Från cyberrisk till affärsresiliens: Så bygger du en kontinuitetsstrategi som fungerar

Cyberhot, leverantörsproblem och systemfel är inte längre undantag. De är en del av vardagen för varje organisation som är digitalt beroende – vilket i praktiken är alla. Frågan är därför inte om något kommer att hända, utan hur väl verksamheten klarar det när det gör det.

Glappet mellan riskinsikt och verklig resiliens

De flesta organisationer förstår cyberrisk.

De:

• identifierar hot
• analyserar sårbarheter
• inför kontroller

Det är ett naturligt och nödvändigt första steg.

Men det räcker inte.

Risk handlar om sannolikhet. Resiliens handlar om något annat: förmågan att hantera konsekvenserna när sannolikheten blir verklighet.

Många ledningsgrupper utgår från att riskarbetet är klart i samma stund som riskerna är dokumenterade. Men en riskmatris säger ingenting om vad som faktiskt händer den dag ett system slutar fungera.

Glappet uppstår ofta i tysthet. Ingen lägger märke till det förrän en verklig störning inträffar – och då är det för sent att täppa till det.

Det är också därför kontinuitetsarbete sällan får den prioritet det förtjänar. Det syns inte i vardagen, och konsekvenserna av att inte ha det på plats blir bara tydliga den dag det redan är försent att agera.

Men när något händer uppstår ändå problem.

Varför?

För att förstå risk är inte samma sak som att vara förberedd på konsekvenserna.

Det är här de flesta organisationer fastnar. De har kartlagt riskerna. Men de har inte byggt förmågan att agera när riskerna blir verklighet.

Ett vanligt exempel: en organisation har genomfört en grundlig riskbedömning av sina IT-system, men har aldrig övat på vad som faktiskt ska hända om ett av dem slutar fungera mitt under en arbetsdag. Riskbedömningen finns. Förmågan att hantera konsekvensen gör det inte.

Vad affärsresiliens faktiskt innebär

Resiliens handlar inte om att förhindra allt.

Det går inte. Ingen organisation kan eliminera alla störningar, oavsett hur mycket som investeras i säkerhet.

Den insikten är obekväm för många, eftersom den utmanar en vanlig föreställning: att tillräckligt mycket säkerhetsarbete till slut leder till total trygghet. Så fungerar det inte.

Resiliens utgår istället från ett annat antagande: att något förr eller senare kommer att gå fel, och att organisationens förmåga att hantera det är det som avgör utfallet.

Det handlar om att:

• hålla verksamheten igång under störningar
• minimera påverkan
• återhämta sig snabbt

Det gäller scenarier som:

• driftstopp
• cyberincidenter
• leverantörsproblem

Gemensamt för dem alla är att de inte handlar om teknik i första hand. De handlar om verksamhetens förmåga att fortsätta leverera, oavsett vad som inträffar.

Resiliens är en affärsförmåga, inte en teknisk funktion.

Det är därför ansvaret inte kan ligga enbart hos IT eller säkerhetsfunktionen. Resiliens byggs i hela verksamheten, inte i ett enskilt system.

Det betyder att HR, ekonomi, kundtjänst och kommunikation behöver vara lika delaktiga som IT när kontinuitet planeras. En störning som bara hanteras tekniskt riskerar att lämna resten av organisationen oförberedd.

Problemet: Kontinuitet är ofta teoretisk

Många organisationer har:

• kontinuitetsplaner
• policys
• dokumenterade rutiner

På papperet ser det ofta bra ut. Dokumenten finns. Ansvaret är formellt fördelat. Rutinerna är beskrivna.

Men dessa är ofta:

• inaktuella
• otestade
• frikopplade från verkligheten

Planen skrevs kanske för tre år sedan. Sedan dess har systemen bytts ut, leverantörerna förändrats och personerna som skrev planen kanske inte längre arbetar kvar.

Ändå ligger dokumentet kvar, oförändrat, som om verksamheten stod stilla. Det gör det inte.

Det vanligaste misstaget är att betrakta kontinuitetsplanering som ett engångsprojekt – något som bockas av och sedan glöms bort tills nästa revision eller certifiering kräver en uppdatering.

Resultatet → Planer som inte fungerar i praktiken.

Ett dokument är inte en förmåga. Det är bara en beskrivning av en avsikt.

Skillnaden blir tydlig först i det ögonblick planen faktiskt behöver användas. Då upptäcks vanligtvis att kontaktuppgifterna är inaktuella, att ansvariga personer har bytt roll, eller att de tekniska beskrivningarna inte längre stämmer med verkligheten.

Vad en kontinuitetsstrategi måste innehålla

För att bygga verklig resiliens krävs struktur och praktik.

Nedan följer de fem byggstenar som varje fungerande kontinuitetsstrategi behöver.

1. Definiera kritiska verksamheter

Allt i verksamheten är inte lika viktigt när en störning inträffar. Vissa funktioner måste fortsätta fungera. Andra kan vänta.

Det här låter enkelt, men i praktiken är det svårt. Många funktioner upplevs som kritiska av dem som arbetar i dem, oavsett om de faktiskt är avgörande för verksamhetens överlevnad.

Därför behöver bedömningen göras av ledningsgruppen tillsammans, utifrån verksamhetens helhet – inte av varje avdelning för sig.

Identifiera:

• kärnprocesser
• intäktsdrivande aktiviteter
• kundnära tjänster

Detta avgör vad som måste fungera.

Oavsett vad som händer.

2. Kartlägg beroenden

Ingen kärnverksamhet existerar isolerat. Den vilar på system, processer och leverantörer som måste fungera för att verksamheten ska fungera.

Det är vanligt att organisationer kartlägger sina egna system väl, men missar de externa beroendena. En enskild kritisk leverantör kan vara en lika stor sårbarhet som ett internt system.

Beroendekartan bör därför sträcka sig utanför den egna organisationens väggar, och inkludera de tredjepartsrelationer som verksamheten faktiskt vilar på.

Förstå:

• system som stödjer verksamheten
• interna och externa beroenden
• leverantörsberoenden

Utan detta går det inte att hantera risk.

3. Definiera acceptabel störning

Alla störningar går inte att undvika. Frågan är hur mycket avbrott verksamheten faktiskt klarar – och var gränsen går.

Utan ett tydligt svar på den frågan blir varje investeringsbeslut en gissning. Är två timmars driftstopp acceptabelt? Är två dagar det? Svaret skiljer sig mellan verksamheter, och ibland mellan olika funktioner inom samma organisation.

Att sätta den gränsen tydligt gör det möjligt att prioritera rätt – istället för att försöka skydda allt lika mycket.

Klargör:

• hur länge verksamheten kan påverkas
• vilken påverkan som är acceptabel

Detta styr prioriteringar och investeringar.

4. Förbered realistiska scenarier

Generiska planer hjälper sällan i en verklig kris. De måste utgå från situationer som faktiskt kan inträffa i just er verksamhet.

En bra utgångspunkt är att fråga: vilka tre saker oroar oss faktiskt mest, baserat på vad vi vet om vår egen infrastruktur och våra leverantörer? Det ger mer relevanta scenarier än att kopiera en generisk mall.

Fokusera på verkliga situationer:

• kritiska system som faller bort
• cyberattacker
• leverantörsstopp

Planer ska spegla verkligheten — inte teorin.

5. Säkerställ tydligt ägarskap

I en kris finns inte tid att klargöra vem som bestämmer. Det måste vara känt i förväg.

Det räcker inte att en roll finns på pappret. Personen som innehar rollen måste veta det, ha tränat på den, och ha mandat att agera utan att behöva invänta godkännande från flera nivåer ovanför.

Tilldela:

• beslutsmandat
• ansvar vid incidenter
• eskaleringsvägar

Utan ägarskap faller allt snabbt.

Testning: Där de flesta misslyckas

En kontinuitetsstrategi är bara så bra som dess genomförbarhet.

Det är frestande att se en färdig plan som ett avslutat arbete. I själva verket är planen bara ett antagande tills den har prövats mot verkligheten.

Många organisationer:

• testar inte sina planer
• simulerar inte verkliga scenarier
• verifierar inte beslutsprocesser

Det skapar en falsk trygghet.

Planen ligger i en pärm eller på ett delat dokument, och alla antar att den fungerar – tills den behöver fungera.

Testning avslöjar:

• brister
• otydliga roller
• orealistiska antaganden

Det behöver inte vara en stor, kostsam övning. Även en enkel skrivbordsövning, där ledningsgruppen går igenom ett scenario tillsammans, avslöjar oftast de viktigaste bristerna.

Poängen är inte att övningen ska vara perfekt. Poängen är att den genomförs regelbundet, så att planen hålls levande och att organisationen tränar på att fatta beslut under press.

Med tiden bygger det upp en kollektiv vana: medarbetare och ledning vet vad som förväntas av dem, och agerar därefter utan att behöva uppfinna ett svar i stunden.

Ledningens roll

Resiliens kan inte delegeras bort.

Det är en vanlig missuppfattning att kontinuitetsarbete är en teknisk eller administrativ uppgift som kan hanteras helt av en specialistfunktion. Verkligheten är en annan.

Ledningen måste:

• sätta prioriteringar
• avsätta resurser
• säkerställa samordning

Det innebär:

• göra avvägningar
• acceptera risknivåer
• driva ansvar

Det här är beslut som inte kan fattas av en enskild specialistfunktion. De kräver en ledningsgrupp som förstår vad som står på spel och som är beredd att agera.

I praktiken innebär det att kontinuitet och resiliens bör vara en stående punkt i ledningsgruppens agenda, inte ett ämne som tas upp en gång om året i samband med en internrevision.

Utan ledningens engagemang blir kontinuiteten bara teoretisk.

Från planer till förmåga

Allt som beskrivits ovan handlar i grunden om en sak: att flytta fokus från att skriva planer till att bygga en faktisk förmåga.

Målet är inte dokument.

Det är förmåga.

Det innebär:

• kontinuitet integrerad i verksamheten
• tydliga roller och ansvar
• beredskap att agera

När det här är på plats slutar kontinuitet vara ett dokument som tas fram vid revision. Det blir istället en del av hur organisationen tänker och agerar varje dag.

Skillnaden märks tydligast när något faktiskt går fel. En organisation med en inövad förmåga agerar lugnt, strukturerat och snabbt. En organisation med enbart ett dokument famlar.

Den skillnaden syns inte på en granskningschecklista. Den syns först när en verklig störning testar organisationen på riktigt – och då är det redan för sent att börja bygga den.

Vanliga misstag organisationer gör

Samma mönster återkommer hos organisation efter organisation, oavsett bransch eller storlek.

De vanligaste misstagen är:

• kontinuitetsplanen ägs av en enskild specialist, inte av ledningen
• planen skrivs en gång och uppdateras sedan sällan eller aldrig
• scenarierna är generiska och saknar koppling till den faktiska verksamheten
• kommunikationsplanen för en kris saknas helt

Det sista är värt att lyfta fram särskilt. Många organisationer har en teknisk plan för att hantera en störning, men ingen plan för hur de ska kommunicera med kunder, medarbetare och eventuellt media under tiden krisen pågår.

Resultatet blir ofta att tekniska team löser problemet effektivt, medan förtroendeskadan från bristande kommunikation lever kvar långt efter att systemen är igång igen.

Tystnad under en kris skadar förtroendet lika mycket som själva störningen.

Så kommer du igång

Att bygga affärsresiliens känns ofta som ett stort åtagande. Det behöver inte börja stort.

Tre konkreta steg att börja med:

• Samla ledningsgruppen och gå igenom: vilka tre funktioner i verksamheten skulle få störst konsekvenser om de slutade fungera i morgon?
• Be ansvarig för varje funktion beskriva nuvarande kontinuitetsplan – och notera vad som inte längre stämmer.
• Boka in en första skrivbordsövning, gärna inom de kommande tre månaderna, och utgå från ett realistiskt scenario.

Det här tar inte bort behovet av en mer genomarbetad strategi på sikt. Men det skapar momentum, och det gör resiliens till något som faktiskt görs – inte bara planeras.

Det viktigaste är att börja innan en störning tvingar fram det. De organisationer som väntar tills något redan har hänt betalar alltid ett högre pris – i tid, kostnad och förtroende.

Det är så organisationer går från riskmedvetenhet till resiliens.

Vad kommer härnäst

När resiliens finns på plats är nästa steg att hantera incidenter effektivt.

I nästa artikel fokuserar vi på incidenthantering i praktiken.

Artikelserie: Cybersäkerhet, risk och resiliens för ledning och organisation

• NIS2, cybersäkerhetslagen, CER & CRA förklarat: Vad det innebär för din organisation i praktiken
• Varför cybersäkerhet är en affärsrisk – inte bara en IT-fråga
• Cybersäkerhetsrisk i praktiken: Så identifierar du vad som verkligen spelar roll
• Från cyberrisk till affärsresiliens: Så bygger du en kontinuitetsstrategi som fungerar
• Incidenthantering inom cybersäkerhet: När (inte om) något händer
• Tredjepartsrisk inom cybersäkerhet: Din största dolda sårbarhet
• Styrning och ägarskap för cyberrisk: Vem ansvarar i din organisation?
• Från compliance till konkurrensfördel: Så skapar cybersäkerhet affärsvärde
• Så skulle jag bygga cyberresiliens i din organisation