Tabletop Exercise: כיצד לתרגל תגובה לאירוע ולשפר את המוכנות

ביטוי ישן בעולם הצבאי: "No plan survives first contact with the enemy." אותו דבר נכון לתוכניות IR. הדרך היחידה לדעת אם תוכנית התגובה שלכם עובדת – היא לבדוק אותה. Tabletop Exercise עושה בדיוק זאת, בלי להוריד מערכת אמיתית.

מי משתתף?

• CISO / מנהל אבטחה
• IT / DevOps
• Legal / Privacy (DPO)
• PR / Communications
• כספים (בפרצות פיננסיות)
• CEO / COO (בתרגילים רמה A)

סצנריו לדוגמה: מתקפת Ransomware

1. 1
   Inject 1: עובד מדווח שקבצים מוצפנים. הכרזה: "השירות ירד." שאלות: מי מקבל החלטה? מה הסמכות?
2. 2
   Inject 2: גלינו שהתוקפים היו ברשת 10 ימים. יש להם גם גישה לגיבויים. שאלות: כיצד מתקשרים ללקוחות? מתי?
3. 3
   Inject 3: עיתונאי מתקשר "שמענו שנפגעתם". שאלות: מי מדבר? מה אומרים?
4. 4
   Inject 4: דרישת כופר $500K. שאלות: מה התהליך להחלטה? ביטוח מכסה? מי מנהל משא ומתן?
5. 5
   Inject 5: RCA – מה גרם לפרצה? כיצד מונעים חזרה?

After Action Report: מה מתעדים

• Gaps שהתגלו: "לא ידענו מי מוסמך לשלם כופר"
• Runbooks שחסרים: "אין נוהל ל-Offline Isolation של Server"
• תקשורת שהייתה כאוטית: "PR לא ידעה שמגיעה שאלת עיתונאי"
• החלטות: פעולות ספציפיות עם בעלים ותאריך יעד