4 min leestijd
Een tabletop-oefening toont wat uw plan vergeet
Op een vrijdag om 18 uur ontdekt de verantwoordelijke voor de planning van een industrieel bedrijf met 400 medewerkers op een bestandsserver hernoemde documenten en een losgeldeis. Het bedrijf is fictief, en die denkbeeldige avond hebben zes van zijn verantwoordelijken op een dinsdagochtend rond dezelfde tafel gespeeld, wat men een tabletop-oefening noemt. Er is geen enkel systeem aangeraakt en niemand haastte zich. In drie uur bracht de oefening toch hiaten aan het licht die het herlezen van het crisisplan nooit had getoond, en dat vermogen om te onthullen wat een plan vergeet maakt van de tabletop-oefening het goedkoopste voorbereidingsinstrument waarover men beschikt.
Drie uur rond een tafel
Het principe is snel uitgelegd. De mensen die echt in de crisiscel zouden zitten, hier de algemene directie, IT, productie, human resources, juridisch en communicatie, komen samen. Een begeleider kondigt aan wat er gebeurt, de groep zegt wat ze zou doen en de begeleider laat de situatie evolueren. In ons fictieve bedrijf verloopt de avond in kleine stappen. Om 18.10 uur wordt het losgeldbericht bevestigd. Om 18.25 uur schrijft de inkoopverantwoordelijke van een grote klant dat de automatische bestellingen van de week niet zijn aangekomen. Om 18.40 uur stelt de IT-dienstverlener vast dat ook de back-upserver is versleuteld. Om 19 uur belt een lokale journalist de telefoniste om te vragen of het bedrijf het slachtoffer is van een cyberaanval.
Elke informatie komt binnen wanneer de begeleider ze geeft, en niet wanneer de groep klaar is, wat dwingt om te beslissen met wat men weet. Die dwang, licht rond een tafel, volstaat om naar voren te brengen wat het rustig lezen van het plan in de schaduw liet.
Wat de oefening aan het licht brengt
Wat de groep die dinsdag ontdekt, lijkt op wat veel organisaties ontdekken. De lijst met crisiscontacten is verouderd: twee van de nummers nemen niet meer op. Niemand weet met zekerheid wie op een vrijdagavond een kritiek systeem mag afsluiten, omdat de productie in drie ploegen draait. De jurist verneemt het incident laat, om 19.30 uur, terwijl er al termijnen lopen. De algemene verordening gegevensbescherming (AVG) voorziet in een melding aan de autoriteit binnen 72 uur nadat men kennis heeft genomen van een inbreuk op persoonsgegevens, wanneer die vereist is, en de NIS2-richtlijn vraagt van de betrokken entiteiten een vroege waarschuwing binnen 24 uur voor een significant incident. In de zaal weet niemand bij wie de beslissing ligt om te melden, noch hoe laat het aftellen is begonnen.
Communicatie weet van haar kant niet wat ze de journalist mag zeggen, noch aan wie ze het moet vragen. Elk van die punten ziet er op zichzelf klein uit, en geen enkel stond in het plan als een risico. Toch hebben ze iets gemeen: ze zijn niet te zien in een document, ze zijn te zien wanneer iemand moet handelen. De oefening dwingt om elke zin van het plan in een handeling om te zetten. “De crisiscel wordt geactiveerd” wordt een concrete vraag: geactiveerd door wie, en hoe weten de anderen dat?
Hoe u de oefening zo leidt dat ze iets oplevert
Enkele keuzes bepalen de waarde van een oefening. De eerste is het scenario: ransomware die op een vrijdagavond op bestandsservers wordt ontdekt, zegt de deelnemers meer dan een onwaarschijnlijke staatsaanval, omdat ze zich erin kunnen verplaatsen. De tweede is het doel, dat meteen aan het begin moet worden bepaald: men test de besluitvorming en de coördinatie, niet de personen, en iedereen moet “ik weet het niet” kunnen zeggen zonder dat het hem wordt aangerekend. De derde is de verdeling van de rollen, die wordt toevertrouwd aan wie ze echt zou vervullen, want een directeur die de technicus speelt, leert niets over zijn eigen functie.
De begeleider, ten slotte, bewaakt de tijd en maakt notities. Meteen na de laatste informatie volgt een nabespreking waarin de groep zegt wat werkte en wat niet, en voor elk hiaat een actie, een verantwoordelijke en een datum vastlegt. Die laatste stap wordt het vaakst afgeraffeld, terwijl ze het grootste deel van de waarde draagt: een bevinding zonder verantwoordelijke is binnen een maand vergeten.
De beperkingen, en wat erna komt
De tabletop-oefening heeft beperkingen die men best kent. Een goed scenario voorbereiden kost meerdere werkdagen, en de notities van de begeleider zijn vaak het enige spoor van wat er is gezegd. Vooral zegt een groep die in een rustige zaal bijeen is wat ze zou doen, en dat is niet wat ze doet om drie uur ’s nachts met veertig berichten in de wachtrij: het gesprek komt soms in de plaats van de actie, en de luidste stem van de groep beslist uiteindelijk voor de anderen. Ten slotte oefent men meestal één keer per jaar, waardoor een plan tussen twee proeven elf maanden kan verouderen.
Die beperkingen doen niets af aan het nut ervan, ze wijzen aan wat erbij moet komen. Na de oefening wordt elke bevinding een actie, wordt het plan herlezen en wordt een deel van de avond enkele weken later opnieuw gespeeld om te controleren of de oplossing standhoudt. Voor het fictieve bedrijf betekent dat een vernieuwde contactenlijst, een benoemde verantwoordelijke voor de melding en een klaarliggende zin voor de journalist. Het is weinig, en het is precies wat die vrijdag om 18 uur ontbrak.