Seminariedeltagare kastas in i krisövning i cyberattacker

Passet ”Beslutsfattande under press” under årets Bootcamp har lockat många deltagare. I kristider är det ett angeläget ämne. Hur navigerar man i ett skarpt läge, där varje val kan få stora konsekvenser?

Maria Ehrin och Carl-Johan Ekelund, Head of Innovation respektive Head of Security på Atea, inleder genom att presentera fakta om cyberattacker, cybersäkerhet och beredskapsplaner hämtad ur den aktuella rapporten CIO Analytics: Hur kan det komma sig att långt ifrån alla har en beredskapsplan och hur kommer det sig att så få har övat på sina planer?

Allt pekar på att det här blir ytterligare en av Bootcamps många intressanta och faktaspäckade föreläsningar. Men när Maria Ehrin ska byta bild på skärmen tycks något gå fel. Allt blir svart och viss förvirring uppstår. Samtidigt fälls mörkläggningsgardinerna i salen ner. Vad händer?

– Välkomna, det här är en övning, säger Carl-Johan Ekelund och deltagarna inser snabbt att detta inte är ett seminarium i mängden.

Sara Vitmosse, Maria Ehrin och Carl-Johan Ekelund tog deltagarna genom övningen.

Känslor av stress och osäkerhet

Premissen för övningen presenteras: Klockan är 09.05 den 23 maj. Platsen är Tylösand. Grönköping Enterprise har drabbats av störningar. Ingen vet vad det handlar om, bara att företagets datacenter har börjat bete sig konstigt. It-avdelningen väljer att stänga ner, vilket innebär att kontakten med internet bryts. Telefonin fungerar dock.

Deltagarna, som kommer både från den privata och offentliga sektorn, får tio minuter på sig att i grupper diskutera igenom vilka konsekvenser scenariot får, både i det akuta läget och på ett par dagars sikt: Blir situationen kritisk och i så fall varför? Vilka är kommunikationsbehoven? Hur ska de organisera sig?

Enskilt får de också svara på frågan: Vilken är din känsla nu? Dessa svar presenteras sedan på bildskärmen, där framför allt stress, osäkerhet och förvirring sticker ut. Men även ord som nyttigt, trygghet, fokuserat, frågande och viktigt dyker upp.

Maria Ehrin hinner knappt ge startsignalen förrän diskussionerna är i full gång kring borden. En del sitter med kollegor från den egna organisationen, andra sitter i blandade grupper. En svensk region sitter exempelvis tillsammans med ett larmföretag, två organisationer som båda är väl förberedda på eventuella krisscenarier och därför har mycket att dela med sig av.

– En larmcentral och en region har ju redan rutiner, som är väl testade, säger Magnus Carlsson, key account manager på Atea, som också sitter med vid bordet, främst för att lyssna och ta del av alla initierade insikter.

Ansvarsfördelningen är avgörande

Efter avslutade diskussioner får grupperna redovisa vad de har talat om och förutom tankar kring det påhittade scenariot delar många med sig av erfarenheter från den egna vardagen.

Deltagarna är överens om att konsekvenserna i hög grad påverkas av vilken verksamhet det rör sig om. Tillverkningsindustrin riskerar ett produktionsstopp, vilket kan vara illa nog, men inom vården kan det bokstavligen handla om liv och död. Vikten av kommunikation och att kunna ge tydliga besked kommer också upp.

En grupp tar upp frågan om mandat och ansvarsfördelning: Vem har egentligen rätt att fatta avgörande beslut i en krissituation? Den frågan måste redas ut innan något händer, för alla beslut som fattas, exempelvis att kapa kopplingen till internet, får stora konsekvenser.

Det kan också finnas ett behov av att säkra bevis efter en incident för att kunna reda ut vad som egentligen hände, tillägger Carl-Johan Ekelund som svar på reflektionen om mandat. Då kan det vara viktigt att man inte har varit inne och rört i allt.

En annan grupp lyfter hur illa det skulle kunna gå i en organisation som inte har tränat eller inte ens har en beredskapsplan.

– Det är exakt det vi vill skicka med er härifrån. Det här var kanske lite jobbigt, men det var ändå inte på riktigt. Vad händer om det verkligen sker och vi inte har övat och inte vet hur vi kommer att reagera i en sådan situation? Så hem och öva, säger Maria Ehrin.

Övningar ger bättre beredskap

Efter övningen konstaterar Anna Rosén, licensspecialist på Region Skåne, att den var nyttig och givande. Hon har varit med om liknande situationer förr på sin egen arbetsplats.

– Vi har jättemycket övningar inom Region Skåne och har hela krissituationen klar för oss. Vi känner oss rätt trygga, för vi vet hur det fungerar vid de incidenter som har varit. Det är också bra att göra en konsekvensanalys efteråt, där man tar upp vad som gick fel och vad som gick bra. Sedan gör man en åtgärdsplan på de delar som inte funkade.