הבעיה
יש לכם תוכנית תגובה לאירועים. אף אחד לא קרא אותה מאז שנכתבה, מחצית האנשים שהיא נוקבת בהם החליפו תפקידים, ואף אחד לא יודע מי מורשה להוריד את הייצור מהאוויר או להתקשר ללקוח. הפעם הראשונה שתגלו היא הזמן הגרוע ביותר לגלות.
השיטה.
בניית תרחיש מהארכיטקטורה שלכם
בלי סקריפטים גנריים. התרחיש משתמש בספק הענן שלכם, במצבת ה-SaaS האמיתית שלכם, בחוזי הלקוחות האמיתיים שלכם ובחובות הדיווח האמיתיות שלכם. תרחישים טיפוסיים: כופר בחשבון הייצור, אסימון CI/CD שנפרץ ודוחף לייצור, הוצאת מידע אישי ממסד נתונים פונה-לקוח, או פריצת ספק קריטי שמגיעה אליכם דרך אינטגרציה.
הרצה במנות, תחת לחץ זמן
התרחיש מסופק בשלבים (ההתראה, ההסלמה, פתק הכופר, מייל העיתונאי, שעון הרגולטור), עם החלטות הנדרשות בתוך חלונות ריאליסטיים. המשתתפים מקבלים רק את מה שהיה להם באותו רגע, כולל עמימות וטלמטריה חלקית.
הכריחו את ההחלטות שאנשים מתחמקים מהן
למי יש סמכות להשבית את הייצור. מי מדבר עם הלקוח, ומתי. האם שעון 72 השעות של ה-GDPR מתחיל עכשיו או באישור. האם אנחנו מדווחים לרשות להגנת הפרטיות הישראלית. האם אנחנו מערבים את הפאנל של המבטח לפני או אחרי הפורנזיקה שלנו. האם אנחנו משלמים. אלה ההחלטות שתוקעות אירוע אמיתי לשעות, והתרגיל קיים כדי לחשוף אותן.
צפייה מול התוכנית, וסימון היכן שמתעלמים ממנה
אנחנו עוקבים אחר מה שהתוכנית אומרת ומה שהחדר באמת עושה. היכן שהם מתפצלים, התוכנית בדרך כלל שגויה: אנשי קשר בלתי-נגישים, סמכות חסרה, עץ תקשורת שמניח משרד שאיש לא יושב בו, שלבי שימור ראיות שאיש לא יודע לבצע.
המרת ממצאים לשינויים עם אחראים
הפלט אינו מחמאה. הוא רשימה מתועדפת: תקנו את מסלול הסלמת הכוננות, נסחו מראש את הודעת הלקוח, השיגו את ריטיינר הפורנזיקה, שימו את פרטי ה-break-glass במקום נגיש כשה-IdP הוא הדבר שמושבת. כל פריט מקבל אחראי ותאריך, ונבדק בתרגיל הבא.
מהו תרגיל שולחן בסייבר?
תרגיל שולחן הוא סימולציה מונחית של אירוע אבטחה שבה הצוותים הטכניים וההנהלה עוברים דרך תרחיש ריאליסטי בזמן אמת, מקבלים את ההחלטות שהיו צריכים לקבל במהלך אירוע אמיתי. הוא בוחן האם תוכנית התגובה לאירועים עובדת בפועל, והוא מייצר רשומת ראיה ש-ISO 27001, SOC 2 ומבטחי סייבר כולם מבקשים.
כל כמה זמן חברה צריכה להריץ תרגיל שולחן?
לכל הפחות אחת לשנה, ולאחר כל שינוי משמעותי בארכיטקטורה, בהנהלה או בחובות הרגולטוריות. חברות עם מחויבויות חוזיות לדיווח על אירועים, או כאלה שבתחולת DORA או NIS2, בדרך כלל מריצות יותר מאחד בשנה ומגוונות את התרחיש בכל פעם.
מי צריך להשתתף בתרגיל תגובה לאירועים?
כל מי שהיה בחדר במהלך אירוע אמיתי: ההנדסה והכוננות, המנהל שיכול לאשר הורדת ייצור מהאוויר, מי שאחראי על תקשורת הלקוחות, מי שאחראי על דיווח רגולטורי, והיכן שרלוונטי, יועץ חיצוני ואיש הקשר של המבטח. תרגיל שמשתתף בו רק צוות האבטחה בוחן רק את החלק שבדרך כלל עובד.