Ukratko: Tabletop vježba u IT-u prolazi sigurnosni incident za stolom: moderacija korak po korak daje nove informacije o stanju, sudionici odlučuju kao u kritičnom trenutku, a na kraju stoji popis konkretnih poboljšanja. Za web-poslužitelje prikladan je scenarij po uzoru na PHP2Shell jer istodobno dotiče tehniku, odluke u nesigurnosti, zaštitu podataka i komunikaciju.
Zašto plan djeluje tek vježbanjem
Mnoge tvrtke danas imaju plan za hitne slučajeve. Funkcionira li, pokazuje se tek kad ga netko koristi pod vremenskim pritiskom. Stoji li u njemu pravi telefonski broj? Zna li uprava da mora odlučiti o isključenju? Poznaje li pružatelj usluga pristupe? Takva pitanja vježba za stolom razjašnjava u nekoliko sati.
Listopadski tjedan 2026. pokazao je kako brzo situacija može eskalirati: prethodna najava php.net-a 20. 10., zakrpe 21. 10. u 16 sati njemačkog vremena, BSI razina upozorenja narančasta, prema medijskim izvješćima isključenja javnih web-stranica. Tko je taj slijed prije jednom vježbao, morao je manje improvizirati. Tijek u pojedinostima opisuje Kronologija PHP2Shella. Kako sami izgraditi plan, piše u članku Izrada IT plana za hitne slučajeve za web-poslužitelje; ovdje je riječ o vježbanju.
Tabletop vježba u IT-u: uloge i priprema
Dobroj vježbi treba malo materijala, ali jasne uloge. Moderacija vodi kroz scenarij, ubacuje informacije i pazi na vrijeme. Ne raspravlja, nego postavlja pitanja. Zapisnik bilježi odluke, otvorena pitanja i svako mjesto na kojem netko kaže „to sada ne bih znao“. Po želji još jedna osoba promatra kako teče komunikacija.
Sudionici su ljudi koji u kritičnom trenutku stvarno djeluju: uprava, interni IT ili vanjski pružatelj usluga, službenici za zaštitu podataka, komunikacija, po potrebi nabava ili pravna služba. Važno je da su prisutne i zamjene, jer se incidenti ne drže planova godišnjih odmora.
Pripremi pripadaju: aktualan plan za hitne slučajeve na papiru, popis kontakata, pregled web-stranica i poslužitelja te prostorija bez prekida. Unaprijed odredite da je riječ o učenju, a ne o ocjenama. Tko se boji blamaže, ne kaže ono što ne zna.
Gotov scenarij: kritična PHP ranjivost u petak poslijepodne
Sljedeći je scenarij fiktivan, ali slijedi obrazac stvarne situacije. Prilagodite sustave i imena svom okruženju. Svako ubacivanje dobiva deset do dvadeset minuta rasprave.
| Korak | Ubacivanje moderacije | Vodeće pitanje skupini |
|---|---|---|
| 1 | Stručni tisak javlja kritičnu ranjivost u PHP-u, zakrpe su najavljene, ali još ih nema. | Tko prvi saznaje za to i koga treba obavijestiti? |
| 2 | Zakrpe se pojavljuju poslijepodne. BSI preporučuje trenutačno ažuriranje, inače privremeno isključenje. | Koji su naši sustavi pogođeni i kako to znamo? |
| 3 | Pružatelj hostinga se ne javlja. Vlastiti poslužitelj radi s verzijom PHP-a bez službenog ažuriranja. | Zakrpati, isključiti ili čekati i tko to odlučuje? |
| 4 | Shop za vikend treba pokrenuti akciju. Prodaja inzistira da se ništa ne isključuje. | Kako odvagujemo prihod i rizik i kako dokumentiramo odluku? |
| 5 | Administrator u ponedjeljak pronalazi nepoznatu PHP datoteku u mapi za upload. | Što činimo prvo, što svjesno ostavljamo? Tko osigurava dokaze? |
| 6 | Nejasno je jesu li podaci klijenata iscurili. | Tko procjenjuje moguću obvezu prijave i kada teče rok? |
| 7 | Novinarka pita zašto je web-stranica izvan mreže. | Tko govori prema van i što kažemo dok znamo malo? |
Korak 6 dotiče GDPR. U vježbi je dovoljno razjasniti tijek: tko uključuje službenike za zaštitu podataka i kada. Pravna procjena ostaje stručnjacima; osnove o roku nalaze se u čl. 33. GDPR-a.
Tipični zaključci i kako ih zabilježiti
Određeni nedostaci pojavljuju se na gotovo svakoj prvoj vježbi. Nedostaje potpun popis koje web-stranice rade na kojim poslužiteljima s kojom verzijom PHP-a. Kontakt podaci pružatelja hostinga zastarjeli su ili pohranjeni samo u sandučiću koji u kritičnom trenutku nije dostupan. Nitko ne zna sigurno smije li uprava sama naložiti isključenje ili netko mora odobriti.
Svaki zaključak zabilježite u tri dijela: što smo utvrdili, što mijenjamo i tko to obavlja do kada. Zaključak bez odgovorne osobe prema iskustvu ostaje ležati. Točke poredajte prema učinku: nedostajući broj za hitne slučajeve brzo se otklanja i odmah pomaže, a novo rješenje za nadzor traži planiranje.
Za strukturiranu evaluaciju nakon vježbe prikladan je isti postupak kao nakon stvarnog incidenta. Opisan je u članku Lessons learned: postati bolji nakon incidenta. Popis kontakata, koji u vježbi najčešće pokazuje slabosti, obrađuje Kontakti za hitne slučajeve: tko se i kada mora obavijestiti?.
Ponovite vježbu nakon šest do dvanaest mjeseci s drugim scenarijem, primjerice hakiranom web-stranicom s preusmjeravanjem na tuđe stranice. Tako provjeravate jesu li mjere iz prvog kruga stvarno provedene.
Kako PHP SOS konkretno pomaže?
- Scenarij prilagođavamo Vašim stvarnim web-stranicama, poslužiteljima i pružateljima usluga te pripremamo ubacivanja.
- Moderiramo vježbu na daljinu ili putem videokonferencije i suzdržavamo se od ocjena dok krug ne odluči.
- Nakon toga isporučujemo zapisnik sa zaključcima, mjerama, odgovornim osobama i rokovima.
- Na želju zatim vježbamo tehnički dio, dakle popis stanja, zakrpu i traženje tragova, onako kako ga naš odgovor na incidente obavlja u kritičnom trenutku.
Zaključak
Vježba hitnog slučaja za stolom najjeftiniji je put do slabosti plana za hitne slučajeve prije nego ih otkrije pravi incident. Jedno poslijepodne, realističan scenarij i iskrena evaluacija dovoljni su za početak. Odlučujuće je da iz svakog zaključka nastane zadatak s imenom i datumom.
Česta pitanja
Što je tabletop vježba?
Vježba u kojoj sudionici zajedno za stolom razgovorom prolaze incident, bez rada na stvarnim sustavima. Moderacija korak po korak ubacuje nove informacije, a skupina odlučuje i obrazlaže. Tako postaju vidljivi nedostaci u planu, odgovornostima i popisima kontakata.
Tko bi trebao sudjelovati u vježbi hitnog slučaja?
Svi koji u kritičnom trenutku odlučuju ili djeluju: uprava, IT ili pružatelj usluga, zaštita podataka, komunikacija i, ako postoji, osoba nadležna za pitanja osiguranja. Više od osam do deset osoba čini krug trom.
Koliko traje tabletop vježba?
Za prvi prolaz dovoljna su dva do tri sata uključujući evaluaciju. Važnije od duljine je da se rezultati zabilježe i da se mjere dodijele s rokom.
Mora li scenarij biti realističan?
Treba odgovarati Vašem okruženju, ali ne mora biti točan do detalja. Scenarij po uzoru na stvarnu situaciju poput PHP2Shella djeluje vjerodostojno i usmjerava raspravu na odluke umjesto na tehničke detalje.