Kontinuitetsplan: så bygger ni en som fungerar

Börja med en konsekvensanalys (BIA)

En business impact analysis kartlägger vad ett avbrott faktiskt kostar, per process och över tid. Utan den blir alla system "kritiska" och prioriteringen omöjlig.

Gå igenom varje verksamhetsprocess och ställ fyra frågor: vad gör processen, vilka system och personer krävs, vad händer efter en timme, en dag och en vecka utan den, och finns det en manuell reservrutin?

Sätt RTO och RPO – och mät dem

RTO (Recovery Time Objective) är hur länge en funktion får vara nere. RPO (Recovery Point Objective) är hur mycket data ni tål att förlora, mätt i tid. Det är två olika beslut och de kostar olika mycket.

Den vanligaste bristen i en kontinuitetsplan är ett RTO som aldrig verifierats. Har ni skrivit fyra timmar men aldrig mätt en full återställning är siffran en förhoppning. Mät i stället upp verklig återställningstid för det tyngsta systemet och skriv in den – sedan förbättrar ni den.

Vad planen ska innehålla

• Syfte, omfattning och vilka verksamheter och platser som täcks.
• Roller och mandat: vem aktiverar planen, vem beslutar om nedstängning, vem talar med media och kunder.
• Kontaktlista med reservvägar – planen ska fungera när e-posten är nere.
• Aktiveringskriterier: vid vilka händelser och trösklar träder planen i kraft?
• Scenariokort för de vanligaste händelserna: ransomware, längre strömavbrott, leverantörsbortfall, lokalbortfall, nyckelpersonsbortfall.
• Prioriterad återstartsordning baserad på BIA:n.
• Manuella reservrutiner för de mest kritiska processerna.
• Kommunikationsmallar för personal, kunder, myndigheter och media.
• Kriterier för när normalläget är återställt och hur ni utvärderar.

Kontinuitetsplan kontra återställningsplan

Ni behöver båda. En perfekt DR-plan hjälper inte om ingen vet vem som ringer kunderna medan återställningen pågår.

Öva – annars är planen fiktion

• Skrivbordsövning två gånger per år: samla krisgruppen, läs upp ett scenario, fatta besluten muntligt. Tar två timmar.
• Teknisk återställningsövning per kvartal för system i kritikalitetsnivå 1.
• Full övning en gång per år, gärna med ett scenario där backupmiljön delvis är otillgänglig.
• Dokumentera resultatet – tider, vad som inte fungerade och vem som åtgärdar vad till när.

Kopplingen till NIS2 och ISO

NIS2 artikel 21.2 c anger kontinuitetshantering, inklusive backup och katastrofåterställning samt krishantering, som en obligatorisk riskhanteringsåtgärd. I ISO 27001 motsvaras det av åtgärderna kring kontinuitet i bilaga A, och för den som vill gå längre finns den dedikerade standarden ISO 22301.

Vid tillsyn är det tre saker som efterfrågas: planen, beviset på att den är förankrad i ledningen, och protokollen från övningarna. Det tredje är det som oftast saknas.

Vanliga frågor