Tabletop-oefening voor ransomware: wat test je echt?

Wanneer tabletop de juiste eerste oefening is

Een tabletop is meestal de juiste keuze als je team niet vooral vastloopt op tooling, maar op vragen als: wie neemt de regie, wanneer sluit je leveranciers aan, wie bepaalt wat eerst moet herstellen en wat zeg je terwijl nog niet alle feiten vaststaan?

Dat maakt tabletop vooral nuttig voor organisaties die al een globaal plan hebben, maar nog niet weten of dat plan onder echte tijdsdruk ook bestuurbaar blijft.

De vragen die een goede tabletop vroeg boven tafel haalt

De waarde van een tabletop zit in het expliciet maken van de vragen die teams in een echt incident anders te laat stellen. Niet alleen wat er technisch gebeurt, maar vooral welke keuze eerst moet vallen en wie daar eigenaar van is.

Als een oefening die vragen niet uitlokt, blijft hij meestal hangen in algemene discussie en nette observaties zonder echte besluitspanning.

• wie formeel de regie heeft zodra meerdere teams tegelijk iets willen
• welk systeem, proces of klantkanaal als eerste prioriteit krijgt
• wanneer bestuur, communicatie en privacy verplicht moeten aanhaken
• wie leveranciers, MSP’s of forensics activeert en onder welke voorwaarden
• welke boodschap intern en extern verdedigbaar is terwijl feiten nog schuiven

Drie injects die een tabletop direct bruikbaar maken

Je hebt geen technisch overbeladen scenario nodig om een tabletop waardevol te maken. Drie goede injects zijn vaak al genoeg: een operationele verstoring, een bestuurlijke vraag en een externe trigger die het tempo opschroeft.

Daarmee zie je snel of teams vooral inhoudelijk verschillen, of dat de grootste breuklijn zit in eigenaarschap, tempo of communicatie.

• Operationele inject

  Bestanden zijn ontoegankelijk, een kritieke applicatie ligt eruit en IT moet kiezen tussen isoleren, doorwerken of eerst meer feiten verzamelen.

• Bestuurlijke inject

  De directie wil binnen dertig minuten weten wat geraakt is, wat de bedrijfsimpact is en wat het eerst moet worden beschermd of hersteld.

• Externe inject

  Een klant, toezichthouder, leverancier of insurer stelt een vraag waar het team nog geen volledig antwoord op heeft, maar wel op moet reageren.

Veelgemaakte fout: een tabletop zonder echte besluitmomenten

Veel oefeningen blijven te veilig. Iedereen bespreekt het scenario, maar niemand hoeft echt een knoop door te hakken. Dan lijkt de sessie netjes, terwijl juist onduidelijk blijft wie mag beslissen over isolatie, externe communicatie, meldplicht of leveranciersregie.

Een tabletop wordt pas nuttig als deelnemers gedwongen worden om met onvolledige informatie toch een keuze te maken en die keuze ook te verdedigen.

Wat je na afloop wilt kunnen aanscherpen

Na een goede tabletop moet duidelijker zijn waar het plan nog te vaag is, welke rol te laat werd betrokken en welke informatie of beslisroute in het echt te veel tijd zou kosten. Leg dat niet vast als algemeen gevoel, maar als concrete ingreep in plan, scripts, escalatie of vervolgoefening.

Daarmee wordt tabletop een echte opstap naar beter herstel, scherpere communicatie en een realistischer incidentresponsplan in plaats van een los gesprek over ransomware.

• Open incidentresponsplan ransomware als eigenaarschap en escalatie nog te vaag zijn
• Koppel tabletop aan restore-tests als herstelkeuzes mee moeten bewegen
• Lees crisiscommunicatie voor pers-, klant- en bestuursspanning
• Open meldplicht als AP- en datalekvragen in je scenario horen
• Lees leveranciers en incidentrespons als externe partners te laat of te chaotisch aansluiten

• NCSC: Incidentresponsplan Ransomware
• NCSC: Incidentresponse, waar begin ik?
• NCSC: Crisisoefening Ransomware
• DTC: Ransomware
• CISA: #StopRansomware Guide
• AP: Datalek? Dit moet u doen