Robust avhengighet

Med god hjelp fra pandemi og ransomware er robusthet på full fart oppover på agendaen. Logikken er innlysende, men hvor og hvordan starter vi?

'Vi ringer ekspertisen' er det kjappe svaret, men hvem er det? 'Vår sikkerhetspartner' er det vanligste av et dusin varianter. Vel og bra, men robusthet handler om mye mer enn (digital) sikkerhet og forsvar. Og det er langt fra innlysende at sikkerhetspartneren dekker hele spekteret.

Etter perspektiv-artikkelen Robusthet: Tåler vi virkeligheten (mai 2020) er robusthet blitt en gjenganger på gruppemøter og seminarer både i IT-miljøer og ledergrupper. I mange tilfeller med gode resultater – spesielt med hensyn til prioritering. Og med hovedfokus på digital robusthet. Oppfølgeren Robusthetsansvarlig, jeg? og ikke minst 2022: Strategiske føringer forsterket oppmerksomheten på en måte som har gitt synlige resultater i mange miljøer.

Men robusthet handler om mer enn å holde det digitale blodomløpet i gang. Armert med livbåt-analogien vi har brukt tidligere,  holder det ikke at den bestykkes optimalt, det må også finnes mekanismer for å få den på vannet - også under vanskelige forhold. Overført til mer hjemme-nære forhold – hvordan håndterer vi virkeligheten hvis de digitale systemene IKKE fungerer? Å anta at robustheten er så god at det ikke vil skje, er i beste fall naivt. Mange av elementene er utenfor vår kontroll, og driver vi for eksempel et sykehus eller en institusjon der menneskeliv raskt står på spill, må vi alltid ha en plan B, kanskje til og med plan C.

For myndighetene handler det i stor grad om prioritering: Samfunnskritiske funksjoner som må fungere også i krisetider. En del av beredskapen alle ansvarlige myndigheter (og mange toppledere) har hatt og jobbet med nærmest siden tidenes morgen. Og som får fornyet oppmerksomhet i disse dager – spesielt i Europa og USA.

Hvilket bringer oss til poenget: Dagens gjennomganger av beredskap og robusthet er grundigere og har nytt fokus i kjølvannet av pandemien, og avslører det mange visste eller ante – at definisjonen av 'samfunnskritiske funksjoner' har utviklet alvorlig fedme. I årenes løp er beredskap og robusthet blitt politikk. Alle vil være 'samfunnskritiske' og de som roper høyest, får en slik merkelapp. Dermed forsvant både ideen og robustheten.

Det samme er - kanskje ikke overraskende - tilfelle på virksomhetsnivå. Mens noen fortsatt mangler oversikt over egne avhengigheter og kritiske funksjoner, har andre gjort jobben – men 'glemt' løpende oppdateringer. Atter andre har vært offer for den politiske utvanningen vi nevnte ovenfor – og her står vi. 

Ikke akkurat rakettforskning, snarere tvert imot – som vi også var inne på i Digital apokalypse forleden: God robusthet dekker både fysiske og digitale strukturer, med tydelige prioriteringer – de viktigste verdiene og hva som må til for 'overlevelse' i en krise. Hvilke avdelinger eller funksjoner som må fungere - helt eller delvis, og hvilke verktøy/ressurser/data de trenger for å holde et minimums-maskineri i gang.

En interessant konsekvens av 'robusthetsbyggingen' og kartleggingen av avhengigheter er ny innsikt i virksomheten. På samme måte som når vi kartlegger dataflyt (se Digital virkelighet: Ingen dataflyt, ingen business og Show me the data), oppdages ofte skjulte avhengigheter og usynlige, men viktige funksjoner – kunnskap som kan gi  verdifulle bidrag også i helt andre sammenhenger enn robusthet.

Essensen – sett fra teknisk side – er at uten vårt bidrag blir det ingen reell robusthet. Fordi vi både 'sitter på' blodomløpet og disponerer verktøyene som binder de fysiske strukturene sammen. Derfor bør ambisjonene som 'robusthetsansvarlig' ikke stoppe der det fysiske starter, men dekke hele 'organismen'. En krevende - og spennende - ambisjon.