Hur skulle du och dina kollegor agera vid en incident som till exempel en ransomwareattack, eller om en anställd oavsiktligt skickar känslig kunddata till fel mottagare, eller om era inloggningsuppgifter till affärskritiska system läcker på dark web?
En global rapport från PwC visar att kriser i företagen ökar, och att 91 % av företagen har hanterat minst en kris de senaste två åren. Därför är det viktigt att ha en plan för hur man hanterar dessa kriser. I den här artikeln går vi igenom hur ditt företag kan förbereda sig genom så kallade table top-övningar, där ni simulerar incidenter och testar era rutiner – innan krisen inträffar.
Vad är tabletop-övningar?
En table top-övning är en scenariobaserad krisövning med strukturerade diskussioner där nyckelpersoner samlas för att simulera en eller flera kriser. Syftet är att identifiera svagheter, förbättra samarbetet mellan avdelningar och säkerställa att alla vet sin roll vid en kris. Dessa typer av övningar kräver inga tekniska ingrepp (till skillnad från Red-teamövningar).
Att regelbundet utföra den här typen av simulerade krisövningar resulterar i en mer förberedd organisation, som kan agera snabbare och mer effektivt vid en verklig kris.
Hur planerar man inför en krisövning?
Innan man börjar skicka ut mötesbokningar ska man identifiera syftet och målet med övningarna. Vad vill ni som företag åstadkomma med dessa övningar?
Några frågor man kan ställa sig är:
- Vill vi förbättra redan existerande krisplaner? Eller har vi ens några till att börja med?
- Vad vill vi uppnå? Snabbare reaktionsförmåga i vissa avdelningar, bättre kommunikation, förbättrad incidenthantering?
Varför gör vi krisövningen och vilka lärdomar hoppas vi få ut av övningen? Vill vi testa krisplanerna, träna teamet eller kanske upptäcka svagheter?
Fokusområden att ha i åtanke inför övningarna kan inkludera:
- Hur snabbt upptäcks och rapporteras incidenten till rätt kanaler?
- Hur ser våra ansvarsfördelningar under kriser?
- Är våra kommunikationsstrategier tillräckliga – både internt och externt?
- Hur väl fungerar våra tekniska och operativa åtgärder?
- Hur påverkas vår operativa verksamhet vid en incident, ex. affärskritiska system och driftstopp?
- Hur hanterar vi externa parter och tredjepartsleverantörer?
Välj realistiska scenarion
Det viktigaste är att scenarierna är verklighetsförankrade och speglar verkliga risker och hot mot verksamheten. Med det sagt behöver det nödvändigtvis inte alltid handla om er IT-miljö eller informationstillgångar. Simuleringarna bör anpassas till din bransch, riskbild och omvärldsläget (så exkludera Alienattacker för tillfället👽). Några exempel på scenarion som kan påverka er verksamhet kan vara:
- Insiderhot
- Informationsläckage
- Fysiska säkerhetshändelser och krig
- Pandemier som resulterar i personal bortfall
- Störningar i leveranskedjan
Vilka ska följa med på övningarna?
Att sätta ihop ett korrekt team är A och O. Man kan tro att endast IT-folket har nytta av krisövningar, men våra organisationer är så mycket mer än datorerna och Sharepoint-miljöerna vi använder. Utöver IT, inkludera gärna personer från följande instanser och avdelningar:
- Kommunikation och marknad
- Ledande befattningar
- Ekonomi
- Försäljning
- HR och Juridik
- Kanske ta med några av era viktigaste leverantörer
Varje avdelning på företaget har sina roller och ansvar när incidenter sker – att öva tillsammans förbättrar beslutsfattandet, ledtider och samspelet.
Okej, så hur genomför vi detta på vårt företag?
Gameday!!
Likt andra spel så har dessa övningar också regler och en domare (även kallad spelledare). Denna ansvarar för att styra övningarna i rätt riktning, säkerställa att regler följs och initiera nya händelser i redan stressiga situationer.
Ett generellt upplägg kan inkludera följande:
- Spelledaren introducerar vad som skall göras, förväntningar och regler.
- Startskottet! En oväntad händelse drar igång övningen. Kanske går ett affärskritiskt system ner mitt under en viktig leverans, eller en anställd får ett mejl om att företagets kundregister ligger öppet på nätet.
- Första åtgärder – Hur reagerar organisationen? Vem gör vad, och följs etablerade processer och rutiner?
- Eskalering – När och hur involveras ledning, juridik, kommunikation eller externa parter?
- Kommunikation och ansvar – Hur informeras medarbetare, kunder och media? Finns en strategi för att minimera skada och rykten?
- Avslut och utvärdering i gruppen – Vad fungerade bra? Vad behöver förbättras? Hur kändes det?
Lärdomar och förbättring för framtiden
Efter några intensiva timmar (eller dagar) är det dags att sammanställa insikter och förbättringsförslag, frågor som ni kan ställa är följande:
- Följde vi rätt processer och rutiner?
- Tog gruppen rätt beslut enligt våra etablerade processer?
- Fanns det situationer där rutiner saknades eller inte fungerade som förväntat?
- Eskalering och samverkan
- Borde vi ha involverat någon tidigare eller exkluderat vissa roller för högre effektivitet?
- Fanns det oklarheter kring ansvarsfördelning?
- Kommunikation och informationsflöde
- Hur tydlig var intern och extern kommunikation?
- Uppstod missförstånd eller fördröjningar som vi kan förebygga?
- Kompetens och utbildning
- Behöver vi stärka personalens utbildning inom vissa områden?
- Finns det specifika team eller avdelningar som bör genomföra fler övningar?
- Övergripande krisberedskap
- Hur väl fungerade våra krisplaner i praktiken?
- Fanns det kritiska rutiner som helt saknades?
Ingen organisation är immun mot cyberhot, personalens misstag, eller fysiska säkerhetsincidenter, men skillnaden mellan en kontrollerad situation och en allvarlig kris är förberedelse. Genom att genomföra krisberedskapsövningar kan ditt företag identifiera svagheter, stärka samarbetet och säkerställa att alla vet vad de ska göra när det verkligen gäller.
När planerar ni er nästa övning?
Kontakta oss om du har några frågor, reflektioner eller vill höra hur vi skulle kunna hjälpa till med en sådan här övning i din organisation!
