Īsi sakot: Tabletop vingrinājums IT jomā izspēlē drošības incidentu pie galda: moderators soli pa solim sniedz jaunu informāciju par situāciju, iesaistītie lemj kā ārkārtas situācijā, un beigās ir konkrētu uzlabojumu saraksts. Tīmekļa serveriem der scenārijs pēc PHP2Shell parauga, jo tas vienlaikus skar tehniku, lēmumus nenoteiktībā, datu aizsardzību un komunikāciju.
Kāpēc plāns darbojas tikai pēc vingrināšanās
Daudziem uzņēmumiem tagad ir ārkārtas rīcības plāns. Vai tas darbojas, parādās tikai tad, kad kāds to izmanto laika spiedienā. Vai tajā ir pareizais tālruņa numurs? Vai vadība zina, ka tai jālemj par atslēgšanu? Vai pakalpojumu sniedzējs zina piekļuves? Šādus jautājumus vingrinājums pie galda noskaidro dažās stundās.
- gada oktobra nedēļa parādīja, cik ātri situācija var eskalēties: php.net iepriekšējs paziņojums 20. oktobrī, ielāpi 21. oktobrī plkst. 16 pēc Vācijas laika, BSI oranžais brīdinājuma līmenis, publisku vietņu atslēgšana saskaņā ar plašsaziņas līdzekļu ziņām. Kas šo secību iepriekš bija reizi izvingrinājis, tam bija mazāk jāimprovizē. Norisi detalizēti apraksta PHP2Shell hronoloģija. Kā paši uzbūvēt plānu, lasiet sadaļā IT ārkārtas rīcības plāna izveide tīmekļa serveriem; šeit runa ir par vingrināšanos.
Tabletop vingrinājums IT jomā: lomas un sagatavošana
Labam vingrinājumam vajag maz materiālu, bet skaidras lomas. Moderators ved cauri scenārijam, ievada informāciju un seko laikam. Viņš nediskutē līdzi, bet uzdod jautājumus. Protokolētājs pieraksta lēmumus, atklātos jautājumus un katru vietu, kur kāds saka „to es tagad nezinātu”. Pēc izvēles cita persona vēro, kā norit komunikācija.
Dalībnieki ir cilvēki, kas ārkārtas situācijā tiešām rīkojas: vadība, iekšējais IT vai ārējs pakalpojumu sniedzējs, datu aizsardzības speciālisti, komunikācija, vajadzības gadījumā iepirkumi vai juridiskā nodaļa. Svarīgi, lai klāt būtu aizvietotāji, jo incidenti neņem vērā atvaļinājumu plānus.
Sagatavošanai pieder: aktuālais ārkārtas rīcības plāns uz papīra, kontaktu saraksts, vietņu un serveru pārskats un telpa bez traucējumiem. Iepriekš noteiciet, ka runa ir par mācīšanos, nevis atzīmēm. Kas baidās kļūt apkaunots, tas nesaka, ko nezina.
Gatavs scenārijs: kritiska PHP nepilnība piektdienas pēcpusdienā
Turpmākais scenārijs ir izdomāts, bet orientēts uz īstas situācijas paraugu. Pielāgojiet sistēmas un nosaukumus savai videi. Katram ievadam atvēliet desmit līdz divdesmit minūtes diskusijai.
| Solis | Moderatora ievads | Vadošais jautājums grupai |
|---|---|---|
| 1 | Specializētā prese ziņo par kritisku nepilnību PHP, ielāpi ir pieteikti, bet vēl nav klāt. | Kurš par to uzzina pirmais un kam jābūt informētam? |
| 2 | Ielāpi parādās pēcpusdienā. BSI iesaka nekavējoties atjaunināt, citādi īslaicīgi atslēgt. | Kuras no mūsu sistēmām ir skartas un no kurienes mēs to zinām? |
| 3 | Hostinga pakalpojumu sniedzējs neatsaucas. Pašu serveris darbojas ar PHP versiju bez oficiāla atjauninājuma. | Ielāpot, atslēgt vai gaidīt, un kurš par to lemj? |
| 4 | Veikalam nedēļas nogalē paredzēta akcija. Pārdošana spiež neko neatslēgt. | Kā svērt apgrozījumu un risku un kā dokumentējam lēmumu? |
| 5 | Administrators pirmdien atrod nezināmu PHP failu augšupielāžu mapē. | Ko darām vispirms, ko apzināti nedarām? Kurš nodrošina pierādījumus? |
| 6 | Nav skaidrs, vai klientu dati ir aizplūduši. | Kurš novērtē iespējamo ziņošanas pienākumu un kad sākas termiņš? |
| 7 | Žurnāliste jautā, kāpēc vietne ir bezsaistē. | Kurš runā uz āru un ko sakām, kamēr zinām maz? |
- solis skar VDAR. Vingrinājumā pietiek noskaidrot kārtību: kurš iesaista datu aizsardzības speciālistus un kad. Juridiskais novērtējums paliek speciālistiem; termiņa pamatnostādnes ir VDAR 33. pantā.
Tipiskas atziņas un kā tās fiksēt
Zināmas nepilnības parādās gandrīz pie katra pirmā vingrinājuma. Trūkst pilnīga saraksta, kuras vietnes uz kuriem serveriem ar kādu PHP versiju darbojas. Hostinga pakalpojumu sniedzēja kontaktdati ir novecojuši vai glabājas tikai pastkastē, kas ārkārtas situācijā nav sasniedzama. Neviens droši nezina, vai vadība atslēgšanu drīkst pavēlēt pati vai kādam jāpiekrīt.
Katru atziņu fiksējiet trīs daļās: ko esam konstatējuši, ko mainām un kurš to līdz kuram datumam paveic. Atziņa bez atbildīgā pēc pieredzes paliek nepaveikta. Sakārtojiet punktus pēc iedarbības: trūkstošs ārkārtas numurs tiek ātri labots un palīdz uzreiz, jaunam monitoringa risinājumam vajag plānošanu.
Strukturētam izvērtējumam pēc vingrinājuma der tāda pati pieeja kā pēc īsta incidenta. Tā aprakstīta rakstā Lessons Learned: kļūt labākiem pēc incidenta. Kontaktu sarakstu, kas vingrinājumā parasti uzrāda vājās vietas, aplūko Ārkārtas kontakti: kam un kad jāpaziņo?.
Atkārtojiet vingrinājumu pēc sešiem līdz divpadsmit mēnešiem ar citu scenāriju, piemēram, uzlauztu vietni ar pāradresāciju uz svešām lapām. Tā pārbaudāt, vai pirmā kārtas pasākumi tiešām ir īstenoti.
Kā PHP SOS palīdz konkrēti?
- Mēs pielāgojam scenāriju jūsu faktiskajām vietnēm, serveriem un pakalpojumu sniedzējiem un sagatavojam ievadus.
- Mēs moderējam vingrinājumu attālināti vai videokonferencē un atturamies no vērtējumiem, kamēr grupa nav izlēmusi.
- Mēs pēc tam sniedzam protokolu ar atziņām, pasākumiem, atbildīgajiem un termiņiem.
- Pēc vēlēšanās mēs pēc tam vingrināmies arī tehniskajā daļā, tātad stāvokļa uzskaitē, ielāpā un pēdu meklēšanā, kā to ārkārtas situācijā veic mūsu incidentu reaģēšana (Incident Response).
Secinājums
Ārkārtas vingrinājums pie galda ir lētākais veids, kā atrast ārkārtas rīcības plāna vājās vietas, pirms to dara īsts incidents. Sākumam pietiek ar vienu pēcpusdienu, reālistisku scenāriju un godīgu izvērtējumu. Izšķiroši, lai no katras atziņas kļūst uzdevums ar vārdu un datumu.
Biežāk uzdotie jautājumi
Kas ir tabletop vingrinājums?
Vingrinājums, kurā iesaistītie incidentu kopīgi izrunā pie galda, nestrādājot ar īstām sistēmām. Moderators pakāpeniski ievada jaunu informāciju, grupa lemj un pamato. Tā kļūst redzamas nepilnības plānā, atbildībā un kontaktu sarakstos.
Kam jāpiedalās ārkārtas vingrinājumā?
Visiem, kas ārkārtas situācijā lemj vai rīkojas: vadībai, IT vai pakalpojumu sniedzējam, datu aizsardzībai, komunikācijai un, ja ir, personai, kas atbild par apdrošināšanas jautājumiem. Vairāk nekā astoņi līdz desmit cilvēki apli padara smagnēju.
Cik ilgi ilgst tabletop vingrinājums?
Pirmajam piegājienam pietiek ar divām līdz trim stundām, ieskaitot izvērtējumu. Svarīgāk par garumu ir tas, ka rezultāti tiek fiksēti un pasākumiem piešķirts termiņš.
Vai scenārijam jābūt reālistiskam?
Tam jāatbilst jūsu videi, bet nav jābūt precīzam līdz detaļām. Scenārijs pēc īstas situācijas parauga, piemēram, PHP2Shell, šķiet ticams un virza diskusiju uz lēmumiem, nevis tehniskām detaļām.