It-katastrofeplaner?

Rigtig mange mindre og mellemstore (SMB) virksomheder er dybt afhængige af deres it-systemer. De færreste virksomheder i SMB-segmentet har derimod systematisk gennemgået konsekvensen af, hvad der sker, hvis it-systemerne i en periode ikke kan anvendes, eller hvis it-systemerne bliver angrebet af hackere.

Hvis it-systemerne ikke fungerer, så er stor risiko for, at virksomheden taber overblikket over økonomien, regningerne kan ikke betales og kunderne ikke faktureres. I sidste ende kan det betyde noget for virksomhedens evne til at overleve krisen.

Virksomhedens image kan også tage skade af angreb på it-systemerne – f.eks. på hjemmesiden.

Eksempler:

1. Virksomheden tager daglig backup af sine data fra én maskine til en anden. En krise kunne udløses ved at:
1. Begge maskiner bliver stjålet under et indbrud, eller får en virus, der ødelægger dataene, eller ødelægges ved en brand/vandskade/lynnedslag etc
   
   
2. Virksomhedens hjemmeside overtages af en hacker, som anvender den til at sprede virus til de personer, der besøger siden.
   
3. Virksomhedens mailserver bliver overtaget af en hacker, der anvender virksomhedens mail adresser til at sprede SPAM og virus.
   
4. En nøglemedarbejder, der alene har passwords til økonomisystemet, dræbes i et trafikuheld.

Omfang af planlægning

Behøver virksomheder gennemgå en meget dyr og detaljeret planlægning? Svaret er kort og godt nej!

Virksomhederne bør sætte sig ned og definere de scenarier, der kan true deres it-systemer og dermed virksomhedens eksistens.

Scenarierne skal renskrives og, der skal udarbejdes en kort handleplan for de enkelte scenarier. Handleplanen kan bestå af huskelister, inventarlister, en oversigt over forsikringer samt kontakt og telefonlister, men de behøver ikke være lange og detaljerede.

Alt i alt vil det tage en erfaren konsulent et par arbejdsdage at afdække behovet og skrive en plan for de fleste SMB virksomheder. Sammen med planen vil der givetvis være nogle procedure, virksomheden skal indføre f.eks. anderledes håndtering af backup, passwords osv.

Hvad bør planen dække?

Þ En liste over kritiske hardware og software elementer,

Þ Definition af, hvor længe de enkelte elementer kan være nede, før det truer virksomhedens eksistens.

Þ Backup procedurer,

Þ Forhold ved angreb mod hjemmeside, infrastruktur eller andet,

Þ Håndtering af ikke elektroniske data,

Þ Hvad gør virksomheden ved brand eller en omfattende skade,

Þ Hvilken kritisk hardware og software råder virksomheden over?

Þ Virksomhedens definition af nøglepersoner og forhold mod koncentration af viden.

Þ En liste over nøglepersoner, håndværkere og samarbejdspartnere (forsikring, it-leverandører mv.).

Afprøvning

Planen bør afprøves mindst én gang årligt som en beredskabsøvelse, og den bør i den forbindelse ajourføres.

Sikkerhed

It sikkerhed har til formål at sikre it-systemernes og datas tilgængelighed, integritet og fortrolighed. Udarbejdelse af katastrofeplaner, som teknisk kaldes BCP (Business Continuity Planning), er en væsentlig del af it-sikkerheden.

BCP erstatter ikke den daglige sikkerhed i driften som antivirus systemer, firewalls, brand- og tyverialarmer og andre beskyttelsesforanstaltninger, men BCP er virksomhedens plan for, hvad de gør, hvis alle disse daglige tiltag fejler.

Anden udbredelse

Denne form for planlægning bør i øvrigt ikke begrænses til it-systemerne. For eksempel bør produktionsvirksomheder have plan for, hvad de gør, hvis produktionsapparatet eller dele deraf beskadiges.

Hvorfor planer?

Den berømte general Clausewitz siger: ”Ingen plan overlever den første kontakt med fjenden”. Hvad har det så at gøre med it-sikkerhedsplanlægning?

Hvis du definerer fjenden som et it-nedbrud eller som en hacker, så betyder en god plan, at du har noget at improvisere ud fra, selv om det ikke var helt det scenarie, du i første omgang planlagde foranstaltninger imod.

Du skal med andre ord ikke genopfinde den dybe tallerken på et tidspunkt, hvor du i forvejen har hænderne fulde. Dermed kommer du og din virksomhed hurtigere over krisen.

Derfor giver det mening for SMB-virksomheder at gennemføre en fornuftig planlægning også for it-katastrofer.

Forkortelser:

SMB = Small and Medium sized Businesses = Små og mellemstore virksomheder.