Een tabletop oefening voor het MT draait om één vraag: wat besluit je als het om twee uur ’s nachts misgaat en je nog maar de helft weet? De servicedesk meldt dat bestanden op een server versleuteld zijn. Niemand weet nog hoe ver het reikt. Iemand moet beslissen of de productie stilgaat, wie de klanten informeert en wie de leiding neemt. Die besluiten liggen bij het managementteam, en de meeste MT’s nemen ze voor het eerst op het moment dat het echt gebeurt. Dit artikel geeft een draaiboek voor een sessie van twee uur, met vier beslismomenten en wat je na afloop vastlegt.
| In het kort: Een tabletop oefening is een gespreksoefening rond een scenario. Er komt geen techniek aan te pas; het gaat om besluiten.Twee uur is genoeg voor vier beslismomenten: escaleren, isoleren, bewijs en externe hulp, en communicatie.Achter elk besluit zit de vraag wie het uitvoert. Daar komen de echte gaten in capability boven.Leg na afloop besluiten, gaten, eigenaren en een datum voor de volgende oefening vast. |
Waarom het MT apart moet oefenen
Incident response oefenen met het technische team is waardevol, en dat beschreven we in ons draaiboek voor incident response oefeningen. Het MT neemt alleen andere besluiten. Een analist bepaalt welke server hij isoleert; het MT bepaalt of de orderverwerking een dag stil mag liggen. Een analist verzamelt logbestanden; het MT bepaalt of er een externe partij wordt ingeschakeld en wie de klanten belt. Die afwegingen gaan over geld, reputatie en mensen, en ze vragen een andere oefening.
Weinig organisaties doen dat. In een flitspeiling van Motivaction in opdracht van het ministerie van Economische Zaken en Klimaat gaf 75 procent van de ondernemers aan nog nooit een cyberoefening te hebben gedaan (maart 2023, 841 respondenten). Genoemde redenen waren onder meer “geen tijd” en de overtuiging dat alles goed beveiligd is. Een tabletop oefening van twee uur is de kleinste stap om daar verandering in te brengen.
Wat een tabletop oefening is
Een tabletop oefening is een gespreksoefening. Deelnemers zitten aan tafel, een facilitator brengt een scenario in dat zich stap voor stap ontwikkelt, en bij elke stap bespreekt de groep wat ze zou doen. Er draait geen systeem en niemand hoeft technische kennis te hebben. Het Britse NCSC omschrijft de tabletop-oefeningen in zijn gratis Exercise in a Box als groepsgesprekken die bedoeld zijn om je mogelijke reacties op een zich ontwikkelend cyberincident in kaart te brengen. Het Amerikaanse CISA biedt vergelijkbare Tabletop Exercise Packages met scenario’s, doelen en discussievragen die organisaties zelf kunnen gebruiken.
De kracht van een tabletop oefening zit in de onvolledige informatie. In het echt weet niemand in het eerste uur hoe groot een incident is. Een goede oefening bootst dat na: elk nieuw stukje informatie roept een nieuwe vraag op, en het MT moet besluiten nemen voordat alles duidelijk is.
De voorbereiding
Nodig de mensen uit die in een echte crisis aan tafel zitten: de algemeen directeur, de financieel directeur, HR, communicatie, de IT-manager of CISO en iemand van operations. Houd de groep klein, tussen de zes en tien mensen. Wijs een facilitator aan die het scenario inbrengt en de tijd bewaakt, en een notulist die besluiten en twijfels opschrijft. De facilitator speelt zelf niet mee. Is de CISO de enige met kennis van het scenario, laat dan iemand anders faciliteren, zodat de CISO kan meedoen als deelnemer.
Kies voor je tabletop oefening een scenario dat past bij je organisatie. Ransomware is voor de meeste MT’s een goed begin, omdat het alle beslisgebieden raakt; hoe je je team daarop voorbereidt, beschreven we in ransomware-paraatheid. Bouw het scenario op uit vier momenten en bereid per moment één of twee nieuwe feiten voor die je inbrengt. Spreek vooraf af dat er geen schuldvraag is: het doel van een tabletop oefening is gaten vinden, en dat lukt alleen als iedereen vrijuit kan zeggen wat hij niet weet.
Het draaiboek: twee uur, vier beslismomenten
Kwartier 1: kader en spelregels
De facilitator legt uit hoe de tabletop oefening werkt, wat het scenario in grote lijnen is en dat informatie bewust onvolledig blijft. Iedereen speelt zijn eigen rol. Wie iets niet weet, zegt dat hardop; dat is waardevolle informatie.
Beslismoment 1: het eerste signaal
Om 02.10 uur meldt de servicedesk dat bestanden op een fileserver versleuteld zijn. Er is een losgeldbericht gevonden. Vragen voor het MT: wie wordt nu gebeld, en door wie? Wie leidt het crisisteam? Wanneer komt het MT bijeen, en waar, als het netwerk niet te vertrouwen is? Veel MT’s ontdekken hier dat er geen actuele bellijst buiten het netwerk bestaat.
Beslismoment 2: isoleren of doordraaien
Om 03.30 uur blijkt dat ook het systeem voor orderverwerking verdachte activiteit vertoont. Het team adviseert de verbinding met de vestigingen te verbreken, wat betekent dat er morgen niet geleverd kan worden. Vragen: wie mag dat besluit nemen? Welke schade weegt zwaarder, stilstand of een aanval die zich uitbreidt? Wie informeert de vestigingen?
Beslismoment 3: bewijs en externe hulp
Om 07.00 uur wil IT de getroffen servers zo snel mogelijk herstellen uit back-up. Vragen: wordt eerst bewijs veiliggesteld, en wie kan dat? Schakelen we een externe incident response-partij in, en is daar een afspraak mee? Doen we aangifte bij de politie? Herstellen zonder bewijs veilig te stellen kan later betekenen dat niemand meer kan vaststellen hoe de aanvaller binnenkwam.
Beslismoment 4: communicatie
Om 09.00 uur bellen de eerste klanten omdat leveringen uitblijven. Op sociale media verschijnt een bericht van een medewerker. Vragen: wat vertellen we medewerkers, klanten en leveranciers, wanneer en via welk kanaal? Wie tekent de boodschap? En hoe voorkomen we dat aanvallers de verwarring gebruiken voor een nep-betaalverzoek “namens de directie”, een patroon dat we beschreven bij CEO-fraude?
Laatste kwartier: debrief
Loop de vier besluiten uit de tabletop oefening na. Wat ging goed, waar twijfelde de groep, en welke informatie of welke mensen ontbraken? Houd de debrief kort en concreet; het verslag maak je erna.
De vraag achter elk besluit: wie voert het uit?
Het waardevolste moment in een tabletop oefening komt vaak pas als iemand vraagt: en wie doet dat dan? Een MT kan besluiten om eerst bewijs veilig te stellen, maar als niemand in de organisatie weet hoe dat moet, is het besluit niet uitvoerbaar. Dit overzicht helpt om die vraag per beslismoment te stellen:
| Besluit van het MT | Wie voert het uit | Wat die persoon moet kunnen | Passende opleiding |
| Escaleren en de omvang inschatten | SOC- of IT-team | Meldingen beoordelen, logbestanden analyseren, incidenten opvolgen | SOC T1 + T2 Analyst |
| Isoleren en indammen | SOC- of IT-team | Incident response: verspreiding beperken zonder onnodige schade | SOC T1 + T2 Analyst |
| Bewijs veiligstellen | Forensisch specialist | Digitaal bewijs verzamelen dat standhoudt, met chain of custody | Cyber Forensics Expert |
| Communiceren zonder nieuwe risico’s | MT, communicatie, finance | Social engineering en nep-verzoeken herkennen onder druk | Cyber Awareness Training |
De opleiding Cyber Forensics Expert van Trivian duurt acht dagen (64 academische uren) en behandelt onder meer Windows-, cloud- en e-mailforensics en bewijsverzameling die standhoudt voor de rechter. De Cyber Awareness Training duurt 8 of 16 uur, wordt op maat gegeven en heeft een verdiepende variant voor leidinggevenden en medewerkers met toegang tot gevoelige data. Waarom praktijksimulaties meer opleveren dan theorie, beschreven we in incident response training met simulaties.
Wat je na afloop vastlegt
Een tabletop oefening zonder vervolg is een interessante middag. Maak binnen een week een kort verslag met vier onderdelen. Eerst de genomen besluiten en wie ze nam. Daarna de gaten: wat ontbrak er aan informatie, afspraken, contactgegevens of kennis? Per gat noteer je een eigenaar en een deadline. Tot slot een datum voor de volgende tabletop oefening, bij voorkeur binnen twaalf maanden en met een ander scenario.
Bespreek het verslag in het eerstvolgende MT-overleg. Gaten in capability horen daar thuis, omdat ze geld en keuzes vragen. Hoe je zulke keuzes presenteert, staat in je MT meekrijgen op cybersecurity, en wat een incident kost als die gaten blijven bestaan, in de kosten van een cyberincident.
Vier fouten die een tabletop oefening waardeloos maken
De eerste fout is een te technisch scenario. Zodra het gesprek over firewallregels gaat, haken bestuurders af en wordt het een IT-overleg. De tweede is een scenario dat te makkelijk is: als alles meteen duidelijk is, wordt er niets geoefend. De derde is dat één persoon alle antwoorden geeft, vaak de CISO, terwijl de rest knikt. De vierde is geen vervolg: dezelfde gaten duiken bij een volgende tabletop oefening of bij een echt incident opnieuw op.
Frequently Asked Questions
Hoe lang duurt een tabletop oefening voor het MT?
Twee uur is genoeg voor vier beslismomenten en een korte debrief. Langer houden de meeste MT’s de aandacht niet vast.
Hoe vaak moet je een tabletop oefening doen?
Minimaal één keer per jaar, met een ander scenario, en opnieuw na grote veranderingen in de organisatie of het MT.
Heb je een externe facilitator nodig?
Niet per se. Gratis pakketten zoals Exercise in a Box van het Britse NCSC en de Tabletop Exercise Packages van CISA helpen om zelf te beginnen. Belangrijk is dat de facilitator niet zelf meespeelt.
Wat is het verschil met een technische incident response oefening?
Een technische oefening test of het team een incident kan opsporen en indammen. Een tabletop oefening voor het MT test of de juiste besluiten op tijd worden genomen en of iemand ze kan uitvoeren.
Van oefening naar capability
Een tabletop oefening laat zien waar je organisatie staat; de maturity-niveaus helpen om te bepalen waar je naartoe wilt. De gaten die je vindt, vul je met afspraken, en vaak met mensen die de juiste vaardigheden hebben. Voor teamtrajecten en opleidingen op maat staan de mogelijkheden op de pagina voor werkgevers, alle niveaus bij de opleidingen en startdata in de agenda. Wil je bespreken welke capability jouw MT na een oefening mist, plan dan een kennismaking.
