Table-top-øvelse

NIST SP 800-84 (2006), vejledningen i test-, trænings- og øvelsesprogrammer for IT-planer, skelner mellem table-top-øvelser, der er samtalebaserede og foregår i et mødelokale, og funktionelle øvelser, hvor deltagerne udfører deres opgaver i et simuleret driftsmiljø. Det amerikanske Homeland Security Exercise and Evaluation Program (HSEEP) bruger samme opdeling mellem samtalebaserede øvelser (seminarer, workshops, table-top-øvelser og spil) og operationelle øvelser (drills, funktionelle øvelser og fuldskalaøvelser) og anbefaler at bevæge sig fra de første til de sidste, efterhånden som planerne modnes. ISO 22301:2019 afsnit 8.5 kræver et øvelsesprogram, og ISO 22398 giver retningslinjer for øvelser.

En table-top-øvelse bygges op omkring et scenarie og en drejebog med tidsfastsatte injects (et master scenario events list, MSEL), hvor hvert inject er en ny oplysning, fx en alarm fra SOC'en, et opkald fra en journalist, et krav om løsesum, et spørgsmål fra en tilsynsmyndighed eller opdagelsen af, at backupperne er krypteret. Øvelseslederen frigiver injects i etaper, ofte med timer eller dage presset sammen til minutter, og spørger deltagerne, hvad de ved, hvad de beslutter, hvem de informerer, og hvad de har brug for. Formålene fastlægges på forhånd og knyttes til bestemte dele af planen, fx om den tidlige varsling efter NIS2 kan sendes inden 24 timer, om beslutningskompetencen til at koble fra internettet er klar, eller om kommunikationsplanen virker uden mail.

Rollerne er adskilt. Øvelseslederen styrer drøftelsen og holder scenariet troværdigt; evaluatorer eller observatører noterer huller op mod formålene; en referent fører en tidslinje; og deltagerne agerer i deres rigtige roller, helst med stedfortrædere med, så planen ikke kun afprøves med de mest erfarne. Scenarierne bør være realistiske for organisationen, bygge på aktuelle trusselsvurderinger og indeholde bevidste komplikationer frem for en glat vej. Øvelser for ledelsesgrupper holdes som regel på nogle få timer.

Øvelsen slutter med en umiddelbar hot wash, hvor deltagerne deler indtryk, mens de er friske, efterfulgt af en evalueringsrapport og en forbedringsplan med ansvarlige og frister, som indgår i samme opfølgning på korrigerende handlinger som erfaringsopsamlingen efter rigtige hændelser. Table-top-øvelser afprøver ikke den tekniske formåen: de kan ikke vise, at en backup kan gendannes inden for sin RTO, hvilket kræver en funktionel test. Nationale øvelser og øvelser på EU-niveau som ENISA's Cyber Europe-serie bruger samme metode i sektor- og landeskala.