Krisehåndtering er den måde, en organisation træffer beslutninger på, når situationen overstiger, hvad normale processer og planer kan håndtere. Det er ikke det samme som en hændelsesrespons, som omfatter et kendt problem ved hjælp af kendte procedurer. En krise defineres af usikkerhed og af det niveau, hvorpå der skal træffes valg: ufuldstændig information, konkurrerende prioriteter og konsekvenser, der rækker ud over driften til omdømme, regulering og tillid.
- Det kendetegnende er beslutningsmyndigheden, ikke begivenhedens størrelse.
- En erklæret krise suspenderer normale beslutningsruter og erstatter dem bevidst.
- Tærsklerne skal aftales inden dagen, ellers erklærer ingen noget.
- Kommunikation er en del af reaktionen, ikke en eftertanke.
- Det, der efterfølgende vurderes, er kvaliteten af beslutningerne, ikke kun resultatet.
Hvad er krisehåndtering?
De fleste organisationer har en kontinuitetskapacitet og en hændelsesproces og antager, at en krise er dækket ind tilsammen. Det er den normalt ikke. Kontinuitetsplaner fortæller folk, hvordan de skal fortsætte med at arbejde, når en kendt aktivitet afbrydes. Hændelsesprocedurer fortæller tekniske teams, hvordan de skal inddæmme en kendt problemkategori. Ingen af dem svarer på, hvad de skal gøre, når situationen er ukendt, informationen er omstridt, og valgene involverer afvejninger uden forudset procedure.
Det er det hul, krisestyring udfylder. Det er et lille sæt af forudaftalte ordninger: hvem kan erklære en krise, hvem indkaldes, hvad den gruppe har beføjelse til at beslutte uden at gå tilbage gennem normal styring, og hvordan beslutninger og deres begrundelse registreres, mens de træffes.
Den ligger ved siden af forretningskontinuiteten snarere end inden i den. Kontinuitetsplanen kan sagtens anvendes under en krise, og det gør den ofte, men krisen er laget over at beslutte, hvad organisationen gør ved de konsekvenser, som planen ikke dækker.
Hvornår bliver en hændelse til en krise?
Organisationer tager fejl i begge retninger. Nogle erklærer en krise for alt, der er synligt, hvilket udmatter teamet og devaluerer mekanismen. Andre erklærer aldrig en, og ledende medarbejdere improviserer omkring en procedure, der er designet til noget mindre. Vejen ud er at definere grænserne på forhånd, på den akse, der rent faktisk adskiller dem: hvem der skal bestemme.
| Incident | Krise | Katastrofe | |
|---|---|---|---|
| Hvem bestemmer | Vagtholdet, inden for gældende procedure og delegeret myndighed. | Et indkaldt kriseteam med udtrykkeligt tildelt bemyndigelse på forhånd. | Direktion, ofte sammen med eksterne agenturer. |
| Hvad står på spil | Servicekvalitet og et defineret operationelt resultat. | Flere resultater på én gang, herunder omdømme, regulatorisk position og tillid. | Fysisk sikkerhed, et steds eller en organisations levedygtighed. |
| Hvad svaret optimerer til | Genoprettelse af tjenesten så hurtigt som proceduren tillader det. | Den mindst dårlige samlede position, hvor man bevidst accepterer nogle tab. | Livssikkerhed først, så inddæmning, så alt andet. |
| Hvor det er dokumenteret | Hændelsesprocedurer og runbooks. | Kriseordninger: tærskler, team, beslutningsrettigheder, log. | Nød- og evakueringsplaner, koordineret eksternt. |
| Hvordan det ender | Tjenesten er genoprettet, og sagen er lukket. | En beslutning om at træde tilbage, truffet af den samme myndighed, der erklærede den. | Ekstern afslutning, derefter en lang restitution. |
Den midterste kolonne er den, de fleste organisationer ikke har skrevet ned. Bemærk også, at alvorlighedsgraden ikke er aksen. En lille teknisk fejl kan udvikle sig til en krise, hvis konsekvenserne er omfattende, og den rigtige reaktion er reelt uklar, mens et stort strømafbryd med en indøvet løsning kan forblive en hændelse hele vejen igennem.
Der er et større billede bag dette.
Denne side dækker én del af forretningsrobusthed. Real Resilience — IO's ramme for at forbinde sikkerhed, privatliv og AI-styring — er der, hvor det fulde billede kommer sammen.
Hvem sidder i kriseteamet, og hvad kan de beslutte?
Et kriseteam bør være lille nok til at kunne træffe beslutninger. Ud over cirka syv personer bliver det et orienterende publikum, og beslutningerne flyttes til en mere stille samtale et andet sted. Det mest nyttige, du kan gøre på forhånd, er at skrive ned, hvad hver rolle har beføjelse til at gøre, uden at søge yderligere godkendelse, og hvad hver rolle bevidst ikke må gøre.
| roller | Kan bestemme alene | Burde ikke gøre |
|---|---|---|
| Kriseføring | Erklær og træk dig tilbage, sæt prioriteter, forpligt udgifter inden for en aftalt grænse. | Personlig styring af enhver arbejdsgang. Lederens opgave er at beslutte, ikke at reparere. |
| Operationer | Iværksæt kontinuitetsordninger og omfordel folk mellem aktiviteter. | Venter på, at det tekniske billede er færdigt, før vi starter løsninger. |
| Teknologier | Teknisk inddæmning og genopretningssekvensering inden for de aftalte mål. | Ekstern briefing eller direkte forhandling af prioriteter med kunder. |
| Kommunikation | Udsted forhåndsgodkendte holdingopgørelser og vælg kanal og tidspunkt. | At fremsætte påstande om årsag eller tidsramme, som teamet ikke har bekræftet. |
| Juridisk og privatlivspolitik | Rådgive om underretningsforpligtelser og bevare bevismateriale og fortrolighed. | Fungere som en bremse på operationelle beslutninger, der er korrekte for den ansvarlige. |
| Loggist | Registrer hver beslutning, de oplysninger den hvilede på, og tidspunktet. | Deltagelse i de beslutninger, de registrerer. |
Loggisten er den rolle, der oftest udelades, og den, der mest pålideligt betaler sig selv. En samtidig registrering af, hvad der var kendt, og hvornår, er det, der giver dig mulighed for at forsvare en rimelig beslutning, der endte dårligt, og som er næsten umulig at rekonstruere bagefter. Enhver rolle har også brug for en navngiven stedfortræder, fordi en krise, der begynder klokken to om morgenen eller i løbet af en helligdag, ikke er et særtilfælde.
Hvordan forløber en krise egentlig?
Sekvensen nedenfor er ikke en procedure, der skal følges stift. Det er sættet af bevægelser, der skal have en ejer, fordi kriser i praksis går galt ved samlingerne snarere end midt i en enkelt aktivitet.
Erklæring er det trin, der afgør, hvordan resten forløber. Indtil en person med autoritet kalder situationen for en krise, fortsætter organisationen med at anvende normal proces på en unormal begivenhed, og hver time brugt på det indsnævrer mulighederne. Derfor har tærsklen brug for et navn og en person knyttet til den i stedet for at hvile på dommen i øjeblikket.
At beslutte og kommunikere kører parallelt, ikke i rækkefølge. At vente på sikkerhed, før man siger noget, er en beslutning i sig selv, og normalt den forkerte, fordi tavshed fyldes af andre menneskers beretninger.
At aktivere forretningskontinuitetsplanen er normalt en af kriseteamets tidligste beslutninger snarere end en separat proces, der kører sideløbende. Kriseteamet beslutter, hvad organisationen gør ved de konsekvenser, som planen ikke når.
Hvad skal krisekommunikation dække over?
Fire målgrupper med forskellige behov og forskellige ure. Personalet skal vide, hvad de skal gøre, og hvad de skal sige, hvis de bliver spurgt, og de har brug for det først, fordi de vil blive spurgt. Kunderne skal vide, hvad der er berørt, og hvad de kan forvente, enkelt sagt, før de finder ud af det andre steder. Leverandører og partnere skal muligvis handle. Regulatorer og tilsynsmyndigheder har tilknyttede forpligtelser, og hvilken af dem der gælder, afhænger af begivenhedens art.
I den sidste gruppe skal du være præcis omkring, hvad der rent faktisk gælder for dig, i stedet for at påtage dig en generel pligt. Hvor hændelsen involverer et brud på persondata, fastsætter den britiske GDPR en underretningsfrist på 72 timer fra datoen for bruddet, hvor bruddet opfylder risikotærsklen. Sektorordninger har deres egne ordninger, og organisationer, der er omfattet af NIS 2, står over for separate rapporteringstrin, der er beskrevet i NIS 2-krisehåndteringsvejledningen . Hvilken af disse der er bindende for dig, er et spørgsmål, der skal afklares på forhånd, fordi midt i en krise er et dårligt tidspunkt at etablere den.
Forbered forberedende udtalelser, før du har brug for dem. Ikke detaljerede manuskripter, som aldrig passer til begivenheden, men godkendte strukturer, der lader kommunikationen sige noget præcist inden for den første time uden at indkalde et redaktionsudvalg.
Start din gratis prøveperiode
Vil du udforske?
Tilmeld dig din gratis prøveperiode i dag, og få fat i alle de overholdelsesfunktioner, som ISMS.online har at tilbyde
Hvordan praktiserer du krisehåndtering?
Teknisk genoprettelsestest og kriseøvelser er forskellige aktiviteter, og den ene erstatter ikke den anden. En genoprettelsestest beviser, at et system vender tilbage. Den siger intet om, hvorvidt dine ledere kan træffe en anfægtet beslutning med delvis information, mens telefonen ringer. De fem niveauer af teknisk testning er dækket af katastrofeberedskabsplanen.
Kriseøvelser fungerer anderledes. De er scenariebaserede, de tilbageholder bevidst information, og deres værdi ligger i ubehaget. En nyttig øvelse placerer det faktiske kriseteam i et rum med et scenarie, der ikke har noget klart svar, tilfører ny information undervejs, som ugyldiggør en tidligere beslutning, og kræver, at de kommunikerer eksternt under tidspres. Det, du tester, er, om autoriteten er klar, om tærsklerne betyder noget, og om folk kan beslutte uden enstemmig aftale.
To vaner gør øvelserne umagen værd. Brug scenarier, der er plausible for din organisation, snarere end dramatiske, og inkluder mindst ét, hvor det rigtige svar er at acceptere et tab. Teams, der kun har øvet sig i genoprettelige scenarier, har en tendens til at tøve, når et reelt offer er påkrævet. Registrer beslutningerne, og gennemgå dem bagefter ud fra deres argumentation, ikke om resultatet tilfældigvis var godt.
Hvordan hænger krisehåndtering sammen med virksomheders modstandsdygtighed?
Krisehåndtering er den skarpeste test på, om styringen har produceret noget. Alt, hvad kriseteamet har brug for på dagen, blev enten bygget på forhånd eller er ikke tilgængeligt: at vide, hvilke aktiviteter der er vigtige, hvilke leverandører der står bag dem, hvilke data der er involveret, hvem der ejer hvad, og hvad du allerede har fortalt kunderne, at du ville gøre.
Resilience Loop kører informationssikkerhed under ISO 27001 , databeskyttelse under ISO 27701 og AI-styring under ISO 42001 som ét forbundet system. En krise forbliver sjældent inden for et af disse domæner. En ransomware-hændelse er en sikkerhedshændelse, et privatlivsspørgsmål med notifikationskonsekvenser og et kontinuitetsproblem på samme tid, og et team, der skal konsultere tre separate systemer for at fastslå, hvilke data der var involveret, mister timer, det ikke har. At køre dem som én driftsmodel er det, der gør svaret tilgængeligt på få minutter. Den bredere struktur er beskrevet i Business Resilience Framework.
Hvordan beviser du, at din krisehåndtering fungerer?
Krisearrangementer er blandt de sværeste ting at dokumentere, fordi det, man ønsker at demonstrere, er en evne snarere end et dokument. Hvad der kan vises: selve arrangementerne med datoer og godkendelse, tærsklerne og hvem der har hver myndighed, øvelsesregistre med deltagere og scenarier, beslutningslogge fra øvelser og fra eventuelle virkelige begivenheder, resultaterne og de ændringer, der er foretaget som følge heraf.
Beslutningsloggen er det mest overbevisende artefakt, du kan have, og det, ingen producerer retrospektivt. Det er også det, der tydeligst adskiller en organisation, der øver sig, fra en, der ejer en plan. Hvordan man opbygger evidens som et biprodukt af arbejdet i stedet for at samle det senere, er beskrevet i " hvordan man dokumenterer modstandsdygtighed " , og Resilience Score giver dig et grundlag at måle i forhold til.
Hvorfor vælge ISMS.online til krisestyring?
Et kriseteam arbejder ud fra det, det kan finde i løbet af de første ti minutter. ISMS.online er bygget op, så informationen allerede er der.
- Et syn på, hvad der afhænger af, hvadAktiviteter, systemer, leverandører og data kortlægges sammen, så spørgsmål om omfang har øjeblikkelige svar.
- Roller og autoritet registreretNavngivne ejere og stedfortrædere med gennemgangsdatoer, så teamsammensætningen er aktuel snarere end historisk.
- Øvelses- og beslutningsrapporter: indfang scenarier, deltagere, beslutninger og resultater på samme sted som arrangementerne.
- Meddelelseskontekst ved hånden: de forpligtelser, der er knyttet til dine rammer og kontrakter, opbevares sammen med hændelsen, ikke i et separat arkivsystem.
- Ét kontrolsæt, alle frameworksKortlæg én gang og genbrug på tværs af ISO 22301, ISO 27001, ISO 27701 og ISO 42001.
- Korrigerende handlinger sporet frem til afslutningResultater fra en øvelse bliver til arbejde med en ejer, ikke et afsnit i en rapport.
- Bygget til britiske og regulerede markeder: designet til organisationer, der skal bevise modstandsdygtighed for at vinde og holde kontrakter.
Se hvordan det hænger sammen på platformen for forretningsrobusthed , eller book en demo.
Ofte Stillede Spørgsmål
Hvad er forskellen mellem krisehåndtering og hændelsesrespons?
Hændelsesrespons håndterer et erkendt problem ved hjælp af en etableret procedure, hvor myndighed allerede er delegeret til vagthavende team. Krisestyring håndterer situationer, hvor problemet er ukendt, informationen er ufuldstændig, og valgene involverer afvejninger uden forudset procedure. Den praktiske forskel er det niveau, hvor beslutninger træffes, og hvor meget skøn redningspersonalet har.
Hvem skal kunne erklære en krise?
Et lille antal navngivne personer, hver med en stedfortræder, og ideelt set inklusive en person, der er tilgængelig uden for åbningstiden, og som ikke er medlem af den udøvende magt. At begrænse erklæring til én ledende person betyder, at mekanismen afhænger af den pågældende persons tilgængelighed. Grænsen bør være skriftlig, så erklæring er at anerkende en defineret betingelse snarere end at træffe en karrierebeslutning.
Har vi brug for en separat krisehåndteringsplan?
Du har brug for separate ordninger, men de bør være korte. Det nyttige indhold er tærskler, teamet og deres beslutningsrettigheder, kontaktruter, der fungerer, når systemer ikke gør det, kommunikationsstrukturer og hvordan beslutninger logges. Et langt krisedokument er et tegn på, at kontinuitetsindhold er blevet duplikeret ind i det. Henvis til kontinuitetsplanen og genopretnings-runbooks i stedet for at gentage dem.
Hvor ofte skal kriseteamet træne?
Mindst én gang årligt med det rigtige team til stede, og igen når der sker væsentlige ændringer i medlemskabet. Fordi kriseteams består af erfarne personer, er øvelser det første, der udskydes, og et team, der ikke har øvet sammen, er reelt en liste med navne. Kortere, hyppigere scenariediskussioner er lettere at afholde og afdækker stadig det meste af tvetydigheden omkring autoritet.
Er krisehåndtering dækket af en standard?
Ingen enkelt standard er dedikeret til det, men det er behandlet i flere. ISO 22301 dækker struktur og kommunikation i forbindelse med hændelsesrespons som en del af et system til styring af forretningskontinuitet, og ISO 22361 giver specifik vejledning om krisestyring. ISO 27001 bidrager gennem sine kontroller til styring af informationssikkerhedshændelser. Ved at arbejde efter ISO 22301 får du det ledelsessystem, der sørger for, at ordningerne ejes, praktiseres og gennemgås.
