Exercício de mesa de ransomware para a liderança
Conduza um exercício de crise com quatro atualizações de cenário, registro de decisões e plano de melhorias. Baixe um roteiro editável para o facilitador.
Use este cenário original para examinar a coordenação em condições de incerteza. O objetivo é revelar falta de autoridade, premissas sem evidência e dependências de recuperação. A concordância na reunião demonstra que houve uma discussão; ela não comprova que um controle técnico ou uma restauração funciona.
Prepare a sessão
Escolha um facilitador para apresentar as atualizações e um observador para registrar o que os participantes realmente fazem. Inclua as funções de coordenação do incidente, segurança, operação de plataforma, negócio e comunicação.
Delimite um serviço e a versão do plano de resposta exercitada. Traga a matriz de decisões, contatos e um mapa de dependências. Use nomes e materiais fictícios.
Reserve cerca de 90 minutos como sugestão de planejamento: 10 para acordar o escopo, 60 para quatro rodadas e 20 para a análise posterior. Ajuste o ritmo aos objetivos; não avalie os participantes apenas pela velocidade.
Limites do exercício e critérios de interrupção
- Este é um exercício de discussão. Não altere acessos em produção, execute arquivos, envie mensagens externas ou use registros reais de clientes para encenar o cenário.
- Qualquer participante pode pausar se uma ação proposta atingir um sistema real ou exceder o escopo acordado. Resolva esse limite antes de continuar.
- Se ocorrer um incidente operacional real, interrompa o exercício e siga o processo de resposta efetivo. Identifique claramente as anotações e mensagens simuladas.
Situação inicial fictícia
Um fornecedor B2B depende de um serviço de confirmação de pedidos no período de maior movimento de entregas. Clientes relatam falhas e a equipe não consegue identificar quais pedidos foram aceitos. A causa e o escopo afetado são desconhecidos. As atualizações abaixo são materiais fictícios apresentados pelo facilitador, sem descrever uma organização real.
Apresente as atualizações em sequência
Abra uma rodada por vez. Cada intervalo de 15 minutos orienta a facilitação e não estabelece um prazo de resposta. Registre a escolha, sua autoridade, as evidências disponíveis e a próxima verificação antes de avançar.
Suas respostas ficam nesta página e são usadas no navegador para criar o arquivo. Baixe antes de fechar ou recarregar: o site não salva este roteiro preenchido.
Registre serviço, versão do plano, facilitador, observador, funções participantes e limites acordados.
00 minInterrupção do serviço
O serviço de pedidos está indisponível. O suporte recebeu três relatos de clientes, mas não há contagem confiável de pedidos afetados. O líder habitual do incidente não pode ser contatado.
- Quem declara o incidente, assume a coordenação e aciona o substituto?
- O que é necessário saber antes de optar por pedidos manuais ou suspender novos pedidos?
O que foi escolhido, por qual função autorizada, com quais alternativas e consequências para os clientes? Identifique quem responde pela próxima ação.
Separe fatos fornecidos, premissas dos participantes e evidências ausentes. Registre o que será verificado, por quem e antes de qual decisão.
15 minUma alegação de extorsão não verificada
O facilitador apresenta uma nota de resgate simulada e um relato de sessão privilegiada incomum. Ainda não há evidência que demonstre roubo de dados ou todo o escopo do acesso.
- Qual contenção está autorizada e que evidências essa ação pode eliminar?
- Quem avalia a alegação e mantém a comunicação com os clientes precisa enquanto sua validade é desconhecida?
O que foi escolhido, por qual função autorizada, com quais alternativas e consequências para os clientes? Identifique quem responde pela próxima ação.
Separe fatos fornecidos, premissas dos participantes e evidências ausentes. Registre o que será verificado, por quem e antes de qual decisão.
30 minUma dependência de recuperação
O inventário de backups lista uma cópia recente, mas sua restauração não foi demonstrada neste exercício. A recuperação também depende de um serviço de identidade cuja confiabilidade está em dúvida. A operação pede um reinício rápido.
- Quais evidências são necessárias antes de restaurar identidades, dados e serviço?
- Quem aceita uma operação restrita e que condição de monitoramento ou reversão exige interrompê-la?
O que foi escolhido, por qual função autorizada, com quais alternativas e consequências para os clientes? Identifique quem responde pela próxima ação.
Separe fatos fornecidos, premissas dos participantes e evidências ausentes. Registre o que será verificado, por quem e antes de qual decisão.
45 minPressão para comunicar
Um cliente importante pede previsão de restauração e um jornalista menciona uma captura de tela não verificada. O próximo turno está chegando com um registro de decisões incompleto.
- Quem aprova um comunicado que explique impacto e incerteza sem promessas não sustentadas?
- Quais decisões, compromissos e evidências devem ser transferidos ao próximo turno e ao responsável executivo?
O que foi escolhido, por qual função autorizada, com quais alternativas e consequências para os clientes? Identifique quem responde pela próxima ação.
Separe fatos fornecidos, premissas dos participantes e evidências ausentes. Registre o que será verificado, por quem e antes de qual decisão.
Transforme a análise posterior em ações
Identifique o que foi demonstrado na discussão, apenas declarado ou não abordado. Cite um registro ou uma ação observada; evite uma nota de prontidão sem fundamento.
Para cada lacuna, registre responsável, próxima ação, prazo e evidência necessária para verificar a conclusão. Mantenha visíveis as dependências pendentes.
Defina qual mudança ou ação concluída exige outro exercício e o que ele precisa demonstrar. Combine quem acompanhará o andamento.
As conclusões de uma discussão não comprovam que recuperação, detecção ou comunicação funcionarão em um incidente real. Verifique afirmações técnicas separadamente em testes autorizados. Guarde o registro baixado e revise as ações corretivas antes de declará-las concluídas.
Método e referências
Cenário e roteiro originais apoiados em referências primárias sobre exercícios. Não é um pacote oficial da CISA ou do NIST.