Guide till riskanalyser för kommunikationssystem

Det korta svaret är dessvärre ”det går inte”, men genom att göra en grundlig och genomtänkt nulägesanalys kan vi minimera falsk trygghet och maximera motståndskraften i kommunikationen för att förbereda organisationen på bästa möjliga sätt.

Den här artikeln är del av en serie som skall hjälpa er ”skottsäkra” er verksamhetskritiska kommunikationsmiljö. Vi rekommenderar att ni tar del av artiklarna i ordning.

1. Introduktion till beredskapskommunikation - Varför preparera?
2. Guide till riskanalyser för kommunikationssystem - Vad kan gå fel? (denna artikel)
3. Guide till robusta kommunikationssystem - Vad kan vi göra åt det?
4. Guide till pålitlig reservkommunikation - Vad gör vi när det ändå inte räcker till?

Syftet med artikelserien i stort är att ge er ett antal ”linser” med vilka ni kan beskåda er kommunikationsmiljö för att kunna urskilja lämpliga åtgärder för just era förutsättningar.

Precis som för alla riskanalyser syftar denna del i processen till att inventera och bedöma risker och hot, men med specifikt fokus på er kommunikationsmiljö. Vi kan inte ge er svaren men med denna ”checklista” hoppas vi kunna hjälpa er att själva utforma en riskanalys och metodik som passar er verksamhet och er kommunikationsmiljö.

Inledningsvis måste ni avgränsa er analys genom att bestämma vilket/vilka system som skall granskas genom att precisera systemet, dess beståndsdelar och avgränsningar – exempelvis ”TETRA-systemet” eller ”Privata mobilnätet”.

Det blir väldigt mycket enklare att fokusera på hot som är relevanta för det aktuella objektet om alla objekt och dess beståndsdelar är tydligt dokumenterade.

Ni behöver urskilja och lista samtliga potentiella händelser som kan begränsa eller eliminera er möjlighet att använda det aktuella objektet – stort som smått.

Detta innefattar alla potentiella faror - oavsett om de uppkommit på grund av olycka, oaktsamhet eller illvilja. Det spelar heller ingen roll om de beror på inre eller yttre omständigheter – ”allt” kan vara relevant och bör utvärderas och dokumenteras.

Beroende på era förutsättningar så är de olika hoten mer eller mindre aktuella.

Detta steg handlar om att evaluera objektets nuvarande svagheter – specifikt i relation till redan utpekade hot.

För varje enskilt hot behöver en eller flera Sårbarheter kopplas – alltså brister som de utvalda hoten kan exploatera för att realiseras.

Nu är det dags att avgöra påföljden om era utpekade hot faktiskt besannas.

Även här måste påföljden utredas, värderas och dokumenteras för varje enskild risk. Eftersom konsekvensernas allvar kan skilja sig markant beroende på hur länge de pågår är det viktigt att väga in ett tidsperspektiv.

För strömavbrott kan det till och med vara fördelaktigt att behandla det som olika hot beroende på längd.

Ett annat tidsrelaterat perspektiv att fundera på är hur länge ni måste klara er själv innan yttre hjälp kan förväntas.

När ni vet vilka hot ni står inför, vilka sårbarheter ni besitter och vilka potentiella konsekvenser ni riskerar så kan ni slutligen fastställa Risknivåerna och således få en prioriteringslista att arbeta med.

Detta kan göras genom att vikta sannolikheten för att varje enskild Hot inträffar, viktat mot ”allvarlighetsgraden” som just det hotet utgör.

Sannolikheten kan uppskattas genom att jämföra Hotet och Sårbarheten medan Allvarlighetsgraden är kopplat till Konsekvensen.

Det är ”lätt” att förbereda sig för scenarion som ni själva eller någon annan i organisationen upplevt men, det är minst lika viktigt att preparera för dem ni aldrig ställts inför.

Det finns 3 typer av riskmedvetenhet.

1. Dem risker ni vet att ni har koll på.
2. Dem risker ni vet att ni inte har koll på.
3. Dem risker ni inte vet att ni inte har koll på.

För att täcka in samtliga kategorier behöver vi sannolikt tänka utanför boxen och föra en dialog med externa parter.

När ni väl har sammanställt all data så har ni sannolikt en riktigt bra bild över er situation, era behov och nödvändiga åtgärder.