Представьте себе, что критически важная служба становится недоступной, пока группа безопасности расследует подозрительную активность. Причина пока не ясна. Операции хотят непрерывности, безопасность хочет сдерживания, а руководство нуждается в объяснениях. Самая трудная часть уже началась: нужно решить, что делать, прежде чем наступит определенность.

Репетируйте права на принятие решения

Кто может одобрить изоляцию критической системы? Кто может принять эксплуатационные последствия? Кто возьмет на себя ответственность, если этот человек недоступен? Эти вопросы относятся к подготовке, когда есть время разрешить конкурирующие ожидания.

Учения должны объединить людей, которые принимают эти решения. Чисто техническое моделирование может быть ценным, но оно само по себе не позволит установить, каким образом руководство санкционирует подрывные бизнес-действия.

Тестирование потока информации

Первоначальная информация часто неполна и подлежит пересмотру. В хорошем брифинге различаются наблюдаемые факты, рабочие гипотезы и исследуемые вопросы. Это помогает лидерам действовать, не воспринимая предварительное объяснение как подтвержденный вывод.

Во время упражнения попросите участников подготовить инструктаж, которым они действительно будут пользоваться. Обратите внимание на то, чего не хватает: влияние на бизнес, уверенность, сроки принятия решений, варианты или личность человека, ответственного за следующее обновление.

Включить обычные зависимости

Самый драматичный сценарий не всегда является самым полезным. Недоступный список контактов, доступ к системе восстановления или зависимость от поставщика могут стать решающими, когда обычные инструменты недоступны.

Проработайте эти детали. Могут ли нужные люди связаться друг с другом? Могут ли они получить доступ к необходимой им информации? Понимаются ли внешние обязанности? Упражнение приобретает свою ценность, когда оно определяет изменения, которые можно внести.

Наблюдайте, не превращая это в представление

Участники должны уметь объяснить неопределенность, попросить о помощи и оспорить предположение. Упражнение, предназначенное только для подтверждения того, что план работает, затрудняет обнаружение того, где он не работает.

Запишите решения, имеющуюся на тот момент информацию и моменты, когда ответственность стала неясной. Цель состоит в том, чтобы улучшить систему реагирования, включая способы сотрудничества людей.

Закройте цикл после упражнения.

Заключительное обсуждение должно привести к краткому набору собственных улучшений. Обновление списка контактов, уточнение утверждения, изменение порога эскалации или практика передачи управления могут быть более полезными, чем создание еще одного длинного документа.

Согласуйте, как будут проверяться изменения. Следующее упражнение может вернуться к одному и тому же решению при других ограничениях и показать, улучшила ли организация свою готовность, а не просто повторила встречу.

Подготовка создает общий способ решить, когда факты еще поступят.

Взгляд Кабмина
The Cybersecurity Cabinet