4 min leestijd
Paraatheid is een gewoonte, geen project
In maart rondt een fictief bedrijf met 500 medewerkers zijn project voor een crisisplan af: twee dagen workshop, een plan van veertig bladzijden, goedkeuring door het directiecomité, een map opgeborgen waar men mappen opbergt. In oktober heeft niemand ze heropend. In die zeven maanden is de beveiligingsverantwoordelijke vertrokken, is een nieuw magazijn geopend en is de e-mailleverancier veranderd. Als morgen een crisis uitbreekt, zal het plan een bedrijf beschrijven dat niet meer bestaat. Dat is het lot van veel voorbereidingen die als projecten worden gevoerd, met een begin, een einde en een map. Voorbereiding lijkt meer op een goede conditie dan op een aankoop: ze bestaat alleen zolang men ze onderhoudt.
Waarom een plan veroudert
Niets van wat hierboven staat, is een fout van de opstellers van het plan. Een organisatie leeft, en elke verandering, op zichzelf banaal, maakt ongemerkt een regel van de tekst ongeldig: een medewerker verandert van functie, een systeem verhuist naar de cloud, een leverancier wordt vervangen, een vestiging opent of sluit. Geen van die beslissingen wordt genomen met het crisisplan in gedachten, en dat is normaal, want ze beantwoorden aan andere behoeften. Maar het cumulatieve effect is reëel. Na een jaar beschrijven de contactenlijst en de kaart van afhankelijkheden de organisatie niet meer, en niemand weet het voordat men ze nodig heeft.
Daarom bewijst een gedateerd plan niets, hoe zorgvuldig het ook is opgesteld. De datum zegt wanneer het juist was, niet of het dat nog is. Alleen een recente proef zegt of de beschreven organisatie nog dezelfde is als die welke bestaat.
Eén keer per jaar volstaat niet
Een jaarlijkse oefening test in werkelijkheid de organisatie van een jaar geleden. Tussen twee oefeningen vergeet men een deel van wat men heeft geleerd, en nieuwkomers hebben nooit meegespeeld. Beter is het de oefeningen te vermenigvuldigen en ze korter, frequenter en gevarieerder te maken: een ransomware-aanval, een datalek, een incident bij een leverancier, het verlies van een vestiging, telkens met andere rollen en met de directie aan tafel.
Een realistisch ritme voor een jaar zou er zo kunnen uitzien: een tabletop-oefening met de directie in het eerste kwartaal, een simulatie met de IT-teams in het tweede, een scenario rond een leverancier in het derde, een oefening over communicatie en autoriteiten in het vierde. Elke oefening duurt minder dan een halve dag, en het rapport van de ene voedt de voorbereiding van de volgende. In ons fictieve bedrijf zou dat ritme het vertrek van de beveiligingsverantwoordelijke al in het tweede kwartaal aan het licht hebben gebracht, omdat de simulatie zou zijn vastgelopen op een rol zonder titularis, en de opening van het magazijn in het derde, omdat een scenario met een verloren vestiging het niet in de lijst zou hebben gevonden.
Wat herhaling mogelijk maakt: de kostprijs
Het belangrijkste obstakel voor dat ritme is de kostprijs. Een oefening onder leiding van een dienstverlener vraagt meerdere dagen voorbereiding en een budget per sessie, zodat men ze één keer doet en het daarbij laat. Als het voorbereiden van een oefening enkele minuten in plaats van meerdere dagen duurt, wordt herhalen realistisch. Dat is de inzet van UnderCrisis: de oefening genereren op basis van uw context, met een laag budget, om ze opnieuw te kunnen spelen. Het ontslaat niet van de kern van de zaak, die menselijk blijft: dat de juiste mensen in de kamer zitten en dat de gevonden hiaten worden hersteld.
De vooruitgang meten, en de naleving die eruit voortvloeit
Herhalen heeft alleen zin als men ziet wat verbetert. Enkele indicatoren volstaan, gevolgd van oefening tot oefening: de tijd tot de eerste beslissing, de tijd tot de melding, het aandeel van de acties van de laatste oefening dat echt is afgesloten, het aantal rollen dat zijn plaats heeft ingenomen. Men sluit de acties van de vorige oefening af voordat men een nieuwe start, en speelt soms hetzelfde scenario opnieuw om vast te stellen wat er is veranderd.
Naleving vloeit voort uit die discipline, meer dan dat ze haar voorschrijft. De NIS2-richtlijn vraagt maatregelen voor incidentafhandeling, bedrijfscontinuïteit en crisisbeheer. De DORA-verordening legt financiële entiteiten een programma op voor het testen van digitale operationele veerkracht, dat tests op basis van scenario’s omvat. De termijn van 72 uur van de AVG haalt men alleen als iemand weet dat die melding de zijne is. Autoriteiten vragen bewijzen, en het rapport van een oefening, met zijn sporen, is er een. Naleving is het gevolg van een voorbereide organisatie, niet het doel ervan, en het fictieve bedrijf van maart zou dat in oktober hebben begrepen: de voorbereiding eindigt niet met het project, ze begint daar.