2.4 Tiltak og barrierer

Når analysen sier «for høyt»

Du har gjort risikoanalysen, og svaret er ubehagelig: risikoen er for høy. Hva nå? Da må det iverksettes tiltak, og her finnes det to grunnleggende grep. Du kan redusere sannsynligheten for at hendelsen skjer -- det kalles forebyggende tiltak. Eller du kan redusere konsekvensen dersom den likevel skjer -- det kalles konsekvensreduserende tiltak.

I tillegg bruker vi begrepet barrierer om de fysiske eller organisatoriske systemene som faktisk forhindrer uønskede hendelser. God sikkerhet handler om å ha flere lag med tiltak og barrierer, slik at svikt i ett lag ikke automatisk fører til en ulykke. Dette kalles forsvar i dybden, og det er nettopp dette kapittelet handler om -- sammen med spørsmålet om hvordan vi vet at et tiltak er verdt prisen.

Før eller etter -- to typer tiltak som utfyller hverandre

La oss skille de to typene klart. Forebyggende tiltak reduserer sannsynligheten for at en uønsket hendelse i det hele tatt inntreffer. Eksempler er adgangskontroll, opplæring, vedlikehold, brannforebygging og sikkerhetsprosedyrer. Disse er ofte mest kostnadseffektive, rett og slett fordi de hindrer at hendelsen skjer.

Konsekvensreduserende tiltak begrenser skadene når hendelsen først har inntruffet. Her aksepterer vi at noe kan gå galt, men sørger for at det blir så lite ille som mulig. Eksempler er sprinkleranlegg, evakueringsplaner, førstehjelp, nødaggregat, backup-systemer og forsikring. De to typene utfyller hverandre. Et sykehus forebygger brann gjennom vedlikehold og røykeforbud, men har også sprinkleranlegg og evakueringsplaner i tilfelle det likevel brenner. Begge deler trengs.

Det samlende begrepet er barriere -- et teknisk, operasjonelt eller organisatorisk tiltak som reduserer muligheten for at noe galt skjer, eller begrenser konsekvensene. En barriere kan være fysisk (en branndør), teknisk (en sikkerhetsventil), operasjonell (en sjekkliste) eller organisatorisk (et tilsyn). For at en barriere skal være verdt noe, må den være pålitelig, robust og verifiserbar -- altså noe vi faktisk kan kontrollere at virker.

Sveitserost, forsvar i dybden og prislappen

Nå til en av de mest kjente modellene i hele sikkerhetsfaget: sveitserostmodellen, utviklet av James Reason. Tenk deg barrierene som skiver av sveitserost stilt opp etter hverandre. Hver skive har hull -- altså svakheter. Men hullene sitter på forskjellige steder i de ulike skivene. En ulykke skjer først når hullene i alle skivene tilfeldigvis står på linje, slik at trusselen slipper gjennom alle barrierene samtidig. Lærdommen er enkel og kraftfull: ingen enkeltbarriere er perfekt, så vi trenger flere lag som dekker hverandres svakheter.

Dette prinsippet kalles forsvar i dybden, og det bygges opp i flere lag: først forebygge at faren oppstår, så oppdage den hvis den oppstår, så forhindre at den utvikler seg, så begrense konsekvensene, og til slutt gjenopprette normal drift. Tenk på et dataangrep: opplæring av ansatte forebygger at noen klikker på phishing, antivirus oppdager ondsinnet kode, brannmur stopper angrepet, nettverkssegmentering begrenser spredningen, og backup gjenoppretter driften. Fem lag, hver med sin rolle.

Men tiltak koster penger, tid og ressurser, så vi må vurdere om nytten står i forhold til kostnaden -- en kost-nytte-vurdering. Mange virksomheter bruker ALARP-prinsippet (As Low As Reasonably Practicable): risikoen skal reduseres så langt det er praktisk mulig, med mindre kostnadene er åpenbart uforholdsmessige. ALARP har tre soner -- en uakseptabel sone der risikoen må reduseres uansett kostnad, en ALARP-sone der risikoen reduseres så langt det er praktisk mulig, og en akseptabel sone der tiltak ikke er nødvendig. Tenk på et lagerbygg som vurderer sprinkleranlegg til 1,5 millioner over levetiden, mens varene er verdt 15 millioner. Når du regner inn redusert forventet brannskade, lavere forsikringspremie og beskyttelse av menneskeliv, blir anlegget nesten selvfinansierende -- og etter ALARP bør det installeres.

Oppsummering

Når risikoen er for høy, setter vi inn tiltak. Forebyggende tiltak reduserer sannsynligheten, mens konsekvensreduserende tiltak begrenser skadene -- og de to utfyller hverandre. Det samlende begrepet er barriere, som må være pålitelig, robust og verifiserbar.

Sveitserostmodellen forklarer hvorfor vi trenger flere uavhengige barrierer: en ulykke skjer når hullene i alle skivene står på linje. Prinsippet om forsvar i dybden bygger opp lag for å forebygge, oppdage, forhindre, begrense og gjenopprette. Til slutt veier vi pris mot trygghet gjennom kost-nytte-vurdering og ALARP-prinsippet, der risikoen reduseres så langt det er praktisk mulig.