Här får cheferna öva på sin värsta it-dag

Techtidningen får en guidad och förkortad genomgång tillsammans med bland andra Ateas säkerhetsexpert Carl-Johan Ekelund. Den ordinarie övningen pågår i en timme. Vi får hjälp genom momenten och stannar upp för att prata om vad de ska visa.

En instruktion följer oss genom rummet: deltagarna måste kommunicera och samarbeta, men de får inte göra allihop samma sak. Olika personer har olika information. Den som fördjupar sig i en uppgift behöver också veta vad de andra håller på med.

Det är helst en ledningsgrupp, eller representanter för den, som Atea vill se runt bordet. Enligt bolaget ska övningen hjälpa it-avdelningen och ledningen att förstå vad de behöver av varandra när något händer.

För Carl-Johan Ekelund börjar det arbetet med att ledningen engagerar sig i säkerhetsfrågorna.

– Jag kommer tillbaka till det här med ledningen och deras engagemang. Finns det ett sådant och de är delaktiga, det är då det händer. Då får vi driv i det.

Vem tar nästa uppgift?

Under genomgången lyfter jag telefonluren. Ett av momenten handlar om kontakten med pressen, och samtalet i rummet går över till vem som egentligen ska svara. Finns en kommunikationsansvarig som tar uppgiften, eller hamnar den hos it-chefen?

Ateas företrädare beskriver hur organisationernas förberedelser märks här. Det handlar om både vem som tar kontakten och vilken information som ska lämnas.

Frågan återkommer när Carl-Johan Ekelund får beskriva vad ledningen behöver besluta under den första timmen av en verklig incident.

– Vem som gör vad är absolut det första beslutet. Att it-avdelningen får en person att prata med i krishanteringsgruppen, så att de kan gå ner och göra sitt.

It-avdelningen behöver alltså en tydlig kontaktväg till krisledningen och utrymme att arbeta med incidenten. Samtidigt ska andra kunna hantera verksamhetsfrågor, kommunikation och behovet av hjälp utifrån. Kontaktlistor och rutiner för att kalla in rätt personer behöver vara förberedda, framhåller Carl-Johan Ekelund.

Vid skåpet med sladdar och lampor stannar vi upp vid en annan fråga: vilken lägstanivå måste verksamheten kunna hålla? Diskussionen rör sig från utrustningen framför oss till produktion, logistik och affärssystem. Vad behöver fungera för att arbetet ska kunna fortsätta?

I rummet får deltagarna uppgifter att lösa. I den egna organisationen måste ledningen och it-avdelningen tillsammans reda ut vilka system som ska prioriteras, påpekar Carl-Johan Ekelund.

– Men det är ju sådant man i sin organisation behöver veta innan man drabbas.

Prioriteringen behöver också fungera tekniskt. Ett verksamhetssystem kan vara beroende av andra delar av infrastrukturen som måste finnas tillgängliga när det ska startas. Därför påverkar ledningens besked hur it-avdelningen behöver förbereda återställningen. Arbetet visar också vilka system som behöver extra skydd före en incident, enligt Carl-Johan Ekelund.

När timmen är slut fortsätter arbetet

Efteråt beskriver Ateas företrädare vad de har sett hos tidigare deltagare: ibland finns informationen som behövs, men personerna delar den inte med varandra. Då kommer gruppen inte vidare.

Observatörerna följer övningen och använder sådana situationer i samtalet efteråt. Var fastnade arbetet och vad behöver deltagarna ta med sig hem?

När vi fortsätter intervjun lyfter Carl-Johan Ekelund en fråga som sträcker sig långt bortom rummets tidsgräns. En verklig incident kan kräva arbete i veckor. Ledningen behöver planera för att personalen ska orka.

– Då kan man inte skicka in hela gänget, oavsett funktion, att jobba 24/7.

Några behöver arbeta med det akuta läget medan andra får vila för att kunna ta över. Avlösning och återhämtning måste finnas med i planeringen från början, framhåller Carl-Johan Ekelund.

Till det kommer kontinuitetsplanerna.

– Hur hanterar vi vår verksamhet utan det vanliga it-stödet?

Ledningen behöver tidigt besluta hur verksamheten ska fortsätta om avbrottet blir långvarigt. Medan it-avdelningen arbetar med återställningen behöver resten av organisationen kunna hantera att systemen ännu inte fungerar.

Börja runt ett bord

För en verksamhet som aldrig har övat kan steget till en första övning vara litet, enligt Carl-Johan Ekelund. Hans råd är att samla deltagarna och låta en övningsledare beskriva ett scenario. Gruppen får sedan agera utifrån det, medan någon antecknar var det uppstår oklarheter.

Det behöver inte innebära att riktiga system tas ned och återställs. En diskussionsövning kan synliggöra vilka beslut organisationen inte har förberett och vilka ansvar som är oklara. Ledningen behöver vara med tidigt, så att prioriteringarna omfattar hela verksamheten.

Efter övningen gäller det att arbeta vidare med det som kommit fram. Kontaktvägar kan behöva förtydligas, planer kompletteras och beroenden mellan system redas ut.

– Övningen är en sak, men det är också en början på något större.