# Vježba hitnog slučaja za stolom: proći incident web-poslužitelja

> Tabletop vježba za IT: kako incident web-poslužitelja proći za stolom, sa scenarijem, ulogama, ubacivanjem informacija i evaluacijom koja nešto mijenja.

Izvor: https://phpsos.de/hr/blog/notfalluebung-am-tisch/  
Stanje: 25.10.2026  
Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6

**Ukratko:** Tabletop vježba u IT-u prolazi sigurnosni incident za stolom: moderacija korak po korak daje nove informacije o stanju, sudionici odlučuju kao u kritičnom trenutku, a na kraju stoji popis konkretnih poboljšanja. Za web-poslužitelje prikladan je scenarij po uzoru na PHP2Shell jer istodobno dotiče tehniku, odluke u nesigurnosti, zaštitu podataka i komunikaciju.

## Zašto plan djeluje tek vježbanjem

Mnoge tvrtke danas imaju plan za hitne slučajeve. Funkcionira li, pokazuje se tek kad ga netko koristi pod vremenskim pritiskom. Stoji li u njemu pravi telefonski broj? Zna li uprava da mora odlučiti o isključenju? Poznaje li pružatelj usluga pristupe? Takva pitanja vježba za stolom razjašnjava u nekoliko sati.

Listopadski tjedan 2026. pokazao je kako brzo situacija može eskalirati: prethodna najava php.net-a 20. 10., zakrpe 21. 10. u 16 sati njemačkog vremena, BSI razina upozorenja narančasta, prema medijskim izvješćima isključenja javnih web-stranica. Tko je taj slijed prije jednom vježbao, morao je manje improvizirati. Tijek u pojedinostima opisuje [Kronologija PHP2Shella](https://phpsos.de/hr/ratgeber/php2shell-chronologie/). Kako sami izgraditi plan, piše u članku [Izrada IT plana za hitne slučajeve za web-poslužitelje](https://phpsos.de/hr/compliance/notfallplan-erstellen/); ovdje je riječ o vježbanju.

## Tabletop vježba u IT-u: uloge i priprema

Dobroj vježbi treba malo materijala, ali jasne uloge. **Moderacija** vodi kroz scenarij, ubacuje informacije i pazi na vrijeme. Ne raspravlja, nego postavlja pitanja. **Zapisnik** bilježi odluke, otvorena pitanja i svako mjesto na kojem netko kaže „to sada ne bih znao“. Po želji još jedna osoba promatra kako teče komunikacija.

**Sudionici** su ljudi koji u kritičnom trenutku stvarno djeluju: uprava, interni IT ili vanjski pružatelj usluga, službenici za zaštitu podataka, komunikacija, po potrebi nabava ili pravna služba. Važno je da su prisutne i zamjene, jer se incidenti ne drže planova godišnjih odmora.

Pripremi pripadaju: aktualan plan za hitne slučajeve na papiru, popis kontakata, pregled web-stranica i poslužitelja te prostorija bez prekida. Unaprijed odredite da je riječ o učenju, a ne o ocjenama. Tko se boji blamaže, ne kaže ono što ne zna.

## Gotov scenarij: kritična PHP ranjivost u petak poslijepodne

Sljedeći je scenarij fiktivan, ali slijedi obrazac stvarne situacije. Prilagodite sustave i imena svom okruženju. Svako ubacivanje dobiva deset do dvadeset minuta rasprave.

| Korak | Ubacivanje moderacije | Vodeće pitanje skupini |
|---|---|---|
| 1 | Stručni tisak javlja kritičnu ranjivost u PHP-u, zakrpe su najavljene, ali još ih nema. | Tko prvi saznaje za to i koga treba obavijestiti? |
| 2 | Zakrpe se pojavljuju poslijepodne. BSI preporučuje trenutačno ažuriranje, inače privremeno isključenje. | Koji su naši sustavi pogođeni i kako to znamo? |
| 3 | Pružatelj hostinga se ne javlja. Vlastiti poslužitelj radi s verzijom PHP-a bez službenog ažuriranja. | Zakrpati, isključiti ili čekati i tko to odlučuje? |
| 4 | Shop za vikend treba pokrenuti akciju. Prodaja inzistira da se ništa ne isključuje. | Kako odvagujemo prihod i rizik i kako dokumentiramo odluku? |
| 5 | Administrator u ponedjeljak pronalazi nepoznatu PHP datoteku u mapi za upload. | Što činimo prvo, što svjesno ostavljamo? Tko osigurava dokaze? |
| 6 | Nejasno je jesu li podaci klijenata iscurili. | Tko procjenjuje moguću obvezu prijave i kada teče rok? |
| 7 | Novinarka pita zašto je web-stranica izvan mreže. | Tko govori prema van i što kažemo dok znamo malo? |

Korak 6 dotiče GDPR. U vježbi je dovoljno razjasniti tijek: tko uključuje službenike za zaštitu podataka i kada. Pravna procjena ostaje stručnjacima; osnove o roku nalaze se u čl. 33. GDPR-a.

## Tipični zaključci i kako ih zabilježiti

Određeni nedostaci pojavljuju se na gotovo svakoj prvoj vježbi. Nedostaje potpun popis koje web-stranice rade na kojim poslužiteljima s kojom verzijom PHP-a. Kontakt podaci pružatelja hostinga zastarjeli su ili pohranjeni samo u sandučiću koji u kritičnom trenutku nije dostupan. Nitko ne zna sigurno smije li uprava sama naložiti isključenje ili netko mora odobriti.

Svaki zaključak zabilježite u tri dijela: što smo utvrdili, što mijenjamo i tko to obavlja do kada. Zaključak bez odgovorne osobe prema iskustvu ostaje ležati. Točke poredajte prema učinku: nedostajući broj za hitne slučajeve brzo se otklanja i odmah pomaže, a novo rješenje za nadzor traži planiranje.

Za strukturiranu evaluaciju nakon vježbe prikladan je isti postupak kao nakon stvarnog incidenta. Opisan je u članku [Lessons learned: postati bolji nakon incidenta](https://phpsos.de/hr/blog/lessons-learned-nach-vorfall/). Popis kontakata, koji u vježbi najčešće pokazuje slabosti, obrađuje [Kontakti za hitne slučajeve: tko se i kada mora obavijestiti?](https://phpsos.de/hr/blog/notfallkontakte-liste/).

> **Savjet:**
> Ponovite vježbu nakon šest do dvanaest mjeseci s drugim scenarijem, primjerice hakiranom web-stranicom s preusmjeravanjem na tuđe stranice. Tako provjeravate jesu li mjere iz prvog kruga stvarno provedene.

## Kako PHP SOS konkretno pomaže?

1. Scenarij prilagođavamo Vašim stvarnim web-stranicama, poslužiteljima i pružateljima usluga te pripremamo ubacivanja.
2. Moderiramo vježbu na daljinu ili putem videokonferencije i suzdržavamo se od ocjena dok krug ne odluči.
3. Nakon toga isporučujemo zapisnik sa zaključcima, mjerama, odgovornim osobama i rokovima.
4. Na želju zatim vježbamo tehnički dio, dakle popis stanja, zakrpu i traženje tragova, onako kako ga naš [odgovor na incidente](https://phpsos.de/hr/leistungen/incident-response/) obavlja u kritičnom trenutku.

## Zaključak

Vježba hitnog slučaja za stolom najjeftiniji je put do slabosti plana za hitne slučajeve prije nego ih otkrije pravi incident. Jedno poslijepodne, realističan scenarij i iskrena evaluacija dovoljni su za početak. Odlučujuće je da iz svakog zaključka nastane zadatak s imenom i datumom.


## Česta pitanja

**Što je tabletop vježba?**  
Vježba u kojoj sudionici zajedno za stolom razgovorom prolaze incident, bez rada na stvarnim sustavima. Moderacija korak po korak ubacuje nove informacije, a skupina odlučuje i obrazlaže. Tako postaju vidljivi nedostaci u planu, odgovornostima i popisima kontakata.

**Tko bi trebao sudjelovati u vježbi hitnog slučaja?**  
Svi koji u kritičnom trenutku odlučuju ili djeluju: uprava, IT ili pružatelj usluga, zaštita podataka, komunikacija i, ako postoji, osoba nadležna za pitanja osiguranja. Više od osam do deset osoba čini krug trom.

**Koliko traje tabletop vježba?**  
Za prvi prolaz dovoljna su dva do tri sata uključujući evaluaciju. Važnije od duljine je da se rezultati zabilježe i da se mjere dodijele s rokom.

**Mora li scenarij biti realističan?**  
Treba odgovarati Vašem okruženju, ali ne mora biti točan do detalja. Scenarij po uzoru na stvarnu situaciju poput PHP2Shella djeluje vjerodostojno i usmjerava raspravu na odluke umjesto na tehničke detalje.

## Izvori

- [BSI: informacije o upravljanju kriznim situacijama](https://www.bsi.bund.de/)
- [php.net: sigurnosne objave](https://www.php.net/)
- [GDPR čl. 33](https://dsgvo-gesetz.de/art-33-dsgvo/)