Besta leiðin til að tryggja rekstrarsamfellu fyrirtækis

Efnisyfirlit

• Hvað er rekstrarsamfella og af hverju skiptir hún máli?
• Áhættumat og greining mögulegra truflana
• Rekstraráhrifagreining (BIA) og forgangsröðun mikilvægrar starfsemi
• Áætlun um rekstrarsamfellu skref fyrir skref
• Afritun gagna fyrir fyrirtæki og endurheimt gagna
  • Hversu oft á að taka afrit og hvernig prófar maður endurheimt
• Viðbragðsáætlun vegna netárásar og kerfisbilunar
• Hvernig þitt fyrirtæki byrjar í dag
• Algengar spurningar

Afritun gagna og rekstrarsamfella: hvar byrjar þú?

Síðast uppfært: 7. nóvember 2026

Hvað er rekstrarsamfella og af hverju skiptir hún máli?

Rekstrarsamfella er geta fyrirtækis til að halda mikilvægri starfsemi gangandi þegar truflun verður, hvort sem það er bilun í netþjóni, netárás eða rafmagnsleysi.

Þegar kerfi stöðvast stöðvast oft sala, afgreiðsla og samskipti við viðskiptavini. Kostnaðurinn fer þá fljótt að telja, bæði í töpuðum tekjum og í tíma starfsfólks sem reynir að koma hlutunum aftur í gang. Þess vegna er rekstrarsamfella ekki bara tæknilegt verkefni heldur stjórnunarlegt.

Fyrirtæki sem hafa skilgreint hvaða starfsemi má ekki stöðvast og hversu hratt hún þarf að komast aftur í gang bregðast mun markvissar við þegar eitthvað bilar. Það er grunnurinn að öllu sem fylgir í þessari handbók.

Áhættumat og greining mögulegra truflana

Áhættumat svarar þeirri spurningu hvað gæti stöðvað reksturinn, hversu líklegt það er og hversu illa það myndi koma við fyrirtækið. Byrjaðu á að skrá helstu ógnir í töflu þar sem hver ógn fær einkunn fyrir líkur og afleiðingar á kvarðanum einn til fimm. Margfaldaðu einkunnirnar saman til að fá áhættustig og raðaðu ógnunum eftir því. Ógnir með háa einkunn í báðum þáttum eiga að fá forgang í áætluninni og fjármagni.

Skiptu ógnunum í þrjá flokka til að tryggja að engin gleymist:

1. Tæknilegar ógnir: bilun í netþjónum, diskabilun, ransomware, netárásir, bilun í netbúnaði og villur í uppfærslum.
2. Ótæknilegar ógnir: rafmagnsleysi, vatnstjón, eldur, þjófnaður, mannleg mistök og veikindi lykilstarfsmanna.
3. Ytri ógnir: bilun hjá birgjum, net- og fjarskiptabilanir, flutningsvandræði og breytingar á regluverki.

Fyrir hverja ógn skaltu skrá hvaða kerfi og ferla hún hefur áhrif á, hver er eigandi ógnarinnar og hvaða fyrirbyggjandi aðgerð er þegar til staðar. Þetta gerir áhættumatið að lifandi skjali sem hægt er að uppfæra, ekki einstaka æfingu.

Hagnýtt dæmi: fyrirtæki með 25 starfsmenn sem skráir 15 ógnir kemst oft að því að þrjár til fjórar þeirra bera meirihluta áhættunnar. Það gerir ráðstöfun fjármagns mun skýrari en að reyna að verja sig fyrir öllu á sama tíma.

Varúð: Algeng mistök eru að meta aðeins þær ógnir sem hafa þegar gerst. Spyrðu einnig hvað myndi gerast ef lykilstarfsmaður væri frá í tvær vikur, ef þjónustuveitandi hætti starfsemi eða ef rafmagnsleysi stæði yfir í heilan vinnudag. Þessar sviðsmyndir koma oft í ljós sem stærstu áhætturnar.

Íslenskt samhengi: hér á landi þarf að hafa í huga að jarðskjálftar, eldgos og óveður geta valdið rafmagns- og fjarskiptatruflunum á einum stað en haft keðjuáhrif á landsbyggðina. Fyrirtæki sem treysta á eina nettengingu eða eitt gagnaver ættu að meta það sérstaklega. Einnig er vert að skoða hvort birgjar og þjónustuaðilar hafi eigin rekstrarsamfelluáætlun, því bilun hjá þeim getur stöðvað þína starfsemi þótt ekkert hafi klikkað hjá þér.

Skráðu niðurstöðurnar í einfalt skjal með dálkum fyrir ógn, líkur, afleiðingar, áhættustig, áhrif á kerfi, eiganda og aðgerð. Endurskoðaðu matið að minnsta kosti árlega og þegar ný kerfi, birgjar eða starfsfólk koma inn í reksturinn.

Rekstraráhrifagreining (BIA) og forgangsröðun mikilvægrar starfsemi

Rekstraráhrifagreining (BIA) mælir hvað hver truflun kostar. Fyrir hverja mikilvæga þjónustu skaltu skilgreina tvö gildi: RTO, sem er hámarkstími þar til þjónustan þarf að vera komin aftur í gang, og RPO, sem er hámarks gagnatap sem fyrirtækið þolir mælt í tíma.

Dæmi: ef pöntunarkerfið má ekki liggja niðri meira en fjórar klukkustundir (RTO) og má ekki tapa meira en einnar klukkustundar gögnum (RPO), þá þarf afritun og endurheimt að mæta þeim tölum. Bókhald sem má bíða í tvo daga þarf ekki sömu meðhöndlun.

Raðaðu starfseminni eftir þessum gildum. Efst eru þjónustur með stysta leyfilega stöðvunartíma og mestan fjárhagslegan skaða. Þessi röð ræður í hvaða röð kerfin eru endurreist.

Áætlun um rekstrarsamfellu skref fyrir skref

Þegar áhættumat og BIA liggja fyrir er kominn tími til að skrifa áætlunina sjálfa. Hún þarf að vera stutt, skýr og aðgengileg þeim sem eiga að framkvæma hana undir álagi.

Fylgdu þessum skrefum:

1. Skilgreindu ábyrgð. Tilgreindu hver tekur ákvörðun um virkjun áætlunarinnar og hver hefur samskipti við starfsfólk og viðskiptavini.
2. Skráðu verkferla fyrir hverja mikilvæga þjónustu. Hver þarf skref sem hægt er að fylgja án þess að vita allt um kerfið.
3. Tilgreindu varaleiðir. Þar á meðal varakerfi, handvirka ferla og tengiliði hjá birgjum.
4. Skilgreindu samskiptaleiðir. Hver fær upplýsingar, hvenær og á hvaða rás.
5. Prófaðu áætlunina. Borðæfing með lykilfólki í klukkustund afhjúpar oft göt sem greining á blaði missir af.
6. Endurskoðaðu reglulega. Breytingar á kerfum og starfsfólki gera áætlunina úrelta hratt.

Afritun gagna fyrir fyrirtæki og endurheimt gagna

Afritun er oft fyrsta og mikilvægasta vörnin í rekstrarsamfellu. Þegar gögn tapast án afrits er engin leið til baka, sama hversu góð áætlunin er að öðru leyti.

Fylgdu þreföldu reglunni sem margir sérfræðingar mæla með: þrjú eintök af gögnum, á tveimur ólíkum miðlum, með einu eintaki utan staðarins. Þetta dregur úr hættu á að eldur, þjófnaður eða netárás eyði öllum afritunum í einu.

Afritun er aðeins gagnleg ef hægt er að endurheimta gögnin. Þess vegna þarf að tilgreina hvaða gögn eru afrituð, hvar þau eru geymd og hversu hratt hægt er að sækja þau.

Hversu oft á að taka afrit og hvernig prófar maður endurheimt

Tíðni afrita ræðst af RPO-gildinu. Ef fyrirtækið þolir ekki meira en klukkustundar gagnatap þarf afrit að minnsta kosti á klukkustundar fresti fyrir mikilvæg gögn. Fyrir gögn sem breytast sjaldan nægir dagleg afritun.

Afrit sem aldrei hefur verið prófað er ekki áreiðanlegt. Prófaðu endurheimt mikilvægra viðskiptagagna reglulega og staðfestu að afrit og ferli virki áður en bilun kemur upp. Prófaðu endurheimt reglulega, til dæmis með því að endurheimta valið skjal eða gagnagrunn á prófunarumhverfi og athuga hvort það opnast og innihaldi réttar upplýsingar. Gerðu þetta að fastri venju, ekki aðeins þegar eitthvað hefur farið úrskeiðis.

Eftirfarandi tafla dregur saman þrjár grunnreglur um afritun gagna.

Regla	Hvað felst í því	Dæmi
Þreföld regla	Þrjú eintök af gögnum	Þrjú eintök
Ólíkir miðlar	Afrit á tveimur ólíkum miðlum	Tveir miðlar
Utan staðarins	Eitt eintak geymt utan staðarins	Eitt eintak utan staðarins

Viðbragðsáætlun vegna netárásar og kerfisbilunar

Netárásir, sérstaklega ransomware, eru ein algengasta orsök langvarandi rekstrarstöðvunar hjá litlum og meðalstórum fyrirtækjum. Viðbragðsáætlun þarf að segja nákvæmlega hvað starfsfólk gerir fyrstu klukkustundirnar, hver tekur ákvarðanir og hvernig samskiptum er háttað. Hún á að vera prentuð og aðgengileg utan netsins, því ekki er víst að hægt sé að opna hana í tölvunni þegar kerfin liggja niðri.

Fyrstu klukkustundirnar skipta sköpum. Fylgdu þessari tímalínu:

1. Einangraðu sýkt kerfi. Taktu það af netinu með því að slökkva á vír- eða þráðlausri tengingu, en slökktu ekki á því fyrr en búið er að tryggja sönnunargögn ef það er mögulegt.
2. Tilkynntu ábyrgðaraðila. Sá sem stýrir viðbragðinu kallar saman lykilfólk og metur hvort virkja eigi áætlunina.
3. Stöðvaðu útbreiðslu. Athugaðu hvort fleiri kerfi sýni sömu einkenni og einangraðu þau. Ekki endurræsa kerfi fyrr en ljóst er hvernig árásin komst inn.
4. Metið áhrif á mikilvæga starfsemi. Notaðu BIA-niðurstöðurnar til að ákveða hvaða þjónustur þarf að endurræsa fyrst og hvort hægt sé að nota handvirka ferla á meðan.
5. Endurheimtu úr hreinum afritum. Endurheimt úr afriti sem hefur verið prófað er yfirleitt öruggari leið en að reyna að hreinsa sýkt kerfi. Skoðaðu skref fyrir skref leiðbeiningar um endurheimt kerfa eftir netárás og forgangsröðun þeirra.
6. Skráðu atvikið. Haltu gögnum um tíma, aðgerðir og ákvarðanir til greiningar og til að uppfylla skilyrði trygginga ef við á.

Varúð: Algeng mistök eru að endurræsa kerfi áður en ljóst er hvernig árásin komst inn. Þá getur sýkingin komið aftur strax og tapaður tími orðið verri en ef beðið hefði verið. Önnur algeng mistök eru að eyða sönnunargögnum með því að hreinsa kerfi eða setja upp nýtt stýrikerfi án þess að taka afrit af ástandinu fyrst.

Samskipti eru hluti viðbragðsins. Ákveðið fyrirfram hver talar við starfsfólk, viðskiptavini og birgja, á hvaða rás og hvenær. Ef persónuupplýsingar kunna að hafa lent í árásinni þarf að meta tilkynningarskyldu til Persónuverndar og upplýsa viðkomandi án ótilhlýðilegrar tafar. Hafið samband við lögreglu ef um er að ræða brot eða ef óskað er aðstoðar við rannsókn (The Icelandic Police). Skýr samskipti draga úr óvissu og vernda orðsporið meðan verið er að leysa vandann.

Að lokum: prófaðu viðbragðsáætlunina með borðæfingu þar sem lykilfólk fer yfir sviðsmynd ransomware í eina klukkustund. Slík æfing afhjúpar oft göt sem greining á blaði missir af, svo sem hver hefur raunverulegt umboð til að slökkva á kerfum eða hver hefur samband við fjölmiðla.

Hvernig þitt fyrirtæki byrjar í dag

Byrjaðu með þremur skrefum sem taka innan við einn dag: skráðu tíu mikilvægustu þjónusturnar þínar, athugaðu hvort afrit af þeim séu til og hvenær þau voru síðast prófuð, og tilgreindu einn ábyrgðaraðila fyrir rekstrarsamfellu. Kynntu þér þjónustu við rekstrarsamfellu fyrirtækja til að fá yfirlit yfir það sem hægt er að fá aðstoð við.

Ef innri þekking á upplýsingatækni er takmörkuð getur verið skynsamlegt að fá utanaðkomandi aðila til að yfirfara áhættumatið. Sjáðu hvaða öryggislausnir fyrir endapunkta draga úr hættu á ransomware og stöðvun í daglegum rekstri. Hafðu samband við nexIT til að ræða hvað hentar þínu fyrirtæki.

---

Algengar spurningar

Hvað er rekstrarsamfella?

Rekstrarsamfella er geta fyrirtækis til að halda mikilvægri starfsemi gangandi eða koma henni fljótt í gang aftur þegar truflun verður, til dæmis vegna bilunar í kerfum, netárásar, rafmagnsleysis eða annars neyðarástands. Hún byggir á áhættumati, forgangsröðun mikilvægrar starfsemi, viðbragðsáætlunum og reglulegum æfingum. Markmiðið er að lágmarka fjárhagslegt tjón og tímabundna stöðvun þjónustu við viðskiptavini. Rekstrarsamfella nær þannig bæði til tækni og fólks, ferla og samskipta.

Hvernig útbýr fyrirtæki áætlun um rekstrarsamfellu?

Byrjað er á því að greina hvaða starfsemi skiptir mestu máli og hvað gerist ef hún stöðvast í einn dag, þrjá daga eða viku. Síðan eru skilgreind markmið um hámarks stöðvunartíma (RTO) og hámarks gagnatap (RPO) fyrir hvert mikilvægt kerfi. Í áætluninni skal lýsa hlutverkum, samskiptaleiðum við starfsfólk, viðskiptavini og yfirvöld og varaleiðum. Áætlunin er endurskoðuð árlega og prófuð með borðæfingum.

Hvernig hjálpar afritun gagna við að tryggja rekstrarsamfellu?

Afritun gagna er grunnurinn að endurheimt eftir bilun eða netárás. Án gilds afrits getur fyrirtæki glatað bókhaldi, samningum og viðskiptaupplýsingum og því tekið langan tíma að koma starfseminni í gang. Gott kerfi fylgir 3-2-1 reglunni: þrjú eintök, á tveimur mismunandi miðlum og eitt utan staðar eða í skýi. Afrit eru aðskilin frá aðalkerfinu svo að netárás nái ekki til þeirra.

Hversu oft ætti að taka afrit af gögnum fyrirtækis?

Tíðnin ræðst af því hversu mikið gagnatap fyrirtækið þolir. Ef hámarks gagnatap (RPO) er ein klukkustund þarf afrit á klukkutíma fresti, en mörgum litlum fyrirtækjum duga dagleg afrit sem keyra utan vinnutíma. Mikilvæg kerfi geta þurft tíðari afrit. Athugaðu einnig að afrit er einskis virði nema endurheimt hafi verið prófuð reglulega.

Hvernig prófar maður hvort afritun og endurheimt virki?

Prófaðu endurheimt reglulega, til dæmis einu sinni í mánuði, með því að endurheimta valin gögn á prófunarumhverfi og athuga hvort þau opnist og séu heil. Skráðu hversu langan tíma endurheimtin tók og berðu hann saman við markmið um hámarks stöðvunartíma. Árleg heildarprófun þar sem allt kerfið er endurreist gefur öruggustu niðurstöðuna.