Un exercițiu tabletop pentru ransomware nu este un test de improvizație, ci o simulare controlată în care echipa de conducere, IT-ul, juridicul, HR-ul, comunicarea și operațiunile verifică dacă pot lua decizii coerente sub presiune. Pentru firmele din România, valoarea reală nu stă într-un scenariu spectaculos, ci în claritatea rolurilor, în pragurile de escaladare și în momentul în care conducerea decide dacă activitatea poate continua în siguranță.
Un scenariu util pornește de la un context credibil. Este ora 08:20, într-o zi de luni. Service desk-ul primește mai multe tichete din contabilitate și logistică: fișierele partajate nu se mai deschid, unele stații afișează note de răscumpărare, iar autentificarea pe VPN începe să dea erori. Monitorizarea internă arată activitate neobișnuită pe un server de fișiere și pe controlerul de domeniu secundar. La 08:45, backup-urile din noaptea anterioară par finalizate, dar echipa nu poate confirma imediat dacă sunt intacte sau dacă mediul de backup a fost atins. În paralel, apar semne că exfiltrarea de date este posibilă, deci incidentul nu mai este doar despre criptare, ci și despre risc legal, contractual și reputațional.
În această fază, exercițiul trebuie să testeze deciziile executive, nu doar reacția tehnică. Prima întrebare: cine declară incident major și cine are autoritatea să convoace celula de criză? A doua: ce procese sunt critice pentru următoarele patru, opt și douăzeci și patru de ore? A treia: compania continuă operațiunile în regim degradat sau oprește controlat anumite servicii pentru a limita propagarea?
Pentru conducere, merită simulate câteva puncte de decizie concrete:
- se izolează complet anumite segmente de rețea, chiar dacă asta oprește activitatea unor echipe;
- se suspendă accesul la VPN și accesul terților până la validarea integrității;
- se mută procesele esențiale pe proceduri manuale sau pe sisteme alternative;
- se notifică rapid managementul, juridicul, asiguratorul cibernetic și partenerii critici;
- se pregătește mesajul intern pentru angajați și, dacă este cazul, poziția externă pentru clienți și presă.
Componenta tehnică a tabletop-ului trebuie să verifice dacă organizația știe ce caută în primele ore: activele afectate, conturile compromise, ultimul punct de restaurare de încredere, dependențele dintre aplicații și dacă există semne de persistență. Exercițiul nu trebuie să intre în detalii ofensive, dar trebuie să forțeze întrebările corecte: avem jurnalizare suficientă, știm ce sisteme nu trebuie repornite înainte de colectarea dovezilor, putem separa mediul de backup de rețeaua compromisă și avem criterii pentru restaurare curată?
Cea mai importantă parte, adesea evitată, este definirea criteriilor de oprire a operațiunilor. O companie ar trebui să aibă dinainte praguri clare pentru oprire totală sau parțială. Exemple utile într-un exercițiu: imposibilitatea de a garanta integritatea autentificării și a privilegiilor administrative; indisponibilitatea sistemelor care susțin plăți, livrări sau servicii esențiale; imposibilitatea de a valida backup-uri curate într-un interval acceptabil; confirmarea exfiltrării de date sensibile; risc pentru siguranța fizică, pentru obligațiile legale sau pentru controlul financiar minim. Dacă unul sau mai multe astfel de praguri sunt atinse, discuția nu mai este despre confort operațional, ci despre reducerea daunelor.
Mai există un test important: disciplina comunicării și a raportării. În tabletop trebuie stabilit cine păstrează jurnalul deciziilor, cine validează mesajele către personal și cine analizează dacă incidentul trebuie raportat către autoritățile competente, parteneri sau persoane vizate, în funcție de impact și de datele afectate. O organizație care comunică repede, dar necontrolat, poate agrava incidentul prin informații contradictorii sau prin reluarea prematură a serviciilor.
La final, un exercițiu bun nu se încheie cu „am reacționat bine”, ci cu o listă scurtă de decizii corective: cine aprobă oprirea activității, ce sistem are prioritate la restaurare, în cât timp se confirmă sănătatea backup-urilor, ce canale alternative de comunicare există și cine decide momentul revenirii la operațiuni normale. Pentru companiile din România, acesta este testul maturității: nu dacă pot rosti termenii corecți, ci dacă pot opri la timp ce trebuie oprit și pot reporni doar ce este verificat.
