tabletop exercise

Tabletop exercise (ćwiczenie typu tabletop, ćwiczenie „przy stole”) to ćwiczenie, w którym zespół omawia krok po kroku reakcję na hipotetyczny incydent. Sprawdza decyzje, role i procedury, a nie systemy. NIST opisuje je jako ćwiczenie oparte wyłącznie na dyskusji, które nie wymaga uruchamiania sprzętu ani innych zasobów ^[1]. Prowadzący przedstawia scenariusz i zadaje pytania, a uczestnicy rozmawiają o rolach, odpowiedzialności, koordynacji i podejmowaniu decyzji ^[1].

Jak działa

NIST SP 800-84 opisuje ćwiczenie tabletop jako spotkanie osób, które mają role w danym planie, na przykład w planie awaryjnym albo w planie reagowania na incydenty ^[1]. Odbywa się w nieformalnej atmosferze, a prowadzący kieruje dyskusją tak, by osiągnąć wcześniej ustalone cele ^[1]. Podczas jednego ćwiczenia można omówić jeden albo kilka scenariuszy ^[1]. Typowy czas trwania to od dwóch do ośmiu godzin, zależnie od uczestników, tematu i celów ^[1].

Przebieg ćwiczenia pokazuje schemat poniżej.

RYS. 1Przebieg ćwiczenia tabletop

Zaraz po dyskusji prowadzący i protokolant przeprowadzają debriefing, zwany „hotwash” ^[1]. Uczestnicy mówią, w czym czuli się pewnie, gdzie potrzebują szkolenia i które części planu wymagają zmiany ^[1]. Uwagi te razem z obserwacjami protokolanta trafiają do raportu po ćwiczeniu (after action report) ^[1]. Na jego podstawie koordynator planu przydziela zadania i aktualizuje plan ^[1].

Role

NIST zaleca, by prowadzący i protokolant znali treść planu i cele ćwiczenia oraz spotkali się wcześniej, by przejrzeć wyniki poprzednich ćwiczeń ^[1]. Osoba odpowiedzialna za logistykę zaczyna przygotowania zwykle co najmniej miesiąc przed terminem ^[1]. Jeżeli uczestnicy nie zostali przeszkoleni ze swoich ról, NIST radzi najpierw przeprowadzić szkolenie ^[1].

Odmiany ćwiczeń

NIST wyróżnia obok ćwiczeń tabletop ćwiczenia funkcjonalne. Pozwalają one sprawdzić gotowość operacyjną w symulowanym środowisku: uczestnicy wykonują swoje zadania tak jak w prawdziwej sytuacji, ale w sposób symulowany ^[1]. Ich zakres sięga od wybranych elementów planu po ćwiczenia pełnoskalowe ^[1]. Dokument zaznacza, że konwencje nazewnictwa są różne i część autorów nazywa „tabletop” wszystkie ćwiczenia oparte na dyskusji ^[1].

Największą skalę mają ćwiczenia międzynarodowe. ENISA organizuje od 2010 roku cykl Cyber Europe, czyli transgraniczne ćwiczenia zarządzania kryzysem cybernetycznym, odbywające się co dwa lata ^[4]. Ósma edycja, zaplanowana na czerwiec 2026 roku, dotyczyła transportu kolejowego i morskiego ^[4].

Tabletop różni się od ćwiczeń technicznych, takich jak działania red teamu czy test penetracyjny. Tamte sprawdzają zabezpieczenia na żywych systemach, a tabletop sprawdza ludzi i procedury bez dotykania infrastruktury.

Scenariusze

Gotowe materiały ułatwiają start. CISA udostępnia ponad 100 pakietów Tabletop Exercise Packages ze wzorami celów, scenariuszy i pytań do dyskusji ^[3]. Obejmują one między innymi ransomware, zagrożenia wewnętrzne i systemy przemysłowe ^[3].

NIST SP 800-61 Rev. 2 zawiera w załączniku zestaw scenariuszy incydentów i pytań do ćwiczeń tabletop ^[2]. Według tego dokumentu scenariusze są tanim i skutecznym sposobem budowania umiejętności reagowania oraz wykrywania problemów w procesach ^[2]. Celem jest ustalenie, co zespół zrobiłby naprawdę, i porównanie tego z politykami i procedurami ^[2]. Na przykład odpowiedź na jedno pytanie może ujawnić, że reakcja się opóźni, bo brakuje narzędzia albo inny zespół nie pracuje poza godzinami ^[2].

W WordPressie

Dla firmy, która utrzymuje strony WordPress, dobrym scenariuszem jest przejęcie strony. Przykład: w poniedziałek rano klient zgłasza, że sklep example.com przekierowuje odwiedzających na obcą stronę. Prowadzący odsłania kolejne fakty i pyta zespół o decyzje. Pytania można oprzeć na zaleceniach CERT Polska dla przejętych stron:

• Kto decyduje o odcięciu serwera HTTP od sieci, które CERT Polska zaleca po wykryciu infekcji ^[5]?
• Kto i jak zabezpieczy logi serwera, zanim nadpisze je rotacja ^[5]? Czy mamy do nich dostęp na hostingu współdzielonym?
• Czy znamy wektor i czas ataku? Od tego zależy, czy odtwarzamy stronę z kopii, czy budujemy ją od zera ^[5].
• Gdzie jest ostatnia czysta kopia zapasowa (backup)? Dokumentacja WordPressa zaleca trzymać 3–5 ostatnich kopii w różnych miejscach ^[6].
• Kto zgłasza incydent do właściwego zespołu CSIRT, co CERT Polska wskazuje jako obowiązek ^[5], i kto ocenia, czy doszło do naruszenia ochrony danych osobowych?
• Kto informuje klienta i jakimi słowami?

Ćwiczenie często ujawnia braki, których nie widać na co dzień: wygasłe dane dostępowe do panelu hostingu, kopie przechowywane tylko na tym samym serwerze albo brak osoby z uprawnieniami w weekend. Każdy taki brak trafia do raportu i staje się zadaniem, a scenariusz można powtórzyć po zmianach.

Dobre praktyki

• Jasne cele: jeden sprawdzany plan albo playbook, a nie „wszystko naraz”.
• Scenariusz realistyczny dla organizacji; NIST zachęca do dostosowania gotowych scenariuszy do własnych warunków ^[2].
• Regularność: ćwiczenia okresowo oraz po zmianach organizacyjnych, aktualizacji planu lub nowych wytycznych ^[1].
• Raport i zadania po każdym ćwiczeniu, tak jak w post-incident review po prawdziwym incydencie.
• Pomiar postępu między ćwiczeniami, na przykład czasu podjęcia kluczowych decyzji; w prawdziwych incydentach odpowiada mu MTTR.