Tabletop Exercise realista: como construir um cenário que realmente testa a empresa
- Setrix Segurança em Tecnologia da Informação
- há 9 horas
- 3 min de leitura
Um Tabletop Exercise pode reunir todas as pessoas certas, ter uma apresentação impecável e ainda produzir pouco aprendizado. Isso acontece quando o cenário é genérico demais, previsível demais ou distante daquilo que realmente mantém o negócio funcionando.
Um bom exercício, ou um Tabletop Exercise realista, não depende de criar a crise mais dramática possível. Depende de criar uma situação plausível o suficiente para que os participantes precisem tomar decisões reais.
É justamente aí que começa o desenho do cenário.
Comece pelo que a empresa não pode perder
Ransomware é um cenário comum, mas “a empresa sofreu ransomware” diz muito pouco sobre aquilo que deve ser testado.
A pergunta mais útil é outra: o que aconteceria com o negócio se determinado recurso deixasse de estar disponível?
Pode ser o ERP que sustenta faturamento, o ambiente de produção, uma plataforma SaaS utilizada por toda a operação, um sistema hospitalar, o acesso remoto de fornecedores ou uma infraestrutura de identidade.
Quando o cenário parte de uma dependência concreta, as discussões mudam. Operação, tecnologia e liderança passam a enxergar consequências que um incidente apresentado de maneira genérica não mostraria.
Entregue a informação aos poucos
Incidentes reais raramente chegam acompanhados de um diagnóstico completo.
Primeiro aparece um alerta. Depois, uma máquina apresenta comportamento suspeito. Surge uma credencial comprometida. Um serviço deixa de responder. Um cliente entra em contato. Horas depois, descobre-se que existe possibilidade de exfiltração.
O exercício deve reproduzir essa assimetria de informação.
Os chamados injects — novos acontecimentos apresentados durante a dinâmica — fazem o cenário evoluir e obrigam os participantes a revisar hipóteses e tomar decisões com aquilo que sabem naquele momento.
Essa é uma diferença importante entre responder a um questionário e exercitar capacidade de resposta.
Coloque objetivos legítimos em conflito
Algumas das melhores discussões aparecem quando duas decisões defensáveis apontam para caminhos diferentes.
Segurança quer isolar imediatamente um sistema. A operação alerta que a ação interromperá uma atividade crítica. A investigação quer preservar evidências. A infraestrutura precisa restaurar o ambiente. A comunicação quer responder rapidamente. O jurídico pede mais elementos antes de uma manifestação externa.
O objetivo do exercício não é criar antagonismo entre essas áreas. É descobrir se existem critérios para equilibrar necessidades legítimas durante uma situação de pressão.
Remova uma dependência que parecia garantida
Outra maneira de tornar o cenário mais útil é retirar algo que normalmente seria considerado disponível.
E se o Teams estiver fora do ar? E se o responsável pelo plano estiver viajando? E se o fornecedor de resposta estiver atendendo outro incidente? E se uma conta administrativa estiver entre as identidades potencialmente comprometidas?
Esse tipo de situação revela dependências pessoais, tecnológicas e contratuais que dificilmente aparecem em uma revisão documental.
Defina antes o que será observado
O exercício também precisa ter objetivos claros.
Se a empresa quer avaliar escalonamento, deve observar quanto tempo leva para o incidente chegar às pessoas certas. Se deseja testar contenção, precisa acompanhar quais informações são exigidas para autorizar uma ação. Se o foco é continuidade, deve verificar se existe uma ordem compreendida para recuperação dos serviços.
O NIST define Tabletop Exercise justamente como um exercício baseado em discussão para validar planos, papéis e respostas diante de uma emergência. A versão mais recente de suas recomendações de resposta a incidentes também reforça que preparação, detecção, resposta e recuperação precisam fazer parte da gestão contínua do risco.
No fim, a qualidade de um Tabletop não está no tamanho da apresentação nem na dramaticidade do incidente.
Está na qualidade das perguntas que ele obriga a empresa a responder.
Um cenário bem construído coloca pressão exatamente sobre os pontos que sustentam a operação e permite descobrir, em ambiente controlado, onde existe clareza e onde ainda existe dependência, dúvida ou improviso.
A Setrix desenvolve Tabletop Exercises conectados ao ambiente, aos riscos e às prioridades de cada organização, do desenho do cenário à avaliação dos resultados.
Antes de testar um cenário improvável, vale testar aquilo que sua empresa realmente não pode perder.
Fontes:
Comentários