# Exercício de mesa de ransomware para a liderança https://pt.kinlevi.com/resources/ransomware-tabletop-exercise Use este cenário original para examinar a coordenação em condições de incerteza. O objetivo é revelar falta de autoridade, premissas sem evidência e dependências de recuperação. A concordância na reunião demonstra que houve uma discussão; ela não comprova que um controle técnico ou uma restauração funciona. ## Prepare a sessão - Escolha um facilitador para apresentar as atualizações e um observador para registrar o que os participantes realmente fazem. Inclua as funções de coordenação do incidente, segurança, operação de plataforma, negócio e comunicação. - Delimite um serviço e a versão do plano de resposta exercitada. Traga a matriz de decisões, contatos e um mapa de dependências. Use nomes e materiais fictícios. - Reserve cerca de 90 minutos como sugestão de planejamento: 10 para acordar o escopo, 60 para quatro rodadas e 20 para a análise posterior. Ajuste o ritmo aos objetivos; não avalie os participantes apenas pela velocidade. ## Limites do exercício e critérios de interrupção - Este é um exercício de discussão. Não altere acessos em produção, execute arquivos, envie mensagens externas ou use registros reais de clientes para encenar o cenário. - Qualquer participante pode pausar se uma ação proposta atingir um sistema real ou exceder o escopo acordado. Resolva esse limite antes de continuar. - Se ocorrer um incidente operacional real, interrompa o exercício e siga o processo de resposta efetivo. Identifique claramente as anotações e mensagens simuladas. ## Situação inicial fictícia Um fornecedor B2B depende de um serviço de confirmação de pedidos no período de maior movimento de entregas. Clientes relatam falhas e a equipe não consegue identificar quais pedidos foram aceitos. A causa e o escopo afetado são desconhecidos. As atualizações abaixo são materiais fictícios apresentados pelo facilitador, sem descrever uma organização real. ## Serviço, participantes e escopo do exercício Registre serviço, versão do plano, facilitador, observador, funções participantes e limites acordados. [Preencha durante o exercício] ## Apresente as atualizações em sequência Abra uma rodada por vez. Cada intervalo de 15 minutos orienta a facilitação e não estabelece um prazo de resposta. Registre a escolha, sua autoridade, as evidências disponíveis e a próxima verificação antes de avançar. ### 00 min — Interrupção do serviço O serviço de pedidos está indisponível. O suporte recebeu três relatos de clientes, mas não há contagem confiável de pedidos afetados. O líder habitual do incidente não pode ser contatado. - Quem declara o incidente, assume a coordenação e aciona o substituto? - O que é necessário saber antes de optar por pedidos manuais ou suspender novos pedidos? #### Decisão, autoridade e raciocínio O que foi escolhido, por qual função autorizada, com quais alternativas e consequências para os clientes? Identifique quem responde pela próxima ação. [Preencha durante o exercício] #### Lacunas de evidência e próxima verificação Separe fatos fornecidos, premissas dos participantes e evidências ausentes. Registre o que será verificado, por quem e antes de qual decisão. [Preencha durante o exercício] ### 15 min — Uma alegação de extorsão não verificada O facilitador apresenta uma nota de resgate simulada e um relato de sessão privilegiada incomum. Ainda não há evidência que demonstre roubo de dados ou todo o escopo do acesso. - Qual contenção está autorizada e que evidências essa ação pode eliminar? - Quem avalia a alegação e mantém a comunicação com os clientes precisa enquanto sua validade é desconhecida? #### Decisão, autoridade e raciocínio O que foi escolhido, por qual função autorizada, com quais alternativas e consequências para os clientes? Identifique quem responde pela próxima ação. [Preencha durante o exercício] #### Lacunas de evidência e próxima verificação Separe fatos fornecidos, premissas dos participantes e evidências ausentes. Registre o que será verificado, por quem e antes de qual decisão. [Preencha durante o exercício] ### 30 min — Uma dependência de recuperação O inventário de backups lista uma cópia recente, mas sua restauração não foi demonstrada neste exercício. A recuperação também depende de um serviço de identidade cuja confiabilidade está em dúvida. A operação pede um reinício rápido. - Quais evidências são necessárias antes de restaurar identidades, dados e serviço? - Quem aceita uma operação restrita e que condição de monitoramento ou reversão exige interrompê-la? #### Decisão, autoridade e raciocínio O que foi escolhido, por qual função autorizada, com quais alternativas e consequências para os clientes? Identifique quem responde pela próxima ação. [Preencha durante o exercício] #### Lacunas de evidência e próxima verificação Separe fatos fornecidos, premissas dos participantes e evidências ausentes. Registre o que será verificado, por quem e antes de qual decisão. [Preencha durante o exercício] ### 45 min — Pressão para comunicar Um cliente importante pede previsão de restauração e um jornalista menciona uma captura de tela não verificada. O próximo turno está chegando com um registro de decisões incompleto. - Quem aprova um comunicado que explique impacto e incerteza sem promessas não sustentadas? - Quais decisões, compromissos e evidências devem ser transferidos ao próximo turno e ao responsável executivo? #### Decisão, autoridade e raciocínio O que foi escolhido, por qual função autorizada, com quais alternativas e consequências para os clientes? Identifique quem responde pela próxima ação. [Preencha durante o exercício] #### Lacunas de evidência e próxima verificação Separe fatos fornecidos, premissas dos participantes e evidências ausentes. Registre o que será verificado, por quem e antes de qual decisão. [Preencha durante o exercício] ## Transforme a análise posterior em ações ### Pontos fortes e lacunas observados Identifique o que foi demonstrado na discussão, apenas declarado ou não abordado. Cite um registro ou uma ação observada; evite uma nota de prontidão sem fundamento. [Preencha durante o exercício] ### Ações corretivas e verificação Para cada lacuna, registre responsável, próxima ação, prazo e evidência necessária para verificar a conclusão. Mantenha visíveis as dependências pendentes. [Preencha durante o exercício] ### Critério para novo exercício Defina qual mudança ou ação concluída exige outro exercício e o que ele precisa demonstrar. Combine quem acompanhará o andamento. [Preencha durante o exercício] As conclusões de uma discussão não comprovam que recuperação, detecção ou comunicação funcionarão em um incidente real. Verifique afirmações técnicas separadamente em testes autorizados. Guarde o registro baixado e revise as ações corretivas antes de declará-las concluídas. ## Método e referências Cenário e roteiro originais apoiados em referências primárias sobre exercícios. Não é um pacote oficial da CISA ou do NIST. - [CISA — Tabletop Exercise Package Documents](https://www.cisa.gov/resources-tools/resources/ctep-package-documents) - [NIST SP 800-84 — Test, Training, and Exercise Programs](https://csrc.nist.gov/pubs/sp/800/84/final) - [NIST SP 800-61 Rev. 3 — Incident Response Recommendations](https://csrc.nist.gov/pubs/sp/800/61/r3/final)