Stručně: Tabletop cvičení v IT prochází bezpečnostní incident u stolu: Moderátor krok za krokem vkládá nové informace o situaci, zúčastnění rozhodují jako v krizi a na konci vzniká seznam konkrétních zlepšení. Pro webové servery se hodí scénář podle vzoru PHP2Shell, protože se dotýká techniky, rozhodování v nejistotě, ochrany osobních údajů a komunikace zároveň.
Proč plán začne fungovat teprve cvičením
Mnoho firem už dnes krizový plán má. Zda funguje, se ale ukáže teprve tehdy, když ho někdo použije pod časovým tlakem. Je v něm správné telefonní číslo? Ví vedení, že musí rozhodnout o odstavení? Zná dodavatel přístupy? Takové otázky vyjasní cvičení u stolu během několika hodin.
Říjnový týden 2026 předvedl, jak rychle může situace eskalovat: předběžné oznámení na php.net 20. 10., záplaty 21. 10. v 16 hodin německého času, výstražný stupeň BSI oranžový (BSI je německý Spolkový úřad pro informační bezpečnost), odstavení veřejných webů podle zpráv médií. Kdo si tento sled předem jednou nacvičil, musel méně improvizovat. Průběh podrobně popisuje Chronologie PHP2Shell. Jak plán sestavit, najdete v Vytvoření IT krizového plánu pro webové servery; zde jde o nácvik.
Tabletop cvičení v IT: role a příprava
Dobré cvičení potřebuje málo materiálu, ale jasné role. Moderátor vede scénářem, vkládá informace a hlídá čas. Sám nediskutuje, ale klade otázky. Zapisovatel zaznamenává rozhodnutí, otevřené otázky a každé místo, kde někdo řekne „to bych teď nevěděl“. Volitelně další osoba pozoruje, jak probíhá komunikace.
Účastníci jsou lidé, kteří v krizi skutečně jednají: vedení firmy, interní IT nebo externí dodavatel, pověřenci pro ochranu osobních údajů, komunikace, případně nákup nebo právní oddělení. Důležité je, aby byli přítomni i zástupci, protože incidenty se nehodí do plánů dovolených.
K přípravě patří: aktuální krizový plán na papíře, kontaktní seznam, přehled webů a serverů a místnost bez vyrušování. Předem stanovte, že jde o učení, ne o známky. Kdo se bojí ztrapnit, neřekne, co neví.
Hotový scénář: kritická zranitelnost PHP v pátek odpoledne
Následující scénář je fiktivní, ale řídí se vzorem skutečné situace. Upravte systémy a jména podle svého prostředí. Každý vstup dostane deset až dvacet minut diskuse.
| Krok | Vstup moderátora | Vodítko pro skupinu |
|---|---|---|
| 1 | Odborný tisk hlásí kritickou zranitelnost v PHP, záplaty jsou ohlášeny, ale ještě nejsou k dispozici. | Kdo se o tom dozví jako první a kdo musí být informován? |
| 2 | Záplaty vyjdou odpoledne. BSI doporučuje okamžitou aktualizaci, jinak dočasné odstavení. | Které z našich systémů jsou dotčeny a odkud to víme? |
| 3 | Poskytovatel hostingu se neozývá. Vlastní server běží s verzí PHP bez oficiální aktualizace. | Záplatovat, odstavit, nebo vyčkat, a kdo o tom rozhoduje? |
| 4 | E-shop má o víkendu spustit akci. Obchod tlačí, aby se nic neodstavovalo. | Jak zvážíme tržby a riziko a jak rozhodnutí zdokumentujeme? |
| 5 | Administrátor v pondělí najde ve složce pro nahrávání neznámý soubor PHP. | Co uděláme jako první, co vědomě necháme? Kdo zajistí důkazy? |
| 6 | Není jasné, zda unikla data zákazníků. | Kdo posoudí možnou oznamovací povinnost a kdy běží lhůta? |
| 7 | Novinářka se ptá, proč je web offline. | Kdo mluví navenek a co říkáme, dokud toho víme málo? |
Krok 6 se dotýká GDPR. Ve cvičení stačí ujasnit postup: kdo zapojí pověřence pro ochranu osobních údajů a kdy. Právní posouzení zůstává odborníkům; základy lhůty jsou v čl. 33 GDPR.
Typická zjištění a jak je zaznamenat
Určité mezery se objeví téměř při každém prvním cvičení. Chybí úplný seznam, které weby běží na kterých serverech s jakou verzí PHP. Kontaktní údaje poskytovatele hostingu jsou zastaralé nebo uložené jen v poštovní schránce, která je v krizi nedostupná. Nikdo si není jistý, zda smí vedení odstavení samo nařídit, nebo zda musí někdo souhlasit.
Každé zjištění zaznamenejte ve třech částech: co jsme zjistili, co změníme a kdo to do kdy zařídí. Zjištění bez odpovědné osoby zůstane podle zkušeností ležet. Seřaďte body podle účinku: Chybějící nouzové číslo se opraví rychle a pomůže hned, nové řešení monitoringu potřebuje plánování.
Pro strukturované vyhodnocení po cvičení se hodí stejný postup jako po skutečném incidentu. Je popsán v příspěvku Lessons learned: po incidentu být lepší. Kontaktní seznam, který ve cvičení většinou ukáže slabiny, řeší Nouzové kontakty: kdo musí být kdy informován?.
Cvičení opakujte po šesti až dvanácti měsících s jiným scénářem, například s napadeným webem s přesměrováním na cizí stránky. Tak ověříte, zda se opatření z prvního kola skutečně provedla.
Jak konkrétně pomáhá PHP SOS?
- Scénář přizpůsobíme vašim skutečným webům, serverům a dodavatelům a připravíme vstupy.
- Cvičení moderujeme na dálku nebo přes videokonferenci a s hodnocením se držíme zpátky, dokud skupina nerozhodne.
- Poté dodáme zápis se zjištěními, opatřeními, odpovědnými osobami a termíny.
- Na přání poté procvičíme technickou část, tedy inventuru, záplatu a hledání stop, tak, jak ji naše reakce na incidenty v krizi zpracovává.
Závěr
Krizové cvičení u stolu je nejlevnější způsob, jak najít slabiny krizového plánu dřív, než je najde skutečný incident. Pro začátek stačí jedno odpoledne, realistický scénář a upřímné vyhodnocení. Rozhodující je, aby se z každého zjištění stal úkol se jménem a datem.
Časté dotazy
Co je tabletop cvičení?
Cvičení, při němž zúčastnění společně u stolu probírají incident, aniž by pracovali na skutečných systémech. Moderátor postupně vkládá nové informace, skupina rozhoduje a zdůvodňuje. Tak se zviditelní mezery v plánu, odpovědnostech a kontaktních seznamech.
Kdo by se měl krizového cvičení zúčastnit?
Všichni, kdo v krizi rozhodují nebo jednají: vedení firmy, IT nebo dodavatel, ochrana osobních údajů, komunikace a, pokud existuje, osoba odpovědná za pojistné záležitosti. Více než osm až deset osob činí kolo těžkopádným.
Jak dlouho tabletop cvičení trvá?
Pro první průběh stačí dvě až tři hodiny včetně vyhodnocení. Důležitější než délka je, aby se výsledky zaznamenaly a opatření se přidělila s termínem.
Musí být scénář realistický?
Měl by odpovídat vašemu prostředí, ale nemusí do detailu sedět. Scénář podle vzoru skutečné situace, jako je PHP2Shell, působí věrohodně a vede diskusi k rozhodnutím místo k technickým detailům.