I samband med årets cybersäkerhetsmånad publicerar Knowit en bloggserie om digital motståndskraft. Vi inleder serien med att sätta begreppet och området i ett historiskt perspektiv. Tillsammans med vår rutinerade kollega Pernilla Sander blickar vi tillbaka på hur verksamheter arbetade med backup och återställning under digitaliseringens barndom, hur digital motståndskraft växte fram som begrepp och vilka nya utmaningar vårt alltmer uppkopplade samhälle har fört med sig.
De flesta dagar passerar utan att vi djupgående reflekterar över vårt kollektiva behov av motståndskraft i den digitala infrastrukturen. Eventuellt kan vi slås av irritation om vi exempelvis blir stående i en bilkö på väg ut från ett parkeringsgarage där den automatiska porten vägrar öppna sig. Än mer påtagligt blir vårt tekniska beroende när vi blir varse att hela kvarteret är nedsläckt, butiker och restauranger har tvingats stänga ner sina verksamheter och tunnelbanan står still. Men i samma sekund det tillfälliga strömavbrottet ordnats upp och alla funktioner återigen är påslagna är vi benägna att återgå till att ta alla våra bekvämligheter för givna.
Digital motståndskraft handlar om en verksamhets förmåga att anpassa sig, återhämta sig och fortsätta utvecklas när digitala störningar eller andra förändringar påverkar verksamheten.[1] En anledning till att vi inte funderar mer över vår sårbarhet kopplad till detta är sannolikt dess grundläggande komplexitet. Även om vi kan formulera en övergripande problembild är det oerhört svårt att sätta fingret på en heltäckande lösning. Denna mentala tröskel på samhällsnivå går att identifiera även inom de verksamheter som behöver säkerställa sin förmåga att stå emot driftstörningar, oavsett ursprung.
Här kommer den digitala motståndskraften in som begrepp och funktion. Området kan omfatta allt från cyberrymdens mest tekniska hörn till beräkningar för bärande väggar, geopolitisk analys och för all del kontinentalplattornas rörelsemönster. Kort sagt sådant som kan påverka en verksamhets förmåga att stå emot störningar och fortsätta fungera. Komplexiteten understryks av att fältet varken har en tydlig start- eller slutpunkt. Motståndskraften ska gälla konstant oavsett omständigheter.
Med tanke på vår digitaliserade samtid kan man ställa sig frågan om det någonsin har varit en större utmaning att behärska frågeställningarna än idag. För att få perspektiv kring detta vore det passande att prata med någon som har verkat inom området sedan uppkopplingens tidiga år.
Någon som har följt motståndskraftens evolution från backuphantering på rullband till dagens multidisciplinära förhållningssätt till digital motståndskraft är vår kollega på Knowit, Pernilla Sander. I mitten av 1990-talet inledde Pernilla sin bana inom försäljning av komplexa säkerhetstjänster, en roll som kräver lika mycket konsultativ begåvning som faktisk sakkunskap. Hon har därmed drivit djupgående kunddialoger om allt från transport av fysiska säkerhetskopior och molnmigrering till dagsaktuella utmaningar kring AI-drivna cyberhot. Hennes första reflektion handlar om begreppsbildningen inom området.
”När jag började i branschen användes inte begreppet "digital motståndskraft". Det vi hanterade var återställning i händelse av katastrof, och det vi diskuterade var beredskap, backuper och hur snabbt vi skulle kunna återuppta kritisk verksamhet på en reservdriftplats om en katastrof skulle inträffa. Med ”katastrof” så syftade man nästan uteslutande på händelser som brand, översvämning eller eventuellt någon naturkatastrof”.
Det går alltså att slå fast att Pernillas karriär tog fart mot en betydligt annorlunda samhällelig bakgrund. Hennes spaning om att begreppet digital motståndskraft ännu inte användes i detta sammanhang har också begreppshistoriskt stöd. En genomgång av den digitala motståndskraftens utveckling lyfter en skrivelse från det brittiska Cabinet Office, ett centralt brittiskt regeringsdepartement, från 2005 som ett tidigt dokumenterat statligt sammanhang där behovet av digital motståndskraft uppmärksammades.[2] Begreppet fick sedan ett bredare genomslag omkring 2010 och har under åren därefter utvecklats till ett eget mångfacetterat expertisområde. [3]
I backspegeln är det lätt att tänka att hela fältet var, om inte enklare, så åtminstone begripligare under Pernillas tidiga år i branschen. Det var en tid då arbetet med motståndskraft i hög grad kretsade kring att säkerhetskopiera verksamhetens data, hålla reservkapacitet tillgänglig och se till att nyckelpersoner var redo att återuppta verksamheten.
”Bolaget jag arbetade på erbjöd kapacitet i en reservmiljö, alltså utrymme i en annan stordator på en annan plats. Vi hanterade transporten av backupmaterialet, stora rullband med kopior, så att reservdatorn alltid var i beredskap. Sedan handlade det om att identifiera olika scenarier och öva, öva, öva för att rutinerna skulle sätta sig. Fokus låg på att kritisk personal så snabbt som möjligt skulle ta sig till reservplatsen för att återställa verksamheten.”
Det Pernilla berättar präglas av en föredömlig tydlighet. Kopplingen mellan orsak och verkan, riskscenario och åtgärd är så självklar att sambanden skulle kunna förklaras för ett barn. Pernilla har en bestämd uppfattning om hur vi gick från denna klarsyn till dagens mer svåröverblickbara arbete med digital motståndskraft. Hennes tidslinje matchar också bilden av att begreppet fick ett bredare genomslag i slutet av 00-talet.
”Det var omkring då som verksamheter började flytta sin datahantering till molnet. Innan dess kunde man ha en känsla av full kontroll och därmed också ett tydligt eget ansvar för den digitala motståndskraften. Sedan outsourcade man hanteringen och kunde i stort sett bara acceptera de garantier man fick från leverantörerna. Något hårdraget växte uppfattningen fram att ’det där får någon annan hantera’. Men det handlade inte om en ovilja att bibehålla motståndskraften, utan om att området blev så svåröverskådligt. Man kanske inte heller kände att man hade så mycket att sätta emot när så stora bolag hävdade att de hade de bästa och säkraste lösningarna.”
Pernilla understryker samtidigt att inget egentligen har förändrats i fråga om ansvar. Nu som då behöver organisationen kunna stå emot störningar, anpassa verksamheten och återställa det som har gått förlorat. Det gäller vilka omständigheter som än råder. Men i takt med att fler parter har blivit inblandade och beroendekedjorna alltmer intrikata har tydligheten och överblicken blivit utvecklingens stora förlorare.
Den fragmenterade kravbilden för att upprätthålla motståndskraft har, knappast förvånande, skapat en växande utmaning för dem som ansvarar för kontinuitetsplaneringen i olika verksamheter.
”Många som ansvarar för sin verksamhets motståndskraft upplever uppgiften som att bestiga Mount Everest. Jag hade nyligen ett samtal med en kund i en verksamhet som plötsligt hade fått ansvaret för civil beredskap i sitt knä. Personen behövde hjälp att förstå i vilken ände arbetet skulle börja angripas eftersom hela uppgiften kändes så överväldigande.”
Det är i sådana situationer som Pernillas långa erfarenhet får ett konkret värde. Genom att ha följt utvecklingen under många kunduppdrag kan hon urskilja de bestående principerna inom området.
”Jag brukar säga att man inte ska stirra sig blind på ett slutmål, för det kommer ändå alltid att förflytta sig. Börja med en analys, identifiera de mest kritiska sårbarheterna och ta sedan tag i det som behöver prioriteras först. Man måste acceptera att det är ett ständigt pågående arbete. När man väl har landat i den insikten och kommit i gång är man redan en bra bit på väg.”
Om vi återvänder till scenariot i garaget så var det en faktisk erfarenhet som Pernilla var med om ett par dagar före vårt samtal. Ett strömavbrott hade då drabbat ett relativt stort område i Stockholms innerstad.[4] I det stora hela var händelsen en bagatell som sannolikt inte skapade några bestående besvär för de drabbade, men precis därför är situationen värd att belysa. Närmare fyrtiotusen kunder blev trots allt utan ström, arbetsplatser fick lägga verksamheten på is och under jorden påverkades tunnelbanans blå linje.
Händelsen påminner oss om att de flesta klarar en sådan störning ganska väl under en begränsad tid. Vi kanske som omväxling tar trapporna i stället för hissen, stänger butiken ett par timmar tidigare eller skjuter fram någon uppgift till morgondagen. Men om vi leker med tanken att avbrottet skulle ha pågått under en längre tid blir de potentiella konsekvenserna tydligare. En resenär som sitter fast i mörkret mellan två tunnelbanestationer, en sjukhusbesökare som inte kommer fram till sin undersökning eller en restaurangägare som ser kilovis med livsmedel tina i frysarna skulle knappast betrakta det hela som en spännande avvikelse i vardagen.
Sannolikt utsätts vi för liknande stresstester oftare än vi tänker på, men när funktionerna återställs tillräckligt snabbt blir inte konsekvenserna särskilt påtagliga. Därför illustrerar händelsen också vikten av ett kontinuerligt arbete med digital motståndskraft. Hur väl vi än förebygger incidenter kommer vi aldrig att kunna skydda oss mot varje tekniskt fel, naturhändelse, mänskligt misstag eller antagonistiskt angrepp. Förmågan att stå emot, anpassa sig och återhämta sig blir därmed ett av samhällets yttersta skyddslager mot de händelser vars exakta form vi aldrig kan förutse.
Som Pernilla konstaterar är kanske historiens viktigaste lärdom att påbörja bestigningen, en etapp i taget, oavsett hur avlägsen bergstoppen ter sig. Varje kartlagd sårbarhet, genomförd övning och prövad reservlösning ger erfarenheter som stärker förmågan att hantera nästa utmaning. Att arbetet aldrig kommer att nå en definitiv slutpunkt är en insikt som behöver accepteras från start. Samtidigt blir resan lättare när vi tar vara på den samlade kunskap inom området som hela tiden växer.
Dessa insikter kommer att prägla den bloggserie som det här inlägget inleder. Med samlad kunskap och erfarenhet från kollegor på Knowit kommer vi att undersöka hur digital motståndskraft kan hållas levande, vilka utmaningar beroendet av tredjepartsleverantörer innebär och hur området kan komma att utvecklas framöver. Vi hoppas att du som följer serien ska känna dig bättre rustad att möta de utmaningar som vår samtid ställer vår digitala motståndskraft inför.
[1] https://www.ri.se/sv/digresiliens-om-digital-resiliens
[2] UK Cabinet Office, Transformational Government: Enabled by Technology (2005)
[3] https://link.springer.com/article/10.1007/s10207-023-00811-x
[4] https://www.aftonbladet.se/nyheter/a/Bxdwbg/elavbrott-i-stockholm-tunnelbanetag-star-still