Plan reakcji można przeczytać i uznać za logiczny, a mimo to nie zauważyć, że osoba zatwierdzająca ważną decyzję nie ma zastępcy. Ćwiczenie scenariuszowe pozwala przejść od opisu procedury do konkretnych odpowiedzi uczestników. Kto odbiera informację? Kto ocenia jej znaczenie? Co zespół robi, jeżeli brakuje danych lub nie działa zwykły kanał kontaktu?

Nie trzeba zaczynać od ingerowania w produkcyjne systemy. Podczas ćwiczenia dyskusyjnego uczestnicy pracują nad hipotetycznym zdarzeniem i omawiają swoje działania. Prowadzący dostarcza kolejne informacje, a obserwator zapisuje decyzje oraz miejsca, w których proces wymaga wyjaśnienia.

Wybierz decyzję, którą chcesz sprawdzić

Pierwszy cel warto sformułować wąsko. Może nim być przekazanie sygnału z IT do osoby koordynującej reakcję albo zebranie danych potrzebnych do oceny obowiązków zgłoszeniowych. Zbyt szeroki scenariusz utrudnia ustalenie, czy zespół rzeczywiście przećwiczył kluczowy fragment procesu. Dla każdego celu należy wskazać obserwowalny rezultat, na przykład wskazanie osoby uprawnionej do decyzji i pokazanie sposobu jej powiadomienia.

Ćwiczenie powinno korzystać z istniejącego planu. Jeżeli organizacja nie ustaliła jeszcze ról ani podstawowej ścieżki eskalacji, najpierw potrzebny jest warsztat przygotowujący te rozwiązania. Trudno oceniać wykonanie procedury, która dopiero powstaje podczas dyskusji.

Do stołu warto zaprosić osoby wykonujące zadania w wybranym procesie: IT, koordynatora incydentu, przedstawiciela kierownictwa oraz osoby odpowiedzialne za prawo, ochronę danych i komunikację, jeśli dotyczą ich cele sesji. Udział dostawcy również może być przydatny, ale wymaga wcześniejszego uzgodnienia zakresu. Każdy powinien wiedzieć, czy podejmuje decyzje w swojej roli, obserwuje, czy jedynie objaśnia działanie usługi.

Przygotuj zasady, które oddzielą ćwiczenie od realnego alarmu

Przed rozpoczęciem prowadzący powinien wyjaśnić, że informacje w scenariuszu są fikcyjne. Materiały i wiadomości należy odpowiednio oznaczyć. Uczestnicy nie wysyłają rzeczywistych zgłoszeń do organów ani komunikatów do klientów, chyba że odrębnie uzgodniony zakres obejmuje bezpiecznie zorganizowany test konkretnego kanału. W ćwiczeniu dyskusyjnym wystarcza pokazanie przygotowanej treści oraz opisanie sposobu jej przekazania.

Trzeba również ustalić sposób przerwania sesji, gdy wydarzy się prawdziwy incydent. Role prowadzącego i osoby zarządzającej rzeczywistą reakcją powinny pozostawać czytelne dla wszystkich uczestników.

Scenariusz nie musi imponować złożonością. Powinien natomiast uwzględniać usługi ważne dla organizacji, jej godziny pracy i zależności od partnerów. W materiałach roboczych najlepiej używać fikcyjnych danych, aby nie rozpowszechniać podczas ćwiczenia informacji o klientach ani danych uwierzytelniających. Zakres sesji oraz dostęp do notatek warto ustalić jeszcze przed ich rozesłaniem.

Trzy odsłony przykładowego zdarzenia

Poniższy przebieg jest propozycją hipotetycznego ćwiczenia, a nie relacją z ataku. Prowadzący może zacząć od informacji o niedostępności aplikacji obsługującej zlecenia. Uczestnicy otrzymują tylko to, co na tym etapie wiedzą pracownicy. Ich zadaniem jest wskazanie, kto przejmuje koordynację i jakie informacje trzeba zebrać, zanim organizacja sformułuje ocenę sytuacji.

• Pierwsza odsłona: dział obsługi zgłasza błędy, a IT bada ich przyczynę. Zespół pokazuje drogę eskalacji i ustala następny punkt wymiany informacji.
• Druga odsłona: pojawia się podejrzenie nieuprawnionego dostępu, ale zakres zdarzenia pozostaje nieznany. Uczestnicy wskazują osoby oceniające konsekwencje oraz brakujące dane.
• Trzecia odsłona: podstawowa poczta jest niedostępna, a osoba zatwierdzająca decyzję nie odpowiada. Zespół uruchamia uzgodnione zastępstwo i alternatywny sposób kontaktu.

Prowadzący nie powinien dopowiadać rozwiązań za uczestników. Gdy pada odpowiedź „zajmie się tym prawnik”, warto poprosić o wskazanie roli, sposobu kontaktu i informacji, które mają zostać przekazane. Nie chodzi o odpytywanie z nazwisk, lecz o sprawdzenie, czy za ogólnym stwierdzeniem stoi wykonalna czynność. Tę samą zasadę należy stosować do odpowiedzi dotyczących dostawcy lub zarządu.

Tempo przekazywania kolejnych wiadomości powinno służyć celowi sesji. Jeżeli zespół nie zdążył wyjaśnić istotnej decyzji, dokładanie następnych problemów może jedynie zwiększyć zamieszanie, zamiast dostarczyć użytecznej obserwacji.

Sprawdź, na jakiej podstawie zapada ocena

W części dotyczącej zgłoszeń ważne jest rozdzielenie zebrania faktów od oceny prawnej. Uczestnicy powinni wskazać, kto analizuje zastosowanie właściwych przepisów, jakie przesłanki bada i gdzie odnotowuje ustalenia. Cyberincydent nie oznacza automatycznie identycznych obowiązków w każdej organizacji. Nie należy więc nagradzać szybkiej odpowiedzi o wysłaniu wszystkiego do wszystkich, jeżeli pomija ona rolę podmiotu i charakter zdarzenia.

Prowadzący może zapytać, jak zespół dokumentuje moment otrzymania wiadomości, wykrycia zdarzenia i kolejnych ustaleń. Różne obowiązki mają własne przesłanki, a terminów nie należy liczyć na podstawie dowolnie wybranej daty w scenariuszu. W ćwiczeniu warto obserwować, czy osoby odpowiedzialne potrafią rozpoznać brak informacji i sprawnie poprosić o jej uzupełnienie, zachowując właściwy dla danej sytuacji tryb działania.

Tło prawne i znaczenie nadzoru kierownictwa przybliża artykuł: https://polmagazyn.pl/cyberatak-to-nie-tylko-problem-it-co-zarzad-musi-wiedziec-o-nis2-ksc-i-odpowiedzialnosci-prawnej/. Podczas sesji należy odnieść te zagadnienia do własnej organizacji, zamiast zakładać, że sam udział w ćwiczeniu potwierdza zgodność z przepisami.

Z obserwacji zrób zadanie do wykonania

Obserwator powinien zapisywać konkretne zdarzenia: wskazano dwie różne osoby zatwierdzające komunikat, nie znaleziono numeru zastępcy, zabrakło dostępu do planu poza firmową siecią. Takie notatki są przydatniejsze niż ogólne oceny o dobrej atmosferze lub zbyt wolnej reakcji. Warto oddzielić brak w procedurze od sytuacji, w której procedura była poprawna, ale uczestnicy nie wiedzieli, gdzie ją znaleźć.

Po sesji wybierzcie poprawki o największym znaczeniu dla badanego procesu. Każda powinna mieć właściciela, termin oraz sposób sprawdzenia wykonania. Aktualizacja listy kontaktowej wymaga innego potwierdzenia niż zmiana uprawnień albo uzgodnienie wsparcia z dostawcą. Przypisanie wszystkich wniosków ogólnie do działu IT pozostawi część problemów organizacyjnych bez osoby odpowiedzialnej.

Powrót do fragmentu scenariusza po wprowadzeniu zmian pokaże, czy luka została usunięta. Jeśli wcześniej nie można było uruchomić zastępstwa, kolejna krótka sesja powinna pozwolić uczestnikom przejść właśnie tę ścieżkę. Dzięki temu raport z ćwiczenia stanie się początkiem sprawdzalnej poprawy procesu, zamiast dokumentem odkładanym po zakończeniu spotkania.

Wpis gościnny