Tabletop‑øvelsen forklaret: forberedelse, scenarie og deltagere

En tabletop-øvelse om et cyberangreb lyder enkel: nogle mennesker samles om et bord og taler et tænkt angreb igennem. Alligevel ender en dårligt forberedt tabletop som en hyggelig drøftelse, der ikke ændrer noget. Forløbet hviler på det, der står i NIST SP 800-84: et formål, der er knyttet til en bestemt plan, et kort scenarie, spørgsmål skrevet på forhånd, en facilitator og en person, der noterer, og en evaluering, der ender i en rapport med handlinger.

Hvordan tabletop adskiller sig fra red teaming og beredskabsøvelser, er beskrevet for sig. Her handler det om, hvordan en tabletop bygges op fra start til slut. → Red teaming, tabletop og beredskabsøvelse

Start med planen, der skal afprøves

En tabletop afprøver en plan, ikke et angreb. Vejledningen lægger vægt på, at formålet er at validere planens indhold, de roller og ansvar, den beskriver, og de afhængigheder, den bygger på. For en CISO kan planen være beredskabsplanen for cyberhændelser, en procedure for beslutning om at lukke forbindelser til omverdenen eller samspillet med driftsleverandøren.

Skriv to til fire formål, der kan afgøres bagefter. Et eksempel kunne være: Ved deltagerne, hvem der beslutter at isolere et forretningskritisk system? Ved de, hvornår myndigheder og kunder skal orienteres? Kan driftsleverandøren nås uden for arbejdstid? Formål, der ikke kan besvares med ja, nej eller delvist, er for brede.

Giv forberedelsen tid. Vejledningen nævner, at planlægningen af store, komplekse øvelser begynder mindst tre måneder før, og mindre komplekse mindst en måned før. Designfasen er den del, der tager længst tid. → Beredskabsplanen under en red team-øvelse

Deltagerne og niveauet

Vælg deltagere ud fra formålet. Vejledningen anbefaler at øve ledelsesniveau og operationelt niveau hver for sig i første omgang, fordi de har forskellige ansvar og skal have forskellige spørgsmål, og først derefter samle dem i en fælles øvelse, der afprøver samspillet. Den angiver to til fire timer for øvelser på ledelsesniveau og to til otte timer for operationelle øvelser.

Hvis deltagerne ikke kender deres roller i planen, foreslår vejledningen en kort træning før øvelsen, så tiden rundt om bordet bruges på at afprøve planen og ikke på at forklare den. Send en skriftlig invitation så tidligt som muligt med formål, tidspunkt og forventning til forberedelse.

En operationel tabletop kan samle IT-drift, sikkerhed, servicedesk og driftsleverandøren. En ledelsestabletop kan samle direktion, jura, kommunikation og den, der ejer de forretningskritiske systemer. En særlig form for bestyrelse og direktion, der bruger angrebsvejen fra en red team-øvelse, er beskrevet for sig. → Tabletop for bestyrelse og direktion

Scenariet: kort og troværdigt

Vejledningen advarer mod lange, detaljerede scenarier. Deltagerne ender med at diskutere scenariet i stedet for formålet. Et godt scenarie er en kort fortælling om en tænkt hændelse, der sætter de beslutninger i gang, formålene handler om.

Troværdigheden kommer fra jeres egen virkelighed. Brug de trusler, organisationen faktisk er optaget af, og de systemer, der faktisk er kritiske. Resultatet af en tidligere red team-øvelse eller en trusselsvurdering kan give et scenarie, deltagerne ikke kan afvise som urealistisk. → Trusselsefterretning

Injects og spørgsmål

Et inject er en ny oplysning, der føjes til scenariet undervejs: en melding fra overvågningen, en henvendelse fra en kunde, en mail fra en journalist eller en driftsleverandør, der ikke kan genskabe et system. Injects driver øvelsen fremad og tvinger deltagerne til at tage stilling til noget nyt, før den første beslutning er helt på plads.

Læg injects i en tidsplan, hvor hvert inject har et tidspunkt i scenariet, den beslutning, det skal fremkalde, og det formål, det hører til. Et tidsspring, fx fra fredag aften til mandag morgen, kan vise, om beslutninger fra første dag holder, når flere er kommet til.

Skriv injects og spørgsmål i en facilitatorguide før øvelsen. Vejledningen beskriver guiden med formål, omfang, scenarie, spørgsmål og en kopi af planen, mens deltagerne får en kortere guide uden facilitatorens spørgsmål. Spørgsmålene skal passe til niveauet: på ledelsesniveau handler de om beslutninger og overblik, på operationelt niveau om procedurer.

Den amerikanske myndighed CISA stiller færdige tabletoppakker til rådighed med skabeloner for formål, scenarier og spørgsmål, også om ransomware, insidere og phishing, samt skabeloner til invitation, feedbackskema og evalueringsrapport. De kan bruges som udgangspunkt og tilpasses danske forhold.

Rollerne under øvelsen

To roller er nødvendige. Facilitatoren leder drøftelsen, introducerer scenariet, tilføjer injects og spørgsmål og trækker deltagerne tilbage til formålet, hvis de går i detaljer med scenariet. Referenten noterer, hvad der bliver sagt og besluttet, ud fra kriterier, der er aftalt før øvelsen. Begge skal kende planen og formålene.

Facilitatoren bør ikke være den, hvis arbejde bliver afprøvet. Hvis sikkerhedsfunktionen har skrevet beredskabsplanen, giver det mening at lade en anden lede drøftelsen. Placér deltagerne, så kolleger fra samme afdeling ikke sidder samlet, så drøftelsen går på tværs.

Fra hotwash til handlinger

Umiddelbart efter drøftelsen holder facilitatoren en kort evaluering med deltagerne, en hotwash: Hvad gik godt, hvor var der usikkerhed, og hvad i planen skal ændres? Den samles med referentens noter i en evalueringsrapport, der beskriver formål, deltagere, scenarie, observationer og anbefalinger.

Rapporten er kun værd noget, hvis anbefalingerne får en ejer og en frist. Før dem ind i samme opfølgning som fund fra red teaming og penetrationstest, så de ikke lever i et separat dokument. → Lessons learned efter øvelsen

Det skal I lade være med

At starte uden en plan at afprøve · så bliver øvelsen en samtale om angreb i almindelighed.
At skrive et langt scenarie · deltagerne diskuterer detaljerne i stedet for beslutningerne.
At lade facilitatoren improvisere spørgsmålene · de skal være skrevet til formålene.
At blande ledelse og drift i den første øvelse · niveauerne har brug for hver sin drøftelse.
At springe hotwash over · de første indtryk forsvinder hurtigt.
At lade rapporten være uden ejere · anbefalingerne bliver liggende.

Hvad kan og ikke kan konkluderes

En velforberedt tabletop kan vise, om roller, beslutningsveje og afhængigheder i en plan er forstået, og hvor planen tier. Den kan ikke vise, om overvågningen ville have opdaget angrebet, eller om procedurerne kan udføres under tidspres. Til de spørgsmål skal der en beredskabsøvelse eller en red team-øvelse til. → Krisestab og ledelse i øvelsen

Tjekliste før øvelsen

☐ Er planen, der skal afprøves, valgt?
☐ Er der to til fire formål, der kan besvares bagefter?
☐ Er deltagerne valgt efter formål og niveau?
☐ Er scenariet kort og bygget på jeres egne trusler og systemer?
☐ Er injects og spørgsmål skrevet i en facilitatorguide?
☐ Er facilitator og referent udpeget, og kender de planen?
☐ Er evalueringskriterierne aftalt før øvelsen?

Kilder

NIST SP 800-84: afsnit 4 om at vurdere behovet for, designe, udvikle, gennemføre og evaluere en tabletop, herunder formål, niveauer, varighed, facilitator, referent, korte scenarier, hotwash og evalueringsrapport.
CISA Tabletop Exercise Packages: skabeloner for formål, scenarier og spørgsmål om bl.a. ransomware, insidere og phishing, samt skabeloner til invitation, feedback og evalueringsrapport.

Senest gennemgået: oktober 2026.