Contenuto informativo basato su fonti istituzionali. L’applicazione concreta richiede una valutazione del contesto, del rischio e della normativa vigente.
Definire obiettivi e partecipanti
Un tabletop non deve dimostrare chi conosce più dettagli tecnici. Serve a verificare capacità precise: attivazione del piano, isolamento, continuità dei servizi, segnalazioni, comunicazione e recupero.
CISA mette a disposizione pacchetti con scenari, domande e modelli per esercitazioni basate sulla discussione. Il formato va adattato all’organizzazione, coinvolgendo direzione, IT, responsabili dei processi, comunicazione, privacy, legale e fornitori quando pertinenti.
- Due o tre obiettivi misurabili
- Scenario coerente con servizi e dipendenze reali
- Facilitatore distinto dai partecipanti
- Regole di ingaggio e assenza di colpevolizzazione
- Osservatori incaricati di raccogliere decisioni e lacune
Costruire uno scenario progressivo
Lo scenario può iniziare con un alert anomalo, proseguire con indisponibilità di file e account e introdurre poi esfiltrazione, richieste di riscatto o indisponibilità del fornitore. Ogni inject deve obbligare il gruppo a decidere con le informazioni disponibili in quel momento.
Non è necessario intervenire sui sistemi di produzione. È invece utile usare inventari, piani e rubriche reali per verificare se siano accessibili, aggiornati e comprensibili.
- Rilevazione e prima escalation
- Contenimento e autorità decisionale
- Servizi prioritari e alternative operative
- Valutazione di segnalazioni e stakeholder
- Criteri per bonifica, ripristino e chiusura
Trasformare la discussione in miglioramento
Al termine è necessario un debrief immediato: che cosa ha funzionato, quali decisioni erano ambigue e quali informazioni mancavano. Il rapporto successivo deve distinguere osservazioni, azioni, responsabili e scadenze.
Una nuova esercitazione dovrebbe verificare la chiusura delle azioni più importanti. Il valore non è il punteggio finale, ma la riduzione misurabile di tempi, incertezze e dipendenze.
Domande frequenti
Un tabletop interrompe i sistemi?+
No. È normalmente un’esercitazione basata sulla discussione. Eventuali test tecnici separati devono avere un piano e autorizzazioni specifiche.
Quanto deve durare?+
Dipende dagli obiettivi. Una sessione mirata può durare alcune ore; scenari complessi possono essere suddivisi in più moduli.
Chi deve partecipare?+
Non solo l’IT: servono le persone che decidono, comunicano, gestiscono servizi, dati, obblighi e fornitori durante l’incidente.