Incidenthantering, krishantering och rapportering

När man som Viggenpilot tränade nöd i simulatorn lärde man sig snabbt en livsviktig läxa: Flyg flygplanet, flyg flygplanet, flyg flygplanet, fokuserar du för mycket på flygplanfelet går det åt skogen.

Konstigt nog var det alltid mörker och dimma vid nödträning i simulatorn. Dessutom blev det alltid massa fler fel, varningstablåerna lyste som julgranar. Då kunde det hända som inte fick hända: man glömde bort att flyga flygplanet.

Regeln i flyg är enkel: "Aviate, Navigate, Communicate". När du har kontroll: kommunicera och rapportera. Rapportering är mycket viktig men kommer inte först. Dock är att lära av erfarenheter grundläggande i en riskexponerande verksamhet. I slutändan handlar det först om att hantera krisen, om så med en hand på utskjutningshandtaget (sista flygalternativet).

Historiskt har flygindustrin varit banbrytaren i att systematisera hanteringen av nödsituationer. Pinciperna är direkt applicerbara på cybersäkerhet. NIS2 kräver att du omedelbart begränsa skada och bibehålla kontinuitet.

Inom luftfart är Quick Reference Handbook (QRH) det primära verktyget när en onormal situation uppstår. En QRH är en samling checklistor utformade för att ge omedelbar operativ vägledning vid ett systemfel. QRH avlastar besättningen och förhindrar att kritiska åtgärder missas. Väldokumenterade händelser, såsom hanteringen av motorbortfall, demonstrerar hur piloter med hjälp av QRH framgångsrikt hanterar en incident. Jag kan fortfarande motorsörning evter star i huvudet.

I cybersäkerhet översätts QRH direkt till incidenthanteringsplaner. Genomförandeförordningen  kräver att verksamhetsutövare ska upprätta "dokument att använda i samband med upptäckt och åtgärdande, såsom incidenthanteringsmanualer" (Annex 3, punkt 3.1.2 d). En cyber-QRH börjar alltid med så kallade "memory items", omedelbara åtgärder som ska utföras reflexmässigt utan behov av djupare analys, precis som i ett flygplan. Genom att regelbundet repetera och öva dessa specifika checklistor skapas resiliens. Jag har övat massor i simulator, övar du?

När en pilot möter eincident tillämpas prioriteringsordningen "Aviate, Navigate, Communicate". Denna orning finns för att förhindra det misstaget att fokuserar på kommunikation eller felsökning innan den omedelbara faran är avvärjd.

Översatt till ramverket för cybersäkerhet skapar principen en glasklar handlingsföljd:

1. Aviate (Stabilisera och Isolera - Incidenthantering): Det omedelbara taktiska arbetet för att stoppa blödningen och behålla kontrollen över infrastrukturen. Detta motsvarar lagkraven på begränsning och eliminering av incidenten enligt Annex 3, punkt 3.5.2 i genomförandeförordningen.
2. Navigate (Driftskontinuitet och Återställning): Att finna vägen ur det akuta läget genom att upprätthålla kritisk verksamhet och påbörja återställningsarbetet. Detta korrelerar direkt med kraven på aktivering av driftskontinuitets- och katastrofplaner enligt Annex 4, punkt 4.1.2.
3. Communicate (Krishantering och Rapportering): När systemen är under initial kontroll och riktningen för återställningen är utstakad, informeras berörda myndigheter (Myndigheten för civilt försvar/FRA, IMY, Säkerhetspolisen), ledning och kunder.

incidenthantering, krishantering och kontinuitet som svenska organisationer måste förhålla sig till. Incidenthantering handlar här om mer än bara rapportering; det kräver checklistor, kontinuitetsplanering för att hålla igång verksamheten och strukturerade efterhandsgranskningar för att lära av misstag.

Du styrs av flera parallella lagstiftningar med olika fokus. Den nya cybersäkerhetslagen och MCF-föreskrifter, dessa kopplas till NIS2 och NIS2 genomförandeförordning som skyddar samhällsviktiga tjänster. Parallellt med detta skyddar GDPR individens integritet.  vilket skapar en tidskritisk utmaning vid exempelvis ransomware-angrepp där systemen blockeras samtidigt som data läcker ut. Det finns annu fler lagstiftningar, det kan kännas som ett riktigt lappverk.

Ur ett internationellt standardiseringsperspektiv är det ISO/IEC 27035-familjen som tillhandahåller det mest stringenta ramverket för detta strategiska bygge. ISO/IEC 27035-1:2023 och ISO/IEC 27035-2:2023 ger de teoretiska och praktiska riktlinjerna för att utforma en incidentresponsorganisation som besitter förmågan att tillämpa cyber-QRH-konceptet under tryck.

En cyberincident isoleras sällan till enbart en teknisk infrastrukturfråga; dess primära manifestation är i form av ett allvarligt verksamhetsavbrott. Genomförandeförordningen (Annex 4, punkt 4.1.1) stipulerar att berörda entiteter ska fastställa och upprätthålla en driftskontinuitets- och katastrofplan att använda vid just sådana incidenter.

Kärnan i detta strategiska beslut återfinns i kravet på att utföra en formell konsekvensanalys, internationellt känd som Business Impact Analysis (BIA). För verksamheter som även faller under säkerhetsskyddslagen utgör säkerhetsskyddsanalysen det fundamentala parallella dokumentet, där man identifierar hot mot Sveriges säkerhet och bedömer sårbarheter. Utifrån resultatet av analyserna ska organisationen fastställa explicita kontinuitetskrav (MTPD, RTO, RPO). BCP:n ska tydligt definiera ordningsföljden för återställande av driften (punkt 4.1.2 e).

För att uppfylla dessa lagkrav bör verksamhetsutövare luta sig mot ISO 22301:2019 (Security and resilience, business continuity management systems, Requirements).

När de ackumulerade effekterna av en incident eller ett avbrott överstiger den normala linjeorganisationens förmåga att hantera situationen, övergår tillståndet per definition till en kris. Annex 4, punkt 4.3.1 i genomförandeförordningen fastställer det odiskutabla kravet att utövare ska införa en krishanteringsprocess.

Den strategiska dimensionen av krishanteringen adresserar den mänskliga, juridiska och kommunikativa aspekten av en katastrof. Enligt punkt 4.3.2 måste strategin säkerställa att processen omfattar tydliga roller och ansvarsområden (exempelvis Dataskyddsombud för GDPR, och Säkerhetsskyddschef för säkerhetsskydd).

Den nyetablerade standarden ISO 22361:2022 (Crisis management, Guidelines) tillhandahåller det strategiska och taktiska ramverket för att identifiera, förbereda för och hantera kriser.

När en avvikelse slutligen detekteras i produktionsmiljön upphör teorin och den övade processen tar över. Agerandet följer den oböjliga strukturen av triagering, isolering, återställning och extern kommunikation.

Säkerhetsteamets (CSIRT) absoluta prioritet är att stabilisera flygplanet genom att förhindra spridning (Annex 3, punkt 3.5.2 a). Oavsett regelverk innebär detta steg att komprometterade servrar flyttas till karantäns-VLAN och infekterade konton inaktiveras.

Ett absolut avgörande krav i denna fas är loggning av incidenthanteringsåtgärder (punkt 3.5.4). I ren panik är risken stor att administratörer startar om servrar eller formaterar diskar. Detta förstör inte bara forensisk bevisning, utan omöjliggör organisationens förmåga att enligt GDPR i efterhand bevisa för IMY exakt vilka personuppgifter som exfiltrerats (eller inte exfiltrerats).

När infrastrukturen är säkrad och riktningen framåt är tydlig, påbörjas den formella kommunikationen. Här ställs de högsta kraven på organisationens samordningsförmåga, då tre separata myndigheter kan behöva informeras parallellt inom snäva, lagstadgade tidsramar: