, en beredskabsplan skal dække, og det er dem, de færreste har øvet.
Seksten sager fra arkivet viser, hvad der sker i netop de timer.
Fælles for dem er, at teknikken sjældent var det, der sinkede mest.
Planen er skrevet til systemerne, ikke til organisationen: Den beskriver genopretningsrækkefølgen. Den beskriver ikke, hvem der har mandat til at træffe beslutninger klokken tre om natten.
Kommunikationsvejen ligger i det, der er nede: Mail og telefoni hos samme leverandør som driften. Går driften ned, går beskeden til kunderne ned samtidig.
Fristerne er kortere, end de fleste tror: Efter NIS2 har I 24 timer til den første varsling. Efter persondataforordningen har I 72 timer til Datatilsynet. Samme angreb, to ure, der ikke nødvendigvis starter samtidig.
Planen følger ikke med systemerne: En migrering til skyen, et leverandørskifte eller en ny integration gør planen forældet. Det bemærker ingen, før den skal bruges.
Det er den del, der oftest bliver blandet sammen. Jeres advokat siger 72 timer. Jeres IT-chef siger 24. Begge har ret, fordi de taler om hver sin pligt.
NIS2 kræver en tidlig varsling inden 24 timer, en indledende vurdering inden 72 timer og en endelig rapport senest en måned efter. Uret starter, når I får kendskab til hændelsen. Ikke når I forstår den.
Persondataforordningen kræver anmeldelse til Datatilsynet uden unødig forsinkelse og om muligt inden 72 timer. Den udløses af noget andet, nemlig om personoplysninger er kompromitteret.
Derfor kan samme angreb udløse begge, kun den ene eller ingen af dem. Et ransomware-angreb, der lammer produktionen uden at berøre persondata, kan udløse NIS2-pligten alene. En mail sendt til den forkerte modtager kan udløse den anden alene.
Én ting overrasker de fleste. Et databrud kræver ikke, at nogen har hentet data ud. Krypterede filer tæller også, fordi data er gjort utilgængelige.
Fem sager om de første timer, hvor beslutninger skal træffes på ufuldstændige oplysninger.
Her fandtes planen. Den forudsatte bare, at man kunne få fat i hinanden.
Seks sager, hvor forskellen lå i, om der fandtes en manuel procedure og nogen, der havde prøvet den.
Den bliver skrevet én gang og lagt væk: Et dokument uden ejer og uden fast gennemgang er forældet inden for et år.
Den bliver aldrig prøvet af: En plan, der ikke er øvet, er et sæt formodninger. Øvelsen er det eneste, der viser, hvilke af dem der ikke holder.
Kontaktlisten ligger i systemet: Telefonnumre i et system, der er nede, er ikke en kontaktliste.
Ledelsen deltager ikke: Beslutninger om nedlukning, løsesum og offentlig kommunikation ligger hos ledelsen. Er ledelsen ikke med i øvelsen, er de beslutninger ikke øvet.
Ingen har afgjort, hvornår uret gik i gang: Fristen løber fra kendskab til hændelsen. Uden en aftale om, hvem der registrerer det tidspunkt, står I bagefter uden at kunne dokumentere, at I overholdt fristen.
En sikkerhedsmodenhedsvurdering måler, om beredskabet findes som praksis eller kun som dokument, og om I kan vise fremgang fra år til år over for en bestyrelse.
Skal selve planen skrives eller opdateres, hører det under IT-sikkerhedspolitik.
Jeg sælger ikke produkter og har ingen leverandørpartnerskaber. Vurderingen af jeres beredskab er derfor ikke en optakt til et værktøjssalg.
Det tekniske spørgsmål om, hvorvidt data overhovedet kan komme tilbage, behandles under ransomware og backup. Er det leverandøren og ikke jer, der er nede, er vinklen leverandørangreb.
Alle ni mønstre ligger samlet under cybersikkerhed.
Hvornår øvede I sidst en nedlukning med ledelsen i lokalet? Og hvad viste den?
Ring på 70 13 63 23 eller udfyld formularen.
Så tager vi en snak om jeres beredskab og finder ud af, om jeg kan hjælpe.
