En hendelsesplan og et hendelseskort

Modul 8: Når noe går galt · Lesetid: 10 minutter

Læringsmål: Etter denne leksjonen kan du lage et hendelseskort og en enkel hendelsesplan som fungerer også når datamaskiner, e-post og telefonliste ikke lenger er tilgjengelige.

Nøkkelbegreper: hendelse, hendelseskort, hendelsesplan, roller, kontaktliste, begrense skade, bevare bevis, kommunikasjon, oppbevare offline, øve (tabletop)

Hvorfor du ordner dette nå, og ikke når det brenner

Tenk deg: det er mandag morgen klokken 07:45. På kassa-PC-en til Bakeriet Example står det et rødt skjermbilde med teksten om at alle filer er kryptert. Den delte mappen med bestillingene åpnes ikke. Noen sier: «Ring IT-mannen.» Men nummeret hans står i kontaktene i e-postboksen, og e-postboksen ligger på samme PC. En annen vil slå av PC-en med en gang. En tredje begynner å koble til sikkerhetskopi-disken for å «gjenopprette alt».

Alle tre reaksjonene er forståelige, og to av dem gjør det verre. Slik går det nesten alltid: under press gjør folk det som faller dem inn først. En hendelse er enhver hendelse som truer tilgjengeligheten, påliteligheten eller konfidensialiteten til dataene eller systemene dine: en hacket e-postkonto, løsepengevirus, en mistet bærbar PC, en e-post med kundeopplysninger sendt til feil person, et nettsted som er overtatt.

Målet med en plan er ikke at alt skal gå bra. Målet er at du ikke gjør feil den første timen som du ikke kan rette opp igjen, og at du vet hvem du skal ringe.

Hendelseskort og hendelsesplan: forskjellen

For en bedrift med to til tjue ansatte er kortet det viktigste. Planen kan være kort. Det nederlandske NCSC har en omfattende hendelsesresponsplan for løsepengevirus (se Les mer); den kan du bruke som utgangspunkt og korte ned.

Hva som står på hendelseskortet

Et godt kort svarer på fem spørsmål. Under finner du en mal du kan bruke.

HENDELSESKORT  Bakeriet Example            versjon: 1   dato: ..-..-....

1. LEGGER DU MERKE TIL NOE RART?  (rødt skjermbilde, rar e-post sendt, innlogging feiler,
   ukjent betaling, bærbar PC borte, data sendt til feil mottaker)
   -> Meld det MED EN GANG til: ............................  tlf: ...............
      Reserve: ..........................................  tlf: ...............
   Å melde fra er alltid riktig. Ingen får skylden.

2. FØRSTE STEG (ikke prøv å reparere selv)
   [ ] Trekk ut nettverkskabelen / slå av wifi / flymodus. IKKE slå av.
   [ ] Koble fra USB- og sikkerhetskopi-disker. IKKE koble til.
   [ ] Ta bilde av skjermen (med telefonen din).
   [ ] Skriv ned: tidspunkt, hva du så, hva du gjorde.
   [ ] Ikke betal, ikke svar utpresseren.

3. HVEM RINGER VI?
   IT-hjelp / administrator   ............................  tlf: ...............
   Webhotell / e-post         ............................  tlf: ...............
   Bank (svindel, 24/7)       ............................  tlf: ...............
   Forsikringsselskap (cyber) ............................  polise: .............
   Politiet (anmeldelse)      02800
   Datatilsynet, melding om avvik   datatilsynet.no (innen 72 timer)
   Viktig kunde/leverandør: ...................  tlf: ...............

4. HVEM BESTEMMER OG HVEM SNAKKER?
   Bestemmer (slå av, gjenopprette, melde, betale): ..........................
   Snakker med kunder, presse, ansatte: ........................................
   Fører loggboken: .....................................................

5. HVOR FINNES HVA?
   Sikkerhetskopier: .............................. (siste test: ..-..-....)
   Passordbehandler nødtilgang: ...........................................
   Liste over systemer og kontoer: ..........................................
   Denne planen (digital) + kopi utenfor virksomheten: ..............................

Noen valg i denne malen fortjener en forklaring.

• «Ikke slå av, men koble fra.» Ved løsepengevirus anbefaler det nederlandske NCSC å koble en rammet enhet fra nettverket med en gang (kabel, wifi, mobilnett), men ikke slå den av; dvalemodus er greit. I arbeidsminnet ligger det spor som en etterforsker kan trenge, og noen ganger til og med nøkler. Frakobling stopper spredningen til andre enheter og til nettverksdisken.
• «Ikke koble til sikkerhetskopi-disker.» En disk du kobler til en infisert PC, blir også kryptert. Først må det være klart at omgivelsene er rene (leksjon 8.3).
• «Å melde fra er alltid riktig.» Den ansatte som først ser noe, er ditt beste forsvar. Hvis vedkommende er redd for å få kjeft, venter han, og du mister timer. Se også leksjon 9.2.
• Numre på papir. Nettopp ved en stor hendelse fungerer ofte ikke e-posten din, den delte kalenderen og noen ganger heller ikke telefonsentralen. Et kort som bare ligger i skyen, er da borte.

Nummeret 02800 er politiets generelle nummer for saker uten hast; bedrifter avtaler time for anmeldelse der. Ved akutt fare ringer du nødnummer 112, men et cyberangrep er som regel ikke en 112-sak.

Roller: hvem gjør hva

I en liten bedrift er det ofte én person som gjør alt. Avtal likevel tre roller, selv om to av dem har samme navn:

1. Beslutningstakeren. Bestemmer om noe skal slås av, gjenopprettes, meldes til Datatilsynet, kontakt med banken, og om det skal kobles inn en ekstern spesialist. Helst eieren eller daglig leder, med en fast vara.
2. Den tekniske linjen. IT-leverandøren din, nettbyggeren eller den flinke kollegaen. Gjør det beslutningstakeren ber om, og gir råd. Avtal på forhånd om IT-leverandøren din også hjelper ved en hendelse, hvor raskt, og hva det koster; det er et spørsmål for leksjon 7.2.
3. Kommunikatøren. Snakker med kunder, ansatte og eventuelt pressen, slik at det kommer én historie ut. Ved et datalekkasje hører informering av berørte også hjemme her (leksjon 8.2).

Utpek også noen som fører en loggbok: tidspunkt, hva som skjedde, hvem som besluttet hva. Det kan virke byråkratisk, men du trenger det for melding til Datatilsynet (som spør når du oppdaget avviket og hva du gjorde), for forsikringsselskapet, for anmeldelse og for evalueringen i etterkant.

Planen: noen regler per type hendelse

I tillegg til kortet skriver du en kort fremgangsmåte for hver vanlig hendelsestype. Fire er nok til å begynne med:

Fastsett også hvilke systemer som er viktigst, i rekkefølge. Hos Bakeriet Example er det for eksempel: kasse og betalingsterminal, dagens bestillinger, e-post, regnskap, nettsted. Ved gjenoppretting begynner du øverst. Se også RPO og RTO i leksjon 6.3.

Øve: en halvtime rundt bordet

En plan som ingen kjenner til, fungerer ikke. En tabletop-øvelse tar en halvtime: du sitter rundt bordet med dem som har en rolle, og spiller gjennom et scenario uten å røre noe. Den som leder øvelsen (det kan være deg selv) forteller steg for steg hva som skjer.

Eksempel: «Det er fredag klokken 16:30. Regnskapsføreren får en e-post fra en fast leverandør: IBAN-nummeret er endret, den utestående fakturaen på 8.400 euro bes betalt til det nye nummeret i dag. Hva gjør du?» Og deretter: «Det er mandag. Leverandøren ringer: han har ikke mottatt noe.» Ved hvert steg spør du: hvem gjør hva, hvem ringer du, hvor finner du det nummeret?

Etterpå skriver du ned hva som manglet. Nesten alltid er det et telefonnummer, et passord bare én person kjenner, eller uklarhet om hvem som bestemmer. Juster kortet og sett på den nye datoen. Å øve én gang i året og gå gjennom kortet er en god rutine for en liten bedrift, og også etter hver store endring (ny IT-leverandør, nytt regnskapsprogram).

I praksis: slik ser det ut

Ta også med i kortet ditt de konkrete stedene der du raskt kan gripe inn hos dine egne leverandører. Hos WebOké er det for eksempel: se og logg ut aktive økter i Min side, fremgangsmåten «Nettstedet mitt er hacket» i DirectAdmin-veiledningen, og gjenoppretting av en sikkerhetskopi. Hos andre leverandører av webhotell, e-post og sky finnes lignende funksjoner; finn ut hvor de er før du trenger dem, og skriv ned hvor de ligger.

Oppsummering

• Et hendelseskort (ett A4-ark, på papir) sørger for at alle gjør det riktige de første minuttene: melde fra, koble fra men ikke slå av, ikke koble til sikkerhetskopier, ikke betale noe.
• Avtal roller: hvem bestemmer, hvem gjør det tekniske arbeidet, hvem kommuniserer, hvem fører loggboken.
• Skriv en kort fremgangsmåte for hver vanlig hendelsestype, og rekkefølgen på de viktigste systemene dine.
• Oppbevar numre og planen også utenfor datamaskinene dine.
• Øv en halvtime rundt bordet årlig og oppdater kortet.

Quiz

Oppgave

Oppgave D8.1: Ditt eget hendelseskort. Ta malen fra denne leksjonen og fyll den ut for din egen bedrift: ekte navn, numre og steder. Skriv den ut, heng den opp og ta et bilde til telefonen din. Gjennomfør deretter IBAN-scenarioet fra denne leksjonen med en kollega (eller alene) i løpet av et kvarter, og skriv ned hva du savnet.

Les mer

Stegene i WebOké-artiklene gjelder for miljøet til WebOké; hos andre leverandører fungerer det på lignende måte.

• DirectAdmin-veiledning 18.2: Nettstedet mitt er hacket: steg for steg
• Hjelp! Nettstedet mitt er hacket. Hvordan løser eller forebygger jeg det?
• WebOké-veiledning 3.6: Vise og logge ut aktive økter
• Det nederlandske NCSC, Hva gjør du ved et løsepengevirusangrep?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• Det nederlandske NCSC, Hendelsesresponsplan løsepengevirus (pdf): https://www.ncsc.nl/api/media/sites/default/files/2025-12/Incidentenresponsplan_Ransomware.pdf
• Politiet, Jeg er offer for løsepengevirus: https://www.politiet.no/