Większość MŚP ma „plan awaryjny" w PDF-ie, którego nikt nie czytał od czasu wdrożenia. Ćwiczenia tabletop to najtańszy sposób, żeby sprawdzić, czy ten plan cokolwiek znaczy — zanim dowiesz się o tym po ataku.
Tabletop to nie jest ćwiczenie techniczne. Nikt niczego nie odpina, nie odtwarza backupu, nie dzwoni na infolinię ubezpieczyciela. Wszyscy siadają w sali konferencyjnej, dostają scenariusz na kartce i mówią głośno, co robią w kolejnych minutach ataku. Trwa to 90–120 minut. Kosztuje jedno popołudnie. A pokazuje więcej luk niż roczny audyt papierowy.
Dlaczego papierowy plan nie wystarcza
W jednym z naszych projektów 30-osobowa hurtownia dystrybuująca części przemysłowe miała 22-stronicowy plan ciągłości działania, oparty o Comarch Optima i serwer plików w biurze. Dokument był świeży, podpisany, w segregatorze na półce. Zaprosiliśmy zarząd, głównego księgowego, właściciela i administratora IT na dwugodzinne tabletop. Scenariusz: piątek 14:00, komunikat ransomware na pięciu stacjach, dyski sieciowe też zaszyfrowane.
W ciągu pierwszych 20 minut wyszły cztery rzeczy, których w planie nie było:
- Numer do ubezpieczyciela cyber był w Outlooku, który właśnie się szyfrował.
- Administrator, który jako jedyny znał hasło do konsoli backupu, był w tym tygodniu na urlopie w Grecji.
- Nikt nie wiedział, kto ma uprawnienie odłączyć internet w biurze — router hostował ISP zdalnie, a login/hasło były „gdzieś w mailu z 2021".
- Baza Comarch Optima stała na share'ze, który był też zamontowany jako litera dysku na komputerach handlowców — więc ransomware szyfrował ją jako plik
.mdf, nie jako bazę.
Papierowy plan mówił „odłącz zainfekowane stacje, przywróć z backupu". Nie mówił, kto to robi w piątek o 14:07, kiedy właściciela nie ma w kraju.
Co to jest tabletop
Ćwiczenie stołowe (tabletop exercise) to symulacja incydentu prowadzona w formie rozmowy. Prowadzący czyta scenariusz — najczęściej ransomware, wyciek danych albo utrata dostępu do kluczowego SaaS-a. Uczestnicy odpowiadają na pytania: „Godzina 14:03 — księgowa dzwoni, że jej Excel nie chce się otworzyć i pokazuje żądanie okupu. Co robisz jako pierwsza osoba, do której trafia zgłoszenie?". I tak przez dwie godziny, w kolejnych aktach.
To nie test wiedzy. Nikt nie zdaje egzaminu. Chodzi o to, żeby ludzie po raz pierwszy w życiu razem przećwiczyli podejmowanie decyzji w scenariuszu, którego bardzo nie chcą przeżyć na żywo. I żeby wyszły luki, które w spokojnym poniedziałek nikomu nie przyszłyby do głowy.
Kto powinien być na sali
W MŚP 20–50 osób minimalny skład to pięć osób:
- Właściciel albo prezes. To on podejmuje decyzję o zapłaceniu okupu, wstrzymaniu produkcji, wypłacie zaliczek na wypłaty, gdy system HR nie działa. Bez niego to teatr.
- Osoba od IT (wewnętrzna albo dostawca outsourcingu). Zna infrastrukturę, backupy, konta administracyjne.
- Główna księgowa albo osoba odpowiedzialna za finanse. Zna dane osobowe, wie, jakie faktury muszą wyjść w piątek, wie, gdzie jest ubezpieczenie.
- Ktoś od operacji — kierownik magazynu, produkcji, obsługi klienta. Wie, co się zatrzyma, jeśli ERP padnie.
- Prowadzący — najlepiej z zewnątrz. Nie może być nikt, kto sam potem wykonuje reagowanie, bo będzie bronił własnego planu.
Nie zapraszaj wszystkich. Piętnaście osób w sali to nie tabletop, to zebranie.
Scenariusz, który boli
Dobry scenariusz nie jest hollywoodzki. Jest boleśnie zwykły. Przykład, którego używamy najczęściej dla MŚP z systemem Comarch Optima / enova365 / Subiekt:
Piątek, 14:03. Księgowa dzwoni na IT: „Optima nie chce mnie wpuścić, wyskakuje jakiś czerwony komunikat po angielsku". Handlowiec pisze na Teamsie: „Ludzie, u mnie na pulpicie pojawił się plik HOW_TO_DECRYPT.txt". W ciągu 10 minut identyczne zgłoszenia z 6 innych stacji. Kamery w magazynie działają. Poczta działa. Ale drukarki nie drukują faktur.
Prowadzący zadaje pytania punkt po punkcie, w rytm minut:
- 14:04 — kto o tym decyduje, że to jest incydent? Bardzo częsta luka: pierwsza osoba widzi, myśli „chyba coś z Optimą", dzwoni do dostawcy Optimy, traci 40 minut.
- 14:15 — kto odłącza sieć? Fizycznie, kablem. Serio, kto ma klucz do szafy?
- 14:30 — kto dzwoni do ubezpieczyciela? Numer? Godziny? Czy polisa wymaga zgłoszenia w 24h, czy w 72h?
- 15:00 — czy backup w ogóle działa? Kiedy była ostatnia próba odtworzenia — nie sprawdzenia, że plik istnieje, tylko przywrócenia na testową maszynę?
- 17:00 — czy w poniedziałek rano wypłacimy zaliczki, jeśli system kadrowo-płacowy nie wróci? Kto ma dostęp do bankowości, jeśli token był tylko na jednym laptopie?
- Wtorek — co mówimy klientom? Kto pisze komunikat? Czy jesteśmy zobowiązani zgłosić naruszenie do UODO (72 godziny)?
Nie idzie o „poprawne" odpowiedzi. Idzie o to, że przy każdym z tych pytań ktoś w sali spojrzy na kogoś innego i powie: „Myślałem, że ty to wiesz".
Częste luki, które wychodzą
Po kilkunastu tabletop w MŚP widzimy powtarzalne wzorce:
- Klucz od backupu w jednej głowie. Administrator na urlopie = brak dostępu.
- Numery kontaktowe w mailu, który podczas ataku jest zaszyfrowany. Trzeba mieć wydruk albo osobny kanał (Signal, telefon prywatny).
- Brak jasnej ścieżki decyzji o okupie. Właściciel „poczyta w internecie". Ubezpieczyciel oczekuje konsultacji z jego zespołem prawnym w ciągu godzin, nie dni.
- Nikt nie wie, ile firma traci na godzinę przestoju. Bez tej liczby wszystkie decyzje o priorytetach są zgadywanką.
- Osoby odpowiedzialne za komunikację wewnętrzną i zewnętrzną to ta sama osoba, która jest zajęta reagowaniem technicznym.
Każdą lukę zapisujesz, przypisujesz właściciela i termin. To jest cała wartość ćwiczenia.
Follow-up — bez tego cała robota idzie w piach
W ciągu tygodnia po tabletop:
- Skróć plan awaryjny do jednej strony A4 („co robię w pierwszej godzinie, do kogo dzwonię, gdzie jest lista telefonów").
- Wydrukuj tę stronę. Serio. Papier, w segregatorze, w sekretariacie i u właściciela w domu.
- Umieść krytyczne numery telefonów poza pocztą firmową (drukowana lista, Signal, prywatne komórki).
- Zaplanuj jedno realne odtworzenie backupu w ciągu 30 dni. Nie sprawdzenie, że plik istnieje — pełne odtworzenie bazy Optimy na testowej maszynie i sprawdzenie, że można się do niej zalogować.
- Ustal, kto jest drugą osobą do konta administracyjnego backupu (zasada „dwóch kluczy").
- Zaplanuj kolejny tabletop za 6–9 miesięcy z innym scenariuszem (wyciek danych, kompromitacja poczty prezesa).
Kiedy zaprosić kogoś z zewnątrz
Pierwsze tabletop w firmie najlepiej prowadzi ktoś z zewnątrz, kto zna scenariusze z rynku i nie ma emocjonalnego związku z żadnym elementem planu. Wewnętrzne IT ma naturalną tendencję do bronienia własnych decyzji sprzed dwóch lat. Prowadzący z zewnątrz może spokojnie powiedzieć „ta procedura nie zadziała w piątek o 14:07" i nikt się nie obrazi.
Kolejne tabletop możesz prowadzić już sam — masz scenariusz, masz doświadczenie, masz notatki z poprzednich. Sztuka polega na tym, żeby to w ogóle zacząć robić, zamiast czekać, aż ransomware sam zapyta, czy jesteś gotów.
Papierowy plan awaryjny testuje sam siebie w chwili, gdy naprawdę go potrzebujesz. To zawsze jest za późno.