ซ้อมรับเหตุไซเบอร์แบบ Tabletop ผู้บริหารควรตัดสินใจอะไรให้ได้
แผนมีชื่อผู้รับผิดชอบ แต่ใครตัดสินใจเมื่อติดต่อไม่ได้
เมื่อระบบขายหยุดทำงาน ทีมเทคนิคอาจรู้ว่าควรตรวจอะไร แต่ฝ่ายบริหารยังต้องตัดสินใจเรื่องหยุดบริการ งานทดแทน การสื่อสาร และงบฉุกเฉิน หากทุกเรื่องรอคนเดียวที่ติดต่อไม่ได้ แผนที่มีรายชื่อครบก็ยังใช้จริงไม่ได้ การซ้อมแบบ Tabletop ช่วยค้นช่องว่างนี้ด้วยสถานการณ์สมมติและคำถาม ไม่จำเป็นต้องโจมตีระบบจริงเพื่อเริ่มตรวจความพร้อมด้านการตัดสินใจ
NIST ให้นิยาม Tabletop ว่าเป็นการซ้อมโดยอภิปรายบทบาทและการตอบสนองต่อสถานการณ์ โดยมีผู้นำการสนทนา ควรใช้เป็นการตรวจว่าแผนเข้าใจตรงกันและนำไปใช้ได้หรือไม่ ผลที่คุยผ่านไม่ใช่หลักฐานว่ากู้ข้อมูลสำเร็จหรือทำงานได้ภายในเวลาที่ตั้งไว้ การทดสอบเทคนิคต้องมีหลักฐานอีกชุด
เริ่มจากบริการสำคัญและคำตัดสิน ไม่เริ่มจากเครื่องมือ
เลือกบริการหนึ่งที่กิจการต้องพึ่งพา เช่น รับคำสั่งซื้อหรือจ่ายเงินเดือน แล้วกำหนดคำถามที่จะตรวจเพียงไม่กี่ข้อ ได้แก่ ใครมีอำนาจประกาศเหตุ ใครอนุมัติหยุดหรือกลับมาให้บริการ และใครอนุมัติข้อความถึงลูกค้า ระบุผู้ทำหน้าที่แทนและวงเงินหรือเงื่อนไขที่ต้องส่งต่อ ไม่ตั้งเป้ากว้างว่าต้องปลอดภัยทั้งหมดในครั้งเดียว
เชิญผู้มีบทบาทจริงจากฝ่ายธุรกิจ IT การเงิน ผู้ดูแลข้อมูลและการสื่อสารตามความเกี่ยวข้อง ผู้ดำเนินการซ้อมควรแยกจากผู้บันทึก เพื่อให้มีคนจดเหตุผล สิ่งที่ยังไม่รู้ และจุดที่ไม่มีเจ้าภาพ เตรียมแผนฉบับใช้งาน รายชื่อผู้ติดต่อ และสัญญาผู้ให้บริการที่จำเป็น โดยปิดข้อมูลอ่อนไหวที่ไม่ต้องใช้ในการซ้อม
ตัวอย่างสามช่วงที่ทำให้เห็นอำนาจตัดสินใจ
ตัวอย่างสมมติเริ่มด้วยระบบขายเข้าใช้ไม่ได้ แต่ยังไม่ทราบสาเหตุ ให้ผู้เข้าร่วมระบุว่าจะยืนยันผลกระทบกับใคร ใช้ช่องทางใดหากอีเมลล่ม และใครตัดสินใจเริ่มกระบวนการฉุกเฉิน จากนั้นเพิ่มข้อมูลว่าลูกค้ารอส่งของและผู้จัดการหลักติดต่อไม่ได้ ถามว่าผู้ทำหน้าที่แทนอนุมัติงานทดแทนได้ถึงขอบเขตใด ไม่ให้ตอบเพียงว่าจะโทรหา IT
ช่วงสุดท้ายสมมติผู้ให้บริการแจ้งว่าระบบเปิดได้แล้ว แต่ยังตรวจรายการขายล่าสุดไม่ครบ ให้ฝ่ายบริหารอธิบายหลักฐานที่ต้องการก่อนกลับมาให้บริการ ใครยอมรับความเสี่ยงที่เหลือ และต้องแจ้งลูกค้าอย่างไรโดยไม่ยืนยันสิ่งที่ยังไม่ทราบ เหตุการณ์นี้ใช้ฝึกการตัดสินใจ ไม่ได้กำหนดว่าต้องเปิดหรือปิดระบบในทุกกรณีจริง
ให้คะแนนจากหลักฐานที่ใช้ ไม่ใช่ความมั่นใจในการตอบ
เมื่อมีคนตอบว่ามีรายชื่อฉุกเฉิน ให้ขอดูว่าเข้าถึงได้โดยไม่พึ่งระบบที่สมมติว่าล่มหรือไม่ เมื่อบอกว่าผู้ให้บริการช่วยได้ ให้ระบุช่องทางติดต่อ ขอบเขตบริการ และเงื่อนไขที่ยังต้องยืนยัน บันทึกแยกสิ่งที่มีหลักฐานแล้ว สิ่งที่เป็นสมมติฐาน และเรื่องที่ต้องทดสอบจริง ไม่เปลี่ยนคำว่าเราน่าจะทำได้ให้เป็นผลผ่าน
การซ้อมไม่ควรสร้างเหตุจริงโดยไม่ตั้งใจ ใช้เอกสารจำลองและทำเครื่องหมายว่าเป็นการฝึก ไม่ส่งข้อความถึงลูกค้าหรือหน่วยงานภายนอกเพื่อให้สมจริงโดยไม่มีขอบเขตอนุมัติ หากพบประเด็นหน้าที่แจ้งเหตุ ให้ส่งผู้รับผิดชอบตรวจตามกฎหมาย สัญญา และข้อเท็จจริงที่เกี่ยวข้อง ไม่ใช้เวลาจากโจทย์ซ้อมเป็นคำตอบทางกฎหมาย
จบการซ้อมด้วยงานแก้ไขที่ตรวจปิดได้
แนวทาง NIST SP 800-84 กล่าวถึงการสรุปหลังซ้อมและรายงานข้อค้นพบเพื่อนำไปปรับแผน สำหรับการใช้ในองค์กร ให้ทำหนึ่งรายการต่อช่องว่าง ระบุผลกระทบ เจ้าของงาน กำหนดส่ง และหลักฐานปิดงาน เช่น รายชื่อผู้แทนที่อนุมัติแล้ว ช่องทางติดต่อสำรองที่ทดสอบแล้ว หรือเกณฑ์เปิดบริการที่ฝ่ายธุรกิจกับ IT เห็นตรงกัน
อย่าปิดรายการเพียงเพราะแก้เอกสารแล้ว หากปัญหาเดิมคือใช้สิทธิ์ไม่ได้ ต้องตรวจว่าสิทธิ์ใช้งานได้ตามบทบาทจริงโดยไม่ให้เกินจำเป็น หากปัญหาคือไม่รู้ใครอนุมัติ ต้องทดสอบคำถามเดิมกับผู้ทำหน้าที่แทน แล้วเก็บผลว่าเข้าใจและตัดสินใจได้ตามขอบเขต เกณฑ์ปิดงานควรตรงสาเหตุที่พบ
ใช้ผลซ้อมคุยเรื่องความเสี่ยงและงบลงทุน
ผู้บริหารควรได้เห็นช่องว่างที่กระทบบริการมากที่สุดพร้อมทางเลือกแก้ เช่น ปรับอำนาจอนุมัติ ฝึกผู้แทน ปรับสัญญาบริการ หรือทดสอบกู้ระบบเพิ่มเติม แยกงานที่แก้ด้วยการจัดหน้าที่ออกจากงานที่ต้องซื้อเทคโนโลยี จะได้ไม่ใช้งบซื้ออุปกรณ์เพื่อแก้ปัญหาที่แท้จริงคือไม่มีผู้ตัดสินใจ
เมื่อติดต่อ Kerwin & Vance ในขอบเขตที่ปรึกษาเทคโนโลยีและความเสี่ยงตามบริการจริง ให้นำแผนปัจจุบัน บริการสำคัญ และรายการช่องว่างจากการซ้อมไปประกอบการหารือ ตรวจขอบเขตงานที่ต้องการก่อนตกลงบริการ การซ้อมที่มีประโยชน์คือทำให้เกิดการปรับปรุงที่พิสูจน์ได้ ไม่ใช่ใบรับรองว่าจะไม่มีเหตุไซเบอร์หรือความเสียหาย
