Bygg en stabil grund för er incidenthanteringsplan på bara fyra veckor

Det är måndag morgon. En ransomwareattack har slagit ut hela organisationen. Ingen e-post. Inga Teams-möten. Ingen åtkomst till affärssystemen. Som tur är har en medarbetare fortfarande en utskriven version av incidenthanteringsplanen. Problemet? Planen är tre år gammal, skriven av någon som inte längre arbetar kvar i organisationen och beskriver en IT-miljö som sedan länge har förändrats. Samtidigt fortsätter klockan att ticka.

Det här är inget hypotetiskt skräckscenario. Det är verkligheten som incidentkoordinatorer och strategiska rådgivare regelbundet möter när de stöttar organisationer under en verklig cyberkris. På pappret finns det ofta en plan. I praktiken visar det sig alltför ofta att planen är inaktuell, okänd för organisationen eller aldrig har testats.

1. Planen är inaktuell

Ofta finns det någon form av dokumentation på plats. Problemet är att den inte längre speglar verkligheten. Planen kan vara baserad på en äldre IT-miljö, föråldrade system eller ansvarsområden som sedan dess har förändrats. Medarbetare har slutat, leverantörer har bytts ut och verksamhetskritiska processer har organiserats på nya sätt. När en organisation tvingas hantera en kris med hjälp av inaktuell information går värdefull tid förlorad.

2. Planen är okänd

I vissa fall är planen fortfarande relevant, men få känner till den. De personer som förväntas agera vid en incident har kanske aldrig läst dokumentet ordentligt, vet inte var det finns eller känner inte till sina roller och ansvarsområden. När snabbhet är avgörande uppstår osäkerhet.

Vem utlyser krisläge? Vem fattar besluten? Vem ansvarar för kommunikationen till medarbetare, kunder och samarbetspartners? Om detta inte är tydligt definierat i förväg uppstår förvirring direkt när incidenten inträffar.

3. Planen har aldrig testats

En incidenthanteringsplan kan se genomtänkt ut på papperet men ändå inte fungera i praktiken. Det blir ofta tydligt först under en övning. Fungerar den alternativa kommunikationskanalen när de ordinarie systemen ligger nere? Kan krisgruppen samlas tillräckligt snabbt? Klarar organisationen att fatta beslut under press?

Utan regelbundna tester bygger svaren på antaganden. Och när en verklig incident inträffar är det ofta improvisation som tar över.

Utgå från värsta tänkbara scenario

Många organisationer utformar sin incidenthanteringsplan utifrån ett scenario som fortfarande är hanterbart. En applikation slutar fungera. En leverantör är tillfälligt otillgänglig. Ett viktigt processflöde blir försenat. Men vid en ransomwareattack fungerar inte det synsättet.

I stället behöver man utgå från motsatsen: att allt ligger nere. Ingen e-post, ingen telefoni, kanske inget affärssystem och begränsad möjlighet att avgöra vilka system som fortfarande går att lita på.

Då förändras också fokus. Det handlar inte längre om att omedelbart återställa hela verksamheten, utan om att först säkerställa att organisationen kan fungera. Hur tar ni er igenom dagen rent operativt? Vilka verksamhetskritiska processer måste komma igång först? Hur organiserar ni beslutsfattande och kommunikation när de vanliga verktygen inte längre är tillgängliga?

Det kan låta drastiskt, men en användbar incidenthanteringsplan behöver inte vara perfekt. I en krissituation är det viktigare att planen fungerar i praktiken än att den är komplett i varje detalj.

Lägg grunden för effektiv incidenthantering på fyra veckor

Organisationer behöver inte lägga månader på att skapa en första, användbar grund för sin incidenthanteringsplan. Genom att fokusera på det viktigaste och börja i liten skala går det att göra stor skillnad redan på fyra veckor.

Vecka 1: Prioritera verksamhetskritiska processer

Den första veckan handlar om fokus. Vilka tre processer är så verksamhetskritiska att de måste återställas först vid en incident? Inte tio, inte fem utan tre.

För varje process behöver det också vara tydligt vilken miniminivå som krävs för att verksamheten ska fungera, hur länge ett avbrott kan accepteras och vem som ansvarar för återställning och beslutsfattande.

Vecka 2: Kartlägg beroenden

Under den andra veckan riktas fokus mot beroenden. För varje process kartläggs vilka personer, system, datakällor och externa leverantörer som krävs för att hålla verksamheten igång.

Det är ofta här organisationens sårbarheter blir tydliga. Många processer är dokumenterade utifrån att allt fungerar som vanligt, men inte för situationer där IT-systemen ligger nere. Därför är det också viktigt att identifiera hur processerna tillfälligt kan upprätthållas utan digitalt stöd.

Vecka 3: Skapa en kompakt plan

Den tredje veckan handlar om att ta fram själva planen. Det behöver inte vara ett omfattande dokument på flera dussin sidor. Ofta räcker det med två kortfattade dokument.

Det första beskriver vad som ska ske under den första timmen: vem som har mandat att utlysa krisläge, hur krisgruppen samlas, vilken alternativ kommunikationskanal som ska användas och vem som leder arbetet med återställning och beslutsfattande.

Det andra fokuserar på de första 24 timmarna: vad som är bekräftat, vad som fortfarande är osäkert, vilka alternativa arbetssätt som aktiveras, vem som kommunicerar med olika intressenter och vilka åtgärder som inte får skjutas upp för att undvika att situationen förvärras.

Vecka 4: Testa planen

Den fjärde veckan ägnas åt att testa planen. En incidenthanteringsplan som aldrig har övats är i praktiken bara ett antagande.

Två korta tabletop-övningar räcker ofta för att identifiera de viktigaste svagheterna. Den första övningen testar om organisationen kan utlysa krisläge och samla rätt personer inom femton minuter. Den andra visar om teamet kan prioritera, fatta beslut under press och agera framåt utan att fastna i långa diskussioner.

Även ledningen måste vara involverad

En viktig fördel med detta arbetssätt är att incidenthantering inte längre blir en ren IT-fråga. I många organisationer är planerna så tekniskt utformade att den organisatoriska och ledningsmässiga förankringen saknas. Samtidigt är det sällan de tekniska frågorna som är de mest avgörande under en kris.

Vilka processer ska återställas först? Vilka risker är organisationen beredd att tillfälligt acceptera? Vad ska kommuniceras till medarbetare, kunder och samarbetspartners? Och vem fattar besluten?

Utan aktiv involvering från ledning och styrelse förblir incidenthantering i praktiken omogen.

När en incidenthanteringsplan i stället byggs kring verksamhetsprocesser, prioriteringar och kommunikation skapas den nödvändiga förankringen. Och den är avgörande i en allvarlig krissituation.

Beredskap är viktigare än perfektion

Den som vill ta nästa steg i mognad kommer förr eller senare att investera i sådant som verksamhetskonsekvensanalys, aktuell dokumentation, tydliga rollfördelningar och regelbundna övningar. Men det får inte bli en anledning att vänta på den perfekta planen.

Det första steget är mindre och mer praktiskt än många organisationer tror. Målet är inte ett dokument som i teorin täcker allt, utan att du under en kris inte behöver börja från noll. Att du vet vem som behöver kopplas in, hur ni når varandra när de ordinarie kommunikationsvägarna inte fungerar och vilka processer som ska återstartas först.

Fyra veckor räcker.

Planera ett första möte

Vill ni diskutera hur er organisation kan bygga upp eller stärka en praktiskt fungerande incidenthanteringsplan? Vi hjälper gärna till att se hur det kan anpassas till er verklighet.