Miksi yrityksesi tarvitsee kriisisuunnitelman – ennen kuin on liian myöhäistä

Kun kello on kolme yöllä ja palvelin pois pelistä

Kuvittele tilanne.

Kännykkäsi piippaa keskellä yötä. Et ole koskaan toivonut saavasi tällaista viestiä. Pääpalvelimesi ei vastaa, tai saat ilmoituksen, että joku luvaton on päässyt käsiksi asiakastietokantaasi. Nyt olet hereillä – sydän hakkaa, mielessä pyörii kaikki pahimmat skenaariot.

Mitä teet?

Jos vastauksesi on "panikoiden alan soittaa puheluita", et ole yksin. Suurin osa pk-yrittäjistä tekisi juuri niin. Mutta tässä on juttu – tuo lähestymistapa maksaa sinulle aikaa, rahaa ja mahdollisesti monia unettomia öitä, kun yrität toipua siitä, mitä ikinä tapahtuikaan.

Hyvä uutinen? Tähän on yksinkertainen korjaus. Se on nimeltään incident response -suunnitelma, eli toimintasuunnitelma häiriötilanteisiin. Jos yritykselläsi ei vielä ole sellaista, tämä on merkki siitä, että nyt on sen aika.

Mitä incident response -suunnitelma oikeastaan tarkoittaa?

Tiivistän sen mahdollisimman yksinkertaisesti. Toimintasuunnitelma vastaa kahteen kysymykseen:

1. Kehen otamme yhteyttä, kun jotain menee pieleen?
2. Mitä teemme ensimmäiseksi?

Siinä kaikki. Ei hienoa tietoturvajargonia, ei viittäkymmentä sivua dokumentteja, joita kukaan ei jaksa lukea keskellä yötä. Vain selkeä, käytännöllinen tiekartta silloin, kun hommat menevät pieleen.

Saatat ajatella, että tuollainen kuuluu vain suuryrityksille. Mutta rehellisesti sanottuna? Pienet yritykset tarvitsevat tätä jopa enemmän kuin isot.

Pohdi hetki. Jättimäisellä yrityksellä on omat tietoturvatiiminsä, ympärivuorokautinen valvonta ja resurssit kestää tunnin sekasorto. Pienellä yrityksellä? Sinä luultavasti hoidat jo viittä eri tehtävää. Kun katastrofi iskee, sinulla ei ole varaa keksiä ratkaisuja lennossa samalla kun yrität pitää asiakkaat tyytyväisinä ja yrityksen pyörimässä.

Miksi improvisointi kostautuu aina

Olen huomannut yhden asian ihmisluonteesta: kun olemme stressaantuneita, aivomme eivät terävöidy – ne sumenevat. Adrenaliini on loistavaa karhulta pakenemiseen, mutta huono päätöksentekoon verkkoturvallisuudesta.

Ilman suunnitelmaa tapahtuu jotain tällaista: ihmiset arvailemaan. Tärkeät askeleet jäävät välistä. Joku käyttää kaksikymmentä minuuttia etsiäkseen IT-konsultin numeroa, samalla kun tietovuoto leviää tai käyttökatko jatkuu pidempään kuin on tarpeen.

Olen nähnyt tämän tapahtuvan oikeissa yrityksissä. Tunnen yhden jälleenmyyjän, joka menetti kokonaisen lauantain lunnasohjelmaiskun takia – ei siksi, että hyökkäys olisi ollut erityisen hienostunut, vaan koska kukaan ei tiennyt, kenellä oli valta ottaa järjestelmiä offline-tilaan. Kun sen lopulta selvittivät, vahinko oli jo levinnyt.

Suunnitelma poistaa tuon kaaoksen. Kun tiimisi tietää tarkalleen mitä tehdä, he pysyvät rauhallisempina, viestivät nopeammin ja tekevät vähemmän kalliita virheitä. Jo se mielenrauha maksaa ne tunnit, jotka suunnitelman kirjoittamiseen käytetään.

Perusraaka-aineet (pidä se yksinkertaisena!)

Hyvä toimintasuunnitelma ei tarvitse olla monimutkainen. Päinvastoin, yksinkertaisempi on parempi. Haluat jotain, mitä ihmiset oikeasti pystyvät käyttämään keskellä yötä, puoliunessa ja paniikissa.

Tässä on mitä suunnitelmasi pitäisi sisältää:

• Avainyhteyshenkilöt: IT-tuki, johtoryhmä ja kaikki ulkoiset toimittajat tai juristit, jotka pitää informoida kun asiat menevät pieleen
• Ensimmäiset askeleet: Välitön toimenpiteet ensimmäisten minuuttien aikana vuodon tai käyttökatkon havaitsemisen jälkeen
• Päätöksentekovalta: Kenellä on valta tehdä isoja päätöksiä – kuten ottaa järjestelmä offline-tilaan tai informoida asiakkaita – ilman lupaa
• Dokumentointi: Minne kirjataan mitä tapahtui, jotta sinulla on selkeä tallenne jälkikäteen

Pro-vinkki: nimitä varahenkilö jokaiselle yhteyshenkilölle. Ihmiset menevät lomille. He vaihtavat työpaikkaa. He eivät vastaa puhelimeen keskellä yötä. Suunnitelma, jossa on vain yksi yhteyshenkilö, on rakennettu yhtä hajoavaan kohtaan, ja luota minu – juuri silloin se hajoaa.

Virheet, joita näen jatkuvasti

Ensimmäinen virhe? Suunnitelma, joka on niin yksityiskohtainen ja pitkä, ettei kukaan jaksa avata sitä. Olen nähnyt toimintasuunnitelmia, jotka vaikuttavat siltä kuin ne olisi kirjoitettu vakuuttamaan compliance-auditorin, eikä auttamaan ketään oikeassa kriisissä. Jos suunnitelmasi vaatii kupillisen kahvia ja puoli tuntia läpikäyntiin, se on liian pitkä.

Toinen virhe on kohdella sitä kertaprojektina. Kirjoitat sen, arkistoidat ja unohdat, samalla kun työkalut, tiimi ja uhat kehittyvät. Olen laskenut monta vanhentunutta suunnitelmaa, joiden puhelinnumerot eivät ole toimineet vuosiin.

Ja kolmas? Harjoituksen kokonaan ohittaminen. Toivot vain, että se toimii kun sitä tarvitaan, sen sijaan että tietäisit varmasti.

| Virhe | Miksi se satuttaa | | Liian monimutkainen | Kukaan ei avaa 40 sivun dokumenttia keskellä yötä | | Kirjoitettu kerran | Suunnitelmat vanhenevat; työkalut ja tiimit muuttuvat | | Ei harjoitusta | Arvaamaton lopputulos juuri silloin kun sitä eniten tarvitaan |

Suunnitelmasi on puutarha, ei patsas

Tässä on mielenlaadun muutos, joka muutti tapani ajatella toimintasuunnitelmia: kohtele suunnitelmaa puutarhana, ei patsaana.

Patsas rakennetaan kerran ja sen on tarkoitus seisoa muuttumattomana ikuisesti. Mutta puutarha? Puutarha tarvitsee säännöllistä hoitoa. Kitket rikkaruohoja, istutat uusia kasveja ja sopeudut vuodenaikoihin.

Aikatauloi toistuva muistutus suunnitelman läpikäyntiin muutaman kuukauden välein. Ei silloin kun muistat – laita se kalenteriin kuin tiimipalaveri. Kun lisäät uuden toimittajan, otat käyttöön uuden ohjelmiston tai joku vaihtaa työroolia, päivitä suunnitelma heti. Nämä hetket ovat luonnollisia tarkistuspisteitä.

Suosittelen pitämään myös yksinkertaista versionhistoriaa. Vaikka vain päivämäärä ja lyhyt merkintä alareunassa. Se vie kolmekymmentä sekuntia, mutta kertoo kaikille, että tämä on ajanmukainen dokumentti, eikä pölyinen jäänne vuodelta 2019.

Varmista, että ihmiset oikeasti käyttävät sitä

Suunnitelmasi on arvoton, jos kukaan ei tiedä mistä sen löytää tai miten sitä käytetään. Siksi saavutettavuus on niin tärkeää.

Pidä kopio jossain, jonne pääset käsiksi vaikka sähköt tai netti katkeaisivat. Tulosta kopio. Säilytä sitä useammassa paikassa. Jos tiimisi työskentelee etänä nykyään, toimiston seinällä oleva tulostettu sivu ei auta ketään, joka istuu kotona yöpuvussa.

Ja pyydän – varmista, että kaikki tietävät suunnitelman olemassaolosta. Olen puhunut yrittäjien kanssa, joilla oli hyvät toimintasuunnitelmat... joita puolet tiimistä ei ollut koskaan nähnyt.

Lopuksi, pidä pöytäharjoitus kerran tai kaksi vuodessa. Kokoa tiimisi, kuvaile skenaario (vuoto, käyttökatko, mikä tahansa yrityksellesi sopii) ja käykää askeleet läpi yhdessä. Kyse ei ole draaman luomisesta – kyse on aukkojen löytämisestä ennen kuin oikea kriisi paljastaa ne.

Kauneus piilee yksinkertaisuudessa

Toimintasuunnitelman tekeminen on yksi niistä harvoista asioista, joissa alkuinvestointi on mitätön verrattuna siihen, mitä se maksaa takaisin juuri silloin kun sitä eniten tarvitaan. Muutama tunti nyt voi säästää sinut päivien päänsäryltä myöhemmin.

Et luultavasti koskaan tarvitse sitä. Toivon, ettei sinun tarvitse. Mutta jos jotain menee pieleen keskellä yötä, olet iloinen, että käytit aikaa yksinkertaisen suunnitelman kirjoittamiseen, jossa lukee: "Tässä on kehen soitamme. Tässä on mitä teemme seuraavaksi."

Se ei ole vain hyvää liiketoimintajärkeä. Se on mielenrauhaa.

Tagit: ['incident response', 'small business security', 'cybersecurity planning', 'data breach response', 'business continuity', 'it security tips', 'disaster recovery']