En konsulent skriver til supporten: Hun sidder hos en kunde og kan ikke logge ind på den platform, som hendes egen virksomhed har udviklet og solgt til kunden. Den platform, som kunden bruger til deres compliance-arbejde. Kort efter kommer der to henvendelser mere. Det ligner almindelig drift, indtil det viser sig, at rigtig mange kunder er ramt og at nogle af dem har mistet data.
Sådan lød scenariet, da vi for nylig holdt en skrivebordsøvelse for vores egen beredskabsorganisation. Svarene på det meste af det, der skete, stod i beredskabsplanen. Spørgsmålet var, om deltagerne brugte den, da det gik stærkt – og det gjorde de ikke altid.
I webinaret ”Når beredskabsplanen skal stå sin prøve” deler Lone Forland, produktekspert, og Jakob Holm Hansen, CPO i NorthGRC, erfaringerne fra øvelsen. Begge sidder som medlemmer af vores beredskabsteam. Lone skrev scenariet og ledte øvelsen. Jakob har som tidligere informationssikkerhedskonsulent hjulpet mange organisationer med at gennemføre beredskabsøvelser.
Du kan se optagelsen af webinaret her.
Timingen for webinaret var ikke tilfældig. Den 24. september 2026 skærpede PET sin vurdering af truslen mod dansk erhvervsliv, og samme dag opfordrede Energistyrelsen energivirksomhederne til at opdatere beredskabsplanerne og gennemføre øvelser. Jo større risikoen er, jo vigtigere bliver det at vide, hvem der gør hvad, og hvem der kommunikerer hvad til hvem.
Skrivebordsøvelsen er den form, Jakob anbefaler at begynde med – helst kort tid efter at planen er skrevet. Den har to formål: at finde hullerne i planen og at træne deltagerne i at bruge den.
”Ingen kan bruge en beredskabsplan, de bare har fået stukket i hånden. Man skal have øvet sig,”
siger Jakob Holm Hansen.
Beredskabsteamet sidder om et bord, en øvelsesleder præsenterer et scenarie trin for trin, og deltagerne taler sig igennem, hvad de gør. Når formen sidder på rygraden, kan I gå videre til mere krævende øvelser:
|
Øvelsesform |
Hvad den tester |
Hvornår |
|---|---|---|
|
Skrivebordsøvelse |
Om planen hænger sammen, og om deltagerne kan bruge den |
Først, kort efter at planen er skrevet |
|
Mobiliseringsøvelse |
Hvor hurtigt beredskabsledelsen kan samles – i lokalet, på en rasteplads, hvis de er i bilen, eller via Teams |
Varslet ”inden for de næste uger” |
|
Uvarslet øvelse |
Hvordan organisationen reagerer uden at have forberedt sig |
Når teamet har øvet flere gange |
|
Teknisk genetablering |
Om et kritisk system kan genetableres korrekt, når man trækker stikket |
Når planen er afprøvet ved bordet |
|
Evakueringsøvelse |
Den fysiske rømning af bygningen |
Løbende, uafhængigt af de øvrige |
Scenariet skal være alvorligt nok til, at I ville samle beredskabet, og realistisk nok til, at ingen afviser det. Det behøver ikke at være en bombe midt på kontoret. Et scenarie, der starter med tre supporthenvendelser, tester også jeres eskaleringsprocedure.
Lone sammenligner det med at skrive en krimi: Læseren skal ikke kende morderen på første side. Byg derfor et par sidespor ind, så teamet ikke har løst krisen efter et kvarter.
Vælg scenariet ud fra jeres risikovurdering – den ydelse, forretningen lever af, eller en afdeling, I ved er sårbar. Hos os var vores GRC-platform det oplagte udgangspunkt. En forsyningsvirksomhed kunne øve et angreb, der rammer OT-systemerne, og en styrelse kunne opleve et brud på persondatasikkerheden.
Skriv scenariet sammen med den, der ved mest om, hvordan problemet kan løses. Vi skrev vores sammen med vores CTO – og sendte ham i historien på et fly til Tokyo uden wi-fi, mens det hele brød sammen. I virkeligheden sad han i lokalet og tog noter.
Et realistisk scenarie forebygger også den største faldgrube.
”Det værste, der kan ske i sådan en beredskabsøvelse, er, at folk begynder at diskutere og sætte spørgsmålstegn ved scenariet,” siger Lone Forland.
Så bliver beredskabet nemlig ikke øvet.
Ud over øvelseslederen skal beredskabsledelsen være med, fordi den har mandat til at træffe hurtige og nogle gange dyre beslutninger. Kommunikation hører også til, da næsten alle hændelser kræver beskeder til kunder, pressen eller myndighederne. Det samme gør forretningen – for eksempel kundeservicechefen, som ofte opdager problemet først.
Sæt observatører til at tage noter, og giv dem et skema: Hvornår blev beredskabet aktiveret, hvornår blev ledelsen samlet, og blev planen anvendt? Tjek også, at scenariet giver alle i rummet en opgave.
Start med at gøre det klart, at det er en øvelse og ikke en eksamen: I tester planen, ikke deltagerne. Forklar også formen. At deltagerne selv skal byde ind, når de kan hjælpe. Under vores øvelse troede nogle, at de ville blive spurgt, når det var deres tur, men deltagerne skal selv reagere på det, der sker.
Kræv konkrete svar. ”Her beder jeg kommunikationsafdelingen om en plan” er ikke tilstrækkeligt. Bed om svar på, hvilke kunder der skal have besked, hvornår, og hvad I kan sige. Det er i detaljerne, at hullerne viser sig. Under vores øvelse viste det sig for eksempel, at det ville tage lang tid at indsamle kontaktoplysninger på alle kunder i et bestemt segment.
Fodr deltagerne med én oplysning ad gangen. Vi lavede mock-ups af supportbeskeder og chats, der illustrerede for deltagerne, hvordan situationen gradvist blev værre: Sælgerne kunne ikke holde kundemøder, og supporten blev oversvømmet. Giv deltagerne god tid og hint ikke til løsningen.
En øvelse giver altid brugbare resultater – enten huller, I skal lukke, eller bekræftelse af, at planen holder. Gå fundene igennem:
Fristerne er værd at øve specifikt, fordi de løber fra det øjeblik, I bliver opmærksomme på hændelsen:
|
Hændelse |
Modtager |
Frist |
|---|---|---|
|
Brud på persondatasikkerheden (GDPR) |
Datatilsynet |
Senest 72 timer efter, at I er blevet opmærksomme på bruddet |
|
Væsentlig hændelse (NIS2, for omfattede enheder) |
Den kompetente myndighed |
Tidlig varsling inden 24 timer, hændelsesunderretning inden 72 timer, endelig rapport inden én måned |
Evaluer også selve øvelsen. Lones “note to self” var, at hun næste gang ville give deltagerne mere tid til at finde brugbare løsninger og bruge længere tid på selv at forklare formen på øvelsen.
Vores vigtigste fund handlede om planen.
”Vores deltagere kiggede ikke altid i beredskabsplanen, når vi havde forestillet os det, og når vi vidste, at svarene faktisk stod der,” siger Lone.
Teamet kom godt igennem alligevel, men planen skal være lettere at finde og bruge.
At teamet klarede sig uden planen, kan lyde som en god nyhed. Jakob kalder det heltebaseret beredskab:
”Et heltebaseret beredskab er kendetegnet ved, at man baserer sit beredskab på, at have de rigtige mennesker i rummet, der kan træffe de rigtige beslutninger uden fejl. Det kan man ikke sætte sin lid til”
Han har set, hvor skrøbeligt det er. Hos en kunde klarede digitaliseringschefen en skrivebordsøvelse fint. Tre uger senere ramte en stor, reel hændelse, og samme chef gik helt i baglås og måtte sendes hjem. Fordi organisationen havde øvet, vidste de andre, hvem der skulle overtage, og hændelsen blev håndteret.
Fundene skaber først værdi, når de bliver til handlinger med en ejer og en deadline. I vores platform registrerer I hændelser i hændelsesmodulet, som fører jer fra første reaktion til afslutning. Ved brud på persondatasikkerheden opretter platformen automatisk opgaver om at underrette myndigheden og de registrerede, og opfølgningspunkter kan oprettes som opgaver på hændelsen.
Mangler I ressourcer til selv at skrive scenarier og lede øvelsen, kan vores konsulenter hjælpe med forberedelse, afvikling og efterbehandling.
Vil I høre hele historien om vores egen øvelse? Se webinaret ”Når beredskabsplanen skal stå sin prøve”.