Når IT stopper: beredskapsplan for småbedrifter
Når e-post, nett eller en viktig PC stopper, er det for sent å begynne å diskutere hvem som bestemmer og hvilke systemer som haster mest. En enkel beredskapsplan gir småbedriften et felles startpunkt og gjør det lettere å få riktig hjelp tidlig.
Begynn med risikoen, ikke med utstyret
Den vanligste svakheten er ikke nødvendigvis manglende teknologi. Det er at virksomheten ikke har vurdert hva en driftsstans faktisk betyr. Start derfor med arbeidsprosessene: Hva må fungere for at dere kan betjene kunder, motta bestillinger, sende faktura og kommunisere?
Lag en prioritert liste over e-post, internett, regnskap, fagsystemer, filtilgang, telefon og eventuelle nøkkelmaskiner. Noter hvor lenge hver tjeneste kan være utilgjengelig før konsekvensen blir alvorlig, og hva en akseptabel midlertidig løsning er. NSMs grunnprinsipper starter nettopp med å identifisere og kartlegge, og NSM understreker at tiltakene må tilpasses den enkelte virksomheten.
En slik gjennomgang trenger ikke bli et stort prosjekt. Trønder Data har også beskrevet en praktisk tilnærming til risikoanalyse for små og mellomstore virksomheter.
Avklar roller og fullmakter før noe stopper
Når flere prøver tilfeldige løsninger samtidig, blir feilsøkingen vanskeligere. Bestem på forhånd hvem som leder situasjonen, hvem som samler fakta, hvem som informerer ansatte eller kunder, og hvem som kan godkjenne midlertidige tiltak.
Utpek også en intern kontaktperson som kan være fysisk til stede og følge instruksjoner fra IT-leverandøren. Vedkommende trenger ikke være tekniker, men bør vite hvor nettverksutstyret står, kunne beskrive lys og feilmeldinger og utføre avtalte kontroller uten å improvisere.
Ekstern IT-hjelp bør ha avklart fullmakt til å kontakte internett- og systemleverandører på virksomhetens vegne. Hvis en leverandør nekter å dele informasjon midt i hendelsen fordi autorisasjonen mangler, går verdifull tid tapt. Kritiske systemer, kontaktpunkter, fullmakter og eskaleringsvei bør derfor dokumenteres før en serviceavtale inngås.
Gjør planen tilgjengelig når de vanlige systemene er nede
Hvis e-posten er utilgjengelig, hjelper det lite at kontaktlisten og planen bare ligger i innboksen. Oppbevar en kontrollert kopi utenfor systemene som planen skal hjelpe dere med å gjenopprette. Den kan inneholde interne roller, leverandører, avtalenumre og kjente kontaktkanaler, men aldri passord eller gjenopprettingskoder.
En søkbar kunnskapsbase kan gjøre prosedyrer enklere å finne, og digitale assistenter kan hjelpe ansatte med å finne fram til riktig dokumentasjon. Det erstatter likevel ikke medarbeidere som kjenner virksomheten og kan vurdere om rådet passer i situasjonen. Tilganger til dokumentasjonen må styres, og ansatte må vite hvor den finnes også når det haster.
Planlegg alternativ kommunikasjon og nettilgang
Avklar hvordan ansatte og leverandører skal kommunisere hvis e-post eller kontornett er nede. Bruk kjente telefonnumre og på forhånd godkjente kanaler. Ikke flytt kundedata eller passord til private meldingstjenester bare fordi det haster.
For virksomheter som er helt avhengige av internett, kan en separat mobilforbindelse være et nyttig reservetiltak. En 5G-ruter kan gi midlertidig nettilgang og gjøre fjernhjelp mulig, men bare dersom mobildekning, strøm, utstyr og kapasitet er testet på forhånd. En reserve som bruker samme sårbare utstyr eller aldri blir prøvd, er ikke en reell beredskapsløsning.
Skriv ned stoppreglene
Planen bør også si hva ansatte ikke skal gjøre. Ikke slett kontoer, formater maskiner, endre nettverksoppsett, bytt alle passord eller installer tilfeldige verktøy før årsaken er forstått. Slike tiltak kan ødelegge spor, hindre gjenoppretting eller gjøre en enkel feil større.
Ved mistanke om innbrudd, løsepengevirus eller uautorisert tilgang må isolering og bevaring av informasjon skje kontrollert. Hvem som kan koble fra utstyr eller sperre kontoer bør være avklart i planen, sammen med hvem som skal varsles.
Bruk den første timen til å få oversikt
En kort førstehjelpssjekk gir IT-hjelpen et bedre startpunkt:
- Hva virker ikke, når startet det, og hvem er berørt?
- Gjelder feilen én bruker, én PC, ett nettverk eller alle?
- Skjedde det en oppdatering, et strømbrudd eller en annen kjent endring først?
- Finnes det feilmeldinger som kan noteres uten å dele passord eller sensitive opplysninger?
- Er det tegn til mistenkelig aktivitet, uventede innlogginger eller krypterte filer?
- Hvilke kritiske oppgaver må holdes i gang med en midlertidig løsning?
Noter tidspunkt, observasjoner og tiltak fortløpende. Da slipper neste person å starte på nytt, og virksomheten får et bedre grunnlag for å forstå hendelsen i etterkant.
Test gjenoppretting, ikke bare backupjobben
En grønn status på en backupjobb beviser ikke at virksomheten kan komme tilbake i drift. Avklar hvilke data og systemer som er med, hvor langt tilbake dere kan gå, hvor raskt de viktigste tjenestene må kunne gjenopprettes, og hvem som har myndighet til å starte arbeidet.
Test en faktisk gjenoppretting med jevne mellomrom. E-post, regnskapsdata, nettsider, databaser, dokumentmaler og konfigurasjoner kan være like viktige som vanlige filer. Les også Trønder Datas gjennomgang av hva små bedrifter bør ha på plass for å være tryggere digitalt.
Vurder personvern og meldeplikt
Dersom hendelsen kan ha påvirket personopplysninger, må virksomheten vurdere om det har skjedd et brudd på personopplysningssikkerheten. Datatilsynet beskriver hvordan slike avvik skal vurderes og håndteres. Planen bør derfor angi hvem som gjør risikovurderingen, hvem som dokumenterer hendelsen og hvem som avgjør om den skal meldes.
Avtal hjelpen før den trengs
Ad hoc-hjelp kan fungere for små enkeltsaker. Ved nedetid er det en fordel at leverandøren allerede kjenner miljøet, de kritiske tjenestene og de avtalte fullmaktene. Virksomheten må på sin side forklare hva som er viktig, hvilke prosedyrer IT-leverandøren skal følge og hvem som skal kontaktes.
For noen passer en fast serviceavtale. For andre holder det med en mindre timebank og tydelig prioritering. Les mer om forskjellen mellom serviceavtale og enkel lisensadministrasjon, og hvorfor timebank kan være rimeligere enn ren ad hoc-hjelp.
Øv kort og regelmessig
En plan ingen har lest, gir liten hjelp. Gå gjennom den i korte, faste møter og bruk enkle scenarioer: Hva gjør vi hvis e-post og internett stopper samtidig? Hvem ringer leverandøren hvis den vanlige kontaktpersonen er borte? Hvor finner vi kontaktlisten?
NSMs råd om håndtering og gjenoppretting legger vekt på tydelige roller, opplæring, testing og jevnlig revisjon. For en liten virksomhet kan dette samles på én side med:
- kritiske tjenester og prioritert rekkefølge
- roller, fullmakter og eksterne kontaktpunkter
- alternativ kommunikasjon og eventuell reserveforbindelse
- stoppregler og sjekkliste for første time
- backup, gjenoppretting og personvernvurdering
- dato for siste test og neste gjennomgang
Det viktigste er ikke hvor omfattende dokumentet er. Det viktige er at planen bygger på en faktisk risikovurdering, er tilgjengelig når systemene svikter, og er kjent av menneskene som skal bruke den.
