KLKin Levi
Risorse

Esercitazione da tavolo sul ransomware per i dirigenti

Conduci una discussione di crisi con quattro aggiornamenti dello scenario, registro delle decisioni e piano di miglioramento. Scarica il pacchetto modificabile per il facilitatore.

Kin Levi

Questo scenario originale permette di esaminare il coordinamento nell’incertezza. L’obiettivo è individuare autorità mancanti, ipotesi prive di evidenza e dipendenze di ripristino. L’accordo in riunione dimostra una discussione, ma non il funzionamento di un controllo tecnico o di un ripristino.

Scarica il pacchetto vuoto per il facilitatore (.md)

Prepara la sessione

  1. Scegli un facilitatore che presenti gli aggiornamenti e un osservatore che registri le azioni effettive. Includi coordinamento dell’incidente, sicurezza, gestione della piattaforma, responsabilità aziendale e comunicazione.

  2. Definisci un servizio e la versione del piano di risposta da esercitare. Porta matrice delle decisioni, contatti e mappa delle dipendenze. Usa nomi e materiali fittizi.

  3. Prevedi indicativamente 90 minuti: 10 per concordare il perimetro, 60 per quattro fasi e 20 per il confronto finale. Adatta il ritmo agli obiettivi; non valutare solo la velocità.

Limiti e condizioni di interruzione

Situazione iniziale fittizia

Un fornitore B2B dipende da un servizio di conferma degli ordini nel periodo di massima attività delle consegne. I clienti segnalano errori e il personale non sa quali ordini siano stati accettati. Causa e perimetro sono ignoti. Gli aggiornamenti seguenti sono materiali fittizi del facilitatore, non osservazioni su un’organizzazione reale.

Presenta gli aggiornamenti in sequenza

Apri una fase alla volta. Gli intervalli di 15 minuti aiutano la facilitazione e non sono scadenze di risposta. Registra scelta, autorità, evidenze disponibili e prossima verifica prima di proseguire.

Le risposte rimangono in questa pagina e il browser le usa per creare il file. Scaricalo prima di chiudere o ricaricare: il sito non salva la scheda compilata.

Registra servizio, versione del piano, facilitatore, osservatore, ruoli presenti e limiti concordati.

00 minInterruzione del servizio

Il servizio ordini non è disponibile. L’assistenza ha tre segnalazioni ma nessun conteggio affidabile degli ordini coinvolti. Il consueto responsabile dell’incidente è irraggiungibile.

  • Chi dichiara l’incidente, assume il coordinamento e attiva il sostituto?
  • Cosa occorre sapere prima di passare agli ordini manuali o sospendere quelli nuovi?

Cosa è stato scelto, da quale ruolo autorizzato, con quali alternative e conseguenze per i clienti? Indica il responsabile della prossima azione.

Separa fatti forniti, ipotesi dei partecipanti ed evidenze assenti. Cosa verrà verificato, da chi e prima di quale decisione?

15 minUna rivendicazione di estorsione non verificata

Il facilitatore introduce una richiesta di riscatto simulata e una segnalazione di sessione privilegiata insolita. Non esistono ancora evidenze del furto di dati o dell’intero perimetro di accesso.

  • Quale contenimento è autorizzato e quali evidenze potrebbe eliminare?
  • Chi valuta la rivendicazione e mantiene accurata la comunicazione mentre la sua validità è ignota?

Cosa è stato scelto, da quale ruolo autorizzato, con quali alternative e conseguenze per i clienti? Indica il responsabile della prossima azione.

Separa fatti forniti, ipotesi dei partecipanti ed evidenze assenti. Cosa verrà verificato, da chi e prima di quale decisione?

30 minUna dipendenza di ripristino

L’inventario dei backup indica una copia recente, ma il suo ripristino non è stato dimostrato nell’esercitazione. Serve anche un servizio di identità la cui affidabilità è in dubbio. Le operazioni chiedono un riavvio rapido.

  • Quali evidenze servono prima di ripristinare identità, dati e servizio?
  • Chi accetta un funzionamento limitato e quale condizione di monitoraggio o ritorno allo stato precedente lo fermerebbe?

Cosa è stato scelto, da quale ruolo autorizzato, con quali alternative e conseguenze per i clienti? Indica il responsabile della prossima azione.

Separa fatti forniti, ipotesi dei partecipanti ed evidenze assenti. Cosa verrà verificato, da chi e prima di quale decisione?

45 minPressione per comunicare

Un cliente importante chiede un orario di ripristino e un giornalista cita una schermata non verificata. Arriva il turno successivo con un registro incompleto delle decisioni.

  • Chi approva un aggiornamento su impatto e incertezza senza promesse infondate?
  • Quali decisioni, impegni ed evidenze devono passare al turno successivo e al responsabile aziendale?

Cosa è stato scelto, da quale ruolo autorizzato, con quali alternative e conseguenze per i clienti? Indica il responsabile della prossima azione.

Separa fatti forniti, ipotesi dei partecipanti ed evidenze assenti. Cosa verrà verificato, da chi e prima di quale decisione?

Trasforma il confronto finale in azioni

Distingui ciò che è stato dimostrato nella discussione, solo dichiarato o non affrontato. Cita un registro o un’azione osservata; evita punteggi di preparazione senza fondamento.

Per ogni lacuna registra responsabile, prossima azione, scadenza ed evidenza del completamento. Mantieni visibili le dipendenze aperte.

Definisci quale modifica o azione completata richiede un nuovo esercizio e cosa dovrà dimostrare. Concorda chi seguirà l’avanzamento.

I risultati di una discussione non provano che ripristino, rilevamento o comunicazione funzioneranno in un incidente reale. Verifica separatamente le affermazioni tecniche con test autorizzati. Conserva il file e riesamina le azioni prima di dichiararle concluse.

Metodo e riferimenti

Scenario e scheda originali con riferimenti primari sulla progettazione delle esercitazioni. Non è un pacchetto ufficiale CISA o NIST.

Continua a leggere