Jana Thorén

Jana Thorén

Expert IT-säkerhet

Oavsett om IT-avdelningen är en intern funktion eller inköpt från en leverantör är det viktigt att det finns tydliga förväntningar på vad som ska levereras. Men det är också viktigt att komma ihåg att även ett system med hög utlovad tillgänglighet på många decimaler kan råka ut för en störning som påverkar leveransen. Och då behövs en bra plan för att så snabbt som möjligt komma tillbaka till ordinarie leverans.

Att planera för det oplanerbara

Sådana planer finns visserligen i de flesta leveranser och de håller oftast mycket hög kvalitet, med snabb återläsning av backup och svängning av systemet till alternativt driftsställe.

Därmed inte sagt att man kan slå sig till ro och lita på att allt fungerar. Det oplanerade kan alltid inträffa och därför gäller det att planera för det. Ett sätt att göra det på är att ständigt utsätta planerna för tester, och testa dem på olika sätt för att få en heltäckande bild av läget.

Att testa för det otestbara

Exempelvis ska backuper inte bara tas regelbundet, utan de måste också kunna läsas tillbaka. Finns en reservmiljö ska den kunna startas upp och ta över driften inom överenskommen tid. Går en hårddisk sönder ska lagringen kunna fortsätta med övriga diskar och installation av ny disk ska ske utan avbrott.

Ett test som är mindre självklart men som kan ge viktig kunskap är skrivbordstest eller scenariotest. Denna typ av test ses ofta som lite enklare, lite billigare och mindre givande än operativa tester. Men min erfarenhet är att de kompletterar med viktig kunskap som inte framkommer vid operativa tester.

Låt mig ta ett exempel för att belysa vad jag menar

Återläsning av backup till ett system visar på att backupen finns och är läsbar, vi kan få tillbaka information och den är användbar. Denna typ av test är nödvändiga och viktiga för all verksamhet.

Scenariotest kan ge svar på det obesvarbara

I ett scenariotest tar vi med en större del av processen. En användare upptäcker att det här systemet visar fel värde. Redan nu provtrycker vi processen: vem ska felet anmälas till, vem gör initial felanalys, vilka ska informeras och vilka tar beslut om hur vi går vidare? Låt oss säga att vi kommer fram till att en backup behöver läsas tillbaka, men vilken backup ska vi läsa tillbaka? Vet vi om felet uppstod den senaste timmen eller handlar det om en årsskörning där felet kan ha uppstått någon av de senaste 364 dagarna? Det behöver vi veta för att läsa tillbaka rätt backup.

När vi vet vilket datum och vilken tidpunkt som behöver läsas tillbaka, behöver vi utreda konsekvenserna av återläsningen. Kan vi läsa tillbaka enskild information eller kommer vi att återställa hela systemet till en tidigare tidpunkt? Att tappa alla transaktioner för flera timmar kan ofta vara förödande för ett system – och för andra system som interagerar med det drabbade systemet.

Det resultat som vi förtjänar

Och på det sättet går diskussionen vidare. När scenariotestet kommer i mål har vi förhoppningsvis en bättre förståelse för hur vi ska hantera en möjlig kris. Och vi har kanske också upptäckt ett antal risker som vi inte tidigare har reflekterat över.

Ett bra scenariotest är ett test som resulterar i åtgärder och förbättringar. Och det finns alltid förbättringar att göra.

Är du intresserad av våra tjänster inom cybersecurity? Läs mer här:

About this author

Jana Thorén

Jana Thorén

Expert IT-säkerhet

Jana Thorén leder CGI:s Cyber Security Practice i Skandinavien, där hon utvecklar tjänster och produkter som hjälper företag och organisationer att bygga upp och behålla optimal säkerhet. Jana har arbetat inom säkerhetsområdet i närmare 20 år och haft både interna och externa roller som till ...