Så leder du genom cyberattacken

Av krisplanen är det några saker som måste framgå. Det ena är ansvarsfördelningen, alltså vem som gör vad i händelse av en cyberattack. Det andra är vad som faktiskt utgör ett krisläge för bolaget.

– Konstaterar man det, att det här är ett krisläge, då samlar man sin krisledningsorganisation och går upp i stabs- eller krisläge. Sedan är det en utmaning för vd:n att dels leda krishanteringen, med allt vad det innebär av kommunikation och struktur, dels fortsätta leda den ordinarie verksamheten så långt det är möjligt, säger Pernilla Rönn.

Kom ihåg linjeverksamheten

– Det behöver finnas kraft och förmåga kvar att driva linjeverksamheten. Därför är det inte alltid jättebra att krisledningen består av enbart företagsledningen, till exempel, säger Pernilla Rönn.

Som vd behöver man också ha definierat vilken verksamhet som är kritisk för bolaget och därmed måste skyddas och återställas först. Här blir snabbhet en kritisk färdighet för krisledningen.

– Har man en hotaktör inne i sin organisation så gäller det att omgående isolera drabbade delar av nätverket eller drabbade system så att det inte sprider sig, säger Pernilla Rönn.

Alternativa vägar för kommunikation

Detta är inte helt okomplicerat, om hela IT-miljön är angripen och de normala kommunikationsvägarna upphört att fungera. Även här är det därför av vikt att alternativa kanaler identifierats och prövats i förväg.

– Många använder appar som Signal, för att som vd få kontakt med dem som ska utgöra krisledningen. För internkommunikationen i bolaget kan det vara bra med en manuell rutin, som att det finns personer på varje ort med ansvar för att kommunicera information analogt, säger Pernilla Rönn.

Hon anser att det förebyggande arbetet också gärna får innefatta färdiga telefonlistor för att kunna kommunicera via sms, och påminner om de lösningar som finns för att snabbsprida sms – i stället för att skicka ett i taget.

– Om inte hela mobilnätet också är nere, lägger hon till. Men så är det sällan när den interna IT-miljön är drabbad.

Rutinen bygger vd-resiliens

Vd-rollen prövas hårt av en cyberattack, eftersom den pressade situationen medför förväntningar och frågor från många håll.

– I dagens samhälle kan information komma ut till offentligheten väldigt snabbt, och med det kommer krav på att man ska kommentera händelser, svara på frågor och agera. Då är det jätteviktigt att man som vd behåller lugnet och att man har tränat på kriskommunikation, så att man kan vara transparent och öppen utan att spekulera, säger Pernilla Rönn.

Det finns gott om exempel, säger hon, på bolag som stärkt både varumärke och börsvärdering just för att vd:n hanterat händelser på rätt sätt.

– Grunden är att kommunicera ut det man vet, men också det man inte vet, och göra det ofta. Gå inte ut och prata om att det är en cyberattack om det inte är säkerställt, och peka inte ut en skyldig utan ha på fötterna, instruerar Pernilla Rönn.

Riskerna med att uttala sig om sådant man inte vet är flera: felaktigt utpekade aktörer lär reagera negativt, hanteringen av incidenten kan bli fel för att man dragit förhastade slutsatser, och vd:n kan framstå som mindre kompetent.

– Kommunicera hellre utåt en gång för mycket, att man inte vet vad som hänt. Transparens är viktigt, säger Pernilla Rönn.

Nödvändiga avtal på plats

Incidenthanteringen kan många gånger kräva extern kompetens, framför allt på IT-området, ifall det saknas internt. Sådana avtal måste vara på plats sedan tidigare, så att man som vd bara kan ”trycka på knappen” när krisen kommer, menar Pernilla Rönn.

– Annars kan det bli kamp om den nödvändiga kompetensen, om det visar sig att flera aktörer i samhället samtidigt är drabbade av attacken, säger hon.

Pernilla Rönn återkommer till att man som vd måste ha klart för sig bolagets viktigaste funktioner, processer och system, så att man vet vad som ska hanteras och återställas först.

Fatta besluten – trots osäkerhet

– Jag upplever att det är en utmaning i många verksamheter: att man inte har koll på vad som är mest kritiskt i verksamheten och vilka it-system som stödjer de funktionerna. Här gäller det att man har gjort sin verksamhetsberoende analys. För det är aldrig ett tekniskt beslut när en incident inträffat, utan det är vd:n som ska ställa rätt frågor fatta besluten.

Avstår man från att fatta beslut, därför att situationen är så osäker, då finns det risk att någon annan gör det åt en:

– En it-organisation som agerar på eget bevåg utan strategisk vägledning, det kan bli fel. Dessutom ökar risken för att attacken sprider sig i försörjningskedjan och får konsekvenser för aktörer man samarbetar med, säger Pernilla Rönn.

I slutändan handlar förmågan att fatta beslut också om att undvika legala påföljder. Kravet på incidentrapportering enligt cybersäkerhetslagen NIS2 (för verksamheter i vissa branscher) innebär att en första rapportering ska göras inom 24 timmar.

– Att kunna hantera incidenter snabbt och effektivt är en av grundpelarna i alla de här nya regelverken på säkerhetsområdet. Och det är av förklarliga skäl, för det är en stor utmaning i dag, säger Pernilla Rönn.