Worksheet Tabletop Incident Response Siber
Tabletop melatih orang, keputusan, handoff, dan jalur bukti lewat skenario masuk akal. Tabletop tidak membuktikan tooling containment produksi berjalan dan tidak menggantikan rencana respons insiden. NIST SP 800-61 membahas persiapan, deteksi, containment, eradication, recovery, serta lessons learned. CISA merekomendasikan latihan rencana respons dan komunikasi, termasuk skenario ransomware maupun pemerasan data.
Tetapkan batas latihan
Tentukan sponsor, fasilitator, pemilik skenario, peserta, durasi, dan kondisi berhenti. Gunakan sistem, nama, serta data sintetis. Nyatakan tindakan yang tidak diuji: isolasi live, pemberitahuan pelanggan, pelaporan eksternal, negosiasi tebusan, atau restore produksi. Tindakan itu memerlukan otoritas terpisah. Berikan kartu peran berisi keputusan yang didelegasikan dan kontak eskalasi; otoritas yang tidak jelas adalah temuan latihan yang sah.
Skenario: pukul 09.00 telemetri endpoint melaporkan penggantian nama file cepat pada workstation keuangan FIN-22. Pukul 09.08, keuangan tidak dapat membuka shared drive. Pukul 09.15, tim keamanan menemukan login privileged dari jaringan tidak biasa. Inject diberikan setelah peserta menjelaskan bukti yang dibutuhkan dan siapa pengambil keputusan.
Inject terjadwal dan log keputusan
| Waktu / inject | Keputusan yang diharapkan | Contoh selesai dan bukti | Owner | Lulus/gagal | Pengecualian atau remediasi |
|---|---|---|---|---|---|
| 09.00 alert enkripsi | tetapkan investigasi atau false positive | insiden IR-26-08, ID alert dan nama host disimpan | incident lead | Lulus | tim endpoint diberi tahu |
| 09.12 dampak shared drive | contain host atau jaga akses dahulu | lead menyetujui isolasi jaringan; timestamp tiket tersimpan | lead IT | Lulus | owner continuity keuangan tidak tersedia |
| 09.20 dugaan akses privileged | lindungi identitas | sesi admin dicabut; ekspor identity log diminta | owner identitas | Gagal | owner break-glass belum bernama |
| 09.35 kemungkinan paparan data | mulai asesmen legal dan komunikasi | penasihat hukum menerima fact sheet; tidak ada pernyataan publik | lead legal | Lulus | aturan notifikasi belum diputuskan |
| 10.00 permintaan restore | setujui urutan uji pemulihan | layanan keuangan diberi prioritas dua | owner bisnis | Terbuka | tujuan restore belum ada |
Catat fakta terpisah dari asumsi. “Data dieksfiltrasi” adalah asumsi sampai didukung bukti. Untuk setiap ekspor log, disk image, screenshot, atau catatan wawancara, catat sumber, pengumpul, waktu pengambilan, lokasi penyimpanan, dan batas akses. Simpan bukti asli; bekerja dari salinan bila memungkinkan.
Titik keputusan yang perlu diuji
Tanyakan siapa yang dapat menetapkan severity insiden, mengisolasi layanan kritis, menonaktifkan akun privileged, menyetujui emergency change, menghubungi supplier, menyetujui urutan pemulihan, dan menyetujui bahasa eksternal. Tanyakan tindakan ketika orang tersebut tidak tersedia. Ukur jeda handoff dan kualitas keputusan, bukan kemampuan presentasi. Handoff tanpa pengambil keputusan bernama adalah gap.
Gunakan inject komunikasi: customer support menerima screenshot dari media sosial. Peserta harus memutuskan fakta yang dapat dikonfirmasi, siapa menyetujui holding statement, dan bagaimana support menghindari spekulasi. Keputusan legal, kontrak, serta notifikasi harus tetap pada reviewer legal dan manajemen yang berwenang; catatan latihan teknis tidak memutuskannya.
Scorecard latihan
Nilai setiap tujuan berdasarkan bukti: owner keputusan bernama, handoff memiliki waktu, fakta dipisahkan dari asumsi, custody bukti tercatat, dan tindakan korektif ditetapkan. Contoh hasil: empat dari lima tujuan lulus; eskalasi identitas gagal karena owner break-glass tidak ada. Simpan skor gagal sampai bukti membuktikan perbaikan pada latihan berikutnya.
Catatan setelah latihan
Dalam periode disepakati, fasilitator mencatat kejadian, bukti tersedia, keputusan, waktu, gap, dan tindakan korektif. Setiap tindakan memiliki owner, due date, prioritas, bukti penerimaan, serta status. Contoh: owner identitas harus menerbitkan inventaris break-glass dan menjalankan uji penonaktifan sebelum 2026-09-01; bukti lulus ialah log uji ditandatangani dan acknowledgment reviewer. Tindakan yang belum selesai harus tetap terbuka, bukan selesai karena niat.
Paket skenario yang dapat diulang
Simpan fakta skenario, urutan inject, kartu peran, catatan fasilitator, scorecard, dan catatan after-action bersama. Ubah satu variabel pada latihan berikutnya: identity provider tidak tersedia, eskalasi supplier terlambat, prioritas bisnis bertentangan, atau log tidak lengkap. Cara ini menunjukkan apakah koreksi mengubah perilaku keputusan, bukan hanya kata-kata dokumen.
Drill penutupan
Fasilitator menutup satu tujuan latihan hanya setelah aksi korektif mengubah keputusan yang dapat diulang. Untuk owner break-glass yang hilang, latihan berikut menyuntikkan administrator identitas tidak tersedia pukul 09.20. Bukti lulus ialah otoritas delegasi dipublikasikan, acknowledgment kontak, eskalasi bertimestamp, dan keputusan pencabutan tercatat; diagram peran baru saja tidak cukup. Jika fakta latihan bertentangan, simpan kedua versi dan tugaskan verifikasi fakta, bukan memberi skor atas jawaban dugaan. Owner after-action melaporkan closure hanya dengan bukti tindak lanjut ini.
Batas
Tabletop membuktikan diskusi dalam asumsi latihan. Ini bukan jaminan kesiapan insiden, kepatuhan regulasi, kecukupan hukum, atau keberhasilan pemulihan. Uji kontrol teknis secara terpisah dan dapatkan otoritas yang diperlukan sebelum containment, notifikasi, atau preservasi nyata.
Penilaian fasilitator
Fasilitator menilai jawaban berdasarkan keputusan yang tercatat, dasar fakta, dan jalur eskalasi yang dipakai peserta. Nilai tidak diberikan karena peserta mengetahui istilah atau menyampaikan presentasi yang rapi. Jika keputusan bergantung pada asumsi yang belum diuji, catatan harus menyebut asumsi itu, pemilik verifikasi, dan tindakan lanjutan yang dapat diperiksa pada latihan berikutnya.
Sumber
Penutupan latihan meja
Untuk skenario ekspor data oleh akun pemasok, fasilitator mencatat waktu deteksi, keputusan eskalasi, pemilik komunikasi, serta tindakan yang tertunda. Tinjauan pascalatihan harus membedakan fakta simulasi dari keputusan operasional, menetapkan pemilik setiap perbaikan, dan menjadwalkan latihan berikutnya untuk menguji celah komunikasi yang ditemukan.
Fasilitator perlu membedakan keputusan latihan dari keputusan operasional nyata. Peserta dapat meminta fakta tambahan, tetapi jawaban harus dicatat sebagai inject, bukan diasumsikan tersedia. Bila komunikasi eksternal memerlukan persetujuan, jalur persetujuan diuji dengan waktu respons yang dicatat. Uji akhir: sponsor meninjau tindakan terbuka dan bukti bahwa tindakan selesai.