Denne klumme er et debatindlæg og er alene udtryk for forfatterens synspunkter.
I 2024 hævede Center for Cybersikkerhed trusselsniveauet for destruktive cyberangreb mod Danmark blandt andet som følge af målrettede angreb fra russiske hackere mod europæiske organisationer.
Det satte endnu en tyk streg under det faktum, at ingen organisation er immun.
Alligevel ser vi alt for mange danske virksomheder, der ikke er tilstrækkeligt forberedte på at håndtere det uundgåelige og derfor gambler med både sikkerhed, kundernes tillid og forretningens liv.
Her er derfor en klar outline til, hvordan effektiv krisehåndtering bør se ud på kanten af 2025.
Træk stikket til netværket først
Når de kritiske systemer fejler, og sikkerhedsalarmerne lyder, er første skridt at få afbrudt netværksforbindelsen hurtigst muligt for at forhindre angrebet i at sprede sig yderligere.
Kan det ikke gøres digitalt, skal stikket trækkes fysisk. Men lad være med at lukke serverne ned.
Det kan føre til tab af vigtige data, som sikkerhedseksperter kan få brug for senere i forløbet.
Tilkald hjælp udefra
Herefter er det tid til at tilkalde et professionelt incident response-team, som kan undersøge og indkapsle truslen, overvåge netværket og genetablere systemerne på en sikker måde.
Jeg vil klart anbefale at benytte en ekstern partner i stedet for at forsøge at løse problemerne internt.
Måske har det interne hold aldrig stået i situationen før. Samtidig er de følelsesmæssigt involverede i processen, hvilket i sig selv er utroligt stressende, fordi der er meget på spil.
Et eksternt hold bør have en bred teknisk erfaring og kan samtidigt håndtere krisen objektivt og roligt, fordi de ikke er direkte involverede i virksomheden.
Sidst ser vi ofte, at den interne beredskabsplan, som virksomheden har liggende i skuffen, sjældent virker som planlagt, når angrebet først rammer.
Sørg for, at der er mandskab nok til at håndtere, hvad der nemt bliver en meget stor arbejdsbyrde.
Et angreb kræver ofte, at man arbejder døgnet rundt over flere dage. Samtidig kræver det også ekspertise på tværs af mange discipliner.
Selvom jeg altid vil fraråde at betale løsesum, kan det blive nødvendigt at kunne forhandle med cyberforbryderne om for eksempel at købe sig mere tid eller for at få information om angrebets karakter.
Det er vigtigt, at man allerede på forhånd har indgået en aftale med et eksternt team, så man ikke først skal finde hjælp, når skaden er sket.
Vigtigheden af korrekt dataindsamling
Det er afgørende at finde ud, hvad der helt nøjagtigt er sket, hvornår det skete, og hvordan det skete.
Her spiller dataindsamling en central rolle.
Her ser vi desværre ofte store mangler. Det er ikke nok at have Windows Event Logs, der er utilstrækkelige og ofte upålidelige.
Virksomheden skal kunne levere moderne telemetridata fra sikkerhedssystemer, som overvåger aktiviteten på netværkets interne og eksterne aktiver, og dataene skal samles på en centraliseret platform.
Derudover er det vigtigt at have værktøjer, som kan fortsætte med at overvåge virksomhedens systemer efter genetableringen, da cyberforbryderne sagtens vil kunne gemme sig midlertidigt for derefter at trænge videre ind i systemerne.
Forbered HELE virksomheden på et angreb
Det kræver grundig forberedelse at komme helskindet gennem et angreb. Det kræver en detaljeret beredskabsplan, som ikke kun skal indeholde et telefonnummer til et incident response-team eller instruktioner til it-afdelingen.
Beredskabsplanen vedrører hele virksomheden.
Hvem informerer myndigheder, berørte kunder og samarbejdspartnere? Hvem håndterer krisekommunikationen?
Alle opgaver skal koordineres og udføres i forbindelse med et angreb, og det er afgørende at vide, hvem der står i spidsen for indsatsen.
Gennemgå, opdatér og test planen
Mange virksomheder har en eller anden form for beredskabsplan, men den viser sig tit at være utilstrækkelig. Hvordan finder man for eksempel ud af, hvilke backupsystemer som ikke er ramt af angrebet?
Eller hvor lang tid det tager at køre restore, og om restore-metoder overhovedet er økonomisk rentabel?
Desuden har man ofte brug for alternativer, da Plan A ikke altid kan lade sig gøre i virkeligheden.
Hvad gør man for eksempel, hvis man ikke kan kommunikere via e-mail, fordi systemet er nede, eller hackerne opsnapper alle mails?
Planen skal være tilgængelig til alle tider, også offline, da man kan risikere, at hackerne krypterer planen som en del af angrebet.
Men det er ikke nok bare at have planen.
Den skal testes og opdateres løbende, og her kan såkaldt purple teaming være en god ide, da man her på en realistisk måde simulerer både angreb og forsvar i realtid.
NIS2 som pejlemærke
Det er kun danske virksomheder, der leverer kritiske tjenester eller har væsentlig betydning for samfundets funktion, som er omfattet af reglerne i NIS2-direktivet (Network and Information Security Directive 2).
Direktivet stiller minimumskrav til incidenthåndtering, backupmanagement, disaster recovery og krisehåndtering.
Men selv virksomheder, der ikke er direkte omfattet, vil have gavn af at bruge NIS2 som pejlemærke for deres fremtidige incident response-plan.
I sidste ende leder cyberkriminelle efter sårbare ofre – uanset om virksomheden er samfundskritisk eller ej.
Derfor bør NIS2 ikke blot ses som et lovkrav, men som en påmindelse om, at robust cybersikkerhed er en nødvendighed for os alle.
Cybersikkerhed fokuseret på compliance er ikke nødvendigvis robust, men udelukkende fokuseret på minimumskrav. Det afspejler ikke virksomhedens risikoprofil eller risikoappetit.
Klummer er læsernes platform på Computerworld til at fortælle de bedste historier, og samtidig er det vores meget populære og meget læste forum for videndeling.
Har du en god historie, eller har du specialviden, som du synes trænger til at blive delt?
Læs vores klumme-guidelines og send os din tekst, så kontakter vi dig - måske bliver du en del af vores hurtigt voksende korps af klummeskribenter.