Et dataangrep kan stanse leveranser, svekke kundenes tillit og skyve vekstplaner ut i tid. En ny internasjonal undersøkelse viser hvorfor datasikkerhet også må handle om hvordan bedriften skal holde hjulene i gang når noe svikter.
Se for deg at arbeidsdagen begynner med at ingen kommer inn i ordresystemet. Kundene ringer om leveranser, men de ansatte får ikke hentet frem bestillingene. E-posten er utilgjengelig, og kontaktinformasjonen til IT-leverandøren ligger i en innboks ingen får åpnet.
Dette er et tenkt eksempel. Men det illustrerer et spørsmål enhver bedriftsleder kan stille: Hvor lenge kan vi drive virksomheten dersom de viktigste digitale verktøyene våre forsvinner? Hiscox’ «Cyber Readiness Report 2026», lansert 15. september, bygger på svar fra 6 800 personer med ansvar for datasikkerhet i virksomheter med færre enn 250 ansatte i USA og ni europeiske land.
29 prosent oppgir at virksomheten har vært utsatt for minst ett vellykket dataangrep det siste året. Hiscox oppgir gjennomsnittlige årlige kostnader ved cyberhendelser på rundt 52 000 dollar.
Vekstplanene kan bli satt på vent
Konsekvensene omfatter mer enn teknisk opprydding. I undersøkelsen rapporterer 32 prosent at cyberangrep har forsinket vekst- og ekspansjonsplaner. Andre oppgir økte bemanningskostnader og tapte forretningsmuligheter. Tallene er selvrapporterte, og Norge inngår ikke i undersøkelsen. Hiscox selger dessuten cyberforsikring og har kommersielle interesser på området. Resultatene gir derfor ikke et direkte anslag på risikoen eller kostnadene for en norsk småbedrift.
De gir likevel grunn til å undersøke bedriftens egen sårbarhet. For lederen i den tenkte virksomheten er ikke den eneste kostnaden regningen fra IT-leverandøren. Det kan også bli nødvendig å bruke arbeidstid på å rekonstruere bestillinger, kontakte kunder og avklare hvilke leveranser som fortsatt kan gjennomføres.
En nyttig beredskapsøvelse er derfor å følge én vanlig bestilling gjennom hele bedriften. Hvilke systemer trengs fra kunden bestiller til pengene står på konto? Hvor stopper prosessen dersom ett av dem blir utilgjengelig?
Begynn med det bedriften må kunne gjøre
En liten virksomhet kan starte med å velge ut noen få oppgaver som må fungere under en driftsstans. Det kan være å motta kundehenvendelser, finne dagens leveranser og få kontakt med ansatte og leverandører. Deretter må ledelsen undersøke om det finnes en gjennomførbar reserveordning.
Kan kunder ringe et alternativt nummer? Finnes nødvendig kontaktinformasjon tilgjengelig uten innlogging i hovedsystemet? Kan dagens oppdrag dokumenteres på en annen, forsvarlig måte?
Reserveordningen bør ikke innebære at sensitive opplysninger spres til private e-postkontoer eller usikrede lagringsmedier. Avklar heller med IT-leverandøren hvordan nødvendig informasjon kan være tilgjengelig også ved bortfall, samtidig som den beskyttes.
Kundene trenger tydelig informasjon
I Hiscox-undersøkelsen rangerer 48 prosent omdømme og kundetillit blant de største risikoene ved cyberhendelser. For en bedrift som står midt i en hendelse, kan kommunikasjonen bli en krevende lederoppgave. Hva kan kundene få vite når årsaken og omfanget ennå er uklart?
Et praktisk grep er å forberede ansvarsfordelingen på forhånd. Én person kan ha ansvar for kundekommunikasjonen, mens en annen samler bekreftede opplysninger fra dem som undersøker hendelsen. En første beskjed kan forklare hvilke tjenester som er berørt, hvordan kundene kan få kontakt, og når neste oppdatering kommer. Unngå å love et tidspunkt for normal drift før det finnes grunnlag for det.
En slik plan gjør det også lettere for de ansatte å gi sammenfallende informasjon.
Undersøk hva IT-avtalen faktisk dekker
Bedrifter som har satt ut IT-driften, kan bruke rapporten som anledning til å gå gjennom leverandøravtalen. Hvem skal kontaktes ved mistanke om et angrep? Finnes hjelp utenfor vanlig arbeidstid? Hvem avgjør om et system skal kobles fra, og hvem koordinerer gjenopprettingen?
Be også leverandøren forklare hvordan sikkerhetskopier beskyttes og hvordan gjenoppretting blir testet. Et konkret spørsmål er hvor raskt en bestemt, viktig arbeidsprosess kan komme i gang igjen, og hvilke forutsetninger dette bygger på. Svarene bør dokumenteres og være tilgjengelige også dersom de vanlige systemene er nede.
Øv før dere trenger planen
En enkel øvelse kan gjennomføres rundt møtebordet: Bedriftens viktigste system er utilgjengelig, og årsaken er ukjent. Hva gjør dere den første timen? La deltakerne finne frem kontaktopplysninger, forklare hvem som tar beslutninger og beskrive hvordan kundene skal håndteres. Noter hvor dere mangler svar.
Øvelsen bør ende med konkrete oppgaver, ansvarlige personer og en frist. Kanskje må en kontaktliste oppdateres. Kanskje trenger bedriften en annen løsning for kundetelefonen eller en tydeligere avtale med leverandøren. For en liten virksomhet kan dette være et overkommelig sted å begynne: Finn ut hva som må fungere, hvem som skal handle, og hvordan dere får tilgang til hjelpen dere trenger.