Tabletop-учения по ISO 27001: как проверить готовность руководства к киберинциденту до реальной атаки

У компании может быть утверждён план реагирования на киберинциденты, но в критический момент всё равно возникнут вопросы: кто вправе остановить продажи, кому сообщать об утечке и можно ли доверять резервной копии? Ответы лучше найти за столом переговоров, пока атака существует только на бумаге.

Tabletop-учение — это обсуждение смоделированного инцидента. Участники получают новые вводные и принимают решения так, словно события происходят сейчас. Серверы при этом не отключают, а реальные системы не атакуют. Такой формат помогает проверить взаимодействие ИТ, руководства, юристов и подразделений, отвечающих за клиентов.

Зачем руководству участвовать в учении

Техническая команда может определить источник атаки и предложить меры сдерживания. Но решение временно остановить сервис, предупредить крупного клиента или выделить средства на восстановление часто принимает руководство. Если порядок этих решений заранее не согласован, компания теряет время.

ISO/IEC 27001 рассматривает информационную безопасность как задачу всей организации, а не только ИТ-отдела. Tabletop-учение помогает проверить, работают ли принятые процессы при неопределённости и нехватке времени. Сам стандарт не следует трактовать как требование проводить учения в одном заданном формате: это практический способ проверить подготовку и улучшить реагирование.

Для компаний в Казахстане, Узбекистане, Грузии и Кыргызстане полезно включать в обсуждение местный офис, головную компанию и внешних поставщиков, если они участвуют в работе сервиса. Команда должна заранее понимать, кто принимает решение в каждой точке этой цепочки.

Как подготовить сценарий киберинцидента для руководства

Выберите ситуацию, связанную с реальными процессами бизнеса. Например, в понедельник утром сотрудники теряют доступ к системе заказов. ИТ-команда обнаруживает подозрительную активность в учётной записи подрядчика. Через двадцать минут появляется сообщение о возможной утечке клиентских данных. Подрядчик пока не отвечает, а отдел продаж получает первый звонок от клиента.

Хороший сценарий киберинцидента для руководства развивается поэтапно. На старте участникам известно не всё: сообщение об утечке ещё не подтверждено, объём затронутых данных не установлен, срок восстановления неясен. Именно при такой неполной картине руководителям приходится определять приоритеты.

Для первых tabletop учений по кибербезопасности достаточно одного сценария и нескольких последовательных вводных. В обсуждении стоит задействовать руководителя компании, ИТ и безопасность, юриста, ответственных за операции и коммуникации. Если значимую часть инфраструктуры обслуживает поставщик, проверьте также порядок связи с ним. CISA предлагает готовые материалы для организации подобных упражнений, в том числе сценарии для руководителей.

Какие решения нужно проверить

Ведущий учения задаёт вопросы, а участники отвечают, опираясь на действующие документы и реальные полномочия.

• Кто объявляет инцидент и собирает команду реагирования?
• Какие действия можно выполнить немедленно, а какие требуют решения руководителя?
• Кто связывается с облачным провайдером или подрядчиком, если обычный канал недоступен?
• Когда и на основании каких подтверждённых фактов компания сообщает о случившемся клиентам?
• Кто проверяет применимые договорные и местные требования к уведомлению?
• По каким условиям разрешается восстановить сервис и как убедиться, что угроза устранена?

Здесь полезно отделять известные факты от предположений. Фраза «вероятно, резервная копия цела» не равна результату проверки. Аналогично сообщение злоумышленника об утечке ещё не устанавливает, какие данные действительно были затронуты. Руководству нужен порядок принятия решений в условиях неопределённости, а специалистам — понятный способ быстро представить ему подтверждённую информацию.

Что делать после обсуждения

Ценность учения определяется изменениями после него. Зафиксируйте решения, задержки и вопросы, на которые команда не смогла ответить. Затем назначьте ответственных и сроки: обновить контакты подрядчиков, уточнить полномочия на остановку сервиса, проверить восстановление из резервной копии или подготовить порядок согласования сообщений клиентам.

Тема «ISO 27001 реагирование на инциденты» становится практически полезной тогда, когда план можно выполнить: сотрудники знают свои роли, руководство понимает последствия решений, а обнаруженные пробелы закрываются до кризиса. Рекомендации NIST также связывают подготовку, реагирование и восстановление с общим управлением киберрисками компании.

Начать можно с одного сценария, основанного на наиболее болезненном для бизнеса простое или возможной утечке. Материалы по системе менеджмента информационной безопасности и ISO/IEC 27001 представлены на сайте ISOCERT HUB. Само же учение даст компании конкретный результат: перечень решений, которые уже готовы к исполнению, и пробелов, над которыми нужно поработать.