En incidentplan och ett incidentkort

Modul 8: När något går fel · Lästid: 10 minuter

Lärandemål: Efter den här lektionen kan du skapa ett incidentkort och en enkel incidentplan som fungerar även om dina datorer, mejl och telefonlista inte går att nå.

Nyckelbegrepp: incident, incidentkort, incidentplan, roller, kontaktlista, begränsa skadan, bevara bevis, kommunikation, offline förvaring, öva (tabletop)

Varför du ordnar det här nu, och inte när det brinner

Tänk dig: det är måndag morgon klockan 07:45. På kassadatorn hos Bageriet Example visas en röd skärm med texten att alla filer är krypterade. Den delade mappen med beställningarna går inte att öppna. Någon säger: "Ring IT-killen." Men hans nummer ligger i mejlkontakterna, och mejlkorgen finns på samma dator. En annan vill stänga av datorn direkt. En tredje börjar koppla in säkerhetskopieringsdisken för att "återställa allt".

Alla tre reaktionerna är begripliga, och två av dem gör saken värre. Så går det nästan alltid till: under press gör människor det som faller dem in först. En incident är varje händelse som hotar tillgängligheten, tillförlitligheten eller sekretessen för dina uppgifter eller system: ett kapat mejlkonto, utpressningsprogram (ransomware), en borttappad bärbar dator, ett mejl med kunduppgifter till fel person, en webbplats som tagits över.

Syftet med en plan är inte att allt ska gå bra. Syftet är att du under den första timmen inte gör misstag som inte går att rätta till, och att du vet vem du ska ringa.

Incidentkort och incidentplan: skillnaden

För ett företag med två till tjugo anställda är kortet det viktigaste. Planen kan vara kort. Det nederländska NCSC har en omfattande incidentresponsplan för utpressningsprogram (se Läs mer); den kan du använda som utgångspunkt och korta ner.

Vad som står på incidentkortet

Ett bra kort besvarar fem frågor. Nedan en mall du kan utgå från.

INCIDENTKORT  Bageriet Example            version: 1   datum: ..-..-....

1. MÄRKER DU NÅGOT KONSTIGT?  (röd skärm, konstigt mejl skickat, inloggning
   fungerar inte, okänd betalning, bärbar dator borta, uppgifter till fel mottagare)
   -> Anmäl det DIREKT till: ............................  tel: ...............
      Reserv: ..........................................  tel: ...............
   Att anmäla är alltid bra. Ingen får skulden.

2. FÖRSTA STEGEN (försök inte laga själv)
   [ ] Dra ur nätverkskabeln / stäng av wifi / flygplansläge. STÄNG INTE av.
   [ ] Koppla loss usb- och säkerhetskopieringsdiskar. ANSLUT INTE.
   [ ] Ta foto av skärmen (med din telefon).
   [ ] Skriv ner: tid, vad du såg, vad du gjorde.
   [ ] Betala inte, svara inte utpressaren.

3. VEM RINGER VI?
   IT-hjälp / administratör   ............................  tel: ...............
   Webbhotell / e-post        ............................  tel: ...............
   Bank (bedrägeri, dygnet runt)   ............................  tel: ...............
   Försäkringsbolag (cyber)   ............................  försäkring: .............
   Polisen (anmälan)    114 14 (nödnummer 112)
   IMY anmälningstjänst för personuppgiftsincident  https://www.imy.se/ (inom 72 timmar)
   Viktig kund/leverantör: ...................  tel: ...............

4. VEM BESLUTAR OCH VEM PRATAR?
   Beslutar (stänga av, återställa, anmäla, betala): ..........................
   Pratar med kunder, press, personal: ........................................
   För loggboken: .....................................................

5. VAR FINNS VAD?
   Säkerhetskopior: .............................. (senaste test: ..-..-....)
   Lösenordshanterarens nödåtkomst: ...........................................
   Lista över system och konton: ..........................................
   Denna plan (digitalt) + kopia utanför verksamheten: ..............................

Några val i den här mallen förtjänar en förklaring.

• "Stäng inte av, men koppla loss." Vid utpressningsprogram rekommenderar det nederländska NCSC att en drabbad enhet omedelbart kopplas bort från nätverket (kabel, wifi, mobilnät), men att den inte stängs av; viloläge är okej. I arbetsminnet finns spår som en utredare kan behöva, och ibland till och med krypteringsnycklar. Att koppla loss stoppar spridningen till andra enheter och till nätverksdisken.
• "Anslut inte säkerhetskopieringsdiskar." En disk som du kopplar till en smittad dator blir också krypterad. Först måste det vara klarlagt att miljön är ren (lektion 8.3).
• "Att anmäla är alltid bra." Den medarbetare som först ser något är ditt bästa försvar. Om personen är rädd för en tillsägelse väntar hen, och du förlorar timmar. Se även lektion 9.2.
• Nummer på papper. Just vid en stor incident fungerar ofta inte din mejl, din delade kalender och ibland inte heller din telefonväxel. Ett kort som bara finns i molnet är då borta.

Polisens nummer 114 14 används för ärenden utan brådska; företag kan boka tid för anmälan via det numret. Vid omedelbar fara ringer du 112, men en cyberattack är oftast inget 112-ärende.

Roller: vem gör vad

I ett litet företag är en person ofta allt. Kom ändå överens om tre roller, även om två av dem har samma namn:

1. Beslutsfattaren. Beslutar om avstängning, återställning, anmälan till IMY, kontakt med banken och frågan om en extern specialist ska kopplas in. Helst ägaren eller vd:n, med en fast ersättare.
2. Den tekniska linjen. Din IT-leverantör, webbyggare eller den händiga kollegan. Gör det som beslutsfattaren ber om och ger råd. Kom överens i förväg om din IT-leverantör även hjälper till vid en incident, hur snabbt, och vad det kostar; det är en fråga för lektion 7.2.
3. Kommunikatören. Pratar med kunder, personal och eventuellt pressen, så att samma berättelse når ut. Vid en personuppgiftsincident hör även informering av berörda hit (lektion 8.2).

Utse också någon som för en loggbok: tid, vad som hände, vem som beslutade vad. Det kan verka byråkratiskt, men du behöver den för anmälan till IMY (som frågar när du upptäckte läckan och vad du gjorde), för ditt försäkringsbolag, för polisanmälan och för utvärderingen i efterhand.

Planen: ett par regler per typ av incident

Utöver kortet skriver du en kort åtgärdsplan för varje vanligt förekommande incident. Fyra räcker för att börja med:

Skriv även ner vilka system som är viktigast, i ordning. Hos Bageriet Example är det till exempel: kassa och kortbetalning, dagens beställningar, mejl, bokföring, webbplats. Vid återställning börjar du högst upp. Se även RPO och RTO i lektion 6.3.

Öva: en halvtimme vid bordet

En plan som ingen känner till fungerar inte. En tabletop-övning tar en halvtimme: du sitter vid bordet med de personer som har en roll och spelar igenom ett scenario, utan att röra något. Ledaren (det kan vara du själv) berättar steg för steg vad som händer.

Exempel: "Det är fredag klockan 16:30. Bokföraren får ett mejl från en fast leverantör: IBAN-numret har ändrats, kan den utestående fakturan på 8 400 euro skickas till det nya numret redan idag. Vad gör du?" Och sedan: "Det är måndag. Leverantören ringer: de har inte fått något."

Vid varje steg frågar du: vem gör vad, vem ringer du, var finns det numret? Efteråt skriver du ner vad som saknades. Nästan alltid är det ett telefonnummer, ett lösenord som bara en person känner till, eller otydlighet om vem som beslutar. Uppdatera kortet och sätt det nya datumet på det. Att öva en gång om året och gå igenom kortet är en bra rutin för ett litet företag, och likaså efter varje stor förändring (ny IT-leverantör, nytt bokföringsprogram).

I praktiken: så här ser det ut

Ta med i ditt kort även de konkreta ställen där du snabbt kan ingripa hos dina egna leverantörer. Hos WebOké är det till exempel: se och logga ut aktiva sessioner i Mitt WebOké, stegvisa guiden "Min webbplats är hackad" i DirectAdmin-handledningen, och återställning av en säkerhetskopia. Hos andra leverantörer av webbhotell, mejl och moln finns liknande funktioner; sök reda på dem innan du behöver dem, och skriv ner var de finns.

Sammanfattning

• Ett incidentkort (ett A4-blad, på papper) ser till att alla under de första minuterna gör rätt: anmäla, koppla loss men inte stänga av, inte ansluta säkerhetskopior, inte betala.
• Kom överens om roller: vem beslutar, vem gör det tekniska arbetet, vem kommunicerar, vem för loggboken.
• Skriv en kort åtgärdsplan för varje vanligt förekommande incident och ordningen för dina viktigaste system.
• Spara nummer och planen också utanför dina datorer.
• Öva en halvtimme vid bordet varje år och uppdatera kortet.

Quiz

Uppgift

Uppgift D8.1: Ditt eget incidentkort. Ta mallen från den här lektionen och fyll i den för ditt eget företag: riktiga namn, nummer och platser. Skriv ut det, sätt upp det och ta ett foto till telefonen. Gör därefter med en kollega (eller ensam) IBAN-scenariot från den här lektionen under en kvart, och skriv ner vad du saknade.

Läs mer

Stegen i WebOkés artiklar gäller för WebOkés egen miljö; hos andra leverantörer fungerar det på liknande sätt.

• DirectAdmin-guide 18.2: Min webbplats är hackad: steg för steg
• Hjälp! Min webbplats har hackats. Hur löser eller förhindrar jag det?
• WebOké manual 3.6: Visa och logga ut aktiva sessioner
• Nederländska NCSC, Vad göra vid en utpressningsattack?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• Nederländska NCSC, Incidentresponsplan för utpressningsprogram (pdf): https://www.ncsc.nl/api/media/sites/default/files/2025-12/Incidentenresponsplan_Ransomware.pdf
• Polisen, Utsatt för utpressningsprogram: https://polisen.se/