# Esercitazione da tavolo sul ransomware per i dirigenti https://it.kinlevi.com/resources/ransomware-tabletop-exercise Questo scenario originale permette di esaminare il coordinamento nell’incertezza. L’obiettivo è individuare autorità mancanti, ipotesi prive di evidenza e dipendenze di ripristino. L’accordo in riunione dimostra una discussione, ma non il funzionamento di un controllo tecnico o di un ripristino. ## Prepara la sessione - Scegli un facilitatore che presenti gli aggiornamenti e un osservatore che registri le azioni effettive. Includi coordinamento dell’incidente, sicurezza, gestione della piattaforma, responsabilità aziendale e comunicazione. - Definisci un servizio e la versione del piano di risposta da esercitare. Porta matrice delle decisioni, contatti e mappa delle dipendenze. Usa nomi e materiali fittizi. - Prevedi indicativamente 90 minuti: 10 per concordare il perimetro, 60 per quattro fasi e 20 per il confronto finale. Adatta il ritmo agli obiettivi; non valutare solo la velocità. ## Limiti e condizioni di interruzione - È un’esercitazione di discussione. Non modificare accessi reali, eseguire file, inviare messaggi esterni o usare dati reali dei clienti per rappresentare lo scenario. - Ogni partecipante può chiedere una pausa se un’azione proposta coinvolge un sistema reale o supera il perimetro concordato. Chiarisci il limite prima di proseguire. - Se si verifica un incidente operativo reale, interrompi l’esercitazione e applica il processo effettivo. Contrassegna chiaramente appunti e messaggi simulati. ## Situazione iniziale fittizia Un fornitore B2B dipende da un servizio di conferma degli ordini nel periodo di massima attività delle consegne. I clienti segnalano errori e il personale non sa quali ordini siano stati accettati. Causa e perimetro sono ignoti. Gli aggiornamenti seguenti sono materiali fittizi del facilitatore, non osservazioni su un’organizzazione reale. ## Servizio, partecipanti e perimetro Registra servizio, versione del piano, facilitatore, osservatore, ruoli presenti e limiti concordati. [Compila durante l’esercitazione] ## Presenta gli aggiornamenti in sequenza Apri una fase alla volta. Gli intervalli di 15 minuti aiutano la facilitazione e non sono scadenze di risposta. Registra scelta, autorità, evidenze disponibili e prossima verifica prima di proseguire. ### 00 min — Interruzione del servizio Il servizio ordini non è disponibile. L’assistenza ha tre segnalazioni ma nessun conteggio affidabile degli ordini coinvolti. Il consueto responsabile dell’incidente è irraggiungibile. - Chi dichiara l’incidente, assume il coordinamento e attiva il sostituto? - Cosa occorre sapere prima di passare agli ordini manuali o sospendere quelli nuovi? #### Decisione, autorità e ragionamento Cosa è stato scelto, da quale ruolo autorizzato, con quali alternative e conseguenze per i clienti? Indica il responsabile della prossima azione. [Compila durante l’esercitazione] #### Evidenze mancanti e prossima verifica Separa fatti forniti, ipotesi dei partecipanti ed evidenze assenti. Cosa verrà verificato, da chi e prima di quale decisione? [Compila durante l’esercitazione] ### 15 min — Una rivendicazione di estorsione non verificata Il facilitatore introduce una richiesta di riscatto simulata e una segnalazione di sessione privilegiata insolita. Non esistono ancora evidenze del furto di dati o dell’intero perimetro di accesso. - Quale contenimento è autorizzato e quali evidenze potrebbe eliminare? - Chi valuta la rivendicazione e mantiene accurata la comunicazione mentre la sua validità è ignota? #### Decisione, autorità e ragionamento Cosa è stato scelto, da quale ruolo autorizzato, con quali alternative e conseguenze per i clienti? Indica il responsabile della prossima azione. [Compila durante l’esercitazione] #### Evidenze mancanti e prossima verifica Separa fatti forniti, ipotesi dei partecipanti ed evidenze assenti. Cosa verrà verificato, da chi e prima di quale decisione? [Compila durante l’esercitazione] ### 30 min — Una dipendenza di ripristino L’inventario dei backup indica una copia recente, ma il suo ripristino non è stato dimostrato nell’esercitazione. Serve anche un servizio di identità la cui affidabilità è in dubbio. Le operazioni chiedono un riavvio rapido. - Quali evidenze servono prima di ripristinare identità, dati e servizio? - Chi accetta un funzionamento limitato e quale condizione di monitoraggio o ritorno allo stato precedente lo fermerebbe? #### Decisione, autorità e ragionamento Cosa è stato scelto, da quale ruolo autorizzato, con quali alternative e conseguenze per i clienti? Indica il responsabile della prossima azione. [Compila durante l’esercitazione] #### Evidenze mancanti e prossima verifica Separa fatti forniti, ipotesi dei partecipanti ed evidenze assenti. Cosa verrà verificato, da chi e prima di quale decisione? [Compila durante l’esercitazione] ### 45 min — Pressione per comunicare Un cliente importante chiede un orario di ripristino e un giornalista cita una schermata non verificata. Arriva il turno successivo con un registro incompleto delle decisioni. - Chi approva un aggiornamento su impatto e incertezza senza promesse infondate? - Quali decisioni, impegni ed evidenze devono passare al turno successivo e al responsabile aziendale? #### Decisione, autorità e ragionamento Cosa è stato scelto, da quale ruolo autorizzato, con quali alternative e conseguenze per i clienti? Indica il responsabile della prossima azione. [Compila durante l’esercitazione] #### Evidenze mancanti e prossima verifica Separa fatti forniti, ipotesi dei partecipanti ed evidenze assenti. Cosa verrà verificato, da chi e prima di quale decisione? [Compila durante l’esercitazione] ## Trasforma il confronto finale in azioni ### Punti di forza e lacune osservati Distingui ciò che è stato dimostrato nella discussione, solo dichiarato o non affrontato. Cita un registro o un’azione osservata; evita punteggi di preparazione senza fondamento. [Compila durante l’esercitazione] ### Azioni correttive e verifica Per ogni lacuna registra responsabile, prossima azione, scadenza ed evidenza del completamento. Mantieni visibili le dipendenze aperte. [Compila durante l’esercitazione] ### Condizione per ripetere l’esercitazione Definisci quale modifica o azione completata richiede un nuovo esercizio e cosa dovrà dimostrare. Concorda chi seguirà l’avanzamento. [Compila durante l’esercitazione] I risultati di una discussione non provano che ripristino, rilevamento o comunicazione funzioneranno in un incidente reale. Verifica separatamente le affermazioni tecniche con test autorizzati. Conserva il file e riesamina le azioni prima di dichiararle concluse. ## Metodo e riferimenti Scenario e scheda originali con riferimenti primari sulla progettazione delle esercitazioni. Non è un pacchetto ufficiale CISA o NIST. - [CISA — Tabletop Exercise Package Documents](https://www.cisa.gov/resources-tools/resources/ctep-package-documents) - [NIST SP 800-84 — Test, Training, and Exercise Programs](https://csrc.nist.gov/pubs/sp/800/84/final) - [NIST SP 800-61 Rev. 3 — Incident Response Recommendations](https://csrc.nist.gov/pubs/sp/800/61/r3/final)