Röviden: Az IT-beli tabletop-gyakorlat egy biztonsági incidenst játszik végig az asztalnál: egy moderátor lépésről lépésre új helyzetinformációkat ad, a résztvevők úgy döntenek, mint éles helyzetben, és a végén konkrét fejlesztések listája áll. Webszerverekhez a PHP2Shell mintájára készült forgatókönyv alkalmas, mert egyszerre érinti a technikát, a bizonytalanság melletti döntéseket, az adatvédelmet és a kommunikációt.
Miért hat a terv csak a gyakorlás által
Sok vállalkozásnak mára van vészhelyzeti terve. Hogy működik-e, csak akkor derül ki, amikor valaki időnyomás alatt használja. Benne van a helyes telefonszám? Tudja a vezetés, hogy döntenie kell egy lekapcsolásról? Ismeri a szolgáltató a hozzáféréseket? Ilyen kérdéseket egy asztalnál tartott gyakorlat néhány óra alatt tisztáz.
A 2026. októberi hét megmutatta, milyen gyorsan eszkalálódhat egy helyzet: előzetes bejelentés a php.net-en 10. 20-án, a javítások 10. 21-én német idő szerint 16 órakor, a BSI (a német Szövetségi Információbiztonsági Hivatal) narancs riasztási szintje, nyilvános weboldalak lekapcsolása a médiajelentések szerint. Aki ezt a sorozatot korábban egyszer begyakorolta, kevesebbet kényszerült rögtönözni. A lefolyást részletesen a A PHP2Shell kronológiája írja le. Hogyan építheti fel magát a tervet, azt az IT-vészhelyzeti terv készítése webszerverekhez tartalmazza; itt a gyakorlásról van szó.
Tabletop-gyakorlat az IT-ban: szerepek és előkészítés
Egy jó gyakorlathoz kevés anyag kell, de egyértelmű szerepek. A moderátor végigvezet a forgatókönyvön, információkat játszik be, és tartja az időt. Nem vitatkozik, hanem kérdéseket tesz fel. A jegyzőkönyvvezető feljegyzi a döntéseket, a nyitott kérdéseket és minden olyan helyet, ahol valaki azt mondja: „ezt most nem tudnám”. Opcionálisan egy további személy megfigyeli, hogyan zajlik a kommunikáció.
A résztvevők azok az emberek, akik éles helyzetben ténylegesen cselekszenek: a vezetés, a belső IT vagy a külső szolgáltató, az adatvédelmi tisztviselők, a kommunikáció, szükség esetén a beszerzés vagy a jogi osztály. Fontos, hogy a helyettesek is ott legyenek, mert az incidensek nem veszik figyelembe a szabadságtervet.
Az előkészítéshez tartozik: az aktuális vészhelyzeti terv papíron, a kapcsolattartói lista, a weboldalak és szerverek áttekintése és egy megszakítás nélküli helyiség. Előre rögzítse, hogy a tanulásról van szó, nem osztályzatokról. Aki fél attól, hogy lejáratja magát, nem mondja meg, mit nem tud.
Egy kész forgatókönyv: kritikus PHP-rés péntek délutánra
A következő forgatókönyv kitalált, de egy valós helyzet mintájára készült. Igazítsa a rendszereket és a neveket a saját környezetéhez. Minden bejátszásra tíz-húsz perc vita jut.
| Lépés | A moderátor bejátszása | A kör vezérkérdése |
|---|---|---|
| 1 | A szakmai sajtó kritikus rést jelent a PHP-ban, a javításokat bejelentették, de még nincsenek meg. | Ki értesül erről elsőként, és kit kell tájékoztatni? |
| 2 | A javítások délután megjelennek. A BSI azonnali frissítést javasol, ennek hiányában átmeneti lekapcsolást. | A rendszereink közül melyek érintettek, és honnan tudjuk? |
| 3 | A tárhelyszolgáltató nem jelentkezik. Egy saját szerver olyan PHP-verzióval fut, amelyhez nincs hivatalos frissítés. | Javítani, lekapcsolni vagy várni, és ki dönt erről? |
| 4 | A webshop hétvégén akciót tervez. Az értékesítés sürget, hogy semmit se kapcsoljanak le. | Hogyan mérlegeljük a bevételt és a kockázatot, és hogyan dokumentáljuk a döntést? |
| 5 | Egy admin hétfőn ismeretlen PHP-fájlt talál a feltöltési mappában. | Mit teszünk elsőként, mit hagyunk tudatosan? Ki rögzíti a bizonyítékokat? |
| 6 | Nem világos, hogy ügyféladatok szivárogtak-e ki. | Ki értékeli a lehetséges bejelentési kötelezettséget, és mikor fut a határidő? |
| 7 | Egy újságírónő rákérdez, miért offline a weboldal. | Ki beszél kifelé, és mit mondunk, amíg keveset tudunk? |
A 6. lépés a GDPR-t érinti. A gyakorlatban elég tisztázni a folyamatot: ki vonja be az adatvédelmi tisztviselőket és mikor. A jogi értékelés a szakemberekre marad; a határidő alapjai a GDPR 33. cikkében állnak.
Tipikus felismerések és hogyan rögzítse őket
Bizonyos hiányosságok szinte minden első gyakorlaton előkerülnek. Nincs teljes lista arról, mely weboldalak mely szervereken milyen PHP-verzióval futnak. A tárhelyszolgáltató elérhetőségei elavultak, vagy csak egy olyan postafiókban vannak tárolva, amely éles helyzetben nem elérhető. Senki sem tudja biztosan, hogy a vezetés maga elrendelhet-e egy lekapcsolást, vagy valakinek hozzá kell járulnia.
Minden felismerést három részben rögzítsen: mit állapítottunk meg, mit változtatunk, és ki végzi el eddig az időpontig. Egy felelős nélküli felismerés tapasztalat szerint elfekszik. Rendezze a pontokat hatás szerint: egy hiányzó vészhelyzeti szám gyorsan pótolható és azonnal segít, egy új monitoring-megoldás tervezést igényel.
A gyakorlat utáni strukturált kiértékeléshez ugyanaz az eljárás alkalmas, mint egy valódi incidens után. A Lessons learned: jobbá válni az incidens után cikk írja le. A kapcsolattartói listát, amely a gyakorlatban többnyire gyengeségeket mutat, a Vészhelyzeti kapcsolattartók: kit kell mikor értesíteni? tárgyalja.
Hat-tizenkét hónap múlva ismételje meg a gyakorlatot egy másik forgatókönyvvel, például egy feltört weboldallal, amely idegen oldalakra irányít át. Így ellenőrzi, hogy az első kör intézkedéseit valóban megvalósították-e.
Hogyan segít konkrétan a PHP SOS?
- A forgatókönyvet az Ön tényleges weboldalaihoz, szervereihez és szolgáltatóihoz igazítjuk, és előkészítjük a bejátszásokat.
- A gyakorlatot távolról vagy videókonferencián moderáljuk, és az értékelésekkel addig visszafogjuk magunkat, amíg a kör el nem döntött valamit.
- Ezután jegyzőkönyvet szállítunk a felismerésekkel, intézkedésekkel, felelősökkel és határidőkkel.
- Kívánságra ezt követően a műszaki részt is gyakoroljuk, vagyis az állapotfelmérést, a javítást és a nyomkeresést, ahogyan azt az incidenskezelésünk éles helyzetben végzi.
Összegzés
Az asztalnál tartott vészhelyzeti gyakorlat a legolcsóbb út egy vészhelyzeti terv gyengeségeinek megtalálására, mielőtt egy valódi incidens megtenné. Egy délután, egy realisztikus forgatókönyv és egy őszinte kiértékelés elég a kezdéshez. Az a döntő, hogy minden felismerésből név és dátum szerinti feladat legyen.
Gyakori kérdések
Mi az a tabletop-gyakorlat?
Olyan gyakorlat, amelyben a résztvevők közösen, az asztalnál beszélnek végig egy incidenst, valódi rendszereken való munka nélkül. Egy moderátor lépésenként új információkat játszik be, a csoport dönt és indokol. Így láthatóvá válnak a terv, az illetékességek és a kapcsolattartói listák hiányosságai.
Kik vegyenek részt egy vészhelyzeti gyakorlaton?
Mindenki, aki éles helyzetben dönt vagy cselekszik: a vezetés, az IT vagy a szolgáltató, az adatvédelem, a kommunikáció, és ha van, a biztosítási kérdésekért felelős személy. Nyolc-tíz főnél több személy nehézkessé teszi a kört.
Meddig tart egy tabletop-gyakorlat?
Egy első lefutásra két-három óra elég a kiértékeléssel együtt. A hosszúságnál fontosabb, hogy az eredményeket rögzítsék, és az intézkedéseket határidővel osszák ki.
Realisztikusnak kell lennie a forgatókönyvnek?
Illeszkednie kell az Ön környezetéhez, de nem kell minden részletében stimmelnie. Egy olyan valós helyzet mintájára készült forgatókönyv, mint a PHP2Shell, hihetően hat, és a vitát a döntésekre tereli a technikai részletek helyett.