Посібник з організації та проведення командно-штабних навчань (TTX) у сфері кібербезпеки

ПОСІБНИК З ОРГАНІЗАЦІЇ ТА ПРОВЕДЕННЯ КОМАНДНОШТАБНИХ НАВЧАНЬ (TTX) У СФЕРІ КІБЕРБЕЗПЕКИ

Посібник створено завдяки підтримці, наданій Агентством США з міжнародного розвитку, в рамках Проєкту USAID "Кібербезпека критично важливої інфраструктури України". Посібник та його результати не обов'язково відображають погляди Агентства США з міжнародного розвитку або Уряду США.

У посібнику розглядаються базові кроки з організації та проведення командно-штабних навчань, зокрема, принципи визначення учасників навчань, вибір фасилітаторів та спостерігачів, створення сценарію, підготовка роздаткових матеріалів, проведення підсумкової сесії з обговорення. Наведено приклади кібератак, що можуть бути основою сценарію, та критерії вибору сценарію. У додатках викладено зразки документів як-то інструкції для спостерігачів / протоколістів, таблиці для фіксації подій, шаблон зворотного зв’язку тощо. Розраховано на співробітників органів державної влади, CDTO / CISO, викладачів, усіх, хто цікавиться організацією та проведенням командно-штабних навчань.

ПОСІБНИК З ОРГАНІЗАЦІЇ ТА ПРОВЕДЕННЯ КОМАНДНОШТАБНИХ НАВЧАНЬ (TTX) У СФЕРІ КІБЕРБЕЗПЕКИ

ЗМІСТ Як використовувати цей посібник Вступ З чого складається TTX Ключові кроки на шляху до підготовки та проведення ТТХ Цілі та призначення командно-штабних навчань національного рівня Визначення конкретних цілей і завдань проведення ТТХ Приклади кількісних чи якісних показників та критеріїв оцінювання Розроблення сценарію TTX (покрокова інструкція) Визначення типу кібератаки для сценарію Вибір сценарію (основна частина) Як створювати ввідні / зміни тактичної обстановки? Необов’язкове «глибоке занурення» (деталізована частина) Підготовка команди до командно-штабних навчань на національному рівні Створення групи з планування TTX національного рівня: як її організувати, кого долучити, що вона робить? Відбір фасилітаторів Роль головного фасилітатора Завдання головного фасилітатора під час ТТХ Завдання головного фасилітатора після TTX Завдання фасилітатора (групи) під час ТТХ Завдання всіх фасилітаторів після TTX Роль спостерігача / протоколіста Завдання спостерігачів / протоколістів під час ТТХ Завдання спостерігача / протоколіста після TTX Роль експерта-консультанта Заходи перед проведенням TTX (підготовка) Завдання експерта-консультанта під час TTX (участь) Завдання експерта-консультанта після TTX (експертна підтримка) Визначення учасників Представники, участь яких є обов’язковою Представники галузей, участь яких є необов’язковою Представники, що надають додаткову підтримку під час вправ, участь яких є необов’язковою Роль учасника під час вправи Обов’язки присутніх Групування учасників Підготовка роздаткових матеріалів Визначення місця проведення Запрошення учасників Процес TTX Як розпочати TTX? Покрокова інструкція Створення сприятливого середовища ВСТУП

7 9 9 10 11 12 14 19 21 23 24 26 31 31 32 34 35 36 36 37 38 38 39 39 40 40 41 43 43 44 44 47 47 47 49 53 57 59 59 60 5

Зворотний зв’язок Збір зворотного зв’язку після проведення навчань: Розбір навчань після їх проведення / Завершення вправи (Hotwash) Сесія підбиття підсумків Аналіз результатів проведених заходів (обговорення спостережень та засвоєного досвіду) Підготуйте проєкт підсумкового звіту з аналізом результатів проведених заходів / плану вдосконалення Розроблення плану дій для вдосконалення Представте висновки, план дій та рекомендації Реалізація плану дій для вдосконалення Заходи щодо впровадження результатів командно-штабних навчань Додаток 1. Інструкції щодо заповнення опитувальника TTX стосовно дотримання вимог Що таке опитувальник щодо дотримання вимог у кібербезпеці? Опитувальник, частина 1: Виявлення інцидентів Опитувальник, частина 2: Управління інцидентами Додаток 2. Сценарій Геостратегічна ситуація в регіоні Загальна обстановка. Грудень Оперативна ситуація, частина 1: Ранок понеділка Сценарій, частина 1: Обізнаність і підготовка Сценарій, частина 1А — Поінформованість щодо інциденту Сценарій, частина 1B — Програмне забезпечення, що є об’єктом атаки Сценарій, частина 1C — Готовність інфраструктури Ввідна № 1 Оперативна ситуація, частина 2: Із вечора понеділка Сценарій, частина 2: Незначна пряма атака Сценарій, частина 2A — Поінформованість щодо незначної прямої атаки Сценарій, частина 2B — Реагування на інциденти Сценарій, частина 2C — Відновлення після інциденту Ввідна № 2 Оперативна ситуація, частина 3: П’ятниця по обіді — 4 тижні по тому Сценарій, частина 3: Серйозна пряма атака Сценарій, частина 3A — Ініціювання прямої атаки Сценарій, частина 3B — Розгортання шкідливого програмного забезпечення із застосуванням шифрування Сценарій, частина 3C — Рішення щодо відключення мережі Сценарій, частина 3D — Безперервність ділової активності та зовнішні комунікації Сценарій, частина 3E — Порушення в роботі медіа та викрадення даних Сценарій, частина 3F — Повернення контролю Додаток 3. Інструкції для спостерігачів / протоколістів Додаток 4. Приклад листа-запрошення на ТТХ Додаток 5. Шаблон зворотного зв’язку Додаток 6. Таблиці для фіксації подій сценаріїв Додаток 7. Шаблон аналізу результатів проведених командно-штабних навчань або вправи

63 63 65 67 67 68 68 69 71 71 75 76 77 80 85 85 86 86 87 87 87 88 88 88 88 88 89 89 90 90 90 90 91 91 91 92 92 95 99 101 105 119

Як використовувати цей посібник Цей посібник має дві основні цілі. Перша полягає в тому, щоб докладно описати процес планування, проведення та оцінювання командно-штабних навчань (ситуаційних вправ). Це довідковий інструмент для організаторів і фасилітаторів TTX. Основний акцент робиться на підготовці до міжвідомчих навчань, де ключовим завданням є спільна координація різних відомств і спільне прийняття рішень. Друга ціль полягає у використанні цього посібника як навчального матеріалу для спеціалістів з управління надзвичайними ситуаціями, а також для організацій, команд, установ і відомств, які беруть участь у заходах із забезпечення готовності та реагування. У цьому посібнику ви знайдете основні кроки, компоненти і кращі практики для ефективного моделювання та тестування сценаріїв надзвичайних ситуацій у контрольованому середовищі. Результати навчань подаються у форматі резюме, щоб допомогти вам удосконалити наявну систему і приймати рішення на основі обговорень і висновків, які записані в таблицях для фіксації подій сценаріїв у рамках аналізу результатів проведених заходів. Крім того, наприкінці посібника є шаблони для заповнення, щоб забезпечити повноту інформації та сприяти успішному проведенню комплексних вправ.

8

ВСТУП

ВСТУП Командно-штабні навчання (англ. — Tabletop Exercise, TTX), або ситуаційна вправа в кібербезпеці, — це моделювання сценарію або рольової симуляції, під час якої учасники збираються разом для обговорення та практики реагування на різноманітні інциденти або кризові ситуації. Учасники крок за кроком розглядають гіпотетичний інцидент кібербезпеки, обговорюють свої дії, рішення та стратегію комунікації. Командно-штабні навчання є цінним інструментом для міжвідомчої взаємодії, організацій та окремих департаментів, що дозволяє перевірити й удосконалити можливості реагування на інциденти за відсутності шкідливих наслідків реального кіберінциденту. ТТХ допомагають виявити прогалини у знаннях, комунікації та координації, що дає змогу відомствам краще підготуватися до загроз кібербезпеки та пом’якшити можливі наслідки інцидентів. Водночас вправи можуть бути використані для навчання персоналу, оцінювання ефективності політик і процедур, а також для розуміння кожним співробітником організації своєї ролі, функцій та обов’язків під час кіберінцидентів. Учасників проситимуть відсторонитися від реальності та не боротися зі сценарієм. Часто в реальному житті стаються події, які не розвиваються так, як це початково очікувалося. Мета цієї вправи — не суперечка про те, чи могла статися певна ситуація, а дослідження, як учасники будуть реагувати у разі, якщо це дійсно відбудеться. Якщо учасники намагаються боротися зі сценарієм, пропонуємо одне із запитань, яке може змістити фокус їхньої уваги: «Якби все сталося саме так, як описано, то що б мало відбутися, щоб такий розвиток подій був можливим?». Командно-штабні навчання — це не тест чи перевірка, де вам ставлять оцінку. Це можливість відпрацювати процес прийняття рішень у безпечних умовах. У реальних ситуаціях, коли емоції зашкалюють, інформації не вистачає та й час працює проти вас, чіткі підготовлені рішення зменшують час на відновлення. Це можливість навчитися на практиці та, виявивши проблемні аспекти, вдосконалити процеси, процедури та технології.

З чого складається TTX Підготовка сценарію: Команда організаторів розробляє вигаданий сценарій кіберінциденту. Цей сценарій може передбачати витік даних, атаку програм-вимагачів, атаку з використанням інструментів соціальної інженерії або будь-який інший тип кіберінциденту, який може статися. Визначення ролей учасників: Учасникам відводять конкретні ролі, що відображають їхні реальні обов’язки. Вкрай важливо, щоб представником вашого відомства чи управління був керівник вищого рівня, в якого є досвід планування на випадок надзвичайних ситуацій. Можна забезпечити надання підтримки з боку спеціаліста-консультанта, наприклад, фахівця з реагування на інциденти, експерта з ІТ або кібербезпеки. Призначте спостерігача / протоколіста для ведення записів, який зможе вільно документувати те, що відбувається під час ВСТУП

9

вправи, використовуючи надані таблиці для фіксації подій сценарію. Кожен учасник самостійно несе відповідальність за розуміння своєї ролі та обов’язків під час вправи. Обговорення та прийняття рішень: Навчання розпочинається з того, що фасилітатор презентує учасникам сценарій. З розвитком сценарію учасники обговорюють і приймають рішення щодо реагування на інцидент. Вони можуть обговорювати технічні дії, юридичні аспекти, задачі комунікації та інші важливі аспекти реагування на інцидент. Розвиток сценарію: Головний фасилітатор окреслює сценарій та керує процесом вправи для всіх учасників. Фасилітатори (якщо обговорення відбувається в декількох групах одночасно) контролюють темп проходження навчань для кожної групи і під час міжгрупової взаємодії, презентують нові події та виклики разом із розвитком сценарію. Це називається «ввідні» (англ. — Injects), і вони можуть включати виявлення нової інформації про інцидент, отримання розвідданих про загрози або несподівані перешкоди. Документування (фіксація): Під час усієї вправи спостерігачі / протоколісти документують рішення, вжиті заходи та засвоєний досвід у таблицях для фіксації подій сценарію. Таке документування є надзвичайно важливим для оцінювання ефективності реагування та визначення можливостей для вдосконалення. Аналіз результатів проведених заходів (англ. — After-Action Review, AAR): Зазвичай, коли вправа закінчується, проводиться підбиття підсумків, під час якого учасники і спостерігачі обговорюють, що пройшло добре, що можна було б зробити краще і який досвід було засвоєно. Цей обмін думками і досвідом допомагає на міжвідомчому рівні, а також на рівні організацій чи навіть окремих департаментів удосконалити плани і процедури реагування на інциденти кібербезпеки.

Ключові кроки на шляху до підготовки та проведення ТТХ Цей посібник складається з розділів, в яких послідовно викладаються основні етапи підготовки, проведення та звітування для командно-штабних навчань національного рівня. Наведені нижче кроки і зміст кожного розділу можна розглядати як набір контрольних списків з відповідними вказівками, шаблонами та прикладами для систематичного проведення успішних TTX. Крок 1: Перегляньте документи, зокрема звіти за результатами попередніх навчань, якщо такі є. Крок 2: Визначте склад групи планування навчань. Крок 3: Розробіть проєкт сценарію. Крок 4: Визначте учасників. Крок 5: Підготуйте роздаткові матеріали. Крок 6: Визначте місце проведення. Крок 7: Відправте запрошення, а також оцініть потребу у проведенні підготовчих навчань для майбутніх учасників. Крок 8: Надайте матеріали учасникам заздалегідь.

10

ВСТУП

Крок 9: Проведіть командно-штабні навчання. Крок 10: Підготуйте проєкт підсумкового звіту з аналізом результатів проведених заходів / Плану вдосконалення. Крок 11: Підготуйте остаточний підсумковий звіт з аналізом результатів проведених заходів / План удосконалення та поширте його. Для підготовки змістовної частини і як посилання було використано матеріали, опубліковані CISA. Повну бібліотеку з Пакетами ситуаційних вправ CISA та ресурсів розміщено у вільному доступі за цим посиланням.*

Цілі та призначення командно-штабних навчань національного рівня Мета командно-штабних навчань національного рівня полягає у відпрацюванні сценаріїв та оцінюванні реагування держави на серйозну та складну кризову ситуацію, пов’язану з кіберінцидентом. Ці навчання є важливими симуляціями, які передбачають участь різних державних установ, організацій та зацікавлених сторін, і мають кілька ключових завдань із конкретними цілями та результатами. Проведення національних TTX спрямоване на: 1.

Підвищення готовності. За допомогою командно-штабних навчань на міжвідомчому рівні та на рівні організацій можуть бути визначені сильні та слабкі сторони планів, процедур, а також спроможності з реагування на надзвичайні ситуації. Цей посібник сприяє вдосконаленню проєктування та виконання реалістичних сценаріїв, допомагаючи учасникам відпрацювати свої ролі та обов’язки, протестувати процеси прийняття рішень і підвищити загальну готовність до надзвичайних ситуацій.

2. Підтримку співпраці та координації. TTX дають можливість різним зацікавленим сторонам та командам об’єднатися, обмінюватися інформацією та співпрацювати в умовах надзвичайної ситуації, що симулюється. У посібнику підкреслюється важливість координації та комунікації між учасниками з різних установ і секторів, що сприятиме згуртованому та ефективному реагуванню.

3. Посилення наявних кращих практик координації та реагування на інциденти. Командно-штабні навчання створюють цінні можливості для практики та вдосконалення механізмів координації, поліпшення планів реагування на інциденти і підвищення рівня обізнаності учасників у сфері кібербезпеки.

4. Визначення можливостей для вдосконалення. Цей посібник скеровуватиме процес оцінювання інформаційно-комунікаційних систем, прийняття рішень, управління ресурсами, логістику та процедури реагування, що допомагатиме удосконалити стратегії та підсилити спроможності.

5. Посилення процесу прийняття рішень та лідерства. TTX дозволяють учасникам відпрацювати навички прийняття критично важливих рішень в умовах тиску та невизначеності. Посібник акцентує увагу на оцінюванні процесів прийняття рішень і ефективності управлінських функцій, що допомагає на міжвідомчому рівні й на рівні організацій визначити сильні та слабкі сторони структур управління та лідерських навичок. *https://www.cisa.gov/resources-tools/services/cisa-tabletop-exercise-packages

ВСТУП

11

6. Популяризація навчання та постійного вдосконалення. TTX заохочують на міжвідомчому рівні й на рівні організацій документувати спостереження, засвоєний досвід і потенційні покращення під час та після навчань. Аналізуючи ці спостереження, учасники можуть розробити плани дій для підвищення готовності та здатності реагування на загрози, сприяючи розвитку культури постійного вдосконалення.

Визначення конкретних цілей і завдань проведення ТТХ Визначення конкретних цілей і завдань для навчань базується на кращих практиках, відпрацьованих під час попередніх заходів, а також наявному ландшафті кіберзагроз, з яким стикається держава та її суб’єкти. Серед традиційних цілей ТТХ можна виокремити такі: Перевірити ефективність планів, політик і процедур, включаючи Політику кібербезпеки, Плани реагування на критично важливі інциденти, Плани безперервності ділової активності (англ. — Business Continuity Plans), а також Процедури та плани з комунікації. Оцінити рівень співпраці між відомствами та установами відповідно до чинних планів і процедур. Перевірити стійкість і наявність достатніх ресурсів для реагування на серйозні кібератаки загальнонаціонального рівня та управління ними. Перевірити на практиці концепції пом’якшення ризиків та підвищення стійкості до кібератак загальнонаціонального рівня. Командно-штабні навчання можуть бути спрямовані на глибше вивчення технічних, процедурних і навіть політичних аспектів для забезпечення повноти, точності та актуальності реагування на інциденти. Звичайні артефакти, отримані в результаті практичних занять, включають, але не обмежуються таким: Аналіз результатів проведених заходів. Плани дій для вдосконалення кібербезпеки. Плани та посібники щодо реагування на інциденти, управління та комунікації. Покращені заходи та процедури з кіберстійкості. Плани розвитку та вдосконалення процесів кібербезпеки. Плани відновлення після збоїв. Плани безперервності ділової активності. До початку проведення навчань майбутнім учасникам рекомендується заповнювати опитувальники з Додатка 1. Отримана з анкет інформація надасть детальний огляд можливостей кожного відомства, що бере участь у навчаннях. Ця інформація може бути корисною як для підготовки до навчань, так і для формування звітів після їх завершення. Визначення конкретних цілей і завдань для національних командно-штабних навчань з кібербезпеки вимагає системного підходу для забезпечення відповідності навчань пріоритетам і цілям державної політики з кібербезпеки. Результати попередніх навчань, підкріплені відповідями на анкету, є основою для розроблення надійних підходів до пом’якшення наслідків та підвищення стійкості на основі реалістичних сценаріїв TTX. Відпрацювання планів дій із кібербезпеки, проведення 12

ВСТУП

ТТХ і включення актуальної інформації з анкети до ТТХ підтримують чіткі та ефективні цілі й завдання, такі як: 1.

Розуміння національних пріоритетів кібербезпеки: Починайте з аналізу поточних пріоритетів, стратегій та політик країни в галузі кібербезпеки. Визначте ключові виклики, загрози та сфери, які потребують особливої уваги на національному рівні. Проконсультуйтеся з державними установами, експертами з кібербезпеки та зацікавленими сторонами для отримання загальної картини.

2. Залучення зацікавлених сторін: Створіть робочу групу, в яку включіть представників державних установ, різних галузей економіки, наукових кіл та громадянського суспільства. Беріть участь у дискусіях та семінарах для визначення найбільш важливих та нагальних проблем у сфері кібербезпеки.

3. Оцінювання загроз: Оцініть еволюцію ландшафту кіберзагроз, враховуючи ризики для національних держав, кіберзлочинність і нові ризики. Розгляньте потенційний вплив кіберінцидентів на національну безпеку, критичну інфраструктуру та економіку.

4. Огляд нормативно-правової бази: Дослідіть нормативно-правову базу, пов’язану з кібербезпекою, захистом даних та реагуванням на інциденти. Переконайтеся, що цілі TTX відповідають правовим і регуляторним вимогам, а також узгоджуються із загальною національною стратегією кібербезпеки та сприяють досягненню довгострокових цілей у сфері кібербезпеки.

5. Визначення сфери застосування і масштабу навчань: Подумайте, на чому будуть зосереджені навчання: на конкретній галузі, регіоні або на загальнонаціональних викликах кібербезпеки? Визначте розмах змодельованого сценарію і його вплив.

6. Визначення основних цілей: Визначте конкретні цілі для TTX, враховуючи інформацію, яку отримали від зацікавлених сторін у процесі оцінювання загроз і нормативно-регуляторних вимог. Цілі повинні бути чіткими, вимірюваними та безпосередньо пов’язаними з удосконаленням кібербезпеки країни.

7. Визначення пріоритетності цілей: Пріоритезуйте визначені цілі на основі їх важливості й актуальності для національної кібербезпеки. Зосередьтеся на цілях, спрямованих на усунення критичних вразливостей, посилення спроможностей реагувати на інциденти, і тих, що узгоджені зі стратегічними цілями держави.

8. Врахування реалістичності сценарію: Переконайтеся, що в контексті сценарію TTX цілі є досяжними. Сценарій слід розробити так, щоб перед учасниками виклики поставали у спосіб, який допомагатиме досягти визначених цілей.

9. Консультування з експертами та фахівцями-практиками: Зверніться за консультацією до експертів з кібербезпеки, команд, служб і спеціалістів, що забезпечують реагування на інциденти, та фахівців-практиків, ВСТУП

13

які мають досвід протидії кіберзагрозам національних держав. Вони можуть надати цінну інформацію та досвід для розроблення реалістичних цілей.

10. Узгодження із зацікавленими сторонами: Презентуйте визначені цілі та завдання зацікавленим сторонам (в ідеалі тим, хто входить до групи планування ТТХ), отримайте підтвердження згоди та зворотний зв’язок. Переконайтеся, що цілі відображають консенсус між ключовими учасниками.

11. Документування та донесення інформації про цілі: Чітко задокументуйте сформульовані цілі та завдання і доведіть їх до відома всіх учасників TTX: фасилітатора, гравців та спостерігачів.

12. Встановлення кількісних чи якісних показників та критеріїв оцінювання: Визначте вимірювані кількісні чи якісні показники та критерії оцінювання для кожної цілі, щоб оцінити успішність TTX. Ці критерії мають допомогти визначити, чи було досягнуто під час вправи запланованих результатів (детальний опис наведено нижче).

13. Документоване обґрунтування: Надайте чітке обґрунтування кожної цілі, пояснюючи її важливість і внесок у вирішення проблем національної кібербезпеки, а також описуючи, як її досягнення сприятиме безпеці та стійкості країни. Дотримуючись цих кроків, ви зможете систематично підійти до розроблення, узгодження та визначення цілей і завдань для ефективного проведення TTX із кібербезпеки на національному рівні, що безпосередньо впливає на підвищення рівня готовності та спроможності до реагування.

Приклади кількісних чи якісних показників та критеріїв оцінювання Нижче наведено кілька прикладів кількісних чи якісних показників та критеріїв оцінювання для TTX національного рівня. Рекомендується зіставляти відповіді на основі зворотного зв’язку з учасниками TTX через опитування або інтерв’ю. Використовуйте шкалу Лайкерта (англ. — Likert Scale, шкала сумарних оцінок) з градаціями від 1 до 5: наприклад, де 1 — «повністю не згоден(на)» і 5 — «повністю згоден(на)» для забезпечення статистичного аналізу. Додайте поле для приміток та додаткових коментарів, щоб оцінити загальну ефективність ТТХ і визначити сфери, які потребують удосконалення в системі національного реагування. Ціль 1: Тестування координації національного реагування на кризові ситуації Показник 1: Своєчасність міжвідомчої комунікації. Виміряйте час, який необхідний ключовим суб’єктам кібербезпеки та профільним департаментам для встановлення ефективних каналів комунікації та ініціації координованих заходів із реагування. Показник 2: Ефективність командної структури. Оцініть ефективність національної структури управління інцидентом у прийнятті рішень та розподілі ресурсів під час змодельованої кризової ситуації. Ціль 2: Перевірка національного реагування на інциденти кібербезпеки Показник 1: Виявлення та сповіщення про кіберінциденти. Виміряйте час, який не14

ВСТУП

обхідний основним суб’єктам кібербезпеки для виявлення та сповіщення про змодельований кіберінцидент. Порівняйте цей час із попередньо визначеними контрольними показниками та галузевими стандартами. Показник 2: Локалізація інциденту. Оцініть ефективність національних заходів із кібербезпеки щодо локалізації та пом’якшення наслідків змодельованої кібератаки. Оцініть масштаб і серйозність порушення систем безпеки. Ціль 3: Оцінювання стійкості об’єктів національної критичної інфраструктури Показник 1: Час відновлення інфраструктури. Виміряйте час, необхідний для відновлення національної критичної інфраструктури, такої як електромережі, телекомунікації або транспортні системи, до робочого стану. Показник 2: Виявлення вразливостей інфраструктури. Виявіть вразливості в системах критичної інфраструктури та оцініть ефективність національних заходів із забезпечення стійкості та захисту для пом’якшення загроз. Ціль 4: Оцінювання національного обміну інформацією і розвідданими Показник 1: Ефективність обміну розвідувальною інформацією. Оцініть ефективність національних розвідувальних служб при обміні своєчасною і актуальною розвідувальною інформацією про загрози з відповідними зацікавленими сторонами. Показник 2: Реагування в рамках боротьби з тероризмом. Оцініть здатність країни реагувати на змодельовані терористичні загрози, включаючи початок роботи органів правопорядку і контртерористичних підрозділів на місці інциденту і координацію з міжнародними партнерами. Ціль 5: Оцінювання мобілізації національних ресурсів Показник 1: Час розгортання ресурсів. Виміряйте час, необхідний для мобілізації та розгортання необхідних ресурсів, включаючи персонал, обладнання та матеріально-технічні засоби, у районах, що постраждали під час кризової ситуації. Показник 2: Наявність достатньої кількості ресурсів. Оцініть, чи є достатньою кількість і тип ресурсів, необхідних для задоволення потреб, що визначені у сценарії. Ціль 6: Тестування злагодженості комунікації та поширення інформації Показник 1: Своєчасність комунікації з громадськістю. Оцініть своєчасність комунікації з громадськістю та поширення інформації на національному рівні під час змодельованої кризової ситуації, включаючи оприлюднення офіційних заяв. Показник 2: Точність інформації. Оцініть точність і достовірність інформації, що надається громадськості та ЗМІ, з метою мінімізації дезінформації та плутанини. Ціль 7: Оцінювання міжнародного співробітництва та координації Показник 1: Міжнародне партнерство. Оцініть ефективність співпраці та координацію країни з міжнародними партнерами, включаючи сусідні країни, міжнародні організації та альянси. Показник 2: Сумісність. Оцініть здатність національних відомств безперешкодно спілкуватися та співпрацювати з міжнародними партнерами, за потреби обмінюючись інформацією та ресурсами. Ціль 8: Додержання правових та регуляторних стандартів Показник 1: Додержання правових норм. Оцініть те, як держава дотримується відповідних національних та міжнародних законів і нормативних актів під час реагування на кризову ситуацію, включаючи права людини та гуманітарні принципи. Показник 2: Звітність. Оцініть точність і своєчасність подання необхідної звітності, включаючи будь-які повідомлення про інциденти або документацію щодо виконання вимог. ВСТУП

15

Ціль 9: Оцінювання підсумкової звітності після проведення навчань Показник 1: Якість підсумкового звіту з аналізом результатів проведених заходів (англ. — After-Action Review, AAR). Проаналізуйте якість підсумкового звіту, підготовленого після TTX, оцінюючи його повноту, чіткість і практичні рекомендації. Показник 2: Впровадження рекомендацій підсумкового звіту. Відстежте впровадження рекомендацій з попередніх AAR за результатами TTX та оцініть ступінь їх виконання. Ці кількісні чи якісні показники та критерії оцінювання мають бути адаптовані до конкретних цілей і сценаріїв TTX на національному рівні.

16

ВСТУП

ВСТУП

17

18

РОЗРОБЛЕННЯ СЦЕНАРІЮ TTX (ПОКРОКОВА ІНСТРУКЦІЯ)

РОЗРОБЛЕННЯ СЦЕНАРІЮ TTX (ПОКРОКОВА ІНСТРУКЦІЯ) Створення проєкту сценарію для проведення командно-штабних навчань є ключовим етапом у підготовці успішних вправ із кібербезпеки. Сценарій розробляється на основі планів дій, аналізу результатів проведених попередніх аналогічних заходів та за наявності результатів анкетування (див. Додаток 1). Належний сценарій має бути реалістичним та захопливим, а також відповідати поставленим навчальним цілям.

1.

Визначте цілі навчань: Розпочніть із чіткого визначення конкретних цілей TTX. Які проблемні питання або виклики кібербезпеки ви хочете розглянути або перевірити під час вправи? Такі цілі будуть визначати напрям розроблення сценарію.

2. Визначте завдання сценарію: Необхідно зважати на такі аспекти, як тип кіберінциденту (наприклад, витік даних, атака програми-вимагача, інсайдерська загроза), уражені системи, потенційний вплив та будь-які обмеження чи перешкоди.

3. Оберіть реалістичний інцидент: Оберіть тип інциденту, який відповідає вашим цілям та сучасному ландшафту кібербезпеки. Важливо, щоб сценарій відображав реальні типи загроз, з якими можуть стикнутися учасники навчань.

4. Опрацюйте подробиці сценарію: • Опис інциденту: Надайте чіткий та вичерпний опис інциденту, вказавши, як його було виявлено, які системи чи дані були скомпрометовані, і будь-які початкові індикатори компрометації.

• Контекст: Опишіть розмір і структуру організації, галузь, регуляторне середовище, а також нещодавні ініціативи або вразливості у сфері кібербезпеки.

• Хронологія: Створіть хронологію подій, що призвели до інциденту. Зазначте дату і час ключових етапів, наприклад, коли розпочалася атака, коли її було виявлено та коли могло розпочатися її поширення.

• Наслідки: Визначте потенційні наслідки інциденту для організації, її репутації та довіри споживачів (громадян / клієнтів / користувачів) тощо.

• Профіль зловмисника (за потреби): Якщо сценарій передбачає наявність будь-якого зловмисника, надайте інформацію про його мотивацію, можливості, тактику, методику та процедури. Це допоможе учасникам зрозуміти природу загрози.

РОЗРОБЛЕННЯ СЦЕНАРІЮ TTX (ПОКРОКОВА ІНСТРУКЦІЯ)

19

•

•

•

•

Технічні деталі (за потреби): Додайте технічну інформацію про вектор атаки, шкідливе програмне забезпечення, використані вразливості, а також поширення чи розвиток інциденту. Ця інформація допоможе учасникам прийняти обґрунтовані рішення. Зовнішні чинники: Розгляньте зовнішні чинники, які можуть вплинути на реагування на інцидент. Зазначте дані щодо законодавчих вимог, обов’язків щодо інформування чи звітування до регуляторних органів, комунікації з громадськістю та взаємодії з органами правопорядку чи сторонніми постачальниками. Середовище моделювання: Зазначте інформацію про середовище моделювання, зокрема про доступні для учасників інструменти і ресурси. Вкажіть, де саме проводитиметься вправа: у фізичному або віртуальному середовищі. Обмеження чи перешкоди для сценарію: Визначте всі обмеження чи перешкоди, які застосовуються до сценарію. Наприклад, зазначте, чи є якісь дії чи заходи з реагування, заборонені для використання, або чи є певні припущення, відповідно до яких повинні діяти учасники.

5. Зробіть сценарій складнішим і реалістичнішим: Додайте елементи, що зроблять сценарій складнішим, щоб учасники відчували виклик. Розгляньте можливість введення декількох векторів атак, інсайдерських загроз або неочікуваних обставин для надання сценарію більшого реалізму. Переконайтесь, що запропонований час розгортання сценарію є реалістичним.

6. Доповніть сценарій ввідними: Зміна тактичної обстановки описується у ввідних (англ. — Injects), які додаватимуться під час вправи для підтримування зацікавленості учасників та динаміки розвитку сценарію. Ці ввідні можуть включати нову інформацію, додаткові інциденти, зміни в поведінці зловмисника або зовнішній тиск.

7. Дотримуйтеся правових та етичних меж: При створенні сценарію пам’ятайте про правові та етичні аспекти. Переконайтеся, що учасники усвідомлюють свої обов’язки щодо захисту даних, конфіденційності та дотримання вимог законів і нормативно-правових актів.

8. Перегляньте і доопрацюйте: Разом з різними експертами, зокрема професіоналами, які працюють у сфері кібербезпеки, юридичними консультантами та фахівцями з комунікацій, проаналізуйте сценарій. Врахуйте їхні рекомендації та відповідно доопрацюйте сценарій для підвищення реалістичності й ефективності.

9. Перевірте відповідність сценарію цілі навчання: Переконайтеся, що підготовлений сценарій відповідає цілям навчання. В учасників має бути можливість практикувати і вдосконалювати конкретні навички та компетенції.

10. Збалансуйте реалістичність і досяжність: Незважаючи на те що реалістичність дуже важлива, переконайтеся, що сценарій та виклики, які постають у ньому, є досяжними в контексті відпрацювання вправи. Уникайте створення надто складних або неможливих ситуацій.

20

РОЗРОБЛЕННЯ СЦЕНАРІЮ TTX (ПОКРОКОВА ІНСТРУКЦІЯ)

11. Доопрацюйте кінцевий варіант тексту: Випробуйте сценарій із невеликою групою, щоб виявити можливі проблеми, непорозуміння чи неправильне трактування процесу вправи, та зробіть за результатами необхідні уточнення. Після доопрацювання та перевірки сценарію сформулюйте кінцевий варіант і створіть усі необхідні роздаткові матеріали для учасників. Дотримуючись цієї послідовності кроків, ви зможете створити сценарій навчань, який утримуватиме зацікавленість учасників, відповідатиме цілям навчання та надаватиме реалістичний і цінний досвід у сфері реагування на інциденти кібербезпеки та готовності до них. Сценарій слід виконувати послідовно, щоб відтворити ескалацію подій.

Визначення типу кібератаки для сценарію Сценарії командно-штабних навчань можуть значно відрізнятися залежно від змодельованих інцидентів кібербезпеки та поставлених цілей. Вибір конкретного сценарію та комбінація його змісту залежать від конкретних цілей, потреб і пріоритетних напрямів діяльності організації, яка ініціює навчання. Ідентифікація вектору загрози для сценарію проводиться за допомогою аналізу наявних даних (розвідувальних або інших) про загрози для держави. Типи кібератак, що моделюються в рамках сценарію, повинні реалістично відображати поточні та прогнозовані моделі зловмисної діяльності, спрямованої на створення інцидентів національного рівня. Сценарії ТТХ можуть поділятися за такими критеріями: 1.

Тип кібератаки: • Сценарій із витоком даних: У цьому сценарії учасники реагують на моделювання ситуації, коли відбувається витік даних. Вправа може включати різні типи проникнення, такі як несанкціонований доступ, інсайдерська загроза або зараження зловмисним (англ.

— Malware) програмним забезпеченням. Метою цього сценарію є тестування процедур реагування, комунікації та координації для стримування та пом’якшення наслідків витоку, водночас забезпечуючи захист конфіденційних даних.

• Сценарій атаки програми-вимагача: Учасники здійснюють реагування на атаку програми-вимагача, яка шифрує критично важливі системи та дані. Сценарій може бути спрямований на перевірку процесів прийняття рішень щодо потенційної сплати (чи несплати) викупу, відновлення даних із резервних копій або застосування інших стратегій відновлення. Він також оцінює можливості виявлення та локалізації інцидентів.

•

Сценарій фішингу або атака з використанням інструментів соціальної інженерії: Сценарій імітує фішингову кампанію або атаку з використанням інструментів соціальної інженерії, спрямовану на співробітників компанії. Учасники тренуються у виявленні спроб фішингу, реагуванні на скомпрометовані облікові записи та впровадженні програм навчань і тренінгів щодо підвищення обізнаності у сфері безпеки. РОЗРОБЛЕННЯ СЦЕНАРІЮ TTX (ПОКРОКОВА ІНСТРУКЦІЯ)

21

•

Сценарій постійної серйозної загрози (англ. — Advanced Persistent Threat, APT): Сценарії APT становлять імітацію довготривалих, цілеспрямованих кібератак із боку досвідченого зловмисника. Учасники аналізують і реагують на постійні загрози, спрямовані на крадіжку інтелектуальної власності, шпигунство або зрив критично важливих операцій.

•

Сценарій зі стихійним лихом або комбінований сценарій кінетичної та кібератаки: Ці сценарії поєднують загрози кібербезпеки зі стихійними лихами або кінетичними інцидентами (наприклад, ураган, що порушує роботу центрів обробки даних). Вони дозволяють оцінити стійкість організації та планування безперервності діяльності в умовах складних ситуацій.

2. Суб’єкт кібератаки: • Сценарій щодо інсайдерської загрози: У цьому сценарії учасники стикаються із ситуацією, коли довірений працівник або підрядник зловмисно або ненавмисно створює ризик для кібербезпеки. Під час вправи розглядаються заходи моніторингу, виявлення та реагування на інсайдерські загрози з метою пом’якшення їхніх наслідків.

• Сценарій «Ланцюг постачання або третя сторона»: Учасники реагують на інцидент кібербезпеки, що виник через скомпрометованого стороннього постачальника або партнера за ланцюгом постачання (англ. — Supply Chain). Цей тип сценарію оцінює здатність організації управляти ризиками, пов’язаними із зовнішніми відносинами.

•

Сценарій атаки з боку іншої держави або тієї, що фінансується державою: Моделювання кібератак із боку іншої держави або суб’єктів, що фінансуються іншою державою, допомагає учасникам усвідомити геополітичні та міжнародні наслідки інцидентів кібербезпеки. Це також дозволяє перевірити дипломатичну та міжвідомчу координацію.

3. Об’єкт кібератаки: • Сценарій атаки на критичну інфраструктуру: Цей сценарій сфокусований на кібератаці на галузі критичної інфраструктури, такі як енергетика, транспорт, охорона здоров’я чи фінансова галузь. Учасники відпрацьовують скоординоване реагування для захисту національної або регіональної інфраструктури.

•

Сценарій «Інтернет речей (IoT) або система управління технологічними процесами (ICS)»: У цих сценаріях учасники здійснюють реагування на кібератаки на пристрої IoT або системи управління технологічними процесами. Увага насамперед приділяється розумінню унікальних викликів, пов’язаних із вразливостями IoT та ICS, та їх захисту. Існують різні підходи до втілення сценаріїв, зокрема: Вправа з моделюванням інциденту: Під час відпрацювання такого сценарію учасники здійснюють реагування на вигаданий інцидент кібербезпеки з характеристиками кількох реальних сце22

РОЗРОБЛЕННЯ СЦЕНАРІЮ TTX (ПОКРОКОВА ІНСТРУКЦІЯ)

наріїв. Такий комплексний підхід дає змогу оцінити загальну спроможність організації реагувати на інциденти і забезпечувати координацію між різними структурними підрозділами. Ситуаційна вправа з «червоною командою»: Під час ситуаційних вправ із «червоною командою» учасники беруть на себе ролі як захисників, так і зловмисників. За цим сценарієм «червона команда» (експерти, які проводять симуляцію атаки в ролі зловмисників) кидає виклик «синій команді» (учасники, які забезпечують захист). Ця вправа перевіряє здатність організації виявляти кіберзагрози, реагувати на них та протидіяти їм. Вправа на відповідність нормативним вимогам (англ. — Regulatory Compliance): Організації, до яких застосовуються вимоги певних нормативно-правових актів (наприклад, у європейських країнах це GDPR, HIPAA), можуть відпрацьовувати сценарії, орієнтовані на дотримання вимог щодо захисту даних та конфіденційності. Ця ситуаційна вправа дозволяє оцінити здатність організації впоратися з витоками даних та поданням необхідної звітності до регуляторних органів.

Вибір сценарію (основна частина) При плануванні командно-штабних навчань організатори та група планування повинні визначити тип сценарію, що відповідатиме цілям, профілю ризику та конкретним викликам у сфері кібербезпеки, які постають перед організаціями, що беруть участь у вправі. При систематичній організації навчань важливо періодично змінювати сценарії, щоб гарантувати готовність учасників до різноманітних загроз та інцидентів у кіберпросторі. Якщо попередній аналіз чи проведені ТТХ вказують на певний більш бажаний тип сценарію, його слід визначити як усталений варіант. Якщо немає пріоритетних варіантів сценарію, для його вибору слід виконати такі кроки. Проведіть оцінювання ризиків Це необхідно зробити для ідентифікації найважливіших активів, систем і даних в організації. Зосередьте увагу на сценаріях, які представляють серйозний ризик для цих активів або систем. Визначте пріоритетні сценарії Визначте пріоритетність можливих сценаріїв TTX з урахуванням їхніх потенційних наслідків, імовірності їх виникнення та відповідності поставленим цілям. У деяких сценаріях може бути вищий пріоритет із точки зору ризику чи необхідності дотримання вимог, що робить їх більш доцільними для проведення перевірки. Зосередьтеся на основних завданнях ТТХ Командно-штабні навчання національного рівня з кібербезпеки доцільно фокусувати на виявленні інцидентів, реагуванні на них і безперервності діяльності, щоб забезпечити реалістичне моделювання сценарію.

РОЗРОБЛЕННЯ СЦЕНАРІЮ TTX (ПОКРОКОВА ІНСТРУКЦІЯ)

23

Основні варіанти сценаріїв

ОСНОВНИЙ ЗМІСТ TTX

1. Виявлення Інцидентів

В організаціях мають бути працюючі системи моніторингу та процедури для виявлення кібератак.

2. Управління Інцидентами

В організації впроваджено та задокументовано чітко визначені процеси управління інцидентами, які регулярно тестуються.

3. Безперервність ділової активності

Безперервність інформаційної безпеки має бути вбудована в систему управління безперервністю ділової активності організації.

Сценарій, який включено до цього посібника (див. Додаток 2), насамперед спрямований на виявлення інцидентів та реагування на них, що відображає пріоритетність і профіль ризиків атак на державу. Підбір цільового підходу допомагає комплексно відпрацювати сценарій за одне тренінгове заняття, зосереджено та результативно.

Як створювати ввідні / зміни тактичної обстановки? Підготування ввідних для сценарію командно-штабних навчань є вкрай важливим аспектом створення динамічного та реалістичного навчального процесу. Зміни тактичної обстановки становлять часткові дані або інформацію щодо розвитку подій, які надаються під час вправи. Вони мають кидати виклик учасникам та спонукати їх приймати рішення або діяти. Ось покрокова інструкція з розроблення ефективних ввідних для сценарію: 1.

Узгодьте зміни тактичної обстановки з цілями: Розпочніть з перегляду цілей TTX. Кожну зміну тактичної обстановки слід розробляти так, щоб вона допомагала досягти цих цілей. Впевніться, що зміни тактичної обстановки напряму пов’язані з навичками та компетенціями, які учасники мають відпрацювати чи оцінити.

2. Створіть хронологію подій у сценарії: Розробіть хронологію подій, що визначатиме, коли буде введена кожна ввідна під час вправи. Впевніться, що зміни розподілені так, щоб підтримувати залученість учасників до вправи та кидати їм виклик на різних етапах сценарію.

3. Враховуйте реалістичний розвиток подій: Зміни тактичної обстановки повинні відбуватися в логічній та реалістичній послідовності, відповідно до сценарію. Подумайте про розвиток інциденту в реальному житті (як він може природно прогресувати) і введіть зміни тактичної обстановки відповідно до цього. Уникайте введення неправдоподібних або випадкових подій.

4. Типи ввідних: Існують різні типи змін тактичної обстановки, які ви можете використати, зокрема: 24

РОЗРОБЛЕННЯ СЦЕНАРІЮ TTX (ПОКРОКОВА ІНСТРУКЦІЯ)

• • • •

• •

Інформаційні зміни: Надайте учасникам нову інформацію, наприклад, оновлення інформації щодо інцидентів, дані про загрози або результати розслідувань. Заходи або розвиток подій: Введіть до сценарію несподівані заходи або розвиток подій, наприклад, виявлення додаткових скомпрометованих систем або зміни в поведінці зловмисників. Обмеження ресурсів: Розробіть зміни тактичної обстановки, що імітуватимуть обмеження ресурсів, такі як несподівана втрата працівників, знеструмлення, відключення електропостачання або збої в мережі. Дефіцит часу: Зміни тактичної обстановки можуть вводити елементи, що ставлять учасників в умови дефіциту часу, такі як кінцеві строки для прийняття рішень, заходи з реагування або подання звітності до регуляторних органів. Зовнішні впливи: Імітуйте зовнішні чинники, такі як висвітлення у ЗМІ, виклики, пов’язані із громадською думкою, юридичні дії чи вимоги зацікавлених сторін. Дії зловмисників: Якщо це доречно, зміни тактичної обстановки можуть описувати дії зловмисника, такі як нові вектори атаки, вимоги сплатити викуп або спроби розпочати переговори.

5. Деталізуйте зміст ввідних: Чітко задокументуйте зміст кожної зміни тактичної обстановки, включаючи саму інформацію чи події, час їх введення та всі пов’язані з ними результати чи наслідки. Будьте конкретними, надайте достатню кількість деталей, щоб учасники отримали необхідний контекст.

6. Використовуйте різноманітність: Використовуйте різноманітні ввідні, щоб у різні способи кидати виклик учасникам. Комбінуйте інформаційні зміни з подіями, дефіцитом часу та обмеженнями ресурсів для створення динамічного середовища вправи.

7. Додайте невизначеності: Зміни тактичної обстановки можуть внести елемент невизначеності чи неповної інформації, щоб імітувати неоднозначність реальних інцидентів. Сприяйте прийняттю учасниками обґрунтованих рішень на основі наявної інформації.

8. Адаптуйте ввідні до ролей учасників: Враховуйте ролі учасників у вправі та пристосовуйте ввідні до їхніх обов’язків. Зміни для ІТ-персоналу можуть відрізнятися від тих, що призначені представникам юридичних служб чи відділів зв’язків із громадськістю.

9. Ставте припущення під сумнів: Використовуйте ввідні для того, щоб поставити під сумнів припущення та упереджені уявлення учасників. Заохочуйте їх переглядати свої стратегії та адаптуватися до змін обставин.

10. Переглядайте ситуацію разом із профільними експертами: Перед завершенням роботи над ввідними перегляньте їх разом із профільними експертами, зокрема з професіоналами, які працюють у сфері кібербезпеки, та юрисконсультами. Це допоможе отримати цінний зворотний зв’язок та переконатися, що зміни відповідають сценарію та цілям.

РОЗРОБЛЕННЯ СЦЕНАРІЮ TTX (ПОКРОКОВА ІНСТРУКЦІЯ)

25

11. Задокументуйте й систематизуйте зміни тактичної обстановки: Створіть детальний документ, що перераховуватиме всі ввідні в хронологічному порядку. Додайте інформацію про час та спосіб введення кожної зміни. Організуйте документ так, щоб під час проведення ТТХ до нього був легкий доступ.

12. Проведіть попереднє тестування ввідних: Перевірте сценарій ТТХ у тестовому режимі з невеликою групою, щоб переконатися, що ввідні впроваджуються ефективно та мають потрібний вплив на учасників.

13. Зберігайте гнучкість: Будьте готові адаптувати зміни тактичної обстановки в режимі реального часу на основі дій та рішень учасників. Здатність імпровізувати й адаптувати зміни тактичної обстановки гарантує цікавий процес вправи та залученість учасників.

14. Фіксуйте реакцію учасників під час попереднього тестування: Переконайтеся, що є механізм для фіксації реакцій учасників на зміни тактичної обстановки, включаючи їхні рішення, дії та аргументацію прийнятих рішень. Ця інформація є корисною для подальшого аналізу результатів проведених заходів. Ефективні ввідні можуть перетворити сценарій командно-штабних навчань на динамічний навчальний досвід, який допоможе учасникам підвищити свій рівень готовності та спроможності до реагування на інциденти. Дотримуючись цих вказівок, ви зможете розробити зміни тактичної обстановки, які підвищать реалістичність і ефективність ваших ТТХ.

Необов’язкове «глибоке занурення» (деталізована частина) У рамках командно-штабних навчань із кібербезпеки термін «глибоке занурення» вказує на детальне вивчення конкретних аспектів реагування на кіберінциденти, відновлення або стійкості. Таке поглиблене навчання часто використовується як частина TTX для ретельного оцінювання і покращення готовності та спроможності організації реагувати на кіберінциденти. Якщо, окрім основної частини командно-штабних навчань, є потреба в більш детальних, технічних аспектах відпрацювання сценаріїв TTX на національному або на організаційному рівні, тоді «глибоке занурення» (англ. — Deep Dives) є важливою частиною, яка дозволить учасникам більш цілеспрямовано опрацювати нюанси викликів кібербезпеці в конкретних випадках та залучити рівень учасників, які не охоплені стандартним сценарієм. Принцип роботи «глибокого занурення» в цьому контексті включає такі етапи: 1.

26

Цілеспрямоване дослідження. Під час TTX учасники можуть поглиблено сфокусуватися на певній галузі або конкретних аспектах реагування на кіберінциденти. Це може передбачати вивчення конкретного типу кіберзагроз, критично важливої системи чи застосунку або певного етапу процесу реагування на інцидент.

РОЗРОБЛЕННЯ СЦЕНАРІЮ TTX (ПОКРОКОВА ІНСТРУКЦІЯ)

2. Поглиблений аналіз. «Глибоке занурення» передбачає всебічний аналіз обраної сфери. Цей аналіз може містити перегляд наявних політик, процедур і протоколів, а також оцінювання технічних засобів контролю і технологій, що використовуються для вирішення обраного аспекту кібербезпеки.

3. Розроблення сценарію. «Глибоке занурення» часто передбачає створення детального і реалістичного сценарію, що зосереджений на конкретній сфері, яка цікавить учасників. Цей сценарій використовується для моделювання кіберінциденту або кризової ситуації, пов’язаної з обраним аспектом, що дозволяє учасникам реагувати і приймати рішення саме в цьому контексті.

4. Рольові ігри та симуляції. Учасники беруть на себе ролі, доцільні в рамках «глибокого занурення», такі як команди, служби та спеціалісти, що забезпечують реагування, ІТ-фахівці, юрисконсульти чи вище керівництво, і взаємодіють у рольовій грі з моделюванням сценарію. Такий практичний підхід допомагає учасникам отримати практичний досвід і розуміння ситуації.

5. Вирішення проблем. «Глибоке занурення» вимагає від учасників вирішення складних завдань та прийняття критично важливих рішень, пов’язаних з обраною сферою. Воно може охоплювати технічний аналіз, юридичні питання, стратегії комунікації, розподіл ресурсів тощо.

6. Оцінювання ефективності. Метою «глибокого занурення» є оцінювання ефективності стратегій реагування та стійкості організації в контексті обраної сфери. Це включає оцінювання того, наскільки плани та процедури організації відповідають кращим практикам та регуляторним вимогам.

7. Виявлення прогалин. Учасники можуть виявити прогалини, слабкі місця чи можливості для вдосконалення в реагуванні на кіберінциденти або спроможності організації бути стійкою. Ці висновки документуються для подальшого аналізу.

8. Засвоєний досвід. Після проведення ситуаційної вправи із «глибоким зануренням» учасники беруть участь у підбитті підсумків, під час якого обговорюють засвоєний досвід, діляться ідеями, які у них виникли, та формулюють рекомендації для підвищення стійкості кібербезпеки в обраній сфері.

9. Плани дій. На основі висновків і рекомендацій, отриманих у результаті «глибокого занурення», організації можуть розробляти плани дій для усунення виявлених прогалин і покращення своїх стратегій реагування на кіберінциденти чи забезпечення стійкості. Отже, «глибоке занурення» передбачає детальне вивчення конкретного аспекту кібербезпеки, часто за допомогою моделювання на основі сценаріїв та рольових ігор. Воно допомагає організаціям виявити сильні та слабкі сторони та розробити цілеспрямовані вдосконалення для підвищення загальної кіберстійкості. РОЗРОБЛЕННЯ СЦЕНАРІЮ TTX (ПОКРОКОВА ІНСТРУКЦІЯ)

27

Варіанти «глибокого занурення» ОБОВ’ЯЗКИ

КАТЕГОРІЯ

ОПИС

1. Організаційне управління

Забезпечено наявність належних структур, політик і процесів для розуміння, оцінювання та систематичного управління ризиками безпеки мережі та інформаційних систем організації.

2. Управління Ризиками

Впроваджено відповідні заходи для виявлення, оцінювання та розуміння ризиків безпеки мережі та інформаційних систем. Це передбачає загальноорганізаційний підхід до управління ризиками.

3. Управління Постачальниками

Організація розуміє та забезпечує управління ризиками безпеки, що виникають через залежність від зовнішніх постачальників та сторонніх послуг.

4. Управління Активами

Все, що необхідно для забезпечення, обслуговування або підтримки мереж, інформаційних систем та служб, визначене і зрозуміле.

5. Управління інформаційною безпекою

Застосовуються пропорційні заходи безпеки для захисту інформації, даних, послуг та систем від кібератак.

6. Стійкість надання послуг

Мережеві та інформаційні системи розроблені з урахуванням стійкості до кіберзагроз та операційних збоїв.

7. Управління Доступом

Здійснюється управління, контроль та відстеження доступу до інформації, послуг та систем за допомогою політик та процедур.

8. Управління носіями Інформації

Здійснюється управління стаціонарними та портативними носіями інформації / забезпечується відповідний захист даних / інформації.

9. Управління Системами

Забезпечується захист інформаційних систем від кібератак протягом усього їхнього життєвого циклу.

Вище керівництво

Закупівлі / Договори / Правові аспекти

Технічний персонал

28

РОЗРОБЛЕННЯ СЦЕНАРІЮ TTX (ПОКРОКОВА ІНСТРУКЦІЯ)

Технічний персонал

10. Операційна безпека

Застосовуються відповідні технічні та організаційні заходи для захисту систем та цифрових послуг від кібератак.

11. Безпека Мережі

Здійснюються заходи для забезпечення захисту інформаційних систем та інформації, що міститься в мережі.

Людські ресурси / 12. Люди Організаційний розвиток

Будівлі, споруди та устаткування / Майно

В організації застосовуються політики та процедури, що гарантують перевірку, навчання та обізнаність співробітників і підрядників щодо їхніх обов’язків у сфері безпеки.

13. Екологічна безпека

Впроваджено відповідні процедури для зменшення ризиків від внутрішніх і зовнішніх екологічних загроз і небезпек.

14. Фізична Безпека / безпека Будівель та споруд

Запобігання несанкціонованому фізичному доступу, пошкодженню та втручанню в інформаційні системи та послуги організації.

РОЗРОБЛЕННЯ СЦЕНАРІЮ TTX (ПОКРОКОВА ІНСТРУКЦІЯ)

29

30

ПІДГОТОВКА КОМАНДИ ДО КОМАНДНО-ШТАБНИХ НАВЧАНЬ НА НАЦІОНАЛЬНОМУ РІВНІ

ПІДГОТОВКА КОМАНДИ ДО КОМАНДНОШТАБНИХ НАВЧАНЬ НА НАЦІОНАЛЬНОМУ РІВНІ Проведення національних TTX з кібербезпеки вимагає детального планування, співпраці та ресурсів. Вкрай важливо залучати експертів, забезпечувати прозорість, а також впроваджувати набутий у результаті навчань досвід.

Створення групи з планування TTX національного рівня: як її організувати, кого долучити, що вона робить? Група планування TTX є життєво важливою для успіху проведення будь-якої ситуаційної вправи. Група планування несе відповідальність за управління процесом розроблення сценарію та ввідних, вибір необхідного місця та ресурсів. Ця група повинна мати можливість доносити свої рішення до організацій, установ і відомств, що беруть участь у навчанні. Рекомендується ретельно продумати, хто саме має входити до цієї групи та якою є оптимальна кількість її членів: визначте ті органи, відомства та агенції, які будуть залучені до реагування в рамках майбутнього сценарію, і запросіть представників цих установ стати членами групи планування TTX. Членів групи планування TTX буде залучено до написання сценарію та ввідних, і тому вони не повинні брати участь у вправі в ролі гравців — але вони можуть бути фасилітаторами або спостерігачами / протоколістами. Як потенційних кандидатів на членство у групі планування слід розглянути таких представників: У межах організації, яка ініціює / організовує проведення ТТХ: • Керівник, заступник керівника організації або посадова особа, яка безпосередньо комунікує з керівництвом організації.

• Профільні підрозділи, що безпосередньо опікуються питаннями, які планується обговорювати в межах сценарію ТТХ.

• Речника / спеціаліста з інформування громадськості / фахівця з комунікацій.

• Сектор безперервності ділової активності (англ. — Business Continuity Department), якщо такий є в організації.

• Відділ / сектор інформаційних технологій. ПІДГОТОВКА КОМАНДИ ДО КОМАНДНО-ШТАБНИХ НАВЧАНЬ НА НАЦІОНАЛЬНОМУ РІВНІ

31

За межами організації, яка ініціює / організовує проведення ТТХ: • Представники організацій, що мають безпосередній стосунок до тематики навчань або входять до відповідної національної системи, наприклад, основні суб’єкти національної системи кібербезпеки.

• Інші відомства з питань національної безпеки / боротьби з тероризмом на національному чи регіональному рівні залежно від цілей сценарію.

• Представники організацій, реагування яких може бути передбачене сценарієм.

• Представники оперативного штабу для управління під час надзвичайних ситуацій, якщо такий є і постійно діє.

• Регіональні CSIRT, якщо такі є.

• Органи регулювання, участь яких є релевантною питанням, порушеним у сценарії.

• Міжнародні партнери.

• Основні члени вашого ланцюга постачання, якщо це релевантно цілям навчань.

Відбір фасилітаторів Рекомендації для відбору фасилітаторів Відбір кращих фасилітаторів, зокрема головного фасилітатора, групових фасилітаторів (за потреби), протоколістів / спостерігачів та експертів-консультантів є важливим етапом для успішного та ефективного проведення національних командно-штабних навчань. Кваліфікований фасилітатор може скеровувати учасників відповідно до сценарію, зберігати контроль над процесом та сприяти продуктивному обговоренню. Покрокова інструкція з відбору фасилітатора для ТТХ.

1.

Визначте роль та обов’язки фасилітатора: Чітко визначте роль та обов’язки фасилітатора(ів) для ТТХ, зокрема, чи виконуватиме фасилітатор обов’язки головного фасилітатора навчань, або ці функції буде розділено між окремими фахівцями.

2. Оцініть досвід фасилітатора(ів): Віддайте перевагу фасилітатору(ам) з глибокими знаннями та широким досвідом у сфері кібербезпеки, в реагуванні на інциденти та фасилітації командно-штабних навчань. Важливо, щоб у них було глибоке розуміння ландшафту кіберзагроз, загроз для держав, а також відповідних нормативно-правових актів і політик.

3. Не забудьте про допуск до державної таємниці (за потреби): Якщо під час TTX використовується секретна або конфіденційна інформація, переконайтеся, що у фасилітатора(ів) є необхідний допуск до державної таємниці.

4. Оцініть комунікативні навички: Дуже важливо, щоб фасилітатор(и) володіли ефективними комунікативними навичками. Вони визначають здатність фасилітаторів чітко передавати інструкції, доносити сценарії та зміни тактичної обстановки до учасників. Фасилітатор(и) також повинні ефективно взаємодіяти з учасниками, стимулювати дискусії, заохочувати відкрите і продуктивне спілкування між учасниками. Для роботи з міжнародною аудиторією можуть знадобитися знання кількох мов.

32

ПІДГОТОВКА КОМАНДИ ДО КОМАНДНО-ШТАБНИХ НАВЧАНЬ НА НАЦІОНАЛЬНОМУ РІВНІ

5. Оцініть досвід у проведенні командно-штабних навчань: ТТХ на національному рівні може передбачати широке коло учасників і складні сценарії. Обирайте фасилітатора з досвідом проведення / участі в командно-штабних навчаннях та вмінням взаємодіяти з багатьма зацікавленими сторонами.

6. Перевірте рекомендації: Попросіть відгуки та рекомендації в організаціях, які раніше співпрацювали з фасилітатором. Зверніться до цих організацій і запитайте про їхній досвід та ефективність роботи фасилітатора.

7. Оцініть гнучкість і адаптивність: Переконайтеся, що фасилітатор є гнучким та може адаптуватися до змін, адже сценарії та реакції учасників можуть змінюватися під час навчань / вправи. Фасилітатор(и) повинні бути готовими підлаштуватися до змін у режимі реального часу для підтримки процесу навчання.

8. Зважте на обізнаність щодо організацій, які беруть участь у навчаннях: Якщо це можливо, обирайте фасилітатора, який обізнаний зі структурою, культурою та викликами організацій, які беруть участь у навчаннях. Це допоможе фасилітатору адаптувати вправу до потреб організацій, які беруть участь у навчаннях.

9. Оцініть підготовку фасилітатора: Якщо фасилітатор має попередній досвід проведення схожих навчань, спробуйте зв’язатися з їх організаторами та дізнатися про їхній досвід роботи із цим фасилітатором. Якщо фасилітатор має сертифікати та свідоцтва про проходження тематичних тренінгів, що підтверджують кваліфікацію фасилітатора в області кібербезпеки та фасилітації навчань, це може бути додатковим аргументом для його обрання на цю роль.

10. Проведіть співбесіди з потенційними фасилітаторами: Проведіть співбесіди з потенційними фасилітаторами, щоб з’ясувати, як вони розуміють цілі та завдання організацій у контексті проведення TTX. Запитайте про їхній підхід до фасилітації та як вони справляються зі складними ситуаціями.

11. Обговоріть структуру вправи та її адаптацію: Переконайтеся, що фасилітатор готовий тісно співпрацювати з групою планування під час розроблення та адаптації сценарію TTX відповідно до ваших конкретних потреб і цілей.

12. Оцініть витрати і бюджет: Переконайтеся, що ваші очікування та очікування фасилітатора щодо винагороди за проведення заходу збігаються. Хоча в багатьох випадках фасилітатори можуть працювати pro bono (на добровільній безоплатній основі), однак фасилітатор може порушити питання про належну оплату його роботи. Якщо такий підхід прийнятний для вашої організації, то переконайтеся, що очікуваний гонорар фасилітатора відповідає вашому бюджету на проведення TTX. Попросіть надати детальний кошторис, який включає всі витрати.

13. Перевірте доступність: Впевніться, що фасилітатор зможе доєднатись у заплановану вами дату і час проведення TTX.

ПІДГОТОВКА КОМАНДИ ДО КОМАНДНО-ШТАБНИХ НАВЧАНЬ НА НАЦІОНАЛЬНОМУ РІВНІ

33

14. Розгляньте командний підхід: Залежно від складності навчань / вправ ви можете розглянути можливість залучення команди фасилітаторів, де кожен має певний досвід у різних сферах (наприклад, у технічних, юридичних, комунікаційних питаннях).

15. Формалізуйте домовленості: Після того як ви обрали фасилітатора, обговоріть спільно питання необхідності формалізації ваших домовленостей (ролі, обов’язки, гонорари, терміни та будьякі вимоги щодо конфіденційності та безпеки). Часто така формалізація є непотрібною або такою, що ускладнює процес залучення фасилітатора, але чітке обговорення цього питання допоможе в майбутньому усунути можливі складнощі в організації роботи. Якщо фасилітатор, якого ви плануєте залучити, не є досвідченим організатором командно-штабних навчань або фахівцем з кібербезпеки, цей посібник можна використовувати як інструкцію для того, щоб переконатися, що в нього / неї буде достатній рівень знань та інформації, необхідний для того, щоб фасилітувати і підтримувати діяльність із планування TTX.

Роль головного фасилітатора Якщо масштаб ваших навчань і кількість залучених учасників зумовив необхідність формування групи фасилітаторів, то з-поміж наявних фасилітаторів у групі планування слід призначити головного фасилітатора для координації та внесення рекомендацій щодо структури заходу. Головний фасилітатор виступає як керівник командно-штабних навчань із кібербезпеки та відіграє ключову роль в успішному проведенні заходу та в досягненні його мети. Головний фасилітатор відповідає за внесення належних корективів у сценарій, управління процесом навчань та модерування обговорень між учасниками. Ця роль подібна до ролі фасилітаторів груп, але для всього TTX, тобто на стратегічному, а не груповому рівні. Важливо відзначити, що головний фасилітатор не обов’язково має виконувати лише цю функцію; він може виконувати роль одного з фасилітаторів груп, але рекомендується призначити одну відповідальну особу для координації та управління заходом. Ключові характеристики та обов’язки головного фасилітатора включають таке: Профільні знання з предмету навчань: Головний фасилітатор повинен мати глибоке розуміння концепцій кібербезпеки та процедур реагування на інциденти, а також конкретного сценарію, що моделюється. Він / вона має бути в змозі ефективно відповідати на запитання та скеровувати учасників. Нейтральність: Головний фасилітатор повинен залишатися нейтральним та неупередженим протягом усіх етапів вправи. Він / вона не повинен(на) прихильно ставитися до жодного з учасників чи зацікавлених сторін, утримуючись від втручання в обговорення та прийняття рішень. Чіткі комунікативні навички: Ефективна комунікація має надзвичайно важливе значення. Головний фа34

ПІДГОТОВКА КОМАНДИ ДО КОМАНДНО-ШТАБНИХ НАВЧАНЬ НА НАЦІОНАЛЬНОМУ РІВНІ

силітатор повинен вміло формулювати інструкції, надавати ввідні щодо зміни тактичної обстановки та розвитку сценарію, щоб учасники розуміли розподіл своїх ролей та обов’язків. Загалом, роль головного фасилітатора полягає у створенні реалістичного середовища, де учасники можуть практикувати свої навички реагування на інциденти, отримувати досвід і підвищувати свою готовність у сфері кібербезпеки.

Завдання головного фасилітатора під час ТТХ 1.

Управління сценарієм та ввідними: Головний фасилітатор відповідає за управління сценарієм, включаючи презентацію ввідних.

2. Адаптація сценарію: Головний фасилітатор повинен бути готовим адаптувати навчання в режимі реального часу, враховуючи дії та рішення учасників. Можливо, йому / їй доведеться імпровізувати, щоб вправа залишалася захопливою та кидала виклик учасникам.

3. Управління часом: Ефективне управління часом є критично важливим для планування та проведення навчань. Головний фасилітатор має гарантувати, що обговорення та прийняття рішень відбуваються в обумовленому темпі та що вправа не виходить за рамки відведеного часу.

4. Вирішення конфліктів: У разі розбіжностей або конфліктів між учасниками головному фасилітатору може знадобитися виступити медіатором та сприяти тому, щоб обговорення було конструктивним для досягнення консенсусу чи прийняття рішень.

5. Дотримання цілей: Головний фасилітатор має переконатися, що навчання залишаються спрямованими на визначені цілі та завдання. Якщо обговорення або дії відхиляються від цілей навчань, головний фасилітатор повинен делікатно повертати учасників на правильний шлях.

6. Підтримка та зворотний зв’язок: Бути готовими надавати підтримку та відповідати на запитання учасників під час виконання вправи. Сприяти збору зворотного зв’язку від учасників для покращення майбутніх навчань.

7. Навички управління кризовими ситуаціями: Якщо виникають несподівані виклики або проблеми під час навчань, головний фасилітатор повинен швидко врегулювати кризові ситуації або технічні труднощі, щоб мінімізувати збої в роботі.

8. Професіоналізм і лідерство: Демонструвати професіоналізм, лідерство та спокійне, зважене ставлення протягом навчань. Поведінка головного фасилітатора визначає атмосферу вправи та впливає на залученість учасників.

ПІДГОТОВКА КОМАНДИ ДО КОМАНДНО-ШТАБНИХ НАВЧАНЬ НА НАЦІОНАЛЬНОМУ РІВНІ

35

Завдання головного фасилітатора після TTX Фасилітація сесії підбиття підсумків: Після завершення ТТХ головний фасилітатор може скеровувати чи фасилітувати обговорення результатів навчань, виявлення сильних і слабких сторін, а також надання учасникам підтримки в узагальненні засвоєного досвіду.

Завдання фасилітатора (групи) під час ТТХ Фасилітатор командно-штабних навчань відіграє важливу роль в управлінні перебігом вправ, забезпечуючи ефективність навчання та допомагаючи учасникам досягти запланованих цілей. Фасилітатори відповідають за створення безпечного та продуктивного середовища, де учасники можуть вдосконалювати свої навички реагування на інциденти. Основні завдання та обов’язки фасилітатора TTX включають таке: 1.

Підготовка: Ознайомитися зі сценарієм TTX, цілями, завданнями та матеріалами вправ, що надаються завчасно, щоб зрозуміти мету і контекст навчань.

2. Орієнтація: Провести учасникам початкову орієнтацію, пояснивши мету вправ, їхні ролі та очікувані результати.

3. Початок вправи: Офіційно розпочати ТТХ, створивши необхідну атмосферу, представивши сценарій і роз’яснивши всі основні правила та вказівки щодо певної вправи.

4. Представлення сценарію: Представити учасникам групи сценарій ТТХ, забезпечивши їх необхідним контекстом, додатковою інформацією та початковими характеристиками змодельованого інциденту.

5. Управління ввідними: У відповідних моментах протягом усієї вправи презентувати ввідні — нові дані чи розвиток подій у сценарії.

6. Роз’яснення ввідних: Роз’яснювати ввідні або надавати додаткову інформацію за потреби, щоб учасники розуміли динаміку розвитку сценарію.

7. Уточнення ввідних: Бути готовими коригувати ввідні або елементи сценарію відповідно до дій, рішень чи несподіваного розвитку подій. Така адаптивність зберігає вправу динамічною та реалістичною.

8. Скеровування дискусії: Заохочувати обговорення між учасниками, ставлячи відкриті запитання, спонукаючи їх до глибшого аналізу та забезпечуючи вивчення всіх важливих тем.

9. Управління часом: Дотримуватися плану проведення навчань, враховуючи часові рамки для кожного етапу: вступної частини, обговорення та підбиття підсумків.

36

ПІДГОТОВКА КОМАНДИ ДО КОМАНДНО-ШТАБНИХ НАВЧАНЬ НА НАЦІОНАЛЬНОМУ РІВНІ

10. Моніторинг дій учасників: Спостерігати за реакцією учасників на ввідні та їхніми діями під час навчань. Документувати за можливості їхні рішення, стратегії та обґрунтування для використання під час аналізу результатів проведених заходів 11. Контроль перебігу вправи: Переконатися, що вправа проходить безперебійно, уникати зривів і підтримувати інтерес учасників. Розв’язувати будь-які питання чи конфлікти, які можуть виникнути під час вправи. Запитання, спрямовані на заохочення обговорення: • «Яких заходів ви вживаєте?»

• «Ви впевнені? А як ви аргументуєте, чому ви впевнені?»

• «Отже, [ім’я], чи все вас тут влаштовує? Чи є щось, що змушує вас зараз почуватися дискомфортно?»

• Стежити за тими, хто проявляє незгоду чи занепокоєння, а також за тими учасниками, які поводяться тихо. Надавати їм можливість висловити свої зауваження.

12. Вирішення конфліктів: Діяти як медіатор у конфліктах чи розбіжностях під час обговорення, забезпечуючи, щоб усі голоси були почуті та навчання залишилися продуктивними.

13. Дотримання нейтралітету: Зберігати нейтралітет і не висловлювати свої особисті думки під час вправи, щоб забезпечити об’єктивний та справедливий процес фасилітації.

14. Завершення: Офіційно завершити вправу для вашої групи, подякувати учасникам за участь і надати будь-яку необхідну подальшу інформацію.

15. Збір зворотного зв’язку: Запросити учасників та зацікавлені сторони висловити свої думки про роботу фасилітатора та загальну ефективність вправи. Використовувати цей зворотний зв’язок для постійного вдосконалення. Роль фасилітатора полягає у скеровуванні вправи так, щоб максимізувати навчання і готовність, створюючи при цьому реалістичний та захопливий досвід для учасників. Ефективна фасилітація гарантує, що вправи досягнуть своїх цілей та завдань і допоможуть організаціям краще підготуватися до інцидентів кібербезпеки.

Завдання всіх фасилітаторів після TTX 1.

Підбиття підсумків: Провести групову сесію підбиття підсумків після проведення навчань, під час якої учасники обговорюватимуть свою роботу, визначатимуть сильні та слабкі сторони та розмірковуватимуть про засвоєний досвід.

2. Зворотний зв’язок та рекомендації: Надавати конструктивний зворотний зв’язок та рекомендації, що ґрунтуються на діях учасників та навчальних цілях. Пропонувати ідеї для вдосконалення та використання кращих практик. ПІДГОТОВКА КОМАНДИ ДО КОМАНДНО-ШТАБНИХ НАВЧАНЬ НА НАЦІОНАЛЬНОМУ РІВНІ

37

3. Документування (фіксація): Переконатися, що протоколісти детально фіксують спостереження та нотатки протягом навчання, документуючи рішення учасників, обговорення та основні висновки. Це документування є безцінним для підбиття підсумків та майбутнього вдосконалення.

4. Підготовка звіту: Співпрацювати з головним фасилітатором та експертами для складання звіту про вправу, де буде підсумовано вправу, включаючи спостереження, відгуки та рекомендації.

Роль спостерігача / протоколіста На спостерігача / протоколіста під час проведення командно-штабних навчань покладається обов’язок забезпечувати документування процедур, рішень, дій та обговорень, що відбуваються під час навчань. Спостерігач / протоколіст відіграє ключову роль у фіксації деталей та результатів навчань, особливо в заповненні документації щодо відпрацювання сценарію, яка слугує основою для аналізу результатів проведених заходів та подальшого вдосконалення у сфері кібербезпеки. В ідеалі спостерігач / протоколіст має бути досвідченим хронометристом чи стенографістом. Щоб забезпечити ретельне документування ТТХ і ефективний аналіз результатів під час проведення AAR, роль стенографіста є вирішальною. Ця документація допомагає визначати сильні та слабкі сторони, засвоєний досвід і можливості для вдосконалення реагування на інциденти підвищення готовності у сфері кібербезпеки.

Завдання спостерігачів / протоколістів під час ТТХ Основні обов’язки та завдання, пов’язані з роллю спостерігача / протоколіста в ТТХ, можна деталізувати в такий спосіб: 1.

38

Ведення нотаток, стенограми: Детально вести записи вправи, включаючи часові позначки для ключових моментів, дій учасників та обговорень. Фіксувати реакції учасників на зміни тактичної обстановки, їхні рішення, поставлені запитання та будь-які важливі спостереження, зроблені під час вправи, використовуючи надані листи для ведення записів (протоколу). Дії учасників: Фіксувати дії, узгоджені учасниками в рамках реагування на події сценарію, такі як виявлення інциденту, заходи з локалізації, стратегії комунікації та координація. Документування змін тактичної обстановки: Документувати введення змін тактичної обстановки або розвиток подій у сценарії, включаючи зміст, час і реакцію учасників на кожну зміну. Підсумки обговорення: Узагальнювати обговорення та ключові моменти, які висловили учасники. Звертати увагу на будь-які узгоджені моменти, розбіжності або невирішені питання. ПІДГОТОВКА КОМАНДИ ДО КОМАНДНО-ШТАБНИХ НАВЧАНЬ НА НАЦІОНАЛЬНОМУ РІВНІ

2. Журнал рішень: Вести журнал важливих рішень, прийнятих учасниками, включаючи обґрунтування кожного рішення та будь-які пов’язані дії чи результати.

3. Ролі учасників: Відстежувати ролі, які учасники відіграють під час вправи (наприклад, це можуть бути команди, служби та спеціалісти, що забезпечують реагування, ІТ-персонал, юрисконсульти, експерти зі зв’язків із громадськістю (PR)), щоб задокументувати їхній безпосередній внесок.

4. Фіксування відгуків учасників: Записувати всі відгуки та коментарі, надані учасниками наприкінці вправи, включаючи їхні враження від реалістичності сценарію, труднощі, з якими вони стикнулися, та аспекти, які потребують вдосконалення.

5. Уточнення змін тактичної обстановки: Задокументувати будь-яку додаткову інформацію або роз’яснення, надані фасилітаторами та експертами відповідно до запитань чи прохань учасників.

6. Упорядкування документів: Підготувати й узагальнити всі документи і матеріали для вашої групи.

7. Захист і безпека даних: Переконатися, що чутлива або конфіденційна інформація обробляється безпечно та відповідно до вимог захисту даних і гарантування безпеки.

Завдання спостерігача / протоколіста після TTX 1.

Аналіз результатів проведених заходів (AAR): Брати участь у сесії підбиття підсумків, надаючи документацію та записи для докладного аналізу результатів навчання.

2. Підготовка звіту: Допомагати у складанні звіту про навчання, додавши наявну документацію, свої записи та спостереження. Інструкції для занотовування та відповідні шаблони таблиць наведено в Додатку 3 та Додатку 6.

Роль експерта-консультанта Експерт-консультант з кібербезпеки відіграє важливу роль у наданні предметної експертизи та підказок під час командно-штабних навчань. Особливе значення цієї ролі полягає в тому, щоб допомогти учасникам орієнтуватися у складних сценаріях із кібербезпеки, приймати обґрунтовані рішення та поліпшувати їхні навички з реагування на інциденти. Якщо експерт-консультант бере участь у групі планування TTX, від нього / неї також очікуватимуть професійну експертизу у процесі розроблення тематичних аспектів та матеріалів для заходу. Основні обов’язки та завдання, пов’язані з роллю експерта-консультанта з питань кібербезпеки в ТТХ, можна деталізувати в такий спосіб. ПІДГОТОВКА КОМАНДИ ДО КОМАНДНО-ШТАБНИХ НАВЧАНЬ НА НАЦІОНАЛЬНОМУ РІВНІ

39

Заходи перед проведенням TTX (підготовка) 1.

Забезпечення підтримки в заповненні та наданні якісних відповідей на опитувальник із нормативно-правової відповідності: Якщо на етапі підготовки учасники використали опитувальник із Додатка 1, то важливим є аналіз та перевірка відповідей на нормативно-правову відповідність, надання відповідей на запити відомств-учасників вправи стосовно технічного контексту та процесу заповнення опитувальників.

2. Участь у підготовці сценарію: Доєднання до планувальної групи у процесі розроблення сценарію ТТХ, щоб переконатися, що він точно відображає реальні загрози та виклики кібербезпеки. Надання рекомендацій щодо покращення реалістичності сценарію.

3. Розроблення ввідних: Активна участь у створенні змін тактичної обстановки або подій сценаріїв, які покликані кидати виклик учасникам та спонукати їх приймати обґрунтовані рішення. Надання порад щодо змісту та оптимального часу надання ввідних. Роль експерта-консультанта з питань кібербезпеки є ключовою для збагачення процесу проведення ТТХ технічною інформацією та рекомендаціями. За допомогою використання досвіду консультанта учасники можуть підвищити свої навички реагування на інциденти, ефективніше готуватися до кіберзагроз та глибше розуміти виклики у сфері кібербезпеки.

Завдання експерта-консультанта під час TTX (участь) 1.

Надання підказок учасникам: Надання учасникам підказок та рекомендацій у ситуаціях, коли вони стикаються з труднощами або не впевнені у виборі оптимального шляху дій. Допомога в розумінні наслідків прийнятих рішень.

2. Оцінювання ризиків: Надавати допомогу в оцінюванні потенційних наслідків та ризиків, пов’язаних із різними діями та рішеннями учасників. Допомогти їм визначити пріоритети на основі оцінювання ризиків.

3. Технічна інформація: Надання технічної інформації та пояснень щодо концепцій, інструментів і технологій кібербезпеки, які стосуються сценарію. Роз’яснення технічних деталей та надання відповідей на запитання учасників.

4. Аналіз інциденту: Детальний аналіз подій у сценарії для визначення потенційних векторів атак, вразливостей та індикаторів компрометації. Оцінювання ефективності реагування учасників та рекомендації щодо їх покращення.

5. Розуміння зловмисника: Надати учасникам інформацію про мотивацію, тактику, методи та процедури потенційних зловмисників чи опонентів, якщо це доречно для сценарію. Допомогти учасникам зрозуміти бачення зловмисника.

40

ПІДГОТОВКА КОМАНДИ ДО КОМАНДНО-ШТАБНИХ НАВЧАНЬ НА НАЦІОНАЛЬНОМУ РІВНІ

6. Розподіл ресурсів: Рекомендувати розподіл ресурсів, включаючи персонал, інструменти і технології, для ефективного реагування на сценарій.

7. Підказки з юридичних питань та з питань дотримання вимог: Надавати підказки щодо правових та регуляторних аспектів, таких як закони про захист персональних даних, вимоги щодо звітності про інциденти і додержання регуляторних стандартів. Переконатися, що учасники знають про свої зобов’язання.

8. Технічні демонстрації (за потреби): Проводити технічні демонстрації чи симуляції, щоб наочно показати концепції кібербезпеки, сценарії атак чи методи пом’якшення наслідків.

9. Навчання та підвищення рівня обізнаності: Використовувати ТТХ як можливість проінформувати учасників про нові загрози, кращі практики кібербезпеки та важливість постійного навчання і підвищення рівня обізнаності.

10. Володіння актуальною інформацією: Постійно оновлювати свої знання про загрози й тенденції в галузі кібербезпеки, щоб ваші вказівки залишалися актуальними.

Завдання експерта-консультанта після TTX (експертна підтримка) 1.

Зворотний зв’язок та оцінювання: Надавати зворотний зв’язок та оцінку діям, рішенням і стратегіям учасників. Пропонувати конструктивну критику та пропозиції щодо можливих поліпшень.

2. Аналіз результатів проведених заходів: Брати участь у сесії підбиття підсумків, обмінюючись власними думками, спостереженнями та рекомендаціями на основі результатів навчань. Співпрацювати з іншими для визначення досвіду для засвоєння та можливостей для вдосконалення.

ПІДГОТОВКА КОМАНДИ ДО КОМАНДНО-ШТАБНИХ НАВЧАНЬ НА НАЦІОНАЛЬНОМУ РІВНІ

41

42

ВИЗНАЧЕННЯ УЧАСНИКІВ

ВИЗНАЧЕННЯ УЧАСНИКІВ Хто бере участь у ТТХ Визначення уповноважених державних органів: Основною метою національних командно-штабних навчань є моделювання комплексного та скоординованого реагування на серйозний кіберінцидент або загрозу на загальнонаціональному рівні. Для забезпечення успіху навчань необхідно визначити відповідні державні органи та установи, які візьмуть у них участь. Їх слід обирати і групувати, якщо це релевантно процесу опрацювання сценарію, відповідно до їх галузевої належності. Такий підхід допоможе реалістично і тематично організувати сценарій вправи, що сприятиме ефективній і цілеспрямованій співпраці між учасниками під час ТТХ. Якщо це передбачено сценарієм та метою ТТХ, то тематичний розподіл груп на основі спільних зацікавлених сторін та бачення дає змогу ретельно дослідити і зафіксувати специфічні погляди для кожної галузі. Це також спрощує визначення потреб у комунікації між цими групами та сприяє ефективнішому використанню часу, відведеного на вправу. Відбір учасників: Ідеальними учасниками таких навчань будуть члени груп планування на випадок надзвичайних ситуацій, груп реагування на кризові ситуації та груп управління надзвичайними ситуаціями, відповідальні за захист, реагування або підтримку відновлення після масштабної кібератаки проти всієї країни. Незважаючи на те що не всі перелічені групи зацікавлених сторін повинні бути присутніми на TTX, добре підібраний склад учасників підвищує реалістичність заходу і допомагає більш детально дослідити спроможність країни реагувати на кіберзагрози. Ось приклади ключових груп зацікавлених сторін, які можна розглянути як потенційних учасників національних TTX.

Представники, участь яких є обов’язковою Органи державної влади: Апарат Ради національної безпеки і оборони України (РНБО) / Національний координаційний центр кібербезпеки при РНБО України — основний державний орган, відповідальний за координацію при реагуванні на інциденти кібербезпеки на національному рівні. Організації-члени Національного координаційного центру кібербезпеки при РНБО України — органи, відповідальні за національну систему кібербезпеки. Секторальні органи — якщо сценарій стосується одного чи декількох секторів, що належать до критичної інфраструктури, то важливою є участь міністерств, які здійснюють державну політику щодо цих галузей. ВИЗНАЧЕННЯ УЧАСНИКІВ

43

Державна служба України з питань надзвичайних ситуацій — орган, що відповідає за координацію реагування на стихійні лиха та катастрофи. Представники критичної інфраструктури: Якщо це відповідає сценарію, то представники галузей, критично важливих для національної безпеки та економіки, таких як енергетика, фінанси, охорона здоров’я, транспорт і телекомунікації. Сюди входять організації, установи та відомства з приватного сектору та оператори об’єктів критичної інфраструктури.

Представники галузей, участь яких є необов’язковою Приватний сектор: Представники підприємств і галузевих асоціацій, зокрема тих, які можуть бути мішенню для зловмисників національного рівня або відіграють важливу роль у національній інфраструктурі. Науково-дослідні установи: Експерти з кібербезпеки, дослідники та викладачі, що можуть надати інформацію про нові загрози та сучасні кіберможливості. Експерти з юридичних питань та з питань дотримання вимог (англ. — Regulatory Compliance): Фахівці в галузі права з досвідом у сфері кібербезпеки та реагування на кіберінциденти для вирішення правових і регуляторних питань. Експерти зі зв’язків із громадськістю та комунікацій: Фахівці, що можуть управляти комунікаціями під час кіберінциденту та ефективно опрацьовувати запити від ЗМІ. Компанії, що надають послуги у сфері безпеки, та консультанти з безпеки: Експерти з компаній, що надають кібербезпекові послуги, та консалтингових фірм, що можуть надати технічні рекомендації та допомогу. Представники місцевої влади: Місцеві органи влади можуть відігравати певну роль у реагуванні та координації інцидентів, особливо якщо інцидент має регіональні наслідки. Міжнародні партнери: Представники країн або міжнародних організацій, установ і відомств, що можуть постраждати від інциденту кібербезпеки або бути зацікавленими в ньому.

Представники, що надають додаткову підтримку під час вправ, участь яких є необов’язковою Оцінювачі: Незалежні оцінювачі, що можуть надати об’єктивну оцінку процесу вправи.

44

ВИЗНАЧЕННЯ УЧАСНИКІВ

ВИЗНАЧЕННЯ УЧАСНИКІВ

45

46

РОЛЬ УЧАСНИКА ПІД ЧАС ВПРАВИ

РОЛЬ УЧАСНИКА ПІД ЧАС ВПРАВИ Усі учасники мають грати свою роль у сценарії ТТХ так, ніби це справжня ситуація в режимі реального часу. Для ефективної роботи учасники повинні ознайомитися з метою заходу, яка буде вказана в запрошенні та / або роздаткових матеріалах. Крім того, перед проведенням вправи учасники можуть попередньо проглянути основні матеріалами, а також: 1. Ознайомитися з процесами обміну та поширення даних та інформації стосовно ймовірної загрози для власників / операторів об’єктів критичної інфраструктури на території країни.

2. Оцінити можливості обміну інформацією та даними з громадськістю; партнерами із приватного сектору; центральними та місцевими органами влади, відомствами та агенціями відповідно до чинних планів і процедур.

3. Обговорити плани готовності до надзвичайних ситуацій зацікавлених сторін із приватного сектору, порядків (процедур) готовності та реагування на багатоетапний інцидент, а також координацію діяльності з центральними та місцевими органами влади.

4. Ознайомитися з планами безперервності ділової активності / плани забезпечення безперервності діяльності організацій (за наявності), що беруть участь у вправі, за підсумками наслідків атаки на критичну інфраструктуру.

Обов’язки присутніх Бути готовими брати участь у дискусії. Комунікувати приязно та доброзичливо. Пам’ятати, що не мати відповіді — це нормально. Приймати сценарій і працювати в рамках визначених параметрів.

Групування учасників Організація заходів для великої та різноманітної за своїм складом групи активних учасників із різним досвідом та з різних відомств викликає значні труднощі. У відпрацюванні міжвідомчої взаємодії під час TTX можливим є тематичний підхід групування учасників, що допомагає забезпечувати комунікацію, масштабування та адаптацію сценаріїв до специфіки кожної галузі у групах від 8 до 12 учасників, об’єднаних за сферами. Кожна група повинна включати принаймні одного фасилітатора, одного експерта з кібербезпеки або відповідно до теми навчань та одного протоколіста. Координацію заходу забезпечує головний фасилітатор. «Виклики» зовнішніх фахівців, які можуть перебувати в режимі очікування під час заходу, можна забезпечити за допомогою фізичних або віртуальних каналів, кабінетів або фізичного зонування, і ці аспекти є ключовими під час вибору місця проведення заходу. РОЛЬ УЧАСНИКА ПІД ЧАС ВПРАВИ

47

48

ПІДГОТОВКА РОЗДАТКОВИХ МАТЕРІАЛІВ

ПІДГОТОВКА РОЗДАТКОВИХ МАТЕРІАЛІВ Ефективне проведення командно-штабних навчань передбачає добре структурований комплект документів і матеріалів. Нижче наведено основні документи, які доцільно додати до роздаткових матеріалів: 1.

Програма проведення навчань: Надайте всім учасникам детальну програму проведення навчань із зазначенням часу початку і закінчення, перерв і періодів для обговорення на місці проведення заходу в день навчань або в електронному вигляді заздалегідь до початку навчань.

2. Сценарій: Додайте документи, які описують вигаданий сценарій ТТХ. Вони можуть описувати характер інциденту, зловмисників та розвиток ситуації. Карти і діаграми: Якщо це доречно для сценарію, додайте карти, діаграми чи схеми для візуалізації сценарію або розташування об’єктів критичної інфраструктури.

3. Правила для учасників: Посібники для учасників мають містити стислу інформацію про розподіл ролей та обов’язків, інструкції та відповідні довідкові дані, і їх слід видавати особам, які братимуть участь у ТТХ, лише за необхідності.

4. Пакет матеріалів для фасилітаторів: Посібники для головного фасилітатора та групових фасилітаторів — це необхідний документ для тих осіб, хто відповідає за організацію та проведення навчань. Вони містять вказівки щодо того, як проводити ТТХ, вводити зміни тактичної обстановки та спрямовувати обговорення.

5. Пакет матеріалів для спостерігачів / протоколістів: Надайте посібники із вказівками присутнім спостерігачам / протоколістам, які визначають їхні ролі та обов’язки. Ці посібники можуть включати форми для запису подій, вказівки щодо оцінювання, подання зворотного зв’язку та критеріїв оцінювання.

6. Пакет матеріалів для експертів-консультантів: Надайте опитувальники щодо дотримання вимог. Якщо TTX включає технічні компоненти, надайте інформацію щодо підтримки у сфері ІТ і з технічних питань, включаючи контактну інформацію для допомоги у вирішенні технічних питань, які можуть виникнути.

ПІДГОТОВКА РОЗДАТКОВИХ МАТЕРІАЛІВ

49

7. Форми оцінювання та кількісні чи якісні показники: Розробіть форми оцінювання та кількісні чи якісні показники для оцінювання досвіду та бачення учасників наприкінці вправи. Ці форми повинні відповідати цілям та завданням навчань і забезпечувати структурований спосіб збору зворотного зв’язку. Форми зворотного зв’язку: Підготуйте форми зворотного зв’язку для учасників. Ці форми використовуються для збору відгуків про ефективність навчань та визначення сфер, які потребують вдосконалення.

8. Довідкові матеріали: Надайте всі необхідні довідкові матеріали, такі як приклади політик кібербезпеки, плани реагування на інциденти, списки контактів та відповідну документацію, яка може знадобитися учасникам під час навчань.

9. Шаблон аналізу результатів проведених заходів: Додайте шаблон або документ, який буде використовуватися для запису цікавих рішень, результатів, засвоєного досвіду, рекомендацій та заходів, визначених під час сесії підсумкового аналізу навчань.

10. Додаткові матеріали (за потреби): Залежно від складності та цілей TTX ви можете включити додаткові матеріали, такі як посібники щодо реагування на інциденти, звіти з інформацією про кіберзагрози або спеціальну технічну документацію. Переконайтеся, що всі документи добре структуровані та легко доступні для учасників і персоналу, залученого до проведення TTX. Чітка і лаконічна документація сприяє безперебійному проведенню навчань і ефективному досягненню цілей.

50

ПІДГОТОВКА РОЗДАТКОВИХ МАТЕРІАЛІВ

ПІДГОТОВКА РОЗДАТКОВИХ МАТЕРІАЛІВ

51

52

ВИЗНАЧЕННЯ МІСЦЯ ПРОВЕДЕННЯ

ВИЗНАЧЕННЯ МІСЦЯ ПРОВЕДЕННЯ Вибір відповідного місця для проведення національних командно-штабних навчань є критичним для успіху заходу. Нижче представлено критерії, які допоможуть вам вибрати місце проведення: 1.

Вимоги до приміщення: Почніть із визначення вимог до приміщення для проведення ТТХ. Поміркуйте про кількість учасників, фасилітаторів, експертів, спостерігачів / протоколістів та інших запрошених осіб, які будуть присутніми під час вправи. Визначте план розміщення та конфігурацію приміщень для пленарних засідань, групових обговорень та роботи допоміжного персоналу. Обирайте локацію, зважаючи на її зручність розташування та легкодоступність для учасників із різних відомств та / чи регіонів.

2. Безпека та конфіденційність: З урахуванням чутливого характеру TTX з кібербезпеки віддайте перевагу місцям, які гарантують належні заходи безпеки. Оцініть фізичну безпеку, контроль доступу та можливість обмежити несанкціонований доступ до конфіденційної інформації та обговорень.

3. Мережева інфраструктура: Переконайтеся, що місце проведення має надійну та безпечну мережеву інфраструктуру, яка відповідає технічним вимогам TTX. Це включає високошвидкісне підключення до інтернету, міжмережеві екрани та можливості моніторингу мережі.

4. Аудіовізуальне обладнання: Оцініть наявність і якість аудіовізуального обладнання, такого як проєктори, екрани, мікрофони, та можливості проведення відеоконференцій. Ці елементи необхідні для проведення презентацій, інструктажів щодо сценарію та комунікації під час вправи.

5. Потреби в електроенергії: Переконайтеся, що місце проведення відповідає вимогам вправи щодо електропостачання, включаючи наявність достатньої кількості розеток та резервних джерел живлення на випадок знеструмлення.

6. Служби технічної підтримки: Дізнайтеся про наявність на місці служб технічної підтримки, таких як персонал технічної підтримки, координатори заходу та послуги кейтерингу. Належна технічна підтримка може сприяти безперешкодному проведенню ТТХ.

7. Забезпечення вимог для роботи з інформації з обмеженим доступом (за потреби):

ВИЗНАЧЕННЯ МІСЦЯ ПРОВЕДЕННЯ

53

Якщо ТТХ пов’язані із засекреченою або чутливою інформацією, перевірте, чи відповідає обране приміщення вимогам роботи з такою інформацією та чи у всіх потенційних учасників є належний рівень доступу до інформації з обмеженим доступом. Готовність до надзвичайних ситуацій: Оцініть готовність місця проведення до надзвичайних ситуацій та наявність планів реагування. Переконайтеся, що на місці існують протоколи на випадок непередбачуваних інцидентів або збоїв у роботі під час проведення ТТХ.

8. Витрати і бюджет: Складіть бюджет для місця проведення ТТХ, враховуючи витрати на оренду приміщення, аудіовізуальне обладнання, послуги технічної підтримки та будь-які додаткові заходи безпеки. Переконайтеся, що обране місце проведення відповідає обмеженням вашого бюджету.

9. Доступність і планування часових рамок: Перевірте доступність місця проведення на потрібні дати і тривалість ТТХ. Переконайтеся, що це не конфліктує з іншими заходами чи зобов’язаннями, які можуть вплинути на проведення навчань.

10. Відвідування місця проведення: За можливості відвідайте місце проведення, щоб особисто оцінити, наскільки воно підходить. Це дозволить вам виявити будь-які потенційні труднощі, які можуть бути неочевидними лише з документації.

11. Договір та домовленості: Перегляньте й обговоріть договір або домовленості з представниками місця проведення, щоб узгодити очікування, зобов’язання, цінову політику та умови скасування. Переконайтеся, що всі умови задокументовані та узгоджені.

12. Планування на випадок непередбачуваних ситуацій: Розробіть плани на випадок непередбачуваних ситуацій, пов’язаних із місцем проведення заходу. Визначте резервні місця проведення або альтернативні заходи для пом’якшення наслідків потенційних збоїв. Ретельно зваживши ці чинники, ви зможете обрати відповідний майданчик, який відповідатиме вимогам національних TTX з кібербезпеки та сприятиме успішному проведенню навчань.

54

ВИЗНАЧЕННЯ МІСЦЯ ПРОВЕДЕННЯ

ВИЗНАЧЕННЯ МІСЦЯ ПРОВЕДЕННЯ

55

56

ЗАПРОШЕННЯ УЧАСНИКІВ

ЗАПРОШЕННЯ УЧАСНИКІВ Попередньо проінформуйте учасників про цілі та правила навчань: Необхідно розповісти про навчання та надати відповідну довідкову інформацію в запрошенні: інформація про місце проведення, правила проведення ТТХ, роздаткові матеріали тощо. Представлення відповідної інформації про захід і забезпечення учасників розумінням контексту викликів, з якими вони можуть стикнутися, допомагає підготувати запрошених до навчання. У випадку, якщо це передбачено сценарієм, поширте будь-які відповідні матеріали, такі як нормативно-правові документи та / або зразки відповідних політик та планів. Зокрема, якщо це перший захід такого типу з багатьма учасниками, до запрошення рекомендується додати прохання до установ-учасниць заповнити й завчасно надіслати організаторам технічні опитувальники (див. Додаток 1). За умов проведення попереднього тестування сценарію, надайте учасникам інформацію про формат і дату проведення цього заходу. Рекомендується провести попереднє тестування вправи за участі головного фасилітатора, експерта і спостерігача / протоколіста, щоб переконатися у зрозумілості сценарію та зручності роздаткових матеріалів, з’ясувати час, необхідний для виконання вправи, наявність усіх необхідних технічних засобів (наприклад, екранів і мікрофонів). Приклад листа-запрошення наведений у Додатку 4.

ЗАПРОШЕННЯ УЧАСНИКІВ

57

58

ПРОЦЕС TTX

ПРОЦЕС TTX Як розпочати TTX? Покрокова інструкція Для досягнення поставлених цілей командно-штабні навчання повинні бути ретельно структуровані. Використання структурованого підходу до ТТХ допомагає ефективно тестувати, вдосконалювати і постійно підвищувати навички реагування на інциденти кібербезпеки. ЕТАП

ЗМІСТ

Вступне слово

•

Пояснення учасникам (головний фасилітатор)

Розкрийте такі тези: • Суть вправ.

• Жодних обмежень у часі.

• Безпечне середовище.

• Немає безперервного запису, до протоколу вносяться лише дії / результати.

• Немає правильних чи неправильних відповідей.

• Це не тест і не перевірка.

• Вправа розроблена для стимулювання дискусії.

• Чим більше учасники залучені, тим кращий результат.

• Учасники мають поставитися до вправи як до реального сценарію.

• Передісторія сценарію.

• Інші необхідні правила.

• •

Почніть навчання (всі фасилітатори, спостерігачі / протоколісти, експерти)

• • •

Представлення учасників та їхніх ролей у вправах.

Головний фасилітатор: • представляє сценарій. Фасилітатори в групах (або головний фасилітатор, якщо група одна): • Дозвольте обговоренню розвиватися у природний спосіб.

• Визначте ризики та проблеми, кроки, яких слід дотримуватися, тощо.

• Використовуйте навідні запитання, щоб стимулювати розмову. Наприклад, «Як би ви вчинили в цій ситуації?». Головний фасилітатор буде презентувати зміни тактичної обстановки / ввідні у міру їх виникнення в рамках сценарію. Спостерігачі / протоколісти реєструють ключові моменти, додаткові запитання та дії під час проведення вправи. Учасники обговорюють сценарій та реагують на нього, ніби він відображає реальні події та інциденти.

ПРОЦЕС TTX

59

•

•

• Задокументуйте навчання, використовуючи листи для записів (див. Додаток 3) та подані опитувальники щодо дотримання вимог у разі потреби (спостерігачі / протоколісти й експерти)

•

•

•

Робіть записи під час обговорень, використовуючи інструкції щодо ведення протоколу та подані листи для записів, щоб сформувати структуровану основу для розбору навчань після їх проведення. Використовуйте опитувальники щодо дотримання вимог для перевірки та фіксації того, чи було вжито достатньо заходів для відповіді «так» чи «ні» на кожне запитання, якщо це необхідно. Опитувальники щодо дотримання вимог (англ. — Regulatory Compliance) можуть бути заповнені групами експертів (ІТ / кібербезпека) до початку навчань або під час навчань, якщо заздалегідь вони не були заповнені повністю. Використовуйте розділ «Примітки» для фіксації відповідей і ключових моментів: • Короткі підсумки щодо прийнятих рішень під час фасилітації сценарію.

• Наведіть приклади кращих практик.

• Спостереження та докази — елементи, які є в наявності та допомагають під час інциденту. Використовуйте розділ «Відкриті запитання / проблеми» для фіксації запитань.

• Сфери, які потребують додаткової інформації / дослідження.

• Додаткові запитання та виявлені проблеми. У розділі «Дії» зафіксуйте вдосконалення.

• Дії — те, що, як нам тепер відомо, можна виконати в межах наявних ресурсів.

• Засвоєний досвід, тобто те, що нам тепер відомо і для вирішення чого знадобляться додаткові ресурси / проєкт.

Створення сприятливого середовища Створення сприятливого реалістичного середовища має критичне значення для успішного проведення навчань із кібербезпеки, і це зумовлено декількома чинниками: 1.

Залученість учасників: Основною метою сприятливого середовища є відтворення реальних умов та викликів, які може спричинити інцидент кібербезпеки для організації. Якщо створити реалістичний сценарій, то учасники з більшою ймовірністю будуть серйозно брати участь у вправі та прийматимуть рішення так, як ніби вони опинилися в умовах справжньої кризи. Такий підхід дає змогу точно оцінити готовність і спроможність організації до реагування.

2. Виявлення слабких місць: Сприятливе середовище дозволяє на міжвідомчому рівні, а також на рівні організацій чи навіть окремих департаментів виявити слабкі місця, вразливості та прогалини у своїх планах і процедурах реагування на інциденти кі60

ПРОЦЕС TTX

бербезпеки. Нереалістичний чи надто спрощений сценарій може залишити ці недоліки прихованими, і вправа не дасть цінної інформації, необхідної для вдосконалення.

3. Вироблення навичок прийняття рішень: Реалістичне середовище заохочує учасників до прийняття реальних рішень, враховуючи контекст сценарію. Ця практика розвиває навички прийняття рішень та ознайомлює учасників із протоколами та процедурами реагування організації.

4. Тестування зв’язку / комунікацій: Ефективна комунікація є критично важливим елементом реагування на інциденти. У сприятливому середовищі учасники можуть вправлятися в комунікації не лише всередині своїх команд, але й із зовнішніми зацікавленими сторонами, такими як органи правопорядку, регуляторні органи, клієнти та ЗМІ. Це гарантує, що канали зв’язку будуть добре налагоджені та функціонуватимуть під час реального інциденту.

5. Стрес-тестування: Інциденти кібербезпеки можуть викликати стрес, і особи, які приймають рішення, повинні вміти діяти під тиском. Сприятливе середовище може передбачати введення стресових чинників та часових обмежень, і це дає учасникам змогу відчути тиск, який супроводжує реальні інциденти. Це допомагає їм розвинути стійкість і адаптивність.

6. Можливості для навчання: Середовище, що максимально наближене до реальних умов, надає численні можливості для навчання та розвитку навичок. Учасники можуть припускатися помилок та вчитися на них без реальних наслідків, що допомагає покращити їхні навички реагування на інциденти.

7. Координація зацікавлених сторін: Сприятливе середовище полегшує координацію різних зацікавлених сторін, як внутрішніх, так і зовнішніх. Це є важливим для ефективного реагування на інцидент, коли різні команди повинні працювати разом, щоб локалізувати і пом’якшити наслідки. Отже, створення сприятливого середовища є ключовим елементом для успішного проведення командно-штабних навчань із кібербезпеки, оскільки воно забезпечує реалістичність, залученість і ефективну перевірку спроможностей організацій реагувати на інциденти. Моделюючи правдоподібний сценарій кіберінциденту, на міжвідомчому рівні, а також на рівні організацій чи навіть окремих департаментів можуть бути виявлені слабкі місця, відпрацьовані прийняття рішень, покращена комунікація і, зрештою, підвищена загальна готовність до реагування на загрози кібербезпеки.

ПРОЦЕС TTX

61

62

ЗВОРОТНИЙ ЗВ’ЯЗОК

ЗВОРОТНИЙ ЗВ’ЯЗОК Збір зворотного зв’язку після проведення навчань: Перед завершенням вправи зберіть відгуки від кожного з учасників, наприклад, за допомогою шаблону зворотного зв’язку щодо самого перебігу навчань, щоб переконатися, що вони відповідали їхнім очікуванням і стимулювала рефлексію. Питайте про думку учасників щодо процесу виконання вправи загалом. Дізнайтеся, як вони оцінюють чіткість інструкцій, реалістичність сценарію та ефективність фасилітації. Шаблон зворотного зв’язку наведений у Додатку 5.

ЗВОРОТНИЙ ЗВ’ЯЗОК

63

64

РОЗБІР НАВЧАНЬ ПІСЛЯ ЇХ ПРОВЕДЕННЯ / ЗАВЕРШЕННЯ ВПРАВИ (HOTWASH)

РОЗБІР НАВЧАНЬ ПІСЛЯ ЇХ ПРОВЕДЕННЯ / ЗАВЕРШЕННЯ ВПРАВИ (HOTWASH) Підсумкова сесія є важливим етапом завершення командно-штабних навчань, під час якої всі учасники збираються разом, щоб обговорити вправу, проаналізувати ключові висновки та переконатися, що засвоєний досвід ефективно узагальнено. Нижче наведено складові, які слід включити до підсумкової сесії ТТХ: 1.

Вступ та мета: Розпочніть підсумкову сесію з представлення її мети. Поясніть, що її завданням є аналіз вправи, збір ідей і визначення можливостей для вдосконалення.

2. Повторення цілей та завдань навчань: Нагадайте учасникам про початкові цілі та завдання ТТХ. Переконайтеся, що всі розуміють, чого вони мали досягти під час виконання вправи.

3. Повторення сценарію: Зробіть короткий огляд сценарію навчань, включаючи ключові події, інциденти і розвиток ситуації під час ТТХ.

4. Зворотний зв’язок щодо навчань: Запросіть одного представника від кожної групи, якщо вони були, підбити підсумки обговорення та озвучити рекомендації.

5. Подяка і визнання: Висловіть подяку та визнання окремим особам чи командам за їхній значний внесок чи плідну роботу під час ТТХ. Підкресліть досягнення і позитивні результати.

6. Наступні кроки і подальші дії: Обговоріть наступні кроки після підсумкової сесії. Це може включати розроблення плану дій, розподіл обов’язків та планування подальших заходів.

7. Закриття і подяка: Завершіть підсумкову сесію, подякувавши всім учасникам за їхній внесок, ідеї та прагнення покращити реагування на інциденти та готовність до них. Наголосіть на важливості постійного вдосконалення.

8. Підсумковий звіт і його поширення: Підкресліть, що отримані висновки та рекомендації будуть включені до підсумкового звіту з аналізом результатів проведених заходів, який буде наданий зацікавленим сторонам для подальших дій та впровадження. Включення цих елементів до підсумкової сесії ТТХ сприятиме ефективному узагальненню цінної інформації, розвиватиме культуру постійного вдосконалення і забезпечить те, що здобутий досвід легко перетвориться на конкретні кроки для підвищення стійкості й готовності у сфері кібербезпеки. РОЗБІР НАВЧАНЬ ПІСЛЯ ЇХ ПРОВЕДЕННЯ / ЗАВЕРШЕННЯ ВПРАВИ (HOTWASH)

65

66

СЕСІЯ ПІДБИТТЯ ПІДСУМКІВ

СЕСІЯ ПІДБИТТЯ ПІДСУМКІВ Аналіз результатів проведених заходів (обговорення спостережень та засвоєного досвіду) Дослідження результатів навчань є важливим етапом у процесі TTX, оскільки дозволяє зібрати відгуки, ретельно проаналізувати сильні та слабкі сторони навчань і визначити сфери, які потребують вдосконалення. Покрокова інструкція з проведення підсумкової сесії з оцінки командно-штабних навчань є такою: Плануйте наперед: Включіть сесію підбиття підсумків до загального процесу планування навчань. Переконайтеся, що учасники і група планування поінформовані щодо проведення цієї сесії та її цілей. Оберіть групу для проведення сесії підбиття підсумків: Сформуйте групу для проведення сесії, яка включатиме експертів із різних областей, членів групи планування навчань, фасилітаторів та інших осіб (можливо, учасників). Визначте порядок денний: Створіть структурований порядок денний для проведення сесії. Визначте теми для обговорення та відведіть час на обговорення кожного пункту. Зберіть дані та документацію: Зберіть усі відповідні дані та документацію з ТТХ, включаючи журнали вправ, форми зворотного зв’язку від учасників, нотатки та спостереження фасилітатора, а також за наявності аудіо- та відеозаписи. Переконайтеся, що у вас є повний комплект записів щодо вправи. Проведіть сесії підбиття підсумків: Під час сесії дотримуйтеся нижченаведених ключових кроків: • Вступ: Почніть із пояснення мети та порядку денного сесії.

• Огляд цілей, даних і документації: Обговоріть початкові цілі та заплановані результати TTX, переконайтеся, що учасники розуміють, чого саме планувалося досягти.

• Повторення сценарію: Надайте короткий огляд сценарію навчань, змін тактичної обстановки та ключових подій, що відбулися під час TTX. • Сильні сторони та досягнення: Заохочуйте учасників ділитися позитивними враженнями і тим, що пройшло добре під час TTX. Обговоріть досягнення, ефективні стратегії та позитивні результати.

• Можливості для вдосконалення: Визначте й обговоріть аспекти, в яких можна було б покращити проведення ТТХ. Це можуть бути питання, пов’язані з комунікацією, координацією, прийняттям рішень або технічними проблемами. СЕСІЯ ПІДБИТТЯ ПІДСУМКІВ

67

• • • •

Засвоєний досвід: Заохочуйте учасників ділитися цінним досвідом, здобутим під час навчання. Зосередьтеся на практичних знаннях, які можна застосувати для покращення реагування на інцидент або готовності до нього. Рекомендації: На основі зворотного зв’язку та обговорень сформулюйте конкретні рекомендації для покращення майбутніх навчань / вправ чи можливостей реагування на інциденти. Дії та заходи: Призначте відповідальних за виконання рекомендацій (це можуть бути окремі особи або групи). Переконайтеся, що заходи є чіткими, здійсненними та мають кінцеві строки (дедлайни). Запитання та відповіді, підсумки: Підсумуйте ключові висновки сесії, подякуйте учасникам за їхню участь і наголосіть на важливості постійного вдосконалення.

Документування аналізу результатів проведених заходів: Запишіть результати сесії підбиття підсумків, включаючи сильні сторони, можливості для вдосконалення, засвоєний досвід, рекомендації та заходи. Створіть комплексний звіт, яким можна буде поділитися з іншими зацікавленими сторонами. Шаблон аналізу результатів проведених заходів наведено в Додатку 7.

Підготовка проєкту підсумкового звіту з аналізом результатів проведених заходів / плану вдосконалення Розроблення плану дій для вдосконалення Розроблення плану дій для вдосконалення, заснованого на аналізі результатів навчань із кібербезпеки, полягає в перетворенні засвоєного досвіду та рекомендацій з TTX на конкретні заходи. Ось покрокова інструкція з розроблення плану дій для вдосконалення кібербезпеки: Група планування Ознайомтеся з підсумковим звітом про аналіз результатів проведених заходів: Почніть з ретельного огляду звіту, складеного за результатами TTX. Аналіз результатів проведених заходів повинен містити короткий огляд сильних сторін, можливостей для вдосконалення, засвоєного досвіду та рекомендацій. Визначте пріоритетні сфери для вдосконалення: На основі звіту визначте ключові сфери чи аспекти кібербезпеки, які вимагають негайної уваги. Визначте пріоритетність цих сфер, враховуючи їхній потенційний вплив на стійкість кібербезпеки та загальний стан безпеки організації. Встановлюйте чіткі та конкретні цілі: Для кожної пріоритетної сфери вдосконалення сформулюйте чіткі та конкретні цілі. Переконайтеся, що цілі відповідають принципам постановки SMART (конкретні, вимірні, досяжні, актуальні, обмежені в часі). Цілі мають чітко формулювати, що ви плануєте досягти за допомогою плану дій.

68

СЕСІЯ ПІДБИТТЯ ПІДСУМКІВ

Визначте конкретні кроки: Розбийте кожну ціль на конкретні кроки чи завдання. Ці кроки мають відображати, як саме будуть досягнуті визначені цілі. Уточніть деталі кожного завдання, визначте відповідальних осіб та терміни виконання.

Представлення висновків, плану дій та рекомендації Поширте звіт за результатами навчань серед усіх зацікавлених сторін, включаючи учасників, спеціалістів із групи планування, керівництво організації та осіб, відповідальних за виконання рекомендацій.

СЕСІЯ ПІДБИТТЯ ПІДСУМКІВ

69

70

РЕАЛІЗАЦІЯ ПЛАНУ ДІЙ ДЛЯ ВДОСКОНАЛЕННЯ

РЕАЛІЗАЦІЯ ПЛАНУ ДІЙ ДЛЯ ВДОСКОНАЛЕННЯ Заходи щодо впровадження результатів командно-штабних навчань Учасники та зацікавлені сторони 1.

Розподіліть обов’язки: Чітко розподіліть обов’язки між окремими особами або групами для кожного пункту із запланованих заходів. Забезпечте підзвітність за виконання завдань. Призначайте осіб із відповідними навичками та досвідом для ефективного виконання завдань.

2. Встановіть терміни: Визначте кінцеві строки для кожного пункту із запланованих заходів. Задайте реалістичні часові межі, враховуючи складність завдань і ресурси. Наявність дедлайнів сприяє прогресу і підзвітності.

3. Розподіліть ресурси: Визначте ресурси, необхідні для виконання плану дій. Це можуть бути персонал, бюджет, технології, навчання або будь-які інші необхідні ресурси. Переконайтеся, що на підтримку плану виділено достатньо ресурсів.

4. Визначте ключові показники ефективності: Встановіть ключові показники ефективності або кількісні чи якісні показники для вимірювання перебігу реалізації та успішності. Визначте, як ви будете оцінювати ефективність заходів, вжитих для вдосконалення кібербезпеки.

5. Моніторинг і відстеження перебігу реалізації: Впровадьте систему моніторингу та відстеження для регулярного оцінювання перебігу реалізації плану дій. Призначте відповідального за нагляд за виконанням плану та забезпечення оновлення інформації про стан справ.

6. Комунікація та звітування: Розробіть план комунікації, щоб інформувати зацікавлені сторони про перебіг реалізації плану дій. Регулярно звітуйте про досягнення, виклики та будь-які зміни у плані.

7. Перегляд і коригування: Періодично переглядайте план дій, щоб забезпечити його відповідність актуальним потребам та загрозам кібербезпеки. За потреби вносьте корективи або уточнення для адаптації до змін. РЕАЛІЗАЦІЯ ПЛАНУ ДІЙ ДЛЯ ВДОСКОНАЛЕННЯ

71

8. Навчання та підвищення рівня обізнаності: Якщо план дій включає ініціативи щодо навчання чи підвищення рівня обізнаності, переконайтеся, що відповідний персонал пройшов необхідну підготовку та підвищення кваліфікації для вдосконалення кібербезпеки.

9. Документування: Ведіть детальну документацію щодо плану дій, включаючи цілі, завдання, обов’язки, терміни та звіти про перебіг реалізації. Це документування є важливим для підзвітності та подальшого використання.

10. Постійне вдосконалення: Сприяйте розвитку культури постійного вдосконалення кібербезпеки. Заохочуйте зворотний зв’язок від зацікавлених сторін, регулярно оцінюйте ефективність заходів і будьте готові адаптувати й удосконалювати план за потреби.

11. Відзначайте досягнення: Визнавайте і відзначайте віхи та досягнення, здобуті в рамках плану дій. Це може підвищити моральний дух і мотивацію серед команд спеціалістів із питань кібербезпеки.

72

РЕАЛІЗАЦІЯ ПЛАНУ ДІЙ ДЛЯ ВДОСКОНАЛЕННЯ

РЕАЛІЗАЦІЯ ПЛАНУ ДІЙ ДЛЯ ВДОСКОНАЛЕННЯ

73

74

ДОДАТОК 1. ІНСТРУКЦІЇ ЩОДО ЗАПОВНЕННЯ ОПИТУВАЛЬНИКА TTX СТОСОВНО ДОТРИМАННЯ ВИМОГ

ДОДАТОК 1. ІНСТРУКЦІЇ ЩОДО ЗАПОВНЕННЯ ОПИТУВАЛЬНИКА TTX СТОСОВНО ДОТРИМАННЯ ВИМОГ Напередодні майбутніх національних командно-штабних навчань кожна організація, що бере участь, отримує запит на заповнення довідкової інформації з кібербезпеки за допомогою наведеного нижче опитувальника щодо дотримання вимог. Опитувальники щодо дотримання вимог повинні бути заповнені фахівцями з кібербезпеки / ІТ від кожної організації, що бере участь (1 відповідь від кожної організації). Це не тільки спрощує проведення навчань, зменшуючи обговорення технічних питань, але й надає інформацію про зміст планів дій та рекомендацій, які будуть представлені після заходу. Незалежно від того, як оцінюється дотримання вимог — через самооцінювання або посилання на чинний офіційний аудит кібербезпеки, — корисно, щоб у відповіді розглядалася організація загалом, а не окремі сфери відповідальності. Співробітники, які не знайомі з оцінюванням щодо дотримання вимог чи підготовкою до аудиту, повинні використовувати підхід «Що? / Як? / Продемонструйте» як основний орієнтир для прийняття рішення щодо того, чи має організація належний контроль та, отже, чи відповідає вона кожному твердженню в опитувальнику: Що? Якою є політика організації до цього твердження? Зазвичай це визначено в офіційному документі, такому як Політика, Стратегія або Корпоративний план. Для TTX у сфері кібербезпеки найбільш релевантними документами є План реагування на кіберінциденти і План безперервності ділової активності, якщо припускати, що кібератака включена до контексту Плану. Більш детальна інформація, якщо вона є, зазвичай міститься в операційних або технічних документах кожної установи. Як? Як реалізується ця політика? Чи прийняті процедури безпеки для реалізації політики організації? Методи або процедури можуть бути визначені в офіційному документі або підкріплені інструкцією. Продемонструйте. Політики та процедури ефективні лише тоді, коли вони впроваджуються. Підтвердити впровадження може, наприклад, перевірка документації, скриншотів конфігурації, інформаційних панелей програмного забезпечення, ДОДАТОК 1. ІНСТРУКЦІЇ ЩОДО ЗАПОВНЕННЯ ОПИТУВАЛЬНИКА TTX СТОСОВНО ДОТРИМАННЯ ВИМОГ

75

звітів про тести і вразливості, пріоритетних заходів / дій або системних журналів залежно від того, що найбільше відповідає твердженню. Відповіді необов’язково повинні бути вичерпними. Усі відповіді повинні бути записані в колонці «Вимоги виконані (Так / Частково / Ні)», яка виділена золотим кольором у таблицях опитувальника. Якщо у вашій організації існують прийнятні для вас засоби контролю за будь-яким із тверджень опитувальника, то в колонці щодо дотримання вимог слід зазначити «Так». Якщо на цей момент засоби контролю впроваджені не повністю, слід вказати відповідь «Частково». Якщо жодних засобів контролю не існує, то відповідь щодо дотримання вимог повинна бути записана як «Ні». Зверніть увагу, будь ласка, що відсутність відповіді за будь-яким із пунктів у колонці щодо дотримання вимог розглядатиметься як недотримання вимог.

Що таке опитувальник щодо дотримання вимог у кібербезпеці? Опитувальник щодо дотримання вимог містить структуровані таблиці з твердженнями, які розкривають конкретні вимоги та очікування з контролю та підтримки цифрової власності відповідно до найкращих практик, нормативно-правових актів та галузевих стандартів. Зазвичай організації використовують цей опитувальник для переконання, що вони виконують усі необхідні зобов’язання стосовно дотримання стандартів безпеки. Загалом, таблиця рівнів дотримання вимог забезпечує систематичний підхід до управління стійкістю в кібербезпеці та сприяє послідовному й комплексному виконанню зобов’язань. Особа, яка заповнює опитувальник, повинна уважно читати кожне твердження та вказувати в колонці «Дотримання вимог», чи його дотримуються, чи ні. Заповнення опитувальника має виконувати спеціаліст або група з кібербезпеки. Після заповнення, будь ласка, відправте заповнений опитувальник на електронну адресу, з якої його було отримано. Цей опитувальник розроблено для технічних представників вашої організації, які володіють знаннями з кібербезпеки. Відповіді на заповнені опитувальники використовуватимуться для надання рекомендацій з покращення та вдосконалення стійкості у сфері кібербезпеки після збору зворотного зв’язку та обговорення під час запропонованих командно-штабних навчань із кібербезпеки. Будь ласка, вкажіть дату заповнення опитувальника та назву вашої організації на першій сторінці опитувальника.

76

ДОДАТОК 1. ІНСТРУКЦІЇ ЩОДО ЗАПОВНЕННЯ ОПИТУВАЛЬНИКА TTX СТОСОВНО ДОТРИМАННЯ ВИМОГ

Заповнені опитувальники слід надіслати групі з планування заходу, використовуючи електронну адресу, яка вказана в запрошенні на національні TTX.

Опитувальник, частина 1: Виявлення інцидентів Виявлення інцидентів у сфері кібербезпеки включає в себе впровадження процесів, інструментів та методів, які сприяють виявленню інцидентів безпеки в ІТ-системах організації. Метою цього процесу є своєчасне та ефективне виявлення та реагування на інциденти безпеки, а також мінімізація впливу потенційно руйнівного інциденту на діяльність організації. Для виявлення інцидентів можуть застосовуватися різні технології безпеки, такі як системи виявлення та запобігання вторгненням, мережеві екрани, системи управління журналами, а також системи управління інформацією та подіями безпеки (SIEM). Нижче наведені таблиці, в яких у формі переліку нумерованих тверджень вказані засоби контролю, що визначають підходи та документацію, спрямовані на забезпечення кібербезпеки. Заповніть, будь ласка, частину 1 опитувальника, вказавши, чи ваша організація дотримується вимог з кожного твердження.

Назва організації

Дата, коли було заповнено опитувальник

Опитувальник, частина 1 1. ВИЯВЛЕННЯ ІНЦИДЕНТІВ В організаціях мають працювати системи моніторингу та процедури для виявлення кібератак.

1.1. Можливості щодо виявлення:

Вимоги виконані (Так/ Частково/ Ні)

Спроби доступу до систем або їх компрометації виявляються, оперативно оцінюються та розслідуються.

РІВЕНЬ 1

1. Зловмисники, що намагаються використовувати поширені методи кібератак, повинні бути позбавлені можливості отримати доступ до даних чи контролю над технологічними службами, і ця робота не буде ними помічена.

1. Впроваджено засоби контролю з виявлення, а також запобігання та відновлення для захисту від зловмисного програмного забезпечення.

РІВЕНЬ 2

2. Порушення політики виявляються відповідно до узгодженого переліку підозрілої або небажаної поведінки.

3. Забезпечено можливість розслідувати антивірусні сповіщення.

ДОДАТОК 1. ІНСТРУКЦІЇ ЩОДО ЗАПОВНЕННЯ ОПИТУВАЛЬНИКА TTX СТОСОВНО ДОТРИМАННЯ ВИМОГ

77

4. Створюються та використовуються сервіси з розвідки загроз для прийняття обґрунтованих рішень на основі інформації про ризики та загрози відповідно до потреб бізнесу, а також для інформування про аномальні профілі активності.

РІВЕНЬ 2

5. Є достатнє розуміння нормальної діяльності системи (наприклад, які компоненти системи повинні та не повинні взаємодіяти один з одним), щоб гарантувати, що пошук системних аномалій є ефективним засобом виявлення зловмисної діяльності.

6. Описи деяких системних аномалій, які можуть свідчити про зловмисну діяльність, підтримуються та оновлюються на основі інформації про минулі атаки та розвідки загроз, враховуючи характер атак, що можуть впливати на мережі та інформаційні системи.

7. Проводиться регулярний пошук системних аномалій та генеруються відповідні сповіщення.

1.2. Моніторинг стану безпеки: Для своєчасного виявлення подій, пов’язаних із безпекою, застосовуються організаційна політика та процедури моніторингу, засновані на оцінюванні ризиків.

Вимоги виконані (Так/ Частково/ Ні)

1. Мережевий моніторинг здійснюється за допомогою програмних рішень, які налаштовуються кваліфікованим персоналом, для виявлення та запобігання атакам. Ці зміни повинні надавати можливості для виявлення відомих атак на основі сигнатур, а також евристичні можливості для виявлення незвичної поведінки системи. Покриття включає внутрішній моніторинг та моніторинг на боці хоста. РІВЕНЬ 1

2. Для виявлення незвичайної активності або тенденцій, що можуть свідчити про атаки, здійснюється моніторинг вхідного та вихідного трафіку, що перетинає межі мережі. Система безпеки автоматично генерує сповіщення при виявленні незвичайного мережевого трафіку (наприклад, з’єднання з несподіваних IP-діапазонів за кордоном) чи передавання великих обсягів даних.

3. Існують політики та процеси для оперативного управління та реагування на інциденти, виявлені програмними рішеннями для моніторингу.

78

ДОДАТОК 1. ІНСТРУКЦІЇ ЩОДО ЗАПОВНЕННЯ ОПИТУВАЛЬНИКА TTX СТОСОВНО ДОТРИМАННЯ ВИМОГ

4. Сповіщення, що генеруються стратегією моніторингу системи, ґрунтуються на бізнес-потребах та оцінюванні ризиків. Це включає як технічний, так і операційний моніторинг за потреби.

5. Система моніторингу здатна виявляти несанкціоноване чи випадкове зловживання системами, що обробляють персональні дані, та контролювати доступ користувачів до цих даних, включаючи аномальну активність користувачів. Вона може пов’язувати конкретних користувачів із підозрілою активністю. РІВЕНЬ 1

6. Розгорнуто централізовану систему, яка може збирати й аналізувати інформацію і сповіщення з усієї організації. Це автоматизовано завдяки великому обсягу даних, що дозволяє аналітикам сконцентруватися на аномаліях чи високопріоритетних сповіщеннях.

7. Моніторинг та аналіз журналів аудиту підтримується централізованим і синхронізованим джерелом відстеження часу, яке використовується в усій організації для підтримки реагування на інциденти та їх розслідування.

8. Впроваджено процеси для тестування можливостей моніторингу, навчання та засвоєння досвіду з інцидентів безпеки та підвищення ефективності моніторингу.

РІВЕНЬ 2

РІВЕНЬ 2

1. Покриття моніторингу поширюється не лише на мережу, але й на внутрішній моніторинг та моніторинг на боці хоста.

2. Процес підключення нових систем до мережі включає міркування щодо доступу до джерел даних моніторингу.

3. Персонал, відповідальний за проведення моніторингу: • відповідає за розслідування та інформування про тривожні сигнали моніторингу; • має ролі та навички, що охоплюють усі частини робочого процесу моніторингу / розслідування; • має робочі процеси, які відповідають усім вимогам управлінської звітності, як внутрішньої, так і зовнішньої; • має повноваження виходити за межі затверджених стандартних робочих процесів для розслідування та розуміння нестандартних загроз, розробляючи власні методи розслідування та по-новому використовуючи дані.

ДОДАТОК 1. ІНСТРУКЦІЇ ЩОДО ЗАПОВНЕННЯ ОПИТУВАЛЬНИКА TTX СТОСОВНО ДОТРИМАННЯ ВИМОГ

79

Опитувальник, частина 2: Управління інцидентами Управління інцидентами в кібербезпеці — це процес виявлення, аналізу, локалізації та вирішення інцидентів безпеки в ІТ-системах, мережах або застосунках організації. Основною метою цього процесу є зменшення впливу інцидентів безпеки на діяльність і активи організації, а також забезпечення безперервності ділової активності. Для досягнення цієї мети необхідно розробляти плани та процедури реагування на інциденти, формувати команди з управління інцидентами та забезпечувати ефективні канали зв’язку, а також впроваджувати інструменти і технології для виявлення та реагування на інциденти. Управління інцидентами охоплює різні етапи, такі як виявлення, визначення пріоритетів, аналіз, локалізація, ліквідація, відновлення та аналіз результатів проведених заходів. Загалом, ефективне управління інцидентами є важливою складовою комплексної стратегії кібербезпеки, яка допомагає організаціям захиститися від кіберзагроз та мінімізувати вплив інцидентів безпеки на їхню діяльність і репутацію. Заповніть, будь ласка, частину 2 опитувальника, вказавши, чи ваша організація дотримується вимог з кожного твердження, наведеного нижче у трьох таблицях. Опитувальник, частина 2 2. УПРАВЛІННЯ ІНЦИДЕНТАМИ В організації впроваджено та задокументовано чітко визначені процеси управління інцидентами, які регулярно тестуються.

2.1. Протокол реагування на інциденти:

Вимоги виконані (Так/ Частково/ Ні)

Існує актуальний план реагування на інциденти, що ґрунтується на оцінюванні ризиків.

1. Впроваджено політику та процес реагування на кіберінциденти, які інтегровані з центральними протоколами про звітування щодо кіберінцидентів, сповіщенням про них та їх координацією.

РІВЕНЬ 1

2. Персонал пройшов навчання з реагування на інциденти з розподілом ролей та обов’язків, і організація проводить навчання для тестування планів реагування.

3. Існує план реагування на інциденти та управління ними, задокументований, із чіткими попередньо визначеними процесами, заходами / діями, розподілом ролей та обов’язків, а також чітким технічним завданням для прийняття рішень та управління інцидентами.

4. У разі потреби проводиться спеціальне навчання команди реагування на інциденти.

80

ДОДАТОК 1. ІНСТРУКЦІЇ ЩОДО ЗАПОВНЕННЯ ОПИТУВАЛЬНИКА TTX СТОСОВНО ДОТРИМАННЯ ВИМОГ

5. У разі виникнення інциденту команді реагування надаються журнали аудиту, в яких фіксуються дії користувачів, винятки та події інформаційної безпеки, щоб допомогти в розслідуванні.

6. Контактні дані ключового персоналу є легкодоступними для використання у разі інциденту.

РІВЕНЬ 1

7. Відповідна політика, процеси та плани ґрунтуються на оцінюванні ризиків та охоплюють усі юридичні та регуляторні вимоги до звітності.

8. Усі інциденти реєструються незалежно від необхідності повідомляти про них.

9. Усі плани, що підтримують управління інцидентами безпеки (включаючи плани безперервності ділової активності та відновлення після збоїв та катастроф), регулярно тестуються.

10. Результати перевірок і тестувань, а також засвоєний досвід використовуються для подальшого розроблення планів управління інцидентами.

1. План реагування на інциденти доводиться до відома та розуміння всієї організації та інтегрується з планами реагування ланцюга постачання.

2. Встановлено порогові значення для визначення, класифікації та оцінювання інцидентів.

РІВЕНЬ 2

3. Є доступ до альтернативних механізмів комунікації та планів реагування, критично важливих документів, які зберігаються в альтернативних безпечних місцях на випадок, якщо основні канали недоступні.

4. Визначено та впроваджено процедури ідентифікації, збирання та збереження доказів.

2.2. Процедура звітування щодо інцидентів: Про події, пов’язані з безпекою, повідомляється за допомогою визначених процедур, про які знає персонал.

РІВЕНЬ 1

Вимоги виконані (Так/ Частково/ Ні)

1. Організація стимулює культуру сповіщення про інциденти, де працівники можуть висловлювати вищому керівництву свої зауваження щодо інцидентів безпеки, недостатніх методів забезпечення захисту програмного та апаратного забезпечення. При цьому є позитивне сприйняття такої поведінки, і працівники не бояться, що це призведе до взаємних докорів чи обвинувачень.

ДОДАТОК 1. ІНСТРУКЦІЇ ЩОДО ЗАПОВНЕННЯ ОПИТУВАЛЬНИКА TTX СТОСОВНО ДОТРИМАННЯ ВИМОГ

81

2. Користувачі (включаючи працівників та підрядників) ознайомлені з питаннями безпеки, знають свої обов’язки і розуміють, як повідомляти про будь-які виявлені слабкі місця в безпеці систем чи послуг або підозру на них, а також як реагувати на інциденти.

РІВЕНЬ 1

3. Заохочується активна участь користувачів у повідомленні про слабкі місця в системі безпеки чи інциденти, при цьому вони не бояться, що це призведе до взаємних докорів чи обвинувачень.

4. Розроблені комунікаційні плани на випадок інциденту, і всі внутрішні та зовнішні вимоги до звітності визначені у плані управління інцидентами. Це охоплює інформування відповідного наглядового органу, керівників вищого рівня та за потреби органів правопорядку.

5. Здійснюється постійний моніторинг та перевірка ефективності заходів щодо навчання та підвищення рівня обізнаності щодо управління інцидентами.

РІВЕНЬ 2

Додаткові вимоги відсутні.

2.3. Аналіз результатів проведених заходів та навчання: Організація переглядає інциденти і використовує засвоєний досвід для вдосконалення заходів безпеки.

Вимоги виконані (Так/ Частково/ Ні)

1. Вище керівництво повинно брати на себе відповідальність за процес засвоєння досвіду, щоб забезпечити виконання всіх необхідних заходів для підвищення кіберстійкості організації.

2. Докази після інциденту збираються, зберігаються та аналізуються з метою виявлення та усунення першопричини. РІВЕНЬ 1

3. Регулярно проводиться аналіз першопричини інциденту як ключова частина заходів із засвоєння досвіду після інциденту. Він є комплексним і включає питання організаційних процесів, а також вразливостей у мережах, системах або програмному забезпеченні.

4. Проводиться аналіз засвоєного досвіду: заходи та дії, вжиті під час інциденту, реєструються та аналізуються для оцінювання ефективності процесу управління інцидентами.

82

ДОДАТОК 1. ІНСТРУКЦІЇ ЩОДО ЗАПОВНЕННЯ ОПИТУВАЛЬНИКА TTX СТОСОВНО ДОТРИМАННЯ ВИМОГ

РІВЕНЬ 1

5. Оцінюється досвід, засвоєний після інциденту, і він враховується в майбутніх доопрацюваннях та внесенні змін до плану управління інцидентами та в системі моніторингу.

1. Існує задокументований процес аналізу інцидентів, який гарантує, що досвід, засвоєний з кожного інциденту, ідентифікується, фіксується та враховується.

РІВЕНЬ 2

2. Засвоєний досвід охоплює питання звітності, розподілу ролей, управління, навичок та організаційних процесів, а також технічні аспекти мереж та інформаційних систем.

3. Вдосконалення, визначені в результаті аналізу засвоєного досвіду, ранжуються за пріоритетністю, причому покращення з найвищим пріоритетом впроваджуються якнайшвидше.

ДОДАТОК 1. ІНСТРУКЦІЇ ЩОДО ЗАПОВНЕННЯ ОПИТУВАЛЬНИКА TTX СТОСОВНО ДОТРИМАННЯ ВИМОГ

83

84

ДОДАТОК 2. СЦЕНАРІЙ

ДОДАТОК 2. СЦЕНАРІЙ Геостратегічна ситуація в регіоні Описаний сценарій наслідує поточну воєнно-політичну ситуацію в регіоні. Події сценарію стосуються двох країн регіону — Синіх та Червоних. Сині. Країна Синіх перебуває у стані війни з Країною Червоних, понад 25% її громадян є внутрішньо переміщеними особами або виїхали в сусідні держави. За понад 18 місяців активних бойових дій війна перейшла в затяжну фазу. Просування Червоних територією було фактично зупинено, і нині відбувається зворотний процес, але відвоювання йде повільно й зі значними людськими втратами з обох сторін. Сині очікують, що Червоні можуть заподіяти руйнівні кібератаки, які будуть спрямовані проти енергетичної, транспортної та банківської галузей, систем водопостачання і водовідведення, а також елементів цифрової інфраструктури, що є вкрай необхідними для надання державних і оборонних послуг. Червоні. Здійснивши неочікувану агресію проти Синіх, Червоні планували швидко захопити територію держави. Недооцінювання супротивника, а також міжнародної реакції на цей напад призвело до затяжного характеру бойових дій. Червоні намагаються використати весь наявний потенціал (передусім кінетичне озброєння) задля досягнення своїх цілей, які стають дедалі менш зрозумілими. Залишається високою ймовірність повторного широкомасштабного вторгнення Червоних, однак значні перешкоди, що виникли на шляху найманців, а також ті, які вони самі спричинили своїми діями, скоротили військові можливості та потенціал на місцях. Фіксуються регулярні погрози з боку Червоних щодо можливості застосування на території Синіх ядерної зброї або інших видів зброї масового знищення (хімічної, біологічної). Зелені. Країни Зелених в усьому демократичному світі є союзниками Країни Синіх, надаючи допомогу її Збройним силам і населенню. Коричневі. Території Коричневих перебувають під впливом Країни Червоних та можуть підтримувати її у проведенні кібероперацій, інформаційних операцій, дипломатичного впливу на країни Зелених. Кібербезпекова ситуація. Триває протистояння повномасштабному вторгненню Червоних, і зловмисники використовують ситуацію як для отримання фінансової вигоди, так і для просування своїх політичних цілей. Внаслідок цього найбільш значущим побічним продуктом війни в кіберзлочинному підпіллі залишається прочервоний хактивізм. Це включає пов’язані між собою групи прочервоних кіберзлочинців, які проводять атаки на організації в країнах, які сприймаються ними як вороги у війні, розв’язаній Червоними проти Синіх. Зазвичай ці атаки полягають у використанні розподілених атак на відмову в обслуговуванні (DDoS), хоча також ДОДАТОК 2. СЦЕНАРІЙ

85

були випадки пошкодження вебсайтів і вторгнень у мережі. Загалом вплив цих груп обмежений. Незважаючи на це, потенційний репутаційний вплив будь-якої атаки був і залишається значним. З моменту початку операцій у лютому 2022 року прочервоні хактивісти активно реагували на події на місцях. Найбільше постраждали від цих атак урядові установи, послуги з охорони здоров’я, авіація, транспорт, а також банківська галузь та ринок цінних паперів. Загальний ландшафт прочервоного хактивізму, ймовірно, роздроблений: групи проводять широкомасштабну внутрішню реструктуризацію, цілі постійно нелогічно змінюються, а лідери груп та альянси залишаються неврегульованими.

Загальна обстановка. Грудень Середня температура на території Синіх -12⁰С, сильний східний вітер. Тиск на політичну систему і керівництво Червоних зростає, включаючи невдалу спробу перевороту. Впродовж останніх місяців значно збільшилася кількість обстрілів інфраструктури Синіх. Червоні регулярно застосовують тактику із завдавання шкоди цивільному населенню, погрожуючи застосувати на території Синіх ядерну зброю або інші види зброї масового знищення (хімічної, біологічної). Серед рекомендацій Уряду Синіх цивільному населенню — тимчасовий переїзд у безпечні Країни Зелених. Країни Зелених виплачують компенсації громадянам Синіх за пошкодження нерухомого майна на підставі витягів із реєстрів.

Оперативна ситуація, частина 1: Ранок понеділка Командування Червоних планує здійснити комплексну кінетичну атаку на центри керування, енергетичну та комунікаційну інфраструктуру Зелених і Синіх. Сили вторгнення Червоних, що наступатимуть із території Коричневих, імовірно, будуть використані для проведення другого наземного наступу. Планується серія потужних змішаних кінетичних та кібератак на інформаційні ресурси державних установ, організацій енергетичної, банківської галузей, телекомунікацій. Зафіксовано зростання спроб компрометації систем військового та спеціального (урядового, президентського) зв’язку. Низка державних органів повідомляє про кіберінциденти в системах електронного документообігу, бухгалтерського та кадрового обліку, електронної пошти. Зафіксовано переміщення військ і підвищену кінетичну активність, зміни постійно відстежуються. Головні джерела цієї збільшеної агресії переважно розташовані навколо території Коричневих і направлені на північні райони Синіх.

86

ДОДАТОК 2. СЦЕНАРІЙ

Сценарій, частина 1: Обізнаність і підготовка Для кожної частини сценарію продумайте Як розігруватиметься ця частина сценарію? Кого залучено або кого слід залучити? Хто що робить: • Хто здійснює координацію?

• Хто керує?

Сценарій, частина 1А — Поінформованість щодо інциденту Понеділок, 08:00: Ви отримуєте сповіщення про підвищений рівень активності та ведення спостереження з боку зловмисників, при цьому вони здійснюють випадкові DDoS-атаки на окремі пристрої та застосунки в подібних організаціях по всій території країн Зелених [Додайте назви 2-3 організацій, що стали жертвами цієї атаки, але не з-поміж організацій-учасниць]. Ані прямих доказів щодо конкретних цілей, ані потенційного вектора атаки немає. Звідки ви могли б про це дізнатися? Звідки ви б отримували цю (або будь-яку іншу) інформацію про загрози? Ви можете стати наступними… Ви впевнені, що визначили і чітко розумієте все, що необхідно для ідентифікації, забезпечення, обслуговування або підтримки ваших мереж, інформаційних систем та служб? Чи забезпечені у вас видимість і ефективне управління всіма цифровими та інформаційними активами?

Сценарій, частина 1B — Програмне забезпечення, що є об’єктом атаки Понеділок, 10:00: Ви отримали сповіщення про те, що як експлойти нульового дня в операційних системах та вебслужбах використовуються ведення спостереження та DDoS-атаки. Організації у країні Синіх [Додайте назви всіх організацій-учасниць, що стали жертвами ескалації] починають стикатися зі збоями в роботі. Все ще немає ані прямих доказів щодо конкретних цілей, ані потенційного вектора / джерела атаки. Ви впевнені, що визначили все, що необхідно для ідентифікації, забезпечення, обслуговування або підтримки вашої цифрової нерухомості (усіх цифрових активів)? Чи забезпечені у вас видимість і ефективне управління всіма цифровими активами?

ДОДАТОК 2. СЦЕНАРІЙ

87

Сценарій, частина 1C — Готовність інфраструктури Понеділок, 12:00: Висловлюються побоювання, що зламані засоби управління мережею використовуються для поширення атак на інші організації, які постраждали від інциденту. Наразі все ще немає інформації щодо того, хто може стати наступною мішенню атаки. Чи можуть ваші команди чітко ідентифікувати активи об’єктів критичної інфраструктури та наявні залежності? Ви впевнені, що маєте все, що потрібно, зокрема: • реєстри обліку цифрових активів; • плани реагування на інциденти і надзвичайні ситуації? Понеділок, 16:00: Засоби масової інформації повідомляють, що національні служби безпеки ідентифікували джерело початкових атак. На цей момент після ранкового інциденту нових атак не було зафіксовано, хоча на деяких територіях, що постраждали, відмічаються тимчасові перебої в роботі. Рекомендується, щоб усі організації залишалися в стані підвищеної готовності на випадок подальшого відновлення зловмисної активності. Схоже, що ваша організація не була об’єктом атаки.

Ввідна № 1 Оперативна ситуація, частина 2: З вечора понеділка Розпочалася кінетична атака на центри керування, енергетичну та комунікаційну інфраструктуру Синіх. Сили вторгнення Червоних, що наступатимуть із території Коричневих, використовуються для початку другого наземного наступу. Відповідь Синіх є одночасно жорсткою та результативною. Після невеликої перерви продовжуються кібератаки на інформаційні ресурси державних установ, організацій галузі енергетики, телекомунікацій, банківської галузі. Зафіксовано зростання спроб компрометації систем військового та спеціального (урядового, президентського) зв’язку. Низка державних органів повідомляє про кіберінциденти у своїх мережах та на своїх вебсайтах.

Сценарій, частина 2: Незначна пряма атака Сценарій, частина 2A — Поінформованість щодо незначної прямої атаки

88

ДОДАТОК 2. СЦЕНАРІЙ

Понеділок, 18:00: Хакерська група заявила, що в понеділок під час атак було скомпрометовано низку сайтів як у державному, так і в приватному секторах. Розвідувальні органи підтверджують, що їх також залучили до розслідування кількох резонансних кіберінцидентів. З яких джерел ви дізнаєтеся про загрози та інциденти? Що б ви робили, якби було скомпрометовано сайти вашої організації? Як наземний наступ може вплинути на зв’язок і реагування на інциденти?

Сценарій, частина 2B — Реагування на інциденти Вівторок, 09:00: Ваш ІТ-відділ повідомляє, що ваш основний вебсайт недоступний через DDoS-атаку, послуги, які надаються Вашою організацією онлайн, також постраждали і періодично стають недоступними. Як вас би повідомили про це (внутрішньо, в межах організації)? Що б ви робили? Чи є у вас плани реагування на інциденти для кібератак у рамках забезпечення безперервності діяльності? Чи є у вас заздалегідь розроблені комунікаційні плани, канали, процедури та засоби спілкування зі ЗМІ?

Сценарій, частина 2C — Відновлення після інциденту Середа, 09:00: DDoS-атака завершилася, роботу вашого вебсайту і онлайн-послуг відновлено, однак вебсайту завдано значних пошкоджень. Засоби масової інформації у своїх сюжетах розповідають про незадоволених кінцевих користувачів і співробітників, які не могли провести транзакції через DDoS-атаку. Вашу організацію просять прокоментувати ситуацію, оскільки ЗМІ пов’язують цю атаку із заявами хакерських груп, опублікованими на початку тижня. Чи є у вас комплексний план комунікації? З ким би ви консультувалися під час підготовки до будь-якого реагування? Чи переглянули б ви свої комунікаційні заходи? Середа, 10:00: Ви отримуєте інформацію, яка свідчить про те, що наземний наступ було зупинено, але кінетична активність досі залишається на високому рівні. DDoS-атаки було стримано. Спецслужби Синіх та Зелених аналізують вразливості нульового дня та експлойти, які було виявлено під час атак, із метою розроблення чітких контрзаходів для протидії подібним атакам у майбутньому. Організації у Синіх та Зелених країнах усе ще стикаються зі збоями в роботі внаслідок атаки, проте вони ефективно відновлюють свої системи і діляться індикаторами компрометації та діапазонами IP-адрес, які були визначені як джерела атак, із розвідувальними службами.

ДОДАТОК 2. СЦЕНАРІЙ

89

Ввідна № 2 Оперативна ситуація, частина 3: П’ятниця по обіді — 4 тижні по тому Другий наземний наступ Червоних було повністю відбито, при цьому Червоні зазнали значних втрат серед найманців і регулярних військ, що хаотично відступили на північні території Коричневих та Червоних. Сині розпочали успішний контрнаступ, отримавши від Зелених авіаційну, кінетичну та збройну підтримку проти Червоних окупаційних сил на Сході, яким не вистачало людей та боєприпасів через передислокацію для проведення невдалої спроби вторгнення. Червоні зазнають значних втрат, їх розбито вщент під час відступу на сході країни. Зневірені й розлючені через чергові поразки, вони вирішують розпочати невибіркову, комбіновану кінетичну та кібератаку на різноманітні системи зв’язку, включаючи цивільні, інфраструктурні, військові та спеціальні системи зв’язку, сподіваючись повернути собі певний рівень ініціативи в конфлікті. Низка відомств, переважно Синіх та деяких Зелених, повідомляють про кіберінциденти, що впливають на їхні цифрові послуги та вебсайти.

Сценарій, частина 3: Серйозна пряма атака Частини 3A, B, C та D слід виконувати в режимі реального часу, щоб відображати динамічну природу справжньої кібератаки (від 45 хвилин до 1 години)

Сценарій, частина 3A — Ініціювання прямої атаки П'ятниця, 16:30. Через 4 тижні після атак, описаних у частинах 1 та 2 сценарію, вся цифрова діяльність майже повністю повернулася до нормального рівня. Після DDoS-атаки не було зафіксовано жодних серйозних інцидентів і не було виявлено жодних додаткових індикаторів компрометації чи нових типів шкідливого програмного забезпечення. На жаль, відбулася друга, ширша хвиля складніших атак. Ваше цифрове обладнання вийшло з ладу, і вам приходять сповіщення щодо проблем із наданням цифрових послуг по всій галузі, в низці організацій усіх типів. Ваша організація, зокрема ІТ-команда, стикається з атакою «нульового дня» на вашу мережу, медіа та хмарні сервіси. Метою атаки є спричинити повномасштабне порушення в роботі, витік інформації та застосування програм-вимагачів для всієї вашої цифрової нерухомості (усіх цифрових активів). Цей день ще й критично важливий для здійснення важливих фінансових операцій, таких як виплата заробітної плати і проведення інших платежів, активність користувачів висока. Як вас сповістять про те, що відбувається? Які ваші перші дії? Чи дотримуєтеся ви запланованих, структурованих і протестованих процедур реагування на інциденти і забезпечення безперервності діяльності?

90

ДОДАТОК 2. СЦЕНАРІЙ

Які наслідки є критичними в разі потенційно тривалого збою в наданні послуг? Чи можливі каскадні ефекти в цій ситуації? Чи буде поінформовано інші відомства? Як саме та кого? Чи є якась політика щодо програм-вимагачів (платити / не платити)?

Сценарій, частина 3B — Розгортання шкідливого програмного забезпечення із застосуванням шифрування П’ятниця, 16:45: На цей момент повідомляється, що в результаті атаки було розгорнуто шкідливе програмне забезпечення, яке проникло в мережу і зашифрувало значні обсяги даних, оскільки використовувало облікові записи користувачів та адміністраторів. На що ви звернете увагу насамперед? На якому рівні ведеться робота зі стримування / управління цієї атакою? Чи є у вашій організації необхідні засоби та ресурси, щоб протистояти цій атаці?

Сценарій, частина 3C — Рішення щодо відключення мережі П’ятниця, 17:00: Команда з управління ІТ рекомендує відключити мережу для її ізоляції, щоб обмежити поширення проблеми і дати команді можливість оцінити завдані збитки. Внаслідок цього персонал не матиме доступу до мережі, користувачі та треті сторони не зможуть здійснювати операції у вашій мережі, на вебсайті чи використовувати онлайн-послуги. Чи є у вас сторінки в соцмережах? Як ви повідомляєте про проблеми? Чи є у ваших команд з реагування на надзвичайні ситуації та ІТ-команд безпечні канали для обговорення прийнятих рішень? Де плануєте проводити заходи із забезпечення безперервності ділової активності, особливо якщо буде порушено внутрішні комунікації?

Сценарій, частина 3D — Безперервність ділової активності та зовнішні комунікації П’ятниця, 17:05: Урядові відомства Зелених повідомляють про ідентичний вплив на їхні мережі. Вас визнали потенційним джерелом інфекції. Водночас було зламано ваш публічний акаунт у соціальних мережах і поширюється неправдива інформація. Усі системи припинили свою роботу, включаючи резервні копії, які, схоже, також були скомпрометовані й зашифровані. Як ви на це реагуватимете? Міністри вимагають гарантій; як ви на це реагуватимете? Як ви плануєте заспокоїти вище керівництво та користувачів? ДОДАТОК 2. СЦЕНАРІЙ

91

Сценарій, частина 3E — Порушення в роботі медіа та викрадення даних П’ятниця, 18:00: Хакерська група стверджує, що вони завдали серйозної шкоди роботі важливих національних служб, включаючи вашу організацію. Вони також стверджують, що отримали контроль над вашими вебсайтом, мережею та акаунтами в соціальних мережах і що обурені низьким рівнем безпеки. Також вони стверджують, що викрали великі обсяги даних. Якими будуть ваші перші кроки? Як ви організуєте роботу з медіа? Світові ЗМІ вимагають інтерв’ю: хто з вашої організації даватиме його?

Сценарій, частина 3F — Повернення контролю Наступного тижня: Ви відновили контроль над своєю мережею, вебсайтом і акаунтом у соціальних мережах. За допомогою інструментів, підтримки у сфері кібербезпеки та розвідданих, якими обмінювалися Зелені та Сині, вдалося мінімізувати шкоду, завдану кібератакою. Команди служб кібербезпеки повідомляють, що шкідливе програмне забезпечення перебуває під контролем і не поширюється далі. Однак ваша організація зазнала втрати конфіденційних персональних та операційних даних. Усі мережеві, медіа та хмарні сервіси доступні. Якими будуть ваші перші кроки? Чи сплатите ви викуп? Чи має ваша організація договір страхування на випадок кібератак? Чи поділитеся ви засвоєним досвідом? Завершення сценарію: Ви успішно відвернули масовану кібератаку з мінімальними пошкодженнями та незначними втратами конфіденційної інформації. Червоні повністю розбиті та відступають, стверджуючи, що вони відводять свої війська після виконання всіх завдань та що Сині їх безпідставно переслідують. Навіть прочервоні ЗМІ та групи активістів сумніваються в цьому сфабрикованому наративі та вимагають зміни режиму. Фасилітатори та протоколісти готують резюме для пленарного засідання.

92

ДОДАТОК 2. СЦЕНАРІЙ

ДОДАТОК 2. СЦЕНАРІЙ

93

94

ДОДАТОК 3. ІНСТРУКЦІЇ ДЛЯ СПОСТЕРІГАЧІВ / ПРОТОКОЛІСТІВ

ДОДАТОК 3. ІНСТРУКЦІЇ ДЛЯ СПОСТЕРІГАЧІВ / ПРОТОКОЛІСТІВ Підготовка: Перед початком ТТХ заповніть лист обліку відвідування для вашої групи. Розмістіть аркуш на видному місці, щоб ви могли бачити імена та ролі учасників. Це полегшить ставлення запитань, особливо якщо потрібно отримати роз’яснення щодо певної відповіді безпосередньо від учасників, що забезпечить чіткі, зрозумілі та точні записи. Лист обліку відвідування: Сфера застосування: Навчання національного рівня

Тип сценарію: Ескалація від незначного до серйозного інциденту

Дата проведення навчань

Реагування на інциденти й управління ними

Відомство, що бере участь Хто бере участь

Прізвище та ім’я

Роль під час ТТХ: (Учасник / Протоколіст / Фасилітатор / Експерт)

Назва посади

Контактна адреса електронної пошти:

Ведення записів, стенограми: Для документування та збереження додаткової інформації, яка стосується сценарію, зокрема рекомендацій щодо дій, запитань та аспектів, що викликали занепокоєння під час навчання, використовуйте таблиці для фіксації подій сценаріїв.

ДОДАТОК 3. ІНСТРУКЦІЇ ДЛЯ СПОСТЕРІГАЧІВ / ПРОТОКОЛІСТІВ

95

Використовуйте незаповнені частини чарунок у таблицях для фіксації подій сценаріїв у процесі ведення записів під час ТТХ. Нумерація сторінок дозволить вам відстежувати все, що відбувається, особливо при ручному заповненні. Спостерігачі / протоколісти повинні використовувати таблиці для фіксації подій сценаріїв, щоб відстежувати сценарій, наданий для навчань, вести узагальнені нотатки, збирати докази з кожного напряму та змін тактичної обстановки, передбачених у сценарії, у розділі «Примітки». Зосередьте увагу на фіксації узагальнених відповідей на стандартні та додаткові запитання. Питання, які потребують вирішення або ті, що виникли під час обговорення, а також запити слід записувати в розділі «Відкриті запитання / проблеми». Запропоновані заходи для вдосконалення кібербезпеки чи засвоєний досвід слід включати до розділу «Заходи / дії». Необов’язково фіксувати всі розмови, достатньо зазначати лише доречну узагальнену інформацію, аналогічно веденню протоколу наради. Якщо ви не впевнені, що якась інформація є доречною, зазначте її, і ви зможете прийняти рішення пізніше, коли ТТХ завершиться, або звернутися за отриманням роз’яснень до головного фасилітатора.

96

ДОДАТОК 3. ІНСТРУКЦІЇ ДЛЯ СПОСТЕРІГАЧІВ / ПРОТОКОЛІСТІВ

ДОДАТОК 3. ІНСТРУКЦІЇ ДЛЯ СПОСТЕРІГАЧІВ / ПРОТОКОЛІСТІВ

97

98

ДОДАТОК 4. ПРИКЛАД ЛИСТА-ЗАПРОШЕННЯ НА ТТХ

ДОДАТОК 4. ПРИКЛАД ЛИСТА-ЗАПРОШЕННЯ НА ТТХ [НА ОФІЦІЙНОМУ БЛАНКУ] Шановний(а) [ЗАЗНАЧТЕ ІМ’Я], [ЗАЗНАЧТЕ НАЗВУ УСТАНОВИ ЧИ ОРГАНІЗАЦІЇ, ЩО ПРОВОДИТЬ ВПРАВУ] запрошує Вас взяти участь у командно-штабних навчаннях (TTX) [ЗАЗНАЧТЕ НАЗВУ ВПРАВИ], що проводитимуться [ЗАЗНАЧТЕ ДАТУ].

TTX із кібербезпеки — це навчання, що моделює рольові симуляції, під час якої учасники збираються разом для обговорення та практичного відпрацювання свого реагування на різноманітні інциденти або кризові ситуації. Будь ласка, пам’ятайте, що це не тест і не перевірка. Це можливість відпрацювати процес прийняття рішень у безпечних умовах. У реальних ситуаціях, коли часу на прийняття рішення не вистачає, чіткі підготовлені рішення зменшують час на відновлення. До початку навчань необхідно заповнити опитувальник (у додатку до цього листа) та надіслати відповідь електронною поштою [ЗАЗНАЧТЕ АДРЕСУ ЕЛЕКТРОННОЇ ПОШТИ]. Це допоможе організаційній групі краще зрозуміти технічну готовність вашого відомства. Перед проведенням навчань учасники мають попередньо ознайомитися з роздатковими матеріалами (у додатку до цього листа). Навчальні цілі є такими: [ЗАЗНАЧТЕ ЦІЛІ]. ТТХ — це шанс обмінятися інформацією, пройти практичне навчання та виявити аспекти для вдосконалення, що допоможе заповнити прогалини в політиці, процесах реагування на інциденти, процедурах взаємодії тощо. Ми були б дуже вдячні, якби Ви долучилися до навчань. Ваша участь посилить користь від них та значно сприятиме досягненню навчальних цілей. Детальна інформація щодо навчань: Дата: [ЗАЗНАЧТЕ ДАТУ] Реєстрація: [ЗАЗНАЧТЕ ЧАС] Час проведення: [ЗАЗНАЧТЕ ЧАС] — [ЗАЗНАЧТЕ ЧАС] Місце проведення: [ЗАЗНАЧТЕ ЛОКАЦІЮ] Якщо Ви можете взяти участь у цих навчаннях, будь ласка, надішліть відповідь електронною поштою [ЗАЗНАЧТЕ АДРЕСУ ЕЛЕКТРОННОЇ ПОШТИ]. Ми будемо дуже вдячні, якщо отримаємо Вашу відповідь до [ЗАЗНАЧТЕ ДЕДЛАЙН]. Для отримання відповідей на запитання або додаткової інформації, будь ласка, зверніться до [ЗАЗНАЧТЕ ІМ’Я ТА ПРІЗВИЩЕ] за номером телефону [ЗАЗНАЧТЕ НОМЕР ТЕЛЕФОНУ] або на електронну пошту [ЗАЗНАЧТЕ АДРЕСУ ЕЛЕКТРОННОЇ ПОШТИ]. З повагою [МІСЦЕ ДЛЯ ПІДПИСУ ВАШОГО КЕРІВНИЦТВА] ДОДАТОК 4. ПРИКЛАД ЛИСТА-ЗАПРОШЕННЯ НА ТТХ

99

100

ДОДАТОК 5. ШАБЛОН ЗВОРОТНОГО ЗВ’ЯЗКУ

ДОДАТОК 5. ШАБЛОН ЗВОРОТНОГО ЗВ’ЯЗКУ Форма зворотного зв’язку для учасників командно-штабних навчань Назва вправи: [ЗАЗНАЧТЕ НАЗВУ ВПРАВИ] Дата і час проведення вправи: [ЗАЗНАЧТЕ ДАТУ І ЧАС] Група фасилітаторів: [ЗАЗНАЧТЕ ФАСИЛІТАТОРІВ] Група спостерігачів / протоколістів: [ЗАЗНАЧТЕ СПОСТЕРІГАЧІВ / ПРОТОКОЛІСТІВ] Група експертів: [ЗАЗНАЧТЕ ЕКСПЕРТІВ] Інформація про учасника: Ім’я (необов’язково): [ІМ’Я УЧАСНИКА] Організація: [ОРГАНІЗАЦІЯ УЧАСНИКА] Роль / посада: [РОЛЬ / ПОСАДА УЧАСНИКА] Контактна інформація (необов’язково): [АДРЕСА ЕЛЕКТРОННОЇ ПОШТИ АБО НОМЕР ТЕЛЕФОНУ] Підготовка до навчань: 1.

Реалістичність сценарію: Як Ви оцінюєте реалістичність сценарію навчань?

• Дуже реалістичний • Помірно реалістичний • Нереалістичний

2. Надання матеріалів для навчання: Чи вчасно були надані матеріали, що роздаються заздалегідь (інструкції, сценарій, довідкова інформація тощо), та чи сприяли вони ефективності TTX? • Так • Ні • Не застосовувалися Проведення вправи: 3. Фасилітація: Оцініть ефективність роботи групи фасилітаторів (наприклад, чіткість інструкцій, контроль за перебігом вправи, управління часом).

• Відмінно • Добре • Задовільно • Незадовільно 4. Зміни тактичної обстановки / ввідні у сценарії: Чи були зміни тактичної обстановки сценарію / ввідні (нові події чи інформація, розвиток ситуації) чіткими та чи відповідали вони контексту?

• Так • Ні • Не застосовувалися ДОДАТОК 5. ШАБЛОН ЗВОРОТНОГО ЗВ’ЯЗКУ

101

5. Комунікація: Оцініть ефективність комунікації під час вправи (наприклад, чіткість повідомлень, координація між учасниками).

• Відмінно • Добре • Задовільно • Незадовільно 6. Прийняття рішень: Оцініть якість процесів прийняття рішень під час вправи.

• Відмінно • Добре • Задовільно • Незадовільно Загальне враження: 7. Загальний рівень задоволеності: Наскільки Ви задоволені TTX? • Дуже задоволений(а) • Задоволений(а) • Нейтральне враження • Незадоволений(а) • Дуже незадоволений(а) 8. Додаткові зауваження: Будь ласка, поділіться будь-якими додатковими зауваженнями, пропозиціями чи відгуками щодо TTX. [Відкрите текстове поле]

Це базова форма зворотного зв’язку, яка дозволяє учасникам ділитися своїми думками та оцінками щодо ТТХ. Її можна налаштувати відповідно до конкретних цілей та особливостей вашої ситуаційної вправи.

102

ДОДАТОК 5. ШАБЛОН ЗВОРОТНОГО ЗВ’ЯЗКУ

ДОДАТОК 5. ШАБЛОН ЗВОРОТНОГО ЗВ’ЯЗКУ

103

104

ДОДАТОК 6. ТАБЛИЦІ ДЛЯ ФІКСАЦІЇ ПОДІЙ СЦЕНАРІЇВ

ДОДАТОК 6. ТАБЛИЦІ ДЛЯ ФІКСАЦІЇ ПОДІЙ СЦЕНАРІЇВ Сценарій № 1 (незначна атака) Поінформованість щодо інциденту

Понеділок, 08:00: Ви отримуєте сповіщення про підвищений рівень активності та ведення спостереження з боку зловмисників, при цьому вони здійснюють випадкові DDoS-атаки на окремі пристрої та застосунки в подібних організаціях по всій території країн Зелених. Ані прямих доказів щодо конкретних цілей, ані потенційного вектора атаки немає.

Сценарій, №1A

Примітки Стандартні запитання: Як розігруватиметься ця частина сценарію? Кого залучено або кого слід залучити? Хто що робить?

• Хто здійснює координацію?

• Хто керує? Запропоновані додаткові запитання: Звідки ви могли б про це дізнатися? Звідки ви б отримували цю (або будь-яку іншу) інформацію про загрози? Ви можете стати наступними… Ви впевнені, що визначили і чітко розумієте все, що необхідно для ідентифікації, забезпечення, обслуговування або підтримки ваших мереж, інформаційних систем та служб? Чи забезпечені у вас видимість і ефективне управління всіма цифровими та інформаційними активами? Відкриті запитання / проблеми

Заходи / дії

ДОДАТОК 6. ТАБЛИЦІ ДЛЯ ФІКСАЦІЇ ПОДІЙ СЦЕНАРІЇВ

105

Ввідна: Оновлення інформації щодо інциденту — Програмне забезпечення, що є об’єктом атаки

Понеділок, 10:00: Ви отримали сповіщення про те, що як експлойти нульового дня в операційних системах та вебслужбах використовуються ведення спостереження та DDoS-атаки. Організації у країні Синіх починають стикатися зі збоями в роботі. Все ще немає ані прямих доказів щодо конкретних цілей, ані потенційного джерела та вектора атаки.

Сценарій, №1B

Примітки Стандартні запитання: Як розігруватиметься ця частина сценарію? Кого залучено або кого слід залучити? Хто що робить?

• Хто здійснює координацію?

• Хто керує? Запропоновані додаткові запитання: Звідки ви могли б про це дізнатися? Звідки ви б отримували цю (або будь-яку іншу) інформацію про загрози? Ви можете стати наступними… Ви впевнені, що визначили і чітко розумієте все, що необхідно для ідентифікації, забезпечення, обслуговування або підтримки ваших мереж, інформаційних систем та служб? Чи забезпечені у вас видимість і ефективне управління всіма цифровими та інформаційними активами? Відкриті запитання / проблеми

Заходи / дії

106

ДОДАТОК 6. ТАБЛИЦІ ДЛЯ ФІКСАЦІЇ ПОДІЙ СЦЕНАРІЇВ

Ввідна: Оновлення інформації щодо інциденту — Інфраструктура

Понеділок, 12:00: Висловлюються побоювання, що зламані засоби управління мережею використовуються для поширення атак на інші організації, які постраждали від інциденту. Наразі все ще немає інформації щодо того, хто може стати наступною мішенню атаки.

Сценарій, №1C

Примітки Стандартні запитання: Як розігруватиметься ця частина сценарію? Кого залучено або кого слід залучити? Хто що робить?

• Хто здійснює координацію?

• Хто керує? Запропоновані додаткові запитання: Ви все ще впевнені, що визначили й чітко розумієте все, що необхідно для забезпечення, обслуговування або підтримки мереж, інформаційних систем та служб? Чи можуть ваші команди чітко ідентифікувати об’єкти критичної інфраструктури та наявні залежності? Ви впевнені, що маєте все, що потрібно? Реєстри обліку цифрових активів Плани реагування на інциденти та надзвичайні ситуації. Відкриті запитання / проблеми

Заходи / дії

ДОДАТОК 6. ТАБЛИЦІ ДЛЯ ФІКСАЦІЇ ПОДІЙ СЦЕНАРІЇВ

107

Сценарій № 2 (пряма атака — незначна) Ввідна: Поінформованість щодо незначної прямої атаки

Понеділок, 18:00: Хакерська група заявила, що в понеділок під час атак було скомпрометовано низку сайтів як у державному, так і в приватному секторах. Основні джерела збору розвідданих підтверджують, що їх залучили до розслідування кількох резонансних кіберінцидентів.

Сценарій, №2A

Примітки Стандартні запитання: Як розігруватиметься ця частина сценарію? Кого залучено або кого слід залучити? Хто що робить?

• Хто здійснює координацію?

• Хто керує? Запропоновані додаткові запитання: Які джерела розвідданих щодо загроз та інцидентів є надійними? Як ви могли б про це дізнатися? Що б ви робили, якби щось сталося? Відкриті запитання / проблеми

Заходи / дії

108

ДОДАТОК 6. ТАБЛИЦІ ДЛЯ ФІКСАЦІЇ ПОДІЙ СЦЕНАРІЇВ

Ввідна: Реагування на інциденти

Вівторок, 09:00: ІТ-відділ повідомляє, що ваш основний вебсайт недоступний через DDoS-атаку, вебслужби по всій організації також постраждали і періодично стають недоступними.

Сценарій, №2B

Примітки Стандартні запитання: Як розігруватиметься ця частина сценарію? Кого залучено або кого слід залучити? Хто що робить?

• Хто здійснює координацію?

• Хто керує? Запропоновані додаткові запитання: Як вас би повідомили про це (внутрішньо, в межах організації)? Про що б ви подумали? Що б ви робили? Чи є у вас плани реагування на інциденти для кібератак у рамках забезпечення безперервності діяльності? Чи є у вас заздалегідь розроблені комунікаційні плани, канали, процедури та засоби спілкування зі ЗМІ? Відкриті запитання / проблеми

Заходи / дії

ДОДАТОК 6. ТАБЛИЦІ ДЛЯ ФІКСАЦІЇ ПОДІЙ СЦЕНАРІЇВ

109

Ввідна: Відновлення після інциденту

Середа, 09:00: DDoS-атака завершилася, роботу вашого вебсайту і вебслужб відновлено, однак вебсайту завдано значних пошкоджень. Засоби масової інформації у своїх сюжетах розповідають про незадоволених кінцевих користувачів і співробітників, які не могли провести операції через DDoS-атаку. Вашу організацію просять прокоментувати ситуацію, оскільки ЗМІ пов’язують цю атаку із заявами хакерських груп, опублікованими на початку тижня.

Сценарій, №2С

Примітки Стандартні запитання: Як розігруватиметься ця частина сценарію? Кого залучено або кого слід залучити? Хто що робить?

• Хто здійснює координацію?

• Хто керує? Запропоновані додаткові запитання: Про що б ви подумали? Чи є у вас комплексний комунікаційний план? З ким би ви консультувалися під час підготовки до будь-якого реагування? Чи переглянули б Ви свої комунікаційні заходи? Відкриті запитання / проблеми

Заходи / дії

110

ДОДАТОК 6. ТАБЛИЦІ ДЛЯ ФІКСАЦІЇ ПОДІЙ СЦЕНАРІЇВ

Сценарій № 3 Пряма атака (серйозна) Ввідна: Ініціювання прямої атаки

П’ятниця, 16:30. Через 4 тижні після атак, описаних у Сценаріях 1 та 2A , вся діяльність повернулася до нормального рівня. Після DDoS-атаки не було зафіксовано жодних серйозних інцидентів і не було виявлено жодних індикаторів компрометації. На жаль, у найнезручніший час несподівано відбулася друга хвиля складніших атак. Ваше цифрове обладнання вийшло з ладу, і вам приходять сповіщення щодо проблем із наданням цифрових послуг по всій галузі в низці організацій. Ваша організація, зокрема ІТ-команда, стикається з атакою нульового дня на вашу мережу та хмарні сервіси. Метою атаки є спричинити повномасштабне порушення в роботі, витік та застосування програм-вимагачів для всієї вашої цифрової нерухомості (усіх цифрових активів). Цей день ще й критично важливий для здійснення фінансових операцій, таких як виплата заробітної плати і проведення інших платежів, тому активність користувачів висока.

Сценарій, №3A

Примітки Стандартні запитання: Як розігруватиметься ця частина сценарію? Кого залучено або кого слід залучити? Хто що робить?

• Хто здійснює координацію?

• Хто керує? Запропоновані додаткові запитання: Як вас сповістять про те, що відбувається? На що ви насамперед звернете увагу? Які наслідки є критичними в разі потенційно тривалого збою в наданні послуг? Кого ще можна залучити? Чи буде поінформовано інші відомства? Які саме? Чи є певна політика щодо програм-вимагачів (платити / не платити)? Відкриті запитання / проблеми

Заходи / дії

ДОДАТОК 6. ТАБЛИЦІ ДЛЯ ФІКСАЦІЇ ПОДІЙ СЦЕНАРІЇВ

111

Ввідна: Розгортання шкідливого програмного забезпечення із застосуванням шифрування

П’ятниця, 16:45: На цей момент повідомляється, що в результаті атаки було розгорнуто шкідливе програмне забезпечення, яке проникло в мережу і зашифрувало значні обсяги даних, оскільки використовувало облікові записи користувачів та адміністраторів.

Сценарій, №3B

Примітки Стандартні запитання: Як розігруватиметься ця частина сценарію? Кого залучено або кого слід залучити? Хто що робить?

• Хто здійснює координацію?

• Хто керує? Запропоновані додаткові запитання: На що ви насамперед звернете увагу? На якому рівні ведеться робота зі стримування / управління цією атакою? Чи є у вашій організації необхідні засоби і ресурси, щоб протистояти цій атаці? Відкриті запитання / проблеми

Заходи / дії

112

ДОДАТОК 6. ТАБЛИЦІ ДЛЯ ФІКСАЦІЇ ПОДІЙ СЦЕНАРІЇВ

Ввідна: Рішення щодо відключення мережі

П’ятниця, 17:00: Команда з управління ІТ рекомендує відключити мережу для її ізоляції, щоб обмежити поширення проблеми і дати команді можливість оцінити завдані збитки. Внаслідок цього персонал не матиме доступу до мережі, користувачі та треті сторони не зможуть здійснювати операції у вашій мережі, на вебсайті чи використовувати вебпослуги.

Сценарій, №3С

Примітки Стандартні запитання: Як розігруватиметься ця частина сценарію? Кого залучено або кого слід залучити? Хто що робить?

• Хто здійснює координацію?

• Хто керує? Запропоновані додаткові запитання: Чи є у вас вебсторінка? Як ви повідомляєте про проблеми? Чи є у ваших команд з реагування на надзвичайні ситуації та ІТ-команд безпечні канали для обговорення прийнятих рішень? Де плануєте проводити заходи із забезпечення безперервності ділової активності, особливо якщо буде порушено внутрішні комунікації? Відкриті запитання / проблеми

Заходи / дії

ДОДАТОК 6. ТАБЛИЦІ ДЛЯ ФІКСАЦІЇ ПОДІЙ СЦЕНАРІЇВ

113

Ввідна: Безперервність ділової активності та зовнішні комунікації

П’ятниця, 17:05: Урядові відомства Зелених повідомляють про ідентичний вплив на їхні мережі. Вас визнали потенційним джерелом інфекції. Водночас було зламано ваш публічний акаунт у соціальних мережах і поширюється неправдива інформація. Усі системи припинили свою роботу, включаючи резервні копії, які, схоже, також були скомпрометовані та зашифровані.

Сценарій, №3D

Примітки Стандартні запитання: Як розігруватиметься ця частина сценарію? Кого залучено або кого слід залучити? Хто що робить?

• Хто здійснює координацію?

• Хто керує? Запропоновані додаткові запитання: Як ви на це реагуватимете? Міністри вимагають гарантій; як ви на це реагуватимете? Як ви плануєте заспокоїти власну раду директорів / вище керівництво та користувачів? Відкриті запитання / проблеми

Заходи / дії

114

ДОДАТОК 6. ТАБЛИЦІ ДЛЯ ФІКСАЦІЇ ПОДІЙ СЦЕНАРІЇВ

Ввідна: Порушення в роботі медіа та викрадення даних

П’ятниця, 18:00: Хакерська група стверджує, що вони завдали серйозної шкоди роботі важливих національних служб, включаючи вашу організацію. Зловмисники заявляють, що отримали контроль над вашим вебсайтом, мережею та акаунтами в соціальних мережах та обурені низьким рівнем безпеки. Також вони стверджують, що викрали великі обсяги даних.

Сценарій, №3E

Примітки Стандартні запитання: Як розігруватиметься ця частина сценарію? Кого залучено або кого слід залучити? Хто що робить?

• Хто здійснює координацію?

• Хто керує? Запропоновані додаткові запитання: На що ви тепер звертатимете увагу? Про що розмірковуватимете? Як ви організуєте роботу з медіа? Світові ЗМІ вимагають інтерв’ю: хто з вашої організації даватиме його? Відкриті запитання / проблеми

Заходи / дії

ДОДАТОК 6. ТАБЛИЦІ ДЛЯ ФІКСАЦІЇ ПОДІЙ СЦЕНАРІЇВ

115

Ввідна: Повернення контролю

Наступного тижня: Ви відновили контроль над своєю мережею, вебсайтом і акаунтом у соціальних мережах. Джерела у сфері кібербезпеки повідомляють, що початкове зловмисне програмне забезпечення перебуває під контролем і не поширюється далі. Однак ваша організація зазнала втрати ключових систем, включаючи конфіденційні персональні та операційні дані, дані про управління персоналом та оплату праці. Доступні лише хмарні сервіси.

Примітки Стандартні запитання: Як розігруватиметься ця частина сценарію? Кого залучено або кого слід залучити? Хто що робить?

• Хто здійснює координацію?

• Хто керує? Запропоновані додаткові запитання: Чи сплатите ви викуп? Чи захищені ви від кібератаки? Чи поділитеся ви засвоєним досвідом? Відкриті запитання / проблеми

Заходи / дії

116

ДОДАТОК 6. ТАБЛИЦІ ДЛЯ ФІКСАЦІЇ ПОДІЙ СЦЕНАРІЇВ

Сценарій, №3F

ДОДАТОК 6. ТАБЛИЦІ ДЛЯ ФІКСАЦІЇ ПОДІЙ СЦЕНАРІЇВ

117

118

ДОДАТОК 7. ШАБЛОН АНАЛІЗУ РЕЗУЛЬТАТІВ ПРОВЕДЕНИХ КОМАНДНО-ШТАБНИХ НАВЧАНЬ АБО ВПРАВИ

ДОДАТОК 7. ШАБЛОН АНАЛІЗУ РЕЗУЛЬТАТІВ ПРОВЕДЕНИХ КОМАНДНО-ШТАБНИХ НАВЧАНЬ АБО ВПРАВИ Аналіз результатів проведених заходів (AAR) командно-штабних навчань або вправи Назва вправи / навчань: [ЗАЗНАЧТЕ НАЗВУ ВПРАВИ] Дата і час проведення вправи / навчань: [ЗАЗНАЧТЕ ДАТУ І ЧАС] Група фасилітаторів / спостерігачів: [ЗАЗНАЧТЕ ФАСИЛІТАТОРІВ ТА СПОСТЕРІГАЧІВ] 1.

Вступ: • Фасилітатор: [Ім’я та прізвище фасилітатора] • Дата і час: [Дата і час сесії AAR]

2. Перегляд цілей та завдань: • Нагадайте учасникам про цілі та завдання вправи.

3. Повторення сценарію: • Забезпечте короткий огляд сценарію вправи, включаючи ключові події, інциденти і розвиток ситуації.

4. Сильні сторони та досягнення: • Обговоріть сильні сторони та досягнення, які ви спостерігали під час TTX. • [Перелік сильних сторін та досягнень] 5. Можливості для вдосконалення: • Визначте аспекти, в яких можна було б покращити проведення ТТХ.

• [Перелік можливостей для вдосконалення] 6. Засвоєний досвід: • Поділіться цінним досвідом, здобутим під час виконання вправи.

• [Перелік навичок і знань, який входить до засвоєного досвіду] 7. Рекомендації для вдосконалення: • Сформулюйте конкретні рекомендації для покращення майбутніх TTX чи ДОДАТОК 7. ШАБЛОН АНАЛІЗУ РЕЗУЛЬТАТІВ ПРОВЕДЕНИХ КОМАНДНО-ШТАБНИХ НАВЧАНЬ АБО ВПРАВИ

119

можливостей реагування на інциденти.

• [Перелік рекомендацій] 8. Визначення пріоритетів серед рекомендацій: • Розподіліть рекомендації за пріоритетністю з урахуванням їхніх потенційних наслідків та можливостей їх реалізації.

• [Перелік рекомендацій, розподілених за пріоритетами] 9. Дії та заходи: • Визначте заходи та дії, яких необхідно вжити для впровадження кожної рекомендації.

• [Дії та заходи із зазначенням відповідальних за виконання та кінцевих строків] 10. Документування та звітування: • Підкресліть важливість документування (фіксації) результатів AAR та рекомендацій.

11. Зворотний зв’язок щодо перебігу вправи: • Питайте про думку учасників щодо процесу виконання вправи або навчань загалом.

12. Подяка і визнання: • Висловіть визнання окремим особам чи командам за їхній значний внесок чи плідну роботу.

13. Наступні кроки і подальші дії: • Обговоріть наступні кроки після AAR, включаючи розроблення плану дій.

14. Закриття сесії AAR і подяка: • Подякуйте всім учасникам за їхній внесок та прагнення покращити реагування.

15. Звіт щодо AAR та його поширення: • Зазначте, що висновки та рекомендації будуть долучені до офіційного звіту з AAR. 16. Збір зворотного зв’язку щодо сесії AAR: • Попросіть учасників висловити свої думки щодо самої сесії AAR. Такий шаблон — це структурована основа для проведення всеохопної сесії AAR після командно-штабних навчань або ситуаційних вправ. Його можна налаштувати відповідно до конкретних цілей та особливостей ваших ТТХ, а також потреб організації.

120

ДОДАТОК 7. ШАБЛОН АНАЛІЗУ РЕЗУЛЬТАТІВ ПРОВЕДЕНИХ КОМАНДНО-ШТАБНИХ НАВЧАНЬ АБО ВПРАВИ

ДОДАТОК 7. ШАБЛОН АНАЛІЗУ РЕЗУЛЬТАТІВ ПРОВЕДЕНИХ КОМАНДНО-ШТАБНИХ НАВЧАНЬ АБО ВПРАВИ

121