Beredskabsplan

Nødplan, beredskabsplan og kontinuitetsplan

Styrelsen for Samfundssikkerhed skelner på sikkerdigital.dk mellem tre niveauer, og det er en nyttig måde at tænke på:

• Nødplan: Et kort dokument med få trin og de vigtigste kontakter. Det er minimum. Styrelsen har en skabelon i fem trin målrettet virksomheder med under 50 ansatte uden egen IT-sikkerhedsmedarbejder, udviklet sammen med politiet.
• IT-beredskabsplan: Beskriver, hvad der skal ske, hvis bestemte systemer bliver ramt – herunder rækkefølgen for genetablering og hvem der gør hvad.
• Kontinuitetsplan: En plan B for forretningen: Hvordan løser I de vigtigste opgaver manuelt eller på anden vis, mens systemerne er nede?

Det skal planen som minimum svare på

• Roller: Hvem leder krisen, hvem taler med IT-partneren, og hvem kommunikerer med medarbejdere og kunder? Og hvem er stedfortræder?
• Kontakter: IT-partner, systemleverandører, forsikring, bank, politi og Cyberhotline – med telefonnumre, ikke kun mailadresser.
• Prioritering: Hvilke systemer skal op først? Her bruges jeres mål for RTO og RPO.
• Data og backup: Hvor ligger backuppen, hvem kan starte en gendannelse, og hvor lang tid tager den?
• Kommunikation: Hvordan når I medarbejdere og kunder, hvis mail og Teams ikke virker?
• Myndigheder: Hvornår skal en hændelse anmeldes – til politiet, til Datatilsynet, eller efter særlige regler for jeres branche?

Persondata og myndigheder

Mange IT-hændelser er også brud på persondatasikkerheden – ikke kun når data bliver stjålet, men også når de bliver utilgængelige. Datatilsynet nævner ransomware som eksempel: Når data krypteres, er der som minimum tale om et brud på integritet og tilgængelighed, indtil de er gendannet fra backup.

Et brud skal anmeldes til Datatilsynet uden unødig forsinkelse og om muligt senest 72 timer efter, at I er blevet bekendt med det – medmindre det er usandsynligt, at bruddet indebærer en risiko for de berørte personer. Fristen er en god grund til at have skrevet ned på forhånd, hvem der vurderer og anmelder. Virksomheder omfattet af NIS2 eller andre sektorregler kan have yderligere krav.

Sådan bliver planen brugbar i praksis

Sikkerdigital.dk anbefaler at udfylde nødplanen, før noget sker, printe den og placere den, så alle medarbejdere kan finde den – men ikke offentligt, fordi den indeholder leverandørers kontaktoplysninger. En plan, der kun ligger på fællesdrevet, er utilgængelig, netop når fællesdrevet er krypteret.

Planen skal også øves. Styrelsen foreslår at gennemgå nødplanen på et personalemøde én gang om året og at inddrage IT-leverandøren. Til mere realistiske øvelser har styrelsen udviklet actioncards med angrebsscenarier til mindre virksomheder. Opdatér planen efter hver øvelse og ved ændringer i systemer, leverandører eller personale.

Typiske misforståelser

• “Vi har backup, så vi har beredskab.” Backup er en forudsætning, men ikke en plan for, hvem der beslutter og handler.
• “Det klarer IT-leverandøren.” Leverandøren kan genetablere systemerne, men ikke beslutte, hvad der skal prioriteres, eller tale med jeres kunder og myndigheder.
• “Planen skal være lang.” En kort plan, som alle kender, er mere værd end en lang, som ingen har læst.

Spørgsmål I kan stille

• Hvem træffer beslutningerne, hvis IT'en er nede i morgen tidlig – og hvem er stedfortræder?
• Kan vi finde kontaktoplysningerne til IT-partner og forsikring uden adgang til mail og fællesdrev?
• Hvilke systemer skal op først, og ved vi, hvor lang tid det tager?
• Hvem vurderer, om en hændelse skal anmeldes til Datatilsynet inden for 72 timer?
• Hvornår har vi sidst øvet planen?

Hvornår giver det mening at få hjælp?

Det giver mening at få hjælp til at koble planen sammen med jeres faktiske systemer og backup, så rækkefølge og tidsforventninger er realistiske. Furesø Data kan hjælpe med IT-delen af planen og deltage i en øvelse; ansvaret for beslutninger og kommunikation ligger hos jeres ledelse.

Spørgsmål og svar

Relaterede ord