Innhold Beredskapsøvelser Hvordan lage og gjennomføre øvelser i egen virksomhet? 5. September 2018 Om denne samlingen Hvorfor gjennomføre øvelser? Oversikt over øvelsesformer Planlegging, gjennomføring og evaluering av en diskusjonsøvelse Planlegging, gjennomføring og evaluering av en spilløvelse 2 Om denne samlingen Om denne samlingen Teoretisk gjennomgang av planlegging, gjennomføring og evaluering av øvelser Praktisk øvelse 1: Utarbeide et prosjektforslag til en øvelse i egen organisasjon, inkludert øvingsdirektiv Legg spesiell vekt på å identifisere hensikt og mål! Praktisk øvelse 2: i å utarbeide scenario og å trekke spillbare elementer ut av en slik beskrivelse Teorien er basert på DSBs metodehefter om beredskapsøvelser Målet med samlingen er å øve opp tilstrekkelige ferdigheter til å kunne planlegge, gjennomføre og evaluere en beredskapsøvelse i egen organisasjon slik KDs tildelingsbrev stiller krav om KD er ikke opptatt av øvelsesform, men ønsker at øvelsen har et omfang og en kompleksitet som tilsier at virksomheten normalt ville ha satt krisestab Presentasjon av gruppearbeid i plenum 3 4 Hvorfor skal vi øve? Hvorfor skal vi øve? Kunnskapsdepartementet stiller krav om gjennomføring av kriseøvelser i tildelingsbrevet til offentlige universiteter og høgskoler En del ting vi driver med i UH-sektoren stiller krav til IKT-messig kontinuitet Å etablere kontinuitet- og beredskapsplaner (KBP) uten å øve på disse har lite for seg Øvelser er et velegnet virkemiddel for å bedre virksomhetens evne til å håndtere kriser Gjennom øvelser kan vi teste og videreutvikle systemer, funksjoner og kompetanse og påvise effekt av gjennomførte tiltak og endringer Å gjennomføre øvelser er lærerikt. Dette gjelder både for planleggings- og utførelsesfasen 5 6 1
Hvilke fallgruver står åpne hvis man velger å håndtere uønskede hendelser ad hoc? Typer øvelser Noen går bananas Uheldig sammensatt kriseledelse Misforståelser Lekkasjer til media Manglende beslutningsmyndighet Teknologisvikt Feil fakta Funksjonsøvelse Diskusjonsøvelse Spilløvelse Fullskala øvelse 7 8 Funksjonsøvelse Diskusjonsøvelse (aka «Table-top», «dilemmaøvelse», «seminarøvelse») Prøve ut en eller flere funksjoner i en virksomhet Deltakere i øvelsen gjennomfører praktisk det som er beskrevet i planverket: Teste varslingsplaner og systemer Teste samband Teste ny metodikk Teste beslutningsprosesser innen og mellom organisasjoner Teste funksjon eller teknikk Teste sjekklister og deler av et planverk Lite ressurskrevende både med hensyn til planlegging, gjennomføring og evaluering Øvingsdeltakerne diskuterer en problemstilling på bakgrunn av et scenario Alle deltakere samles i ett felles rom, og all kommunikasjon skjer der inne En øvingsleder presenterer problemstillinger enten muntlig eller på papir/skjerm/lerret Ingen tiltak skal iverksettes, og ingen kontakt skal tas utenfor rommet Diskusjonene bør styres av øvingslederen og viktige funn underveis bør noteres ned av en referent Øvingsformen er godt egnet til å identifisere hensiktsmessige rutiner for samarbeid og hvordan samarbeid bør skje Varighet: fra et par timer til en dag Krever litt forberedelser med å utvikle et hensiktsmessig og realistisk scenario, men er ellers lite ressurskrevende 9 10 Spilløvelse Et slags rollespill som foregår i sitt eget univers, frikoplet fra en virkelige verden Spillere (de som skal øves) Motspillere (de som representerer omgivelsene) Spillet drives fremover av ulike hendelser som spillerne skal forholde seg til Hendelsene er hentet ut av et scenario som er utviklet på forhånd og som er ukjent for spillerne Spillerne skal forholde seg til hendelsene i henhold til sine vante roller og planverk som om det hadde dreid seg om virkelige hendelser Det skal ikke foretas handlinger på systemer eller utstyr som ikke er satt opp spesielt som en del av øvelsen Det er ikke tillatt å kommunisere utover øvingsuniverset Forholdsvis ressurskrevende å organisere Dette er selvsagt avhengig av øvelsens omfang Fullskala øvelse Denne øvingsformen inneholder alle elementene som inngår i en spilløvelse I tillegg kommer funksjoner (gjerne på taktisk nivå) som utfører et praktisk arbeid Gjennomføres alltid i sann tid, og under øvelsen benyttes bekledning, arbeidsmetoder og utstyr som man bruker til vanlig Organiseres ofte som iscenesetting av et skadested/ulykkessted hvor spillerne skal øves i sine vanlige roller Øvingsformen brukes ofte av redningstjeneste, politi, helsevesen og forsvar Meget ressurskrevende, både i form av tid, penger og personale. Dette gjelder for alle faser i øvelsen Oppside: Meget lærerikt! Ullent? Det vil forhåpentlig bli klarere etter hvert J 11 12 2
Hvilken øvingsform bør vi velge? Dette er selvsagt avhengig av hva man ønsker å oppnå! Tilgang på ressurser veier ofte tungt Penger, personell og tid Funksjons- og diskusjonsøvelser er godt egnet for små og gjerne ensartede grupper og hvor man ønsker å øve på spesielle ferdigheter Spilløvelser vil være godt egnet hvis man ønsker å involvere flere fagdisipliner og/eller flere deler av virksomheten Fullskala øvelser er for viderekommende, det er trolig ikke lurt å organisere sin første øvelse rundt denne modellen i hvert fall hvis man ikke har bistand fra folk som har gjort dette før Sjekkliste for valg av øvingsform Hva er hensikten med øvelsen? Hvorfor skal vi øve? Hva er målet med øvelsen? Hva ønsker man oppnå med øvelsen? Hvordan skal vi nå målet? Hvilket scenario skal vi bygge øvelsen omkring? 13 14 Litt mer om øvingsformen Passer godt til: Øke kunnskapen om planverk Identifisere eventuell ulik forståelse og bruk av planverk Planlegging, gjennomføring og evaluering av en diskusjonsøvelse Identifisere ansvars- og rolleforståelse Forberede kommende øvelser Resonere rundt spesielle moment/spørsmål Diskutere risiko- og sårbarhetsanalyser og mulige hendelser som kan ramme organisasjonen Passer mindre godt til: Problemstillinger som utvikler seg over tid Problemer som involverer flere fagdisipliner og som må samarbeide for å finne løsninger Teste/fastslå rutiner Siden en diskusjonsøvelse ikke gjennomføres i realtid, må alle elementer som krever dette velges bort Kan kombineres med andre øvingsformer! 15 16 Oppstartsmøte Formål: Samle aktørene som skal delta i øvelsen Få innspill på hva aktørene ønsker å øve på Innhente ønsker om øvelsens innhold Før planleggingen starter bør følgende avklares: Behovet for å øve Retningslinjer for øvelsen Hensikt Scenariotema Tidsbruk 17 18 3
Planleggingen er en strukturert prosess som fordrer at ulike deler av øvelsen planlegges i en viss rekkefølge Antall planleggere er avhengig av hvor mange aktører som skal delta i øvelsen Typisk 2 5 personer som er ansvarlig for å planlegge, gjennomføre og evaluere øvelsen Det kan være nyttig å gjennomføre flere planleggingsmøter under veis Det forutsettes at planleggerne driver arbeidet med øvelsen framover mellom møtene Møtene fungerer som en avsjekk av igangsatte oppgaver, samt å peke ut veien videre Tentativ dagsorden for planleggingsmøte 1: Øvingsleder presenterer eventuelle oppdateringer siden oppstartsmøtet Informasjon om øvelsens hensikt Informasjon om rammefaktorer Workshop om scenario Tentativ dagsorden for planleggingsmøte 2: Øvingsleder presenterer eventuelle oppdateringer siden forrige møte Informasjon om arbeidet med scenarioet Definere hvordan øvelsen skal evalueres 19 20 Øvingsdokumenter Tentativ dagsorden for planleggingsmøte 3: Diskusjonsleder presenterer eventuelle oppdateringer siden forrige møte Øvingsdirektivet gjennomgås Gjennomgang av innspill til scenariet Tidspunkt for gjennomføring av øvelsen Hvem skal delta i øvelsen? Hvilke lokaler skal benyttes Øvingsdirektiv Til en mindre diskusjonsøvelse er det tilstrekkelig å utarbeide et enkelt øvingsdirektiv: Om øvelsen Deltakere Hensikt (og eventuelt mål) Scenario Gjennomføring av øvelsen Evaluering Spørreskjema til bruk i evaluering/oppsummering Evalueringsrapport, eventuelt oppsummeringsnotat 21 22 Øvingsdirektiv Hensikt og mål Scenarioarbeidet Hensikt: Skal være et svar på spørsmålet «hvorfor vil vi øve?» Hva er anledningen eller årsaken til at øvelsen skal gjennomføres? En diskusjonsøvelse kan ha flere hensikter, for eksempel: Mål: Diskutere mulige problemstillinger knyttet til et IKT-angrep på organisasjonen Diskutere mulige problemstillinger knyttet til utilgjengelige eller ødelagte informasjonseiendeler Oftest ikke nødvendig å formulere i diskusjonsøvelser, bruk tiden på å formulere hensikt(er) i stedet Den viktigste årsaken til dette er: Øvingsformen er ikke spesielt godt egnet til å øve evner Aktørene som deltar i øvelsen er oftest ikke bemannet eller organisert slik de normalt ville ha vært i en krisesituasjon I en diskusjonsøvelse skal man diskutere spesifikke og generiske problemstillinger Man skal ikke befatte seg med spill eller simulerte håndteringer av situasjoner Dette forenkler scenarioarbeidet vesentlig i forhold til spilløvelser Et formålstjenlig scenario for diskusjonsøvelser kan være begrenset til: Forhistorie/bakteppe Fakta 23 24 4
Scenarioets ulike komponenter Forslag til innspill/problemstillinger Forhistorie/bakteppe: Beskrivelse av en reell situasjon, risikoforhold, politiske forhold, og så videre Forhistorien presenteres for øvingsdeltakerne med det samme øvelsen starter Hensikten er å skape en ramme omkring problemstillingene som skal diskuteres Fakta: Beskrivelse av den virkeligheten som gjelder for øvelsens scenario. Kan bestå av teknisk informasjon, kart, skisser, tegninger Eksempel: Mørketallsundersøkelsen Antall registrerte dataangrep i Norge i 2017 Hvordan disse angrepene rammet og konsekvenser av dette Antall ansatte som jobber med IKT sikkerhet Eksempel på formulerte hensikter: Identifisere eventuelle uklarheter relatert til ansvar- og myndighet i organisasjonen Diskutere mulige problemstillinger knyttet til håndtering av et IKT-angrep på virksomheten Drøfte utfordringer relatert til kommunikasjon og håndtering av hendelser for eksempel overfor media Eksempler på innspill med utgangspunkt i disse hensiktene: Hvilke roller og ansvar har dere i håndtering av denne hendelsen? Hvilke aktører ville dere samarbeidet med i håndtering av dette IKT-angrepet? Hvem har ansvaret for å håndtere media og hva slags informasjon skal vi gi dem? 25 26 Øvingsdagen Roller i diskusjonsøvelsen Diskusjonsleder Påse at alle deltakerne kommer til orde Deltakerne møter opp til fastsatt sted og tid Diskusjonslederen har ansvaret for gjennomføringen av øvelsen Hen er sjefen uavhengig av normal plassering i virksomhetens hierarki Hen skal IKKE delta i diskusjonen, men skal forholde seg nøytral og fokusere på gjennomføringen Ingen ulempe om diskusjonslederen er ekstern, men dette er ingen betingelse Må ikke opptre som saksekspert på noe vis, faren med det er at de øvede kan bli passivisert Vurdere regler, så som tegngiving vs fri diskusjon Bør være strukturert, objektiv, rolig, tydelig og lydhør for deltakernes ønsker Bedømme hvilke diskusjoner som er relevante og hvilke som bør avrundes eller avbrytes Bistå referenten Referent Skal fortløpende notere mens de øvede diskuterer Gi en kort oppsummering etter endt diskusjon, slik at misforståelser kan rettes opp så tidlig som råd Bistå i arbeidet med evalueringsrapporten Deltakerne Stille godt forberedt, være «på» Respektere taletid og tegngiving Vise respekt for andre deltakere og deres synspunkter Være aktiv 27 28 Øvingsdagen Evaluering/oppsummering Forslag til dagsorden Velkommen og introduksjon Presentasjon av øvelsens hensikt Presentasjon av bakgrunn og scenario (v/diskusjonsleder) Diskusjon Oppsummering og avslutning Rapporten fra en diskusjonsøvelse bør først og fremst fange opp og belyse hvilke refleksjoner deltakerne gjorde seg rundt problemstillingene som ble diskutert Viktig at referenten har god kjennskap til hensikten med øvelsen slik av vedkommende kan notere viktige poenger som dukker opp under veis Hva var deltakerne enige/uenige om? På hvilke områder er det behov for avklaringer? Hvor møtte deltakerne utfordringer? 29 30 5
Eksempel på evalueringsnotat 1. Innledning og hensikt Beskrivelse av bakgrunnen for å gjennomføre øvelsen, samt presentasjon av øvelsens hensikt 2. Scenario Kort presentasjon av scenario og problemstillingene som øvingsdeltakerne ble stilt overfor 3. Oppsummering, konklusjoner og tiltak Planlegging, gjennomføring og evaluering av en spilløvelse Kort oppsummering av diskusjonen Vurdering og konklusjoner på bakgrunn av diskusjonen. Hva fungerte bra, hva fungerte mindre bra? Oppfølgingspunkter, ansvarlig avdeling og frister 31 32 Litt mer om øvingsformen Spilløvelse i et nøtteskall En spilløvelse passer godt til å: Teste og/eller utvikle praktiske og konkrete problemstillinger og evner i krisehåndteringen Teste rutiner og systemer Teste samvirke med andre aktører og deres oppgaver i krisehåndteringen Utvikle samvirkeplattformer og modeller for informasjonsutveksling med andre aktører Utvikle, teste og dele situasjonsbilder så vel internt som mellom aktører 33 34 Startpunkt Sørg for å få øvelsen forankret på rett nivå! Oppdraget skal være tydelig formulert før planleggingen starter Følgende momenter skal gjennomgås: Behovet for en øvelse Retningslinjer Hensikt og mål Scenario Ressursbruk Effekter for organisasjonen Et par gode råd på veien Planlegging av en øvelse er en strukturert prosess som fordrer at ulike deler av øvelsen planlegges i en viss rekkefølge Prosessen kan fremstå som ressurskrevende, men rekkefølgen på arbeidsoppgavene er god og behøver ikke være omfattende Ting Tar Tid! Øvelsesplanlegging er en modningsprosess Unngå unødvendig stress og tidsnød ved å sette av god tid til planleggingen Eks: Planleggingen av nasjonal øvelse IKT16 tok nesten ett år Gjennomføringen av selve øvelsen tok 2 to- dager «Plans are nothing; planning is everything» Dwight D. Eisenhower 35 36 6
Planleggingsorganisasjonen Planleggingsorganisasjon Lettvektsvariant Øvingsleder Styringsgruppe Scenarioutvikling Dreiebok Evaluering Mediaspill Observatører 37 38 Oppstartsmøte Formål: Samle aktørene som skal delta i øvelsen Få innspill på hvilke funksjoner som aktørene ønsker å øve på Innhente ønsker om øvelsens innhold 39 40 Planleggingsmøter/konferanser Øvingsdokumenter Det er nødvendig å beramme et antall møter hvor alle aktører møtes i løpet av planleggingsprosessen Dette kommer i tillegg til møtevirksomhet i de ulike arbeidsgruppene Formålet er: Sikre fremdrift i planleggingen Løse eventuelle problemer som har oppstått Sikre at mål og hensikt med prosjektet er ivaretatt Det er vanlig å ha 3 slike møter i løpet av planleggingsfasen Det siste møtet legges tett opp til selve øvelsen og skal sikre at alle «løst tråder» blir funnet og forankret Øvingsdirektiv Scenariodokumenter Dokumentasjon for motspillet Sambandskatalog Evalueringsdokumenter 41 42 7
Scenarioarbeidet Scenarioets ulike komponenter En historiefortelling som beskriver en rekke hendelser som er godt egnet til å øve aktørenes håndtering Bør ha følgende oppbygging: Fra normalsituasjon til krise Håndtering av krisen Fra krise til normalsituasjon Et godt scenario vil gjerne lykkes med å: Forhistorie/bakteppe Rammebetingelser og fakta Årsaker og konsekvenser Hendelser moment og innspill Disse utgjør samlet øvelsens dreiebok Forsterke kriseatmosfæren Introdusere spesifikke beslutningssituasjoner Fremkalle en spesiell individuell og/eller kollektiv adferd Arbeidet med scenarioet er «øvingshemmelig» Uheldig om informasjonen om hva som skal skje blir kjent for de som skal øves! 43 44 Scenarioets deler Tidslinje med scenarioets hendelser og moment Hendelse: Scenarioets byggestein, en øvelse består av en eller flere hendelser med eller uten sammenheng. Eks: Brann i datarom, cyberangrep Moment: Øvelsens hendelser får ulike konsekvenser. Eks: En cyberhendelse mot finansnæringen kan få andre konsekvenser enn samme mot kunnskapssektoren. Hensikten med momentbeskrivelse er å forenkle formuleringen av innspill Innspill: Dette er meldinger/kontakt fra noen som ikke øver til en øvende organisasjon eller funksjon 45 46 Eksempel på dreiebok (utdrag) Eksempel på innspill 47 48 8
Eksempel på vedlegg til innspill Motspillet Motspillet dimensjoneres etter at jobben med scenarioet er tilnærmet ferdig De ulike rollene i motspillet er imidlertid relativt faste, summen av disse aktørene kalles «spillstab» Øvingsleder: Har ansvaret for å lede og drive spillet på øvingsdagen Modulledere: Koordinerer arbeidet innenfor sin modul og er ansvarlig for giverne Givere: De som effektuerer innspillene til de som øves Responscelle: Representanter for virksomheter som ikke deltar i spillet, men som det er nødvendig å samhandle med for de øvede Lokal øvingsleder: Spillstabens forlengede arm på øvelser som har aktører spredt på forskjellige lokasjoner 49 50 Lokaliteter og teknologi Evaluering Ingen vits i å begå feil hvis en ikke ønsker å lære av dem! I mindre spilløvelser kan hele motspillet med fordel befinne seg i samme rom I størrelse øvelser hvor motspillet er delt inn i moduler, kan separate møterom for ulike moduler være bra for både arbeidsro og oversikt Motspillet må disponere en del hjelpemidler: Telefoner (med mulighet for å avholde telefonkonferanser) Datamaskiner med utskriftsmulighet og tilgang til nett E-postkontoer som brukes i forbindelse med øvelsen Prosjektor Utpek et antall personer som får rollen som observatører som skal føre logg over det de ser og hører på øvelsesdagen, spesielt: Hva som skjedde? Interessante og viktige beslutninger som ble tatt Hendelser hvor aktørene tok kontakt med hverandre for å skape samhandling «Hot wash-up» - gjennomfør et møte i spillstaben, inkludert observatører, umiddelbart etter øvelsen - helst samme dag eller senest neste dag Få samlet inn og notert ned viktige observasjoner før de blir «forvrengt» eller glemt Skriv en rapport fra øvelsen med vesentlig vekt på: Måloppnåelse Funn Læringspunkter Forslag til aksjoner/endringer 51 52 UNINETTs egne erfaringer med øvelser Vi har gjennomført to øvelser den siste tiden IKT16: objektet for øvelsen var UNINETT CERT HMS-øvelse: objektet for øvelsen var alle kritiske funksjoner i UNINETT AS Hovedtrekk fra begge øvelsene: Høy stressfaktor, folk opplevde øvelsen som meget realistisk Lyst til å lære mer om øvelser og øvelsesplanlegging? Direktoratet for Samfunnssikkerhet og Beredskap (DSB) har utarbeidet en serie med metodehefter som gir en grundig innføring i emnet https://www.dsb.no/lover/risiko-sarbarhet-og-beredskap/artikler/ovingsveileder/ Anbefales! Folk fikk en masse informasjon å forholde seg til innimellom motstridende og til og med «fake news» Feil ble gjort! MASSE læringspunkter 53 54 9