Incidenthantering — bordsövning
Scenariot
Fas 1 (utdelas vid start). Måndag morgon. Supporten har fått tre samtal från kunder som säger att de fått ett mejl från er organisation som de inte känner igen. En anställd nämner i förbifarten att hon fick ett konstigt mejl i fredags och "kanske klickade på länken".
Gruppen ska svara på: Vad gör ni de första trettio minuterna? Vem kontaktas? Vilken information behöver ni innan ni kan bedöma läget?
Fas 2 (delas ut efter 20 minuter). Loggarna visar en lyckad inloggning på den anställdas konto klockan 02:14 natten till lördag, från en IP-adress i ett land där ni inte har verksamhet. Kontot har behörighet till kundregistret.
Gruppen ska svara på: Stänger ni av kontot direkt? Vilka avvägningar finns mellan att agera snabbt och att bevara bevis? Vad säger GDPR om anmälningsplikt, och vilken tidsfrist gäller?
Fas 3 (delas ut efter ytterligare 20 minuter). Ni hittar samma inloggningsmönster på två ytterligare konton. En av dem är ett administratörskonto.
Gruppen ska svara på: Hur ändras bedömningen? Vem informeras nu, internt och externt? Behöver ni extern hjälp, och i så fall vilken?
Efterarbete
Gå igenom de sex faserna — förberedelse, identifiering, inneslutning, utrotning, återställning, lärdomar — och placera gruppens beslut i respektive fas. Diskutera vilka av dem som hade kunnat förberedas i förväg.
Kunskapskontroll
Välj ett svar per fråga. Du får återkoppling direkt, och avsnittet markeras som klart när alla frågor är besvarade.
1Vad är det huvudsakliga värdet av en bordsövning?
2I fas 2 upptäcks en lyckad inloggning från ett land ni inte verkar i. Vad är avvägningen vid beslut om att stänga av kontot?
3Vad bör de första trettio minuterna i fas 1 fokusera på?
Incident response — tabletop exercise
The scenario
Stage 1 (handed out at the start). Monday morning. Support has taken three calls from customers saying they received an email from your organization that they do not recognize. An employee mentions in passing that she got an odd email on Friday and "may have clicked the link."
The group must answer: What do you do in the first thirty minutes? Who gets contacted? What information do you need before you can assess the situation?
Stage 2 (released after 20 minutes). The logs show a successful login to the employee's account at 02:14 on Saturday morning, from an IP address in a country where you have no operations. The account has access to the customer register.
The group must answer: Do you disable the account immediately? What are the trade-offs between acting fast and preserving evidence? What does GDPR say about notification obligations, and what deadline applies?
Stage 3 (released after a further 20 minutes). You find the same login pattern on two additional accounts. One of them is an administrator account.
The group must answer: How does the assessment change? Who is informed now, internally and externally? Do you need outside help, and if so what kind?
Debrief
Walk through the six phases — preparation, identification, containment, eradication, recovery, lessons learned — and place the group's decisions in each. Discuss which of them could have been prepared in advance.
Knowledge check
Pick one answer per question. You get feedback immediately, and the unit is marked complete once every question is answered.
1What is the main value of a tabletop exercise?
2In stage 2 a successful login from a country you do not operate in is found. What is the trade-off in deciding to disable the account?
3What should the first thirty minutes in stage 1 focus on?