想像一下，當安全團隊調查可疑活動時，關鍵服務變得不可用。 原因尚不清楚。 營運需要連續性，安全需要遏制，領導需要解釋。 困難的部分已經開始：在確定性到來之前決定要做什麼。
演練決定權
誰可以批准隔離關鍵系統？ 誰能接受操作後果？ 如果該人不在，誰來接替？ 當有時間解決相互競爭的期望時，這些問題屬於準備階段。
演習應該將擁有這些決策的人聚集在一起。 純粹的技術模擬可能很有價值，但它本身並不能確定領導團隊如何授權破壞性業務行動。
測試資訊流
早期資訊通常不完整且需要修改。 一份好的簡報可以區分觀察到的事實、可行的假設和正在調查的問題。 這有助於領導者採取行動，而無需將臨時解釋視為已確認的結論。
在練習中，請參與者製作他們實際使用的簡報。 注意缺少的內容：業務影響、信心、決策截止日期、選項或負責下一次更新的人員的身份。
包含普通依賴項
最戲劇性的場景並不總是最有用的。 當常用工具不可用時，不可用的聯絡人清單、對復原系統的存取或對供應商的依賴可能會變得至關重要。
解決這些細節。 合適的人能互相聯繫嗎？ 他們可以存取他們需要的資訊嗎？ 外部責任是否被理解？ 當一項練習發現可以進行的改變時，它就獲得了它的價值。
觀察而不將其變成表演
參與者應該能夠解釋不確定性、尋求幫助並質疑假設。 僅僅為了確認計劃是否有效而設計的練習，會導致更難發現計劃的無效之處。
記錄決策、當時可用的資訊、責任不明確的點。 目的是改進回應系統，包括人們協作的方式。
練習結束後關閉循環
最終的討論應該產生一套簡短的、自有的改進。 更新聯絡人清單、澄清批准、更改升級閾值或練習移交可能比產生另一份長文件更有用。
同意如何檢查更改。 下一次練習可以在不同的限制下重新審視相同的決策，顯示組織是否提高了準備程度，而不是簡單地重複會議。
準備工作創造了一種共同的方式來決定事實何時到來。
內閣的視角
The Cybersecurity Cabinet