Áfallastjórnun fyrirtækja sem heldur rekstri gangandi

Þegar starfsfólk kemst ekki í tölvupóstinn, viðskiptakerfið stöðvast eða grunur vaknar um netárás, byrjar kostnaðurinn strax að safnast upp. Verk sitja eftir, viðskiptavinir bíða og stjórnendur þurfa að taka ákvarðanir með ófullnægjandi upplýsingum. Áfallastjórnun fyrirtækja snýst um að stytta þetta óvissuástand, vernda gögn og koma rekstrinum aftur í eðlilegt horf með skýru verklagi.

Margir líta á áfallastjórnun sem möppu með neyðarnúmerum eða afrit sem er vonandi til einhvers staðar. Það er ekki nóg. Virk áætlun sameinar fólk, ferla og tækni. Hún skilgreinir hver tekur stjórnina, hvaða kerfi fá forgang, hvernig samskiptum er háttað og hvernig hægt er að endurheimta öruggan rekstur án þess að auka skaðann.

Hvað telst áfall í rekstri?

Áfall þarf ekki að vera stórfelld náttúruhamför eða fréttnæm netárás. Fyrir lítið eða meðalstórt fyrirtæki getur biluð nettenging, stolinn fartölva, röng uppfærsla eða óaðgengilegt skýjakerfi haft alvarleg áhrif. Almenna spurningin er einföld: Getur fyrirtækið sinnt mikilvægasta starfi sínu á öruggan hátt?

Algengustu atvikin eru þjónusturof, vélbúnaðarbilun, óviljandi eyðing gagna, innbrot í notendareikning og lausnarhugbúnaður sem læsir skrám. Síðan bætast við aðstæður þar sem lykilstarfsmaður er óaðgengilegur, birgir verður fyrir truflun eða starfsfólk þarf skyndilega að vinna utan skrifstofu.

Áhrifin ráðast af eðli fyrirtækisins. Fyrirtæki sem vinnur með viðkvæm viðskiptavinagögn þarf að setja gagnavernd og tilkynningarskyldu í forgang. Fyrirtæki með mikla daglega afgreiðslu þarf hins vegar fyrst að tryggja að pantanir, greiðslur og þjónusta geti haldið áfram. Eitt plan hentar því ekki öllum, en hvert fyrirtæki þarf að þekkja sínar mikilvægustu rekstrarleiðir.

Áfallastjórnun fyrirtækja byrjar á forgangsröðun

Fyrsta mistökin í áætlanagerð eru að reyna að bjarga öllu í einu. Þegar kerfi liggja niðri þarf að vita hvað má bíða og hvað má alls ekki stöðvast. Þar hjálpar rekstraráhrifagreining, þar sem farið er yfir kerfi, gögn, birgja og verkefni með hliðsjón af raunverulegum afleiðingum truflunar.

Spyrjið til dæmis: Hversu lengi getur söluteymið unnið án CRM-kerfis? Hversu lengi geta fjármál beðið eftir bókhaldsgögnum? Hvaða gögn má ekki glatast, jafnvel þótt þjónustan sé tímabundið óaðgengileg? Svörin verða grunnur að forgangsröðinni.

Tvö viðmið skipta sérstaklega máli. Annars vegar endurheimtartími – hversu fljótt þarf kerfið að vera komið aftur í notkun. Hins vegar ásættanlegt gagnatap – hversu ný gögn má að hámarki vanta eftir endurheimt. Fyrirtæki sem tekur afrit einu sinni á sólarhring getur til dæmis misst heilan vinnudag af breytingum. Það getur verið viðráðanlegt fyrir eitt kerfi en óásættanlegt fyrir annað.

Þessi vinna er líka kostnaðarstýring. Það er sjaldan skynsamlegt að byggja dýrustu mögulegu endurheimt fyrir hvert einasta forrit. Markmiðið er að verja þá starfsemi sem skiptir mestu og velja lausnir í samræmi við áhættu, tekjur og skyldur fyrirtækisins.

Hvað þarf að vera tilbúið áður en eitthvað gerist?

Góð viðbragðsáætlun á að vera nothæf undir álagi. Hún á ekki að krefjast þess að fólk lesi langa skýrslu þegar símar hringja og starfsfólk getur ekki skráð sig inn. Helstu upplýsingar þurfa að vera aðgengilegar, uppfærðar og skýrar um ábyrgð.

Áætlunin ætti meðal annars að svara þessum fjórum atriðum:

• Hver metur atvikið, tekur ákvarðanir og hefur samband við tækniaðila?
• Hvaða kerfi, gögn og viðskiptaleiðir hafa forgang í endurheimt?
• Hvernig er starfsfólki, viðskiptavinum og mögulega öðrum hagsmunaaðilum tilkynnt um stöðuna?
• Hvenær er öruggt að taka kerfi aftur í notkun og hver staðfestir það?

Aðgangsstýring er stór hluti af þessu. Ef öll stjórnunarheimild er bundin við einn starfsmann eða einn innskráningarreikning, verður veikleiki fljótt að áfalli. Fyrirtæki þurfa skjalfesta stjórnunarreikninga, örugga lykilorðageymslu, fjölþátta auðkenningu og skilgreinda leið til að veita aðgang þegar réttmæt þörf skapast.

Tækjaskrá skiptir líka meira máli en margir halda. Þegar grunur vaknar um innbrot þarf að vita hvaða fartölvur, netþjónar, símar og notendareikningar tengjast umhverfinu. Án þess verður erfitt að einangra sýkt tæki, kanna umfang atviksins og sanna að ógnin sé fjarlægð.

Afrit eru aðeins gagnleg ef hægt er að endurheimta þau

Afritun er kjarninn í endurheimt, en hún er ekki samheiti við endurheimtaráætlun. Afrit sem er ekki prófað getur verið úrelt, ófullkomið eða óaðgengilegt þegar mest á reynir. Það getur líka verið sýkt, sérstaklega ef árásarmaður hefur haft aðgang að kerfum lengi áður en árásin kemur í ljós.

Þess vegna þarf að huga að aðskilnaði og vernd afrita. Afrit ættu ekki öll að vera háð sama notandaaðgangi, sama neti eða sama geymslusvæði og framleiðslukerfin. Einnig þarf að skilgreina hversu lengi gögn eru varðveitt. Stutt varðveisla getur verið ódýrari, en hún getur reynst ófullnægjandi ef skaði uppgötvast seint.

Regluleg endurheimtarpróf svara spurningum sem ekki verður svarað með stöðuskýrslu einni saman. Endurheimtist skráin rétt? Virkar viðskiptakerfið eftir endurheimt? Hve langan tíma tekur ferlið í reynd? Prófið þarf ekki alltaf að ná yfir allt umhverfið, en það þarf að taka til þeirra kerfa sem reksturinn treystir mest á.

Fyrstu klukkustundirnar ráða miklu

Við netárás eða alvarlegt öryggisatvik er eðlilegt að vilja laga vandann strax. Hraði án stjórnunar getur þó eytt sönnunargögnum, leyft árásaraðila að halda áfram eða dreift skaðanum í fleiri kerfi. Fyrsta verkefnið er að staðfesta staðreyndir, einangra það sem mögulega er sýkt og verja mikilvægustu gögnin.

Það getur þýtt að aftengja tæki, loka reikningum, endurstilla lykilorð eða stöðva tiltekna samþættingu tímabundið. Slíkar aðgerðir hafa áhrif á dagleg störf, svo þær þurfa að byggjast á hlutverki og áhættu. Ef ekki er ljóst hvað hefur gerst, er betra að takmarka aðgang að viðkvæmum kerfum en að leyfa óvissu að halda áfram.

Samskipti þurfa að vera heiðarleg og hnitmiðuð. Starfsfólk þarf að vita hvað það má og má ekki gera, til dæmis hvort það eigi að opna tölvupóst, nota einkatæki eða breyta lykilorðum. Viðskiptavinir þurfa ekki tæknilega skýrslu, en þeir þurfa skýra stöðu, raunhæfan tímaramma og upplýsingar um hvernig þjónustu verður viðhaldið.

Prófanir gera áætlunina trúverðuga

Áætlun sem aldrei er prófuð er í besta falli tilgáta. Einföld borðæfing getur haft mikið gildi: stjórnendur og ábyrgðaraðilar fara saman yfir tilbúið atvik og ræða fyrstu skrefin. Hver hringir í hvern? Hvar eru mikilvægar upplýsingar? Hvernig er ákvörðun um lokun eða endurheimt tekin?

Tæknileg prófun þarf síðan að staðfesta afrit, aðgang, vöktun og endurheimt. Það er eðlilegt að prófanir sýni veikleika. Tilgangurinn er ekki að fá fullkomna einkunn heldur að finna vandann áður en hann hefur áhrif á viðskiptavini og tekjur.

Áætlunina þarf einnig að uppfæra þegar fyrirtækið breytist. Nýr hugbúnaður, nýir starfsmenn, sameiningar, breyttar kröfur eða aukin fjarvinna geta gert eldri forsendur úreltar. Regluleg yfirferð, til dæmis árlega og eftir alvarleg atvik, heldur henni tengdri raunverulegum rekstri.

Samstarf sem nær yfir daglegan rekstur

Áfallaviðbúnaður verður sterkari þegar hann er hluti af daglegri upplýsingatæknistjórnun. Uppfærð tæki, virkt eftirlit, aðgangsstýring, vernd endapunkta og góð þjónusta við notendur draga úr líkum á atviki og flýta fyrir viðbrögðum þegar eitthvað fer úrskeiðis.

Fyrirtæki með lítið innra tækniteymi þurfa sérstaklega að vita hver ber ábyrgð þegar á reynir. Hjá nexIT vinnum við með viðskiptavinum að því að tengja daglega kerfisstjórnun, netöryggi, afritun og endurheimt í eitt rekstrarlegt heildarsamhengi. Það minnkar fjölda óljósra ábyrgðarsviða og gerir ákvarðanir einfaldari þegar tíminn skiptir máli.

Byrjið á einni raunhæfri spurningu: Ef mikilvægustu kerfin ykkar yrðu óaðgengileg næsta mánudag, hver myndi vita nákvæmlega hvað ætti að gera á fyrstu klukkustundinni? Ef svarið er óljóst er það ekki ástæða til að örvænta – heldur skýr staður til að hefja undirbúning.