Võ Hồng Như Ý

Một buổi diễn tập ứng phó sự cố không nhất thiết phải bắt đầu bằng hệ thống mô phỏng hay các thao tác kỹ thuật phức tạp. Với Tabletop Exercise (TTX), nhóm tham gia có thể kiểm tra khả năng phối hợp và ra quyết định thông qua một kịch bản giả định được điều phối theo thời gian.

Tôi xây dựng một kịch bản nghi ngờ ransomware kéo dài 60 phút để doanh nghiệp tổ chức diễn tập nội bộ. Toàn bộ tên người, tài khoản, sự kiện và diễn biến đều giả định; không mô tả sự cố hoặc quy trình của tổ chức cụ thể.

Phạm vi sử dụng: Đây là kịch bản diễn tập tham khảo. Mỗi tổ chức cần điều chỉnh theo quy trình, thẩm quyền, nguồn lực và nghĩa vụ pháp lý áp dụng; nội dung không thay thế quy trình ứng cứu sự cố đã được phê duyệt.

1. Mục tiêu và phạm vi

Tabletop Exercise là diễn tập thông qua trao đổi, thảo luận và ra quyết định trên tình huống giả định. Khác với kiểm thử xâm nhập hay diễn tập kỹ thuật, hình thức này không thực hiện tấn công, không yêu cầu cô lập tài khoản thật và không tác động đến hệ thống sản xuất.

• Kiểm tra đầu mối tiếp nhận và phân loại cảnh báo.
• Làm rõ thẩm quyền quyết định hạn chế truy cập và khôi phục.
• Thống nhất nguyên tắc bảo toàn chứng cứ và trao đổi thông tin.
• Nhận diện khoảng trống trong quy trình, trách nhiệm và phối hợp.

2. Chuẩn bị trước buổi diễn tập

Doanh nghiệp nhỏ có thể gộp vai trò. Chuẩn bị một phòng họp, đồng hồ theo dõi, bản kịch bản dành riêng cho người điều phối và phiếu ghi nhận. Người tham gia chỉ nhận tình huống theo từng giai đoạn, không đọc trước toàn bộ diễn biến. Bài viết là một kịch bản độc lập trong chuỗi Tabletop Exercise, triển khai trong một buổi 60 phút.

Quy tắc: Không sử dụng tên thật, dữ liệu nội bộ, tài khoản thật hoặc nhật ký hệ thống thật. Không thực hiện thay đổi cấu hình, ngắt dịch vụ hoặc khôi phục dữ liệu trên hệ thống vận hành. Buổi diễn tập đánh giá sự rõ ràng của quy trình, không quy trách nhiệm cá nhân.

Bối cảnh áp dụng xuyên suốt

• Doanh nghiệp phân phối giả định ABC có 150 nhân viên, sử dụng phần mềm quản lý đơn hàng và kho.
• Nhân vật: Mai (Kho), Nam (IT), Hà (ATTT), Quân (Giám đốc vận hành).
• 80 đơn hàng phải xử lý trước 11:00; bản sao lưu được lập mỗi đêm nhưng chưa rõ khả năng phục hồi. Tất cả dữ kiện đều hư cấu.

Phân biệt thời gian: Các mốc 0–10, 10–25… là phút diễn tập. Các giờ 08:30, 09:00… là thời điểm trong sự cố giả định được người điều phối công bố; không phải đồng hồ thực của buổi diễn tập. Mỗi quyết định ở giai đoạn trước được giả định đã ghi nhận trước khi chuyển sang giai đoạn tiếp theo.

3. Kịch bản TTX-IR-002: Nghi ngờ tấn công ransomware

Thời lượng: 60 phút. Loại tình huống: Ransomware / gián đoạn dịch vụ và khả năng phục hồi. Trạng thái: hoàn toàn giả định. Mỗi giai đoạn gồm tình huống có dữ liệu giả định, câu hỏi điều phối, gợi ý trả lời có phân vai, ví dụ nội dung biên bản và đánh giá minh họa. Các tên, mã phiếu, quyết định và thời hạn đều là ví dụ để tổ chức tự thay bằng thông tin phù hợp.

Giai đoạn 1 — Tiếp nhận và xác minh (0–10 phút)

Tình huống (giờ sự cố giả định)

• 08:30 Mai (Kho) phát hiện ba bảng kê không mở được và có thông báo đòi tiền.
• 08:35 Nam (IT) nhận tin; kế toán chưa ghi nhận hiện tượng tương tự. Chưa xác minh ransomware hay phạm vi ảnh hưởng.

Câu hỏi cần quyết định

• Ai xác minh và quyết định?
• Cần bổ sung thông tin nào?
• Khi nào chuyển sang giai đoạn sau?

Gợi ý xử lý / quyết định mẫu

• Nam mở phiếu IR-002; Hà (ATTT) phân loại nghi ransomware, kiểm tra các thông tin được cung cấp và phối hợp theo thẩm quyền.

Biên bản minh họa

• IR-002: người báo Mai, tiếp nhận Nam, phân loại Hà; dấu hiệu và phạm vi chưa xác minh.

Nhận xét đánh giá

• Đạt nếu phân loại là nghi vấn và có người chịu trách nhiệm xác minh; chưa đạt nếu kết luận toàn doanh nghiệp đã bị tấn công.

Giai đoạn 2 — Đánh giá và ra quyết định (10–25 phút)

Tình huống (giờ sự cố giả định)

• 08:40 Kho và Điều phối cùng báo không mở được một số bảng kê.
• 08:43 phần mềm đơn hàng phản hồi chậm, chưa rõ có liên quan; 80 đơn phải được xử lý trước 11:00.

Câu hỏi cần quyết định

• Nhóm có quyết định gì, ai phê duyệt?
• Ảnh hưởng nghiệp vụ được xử lý thế nào?

Gợi ý xử lý / quyết định mẫu

• Hà đề xuất đánh giá và hạn chế phạm vi nghi ảnh hưởng; Quân (Giám đốc vận hành) cùng người có thẩm quyền quyết định phương án có tác động nghiệp vụ. Bộ phận liên quan chuẩn bị quy trình đơn hàng dự phòng đã được phê duyệt.

Biên bản minh họa

• D-02: ưu tiên đơn giao trong ngày, phân công Nam đánh giá ảnh hưởng và Quân điều phối phương án nghiệp vụ.

Nhận xét đánh giá

• Đạt nếu xác định phạm vi cần xác minh, thẩm quyền và dịch vụ ưu tiên; chưa đạt nếu mặc định ngắt toàn bộ mà không đánh giá tác động.

Giai đoạn 3 — Bảo toàn chứng cứ và xác định ảnh hưởng (25–40 phút)

Lưu ý về chứng cứ: Chỉ người được phân công mới thu thập, lưu giữ và bàn giao thông tin phục vụ xác minh, trong phạm vi được phép và theo quy trình áp dụng. Hạn chế dữ liệu cá nhân không cần thiết; ghi nhận nguồn, thời gian, người tiếp nhận và việc bàn giao để bảo đảm khả năng truy xuất.

Tình huống (giờ sự cố giả định)

• 08:55 Nam nhận thông tin có bản sao lưu lúc 23:00 hôm trước.
• Chưa có kết quả thử khôi phục gần đây; các đơn phát sinh sáng nay có thể chưa nằm trong bản sao.

Câu hỏi cần quyết định

• Đã biết gì và chưa biết gì về phạm vi ảnh hưởng?
• Ai được giao quản lý chứng cứ?

Gợi ý xử lý / quyết định mẫu

• Nam và đầu mối sao lưu đánh giá tình trạng, tính toàn vẹn, khả năng khôi phục và phần dữ liệu có thể thiếu; Hà ghi nhận chứng cứ được phép; Quân xác định thứ tự nghiệp vụ ưu tiên.

Biên bản minh họa

• E-03: bản sao lưu 23:00 chưa kiểm chứng; ưu tiên dữ liệu đơn giao trong ngày; chưa có bằng chứng lộ lọt.

Nhận xét đánh giá

• Đạt nếu không đồng nhất có sao lưu với khôi phục thành công; ghi rõ thông tin cần kiểm chứng.

Giai đoạn 4 — Báo cáo và khôi phục (40–50 phút)

Tình huống (giờ sự cố giả định)

• 09:10 Quân yêu cầu dự kiến thời điểm hoạt động lại; 09:12 có thông điệp đòi tiền chưa được xác minh.
• 09:14 đối tác hỏi liệu dữ liệu đơn hàng có bị lộ; hiện chưa có bằng chứng để kết luận.

Câu hỏi cần quyết định

• Thông tin nào được phép báo cáo?
• Điều kiện nào cho phép khôi phục?

Gợi ý xử lý / quyết định mẫu

• Người được ủy quyền truyền thông mô tả gián đoạn và tình trạng đang xác minh, không hứa mốc phục hồi. Nam trình kế hoạch phục hồi chỉ sau khi kiểm chứng; bộ phận phụ trách rà soát nghĩa vụ thông báo theo phạm vi áp dụng.

Biên bản minh họa

• U-04: gián đoạn đang xác minh; chưa xác nhận lộ dữ liệu, chưa cam kết thời gian khôi phục; không tự động thực hiện yêu cầu tiền chuộc.

Nhận xét đánh giá

• Đạt nếu minh bạch giới hạn thông tin, có người phê duyệt và tiêu chí phục hồi.

Giai đoạn 5 — Tổng kết (50–60 phút)

Tình huống (giờ sự cố giả định)

• Người quan sát ghi nhận nhóm xác định được dịch vụ ưu tiên nhưng chưa có bằng chứng thử phục hồi bản sao lưu.
• Chưa có người phê duyệt truyền thông dự phòng khi người chính vắng mặt.

Câu hỏi cần quyết định

• Những khoảng trống nào cần ưu tiên?
• Ai phụ trách và cách xác nhận hoàn thành?

Gợi ý xử lý / quyết định mẫu

• Giao Nam và bộ phận sao lưu kiểm chứng phục hồi trong môi trường được phê duyệt; Quân hoàn thiện ủy quyền truyền thông.

Biên bản minh họa

• AAR: tiếp nhận Đạt; phối hợp Đạt một phần; phục hồi Chưa đạt. Hạn tham khảo: phục hồi 45 ngày, phân quyền 30 ngày.

Nhận xét đánh giá

• Ưu tiên khả năng phục hồi thực tế và thẩm quyền truyền thông; không xem kết quả diễn tập là xác nhận hệ thống an toàn.

4. Biểu mẫu và kết quả minh họa — Ransomware

Lưu ý: Mọi nội dung đã điền dưới đây là ví dụ minh họa, không phản ánh kết quả diễn tập thực tế và không thay thế quyết định của người có thẩm quyền tại doanh nghiệp.

Mẫu A — Biên bản quyết định giả định

Mẫu B — Đánh giá mức độ sẵn sàng

Cách diễn giải: Đạt = có cơ chế và căn cứ thống nhất; Đạt một phần = có cơ chế nhưng còn lỗ hổng; Chưa đạt = chưa xác định được trách nhiệm hoặc điều kiện quyết định. Bảng này chỉ là ví dụ; điểm thực tế phải do nhóm điều phối ghi nhận. Không sử dụng để chứng nhận tuân thủ pháp luật hay tiêu chuẩn.

Mẫu C — Kế hoạch cải tiến sau diễn tập

Các mốc 30/45 ngày chỉ là ví dụ quản trị công việc, không phải thời hạn báo cáo hay yêu cầu pháp lý. Doanh nghiệp tự điều chỉnh theo mức độ ưu tiên và nguồn lực.

Phân tích kết quả để chuyển thành hành động

Với ransomware, trọng tâm là phạm vi gián đoạn, tính liên tục của nghiệp vụ, kiểm chứng sao lưu, điều kiện phục hồi và thông tin cho các bên. Có thông báo đòi tiền không đồng nghĩa đã xác minh mã độc hoặc lộ dữ liệu.

5. Ba biến thể để diễn tập lần sau

• Người phê duyệt vắng mặt: Nhóm phải xác định thẩm quyền dự phòng, không tự mặc định ai cũng được ra quyết định.
• Chưa đủ bằng chứng: Nhóm phải trình bày rõ thông tin đã xác minh, giả định và câu hỏi còn mở.
• Áp lực giao hàng: Nhóm phải thống nhất tiêu chí phục hồi an toàn và phương án nghiệp vụ thay thế trong thời gian gián đoạn.

Bài trước: P1 — Kịch bản phishing và tài khoản nghi bị chiếm quyền.

6. Kết luận

Theo tôi, giá trị của một buổi Tabletop Exercise không nằm ở việc mọi người đều trả lời đúng, mà ở khả năng phát hiện những khoảng trống trong phối hợp, trách nhiệm và ra quyết định trước khi sự cố thực sự xảy ra. Với kịch bản ransomware này và các biểu mẫu thống nhất, doanh nghiệp có thể sử dụng làm điểm khởi đầu cho một buổi diễn tập nội bộ, sau khi điều chỉnh theo bối cảnh và quy trình ứng cứu sự cố đã được phê duyệt.

Tài liệu tham khảo

Hai tài liệu NIST dưới đây được sử dụng để tham khảo phương pháp tổ chức diễn tập và quản lý ứng phó sự cố; các tình huống và biểu mẫu trong bài do tác giả tự xây dựng, không phải mẫu do NIST chứng nhận.

• NIST SP 800-84 (Final, 09/2006) – Guide to Test, Training, and Exercise Programs for IT Plans and Capabilities.
• NIST SP 800-61 Rev. 3 (Final, 04/2025) – Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile.

If you found this helpful, you can buy me a coffee and keep me going. Thank you!
https://buymeacoffee.com/vohongnhuy1996
Y – 29/10/2026