Uitgebreide post-mortemrapporten schrijven

Hoewel specifieke sjablonen verschillen, bevatten de meeste uitgebreide post-mortemrapporten de volgende hoofdonderdelen:

• Executive Summary
• Incident Timeline
• Impact Assessment
• Root Cause Analysis
• Remediation & Action Items
• Lessons Learned & Prevention

We behandelen ze allemaal.

De Executive Summary is vaak het eerste en soms het enige onderdeel dat drukbezette belanghebbenden lezen. De samenvatting moet beknopt zijn en een overzicht op hoofdlijnen geven:

• Wat is er gebeurd (kort)?
• Wanneer gebeurde het en hoe lang duurde het?
• Wat was de impact?
• Wat zijn de belangrijkste conclusies of acties?

Dit onderdeel is essentieel om snel context te bieden.

De Incident Timeline geeft een chronologische volgorde van gebeurtenissen. Dit helpt om het incident te reconstrueren en te begrijpen hoe het zich heeft ontwikkeld.

Neem specifieke tijdstempels op, acties die responders hebben uitgevoerd, belangrijke observaties (bijvoorbeeld een geactiveerde waarschuwing of een gedetecteerde foutpiek) en genomen beslissingen. Precisie is hier essentieel.

De Impact Assessment brengt de schade door het incident in kaart. Dit kan het volgende omvatten:

• Het aantal getroffen gebruikers of klanten
• Financieel verlies (bijvoorbeeld gederfde omzet)
• Verlies of beschadiging van gegevens
• De duur van verminderde dienstverlening of een storing
• Reputatieschade

Als je de impact begrijpt, kan je toekomstige preventie- en beperkingsmaatregelen beter prioriteren.

De Root Cause Analysis is bedoeld om de onderliggende redenen voor het incident te identificeren, dus verder te gaan dan symptomen aan de oppervlakte. Vaak worden hiervoor meerdere keren de ‘waarom’-vraag gesteld (bijvoorbeeld met de techniek van de 5 Why's).

Richt je op problemen in het systeem, hiaten in processen of technische tekortkomingen, niet op individuele fouten. Dit vormt de kern van leren van mislukkingen.

In het onderdeel Remediation & Action Items staan specifieke, toewijsbare taken die zijn bedoeld om herhaling te voorkomen of toekomstige impact te beperken. Elk actiepunt moet het volgende bevatten:

• Een duidelijke beschrijving van de taak
• Een toegewezen eigenaar
• Een beoogde voltooiingsdatum

Deze acties zijn cruciaal om lessen om te zetten in tastbare verbeteringen.

In het onderdeel Lessons Learned & Future Prevention reflecteer je op bredere inzichten die je hebt opgedaan. Dit omvat:

• Wat ging er goed tijdens de incidentrespons?
• Wat kan er worden verbeterd in het responsproces?
• Is er nieuwe bewaking of zijn er nieuwe waarschuwingen nodig?
• Welke mogelijkheden zijn er voor architectuurwijzigingen of training?

Zo zorg je voor continue verbetering van zowel systemen als incidentafhandeling.

Maak je post-mortems echt effectief:

• Wijs geen schuldigen aan: Richt je op systemen en processen, niet op individuen.
• Blijf feitelijk: Beperk je tot waarneembare gegevens en bewijs.
• Wees duidelijk en beknopt: Vermijd jargon en schrijf voor een divers publiek.
• Maak acties concreet: Zorg dat actiepunten concreet zijn en worden bijgehouden.
• Werk tijdig: Publiceer rapporten snel na het incident, zolang de details nog vers zijn.

Je hebt geleerd dat een uitgebreid post-mortemrapport meer is dan alleen een document: het is een krachtig hulpmiddel voor voortdurend leren en het verbeteren van de weerbaarheid van systemen.

Door je rapporten te structureren met belangrijke onderdelen zoals de managementsamenvatting, de tijdlijn van het incident, de analyse van de onderliggende oorzaak en de actiepunten, zorg je ervoor dat elk incident een kans wordt om sterkere en betrouwbaardere systemen te bouwen.