playbook reakcji

Playbook reakcji to gotowy scenariusz postępowania dla konkretnego typu incydentu.

Scenariusz spisany przed awarią, nie w jej trakcie

Playbook reakcji to dokument opisujący jeden konkretny typ zdarzenia — zaszyfrowanie plików przez ransomware, wyciek hasła do skrzynki, awarię serwera bazy, kradzież laptopa — i rozpisujący go na ponumerowane kroki z przypisaną odpowiedzialnością. Dobrze napisany zaczyna się od warunku uruchomienia (co dokładnie musi się stać, żeby sięgnąć po ten dokument), potem podaje czynności natychmiastowe, listę osób do powiadomienia z numerami telefonów, sposób zabezpieczenia dowodów i wreszcie kryteria zamknięcia incydentu. Kluczowa jest kolejność: playbook mówi, co zrobić najpierw, właśnie po to, żeby nikt nie musiał tego ustalać przy dzwoniącym telefonie.

Różnica między instrukcją a procedurą awaryjną

Zwykła instrukcja zakłada, że wszystko działa i pyta „jak to zrobić”. Playbook zakłada, że coś już poszło źle, i pyta „co ratować najpierw”. Dlatego zawiera decyzje, które w spokojnym dniu wyglądają na drastyczne: odłączyć stanowisko od sieci, choć użytkownik nie skończył pracy; nie wyłączać komputera, bo w pamięci może zostać materiał dowodowy; wstrzymać wysyłkę z serwera pocztowego, żeby nie pogłębiać szkód w reputacji domeny. Drugą cechą jest wersjonowanie kontaktów — playbook z nieaktualnym numerem do administratora albo z nazwiskiem osoby, która odeszła rok temu, jest gorszy niż jego brak, bo daje złudzenie przygotowania.

Gdzie takie dokumenty zawodzą w praktyce

Najczęstsza wpadka to przechowywanie playbooka wyłącznie na zasobie sieciowym, który przy poważnej awarii jest niedostępny albo właśnie został zaszyfrowany — papierowa kopia w szafie i plik na nośniku poza siecią rozwiązują problem za darmo. Druga to brak testu: procedura, której nikt nie przećwiczył, przy pierwszym prawdziwym zdarzeniu okazuje się zawierać krok wymagający uprawnień, których dyżurny nie ma. Trzecia to rozbudowa dokumentu do kilkudziesięciu stron; w stresie nikt nie czyta akapitów, działa lista czynności mieszcząca się na jednej kartce. Warto też zapisać, czego robić nie wolno — na przykład nie płacić okupu bez decyzji zarządu i nie kasować zaszyfrowanych plików, bo dla części odmian ransomware istnieją publicznie dostępne narzędzia deszyfrujące.

Wsparcie przy zdarzeniu, które dzieje się teraz

Największą wartością playbooka jest to, że wskazuje moment sięgnięcia po pomoc z zewnątrz i podaje, pod jaki numer zadzwonić. Nasz dyżur działa całą dobę siedem dni w tygodniu, więc taki punkt procedury da się realnie wypełnić także o trzeciej w nocy. Przy poważniejszych zdarzeniach zabieramy sprzęt do pracowni własnym transportem i zostawiamy laptopa zastępczego, żeby firma nie stanęła na czas analizy.