Hvad gør du, når nødproceduren ligger i det system, der er nede?

Forestil dig, at et cyberangreb rammer en produktionsvirksomhed. Flere centrale it-systemer bliver utilgængelige, og beredskabsorganisationen skal aktiveres.

Virksomheden har heldigvis forberedt sig. Der findes en beredskabsplan med kontaktpersoner, ansvarsfordeling og procedurer for at håndtere driftsafbrydelser. Men da medarbejderne skal bruge den, opstår problemerne:

• Kontaktlisten ligger på et fællesdrev, som ingen kan tilgå.
• Instruktionerne til sikker nedlukning findes i et digitalt dokumentationssystem.
• Og den medarbejder, der skal godkende bestemte nødhandlinger, kan ikke kontaktes via de sædvanlige kanaler.

Ingen af procedurerne behøver at være forkerte. Alligevel kan de ikke gennemføres som planlagt.

Det tænkte eksempel illustrerer en grundlæggende udfordring i beredskabsplanlægning: En nødprocedure kan være afhængig af præcis de funktioner, som hændelsen har sat ud af drift.

Beredskabets skjulte afhængigheder

Moderne organisationer er bygget op omkring systemer, der understøtter hinanden. Adgangsstyring, kommunikation, dokumentation, overvågning og produktionskontrol kan være forbundet gennem fælles netværk, servere eller identitetsløsninger.

Det gør den daglige drift effektiv, men kan skabe afhængigheder, som først bliver tydelige under en alvorlig driftsforstyrrelse.

En beredskabsprocedure kan eksempelvis forudsætte, at en medarbejder kan logge ind på en bestemt arbejdsstation. Login kræver adgang til en central identitetstjeneste, som igen kræver et fungerende netværk.

Hvis netværket er utilgængeligt, kan medarbejderen måske ikke gennemføre proceduren, selv om arbejdsstationen stadig fungerer.

I risikoanalysen skelner man blandt andet mellem to typer sårbarheder:

• Single point of failure: En komponent eller funktion, hvis svigt alene kan få en nødvendig proces til at mislykkes.
• Common-cause failure: En fælles årsag, der får flere komponenter eller funktioner til at svigte. Det kan eksempelvis være en fejl i en fælles strømforsyning, som rammer flere systemer, der ellers er opbygget med redundans.

Det sidste er særligt vigtigt i beredskabsplanlægning. To kommunikationskanaler giver ikke nødvendigvis reel uafhængighed, hvis begge kræver den samme internetforbindelse eller strømforsyning.

Redundans hjælper ikke, hvis begge løsninger fejler samtidig

En almindelig måde at styrke beredskabet på er at etablere alternative systemer og arbejdsgange. Men en reserveløsning er kun nyttig, hvis den fungerer under de fejlforhold, den skal beskytte imod.

Forestil dig, at en virksomhed har etableret en sekundær kommunikationsplatform til brug ved nedbrud. Platformen er teknisk adskilt fra den primære, men benytter samme centrale loginløsning.

Hvis hændelsen påvirker loginløsningen, kan begge kommunikationsplatforme blive utilgængelige.

Det samme princip gælder for nødstrøm, alternative kontrolsystemer og sikkerhedskopier. Man må undersøge, hvilke kritiske afhængigheder løsningerne deler, og om de kan svigte samtidig.

Den britiske cybersikkerhedsmyndighed NCSC fremhæver i sin vejledning om forberedelse på alvorlige cyberhændelser betydningen af at kortlægge kritiske tjenester, teknologiske afhængigheder og alternative arbejdsgange.

Find de svage punkter ved at arbejde baglæns

En måde at undersøge beredskabets robusthed på er at tage udgangspunkt i en kritisk nødhandling og arbejde baglæns gennem de forudsætninger, der skal være opfyldt.

Forestil dig, at en virksomhed skal kunne gennemføre en sikker, kontrolleret nedlukning af et produktionsanlæg.

Først kortlægger man de handlinger, nedlukningen kræver. Derefter undersøger man, hvilke tekniske funktioner, oplysninger og medarbejdere der er nødvendige for at udføre dem.

Det kan eksempelvis være adgang til nedlukningsinstruktioner, fungerende kontrolsystemer, kommunikationskanaler og medarbejdere med de nødvendige kompetencer.

Næste skridt er at undersøge afhængighederne bag hver funktion. Kræver instruktionerne adgang til et fællesdrev? Benytter kontrolsystemet en central netværksforbindelse? Er flere kritiske beslutninger afhængige af den samme nøgleperson?

Det interessante er ikke kun, hvor mange afhængigheder der findes, men om flere nødvendige funktioner kan svigte på grund af den samme hændelse.

Hvis både adgang til instruktioner og kommunikation mellem medarbejdere eksempelvis afhænger af den samme identitetsløsning, kan én fejl gøre flere dele af nødproceduren vanskelige at gennemføre.

Ved at arbejde baglæns bliver det muligt at identificere sådanne fælles afhængigheder og undersøge, om alternative løsninger reelt er uafhængige. Analysen kan derefter bruges til at prioritere, hvilke svigt der skal forebygges, og hvilke nødprocedurer der bør testes under begrænsede driftsforhold.

Kan arbejdet fortsætte uden de digitale systemer?

En mulig løsning er at kunne udføre visse opgaver manuelt eller ved hjælp af alternative, uafhængige systemer.

Men det er ikke alle funktioner, der uden videre kan overtages manuelt.

I et produktionsanlæg kan automatiserede sikkerhedsfunktioner eksempelvis overvåge tryk, temperatur eller andre procesparametre og bringe anlægget i en sikker tilstand ved bestemte fejl.

Hvis overvågningen bliver utilgængelig, er det ikke nødvendigvis forsvarligt at fortsætte produktionen med manuelle aflæsninger. Det afhænger blandt andet af processens dynamik, sikkerhedskravene og mulighederne for at opdage og reagere på farlige tilstande.

Derfor bør en beredskabsplan skelne mellem funktioner, der kan fortsætte sikkert med alternative metoder, funktioner, der kun kan fortsætte under begrænsede driftsbetingelser, og processer, der må standses.

Den amerikanske standardiseringsmyndighed NIST beskriver i SP 800-34 Rev. 1 om beredskabsplanlægning, hvordan organisationer kan planlægge alternative driftsformer, genopretning og test af beredskabsprocedurer.

Pointen er, at en alternativ arbejdsgang ikke blot skal være mulig. Den skal også være sikker og realistisk at gennemføre.

Test proceduren uden de systemer, den normalt kræver

Mange beredskabsøvelser tager udgangspunkt i en bestemt hændelse: et cyberangreb, et strømsvigt eller en brand.

Men hvis formålet er at afsløre skjulte afhængigheder, kan det være mere afslørende at teste, hvad organisationen faktisk kan gøre, når udvalgte funktioner mangler.

En øvelse kan eksempelvis begynde med, at deltagerne får besked om, at virksomhedens netværk og almindelige kommunikationskanaler er utilgængelige.

Derefter skal de gennemføre de første trin i beredskabsplanen.

• Kan de finde den gældende procedure?
• Kan de kontakte de nødvendige personer?
• Kan de afgøre, hvilke processer der skal standses?
• Og har de adgang til de oplysninger, der kræves for at træffe beslutningen?

En sådan øvelse behøver ikke indebære, at man faktisk afbryder kritiske systemer. Man kan begynde med en skrivebordsøvelse og derefter afprøve udvalgte tekniske funktioner under kontrollerede, sikre forhold.

Det afgørende er, at testen ikke kun undersøger, om deltagerne kender planen, men også om de forudsætninger, planen bygger på, holder.