I det siste har jeg hørt uttrykket «håp på det beste, men planlegg for det verste» flere ganger i forskjeliige sammenhenger, enten det være seg på TV eller i hverdagen, og tar det som et hint om at jeg burde skrive noen ord om akkurat dette. For håp kan være en fin ting i mange sammenhenger, men når det gjelder IT-beredskap, sikkerhet, dokumentasjon og strategier, er det en svært usikker metode. I IT-verdenen er det ikke rom for å bare håpe – her gjelder det å dokumentere, planlegge og forberede seg. Jo bedre du gjør det, jo mindre avhengig blir du av flaks når ting går galt.
Dette prinsippet gjelder også i privatøkonomi og hverdagsplanlegging. Å håpe at økonomien alltid går rundt uten uforutsette utgifter er en risikosport. En budsjettkonto fungerer som en økonomisk beredskapsplan – akkurat som en god IT-strategi sikrer virksomheten mot kriser.
IT-beredskap: Sikrer systemene dine før krisen inntreffer
IT-beredskap handler om å være forberedt på det uforutsette – enten det er en server som plutselig dør, en ansatt som klikker på en phishing-lenke, eller noe som setter hele datasenteret ut av spill. Men må ha en plan før katastrofen inntreffer, slik at man kan handle raskt og effektivt når det skjer.
- Håp: At systemene fungerer feilfritt, at ingen trykker på «Delete all» ved et uhell, og at alle vet hva de skal gjøre i en krisesituasjon.
- Plan: Ha en beredskapsplan, regelmessige sikkerhetskopier, og en disaster recovery-strategi som sikrer rask gjenoppretting.
Et eksempel kan være et ransomware-angrep. Hvis IT-avdelingen har en plan for å raskt gjenopprette systemer fra offline sikkerhetskopier, slipper man å betale løsepenger. Les mer om dette i min tidligere artikkel om IT-beredskap her.
Dokumentasjon og prosedyrer redder dagen
For at beredskapsplanen skal fungere i praksis, må den være godt dokumentert og lett tilgjengelig.
- Håp: At systemet aldri krasjer, og at folk husker hva de skal gjøre når noe går galt.
- Plan: Sørge for oppdaterte driftshåndbøker, beredskapsplaner, møtereferater og klare prosedyrer for håndtering av nedetid, datatap eller sikkerhetsbrudd.
Hvis for eksempel serveren går ned fredag ettermiddag. Finnes det en tydelig prosedyre med kontaktlister, ansvarsfordeling og en definert krisehåndteringsprosess, kan problemet løses raskt. Les mer om prosedyrer her.
Sikkerhet: Anta at angrepet vil skje
Det er ikke et spørsmål om hvis, men når et sikkerhetsbrudd inntreffer. NSM advarer om at sabotasjeforsøk i Norge er sannsynlig i 2025, og understreker at norske virksomheter må iverksette forebyggende tiltak nå. Vi kan ikke påvirke trusselbildet, men vi kan redusere sårbarhetene og konsekvensene.
- Håp: At brannmuren og antivirusprogrammet tar seg av alt, eller at ingen trykker på phishing-lenker eller bruker alt for enkle passord uten to-faktor autentisering.
- Plan: Implementere Zero Trust-sikkerhet, begrense tilgang til sensitive data, oppdatere programvare, og trene ansatte i cybersikkerhet. Jevnlige sikkerhetsgjennomganger, prosedyrer for passordhåndtering, og strenge rutiner for tilgangskontroll.
Hvis for eksempel en ansatt blir lurt av en phishing-mail og du har etablert prosedyre for håndtering av sikkerhetsbrudd, kan IT gripe inn raskt og begrense skaden. Uten dette er man redusert til å håpe på det beste – og vente på neste datainnbrudd.
NSM advarer om at dette arbeidet går for sakte. Norske virksomheter må ikke fortsette å vente på et angrep før de tar grep – forebyggende sikkerhetstiltak er ikke et valg, men en nødvendighet.
Dokumentasjon: Fordi hukommelse er upålitelig
Mange klarer seg fint uten dokumentasjon – så lenge alle nøkkelpersonene er til stede. Problemet oppstår den dagen de ikke er det. Hva skjer hvis den eneste som kjenner systemoppsettet plutselig slutter? Eller hvis noen blir syk midt i en kritisk hendelse?
Dokumentasjon er ikke noe du setter av tid til «hvis du får tid» – det er en usynlig investering, på samme måte som en forsikring. Du merker ikke hvor verdifull den er før du virkelig trenger den.
- Håp: At IT-teamet husker alle konfigurasjoner, passord og installasjoner.
- Plan: Oppdaterte driftshåndbøker, nettverkskart, installasjonslogger og kontinuitetsplaner som sikrer at hvem som helst kan ta over dersom en nøkkelperson forsvinner.
La oss si at serveren krasjer midt på natta, og den eneste som vet hvordan den settes opp igjen, sluttet for to måneder siden. Hadde dokumentasjonen vært på plass, kunne problemet blitt løst raskt.
Dette gjelder ikke bare internt – hva hvis dokumentasjonen din ligger hos en ekstern leverandør?
Har du ikke kopi av konfigurasjoner og installasjonsrapporter, risikerer du å bli låst til en leverandør bare fordi det er den eneste som vet hvordan systemet fungerer. Enda verre – hva om krisen oppstår utenfor arbeidstid, og leverandøren ikke er tilgjengelig? Da kan du bare vente til neste dag for å få hjelp, mens systemene ligger nede og kundene blir frustrerte.
Du kan for eksempel trenge en enkel omstart av en skjult server eller en «boks», men siden leverandøren har holdt dokumentasjonen tilbake, må du vente på ekstern hjelp – og betale en høy faktura for noe som kunne vært løst på fem minutter.
Møtereferater: Når minnene svikter, men papir husker
Har du noen gang vært i et møte der alle var enige om noe – bare for at ingen husker hva det var en uke senere?
Møtereferater er et verktøy for tydelig kommunikasjon, oppfølging og beslutningstaking, og fungerer som en historisk oversikt over hva som ble diskutert, hvem som har ansvar for hva, og hvilke beslutninger som ble tatt. Uten et møtereferat blir viktige detaljer lett glemt, misforståelser oppstår, og oppgaver faller mellom stolene.
- Håp: At alle husker hva som ble sagt og hvem som skulle gjøre hva.
- Plan: Strukturert møtereferat som tydelig dokumenterer beslutninger, ansvar og frister.
Tenk deg at IT-teamet planlegger en større oppgradering. Uten et godt referat kan det oppstå misforståelser, ting blir glemt, og prosjektet sklir ut. Med et klart møtereferat vet alle hva som skal gjøres, når og av hvem.
Fordelene med møtereferater er mange:
- Effektivitet: Redusert tid brukt på å repetere tidligere diskusjoner.
- Klarhet: Unngår misforståelser og klargjør hva som er blitt avtalt.
- Ansvar: Hver deltaker vet hvem som har ansvaret for oppgaver.
- Minne: Gir en historisk oversikt over diskusjoner og beslutninger.
- Kultur: Bidrar til en kultur for åpenhet og ansvarlighet i teamet.
Les artikkelen om møtereferat her, og følg med i bloggen – i slutten av april kommer jeg med en oppfølger om hvordan du kan la teknologien hjelpe deg med møtereferat.
Strategier: Forberedelse slår panikk
En IT-strategi er som en evakueringsplan for virksomheten. Du vet kanskje ikke når du trenger den, og håper du aldri kommer til å trenge den, men du vil være glad for at den finnes det er behov for den.
- Håp: At IT-infrastrukturen er robust nok til å tåle alt.
- Plan: En langsiktig IT-strategi med fokus på sikkerhet, redundans og skalerbarhet.
Hvis en bedrift vokser raskt, men har ikke planlagt for økt belastning på IT-systemene kan det føre til kaos, nedetid og frustrerte kunder. En solid vekststrategi kunne forhindret dette. Dette var jeg inne på i artikkelen om voksesmerter fra i fjor.
Prosedyrer: Når systemet skal fungere uten hokus pokus
Gode prosedyrer gjør at systemer og prosesser fungerer konsekvent, uavhengig av hvem som sitter bak spakene.
- Håp: At folk gjør ting riktig av seg selv.
- Plan: Standardiserte prosedyrer for alt fra IT-drift til sikkerhetshåndtering og kriseberedskap.
Når en ny IT-medarbeider begynner, trenger de klare retningslinjer for hvordan systemene vedlikeholdes. Hvis prosedyrene er godt dokumentert, kan de jobbe effektivt fra dag én, i stedet for å finne ut av ting ved å «prøve og feile».
Konklusjon: Håp er ikke en strategi
I IT-verdenen er håp noe du kan ha for ferieplanene dine – men ikke for beredskap, sikkerhet, dokumentasjon eller strategi.
Tenk på det slik: Privat tar du grep for å være forberedt på det uforutsette. Du har kanskje en budsjettkonto for uforutsette utgifter. Du ville heller ikke droppet forsikringen på bilen eller huset, fordi du forstår konsekvensene av å stå uten når krisen inntreffer.
Men på jobb glemmer mange disse grunnleggende prinsippene. De stoler på at ting bare fungerer, at sikkerhetsrutiner er «noen andres ansvar», eller at systemene aldri vil feile. For de fleste er det ikke et spørsmål om hvis, men når.
- IT-beredskap sikrer at du er klar for det uforutsette
- Sikkerhetstiltak beskytter mot menneskelige og tekniske feil
- Dokumentasjon og møtereferater sørger for at ingen må stole på hukommelsen
- Prosedyrer og strategier gir forutsigbarhet og effektivitet
Men hva skjer hvis serveren krasjer, bedriften rammes av et cyberangrep, eller den eneste som vet hvordan systemet fungerer plutselig slutter? Håper du på det beste, eller har du en plan?
