根据提供的PDF《网络安全桌面演练：从规划到执行》（Cybersecurity Tabletop Exercises: From Planning to Execution），以下是核心内容提炼：
第一部分：桌面演练流程（第1-5章）
- 为何进行桌面演练（第1章）
核心价值：提升事件响应团队协作、明确角色职责、评估流程变更影响、降低数据泄露成本、增强安全意识、满足合规要求（如ISO 27001、NIST SP 800-84、PCI-DSS）。
优势：低成本高回报（节省约150万美元/次数据泄露）、无业务中断风险、高效测试威胁响应能力。
测试范围：威胁影响评估、安全预算充足性、信息共享协议（IoCs）、事件响应计划漏洞、合规通知流程。
- 演练规划（第2章）
高管支持：选择合适的高管发起人（如CISO/CIO），明确其职责（宣传、参与、解决阻力）。
目标设定：区分高管级（战略决策）与操作级（技术响应）演练，目标包括响应计划演练、供应商协作评估、沟通流程优化。
参与者选择：
技术团队（IT/安全）、法务、人力资源、公关、外部供应商（如MSSP）。
建议规模：10-15人，避免混合层级（高管与操作层分开）。
后勤考虑：
线上 vs. 线下：线下更易建立信任，线上需防边缘化远程参与者。
时长：2-3小时（高管演练不超过2小时）。
时间选择：避开周一/周五及假期。
- 场景开发（第3章）
主题选择：基于业务影响分析（BIA）、高管输入或行业事件（如勒索软件攻击）。
场景设计：
特征：真实、渐进式、包含时间压力。
注入点（Injects）：模拟新信息（如攻击者勒索信），控制讨论节奏。
工具：故事板（Storyboard）、演示文稿（含背景/注入点/复盘）。
案例：医疗公司因新数据保护法需调整设备取证流程（避免跨境合规风险）。
- 高效主持（第4章）
主持人角色：引导讨论、平衡参与、管理分歧。
技巧：
使用分组讨论（Breakout Groups）、实时投票工具（如Polling Software）。
观察非语言信号，预判敏感话题。
远程演练：强化互动（如轮流发言），避免技术故障。
工具：白板记录关键点、多媒体辅助（攻击链可视化）。
- 评估与后续（第5章）
评估方法：现场复盘（Debrief）、匿名问卷、观察员记录。
报告输出：
简版报告（合规证明）：目标/参与者/场景概述。
完整报告：缺陷清单（如密码策略漏洞）、成功项、改进计划。
行动跟踪：更新响应计划、文档流程、建立定期演练机制（每年1-2次）。
第二部分：场景案例（第6-8章）
- 技术团队场景（第6章）
钓鱼攻击、勒索软件（技术版）、零日漏洞、供应链攻击。
重点：日志分析、漏洞修复、供应商协作（如设备替换延迟问题）。
- 高管层场景（第7章）
勒索软件（战略版）、暗网数据泄露、DDoS攻击。
重点：赎金支付决策、媒体沟通、客户信任维护（如贷款平台DDoS导致服务中断）。
- 业务部门场景（第8章）
物理安全入侵（尾随进入）、社交媒体劫持、内部威胁（员工窃取客户定价数据）。
重点：跨部门协作（如HR处理违规员工）、合规通知（如GDPR 72小时要求）。
附录与资源
报告模板：包含执行摘要、缺陷清单、优先级排序（见附录）。
行业背书：微软/IBM等机构强调信息共享框架（"What/When/How to share IoCs"）。
免费资源：CISA提供的演练模板（https://www.cisa.gov/tabletop-exercises）。
核心结论：成功的桌面演练需聚焦真实威胁（如勒索软件）、明确角色责任，并通过结构化复盘转化为可落地的安全改进。书中强调——演练不是“打勾练习”，而是减少事件响应时间（平均缩短48天）的关键投资。
贡献者
pansin