服务

网络安全桌面推演

我作为外部观察者参与过的大多数桌面推演都是作秀。每个人都已熟知计划，情景软到不会出现任何意外，复盘环节则是一轮互相祝贺。这不是桌面推演，只是对剧本的排练。开展推演的意义，在于弄清当房间里没有现成答案时，什么会出问题。

桌面推演是一次由主持人引导、基于情景的事件推演，参与者是事件真实发生时会在现场的那些人：IT、法务、公关沟通、业务负责人，有时还有高管。不会触碰任何系统。其价值完全在于人们必须在时间压力下、在信息不完整的情况下，当场说出口的那些决策，以及观察纸面上的计划与人们脑中的计划在哪里出现分歧。

我实际做什么

我会围绕您的环境来设计情景，而不是套用通用的勒索软件模板。如果您是医疗机构，情景会涉及患者数据和泄露通报时限。如果您是制造企业，则会涉及由供应商引入、波及厂区生产现场的入侵。推演过程中我会不断加入各种变数，也就是那些永远不会出现在整齐的事件响应计划里的情况：值班工程师在出差，保险公司希望在律师准备好之前就被拉入沟通，一名记者在第二个小时打来电话。我留意的是决策权在哪里不清晰，升级路径在哪里存在单点故障，以及“会有人处理的”在哪里实际上意味着没有人会处理。

推演之后您得到的是一次真正的复盘，而不是一张参与证书。我会写明推演实际揭示的问题：文件化计划与人们在现场的实际做法之间的差距，因为没有人拥有决策权而耗时过长的决定，以及一份简短、按优先级排序的清单，列出下次演练之前该修复什么。与其给您二十条您永远不会落实的含糊建议，我更愿意交给您三项具体的修复。

适合哪些组织

如果您的事件响应计划从未在真正会到场的人员身上测试过，或者距离上一次演练已超过一年，那就是信号。在机构重组之后、在引入新的 MSSP 或保险公司之后，或者在即将面对会问到您的计划是否演练过的审计之前，同样值得进行。

如果您想要一次能告诉您一些您原本不知道的事情的桌面推演，欢迎联系我，我们来谈谈您的环境以及哪些人需要到场。