Digital sikkerhed begynder med at kende sin drift

Hvis virksomhedens ordresystem er utilgængeligt i morgen, hvilke opgaver stopper så først? Spørgsmålet gør digital sikkerhed til et spørgsmål om drift. Det kan være mere håndgribeligt end en diskussion af produkter og tekniske forkortelser, fordi det tager udgangspunkt i kunder, leverancer og medarbejdernes hverdag.

Sikkerdigitals råd til mindre virksomheder begynder med overblik over de vigtigste data og systemer. For sikkerhedskopier fremhæver myndighedsvejledningen blandt andet en tydelig ansvarlig, passende hyppighed og sikker opbevaring. Den anbefaler også, at virksomheden undersøger, om kopierne faktisk kan bruges til at genskabe data. En kopi har begrænset værdi, hvis den først viser sig ubrugelig, når driften allerede er standset.

Det er nyttigt at skelne mellem at forhindre en hændelse og at kunne komme videre efter den. Adgangsbeskyttelse handler om, hvem der kan komme ind. Genopretning handler om, hvordan virksomheden kan vende tilbage til en fungerende tilstand. Ingen af delene kan alene besvare alle spørgsmål om sikkerhed, og begge dele kræver, at ansvaret er forståeligt for de mennesker, der skal udføre arbejdet.

Datatilsynet beskriver, hvordan en ekstra faktor ved login som regel kan øge sikkerheden væsentligt. Tilsynet understreger samtidig, at faktoren skal reducere den relevante risiko. Pointen er, at etiketten »to-faktor« ikke alene fortæller hele historien. Den konkrete løsning og den måde, den bruges på, har betydning for, hvad den faktisk beskytter imod.

Forestil dig en mindre grossist, hvor ordrer, lagerstatus og kontaktoplysninger findes i forskellige tjenester. En sikkerhedskopi af ét system løser ikke nødvendigvis hele genopretningen. I et tænkt testforløb kunne virksomheden undersøge, om en ordre kan findes, om de tilhørende dokumenter er tilgængelige, og om medarbejderne ved, hvordan arbejdet fortsættes. Eksemplet illustrerer forskellen mellem at genskabe en fil og at genskabe en arbejdsgang.

Boardrooms redaktionelle vurdering er, at dialogen med en it-leverandør bliver bedre, når forventningerne beskrives gennem sådanne arbejdsgange. Hvilke data er omfattet, hvem opdager en fejl, og hvem kan sætte genopretningen i gang? Svarene bør være forståelige for den ansvarlige i virksomheden. En aktivitet, som alle antager, at den anden part udfører, kan ellers være svær at opdage i almindelig drift.

Overblikket skal følge med, når organisationen ændrer sig. Nye medarbejdere, nye systemer og nye leverandører kan ændre afhængighederne. Det samme kan et nyt produkt, som gør en tidligere uvigtig database central for leveringen. Digital sikkerhed er derfor også vedligeholdelse af viden om forretningen. Den mest relevante øvelse er den, der viser, om netop virksomhedens nødvendige opgaver kan fortsætte og genoptages.