Masa Başı Tatbikat (Tabletop) Nedir? Fidye Senaryosuyla Örnek

Masa başı tatbikat nedir sorusunun kısa cevabı şu: ekibin bir siber olayı gerçekte yaşamadan, masa etrafında konuşarak provasını yapmasıdır. Kolaylaştırıcı fidye yazılımı gibi bir senaryoyu adım adım anlatır, her birim "şimdi ne yaparım" sorusunu yanıtlar ve planın boşlukları gerçek bir olaydan önce ortaya çıkar. Bu yazıda tatbikat türlerini, 60 dakikalık örnek akışı, rolleri ve tatbikat sonrası raporu bulacaksın.

Masa başı tatbikat nedir, neyi sınar?

Masa başı tatbikat, tartışmaya dayalı bir tatbikattır. Kimse sunucuya ya da gerçek bir sisteme dokunmaz. NIST'in BT planları için 2006'da yayımladığı tatbikat rehberi SP 800-84 yöntemi şöyle tarif eder: planda rolü olan kişiler bir toplantı odasında buluşur, kolaylaştırıcı senaryoyu sunar ve sorular sorar. Tartışma rolleri, sorumlulukları, koordinasyonu ve karar vermeyi sınar. Ekipman ya da kaynak devreye alınmaz.

Rehbere göre masa başı tatbikat, olay müdahale planı ve acil durum planı gibi belgelerin gerçek bir olayda uygulanabilir olup olmadığını görmenin düşük maliyetli bir yoludur. Masada şu tür eksikler ortaya çıkabilir:

• Plandaki nöbetçi telefon numarası eski, o kişi artık başka bir birimde.
• Sunucuyu ağdan ayırma yetkisinin kimde olduğu yazmıyor.
• E-posta çöktüğünde ekibin hangi kanaldan konuşacağını kimse bilmiyor.
• Hukuk birimi bildirim süresinin başladığı anı BT'den farklı hesaplıyor.

Bu eksikleri masada kapatmak ucuzdur. Gerçek olayda ise saat işlerken kapatırsın.

Terim yalnız siber güvenliğe ait değil. Yöntem acil durum yönetiminden gelir. Türkiye'de AFAD il müdürlükleri de deprem senaryolarıyla masa başı ve saha tatbikatları düzenler.

Masa başı, işlevsel ve tam ölçekli tatbikat arasındaki fark nedir?

Fark şudur: masa başında ekip yalnız konuşur, diğer türlerde gerçekten bir iş yapar. ABD'nin acil durum yönetimi kurumu FEMA'nın tatbikat rehberi HSEEP (2020) tatbikatları iki gruba ayırır. Tartışmaya dayalı olanlar seminer, çalıştay, masa başı tatbikat ve oyundur. Operasyona dayalı olanlar ise talim, işlevsel tatbikat ve tam ölçekli tatbikattır.

HSEEP tam ölçekli tatbikatı genellikle en karmaşık ve en çok kaynak isteyen tür olarak tanımlar. Bu tatbikat, tartışmaya dayalı tatbikatlarda geliştirilen ve küçük tatbikatlarda olgunlaştırılan planları uygulamaya döker. Bu yüzden masa başı tatbikat çoğu kurum için ilk basamaktır.

Kırmızı takım çalışması ise ayrı bir iştir. İzinli bir ekip gerçek sistemlere saldırgan gibi girmeye çalışır, mavi takım da canlı tespit eder. İki rolün farkını mavi takım ve kırmızı takım yazısında okuyabilirsin.

Fidye yazılımı senaryosuyla örnek bir masa başı tatbikat nasıl akar?

Aşağıdaki akış, kurgu bir e-ticaret şirketi için hazırlanmış 60 dakikalık kısa bir masa başı tatbikattır. NIST'e göre tipik süre iki ile sekiz saattir. Bu sürüm, ilk deneme ya da küçük bir ekip için kısaltılmış bir turdur. Kolaylaştırıcı her adımda senaryoya yeni bir bilgi ekler. Buna enjeksiyon (inject) denir.

Bazı soruların cevabı plana değil mevzuata bağlıdır. 6698 sayılı Kanun'un 12. maddesinin 5. fıkrası, işlenen kişisel verinin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde veri sorumlusunun bunu en kısa sürede ilgilisine ve Kurul'a bildirmesini ister. Fidye ödemek, verinin ele geçirildiği gerçeğini değiştirmez. Saldırganın "veriyi sildik" sözü de doğrulanamaz.

Senaryoyu yazarken kısa tut. NIST'e göre uzun ve ayrıntılı senaryolarda katılımcılar hedeflere odaklanmak yerine senaryonun kendisini tartışır. Fidye yazılımının nasıl yayıldığını ve yedeklerin neden hedef alındığını gerçekçi kurmak için fidye yazılımı yazısına bakabilirsin.

Fidye olayında ilk kararı sen ver: Kriz Masası bu tür bir senaryoyu tarayıcıda oynatır. Kurgu bir e-ticaret şirketinde BT, hukuk, iletişim ve yönetim sırayla senden karar bekler. Her kararın oyun saatini ilerletir, bazı kararlar sonraki sahneyi değiştirir. Sonda karar zaman çizelgen, eksiklerin ve her kararın mevzuat dayanağı çıkar. Ücretsizdir ve kayıt istemez. Senaryoda 18 karar sahnesi ve 5 son var. Seçimlerine göre bir oyunda 6 ile 15 karar verirsin. Gerçek bir masa başı tatbikat bir ekip tartışmasıdır, Kriz Masası ise seçenekleri önceden yazılmış ve tek kişiliktir. Ekibinle yapacağın tatbikatın yerini tutmaz, ama karar sırasını ve bildirim saatini önceden kafanda oturtur.

Masa başı tatbikata kimler katılır?

Planda rolü olan herkes katılır, ama herkesi aynı odaya birden toplamak gerekmez. Tipik bir siber kriz tatbikatında masada şu roller bulunur:

• Kolaylaştırıcı: Senaryoyu açar, enjeksiyonları verir, dağılan tartışmayı hedefe döndürür. Karar vermez.
• Not tutucu: Kimin neyi ne zaman söylediğini ve kararsız kalınan noktaları yazar. Raporun ham maddesi bu notlardır. NIST bu role veri toplayıcı der.
• BT ve güvenlik ekibi: Sınırlama, kanıtın korunması ve geri yükleme kararları.
• Hukuk ve KVKK uyum sorumlusu: Bildirim yükümlülükleri, sözleşmeler, kolluğa başvuru.
• Kurumsal iletişim: Müşteri, basın ve çalışan mesajları.
• Üst yönetim: Bütçe, iş kesintisi ve fidye gibi zor kararlar.
• Gerekirse dış taraflar: Barındırma sağlayıcısı, siber sigorta, dış hukuk danışmanı.

NIST, üst düzey ve operasyonel ekiplerin önce ayrı tatbikat yapmasını, sonra koordinasyonu sınamak için birleşik bir oturuma geçmesini önerir. Üst düzey oturumlar iki ile dört saat, operasyonel oturumlar iki ile sekiz saat sürer. Rehbere göre katılımcılar genelde kendi ekip arkadaşlarının yanına oturtulmaz. Böylece farklı birimler birbirinin işini duyar.

Senaryoyu hazırlayan planlama ekibi ayrıntıları katılımcılara önceden söylemez. HSEEP bu ekip üyelerine güvenilir kişi (trusted agent) der.

Masa başı tatbikat nasıl hazırlanır?

Hazırlık senaryodan önce amaçla başlar. Hangi planı ve hangi kararı sınadığını bilmeden yazılan senaryo sohbet olarak kalır.

1. Sınanacak planı ve amacı seç. Örnek amaç: "Fidye olayında ilk dört saatte kimin hangi kararı verdiğini doğrulamak." Yönetimin onayını al. NIST bu onayı tatbikat hazırlığının temel adımı sayar.
2. Katılımcıları ve süreyi belirle. İlk tur için kısa tut, tek senaryoyla başla.
3. Kısa bir senaryo yaz. Bir olay, birkaç enjeksiyon ve kurumuna uyan gerçekçi ayrıntılar yeterlidir.
4. Enjeksiyonları ve soruları sırala. Kolaylaştırıcı rehberi bütün soruları taşır. Katılımcı rehberinde yalnız kısa bir yönlendirme listesi olur.
5. Değerlendirme ölçütlerini önceden yaz. Not tutucu neyi kaydedeceğini bilmeli. Örnek ölçüt: "Kurul'a ilk bildirim kararı 72 saatin hangi anında verildi?"
6. Lojistiği hazırla. Oda, ekran, isim kartları ve planın basılı kopyası. NIST'e göre planlamaya büyük ve karmaşık tatbikatlarda genellikle en az üç ay, daha basit olanlarda en az bir ay önce başlanır.

Plan, rol matrisi, iletişim listesi ve tatbikat takvimi gibi hazırlık çıktılarını Hazırlık: olaydan önceki iş dersinde görebilirsin.

Sıfırdan yazmak zorunda değilsin. ABD'nin siber güvenlik kurumu CISA, CTEP adlı hazır masa başı tatbikat paketleri yayımlar. CISA'nın tanıtım sayfasına göre paketlerde durum el kitabı (senaryo, arka plan ve tartışma soruları), kolaylaştırıcı ve değerlendirici el kitabı, davet mektubu ve sunum şablonu, katılımcı geri bildirim formu ve tatbikat sonrası rapor şablonu bulunur. Fidye yazılımı senaryoları da paketler arasındadır. Birleşik Krallık'ın siber güvenlik merkezi NCSC de ücretsiz Exercise in a Box aracıyla fidye yazılımı ve oltalama gibi konularda masa başı tartışma tatbikatları sunar. İkisi de İngilizcedir. Senaryoyu kendi kurumuna ve KVKK sürelerine uyarlaman gerekir.

Daha oyunlu bir başlangıç istersen Backdoors & Breaches gibi olay müdahalesi kart oyunlarını arkadaşlarla oynanacak siber güvenlik oyunları yazısında bulabilirsin.

Tatbikattan sonra ne yapılır?

Tatbikatın asıl ürünü konuşmanın kendisi değil, ardından gelen eylem listesidir. Tartışma biter bitmez kolaylaştırıcı kısa bir sıcak değerlendirme (hotwash) yapar. NIST'e göre bu oturumda üç şey sorulur: hangi alanlarda iyiydik, hangi alanda ek eğitim gerekiyor, planın hangi bölümü güncellenmeli.

Ardından tatbikat sonrası rapor (after action report) yazılır. Raporda amaç, hedefler, katılımcılar, senaryo, gözlemler ve plan için öneriler yer alır. HSEEP raporu bir iyileştirme planıyla birlikte ele alır. Her düzeltici eylemin bir sahibi ve somut bir bitiş tarihi olur. Örnek tatbikattan çıkabilecek bir liste şöyle görünür:

Eylemler kapandığında plan güncellenir ve bir sonraki tatbikat yeni sürümle yapılır. Bu döngü, olay müdahalesindeki alınan dersler adımının tatbikattaki karşılığıdır. Sürecin bütününü olay müdahalesi nedir yazısında bulabilirsin.

Masa başı tatbikat KVKK'daki 72 saat için neden önemli?

Çünkü 72 saat ihlali öğrendiğin anda işlemeye başlar ve bu süreyi ilk kez gerçek bir olayda hesaplamak pahalıdır. Kişisel Verileri Koruma Kurulu'nun 24.01.2019 tarihli ve 2019/10 sayılı kararına göre veri sorumlusu, ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurul'a bildirir. Etkilenen kişilere de, belirlendikten sonra makul en kısa sürede bildirim yapılır.

Aynı karar bir veri ihlali müdahale planı hazırlanmasını ve bu planın belli aralıklarla gözden geçirilmesini ister. Planda, ihlal olduğunda kurum içinde kimlere raporlama yapılacağı ve sorumluluğun kimde olduğu belirlenir. Karar tatbikat yapmayı açıkça şart koşmaz. Ama planı gözden geçirmenin en somut yolu, onu bir senaryo üzerinde konuşturmaktır. Masada mutlaka sorulması gereken soru da şudur: saat ne zaman başladı, ilk alarmda mı, ihlalin anlaşıldığı anda mı?

Bu hesabı bir olay kaydı üzerinde dene: 72 Saatin Hesabı labında bir kargo şirketinin rapor taslağını, KVKK bildirim süreci kaydını ve delil zinciri formunu imzadan önce kontrol edersin. İhlalin resmen öğrenildiği anı bulur, bildirime kadar geçen saati elle hesaplarsın. Bildirim kararını altı soruluk bir ağaçla vermeyi ve bu ağacı tatbikatta sınamayı Bildirim karar ağacı dersinde öğrenirsin. Formun içeriği ve geç bildirim gibi ayrıntılar için KVKK veri ihlali bildirimi yazısını oku.

Kaynaklar

• NIST SP 800-84: BT planları için test, eğitim ve tatbikat programı rehberi
• FEMA: Homeland Security Exercise and Evaluation Program (HSEEP)
• CISA: Tabletop Exercise Packages (CTEP)
• KVKK: Kişisel veri ihlali bildirim usul ve esasları (2019/10)
• NCSC: Exercise in a Box