Wyobraź sobie, że krytyczna usługa staje się niedostępna, podczas gdy zespół ds. bezpieczeństwa bada podejrzaną aktywność. Przyczyna nie jest jeszcze jasna. Operacje chcą ciągłości, bezpieczeństwo chce powstrzymywania, a przywództwo potrzebuje wyjaśnień. Trudna część już się rozpoczęła: podjęcie decyzji, co zrobić, zanim nadejdzie pewność.

Przećwicz prawa do decyzji

Kto może zatwierdzić izolowanie systemu krytycznego? Kto może zaakceptować konsekwencje operacyjne? Kto przejmie obowiązki, jeśli ta osoba jest niedostępna? Pytania te należy przygotować, gdy nadejdzie czas na rozwiązanie sprzecznych oczekiwań.

Ćwiczenie powinno zgromadzić ludzi, którzy są odpowiedzialni za te decyzje. Czysto techniczna symulacja może być cenna, ale sama w sobie nie ustali, w jaki sposób zespół kierowniczy autoryzuje przełomowe działanie biznesowe.

Przetestuj przepływ informacji

Wczesne informacje są często niekompletne i podlegają rewizji. Dobra odprawa rozróżnia zaobserwowane fakty, hipotezy robocze i badane kwestie. Pomaga to liderom działać bez traktowania tymczasowych wyjaśnień jako potwierdzonego wniosku.

Podczas ćwiczenia poproś uczestników, aby przygotowali odprawę, z której faktycznie skorzystaliby. Zwróć uwagę na to, czego brakuje: wpływu na biznes, zaufania, terminów podejmowania decyzji, opcji czy tożsamości osoby odpowiedzialnej za kolejną aktualizację.

Uwzględnij zwykłe zależności

Najbardziej dramatyczny scenariusz nie zawsze jest najbardziej przydatny. Niedostępna lista kontaktów, dostęp do systemu odzyskiwania lub zależność od dostawcy mogą okazać się decydujące, gdy zwykłe narzędzia nie są dostępne.

Przepracuj te szczegóły. Czy właściwi ludzie mogą się ze sobą skontaktować? Czy mogą uzyskać dostęp do potrzebnych im informacji? Czy odpowiedzialność zewnętrzna jest rozumiana? Ćwiczenie zyskuje na wartości, gdy identyfikuje zmianę, którą można wprowadzić.

Obserwuj, nie zamieniając tego w występ

Uczestnicy powinni umieć wyjaśnić niepewność, poprosić o pomoc i podważyć założenia. Ćwiczenie mające na celu jedynie potwierdzenie, że plan działa, utrudnia odkrycie, gdzie tak się nie dzieje.

Zapisz decyzje, informacje dostępne w danym momencie i punkty, w których odpowiedzialność stała się niejasna. Celem jest ulepszenie systemu reagowania, w tym sposobu współpracy ludzi.

Zamknij pętlę po ćwiczeniu

Końcowa dyskusja powinna zaowocować krótkim, własnym zestawem ulepszeń. Aktualizacja listy kontaktów, wyjaśnienie zatwierdzenia, zmiana progu eskalacji lub przećwiczenie przekazania może być bardziej przydatne niż tworzenie kolejnego długiego dokumentu.

Uzgodnij, w jaki sposób zmiany będą sprawdzane. W następnym ćwiczeniu można ponownie rozważyć tę samą decyzję pod różnymi ograniczeniami, pokazując, czy organizacja poprawiła swoją gotowość, zamiast po prostu powtarzać spotkanie.

Przygotowanie zapewnia wspólny sposób decydowania, kiedy fakty wciąż napływają.

Perspektywa gabinetu
The Cybersecurity Cabinet