Na kratko: Tabletop vaja v IT odigra varnostni incident za mizo: moderacija korak za korakom poda nove informacije o stanju, udeleženci odločajo kot v skrajnem primeru, na koncu pa nastane seznam konkretnih izboljšav. Za spletne strežnike je primeren scenarij po vzoru PHP2Shell, ker hkrati zadeva tehniko, odločanje v negotovosti, varstvo podatkov in komuniciranje.
Zakaj načrt zaleže šele z vajo
Mnoga podjetja imajo zdaj načrt za nujne primere. Ali deluje, pa se pokaže šele, ko ga nekdo uporabi pod časovnim pritiskom. Ali je v njem prava telefonska številka? Ali vodstvo ve, da mora odločati o izklopu? Ali ponudnik pozna dostope? Takšna vprašanja vaja za mizo razjasni v nekaj urah.
Oktobrski teden 2026 je pokazal, kako hitro se lahko stanje stopnjuje: predobvestilo php.net 20. 10., popravki 21. 10. ob 16. uri po nemškem času, opozorilna stopnja oranžna BSI, izklopi javnih spletnih strani po poročanju medijev. Kdor je to zaporedje prej enkrat vadil, je moral manj improvizirati. Potek podrobno opisuje Kronologija PHP2Shell. Kako sami zgradite načrt, je na strani Izdelava IT-načrta za nujne primere za spletne strežnike; tu gre za vajo.
Tabletop vaja v IT: vloge in priprava
Dobra vaja potrebuje malo gradiva, a jasne vloge. Moderacija vodi skozi scenarij, vnaša informacije in spremlja čas. Ne razpravlja, ampak postavlja vprašanja. Zapisnik beleži odločitve, odprta vprašanja in vsako mesto, kjer nekdo reče »tega zdaj ne bi vedel«. Po izbiri še ena oseba opazuje, kako teče komuniciranje.
Udeleženci so ljudje, ki v skrajnem primeru dejansko ukrepajo: vodstvo, notranja IT ali zunanji ponudnik, pooblaščenec za varstvo podatkov, komuniciranje, po potrebi nabava ali pravni oddelek. Pomembno je, da so zraven tudi namestniki, saj se incidenti ne ozirajo na načrte dopustov.
K pripravi sodijo: aktualen načrt za nujne primere na papirju, seznam kontaktov, pregled spletnih strani in strežnikov ter prostor brez motenj. Vnaprej določite, da gre za učenje, ne za ocene. Kdor se boji osramotiti, ne pove, česar ne ve.
Pripravljen scenarij: kritična vrzel v PHP v petek popoldne
Naslednji scenarij je izmišljen, vendar se zgleduje po vzorcu resničnih razmer. Sisteme in imena prilagodite svojemu okolju. Vsak vložek dobi deset do dvajset minut razprave.
| Korak | Vložek moderacije | Vodilno vprašanje krogu |
|---|---|---|
| 1 | Strokovni tisk poroča o kritični vrzeli v PHP, popravki so napovedani, a jih še ni. | Kdo izve zanjo prvi in koga je treba obvestiti? |
| 2 | Popravki izidejo popoldne. BSI priporoča takojšnjo posodobitev, sicer začasni izklop. | Kateri naši sistemi so prizadeti in od kod to vemo? |
| 3 | Ponudnik gostovanja se ne oglasi. Lasten strežnik teče z različico PHP brez uradne posodobitve. | Popraviti, izklopiti ali počakati, in kdo to odloči? |
| 4 | Trgovina naj bi ob koncu tedna izvedla akcijo. Prodaja sili, naj se nič ne izklaplja. | Kako tehtamo promet in tveganje ter kako dokumentiramo odločitev? |
| 5 | Skrbnik v ponedeljek najde neznano datoteko PHP v mapi za nalaganje. | Kaj storimo najprej, česa zavestno ne? Kdo zavaruje dokaze? |
| 6 | Ni jasno, ali so podatki strank iztekli. | Kdo oceni morebitno obveznost prijave in kdaj teče rok? |
| 7 | Novinarka sprašuje, zakaj je spletna stran brez povezave. | Kdo govori navzven in kaj povemo, dokler vemo malo? |
Korak 6 se dotika GDPR. Na vaji zadošča razjasniti potek: kdo vključi pooblaščence za varstvo podatkov in kdaj. Pravna ocena ostane strokovnjakom; osnove o roku so v čl. 33 GDPR.
Značilna spoznanja in kako jih zabeležiti
Določene vrzeli se pojavijo skoraj ob vsaki prvi vaji. Manjka popoln seznam, katere spletne strani tečejo na katerih strežnikih s katero različico PHP. Kontaktni podatki ponudnika gostovanja so zastareli ali shranjeni samo v poštnem predalu, ki v skrajnem primeru ni dosegljiv. Nihče ne ve zanesljivo, ali sme vodstvo izklop odrediti samo ali mora nekdo odobriti.
Vsako spoznanje zabeležite v treh delih: kaj smo ugotovili, kaj spreminjamo in kdo to opravi do kdaj. Spoznanje brez odgovorne osebe po izkušnjah obleži. Točke razvrstite po učinku: manjkajočo številko za nujne primere je hitro odpraviti in takoj pomaga, nova rešitev za nadzor zahteva načrtovanje.
Za strukturirano vrednotenje po vaji je primeren isti postopek kot po resničnem incidentu. Opisan je v prispevku Lessons learned: boljši po incidentu. Seznam kontaktov, ki na vaji običajno pokaže slabosti, obravnava Kontakti za nujne primere: kdo mora biti obveščen in kdaj?.
Vajo ponovite po šestih do dvanajstih mesecih z drugim scenarijem, na primer vdrta spletna stran s preusmeritvijo na tuje strani. Tako preverite, ali so bili ukrepi iz prvega kroga res izvedeni.
Kako PHP SOS pomaga konkretno?
- Scenarij prilagodimo vašim dejanskim spletnim stranem, strežnikom in ponudnikom ter pripravimo vložke.
- Vajo moderiramo na daljavo ali prek videokonference in se z ocenami zadržujemo, dokler se krog ni odločil.
- Nato dostavimo zapisnik s spoznanji, ukrepi, odgovornimi osebami in roki.
- Na željo nato vadimo tehnični del, torej popis, popravek in iskanje sledi, tako kot ga naš odziv na incidente obdela v skrajnem primeru.
Sklep
Vaja za mizo je najcenejši način, da odkrijete slabosti načrta za nujne primere, preden to stori pravi incident. Za začetek zadošča popoldne, realističen scenarij in pošteno vrednotenje. Odločilno je, da iz vsakega spoznanja nastane naloga z imenom in datumom.
Pogosta vprašanja
Kaj je tabletop vaja?
Vaja, pri kateri udeleženci skupaj za mizo obravnavajo incident, ne da bi delali na pravih sistemih. Moderacija postopoma vnaša nove informacije, skupina odloča in utemeljuje. Tako postanejo vidne vrzeli v načrtu, pristojnostih in seznamih kontaktov.
Kdo naj sodeluje pri vaji za nujne primere?
Vsi, ki v skrajnem primeru odločajo ali ukrepajo: vodstvo, IT ali ponudnik, varstvo podatkov, komuniciranje in, če obstaja, pristojna oseba za zavarovalniška vprašanja. Več kot osem do deset oseb naredi krog okoren.
Kako dolgo traja tabletop vaja?
Za prvi potek zadoščajo dve do tri ure, vključno z vrednotenjem. Pomembnejše od dolžine je, da se rezultati zabeležijo in ukrepi dodelijo z rokom.
Ali mora biti scenarij realističen?
Prilagojen naj bo vašemu okolju, vendar ni treba, da drži do podrobnosti. Scenarij po vzoru resničnih razmer, kot je PHP2Shell, deluje verodostojno in usmerja razpravo k odločitvam namesto k tehničnim podrobnostim.