Võ Hồng Như Ý

Một buổi diễn tập ứng phó sự cố không nhất thiết phải bắt đầu bằng hệ thống mô phỏng hay các thao tác kỹ thuật phức tạp. Với Tabletop Exercise (TTX), nhóm tham gia có thể kiểm tra khả năng phối hợp và ra quyết định thông qua một kịch bản giả định được điều phối theo thời gian.

Tôi xây dựng một kịch bản phishing và tài khoản nghi bị chiếm quyền kéo dài 60 phút để doanh nghiệp tổ chức diễn tập nội bộ. Toàn bộ tên người, tài khoản, sự kiện và diễn biến đều giả định; không mô tả sự cố hoặc quy trình của tổ chức cụ thể.

Phạm vi sử dụng: Đây là kịch bản diễn tập tham khảo. Mỗi tổ chức cần điều chỉnh theo quy trình, thẩm quyền, nguồn lực và nghĩa vụ pháp lý áp dụng; nội dung không thay thế quy trình ứng cứu sự cố đã được phê duyệt.

1. Mục tiêu và phạm vi

Tabletop Exercise là diễn tập thông qua trao đổi, thảo luận và ra quyết định trên tình huống giả định. Khác với kiểm thử xâm nhập hay diễn tập kỹ thuật, hình thức này không thực hiện tấn công, không yêu cầu cô lập tài khoản thật và không tác động đến hệ thống sản xuất.

• Kiểm tra đầu mối tiếp nhận và phân loại cảnh báo.
• Làm rõ thẩm quyền quyết định hạn chế truy cập và khôi phục.
• Thống nhất nguyên tắc bảo toàn chứng cứ và trao đổi thông tin.
• Nhận diện khoảng trống trong quy trình, trách nhiệm và phối hợp.

2. Chuẩn bị trước buổi diễn tập

Doanh nghiệp nhỏ có thể gộp vai trò. Chuẩn bị một phòng họp, đồng hồ theo dõi, bản kịch bản dành riêng cho người điều phối và phiếu ghi nhận. Người tham gia chỉ nhận tình huống theo từng giai đoạn, không đọc trước toàn bộ diễn biến. Bài viết là một kịch bản độc lập trong chuỗi Tabletop Exercise, triển khai trong một buổi 60 phút.

Quy tắc: Không sử dụng tên thật, dữ liệu nội bộ, tài khoản thật hoặc nhật ký hệ thống thật. Không thực hiện thay đổi cấu hình, gửi email thử nghiệm hay khóa tài khoản trên hệ thống vận hành. Buổi diễn tập đánh giá sự rõ ràng của quy trình, không quy trách nhiệm cá nhân.

Bối cảnh áp dụng xuyên suốt

• Doanh nghiệp giả định ABC có 120 nhân viên, dùng email và phần mềm quản lý đơn hàng.
• Nhân vật: Lan (Kế toán), Minh (IT), Hà (ATTT), Quân (quản lý vận hành).
• Trước 10:00, kế toán phải hoàn tất chứng từ của 15 đơn hàng. Tất cả dữ kiện đều hư cấu.

Phân biệt thời gian: Các mốc 0–10, 10–25… là phút diễn tập. Các giờ 08:30, 09:00… là thời điểm trong sự cố giả định được người điều phối công bố; không phải đồng hồ thực của buổi diễn tập. Mỗi quyết định ở giai đoạn trước được giả định đã ghi nhận trước khi chuyển sang giai đoạn tiếp theo.

3. Kịch bản TTX-IR-001: Email lừa đảo và tài khoản nghi bị chiếm quyền

Thời lượng: 60 phút. Loại tình huống: Phishing / nghi ngờ chiếm quyền tài khoản. Trạng thái: hoàn toàn giả định. Mỗi giai đoạn gồm tình huống có dữ liệu giả định, câu hỏi điều phối, gợi ý trả lời có phân vai, ví dụ nội dung biên bản và đánh giá minh họa. Các tên, mã phiếu, quyết định và thời hạn đều là ví dụ để tổ chức tự thay bằng thông tin phù hợp.

Giai đoạn 1 — Tiếp nhận và xác minh (0–10 phút)

Tình huống (giờ sự cố giả định)

• 09:00 Lan (Kế toán) nhận email yêu cầu xác thực tài khoản và nhập mật khẩu vào một trang đáng ngờ.
• 09:05 xuất hiện cảnh báo đăng nhập từ thiết bị chưa ghi nhận; 09:07 Lan báo Minh (IT). Chưa xác nhận có truy cập trái phép.

Câu hỏi cần quyết định

• Ai xác minh và quyết định?
• Cần bổ sung thông tin nào?
• Khi nào chuyển sang giai đoạn sau?

Gợi ý xử lý / quyết định mẫu

• Minh mở phiếu IR-001, ghi thời điểm và thông tin Lan cung cấp; Hà (ATTT) phân loại nghi lộ thông tin xác thực, đề xuất kích hoạt phối hợp theo quy trình.

Biên bản minh họa

• Biên bản: IR-001; người báo Lan; tiếp nhận Minh; phân loại Hà; tình trạng chưa xác minh chiếm quyền.

Nhận xét đánh giá

• Đạt nếu xác định được đầu mối, thông tin tối thiểu và người phân loại; chưa đạt nếu không có nơi ghi nhận.

Giai đoạn 2 — Đánh giá và ra quyết định (10–25 phút)

Tình huống (giờ sự cố giả định)

• 09:15 có thêm cảnh báo đăng nhập bất thường liên quan tài khoản Lan.
• Lan cần hoàn tất chứng từ cho 15 đơn hàng trước 10:00; Quân (quản lý vận hành) yêu cầu cân nhắc gián đoạn nghiệp vụ.

Câu hỏi cần quyết định

• Nhóm có quyết định gì, ai phê duyệt?
• Ảnh hưởng nghiệp vụ được xử lý thế nào?

Gợi ý xử lý / quyết định mẫu

• Hà đề xuất tạm hạn chế truy cập dựa trên dấu hiệu; người có thẩm quyền chấp thuận trong kịch bản; Minh thực hiện giả định. Quân bố trí nhân viên được cấp quyền hợp lệ tiếp tục công việc.

Biên bản minh họa

• D-02: phê duyệt hạn chế tài khoản Lan; người thực hiện Minh; nghiệp vụ chuyển việc cho nhân viên khác có quyền hợp lệ.

Nhận xét đánh giá

• Đạt nếu rõ người đề xuất, phê duyệt, thực hiện và phương án thay thế; ghi thiếu sót nếu chưa có người phê duyệt dự phòng.

Giai đoạn 3 — Bảo toàn chứng cứ và xác định ảnh hưởng (25–40 phút)

Lưu ý về chứng cứ: Chỉ người được phân công mới thu thập, lưu giữ và bàn giao thông tin phục vụ xác minh, trong phạm vi được phép và theo quy trình áp dụng. Hạn chế dữ liệu cá nhân không cần thiết; ghi nhận nguồn, thời gian, người tiếp nhận và việc bàn giao để bảo đảm khả năng truy xuất.

Tình huống (giờ sự cố giả định)

• 09:25 dữ liệu tình huống bổ sung: trước khi bị hạn chế, tài khoản Lan có ghi nhận truy cập thư mục Chứng từ thanh toán lúc 09:19.
• Không có bằng chứng cho thấy nội dung tài liệu đã được xem hoặc chuyển ra ngoài.

Câu hỏi cần quyết định

• Đã biết gì và chưa biết gì về phạm vi ảnh hưởng?
• Ai được giao quản lý chứng cứ?

Gợi ý xử lý / quyết định mẫu

• Hà chỉ định người được phép bảo toàn nhật ký truy cập, dấu thời gian và cảnh báo; phân loại hoạt động là cần xác minh, không kết luận lộ lọt.

Biên bản minh họa

• E-03: nguồn nhật ký, người tiếp nhận, thời gian; chưa xác định dữ liệu bị lộ.

Nhận xét đánh giá

• Đạt nếu bảo toàn đúng thẩm quyền và phân biệt dấu hiệu với kết luận.

Giai đoạn 4 — Báo cáo và khôi phục (40–50 phút)

Tình huống (giờ sự cố giả định)

• 09:40 tài khoản Lan vẫn bị hạn chế theo quyết định D-02; Lan đề nghị mở lại để gửi chứng từ.
• Quân yêu cầu cập nhật tình trạng; bộ phận chăm sóc khách hàng hỏi có ảnh hưởng khách hàng không.

Câu hỏi cần quyết định

• Thông tin nào được phép báo cáo?
• Điều kiện nào cho phép khôi phục?

Gợi ý xử lý / quyết định mẫu

• Đầu mối được phân công báo cáo các thông tin đã xác minh; Minh và Hà kiểm tra điều kiện an toàn, trình người có thẩm quyền quyết định khôi phục. Không tự động mở lại vì áp lực công việc.

Biên bản minh họa

• U-04: tài khoản đang hạn chế, chưa xác nhận lộ dữ liệu; điều kiện mở lại chưa được phê duyệt nên tiếp tục phương án nghiệp vụ thay thế.

Nhận xét đánh giá

• Đạt nếu có tiêu chí khôi phục và thẩm quyền; ghi thiếu sót nếu kết luận an toàn khi chưa kiểm tra.

Giai đoạn 5 — Tổng kết (50–60 phút)

Tình huống (giờ sự cố giả định)

• Người quan sát tổng hợp: nhóm xử lý được việc tiếp nhận và phân loại nhưng chưa xác định người phê duyệt dự phòng.
• Việc bàn giao bằng chứng còn thiếu biểu mẫu thống nhất; chưa kết luận sự cố đã xử lý xong.

Câu hỏi cần quyết định

• Những khoảng trống nào cần ưu tiên?
• Ai phụ trách và cách xác nhận hoàn thành?

Gợi ý xử lý / quyết định mẫu

• Giao Quân hoàn thiện thẩm quyền thay thế, Hà chuẩn hóa mẫu bàn giao chứng cứ; lên lịch kiểm tra lại sau khi cập nhật.

Biên bản minh họa

• AAR: tiếp nhận Đạt; thẩm quyền Đạt một phần; chứng cứ Đạt một phần; khôi phục Đạt một phần. Hạn 30 ngày là ví dụ.

Nhận xét đánh giá

• Đánh giá quy trình và bằng chứng hoàn thành; không quy trách nhiệm cá nhân.

4. Biểu mẫu và kết quả minh họa — Phishing

Lưu ý: Mọi nội dung đã điền dưới đây là ví dụ minh họa, không phản ánh kết quả diễn tập thực tế và không thay thế quyết định của người có thẩm quyền tại doanh nghiệp.

Mẫu A — Biên bản quyết định giả định

Mẫu B — Đánh giá mức độ sẵn sàng

Cách diễn giải: Đạt = có cơ chế và căn cứ thống nhất; Đạt một phần = có cơ chế nhưng còn lỗ hổng; Chưa đạt = chưa xác định được trách nhiệm hoặc điều kiện quyết định. Bảng này chỉ là ví dụ; điểm thực tế phải do nhóm điều phối ghi nhận. Không sử dụng để chứng nhận tuân thủ pháp luật hay tiêu chuẩn.

Mẫu C — Kế hoạch cải tiến sau diễn tập

Các mốc 30 ngày chỉ là ví dụ quản trị công việc, không phải thời hạn báo cáo hay yêu cầu pháp lý. Doanh nghiệp tự điều chỉnh theo mức độ ưu tiên và nguồn lực.

Phân tích kết quả để chuyển thành hành động

Với phishing, trọng tâm là nhận biết nguy cơ lộ thông tin xác thực, quyết định hạn chế tài khoản, phân tích dấu hiệu truy cập và điều kiện khôi phục. Nhật ký truy cập không tự nó chứng minh dữ liệu bị lộ.

5. Ba biến thể để diễn tập lần sau

• Người phê duyệt vắng mặt: Nhóm phải xác định thẩm quyền dự phòng, không tự mặc định ai cũng được ra quyết định.
• Chưa đủ bằng chứng: Nhóm phải trình bày rõ thông tin đã xác minh, giả định và câu hỏi còn mở.
• Áp lực mở lại tài khoản: Nhóm phải chỉ ra điều kiện an toàn và người có trách nhiệm phê duyệt, thay vì mở tài khoản chỉ vì cần xử lý chứng từ.

Đọc phần còn lại: P2 — Kịch bản ransomware 60 phút.

6. Kết luận

Theo tôi, giá trị của một buổi Tabletop Exercise không nằm ở việc mọi người đều trả lời đúng, mà ở khả năng phát hiện những khoảng trống trong phối hợp, trách nhiệm và ra quyết định trước khi sự cố thực sự xảy ra. Với kịch bản phishing này và các biểu mẫu thống nhất, doanh nghiệp có thể sử dụng làm điểm khởi đầu cho một buổi diễn tập nội bộ, sau khi điều chỉnh theo bối cảnh và quy trình ứng cứu sự cố đã được phê duyệt.

Tài liệu tham khảo

Hai tài liệu NIST dưới đây được sử dụng để tham khảo phương pháp tổ chức diễn tập và quản lý ứng phó sự cố; các tình huống và biểu mẫu trong bài do tác giả tự xây dựng, không phải mẫu do NIST chứng nhận.

• NIST SP 800-84 (Final, 09/2006) – Guide to Test, Training, and Exercise Programs for IT Plans and Capabilities.
• NIST SP 800-61 Rev. 3 (Final, 04/2025) – Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile.

If you found this helpful, you can buy me a coffee and keep me going. Thank you!
https://buymeacoffee.com/vohongnhuy1996
Y – 29/10/2026