Capítulo 11 — Laboratório supervisionado

Mapa da aula

Aula 11 publicada. Mapa, exemplo, EX051.

flowchart TD
  N0["11.1 Tipos de exercício"]
  N1["11.2 Desenho"]
  N2["11.3 Facilitação"]
  N3["11.4 Avaliação e melhoria"]
  N4["11.6 Rubrica de desenho de exercícios"]
  N5["11.7 Atividade prática supervisionada"]
  N6["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX051"]

Desenho lógico

flowchart LR
  N0["11.1 Tipos de exercício"]
  N1["11.2 Desenho"]
  N2["11.3 Facilitação"]
  N3["11.4 Avaliação e melhoria"]
  N4["11.6 Rubrica de desenho de exercícios"]
  N5["11.7 Atividade prática supervisionada"]
  N6["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX051"]

[11.1 Tipos de exercício]
    |
    v
[11.2 Desenho]
    |
    v
[11.3 Facilitação]
    |
    v
[11.4 Avaliação e melhoria]
    |
    v
[11.6 Rubrica de desenho de exercícios]
    |
    v
[11.7 Atividade prática supervisionada]
    |
    v
[Síntese do capítulo]
    |
    v
[Exemplo resolvido] --> [Exercício EX051]

Objetivos de aprendizagem e conexão

Ao final deste capítulo, você deverá ser capaz de:

• desenhar um exercício de mesa baseado em discussão para um serviço essencial, com objetivos, cenário, injeções, papéis e critérios de avaliação;
• facilitá-lo de forma segura e justa, mantendo-o como um teste de planos e não de pessoas;
• avaliá-lo com um hot wash, um relatório pós-ação e um plano de melhoria;
• avaliar o desenho de um exercício segundo uma rubrica, sob supervisão.

Para um coordenador profissional, o laboratório é a sala do exercício. Este capítulo reúne tudo o que veio até aqui — partes interessadas, autorização, risco, RACI, acesso de fornecedores, relógios de notificação, qualidade das decisões — num único exercício supervisionado.

11.1 Tipos de exercício

Os programas de exercícios distinguem os exercícios baseados em discussão (seminários, oficinas, exercícios de mesa), em que os participantes conversam sobre um cenário, dos exercícios baseados em operações (simulados, exercícios funcionais, exercícios em escala real), em que eles executam ações. O Homeland Security Exercise and Evaluation Program (HSEEP), dos EUA, apresenta essa progressão e um ciclo de desenhar–conduzir–avaliar–melhorar (FEMA, HSEEP). O guia do NIST cobre programas de teste, treinamento e exercícios para planos de TI (NIST SP 800-84). A CISA publica pacotes prontos de exercícios de mesa para cenários de infraestrutura crítica (CISA Tabletop Exercise Packages), e o NCSC do Reino Unido oferece o "Exercise in a Box" (NCSC, Exercise in a Box).

Um exercício de mesa é o primeiro passo certo: barato, seguro — nada toca um sistema em produção — e excelente para expor lacunas de papéis, informação e comunicação.

11.2 Desenho

Um documento de desenho tem sete partes:

1. Objetivos — de três a cinco, cada um observável: "Em até 30 minutos após a injeção pertinente, a equipe decide se suspende o acesso do fornecedor, com dono e justificativa registrados." Evite "testar a nossa resposta".
2. Escopo e pressupostos — quais planos são testados, quais equipes participam, o que está fora do escopo ("o processo técnico de perícia não é encenado").
3. Cenário — plausível, sintético, adequado ao setor, baseado em informações públicas sobre ameaças num nível geral; nunca no erro de um colega real.
4. Injeções — informações novas em momentos definidos (um alarme, uma ligação, um jornalista, um prazo do regulador). Cada injeção corresponde a pelo menos um objetivo e tem uma decisão esperada.
5. Papéis — participantes (decidem como decidiriam na realidade), facilitador (controla o relógio, apresenta as injeções, mantém a discussão andando), avaliadores (observam em relação aos objetivos, mantêm o log de decisões), escriba e um oficial de segurança, ou agente de confiança, que pode pausar o exercício.
6. Critérios de avaliação — o que significam "atendido", "parcialmente atendido" e "não atendido" para cada objetivo.
7. Logística e regras — data, sala, nenhum sistema real tocado, "exercício, exercício, exercício" em toda injeção escrita para que nada possa ser confundido com um evento real, e uma frase de parada para o mundo real.

11.3 Facilitação

Abra com as regras básicas: isto testa planos, não pessoas; não há perguntas capciosas; decidam como decidiriam na realidade; digam quando precisariam de informações que não têm. Mantenha o relógio honesto e resista a resgatar os participantes — se a equipe não tem como falar com o hospital, a lacuna é a constatação. Registre decisões, não opiniões sobre o desempenho.

No DRY CREEK, o facilitador não forneceu o contato que faltava do hospital nem atribuiu a ligação quando os participantes hesitaram; esse silêncio produziu a constatação mais clara do exercício.

11.4 Avaliação e melhoria

Logo depois: um hot wash — cada participante diz o que funcionou e o que não funcionou. Em até duas semanas: um relatório pós-ação (AAR) que classifica cada objetivo com evidências do log de decisões, e um plano de melhoria que transforma as constatações em ações com dono, data e verificáveis (Capítulo 10). O AAR é compartilhado no nível de TLP adequado; ele nomeia lacunas em planos e ferramentas, não pessoas.

O relatório do DRY CREEK classificou o O3 como não atendido e o transformou numa ação com dono, data e uma injeção de novo teste.

11.5 Exemplo resolvido: o exercício "DRY CREEK" (sintético)

Objetivos. (O1) Declarar ou descartar um incidente cibernético em até 15 minutos após o primeiro indicador, com justificativa. (O2) Decidir sobre a suspensão do acesso remoto de um fornecedor em até 30 minutos, sabendo quais operações dependem dele. (O3) Informar o hospital dentro do seu acordo de 2 horas, com um único líder nomeado. (O4) Cumprir o prazo ilustrativo do alerta inicial ao regulador com uma mensagem aprovada. (O5) Emitir uma declaração provisória com um aprovador definido em até 45 minutos após o contato da imprensa.

Cenário. Numa sexta-feira à noite, é comunicado o roubo do notebook de um engenheiro da HydroLogic; uma hora depois, o KVROC relata uma sessão remota à estação KW-04 a partir da conta da HydroLogic num horário incomum, e um operador vê uma mudança inesperada de setpoint de dosagem, que os limites do controlador rejeitam. Tudo sintético.

Tabela de injeções (trecho).

Tabela da aula; deslize para ver todas as colunas →

Papéis. Participantes: E. Varga (diretoria), A. Mensah, L. Ferreira, R. Adeyemi, o engenheiro de plantão, e M. Holt, que entra às 00:55. Facilitador: a coordenadora. Avaliadores: um auditor interno e uma coordenadora par de uma empresa vizinha, sob acordo de confidencialidade. Oficial de segurança: supervisor de turno, com a frase de parada "mundo real, mundo real".

Avaliação (a partir do log do avaliador, analisado com o método do Laboratório 10). O1 atendido (9 minutos, justificativa registrada). O2 parcialmente atendido — decisão aos 52 minutos, porque ninguém sabia quem mais dependia do acesso da HydroLogic. O3 não atendido — a ligação ao hospital nunca foi atribuída. O4 atendido. O5 parcialmente atendido — declaração emitida com atraso, sem dono até a chegada do diretor-presidente. Essas constatações alimentaram diretamente as ações corretivas do Capítulo 10.

11.6 Rubrica de desenho de exercícios

Tabela da aula; deslize para ver todas as colunas →

Use a rubrica no desenho do DRY CREEK: os seus objetivos são observáveis e têm prazo, e cada injeção corresponde a um deles.

11.7 Atividade prática (supervisionada)

Desenhe um exercício de mesa de 90 minutos para um serviço essencial de sua escolha usando as sete partes da seção 11.2, com pelo menos quatro objetivos e seis injeções. Peça ao seu supervisor ou a um par que o pontue segundo a rubrica antes de conduzi-lo.

Baseie o cenário em informações públicas sobre ameaças num nível geral, como o DRY CREEK usou um notebook roubado de fornecedor e uma sessão remota incomum, e nunca no erro de um colega real. Ligue cada injeção a um objetivo, com uma decisão esperada, e nomeie um oficial de segurança com uma frase de parada. Marque toda injeção escrita como exercício. Depois da pontuação, revise o desenho e registre o que o revisor mudou, para que o supervisor veja como o retorno foi usado.

11.8 Erros comuns e limites

• Objetivos demais; nada é avaliado adequadamente.
• Cenários tão graves que todos os planos falham e nada específico é aprendido.
• Facilitadores que resgatam os participantes ou deixam as pessoas mais graduadas dominarem.
• Injeções do exercício que poderiam ser confundidas com mensagens reais.
• AARs que nunca viram ações.

• Um exercício de mesa mostra se os planos e os papéis fazem sentido; não mostra que os procedimentos podem ser executados com rapidez — isso exige simulados.

• Escolher avaliadores que também são participantes, de modo que ninguém observa as decisões de forma independente.

• Ignorar um comentário do hot wash como "achamos que a comunicação estava cuidando disso", que no DRY CREEK apontou a causa real.

Exercícios — capítulo 11

EX051 — Torne os objetivos observáveis. Objetivo: escrever objetivos avaliáveis. Insumos: "Testar a nossa comunicação", "Verificar a gestão de fornecedores", "Ver se as pessoas conhecem o plano". Passos: reescrever cada um. Evidência esperada: três objetivos. Rubrica: 3 = cada um declara uma decisão ou ação, um prazo e o que é registrado; 2 = sem prazos; 1 = ainda vagos; 0 = nada.

EX052 — Escreva injeções. Objetivo: ligar as injeções aos objetivos. Insumos: os objetivos do DRY CREEK. Passos: escrever duas novas injeções que testem o O2 e o O4 com mais profundidade, com as decisões esperadas. Evidência esperada: duas linhas de injeção. Rubrica: 3 = plausíveis, sintéticas, cada uma ligada a um objetivo e com decisão esperada (por exemplo, a HydroLogic pede para se reconectar para consertar a dosagem; o oficial de plantão do regulador pede uma atualização antes do prazo); marcadas como "exercício"; 2 = não ligadas; 1 = irrealistas; 0 = nada.

EX053 — Pontue um desenho. Objetivo: aplicar a rubrica. Insumos: o desenho de um colega: um único objetivo, "testar a resposta a incidentes"; o cenário é um ataque de um Estado-nação que causa o rompimento de uma barragem; o diretor-presidente avalia; as injeções são enviadas da conta real de e-mail do diretor-presidente. Passos: pontuar cada critério e propor correções. Evidência esperada: pontuações e correções. Rubrica: 3 = notas baixas em objetivos, proporção do cenário, independência dos papéis/avaliação e segurança (o e-mail real arrisca confusão); correções para cada um; 2 = correções sem pontuações; 1 = aceita; 0 = nada.

EX054 — Escreva o resumo do AAR. Objetivo: avaliar em relação aos objetivos. Insumos: a avaliação do DRY CREEK na seção 11.5. Passos: escrever a tabela-resumo do AAR com classificação, evidência e ação recomendada por objetivo. Evidência esperada: cinco linhas. Rubrica: 3 = classificações coerentes com as evidências, ações com dono e verificáveis, nenhuma pessoa culpada; 2 = ações vagas; 1 = narrativa; 0 = nada.

EX055 — Desafio de facilitação. Objetivo: lidar com um problema de facilitação. Insumos: no exercício, o diretor-presidente domina e decide tudo, inclusive o isolamento técnico. Passos: descrever o que o facilitador faz durante e depois. Evidência esperada: ações. Rubrica: 3 = durante: convidar os donos dos papéis pelo nome, perguntar "quem decidiria isto na realidade?", registrar; depois: levantar no AAR como constatação de clareza de plano/papéis, conversar com o executivo em particular e com respeito; 2 = apenas depois; 1 = ignora; 0 = nada.

Síntese do capítulo

Um exercício de mesa é o laboratório do coordenador: seguro, barato e poderoso para expor lacunas de papéis, informação e comunicação. Desenhe-o com objetivos observáveis, um cenário sintético plausível, injeções ligadas aos objetivos, avaliadores independentes e um oficial de segurança. Facilite para testar planos, não pessoas; avalie com um hot wash, um relatório pós-ação e um plano de melhoria cujas ações tenham dono e sejam verificadas.