En skrivebordsøvelse er en øvelse, hvor ledelsen og de vigtigste personer sætter sig om et bord og gennemgår en tænkt sag trin for trin. Ingen systemer bliver rørt. Formålet er at finde ud af, om I ved, hvem der gør hvad, om planen holder, og hvor der mangler noget. To timer er nok til at finde de vigtigste huller.
Det er den billigste måde at teste jeres beredskab på. Og det er langt bedre at opdage, at ingen ved, hvordan man sætter et hold på en postkasse, en tirsdag formiddag over kaffe end en fredag aften med en sag i gang.
Hvem skal deltage?
- Direktør eller ejer
- Den, der er ansvarlig for IT, eller jeres IT-leverandør
- HR eller den, der håndterer personalesager
- Økonomi, hvis sagen handler om penge eller forsikring
- Evt. et medlem af bestyrelsen
Udpeg én person som ordstyrer. Ordstyreren kender scenariet på forhånd, læser det op i bidder og stiller spørgsmålene. Det kan være en fra ledelsen eller en udefra.
Sådan forbereder I øvelsen
- Vælg et scenarie, der passer til jeres virksomhed. Brug et af de typiske: en medarbejder siger op og tager data med, en mailkonto bliver overtaget, eller en kunde påstår, at I har lovet noget.
- Find jeres plan frem, hvis I har en. Har I ingen, er øvelsen en god måde at finde ud af, hvad der skal stå i den. → Beredskabsplan med et afsnit om bevissikring
- Del scenariet op i tre-fire faser, så der kommer ny information undervejs.
- Skriv spørgsmålene til hver fase på forhånd.
- Afsæt to timer uden telefoner og afbrydelser.
Et fiktivt scenarie til at starte med
Scenariet nedenfor er opdigtet og skal bruges som øvelse. Det bygger på en typisk situation, ikke på en virkelig sag.
Fase 1, mandag kl. 9. En sælger har sagt op i fredags med en måneds varsel. I dag ringer en fast kunde og fortæller, at de har fået et tilbud fra en konkurrent med jeres priser og jeres produktbeskrivelser.
Spørgsmål til ledelsen:
- Hvem beslutter, hvad der skal ske nu?
- Hvad skal der ske med sælgerens adgang i dag?
- Hvem må vide noget om mistanken?
- Hvem ringer vi til, og har vi nummeret?
Fase 2, mandag kl. 11. IT oplyser, at sælgerens computer er en bærbar, som sælgeren har med hjemme. Sælgeren har også en firmatelefon. IT foreslår at nulstille sælgerens adgangskode og fjernslette telefonen.
Spørgsmål:
- Er det en god idé at fjernslette telefonen? Hvad mister vi?
- Hvordan får vi computeren ind, uden at sælgeren når at slette noget?
- Hvilke logs har vi, og hvor længe gemmes de?
Fase 3, mandag kl. 14. En kollega fortæller, at sælgeren flere gange har sendt mails til en privat adresse. Kollegaen har selv kigget i sælgerens postkasse for at finde dem.
Spørgsmål:
- Hvad gør vi med det, kollegaen har set?
- Må vi selv gennemgå sælgerens mails? Hvad kræver det?
- Hvem skal sikre postkassen, så det kan bruges senere?
Fase 4, tirsdag. Sælgeren afleverer computeren og siger, at den er nulstillet, fordi der lå private billeder på den.
Spørgsmål:
- Hvad kan der stadig findes, og hvor?
- Hvad skal advokaten vide?
- Hvad ville vi have gjort anderledes, hvis vi skulle starte forfra?
Når øvelsen er slut, kan I sammenligne jeres svar med tjeklisten for de første 48 timer, når en medarbejder er stoppet. → Medarbejderen er stoppet: de første 48 timer
Andre scenarier til næste gang
Skift scenarie fra gang til gang, så I kommer omkring flere dele af beredskabet. Her er tre forslag, også opdigtede:
- Den overtagne mailkonto. En kunde spørger, hvorfor jeres faktura har et nyt kontonummer. Hvem lukker kontoen, hvem sikrer loggen, og hvem taler med kunden?
- Kunden, der husker anderledes. En kunde påstår, at I mundtligt har lovet en rabat. Hvor finder I mails, chats og noter fra forløbet, og hvem har adgang til dem?
- Leverandøren, der lukker. Jeres hostingleverandør går konkurs. Hvem ved, hvor jeres data og logs ligger, og hvordan I får dem ud?
Under øvelsen
Ordstyreren skal lade deltagerne svare uden at rette dem undervejs. Pointen er at se, hvordan I faktisk ville handle. Skriv alle svar ned, også dem, der viser sig at være forkerte. Lad gerne diskussionen tage den tid, den skal. Uenighed om, hvem der gør hvad, er netop det, I gerne vil opdage nu. Notér især de steder, hvor svaret er “det ved jeg ikke”, “det tror jeg, IT gør” eller “det må vi finde ud af”.
Efter øvelsen
Brug den sidste halve time på at samle op:
- Hvad gik godt? Hvad vidste I, og hvad virkede?
- Hvor manglede der svar? Lav en liste.
- Hvem ejer hvert hul? Én person og en dato.
- Hvad skal ind i planen? Ændr den samme uge, mens det er frisk.
- Hvornår øver I igen? Sæt en dato, fx om et år, med et andet scenarie.
Mange huller vil handle om de samme ting: logs, ingen kender opbevaringstiden for, fratrædelsesrutiner, der sletter for tidligt, og usikkerhed om, hvad I må gennemgå. Tjeklisten kan hjælpe jer videre. → Tjekliste: er virksomheden klar til en bevissag?
Hvem gør hvad
- Ordstyrer · Forbereder scenarie og spørgsmål, styrer tiden
- Ledelse · Træffer beslutningerne i øvelsen
- IT · Svarer på, hvad der teknisk kan og ikke kan
- HR · Svarer på personalejura og orientering
- Referent · Skriver alle svar og huller ned
Det skal I lade være med
- Lad være med at bruge en virkelig sag eller rigtige navne. Scenariet skal være opdigtet og tydeligt markeret som øvelse.
- Lad være med at gøre øvelsen til en eksamen. Det handler om at finde huller, ikke om at finde den, der svarer forkert.
- Lad være med at teste i systemerne under øvelsen. En skrivebordsøvelse foregår på papir.
- Lad være med at glemme opfølgningen. En øvelse uden en liste over opgaver er spildt.
Bestyrelsens rolle
Øvelsen er også en god måde for bestyrelsen at få indblik i, om ledelsen har styr på beredskabet. Et bestyrelsesmedlem kan deltage som observatør eller bede om en kort opsummering af resultatet. → Bestyrelsens spørgsmål om bevisberedskab
Hvornår skal I have hjælp?
Mange virksomheder kan holde øvelsen selv. Få hjælp udefra, hvis I vil have en ordstyrer, der kender forløbet i virkelige sager, eller hvis øvelsen afslører spørgsmål om logs og sikring, som jeres egen IT ikke kan svare på. En uvildig IT-sagkyndig kan både lede øvelsen og bagefter gennemgå de tekniske huller. Spørgsmål om, hvad I må gennemgå, og hvilke skridt I kan tage over for en medarbejder, hører hjemme hos jeres advokat.
Læs også: Beredskabsplan med et afsnit om bevissikring · NIS2 og bevisberedskab: hvad betyder kravene i praksis? · Ordbog for ledere
→ Bevissikring ved fratræden af nøglemedarbejdere · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
