Tabletop-øvelse i cybersikkerhed: 5 realistiske injects til jeres krisestab

Beredskabsplanen samler ofte støv i et ringbind eller ligger på et internt netværksdrev, som bliver utilgængeligt i det øjeblik, et ransomware-angreb rammer. Den dag alarmen lyder, forsvinder de teoretiske antagelser lynhurtigt. En skrivebordsøvelse (tabletop-øvelse) er fortsat det mest effektive værktøj til at konfrontere direktionen, krisestaben og de tekniske specialister med den rå virkelighed under et cyberangreb. Alligevel ender alt for mange øvelser som et forudsigeligt, lineært forløb, hvor deltagerne aldrig for alvor mærker presset.

Hvis I vil teste den organisatoriske modstandskraft, skal en tabletop-øvelse ryste vanetænkningen. Deltagerne skal håndtere usikkerhed, mangelfulde oplysninger og et massivt tidspres. Her gennemgår vi, hvordan I designer effektive injects, der gør en teoretisk workshop til en reel stresstest af hele organisationen.

Hvordan opbygger man et relevant scenarie til en tabletop-øvelse?#

Kort fortalt: Et stærkt tabletop-scenarie tager udgangspunkt i virksomhedens kritiske risici, en gradvis eskalering via planlagte hændelser (injects), fraværet af tekniske garantier samt aktiv deltagelse fra direktionen, jura, HR og kommunikation frem for blot IT-afdelingen.

Succesen bag en beredskabsøvelse afhænger ikke af komplekse tekniske serverlogs, men af sværhedsgraden af de dilemmaer, ledelsen tvinges til at håndtere. For at skabe en troværdig ramme bør I fokusere på tre kerneelementer:

• Forankring i det reelle driftsmiljø: Inddrag jeres faktiske outsourcing-partnere, kritiske cloud-tjenester og sårbare perioder (regnskabsafslutning, ferieperioder eller helligdage).
• Gradvis eskalering af krisen: Begynd med et tilsyneladende harmløst svagt signal for at teste detektions- og eskaleringsvejene, inden de lammende konsekvenser rammer.
• Strategiske og etiske dilemmaer: Introducer juridiske, økonomiske og omdømmemæssige valg, hvor ingen af udfaldene er uden omkostninger.

Vil I udfordre ledelsen i et realistisk og dynamisk miljø, tilbyder Brain Security skræddersyede forløb som Cybersecurity is not a game, hvor direktionen og nøglepersoner trænes i benhårde prioriteringer under pres.

5 realistiske injects til at udfordre jeres krisestab#

Kort fortalt: De fem vigtigste injects omfatter kompromittering af en driftspartner, pludseligt nedbrud i ERP-systemet, lækage af fortrolige HR-data, offentlig afpresning på sociale medier og uventet svigt i de interne nødkommunikationskanaler.

Her er fem konkrete injects, I kan bringe i spil for at teste organisationens reflekser under simuleringen:

1. Det indledende inject: Kompromittering af en ekstern IT-leverandør

En fredag klokken 15:45 modtager CISO en kortfattet melding fra en ekstern driftsleverandør (MSP): Leverandørens egne administrationssystemer er blevet ramt af et aktivt angreb. To privilegerede fjernadgangskonti ind i jeres netværk har udvist mistænkelig aktivitet de seneste 48 timer.

Hvad I tester: Evnen til hurtigt at lukke tredjepartsadgange uden at lamme forretningen, kontraktlige beredskabsaftaler og evnen til at kvalificere truslen roligt.

2. Det driftsmæssige inject: Akut nedbrud i ERP- og produktionsmiljøet

Lørdag formiddag stopper ERP-databaserne med at svare. Overvågningssystemerne melder om massiv kryptering, og der efterlades en digital løsesumsbesked på domænecontrollerne. Logistikken og eventuelle produktionslinjer går i stå.

Hvad I tester: Den formelle aktivering af krisestaben, overgang til manuel nøddrift og driftsdirektørens prioritering mellem driftstab og isolering af netværket.

3. Det regulatoriske inject: Lækage af personfølsomme HR-oplysninger

Mens krisestaben kæmper med teknisk genopretning, modtager virksomhedens DPO en anonym mail med et uddrag af 500 personalemapper: lønsedler, CPR-numre, interne vurderinger og pasoplysninger. Angriberen truer med offentliggørelse inden for 12 timer.

Hvad I tester: Vurderingen af anmeldelsespligten til Datatilsynet inden for 72-timers fristen ifølge GDPR, dialogen med medarbejderrepræsentanter og håndteringen af intern uro.

4. Omdømme-injectet: Offentlig afpresning på sociale medier

En profil på X og LinkedIn deler skærmbilleder af fortrolige interne dokumenter og tagger administrerende direktør samt danske erhvervsjournalister. Kritiske kunder begynder at kime salgsafdelingen ned for at få svar.

Hvad I tester: Krisestabens evne til at fastholde én samlet kommunikationslinje, styring af pressekontakt og overholdelse af princippet om en autoriseret talsperson.

5. Det tekniske tilbageslag: Nedbrud på de sekundære kommunikationskanaler

Netop som krisestaben skal koordinere indsatsen, bliver den primære mailserver utilgængelig, og Teams samt VoIP-telefoni fejler. Flere ledere begynder på eget initiativ at oprette ubeskyttede grupper på forbrugerapps.

Hvad I tester: Robustheden af jeres foruddefinerede out-of-band kommunikationsveje samt ledelsens evne til at styre hændelsen under fuldstændig digital isolation.

Hvilke erfaringer styrker virksomhedens modstandsdygtighed?#

Formålet med en tabletop-øvelse er aldrig at placere skyld, men at afdække blinde vinkler, før en reel trusselaktør udnytter dem. Umiddelbart efter øvelsen bør facilitatoren gennemføre en kort evaluering (hotwash) på cirka 30 minutter for at opsamle umiddelbare reaktioner og identificere de største udfordringer.

I dagene efter omsættes observationerne til en handlingsplan, der styrker beredskabet forud for eksempelvis NIS 2-implementering eller krav i D-mærket:

• Præcisering af beslutningsmandater: Få fuldstændig klarhed over, hvem der formelt har beføjelse til at koble virksomheden fra internettet eller lukke kritiske cloud-systemer.
• Opdatering af eskalerings- og varslingstærskler: Fastlæg præcise retningslinjer for, hvornår der skal rettes henvendelse til CFCS (Center for Cybersikkerhed), Datatilsynet, politiet, forsikringsselskab og eksterne beredskabspartnere.
• Regelmæssig træning: Gennemfør skrivebordsøvelser mindst én til to gange årligt for at teste nye trusselsbilleder og sikre, at nye ledelsesmedlemmer kender deres rolle.

Vil I etablere en struktureret træningsindsats for krisestaben og direktionen med udgangspunkt i realistiske scenarier, kan I kontakte teamet hos Brain Security for en demonstration.

BRAIN SECURITY I PRAKSIS · Cybersecurity is not a game

Læs videre: relaterede artikler og løsninger fra Brain Security#

Relaterede artikler om dette emne

• CISO'ens mentale overbelastning: Del cybersikkerhedsansvaret med hele organisationen (Cyber Crisis & Ransomware) : Reducer CISO'ens mentale pres ved at gøre cybersikkerhed til et fælles ansvar. Konkrete metoder til at engagere direktion og forretningsenheder.
• Databrud og 72 timers fristen: Hvorfor compliance afhænger af den første medarbejder (Cyber Crisis & Ransomware) : Lær hvorfor overholdelse af GDPR og 72 timers fristen til Datatilsynet afhænger af intern rapportering, og hvordan I fjerner frygten for fejl.
• Cyber-hændelsesopsamling: Gør hændelser og næsten-ulykker til fælles modstandsdygtighed (Cyber Crisis & Ransomware) : Lær at lede en blameless post-mortem efter en cyberhændelse og omdan reelle alarmer til engagerende træningsscenarier for organisationen.
• NIS 2 og ledelsens personlige ansvar: Sådan træner du direktionen på 45 minutter (Compliance (NIS 2, DORA, ISO)) : Opfyld NIS 2-kravene til ledertræning på 45 minutter. Styrk direktion og bestyrelse med realistisk krisesimulering og strategiske dilemmaer.

Udforsk Brain Securitys løsninger på vores hjemmeside

• Relateret løsning : Cybersecurity is not a game : Interaktiv krisesimulering og beslutningsøvelse (Cybersecurity is not a game) for direktion og sikkerhedsteams.
• Se use cases efter sikkerhedsmål og branche
• Sammenlign vores formater til cyber- og AI-bevidsthed
• Udforsk hele det interaktive katalog fra Brain Security
• Tal med vores team om jeres behov (demo og opsætning)