Kort sagt: En tabletop-øvelse i it gennemspiller en sikkerhedshændelse ved bordet: En facilitator giver trin for trin nye oplysninger om situationen, deltagerne beslutter som i en nødsituation, og til sidst foreligger en liste over konkrete forbedringer. Til webservere egner sig et scenarie efter mønster fra PHP2Shell, fordi det på én gang berører teknik, beslutninger under usikkerhed, databeskyttelse og kommunikation.
Hvorfor en plan først virker gennem øvelse
Mange virksomheder har nu en nødplan. Om den fungerer, viser sig dog først, når nogen bruger den under tidspres. Står det rigtige telefonnummer i den? Ved direktionen, at den skal beslutte en nedlukning? Kender leverandøren adgangene? Sådanne spørgsmål afklarer en øvelse ved bordet på få timer.
Oktoberugen 2026 har demonstreret, hvor hurtigt en situation kan eskalere: forhåndsmeddelelse fra php.net den 20.10., rettelser den 21.10. kl. 16 tysk tid, BSI-advarselsniveau orange (BSI er det tyske forbundsagentur for informationssikkerhed), nedlukninger af offentlige websites ifølge medierapporter. Den, der havde øvet dette forløb én gang på forhånd, måtte improvisere mindre. Forløbet i detaljer beskriver Kronologien for PHP2Shell. Hvordan I selv opbygger planen, står under Udarbejd en it-nødplan for webservere; her handler det om at øve.
Tabletop-øvelse i it: Roller og forberedelse
En god øvelse kræver lidt materiale, men klare roller. Facilitatoren fører gennem drejebogen, indspiller oplysninger og holder tiden. Facilitatoren diskuterer ikke med, men stiller spørgsmål. En protokol noterer beslutninger, åbne spørgsmål og hvert sted, hvor nogen siger "det ville jeg ikke vide nu". Eventuelt observerer en yderligere person, hvordan kommunikationen forløber.
Deltagerne er de mennesker, der faktisk handler i en nødsituation: direktionen, intern it eller ekstern leverandør, databeskyttelsesrådgivere, kommunikation, om nødvendigt indkøb eller juridisk afdeling. Det er vigtigt, at stedfortrædere er med, for hændelser retter sig ikke efter ferieplaner.
Til forberedelsen hører: den aktuelle nødplan på papir, kontaktlisten, et overblik over websites og servere og et lokale uden afbrydelser. Fastslå på forhånd, at det handler om at lære, ikke om karakterer. Den, der er bange for at blamere sig, siger ikke, hvad vedkommende ikke ved.
En færdig drejebog: Kritisk PHP-sårbarhed en fredag eftermiddag
Det følgende scenarie er fiktivt, men orienterer sig efter mønsteret fra en virkelig situation. Tilpas systemer og navne til jeres miljø. Hvert indspil får ti til tyve minutters diskussion.
| Trin | Facilitatorens indspil | Ledespørgsmål til runden |
|---|---|---|
| 1 | Fagpressen melder en kritisk sårbarhed i PHP, rettelser er varslet, men endnu ikke der. | Hvem hører om det først, og hvem skal informeres? |
| 2 | Rettelserne udkommer om eftermiddagen. BSI anbefaler en øjeblikkelig opdatering, ellers midlertidig nedlukning. | Hvilke af vores systemer er berørt, og hvordan ved vi det? |
| 3 | Hostingudbyderen melder sig ikke. En egen server kører med en PHP-version uden officiel opdatering. | Patche, lukke ned eller vente, og hvem beslutter det? |
| 4 | Shoppen skal køre en kampagne i weekenden. Salget presser på for ikke at lukke noget ned. | Hvordan afvejer vi omsætning og risiko, og hvordan dokumenterer vi beslutningen? |
| 5 | En administrator finder mandag en ukendt PHP-fil i upload-mappen. | Hvad gør vi først, hvad lader vi bevidst være? Hvem sikrer beviser? |
| 6 | Det er uklart, om kundedata er sluppet ud. | Hvem vurderer en mulig anmeldelsespligt, og hvornår løber fristen? |
| 7 | En journalist spørger, hvorfor websitet er offline. | Hvem taler udadtil, og hvad siger vi, så længe vi ved lidt? |
Trin 6 berører GDPR. I øvelsen er det nok at afklare forløbet: hvem der inddrager databeskyttelsesrådgiverne, og hvornår. Den juridiske vurdering forbliver hos fagfolk; hovedtrækkene om fristen står i art. 33 GDPR.
Typiske erkendelser og hvordan I fastholder dem
Bestemte huller dukker op ved næsten hver første øvelse. Der mangler en fuldstændig liste over, hvilke websites der kører på hvilke servere med hvilken PHP-version. Hostingudbyderens kontaktdata er forældede eller gemt kun i en postkasse, som ikke kan nås i en nødsituation. Ingen ved med sikkerhed, om direktionen selv må beordre en nedlukning, eller om nogen skal give sit samtykke.
Fasthold hver erkendelse i tre dele: hvad vi har konstateret, hvad vi ændrer, og hvem der gør det inden hvornår. En erkendelse uden ansvarlig bliver erfaringsmæssigt liggende. Ordn punkterne efter virkning: Et manglende nødnummer er hurtigt rettet og hjælper straks, en ny overvågningsløsning kræver planlægning.
Til den strukturerede evaluering efter øvelsen egner sig den samme fremgangsmåde som efter en rigtig hændelse. Den er beskrevet i indlægget Lessons learned: Bliv bedre efter hændelsen. Kontaktlisten, som i øvelsen som regel viser svagheder, behandler Nødkontakter: Hvem skal informeres hvornår?.
Gentag øvelsen efter seks til tolv måneder med et andet scenarie, f.eks. et hacket website med omdirigering til fremmede sider. Så kontrollerer I, om foranstaltningerne fra første runde virkelig blev gennemført.
Hvordan hjælper PHP SOS konkret?
- Vi tilpasser drejebogen til jeres faktiske websites, servere og leverandører og forbereder indspillene.
- Vi faciliterer øvelsen på afstand eller via videokonference og holder os tilbage med vurderinger, indtil runden har besluttet.
- Vi leverer bagefter en protokol med erkendelser, foranstaltninger, ansvarlige og frister.
- På ønske øver vi derefter den tekniske del, altså beholdningsopgørelse, patch og sporsøgning, således som vores Incident Response afvikler den i en nødsituation.
Konklusion
En nødøvelse ved bordet er den billigste vej til at finde svaghederne i en nødplan, før en rigtig hændelse gør det. En eftermiddag, en realistisk drejebog og en ærlig evaluering er nok til at begynde med. Det afgørende er, at hver erkendelse bliver til en opgave med navn og dato.
Ofte stillede spørgsmål
Hvad er en tabletop-øvelse?
En øvelse, hvor deltagerne sammen gennemgår en hændelse ved bordet uden at arbejde på rigtige systemer. En facilitator indspiller trinvist nye oplysninger, gruppen beslutter og begrunder. Dermed bliver huller i plan, ansvarsområder og kontaktlister synlige.
Hvem bør deltage i en nødøvelse?
Alle, der i en nødsituation beslutter eller handler: direktionen, it eller leverandør, databeskyttelse, kommunikation og, hvis den findes, den ansvarlige for forsikringsspørgsmål. Mere end otte til ti personer gør runden tung.
Hvor længe varer en tabletop-øvelse?
Til et første gennemløb er to til tre timer inklusive evaluering nok. Vigtigere end længden er, at resultaterne fastholdes, og at der fordeles foranstaltninger med frist.
Skal scenariet være realistisk?
Det bør passe til jeres miljø, men behøver ikke passe i alle detaljer. Et scenarie efter mønster fra en virkelig situation som PHP2Shell virker troværdigt og leder diskussionen hen på beslutninger i stedet for tekniske detaljer.