En incidentplan og et incidentkort

Modul 8: Når det går galt · Læsetid: 10 minutter

Læringsmål: Efter denne lektion kan du lave et incidentkort og en enkel incidentplan, der også fungerer, hvis dine computere, din mail og din telefonliste ikke er tilgængelige.

Nøglebegreber: incident, incidentkort, incidentplan, roller, kontaktliste, inddæmning, bevarelse af bevismateriale, kommunikation, offline opbevaring, øvelse (tabletop)

Hvorfor du ordner dette nu, og ikke når det brænder

Forestil dig: det er mandag morgen klokken 07:45. På kasseapparatets pc hos Bakkerij Example står der en rød skærm med teksten om, at alle filer er krypteret. Den delte mappe med bestillinger åbner ikke. Nogen siger: "Ring til it-manden." Men hans nummer står i mailboksens kontakter, og mailboksen ligger på den samme pc. En anden vil slukke pc'en med det samme. En tredje begynder at tilslutte backupdisken for at "gendanne alt".

Alle tre reaktioner er forståelige, og to af dem gør det værre. Sådan går det næsten altid: under pres gør folk det, der falder dem først ind. Et incident er enhver hændelse, der truer tilgængeligheden, pålideligheden eller fortroligheden af dine data eller systemer: en hacket mailkonto, ransomware, en mistet bærbar computer, en mail med kundedata sendt til den forkerte person, en hjemmeside, der er overtaget.

Formålet med en plan er ikke, at alt går godt. Formålet er, at du i den første time ikke begår fejl, du ikke kan rette op på, og at du ved, hvem du skal ringe til.

Incidentkort og incidentplan: forskellen

For en virksomhed med to til tyve ansatte er kortet det vigtigste. Planen må gerne være kort. Det nederlandske NCSC har en omfattende incidentresponsplan for ransomware (se Læs mere); den kan du bruge som udgangspunkt og forkorte.

Hvad der står på incidentkortet

Et godt kort besvarer fem spørgsmål. Her er en skabelon, du kan bruge.

INCIDENTKORT  Bakkerij Example            version: 1   dato: ..-..-....

1. OPDAGER DU NOGET MISTÆNKELIGT?  (rød skærm, mærkelig mail sendt, login virker ikke,
   ukendt betaling, bærbar væk, data sendt til forkert modtager)
   -> Meld det STRAKS til: ............................  tlf: ...............
      Reserve: ..........................................  tlf: ...............
   Det er altid godt at melde det. Ingen får skylden.

2. FØRSTE SKRIDT (prøv ikke selv at reparere)
   [ ] Træk netværkskablet ud / sluk wifi / flytilstand. SLUK IKKE enheden.
   [ ] Kobl usb- og backupdiske fra. TILSLUT DEM IKKE.
   [ ] Tag et billede af skærmen (med din telefon).
   [ ] Skriv ned: tidspunkt, hvad du så, hvad du gjorde.
   [ ] Betal ikke, reager ikke på afpresseren.

3. HVEM RINGER VI TIL?
   IT-hjælp / administrator   ............................  tlf: ...............
   Hosting / mail             ............................  tlf: ...............
   Bank (svindel, 24/7)       ............................  tlf: ...............
   Forsikringsselskab (cyber) ............................  police: .............
   Politiet (anmeldelse)      114 (døgnservice), 112 (akut)
   Datatilsynet (databrud)    anmeldelse via Datatilsynets digitale formular (inden for 72 timer)
   Vigtig kunde/leverandør: ...................  tlf: ...............

4. HVEM BESLUTTER, OG HVEM TALER?
   Beslutter (slukke, gendanne, anmelde, betale): ..........................
   Taler med kunder, presse, medarbejdere: ........................................
   Fører logbogen: .....................................................

5. HVOR FINDES HVAD?
   Backup: .............................. (seneste test: ..-..-....)
   Nødadgang til adgangskodeadministrator: ...........................................
   Liste over systemer og konti: ..........................................
   Denne plan (digitalt) + kopi uden for virksomheden: ..............................

Et par valg i denne skabelon fortjener en forklaring.

• "Sluk ikke, men kobl fra." Ved ransomware anbefaler det nederlandske NCSC, at en ramt enhed straks tages af netværket (kabel, wifi, mobilnetværk), men ikke slukkes; dvaletilstand er i orden. I arbejdshukommelsen findes spor, som en undersøger kan have brug for, og nogle gange endda nøgler. At koble fra stopper spredningen til andre enheder og til netværksdisken.
• "Tilslut ikke backupdiske." En disk, du tilslutter en inficeret pc, bliver også krypteret. Først skal det være sikkert, at miljøet er rent (lektion 8.3).
• "Det er altid godt at melde det." Den medarbejder, der først opdager noget, er dit bedste forsvar. Hvis vedkommende er bange for at blive skudt skylden i skoene, venter han, og du mister timer. Se også lektion 9.2.
• Numre på papir. Netop ved et stort incident virker din mail, din delte kalender og nogle gange også din omstillingscentral ikke. Et kort, der kun findes i skyen, er så væk.

Politiets nummer for sager uden akut fare er 114, hvor virksomheder kan aftale en anmeldelse. Ved direkte fare ringer du 112, men et cyberangreb er som regel ikke en 112-sag.

Roller: hvem gør hvad

I en lille virksomhed er én person ofte alt. Aftal alligevel tre roller, selv hvis to af dem har samme navn:

1. Beslutningstageren. Beslutter om slukning, gendannelse, anmeldelse til Datatilsynet, kontakt til banken, og spørgsmålet om, hvorvidt en ekstern specialist skal inddrages. Helst ejeren eller direktøren, med en fast stedfortræder.
2. Den tekniske linje. Din it-leverandør, webudvikler eller den handy kollega. Udfører det, beslutningstageren beder om, og rådgiver. Aftal på forhånd, om din it-leverandør også hjælper ved et incident, hvor hurtigt, og hvad det koster; det er et spørgsmål til lektion 7.2.
3. Kommunikatøren. Taler med kunder, medarbejdere og eventuelt pressen, så der kommer én samlet historie udadtil. Ved et databrud hører det med at informere de berørte (lektion 8.2).

Udpeg også nogen til at føre en logbog: tidspunkt, hvad der skete, hvem der besluttede hvad. Det lyder bureaukratisk, men du får brug for det til anmeldelsen til Datatilsynet (som spørger, hvornår du opdagede bruddet, og hvad du gjorde), til dit forsikringsselskab, til politianmeldelsen og til evalueringen bagefter.

Planen: et par regler per type incident

Ud over kortet skriver du en kort fremgangsmåde for hvert almindeligt forekommende incident. Fire er nok til at begynde med:

Fastlæg også, hvilke systemer der er vigtigst, i rækkefølge. Hos Bakkerij Example er det for eksempel: kasseapparat og betalingsterminal, dagens bestillinger, mail, bogføring, hjemmeside. Ved gendannelse starter du øverst. Se også RPO og RTO i lektion 6.3.

Øv dig: en halv time ved bordet

En plan, som ingen kender, virker ikke. En tabletop-øvelse tager en halv time: du sidder ved bordet med de personer, der har en rolle, og gennemspiller et scenarie, uden at røre ved noget. Den, der leder øvelsen (det kan være dig selv), fortæller trin for trin, hvad der sker.

Eksempel: "Det er fredag klokken 16:30. Bogholderen får en mail fra en fast leverandør: IBAN-nummeret er ændret, den udestående faktura på 8.400 euro bedes sendt til det nye nummer allerede i dag. Hvad gør du?" Og bagefter: "Det er mandag. Leverandøren ringer: han har ikke modtaget noget." Ved hvert trin spørger du: hvem gør hvad, hvem ringer du til, hvor står det nummer?

Bagefter skriver du ned, hvad der manglede. Næsten altid er det et telefonnummer, en adgangskode, kun én person kender, eller uklarhed om, hvem der beslutter. Tilpas kortet, og sæt den nye dato på. At øve én gang om året og gennemgå kortet er en god rytme for en lille virksomhed, og også efter enhver stor ændring (ny it-leverandør, nyt bogføringssystem).

I praksis: sådan ser det ud

Medtag i dit kort også de konkrete steder, hvor du hurtigt kan gribe ind hos dine egne leverandører. Hos WebOké er det for eksempel: se og log aktive sessioner ud i Mit WebOké, trin-for-trin-vejledningen "Min hjemmeside er hacket" i DirectAdmin-vejledningen, og gendannelse af en backup. Hos andre udbydere af hosting, mail og cloud findes der tilsvarende funktioner; find dem, inden du får brug for dem, og skriv ned, hvor de er.

Opsummering

• Et incidentkort (ét A4-ark, på papir) sikrer, at alle i de første minutter gør det rigtige: melde det, koble fra men ikke slukke, ikke tilslutte backups, ikke betale noget.
• Aftal roller: hvem beslutter, hvem udfører det tekniske arbejde, hvem kommunikerer, hvem fører logbogen.
• Skriv en kort fremgangsmåde for hvert almindeligt forekommende incident og rækkefølgen af dine vigtigste systemer.
• Opbevar numre og planen også uden for dine computere.
• Øv en halv time ved bordet årligt, og opdater kortet.

Quiz

Opgave

Opgave D8.1: Dit eget incidentkort. Tag skabelonen fra denne lektion og udfyld den for din egen virksomhed: rigtige navne, numre og steder. Print det, hæng det op, og tag et billede til din telefon. Gennemgå derefter IBAN-scenariet fra denne lektion sammen med en kollega (eller alene) på et kvarter, og skriv ned, hvad du manglede.

Læs mere

Trinene i WebOké-artiklerne gælder for WebOkés miljø; hos andre udbydere fungerer det på tilsvarende vis.

• DirectAdmin vejledning 18.2: Min hjemmeside er hacket: trin for trin plan
• Hjælp! Mit websted er blevet hacket. Hvordan løser eller forebygger jeg det?
• WebOké vejledning 3.6: Se aktive sessioner og log ud
• Det nederlandske NCSC, Hvad gør man ved et ransomwareangreb?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• Det nederlandske NCSC, Incidentresponsplan Ransomware (pdf): https://www.ncsc.nl/api/media/sites/default/files/2025-12/Incidentenresponsplan_Ransomware.pdf
• Politiet (Danmark), anmeld svindel og it-kriminalitet: https://politi.dk/