Hackerangreb i nyhederne: hvad ledelsen bør spørge om dagen efter

Når et alvorligt angreb på en kendt virksomhed fylder i nyhederne, kan ledelsen spørge sig selv, om det kunne ske for dem. Det rigtige svar dagen efter er ikke nødvendigvis at bestille en test i hast. Det er at stille IT nogle få, rolige spørgsmål, der viser, om virksomheden er forberedt, og hvad ledelsen ikke ved.

Nyheden er en anledning, ikke et beslutningsgrundlag. Omtalen fortæller ikke altid præcist, hvad der skete, og de første forklaringer kan ændre sig, efterhånden som sagen bliver undersøgt. Det, ledelsen kan bruge den til, er at stille spørgsmål, der alligevel burde være stillet.

Hvorfor reaktionen dagen efter betyder noget

En nyhed om et angreb sætter sikkerheden på dagsordenen i en kort periode. Medarbejdere spørger, bestyrelsesmedlemmer sender en mail, og måske ringer en kunde. Ledelsen har et valg: den kan berolige alle med et “det sker ikke hos os”, eller den kan bruge opmærksomheden til at få et ærligt billede.

Det første valg koster ingenting på dagen, men det lukker en mulighed. Opmærksomheden forsvinder hurtigt igen, og det bliver svært at få afsat tid til spørgsmålene, når nyheden er glemt. Det andet kræver lidt tid, men det giver ledelsen viden, den kan bruge, og det viser medarbejderne, at sikkerhed tages alvorligt uden panik.

Fem spørgsmål til IT dagen efter

Spørgsmålene skal ikke handle om den konkrete sag i nyhederne, men om virksomhedens egen situation. De kan stilles på et kort møde eller sendes skriftligt.

Hvis det samme ramte os, hvad ville så stå stille? Svaret viser, om nogen har tænkt over afhængighederne.
Hvor hurtigt kunne vi komme i gang igen? Har nogen prøvet at genskabe systemerne, eller er det en antagelse?
Hvem ringer vi til, og hvem beslutter hvad? Findes der en plan, og ved ledelsen, hvad dens egen rolle er?
Bruger vi de samme systemer eller leverandører som den ramte virksomhed? Hvis ja, er der grund til at følge sagen tættere.
Hvornår blev vores sikkerhed sidst undersøgt af nogen uden for driften? Og hvad er ændret siden?

Svarene behøver ikke at være perfekte. Det vigtige er, at ledelsen får at vide, hvor svarene er usikre. Bed gerne om, at svarene bliver skrevet ned i en kort note, så de kan tages op igen senere. En note gør det også lettere at se, om de samme usikkerheder dukker op, næste gang en sag fylder i nyhederne. → Spørgsmål, direktionen bør stille IT-chefen

Hvad ledelsen skal lytte efter

Et svar som “det har vi styr på” uden yderligere forklaring er ikke nødvendigvis forkert, men det giver ikke ledelsen meget at handle på. Lyt i stedet efter, om IT kan pege på noget konkret: en plan, der er afprøvet, en oversigt over kritiske systemer, en dato for seneste undersøgelse.

Lyt også efter de steder, hvor svaret bliver uklart, eller hvor IT henviser til en leverandør uden at vide, hvad leverandøren faktisk gør. Hvis ingen ved, hvor hurtigt systemerne kan genskabes, eller hvem der har ansvaret ved en hændelse uden for arbejdstid, er det dér, ledelsen bør sætte ind. → Hvad står stille, hvis systemerne er nede?

Er en sikkerhedstest det rigtige svar?

Nogle gange fører spørgsmålene til, at en test er en god idé. Men det er ikke nødvendigvis noget, der skal ske samme uge. En test, der bestilles i hast, risikerer at mangle et klart formål, et gennemtænkt omfang og plads til at rette det, den finder.

Hvis spørgsmålene viser store usikkerheder om beredskabet, kan det være vigtigere at få styr på planen for, hvad der sker ved en hændelse, end at teste systemerne. Hvis de viser, at kritiske systemer aldrig er undersøgt, er en planlagt test et godt næste skridt. → Er ledelsen klar, hvis testen viser det værste?

Er der en konkret grund til at handle hurtigt, fx fordi virksomheden bruger samme løsning som den ramte, kan en hastetest give mening. Hos Nielco IT koster hastesager ekstra, og hvordan opgaverne prissættes, står under pris og tilbud. → Hastetest

Hvad ledelsen siger til medarbejdere og kunder

Medarbejderne har også set nyheden, og nogle vil spørge. Et kort, sagligt budskab fra ledelsen virker bedre end tavshed: ledelsen har bedt IT gennemgå nogle spørgsmål, og medarbejderne skal fortsat være opmærksomme på mistænkelige mails og opkald. Undgå at love, at det ikke kan ske hos jer. Et løfte af den slags er svært at holde, og det kan gøre medarbejderne mindre opmærksomme.

Spørger en kunde, er det fristende at svare hurtigt og beroligende. Et bedre svar beskriver, hvad virksomheden gør for at beskytte kundens data, og henviser til den dokumentation, der findes. Har virksomheden ikke noget skriftligt at henvise til, er det en oplysning, ledelsen bør tage med sig. Det samme gælder, hvis bestyrelsen beder om en status: giv den svarene fra IT, også de usikre, frem for en samlet forsikring om, at alt er i orden.

Hvad myndighederne siger

I Danmark udgiver Styrelsen for Samfundssikkerhed trusselsvurderinger om cybertruslen mod Danmark og mod enkelte sektorer. De er skrevet til en bred kreds og kan være en mere rolig kilde end nyhedsstrømmen, når ledelsen vil forstå, hvilke trusler der er relevante for virksomhedens branche. Det kan være en god idé, at den ansvarlige i ledelsen følger med i dem og tager dem op på et ledelsesmøde, når de udkommer. → Sikkerhed som punkt på direktionsmødet

Det skal I lade være med

At berolige alle uden at spørge · så går muligheden for et ærligt billede tabt.
At bestille en test samme dag uden formål · resultatet bliver svært at bruge.
At gætte på, hvad der skete i den konkrete sag · de første forklaringer holder ikke altid.
At gøre spørgsmålene til en anklage mod IT · formålet er at finde usikkerhederne, ikke at finde skyldige.
At glemme opfølgningen, når nyheden er væk · de usikkerheder, spørgsmålene afdækkede, er der stadig.

Hvad kan og ikke kan konkluderes

En nyhed om et angreb på en anden virksomhed siger ikke, at jeres virksomhed er i fare, og den siger heller ikke det modsatte. Spørgsmålene dagen efter kan vise, hvor ledelsen mangler viden, og hvor beredskabet er usikkert. De kan ikke erstatte en egentlig undersøgelse, og de svar, IT giver i en travl uge, bør følges op med noget skriftligt.