Beredskap och kontinuitet
Verksamheten vid kris och höjd beredskap
Rysslands aggression och ett ökat inslag av hybridhot har förändrat säkerhetsläget. Samtidigt har företag och myndigheter gjort sig alltmer beroende av el, datakommunikation, molntjänster och externa leverantörer. Hur mycket av verksamheten återstår när de normala förutsättningarna försvinner?
Säkerhetspolisen beskriver sabotagehotet från Ryssland som reellt. En antagonist behöver dock inte alltid angripa en verksamhet direkt. Det kan räcka att utnyttja de sårbarheter och beroenden som redan finns.
För verksamheten kan ett tekniskt fel, ett cyberangrepp, ett sabotage eller ett leverantörsavbrott till en början se likadant ut. Elen försvinner, internetförbindelsen bryts och stödsystemen går inte att nå. Orsaken behöver klarläggas, men arbetet måste samtidigt fortsätta.
Gör ett enkelt tankeprov vid nästa ledningsmöte. Tänk bort elen och internet under en arbetsdag. Lägg sedan till att avbrottet fortsätter i tre dagar. Vilka arbetsuppgifter kan fortfarande utföras, vilka beslut kan fattas och vilken information finns tillgänglig?
Börja med det som måste fungera
Vid en allvarlig störning går det sällan att upprätthålla hela verksamheten på normal nivå. Ledningen behöver därför bestämma vilka aktiviteter som måste fortsätta, vilken lägsta nivå som kan accepteras och hur länge ett avbrott kan tolereras.
Utgångspunkten är verksamhetens uppdrag, tillgångar och skyldigheter samt konsekvenserna om en viss aktivitet upphör. Därefter går det att bedöma behovet av personal, information, lokaler, teknik, el, kommunikationer och leverantörer.
Någon måste också ha mandat att prioritera om verksamheten, aktivera reservlösningar och tillfälligt acceptera en lägre servicenivå. Ett organisationsschema skapar ingen handlingsförmåga om alla svåra beslut ändå måste vänta.
Verksamhetens bemanning börjar hemma
Under Beredskapsveckan uppmärksammas människors hemberedskap. För arbetsgivaren är den mer än en privat angelägenhet eftersom den påverkar hur många medarbetare som faktiskt kan komma till arbetet.
En kontinuitetsplan kan förutsätta att ett visst antal personer inställer sig. Den förutsättningen håller inte om medarbetarnas familjer saknar trygghet, värme, vatten eller mat. Detsamma gäller om omsorgen om barn, äldre eller sjuka anhöriga inte fungerar. Det är naturligt att medarbetaren först försöker ordna situationen hemma.
Arbetsgivaren kanske inte ska styra personalens privata beredskap, men kan informera och visa hur hemberedskapen bidrar till verksamhetens och samhällets samlade förmåga. Planeringen måste samtidigt utgå från att alla inte kommer att kunna arbeta. Kritisk kompetens behöver därför finnas hos flera personer och verksamheten måste kunna fungera med reducerad bemanning.
För verksamheter som måste fortsätta kan även personalens behov på arbetsplatsen behöva planeras. Mat, vatten, vila, information och möjlighet att hålla kontakt med familjen påverkar hur länge personalen kan stanna kvar.
När kunskapen finns i systemen
Digitala stödsystem har gjort verksamheten effektivare. Affärssystem leder personalen genom arbetsflöden, utför beräkningar, kontrollerar uppgifter och ger beslutsstöd. Samtidigt flyttas delar av verksamhetens kunskap från medarbetarna till system. Efter några år är det få personer som vet hur uppgiften utförs utan det digitala stödet.
Ett molnbaserat affärssystem kan fungera precis som det ska och ändå vara oanvändbart när internetförbindelsen bryts. Säkerhetskopiering skyddar informationen mot förlust men ger inte automatiskt åtkomst till den under pågående avbrott. Frågan är vad personalen kan göra när skärmen inte längre visar nästa steg.
Reservrutiner måste därför omfatta mer än teknisk återställning. Kritisk information kan behöva finnas lokalt, alternativa kommunikationsvägar vara förberedda och personalen kunna arbeta manuellt eller på reducerad nivå. Den förmågan uppstår först när rutinerna har övats.
Outsourcing och molntjänster flyttar dessutom delar av kontrollen utanför verksamheten. En tjänst kan vara beroende av underleverantörer, datacenter, identitetstjänster och kommunikationsförbindelser som beställaren saknar direkt relation till. Två leverantörer som verkar oberoende kan använda samma bakomliggande infrastruktur. Då kan reservlösningen försvinna tillsammans med den ordinarie tjänsten.
Ett okänt beroende kan verksamheten varken riskbedöma eller planera kontinuitet för. Kritiska leveranser kräver därför tillräcklig insyn för att gemensamma felpunkter ska kunna upptäckas.
Förtroendet prövas under krisen
Kunder, medborgare, medarbetare, ägare och samverkanspartner bedömer inte bara vad som inträffar. De bedömer hur verksamheten agerar.
Ett omfattande avbrott kan accepteras om organisationen kommunicerar öppet och visar att situationen hanteras. En mindre störning kan utvecklas till en förtroendekris om informationen är sen, motsägelsefull eller missvisande. Kriskommunikationen behöver därför fungera även när webbplatsen, telefonväxeln och de interna kommunikationssystemen ligger nere.
En kontinuitetsplan är i praktiken en hypotes om verksamhetens förmåga. Först när den har prövats vet man om personalen är tillgänglig, informationen går att nå, reservrutinerna fungerar och beslutsmandaten räcker.
Börja med några raka frågor: Vad måste fortsätta? Vilken personal kan realistiskt vara tillgänglig? Vad kan vi göra utan el, internet och molntjänster? Vilka beroenden finns bakom våra leverantörer? Hur påverkas förtroendet om vi inte lyckas?
Svaren visar var beredskapen behöver stärkas. Beredskap handlar ytterst om handlingsförmåga. Den verksamhet som kan prioritera, fatta beslut och fortsätta med sina viktigaste aktiviteter har bättre förutsättningar att klara tekniska störningar, hybridhot, kriser och höjd beredskap.
Artikeln bygger på resonemang om beredskap och kontinuitet i Lönsam säkerhet – Säkerhetsbok. Läs mer om bokserien Lönsam säkerhet.
Dela gärna artikeln med någon som kan ha nytta av den.