4 min leestijd
Crisissimulatie: druk verandert beslissingen
Rond een tafel zei de IT-verantwoordelijke van een dienstverlenend bedrijf met 250 medewerkers zonder aarzelen: bij ransomware isoleert hij de bestandsserver in de eerste tien minuten. Enkele weken later speelt hetzelfde team hetzelfde scenario opnieuw in een simulatie, met een klok, een mailbox, een chat en een telefoon. In de twaalfde minuut zijn er negen berichten binnengekomen, hebben twee telefoons gerinkeld en is de server nog altijd verbonden; hij wordt pas in de eenenveertigste minuut geïsoleerd. Het bedrijf is fictief, maar de situatie zal bekend voorkomen voor wie een incident heeft meegemaakt: tussen “wat zou u doen?” en “wat doet u wanneer vijftien berichten tegelijk binnenkomen?” zit een afstand die het gesprek niet meet en die men met een crisissimulatie kan afleggen.
Praten is niet beslissen
In een gesprek kan iedereen nadenken, om een verduidelijking vragen, wachten op het volgende agendapunt. De IT-verantwoordelijke uit ons voorbeeld heeft dus gelijk aan zijn tafel: de server isoleren is het juiste antwoord, en hij geeft het snel omdat niets hem belet het snel te geven. Zes mensen schrijven hem niet tegelijk, en de vraag gaat niet gepaard met enig zichtbaar gevolg.
In een crisis loopt de klok door, en dat verandert de aard van de beslissing. Niet beslissen wordt een beslissing op zich: de mededeling die niet vertrekt, de verbinding die openblijft terwijl men debatteert, het telefoontje naar de directeur dat men uitstelt omdat het niet het juiste moment lijkt. Geen van die onthoudingen wordt gekozen. Ze stapelen zich op omdat de aandacht elders is, en samen wegen ze zwaarder dan de spectaculaire beslissing die men zich zal herinneren. Een simulatie legt die beperking op tafel: de gebeurtenissen vallen op vaste tijdstippen, of de groep nu klaar is of niet.
Wat een simulatie toevoegt
Terug naar de twaalfde minuut. Eerst de tijd: de kalender van de gebeurtenissen is die van de simulatie, niet het comfortabele tempo van de groep. Dan meerdere kanalen: een mail van een medewerker op wiens scherm een losgeldeis staat, een chatbericht van de financiële directrice die zich zorgen maakt over de loonbetaling, een ticket van de support, het telefoontje van een klant. Die informatie komt tegelijk binnen en spreekt elkaar soms tegen: de een gelooft in een storing, de ander in een aanval. Ze is onvolledig, zoals in de werkelijkheid, waar men beslist voordat men het weet.
Daarna komen de gevolgen, die in een gesprek het meest ontbreken. Wanneer de IT-verantwoordelijke de server eindelijk isoleert, stopt de productie en belt de verantwoordelijke voor operaties, woedend, op het vaste toestel. Dan moet men uitleggen, afwegen, misschien gedeeltelijk herstellen, en ondertussen wacht de journalist die een kwartier eerder had geschreven nog altijd op een antwoord. Alle rollen spelen tegelijk, ook die welke vaak alleen op papier bestaan, zoals de functionaris voor gegevensbescherming of de jurist, van wie men ontdekt dat ze van niets op de hoogte zijn gebracht.
Wat men leert
In die ongeveer veertig minuten leert het team verschillende dingen die geen enkel gesprek het had kunnen leren. Het leert prioriteiten stellen wanneer alles dringend lijkt: eerst de server, of de loonbetaling, of de klant die ongeduldig wordt? Het leert intern, naar klanten en naar autoriteiten communiceren terwijl wettelijke termijnen lopen, en weten wanneer het de informatie moet doorgeven aan de directie in plaats van ze te bewaren. Het leert ook zijn beslissingen vastleggen, wie wat wanneer en waarom heeft beslist, een gewoonte die de druk de eerste keer doet vergeten. Dat spoor zal dienen voor de analyse die volgt, maar ook voor de autoriteiten, de verzekeraars en de klanten die op een dag rekenschap zullen vragen.
Meten in plaats van voelen, en de tabletop-oefening aanvullen
Na afloop heeft de groep een indruk, en die indruk is zelden betrouwbaar: “het ging eigenlijk wel goed” is een gevoel. Een simulatie kan in de plaats daarvan feiten vastleggen: de tijd die verstreek voor de detectie, voor de eerste beslissing, voor de melding, en hier de eenenveertig minuten voor de isolatie van de server. Van oefening tot oefening tonen die metingen of het team vooruitgaat, wat geen enkele herinnering kan zeggen, en een rapport dat op sporen steunt, hangt niet af van wat de begeleider de tijd had om te noteren.
Tabletop-oefening en simulatie staan niet tegenover elkaar. De eerste dient om het plan te bespreken en een gedeeld begrip op te bouwen; de tweede dient om het handelen onder druk te herhalen. Men begint met de eerste, voegt de tweede toe en speelt ze daarna opnieuw met een moeilijker scenario. Dat is wat UnderCrisis doet: het platform genereert een oefening op basis van de context van uw organisatie, speelt ze in een gesimuleerde mailbox, chat, servicedesk en telefoon, legt elke beslissing vast en levert een rapport met een actieplan.