Per Hejgaard og Per Bach Sørensen blev før sommerferien indkaldt til et møde med Kim Casper Kristoffersen og Henrik Johannes Rask, der skulle forestille at dreje sig om prioritering af efterårets indsatsområder på informationssikkerhedsområdet.
Øvelse med adrenalin
Efter aftale med Henrik afbrød Michael Collin efter kort tid mødet med en besked om, at der var sket noget dramatisk i det primære datacenter. Michael overleverede beskeden meget livagtigt, og der var ingen tvivl om at adrenalinniveauet steg betragteligt hos de to chefer, inden de fik at vide, at de nu deltog i en beredskabsøvelse.
Per H. og Per B. trådte hurtigt ind i øvelsen, og der blev herefter truffet en række handlinger, som kun blev udført på papiret og ikke i virkeligheden. Eksempelvis blev det simuleret, at der blev indkaldt en medarbejder fra ITS-sekretariatet til at håndtere en hændelseslog, og herefter blev resten af ITS-ledelsen på papiret indkaldt.
Det bliver hurtigt besluttet at definere hændelsen som en katastrofe, og beredskabsplanen træder derfor i funktion. Dette var et bevidst valg fra chefernes side, på trods af at der endnu ikke var et overblik over skadens omfang. Da øvelsen efterfølgende blev evalueret, begrundede de valget med, at man hurtigt kunne afbryde, såfremt det viste sig ikke at være nødvendigt.
Det blev fingeret, at de væsentligste kontaktpersoner fra beredskabsplanen blev orienteret, og at en kommunikationsmedarbejder fra ITS blev indkaldt.
Der blev herefter lavet en plan for, hvor ofte der skulle kommunikeres ud og til hvem. Samtidig blev det besluttet, at kommunikationsmedarbejderen også skulle stå for den indgående kommunikation.
ITS-ledelsen forsøgte at bevare det store overblik og simulerede uddelegering af så mange opgaver som muligt til teamledere og medarbejdere.
Der blev simuleret udarbejdelse af vagtplan, da det hurtigt blev klart, at opgaven med at etablere blandt andet nøddrift ville kunne tage mange dage, og at det derfor var vigtigt at disponere de personelmæssige ressourcer.
Evaluering og konkrete indsatspunkter
Alt i alt forløb øvelsen godt, men der blev også fundet nogle fejl og mangler i den nuværende plan.
På baggrund af øvelsen blev der udarbejdet 5 konkrete evalueringspunkter:
- Den overordnede konklusion på øvelsen var, at den påtænkte styring af hændelsen blev udført tilfredsstillende og ville have resulteret i en fornuftig løsning af opgaverne uden tendens til panik.
- Der blev under øvelsen identificeret et behov for at sikre, at al nødvendig detaildokumentation sikres placeret således, at det også er tilgængeligt offline.
- Der blev, under debriefingen, diskuteret om placeringen af drift og backup er tilstrækkeligt adskilt fysisk.
- I forhold til evt. længerevarende nøddrift vil det være en fordel, at der udarbejdes en plan for, hvordan det kan foregå. Skal der laves en aftale med et eksisterende datacenter i Aalborg-området eller en aftale med en leverandør af en Plug&Play-containerløsning? Det er et område, ITS bør arbejde med planer for.
- Der blev identificeret behov for, at kontaktpersonerne i it-beredskabsplanen udover navn også har deres rolle/funktion påført.
Per Bach og Henrik Rask arbejder videre med de 5 evalueringspunkter og inddrager universitetsledelsen, hvor det er relevant.