En återställningsplan för företag beskriver hur verksamhetskritiska data, system och IT-tjänster ska återställas efter exempelvis ett driftstopp, cyberangrepp, tekniskt fel eller annan incident. Planen bör tydligt ange vilka system som ska återställas först, vilka återställningspunkter som ska användas, vilka personer som ansvarar för olika åtgärder samt vilka RPO- och RTO-mål som gäller.
En fungerande återställningsplan bygger på dokumenterade rutiner, fungerande backup, tydliga prioriteringar och regelbundna återställningstester. Målet är att skapa förutsättningar för snabbare återställning, begränsad dataförlust och en strukturerad process även under en allvarlig IT-incident.
Verksamhetens system och återställningsbehov
En återställningsplan börjar med att identifiera vilka system, data och IT-tjänster som är mest kritiska för verksamheten. Alla system har inte samma betydelse och behöver därför inte återställas samtidigt. Ekonomisystem, affärssystem, databaser, e-post, dokumenthantering och kundrelaterade system kan exempelvis ha olika prioritet.
För varje verksamhetskritiskt system bör det dokumenteras vilken information som finns där, vilka beroenden som finns och vilka konsekvenser ett längre driftstopp får. Detta skapar grunden för en återställningsordning som kan användas vid en faktisk incident.
RPO och RTO som återställningsmål
RPO och RTO används för att definiera hur mycket data som får gå förlorad och hur snabbt ett system behöver vara tillbaka i drift. RPO anger hur långt tillbaka i tiden verksamheten accepterar att data går förlorad, medan RTO anger den maximalt accepterade tiden för återställning.
Om ett system har höga krav på tillgänglighet kan det krävas tätare backup och snabbare återställningsmetoder. Mindre kritiska system kan ha längre återställningstid. Genom att dokumentera dessa mål blir det enklare att dimensionera backup, lagring och tekniska återställningslösningar.
Backup och återställningspunkter
Återställningsplanen måste bygga på backupkopior som faktiskt kan användas när verksamheten behöver återställa data. Backup bör omfatta relevanta servrar, databaser, dokument, molntjänster, affärssystem och annan verksamhetskritisk information.
Planen bör även beskriva hur återställningspunkter väljs. Flera versioner och lämpliga retentionstider kan göra det möjligt att välja en återställningspunkt före exempelvis ett ransomwareangrepp, ett felaktigt användaringrepp eller en omfattande systemförändring.
Prioriterad återställningsordning
En dokumenterad återställningsordning visar vilka system som ska återställas först och vilka beroenden som måste hanteras innan verksamheten kan fungera normalt. Ett affärssystem kan exempelvis vara beroende av databaser, identitetstjänster, nätverk eller andra infrastrukturtjänster.
Genom att fastställa prioriteringen i förväg kan risken för att återställningen blir improviserad minska. Planen bör tydligt ange vilka system som är kritiska, vilka som är sekundära och vilka som kan återställas senare.
Ansvar, kontaktvägar och beslutsprocesser
En återställningsplan behöver tydliga roller så att det är klart vem som ansvarar för tekniska åtgärder, beslut och kommunikation under en incident. Ansvar kan exempelvis fördelas mellan IT, verksamhetsansvariga, ledning och externa IT-partners.
Kontaktuppgifter, eskaleringsvägar och beslutsnivåer bör finnas dokumenterade och vara tillgängliga även om ordinarie IT-system inte fungerar. Det gör planen användbar även när incidenten påverkar e-post, interna system eller annan kommunikation.
Återställningsrutiner för olika incidenter
Återställningsplanen bör innehålla konkreta rutiner för olika typer av incidenter. Ett tekniskt serverfel, en felaktig radering, ett ransomwareangrepp och ett omfattande driftstopp kan kräva olika åtgärder och olika återställningsstrategier.
Rutinerna bör beskriva hur incidenten identifieras, hur påverkan begränsas, när återställning kan påbörjas och hur data och system kontrolleras efter återställningen. Vid en cyberincident kan det dessutom vara nödvändigt att säkerställa att den ursprungliga orsaken är hanterad innan system återansluts till produktionen.
Säker återställning efter en cyberincident
Vid ransomware eller annan cyberattack måste återställningen genomföras på ett sätt som inte återintroducerar angriparens åtkomst eller skadad data. Därför behöver återställningsplanen även innehålla säkerhetsrelaterade kontroller.
Det kan innebära att använda separerade eller skyddade backupkopior, kontrollera konton och behörigheter samt verifiera återställningspunkten innan produktionsmiljön återställs. Backupens säkerhet är därmed en viktig del av själva återställningsplanen.
Dokumentation av återställningsprocessen
Varje återställningsprocess bör vara dokumenterad så att tekniska och organisatoriska åtgärder kan genomföras på ett konsekvent sätt. Dokumentationen kan innehålla systemlista, prioriteringsordning, kontaktpersoner, återställningsinstruktioner, RPO, RTO och krav på verifiering.
Instruktionerna bör vara tillräckligt tydliga för att kunna användas under tidspress. Det är också viktigt att dokumentationen uppdateras när system, leverantörer, integrationer eller ansvar förändras.
Återställningstester och verifiering
En återställningsplan behöver testas regelbundet för att verifiera att den fungerar i praktiken. Ett test kan visa om backupen går att återställa, om återställningstiden motsvarar RTO och om rätt data kan hämtas från den valda återställningspunkten.
Testerna bör även kontrollera systemberoenden och återställningsordningen. Resultatet bör dokumenteras tillsammans med eventuella avvikelser och förbättringsåtgärder.
Kontinuitetsplanering och löpande förbättring
Återställningsplanen bör vara en del av företagets kontinuitetsplanering och uppdateras när verksamheten förändras. Nya system, molntjänster, integrationer, datamängder och organisatoriska förändringar kan påverka både RPO, RTO och återställningsordningen.
Efter incidenter och återställningstester bör planen utvärderas. På så sätt kan företaget successivt förbättra backup, återställningsrutiner, ansvarsfördelning och teknisk beredskap.
Vanliga frågor om återställningsplaner för företag
Vad ska en återställningsplan för företag innehålla?
Den bör innehålla prioriterade system, RPO, RTO, backupinformation, återställningsrutiner, ansvarsfördelning, kontaktvägar och rutiner för verifiering efter återställning.
Vad är skillnaden mellan en backup och en återställningsplan?
Backup är själva säkerhetskopian av data eller system. Återställningsplanen beskriver hur backup och andra resurser ska användas för att återställa verksamheten efter en incident.
Hur bestämmer man vilka system som ska återställas först?
Prioriteringen bör baseras på verksamhetens beroenden, affärspåverkan, informationskritikalitet och krav på RTO och RPO.
Hur ofta bör en återställningsplan testas?
Planen bör testas regelbundet och dessutom efter större förändringar i IT-miljön. Testfrekvensen bör anpassas efter verksamhetens risker och återställningskrav.
Vad innebär RTO i en återställningsplan?
RTO anger hur lång tid verksamheten maximalt accepterar att ett system eller en tjänst är otillgänglig innan den behöver vara återställd.
Vad innebär RPO i en återställningsplan?
RPO anger hur långt tillbaka i tiden verksamheten accepterar att data går förlorad, uttryckt som tiden mellan den senaste användbara återställningspunkten och incidenten.
Varför behöver företag dokumentera återställningsrutiner?
Dokumenterade rutiner minskar beroendet av enskilda personer och gör det möjligt att genomföra återställningen strukturerat även under tidspress.
Sammanfattning
En återställningsplan för företag skapas genom att identifiera verksamhetskritiska system och data, fastställa RPO och RTO, dokumentera backup och återställningspunkter samt definiera ansvar och prioriterad återställningsordning.
För att planen ska fungera i praktiken behöver den testas regelbundet, dokumenteras och uppdateras när verksamhetens IT-miljö förändras. Kombinationen av fungerande backup, tydliga återställningsrutiner och kontinuerlig verifiering ger bättre beredskap vid driftstopp, dataförlust och cyberincidenter.
