Stručne: Tabletop cvičenie v IT prejde bezpečnostný incident pri stole: Moderátor krok za krokom dáva nové informácie o situácii, zúčastnení rozhodujú ako v krízovej situácii a na konci je zoznam konkrétnych zlepšení. Pre webservery sa hodí scenár podľa vzoru PHP2Shell, pretože sa dotýka techniky, rozhodovania v neistote, ochrany údajov a komunikácie súčasne.
Prečo plán pôsobí až cvičením
Mnohé firmy dnes majú núdzový plán. Či funguje, sa však ukáže až vtedy, keď ho niekto používa pod časovým tlakom. Je v ňom správne telefónne číslo? Vedia konatelia, že musia rozhodnúť o odpojení? Pozná dodávateľ prístupy? Takéto otázky objasní cvičenie pri stole za niekoľko hodín.
Októbrový týždeň 2026 predviedol, ako rýchlo sa môže situácia vyostriť: vopred ohlásenie od php.net 20. 10., záplaty 21. 10. o 16:00 nemeckého času, stupeň varovania BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) oranžový, vypnutia verejných webov podľa správ médií. Kto si túto postupnosť vopred raz nacvičil, musel menej improvizovať. Priebeh podrobne opisuje chronológia PHP2Shell. Ako si plán sami vybudujete, nájdete v článku Vypracovanie IT núdzového plánu pre webový server; tu ide o cvičenie.
Tabletop cvičenie v IT: roly a príprava
Dobré cvičenie potrebuje málo materiálu, ale jasné roly. Moderátor vedie scenárom, vkladá informácie a stráži čas. Nediskutuje, ale kladie otázky. Zapisovateľ zaznamenáva rozhodnutia, otvorené otázky a každé miesto, kde niekto povie „to by som teraz nevedel“. Voliteľne ďalšia osoba pozoruje, ako prebieha komunikácia.
Účastníci sú ľudia, ktorí v krízovej situácii skutočne konajú: konatelia, interné IT alebo externý dodávateľ, zodpovední za ochranu údajov, komunikácia, podľa potreby nákup alebo právne oddelenie. Dôležité je, aby boli prítomní aj zástupcovia, pretože incidenty sa neriadia plánmi dovoleniek.
K príprave patrí: aktuálny núdzový plán na papieri, zoznam kontaktov, prehľad webov a serverov a miestnosť bez vyrušovania. Vopred stanovte, že ide o učenie, nie o známky. Kto sa bojí, že sa zblamuje, nepovie, čo nevie.
Hotový scenár: kritická zraniteľnosť PHP v piatok popoludní
Nasledujúci scenár je fiktívny, ale riadi sa vzorom skutočnej situácie. Systémy a mená prispôsobte svojmu prostrediu. Každý vstup dostane desať až dvadsať minút diskusie.
| Krok | Vstup moderátora | Vodiaca otázka pre skupinu |
|---|---|---|
| 1 | Odborná tlač hlási kritickú zraniteľnosť v PHP, záplaty sú ohlásené, ale ešte nie sú k dispozícii. | Kto sa o tom dozvie ako prvý a koho treba informovať? |
| 2 | Záplaty vyjdú popoludní. BSI odporúča okamžitú aktualizáciu, inak dočasné odpojenie. | Ktoré z našich systémov sú dotknuté a ako to vieme? |
| 3 | Poskytovateľ hostingu sa neozýva. Vlastný server beží na verzii PHP bez oficiálnej aktualizácie. | Záplatovať, odpojiť alebo počkať a kto o tom rozhodne? |
| 4 | E-shop má cez víkend spustiť akciu. Predaj tlačí na to, aby sa nič nevypínalo. | Ako zvážime tržby a riziko a ako rozhodnutie zdokumentujeme? |
| 5 | Administrátor nájde v pondelok v adresári nahrávania neznámy súbor PHP. | Čo urobíme ako prvé, čo vedome nerobíme? Kto zabezpečí dôkazy? |
| 6 | Nie je jasné, či uniklo údajov o zákazníkoch. | Kto posúdi možnú oznamovaciu povinnosť a kedy plynie lehota? |
| 7 | Novinárka sa pýta, prečo je web offline. | Kto hovorí navonok a čo povieme, kým vieme málo? |
Krok 6 sa dotýka GDPR. V cvičení stačí objasniť postup: kto a kedy zapojí zodpovedných za ochranu údajov. Právne posúdenie zostáva odborníkom; základné črty lehoty sú v čl. 33 GDPR.
Typické zistenia a ako ich zaznamenať
Určité medzery sa objavia takmer pri každom prvom cvičení. Chýba úplný zoznam, ktoré weby bežia na ktorých serveroch s ktorou verziou PHP. Kontaktné údaje poskytovateľa hostingu sú zastarané alebo uložené len v schránke, ktorá v krízovej situácii nie je dostupná. Nikto nevie s istotou, či konatelia môžu odpojenie nariadiť sami, alebo musí niekto súhlasiť.
Každé zistenie zaznamenajte v troch častiach: čo sme zistili, čo meníme a kto to do kedy vybaví. Zistenie bez zodpovednej osoby podľa skúseností zostane ležať. Body zoraďte podľa účinku: Chýbajúce núdzové číslo sa dá rýchlo odstrániť a pomôže hneď, nové monitorovacie riešenie potrebuje plánovanie.
Na štruktúrované vyhodnotenie po cvičení sa hodí rovnaký postup ako po skutočnom incidente. Je opísaný v príspevku Lessons Learned: po incidente sa zlepšiť. Zoznam kontaktov, ktorý sa pri cvičení zvyčajne ukáže ako slabé miesto, rieši článok Núdzové kontakty: koho treba kedy informovať?.
Cvičenie zopakujte po šiestich až dvanástich mesiacoch s iným scenárom, napríklad s napadnutým webom s presmerovaním na cudzie stránky. Tak preveríte, či sa opatrenia z prvého kola skutočne zrealizovali.
Ako konkrétne pomáha PHP SOS?
- Scenár prispôsobíme vašim skutočným webom, serverom a dodávateľom a pripravíme vstupy.
- Cvičenie moderujeme na diaľku alebo cez videokonferenciu a s hodnoteniami sa držíme späť, kým skupina nerozhodne.
- Potom dodáme zápisnicu so zisteniami, opatreniami, zodpovednými osobami a termínmi.
- Na požiadanie potom nacvičíme aj technickú časť, teda inventúru, záplatu a hľadanie stôp, tak, ako ju v krízovej situácii vybavuje náš Incident Response.
Záver
Núdzové cvičenie pri stole je najlacnejší spôsob, ako nájsť slabiny núdzového plánu skôr, než ich nájde skutočný incident. Na začiatok stačí jedno popoludnie, realistický scenár a úprimné vyhodnotenie. Rozhodujúce je, aby sa z každého zistenia stala úloha s menom a dátumom.
Časté otázky
Čo je tabletop cvičenie?
Cvičenie, pri ktorom zúčastnení spoločne prejdú incident pri stole bez práce na reálnych systémoch. Moderátor postupne vkladá nové informácie, skupina rozhoduje a svoje rozhodnutia zdôvodňuje. Tak sa odhalia medzery v pláne, zodpovednostiach a zoznamoch kontaktov.
Kto by sa mal zúčastniť núdzového cvičenia?
Všetci, ktorí v krízovej situácii rozhodujú alebo konajú: konatelia, IT alebo dodávateľ, ochrana údajov, komunikácia a ak existuje, osoba zodpovedná za otázky poistenia. Viac ako osem až desať osôb robí kolo ťažkopádnym.
Ako dlho trvá tabletop cvičenie?
Na prvé absolvovanie stačia dve až tri hodiny vrátane vyhodnotenia. Dôležitejšie než dĺžka je, aby sa výsledky zaznamenali a opatrenia sa pridelili s termínom.
Musí byť scenár realistický?
Mal by zodpovedať vášmu prostrediu, ale nemusí sedieť do posledného detailu. Scenár podľa vzoru skutočnej situácie, ako je PHP2Shell, pôsobí vierohodne a nasmeruje diskusiu na rozhodnutia namiesto technických podrobností.