面向管理团队的勒索软件桌面推演
通过四次场景更新、决策记录和改进计划开展网络危机讨论演练。可下载并编辑主持人资料包。
此原创场景用于检验不确定条件下的协调方式，发现权限缺口、缺乏证据的假设及恢复依赖。会议中达成一致说明进行了讨论，但不能证明技术控制或恢复流程实际有效。
准备会议
指定一名主持人发布场景更新，并由观察员记录参与者实际采取的行动。覆盖事件协调、安全、平台运维、业务负责和沟通职责。
选定一个服务及本次演练使用的响应计划版本。准备决策矩阵、联系人列表和依赖关系图，并使用虚构名称和材料。
建议预留约90分钟：10分钟确认范围、60分钟进行四轮讨论、20分钟复盘。按目标调整节奏，不要只以速度评价参与者。
演练边界与停止条件
- 这是讨论式演练。不要为模拟场景而更改真实访问权限、执行程序、发送对外消息或使用真实客户记录。
- 如果拟议行动涉及真实系统或超出约定范围，任何参与者都可以要求暂停。确认边界后再继续。
- 若发生真实运营事件，应停止演练并启用实际响应流程。明确标记演练笔记和模拟消息。
虚构的初始情况
一家B2B供应商在交付高峰期依赖订单确认服务。客户报告失败，员工无法确定哪些订单已经被接受。原因和影响范围尚不清楚。以下更新均为主持人提供的虚构演练材料，并非对真实组织的观察。
按顺序发布场景更新
每次打开一轮。15分钟分段仅用于主持安排，并非响应时限。进入下一轮前，记录所选行动、决策权限、现有证据和下一步核查。
输入内容保留在当前页面，由浏览器生成文件。关闭或刷新前请先下载；网站不会保存填写后的工作表。
记录服务、计划版本、主持人、观察员、参与角色及约定边界。
00 min服务中断
订单服务不可用。支持团队收到三起客户报告，但没有可靠的受影响订单数量。通常负责事件的人无法联系。
- 谁宣布事件、负责协调并启用替代负责人？
- 选择人工处理订单或暂停新订单前，需要了解什么？
作出了什么选择，由哪个获授权角色决定，有哪些替代方案和客户后果？指出下一步行动的负责人。
区分提供的事实、参与者假设及缺失证据。记录核查事项、责任人，以及必须在哪次决策前完成。
15 min未经核实的勒索声明
主持人展示一份模拟勒索通知和一条异常特权会话报告。目前尚无证据证明数据被盗或确定全部访问范围。
- 哪些遏制行动已经获授权，行动可能消除哪些证据？
- 由谁评估声明，并在真伪不明时保持客户沟通准确？
作出了什么选择，由哪个获授权角色决定，有哪些替代方案和客户后果？指出下一步行动的负责人。
区分提供的事实、参与者假设及缺失证据。记录核查事项、责任人，以及必须在哪次决策前完成。
30 min恢复依赖
备份清单列出一份近期副本，但本次演练未展示其恢复过程。恢复还依赖一个可信度正被质疑的身份服务。运维团队要求尽快重启。
- 恢复身份、数据和服务之前需要哪些证据？
- 谁接受受限运行，什么监控或回滚条件会要求停止？
作出了什么选择，由哪个获授权角色决定，有哪些替代方案和客户后果？指出下一步行动的负责人。
区分提供的事实、参与者假设及缺失证据。记录核查事项、责任人，以及必须在哪次决策前完成。
45 min沟通压力
一家重要客户要求提供恢复时间，一名记者引用了一张未经核实的截图。下一班团队即将接手，但决策记录不完整。
- 谁批准一份说明影响和不确定性、避免无依据承诺的更新？
- 哪些决策、承诺和证据必须交接给下一班及管理负责人？
作出了什么选择，由哪个获授权角色决定，有哪些替代方案和客户后果？指出下一步行动的负责人。
区分提供的事实、参与者假设及缺失证据。记录核查事项、责任人，以及必须在哪次决策前完成。
将复盘转化为后续行动
区分在讨论中展示、仅被口头陈述及未涉及的内容。引用记录或观察到的行动，避免缺乏依据的准备度评分。
为每个缺口记录责任人、下一步行动、期限及完成证明，持续展示尚未解决的依赖。
明确哪些变更或整改完成后需要再次演练，以及届时必须证明什么，并约定跟进责任人。
讨论结论不能证明真实事件中的恢复、检测或沟通一定有效。应通过另行授权的测试核实技术主张。保存下载的记录，并在宣布整改完成之前审查其结果。
方法与参考资料
这是附有演练设计一手参考资料的原创场景与工作表，并非 CISA 或 NIST 官方演练包。