Sådan planlægger du en gendannelsestest uden at forstyrre driften

Formål og forventninger

En praktisk trin-for-trin-metode til at teste gendannelse begynder med at afgrænse, kortlægge, isolere, mærke og evaluere. En gendannelsestest skal vise, om I kan bringe driften tilbage efter et cyberangreb. Den skal ikke blot vise, at et backupjob er afsluttet uden fejl.

Dells vurdering af cyberfleksibilitet har tre områder: reducering af angrebsfladen, registrering og reaktion på cybertrusler samt gendannelse efter et cyberangreb. Gendannelsestesten hører til det tredje område. Den giver kun mening, hvis I også har styr på de to første, fordi testen skal kunne skelne mellem et reelt angreb og jeres egen aktivitet.

Afgrænsningen af, hvad testen ikke må påvirke, besluttes før teknikken. Gennemgå jeres tjenester, og markér dem med åbningstider, kundevendte transaktioner eller løbende produktion — typisk betalingsflow, ordre- og lagerstyring, adgangsstyring og kommunikationssystemer.

Alt i den gruppe skal testes på en kopi eller i et parallelt miljø; kun systemer uden aktiv drift kan indgå direkte. Beslut også, hvem der må stoppe testen med øjeblikkelig virkning, og hvordan det varsles.

Forventningerne bør formuleres som kriterier, ledelsen kan godkende inden teststart: hvilke systemer der skal op i hvilken rækkefølge, hvor lang tid hvert trin må tage, hvilke datamængder der skal kunne gendannes, og hvad der udløser et stop. Et ledelsessystem giver et forretningsmæssigt overblik over virksomheden. Skriv kriterierne ind i den ramme, så de kan genbruges ved næste test.

For hver tjeneste noterer I maksimal tilladt påvirkning. Betalingsflow, ordre- og lagerstyring, adgangsstyring og kommunikationssystemer bør som udgangspunkt ikke påvirkes; testen lægges på kopien.

Kortlæg kritiske systemer og eksponeringer

Start med afhængighederne, ikke systemlisten. For hvert kritisk system skal I vide, hvilke komponenter det kræver for at fungere: identitets- og adgangsstyring, DNS, netværk og segmentering, storage, databaseplatform, certifikater og nøgler samt tredjepartsleverancer.

Et system, der er gendannet korrekt, men uden fungerende adgangsstyring eller DNS, er ikke gendannet i praksis. Skriv afhængighederne op som en rækkefølge, der samtidig er testens køreplan.

Kortlæg derefter eksponeringerne — at vurdere eksponeringer og reducere angrebsfladen. Det dækker, hvilke tjenester der er tilgængelige udefra, hvilke konti og rettigheder der kan bruges til at bevæge sig videre i miljøet, hvor backups og gendannelsespunkter ligger, og hvem der har adgang til dem.

Afklar især, om gendannelsesmiljøet er adskilt fra det miljø, en angriber vil kunne nå. Ellers tester I en gendannelse, der ikke vil være tilgængelig i en reel situation.

Hvis testen kommer i berøring med personoplysninger, skal behandlingen være kortlagt, før I kopierer data ind i et testmiljø. Datatilsynet har vejledning om bl.a. fortegnelse over behandlingsaktiviteter, behandlingssikkerhed, håndtering af brud på persondatasikkerheden og anmeldelse af brud. De temaer bør indgå i planlægningen.

Dataminimering er et konkret greb: overvej, om formålet kan opfyldes med færre oplysninger. I en gendannelsestest betyder det typisk at bruge struktur og datamængder, men maskere eller udelade personhenførbare felter, hvor det er teknisk muligt.

Datatilsynets konkrete vejledninger og værktøjer omfatter bl.a. Fortegnelse, Behandlingssikkerhed, Anmeldelse af brud, Håndtering af brud på persondatasikkerheden, Risikovurdering, Konsekvensanalyse, Katalog over sikkerhedsforanstaltninger samt Skabeloner og blanketter. Brug dem til at holde styr på behandlingsgrundlag, sikkerhed og hændelser.

Planlæg testen i et isoleret spor

Testen skal køre i et spor, der er teknisk adskilt fra produktion: en klon eller et parallelt miljø med eget netværkssegment, egne konti, egne certifikater og ingen skriverettigheder tilbage mod produktionsdata.

Vælg testvinduet, når belastningen på de berørte systemer er lavest, og læg et ændringsstop ind i vinduet, så konfiguration og versioner ikke ændrer sig undervejs. Uden ændringsstoppet kan I ikke vide, om et afvigende resultat skyldtes gendannelsen eller en samtidig opdatering.

Beslut, hvad der testes teknisk, og hvad der testes som gennemgang. En teknisk test dækker selve gendannelsen af data og systemer på kopien. En bordøvelse eller gennemgang dækker de trin, der ikke kan køres uden risiko: aktivering af krisestab, beslutningskompetence, kommunikation til kunder og myndigheder samt rækkefølgen i genopretningen.

Mange organisationer får mest ud af at køre begge dele i samme vindue, så den tekniske tid og de beslutninger, der udløser den, bliver målt samlet. Skriv en rollback-plan, før testen starter, og dokumentér en baseline: versionsnumre, konfiguration, nøgler og datamængder på de systemer, der indgår.

Testplanen bør indeholde testvindue, ændringsstop, baseline, roller, stopkriterier, rollback-plan og nedrivning eller nulstilling af testmiljøet. Runbooken for det isolerede spor er: klon systemet, afbryd skriverettigheder mod produktion, gendan i afhængighedsrækkefølgen, mål tid pr. trin, og riv miljøet ned eller nulstil det efter testen.

Et isoleret miljø har sin egen risiko — et testmiljø med kopier af produktionsdata er i sig selv en eksponering, der skal have adgangsstyring og logning på niveau med produktionen. Aftal derfor på forhånd, hvornår miljøet rives ned eller nulstilles efter testen.

Trin-for-trin-planlægning af gendannelsestest uden forstyrrelse af driften

Testtype: Teknisk gendannelse vs. Bordøvelse

Checkliste før gendannelsestest

Forslag og ulemper ved test i isoleret miljø

Bemand fleksibelt og træn nøglepersoner

En gendannelsestest trækker typisk de samme få nøglepersoner ud af den daglige drift. Øget medarbejderfleksibilitet handler om at uddanne medarbejdere, så man hele tiden kan bemande flaskehalse og skalere op og ned efter behov.

Et konkret eksempel viser, hvor meget det kan betyde. Over tre år fra 2008-2011 faldt aktivitetsniveauet i virksomheden med 33%, svarende til et fald fra 400 til 270 maskiner om året. I en afdeling med ca. 60 faglærte og ufaglærte medarbejdere lykkedes det at øge medarbejderproduktiviteten med 30% ved bl.a. at fordoble medarbejdernes kompetencer og identificere flaskehalse.

DI's case handler om en virksomhed med maskiner og faglærte og ufaglærte medarbejdere. Mekanismen er den samme: Flere medarbejdere skal kunne løse de kritiske opgaver, før man kan flytte folk uden at driften halter.

Start med at opstille nøgletal for jeres nuværende niveau, træn medarbejderne mod de identificerede flaskehalse, og følg udviklingen løbende, mens I bemander flaskehalsene så længe, det er nødvendigt. I praksis betyder det, at I skal træne medarbejderne til de kritiske gendannelsestrin og bemande flaskehalsene, så driften ikke halter, mens testen gennemføres.

Træningen skal være målrettet de opgaver, testen afdækker. Den skal dække, hvordan gendannelsen startes, hvordan status vurderes, hvem der kontakter hvem, og hvordan beslutningen om at skifte til gendannelsesmiljøet træffes.

Et pilotprojekt i Svendborg Kommune har arbejdet med en ny tilgang til undervisning i GDPR. Det kan bruges som eksempel på, at kompetenceudvikling kan gribes an på en ny måde. Læg træningen uden for testvinduet, så den ikke konkurrerer med selve testen om de samme folk.

Overvåg og reager under testen

Overvågning og respons på cybertrusler er et selvstændigt område i vurderingen af cyberfleksibilitet og skal køre uændret, mens I tester gendannelse. Har I slukket for alarmer eller filtrerer logs for at undgå støj fra testen, har I samtidig fjernet den overvågning, der skal opdage et reelt angreb i samme vindue.

Løsningen er ikke at dæmpe, men at mærke testaktiviteten, så den kan kendes igen. Mærkningen består af konkrete valg: brug dedikerede testkonti og test-IP-segmenter i stedet for produktionsidentiteter, sæt navnekonventioner på testressourcer, så de kan søges frem i loggen, og informér vagtcentral eller ekstern overvågningsleverandør om testvinduet med start- og sluttidspunkt.

Aftal samtidig en kanal til at verificere en alarm — hvis testen udløser en hændelse, skal vagten kunne få bekræftet, at den er forventet, uden at skulle igennem produktionsteamet. Uden den aftale risikerer I at bruge testvinduet på at jagte jeres egen aktivitet.

Hvis testen utilsigtet rammer persondata, eller hvis en hændelse under testen viser sig at være reel, skal proceduren ligge klar inden teststart. Datatilsynet har vejledning om behandlingssikkerhed, håndtering af brud på persondatasikkerheden og anmeldelse af brud. De temaer peger på, at I på forhånd skal aftale, hvem der vurderer hændelsen, og hvem der står for en eventuel anmeldelse. Det er en beslutning, der ikke kan træffes første gang midt i en test.

Evaluer, dokumentér og forbedr

Saml resultaterne som målinger, ikke som et referat. Notér tid brugt pr. trin i gendannelsesrækkefølgen, hvilke data der kom tilbage, og hvor langt I nåede i forhold til de kriterier, ledelsen godkendte.

Registrér særligt det, der manglede for at komme videre: adgange, nøgler, dokumentation, kontaktoplysninger eller beslutningskompetence. Det er de punkter, der skal lukkes, før næste test.

Før resultaterne ind i ledelsessystemet sammen med de øvrige styringsdokumenter. Et ledelsessystem etablerer et forretningsmæssigt overblik over virksomheden, og gendannelsesevnen hører til i det overblik på linje med andre risici og forretningsprocesser. Sæt en ejer og en frist på hver forbedring, så punkterne ikke kun lever i testrapporten.

Følg udviklingen over flere testrunder i stedet for at vurdere hver test isoleret. Anbefalingen om løbende at følge udviklingen og bemande flaskehalse er direkte anvendelig her.

Brug de samme nøgletal fra gang til gang — tid til gendannelse pr. system, andel af trin uden forbehold, antal flaskehalse med kun én person. Så kan I se, om forbedringerne virker, eller om det samme punkt dukker op igen.

Lad næste test dække det svageste led. Vurderingen af cyberfleksibilitet opdeles i at reducere angrebsfladen, opdage og reagere på cybertrusler samt gendannelse efter et cyberangreb. Hvis testen viste, at gendannelsen fungerer, men overvågningen undervejs havde for mange blinde pletter, skal næste test ikke tune gendannelsen tungt. Den skal i stedet fokusere på overvågning og respons; omvendt hvis gendannelsen trak ud på grund af manglende adgange eller dokumentation.

Nøgletal til evaluering af gendannelsestest