Når cyberangrebet rammer, er beredskabsplanen ikke nok

På Folkemødet på Bornholm mødte jeg Claus Due fra virksomheden Procio, hvor vi begge deltog i CyberWalk. Her fortalte han om arbejdet med aktionskort til IT-beredskab – et enkelt værktøj, der skal hjælpe medarbejdere med at reagere hurtigt og korrekt, når en cyberhændelse opstår.

Samtalen gjorde indtryk, fordi den pegede på noget, som mange organisationer kan genkende: Selvom cybersikkerhed ofte forbindes med teknologi, software og avancerede systemer, handler de første kritiske minutter i høj grad om mennesker.

Folk får tunnelsyn, når panikken opstår. Det er præcis den samme mekanisme, som man ser ved fysiske ulykker. I situationen har medarbejderne ikke brug for at læse lange dokumenter. De har brug for noget konkret, der fortæller: Ser jeg situationen rigtigt? Hvad skal jeg gøre? Og hvad skal jeg lade være med at gøre?
- Claus Due.

Inspireret af førstehjælp

Tanken om at bruge aktionskort i IT-beredskabet udspringer af et format, som allerede bruges i førstehjælpsverdenen.

Gennem samarbejdet med Action-Cards® blev Claus Due introduceret til deres kort- og bogformat, som blandt andet anvendes til livreddere og førstehjælpssituationer, hvor mennesker under pres har behov for få, enkle og handlingsorienterede instruktioner. Han så hurtigt perspektivet i at overføre tankegangen til IT- og cybersikkerhed og udvikle indhold og scenarier til dette område.

"Jeg så, hvordan konceptet fungerede inden for førstehjælp, og tænkte: Hvorfor har vi ikke noget tilsvarende inden for cybersikkerhed? Når en cyberhændelse opstår, reagerer mennesker mentalt på samme måde som ved en fysisk nødsituation."

Ifølge Claus Due er udfordringen, at mange virksomheder er gode til at producere dokumentation, risikovurderinger og beredskabsplaner, men mindre gode til at omsætte dem til konkrete handlinger i hverdagen.

"Man mangler touchet ude i virksomheden. Det bliver nemt dokumentation for dokumentationens skyld."

Den største fejl er at vente

Når en cyberhændelse opstår, er teknologien kun en del af udfordringen.

En af de fejl, Claus Due ofte ser, er, at medarbejdere bruger for lang tid på at vurdere, om der overhovedet er et problem.

"Man tvivler på, om man står i en hændelse eller ej. Derfor lader man tiden gå. Man undersøger lidt mere, inden man siger noget. Og netop den forsinkelse kan være kritisk."

Derfor bygger arbejdet med aktionskort på et enkelt princip: Reagér hellere én gang for meget end én gang for lidt.

"Du skal hellere reagere end lade være. Det vigtigste er ikke nødvendigvis, at du løser problemet selv. Det vigtigste er, at du får fat i de rette kontaktpersoner med det samme."

Beredskab skal være synligt – og trænes

Mange virksomheder har allerede beredskabsplaner liggende på intranettet eller i mapper.

Problemet er bare, at de ofte ikke bliver brugt, når situationen opstår.

Derfor arbejder Procio med, at aktionskort og andre korte handlingsanvisninger skal være let tilgængelige dér, hvor medarbejderne befinder sig.

"De skal være ude på værkstedet, i administrationen og i frokoststuen. På samme måde som et førstehjælpsskab eller en hjertestarter. Fordi det er på samme niveau, man skal kunne reagere."

Kortene bruges samtidig som træningsværktøj, hvor medarbejdere løbende øver konkrete scenarier.

"Du træner ikke tunnelsynet gennem et awareness-program på en skærm. Du træner det ved at arbejde med konkrete situationer."

Phishing er et eksempel på en hændelse, hvor træningen kan gøre en konkret forskel. Særligt stadig mere overbevisende CEO-svindel, hvor kriminelle udgiver sig for at være ledere eller betroede samarbejdspartnere, kan være vanskelig at gennemskue.

"Vi kan se, at angrebene bliver mere sofistikerede. Svindlerne bruger oplysninger fra LinkedIn og sociale medier, så henvendelserne ser mere troværdige ud."

Ifølge Claus Due viser erfaringerne, at medarbejdere, der træner konkrete scenarier, bliver bedre til at opdage mistænkelige henvendelser og hurtigere rapporterer hændelser videre.

Fire spørgsmål alle medarbejdere bør kunne svare på

Et centralt princip i operationelt IT-beredskab er, at medarbejdere hurtigt skal kunne svare på fire enkle spørgsmål:

1. Hvad skal jeg være opmærksom på?
2. Hvad skal jeg gøre i situationen?
3. Hvem skal jeg kontakte?
4. Hvad skal jeg undlade at gøre?

Det lyder måske enkelt. Men netop enkelheden er ifølge Claus Due afgørende, når situationen er alvorlig, og beslutninger skal træffes hurtigt.

Ledelsen skal eje opgaven

En pointe, Claus Due vender tilbage til flere gange, er ledelsens ansvar.

For mange steder bliver cybersikkerhed fortsat betragtet som et teknisk spørgsmål. Det er en fejl, mener han.

"Cybersikkerhed er en forretningsmæssigt essentiel disciplin. Derfor må ledelsen ikke overlade den til en tekniker alene."

Hvis cybersikkerheden skal forankres ordentligt, kræver det ifølge ham et samarbejde mellem ledelse, kvalitetsansvarlige og IT-specialister.

"Når de tre roller arbejder sammen, bliver sikkerheden forankret både i forretningen, processerne og det tekniske setup."

Start med de vigtigste risici

Hvis Claus Due skulle overtage cybersikkerheden i en gennemsnitlig dansk virksomhed i morgen, ville han ikke starte med store projekter eller komplicerede systemer.

Han ville begynde med at identificere virksomhedens største risici og derefter tage konkrete skridt.

"Det værste er at starte for stort. Tag en halv dag, identificér de vigtigste risici, lav en enkel plan og kom i gang."

Han undrer sig samtidig over, at så mange virksomheder stadig venter på et lovkrav eller et kundekrav, før de handler.

"Vi ved jo godt, at cybersikkerhed er vigtigt. Så hvorfor vente? Hvorfor går man ikke bare i gang?" spørger han.

Fra planer til handling

Noget af det mest interessante ved samtalen med Claus Due er måske ikke selve værktøjet, men tankegangen bag det.

I mange organisationer findes der allerede politikker, procedurer og beredskabsplaner. Udfordringen er ofte at få dem omsat til handling i den virkelige verden, når medarbejdere står i en presset situation.

Her peger arbejdet med aktionskort på en vigtig læring, som rækker langt ud over det enkelte format: Mennesker handler bedre, når ansvar, kontaktveje og handlemuligheder er enkle, synlige og trænede på forhånd.

Hvis læserne kun skal tage én ting med fra interviewet, er det måske netop dette budskab:

Cybersikkerhed handler ikke kun om teknologi. Det handler om mennesker, ledelse og evnen til at reagere, når noget går galt.

Aktionskort og scenarietræning er eksempler på, hvordan man kan gøre beredskab konkret og operationelt. Andre organisationer vil måske vælge andre metoder. Fællesnævneren er imidlertid den samme: Vent ikke på næste lovkrav eller næste cyberhændelse. Begynd med det vigtigste, skab en klar handleplan og forankr arbejdet i hele organisationen.

Læs mere på procio.dk om IT-beredskab og aktionskort.