Incident response cvičení: jak ověřit, že váš plán skutečně funguje

nZKB vyžaduje zavedení řízení bezpečnostních incidentů jako povinné opatření. Nestačí mít plán — plán musí být funkční. Záznamy z testování plánu jsou důkaz pro NÚKIB, že vaše incident response kapacita je reálná, ne jen papírová.

Princip odpovědnosti (accountability) vyžaduje, abyste soulad s GDPR dokázali prokázat. Pokud dojde k incidentu a ÚOOÚ zjistí, že jste plán nikdy netestovali, je to přitěžující okolnost při posuzování pokuty.

Enterprise zákazníci v bezpečnostních dotaznících pravidelně ptají: „Jak často testujete váš incident response plán?" Správná odpověď obsahuje datum posledního cvičení a stručný popis výsledků — ne „máme plán napsaný."

**IT/bezpečnostní vedoucí nebo tým** Řeší technickou stránku: detekci, izolaci, forenzní analýzu, obnovu systémů. Musí vědět, kde jsou zálohy, jak izolovat kompromitovaný systém a jak funguje monitoring.

**Vedení firmy (CEO, CTO nebo provozní ředitel)** Rozhoduje o eskalaci, komunikaci vůči zákazníkům, médiím a regulátorům. V reálném incidentu tato osoba rozhoduje o tom, zda firma zaplatí výkupné, kdy informuje zákazníky a zda zapojí forenzní firmu.

**DPO nebo právní zástupce** Posuzuje, zda incident vyžaduje hlášení na ÚOOÚ (GDPR 72 hod) a/nebo NÚKIB (nZKB 24 hod). Musí znát zákonné lhůty a formuláře.

**Zákaznická podpora / account management** Přijímají první hlášení od zákazníků a jsou první linií komunikace. Musejí vědět, co smí říct a co ne, a na koho eskalovat.

**HR (pokud incident zahrnuje zaměstnance)** Pokud incident zahrnuje podezření na insider threat nebo nutnost personálních kroků.

**Komunikace / PR (pokud firma komunikuje veřejně)** Pro firmy s veřejným profilem nebo mediálně viditelné.

**Celkový počet:** Pro MSP to typicky znamená 4–8 lidí. Cvičení nad 10 lidmi se stávají těžkopádnými.

**Kontext pro facilitátora:** Pondělní ráno, 7:45. První zaměstnanec, který přichází do kanceláře, se přihlásí na svůj počítač a uvidí zprávu: „Vaše soubory byly zašifrovány." Monitoring systému začíná alertovat na neobvyklé aktivity na fileserveru. Zákazníci hlásí, že SaaS platforma je nedostupná.

**Injekty (postupně přidávané informace):**

*Inject 1 (t+0):* Přijde alert z monitoringu. Fileserver vykazuje neobvyklou aktivitu — masivní čtení a zápis souborů. IT zjistí, že na třech serverech jsou soubory přejmenované s příponou `.locked`.

*Inject 2 (t+30 min):* Záložní server je také zasažen — ransomware měl přístup k zálohovacímu systému. Zálohy z posledních 3 dnů jsou zašifrovány. Nejstarší čistá záloha je stará 5 dní.

*Inject 3 (t+1 hod):* Útočníci tvrdí, že exfiltrovali zákaznická data (součástí útoku bylo i stažení dat před šifrováním). Požadují výkupné 50 000 EUR v BTC.

*Inject 4 (t+2 hod):* Velký zákazník volá CEO přímo a chce vědět, co se děje. Novinář z odborného media píše e-mail s dotazem.

**Klíčové otázky pro diskuzi:**

**Kontext:** Ve středu odpoledne přijde automatický alert z threat intelligence systému: přihlašovací údaje ve formátu `jmeno@vasefirma.cz` se objevily v dark web databázi zkompromitovaných účtů. Jde o e-mail + heslo jednoho z vývojářů s přístupem do produkčního prostředí.

**Injekty:**

*Inject 1:* Přistoupíte k logům a zjistíte, že z tohoto účtu proběhlo přihlášení v neobvyklou dobu (2:47 v noci) z IP adresy v Rumunsku — 72 hodin zpátky.

*Inject 2:* Dotyčný vývojář tvrdí, že ve 2:47 spal a přihlášení neprovedl. Zkontrolujete jeho přístupy: má admin práva k produkční databázi zákazníků.

*Inject 3:* Logy produkční databáze ukazují, že v onom nočním přihlášení bylo spuštěno několik SELECT dotazů na tabulky zákazníků. Nevíte, zda, a co bylo staženo.

*Inject 4:* Zákazník vám hlásí, že k jeho účtu byl neoprávněný přístup z neznámé lokace.

**Klíčové otázky:**

**Kontext:** V pátek večer pošle váš cloudový provider e-mail: „Zjistili jsme bezpečnostní incident v naší infrastruktuře. Provádíme šetření. Vaše data mohla být dotčena." Neposkytují žádné další detaily.

**Injekty:**

*Inject 1:* Provider uvede, že incident se týká části infrastruktury, kde jsou uložena zákaznická data. Nevyloučili únik dat.

*Inject 2:* Zákazníci začínají hlásit podezřelé aktivity ve svých účtech. Zdá se, že útočníci znají interní informace, které mohli získat jen z vašich systémů.

*Inject 3:* Provider potvrdí, že data z vašeho tenantuje mohla být přístupná neoprávněné straně po dobu 6 hodin.

**Klíčové otázky:**

**Facilitátor vysvětlí:**

**Rozdejte materiály:**

Facilitátor čte injekty postupně, s dostatečnými pauzami pro diskuzi. Po každém injektu se tým ptá:

**Facilitátor sleduje a zapisuje:**

**Nejcennější část cvičení.** Facilitátor projde s týmem:

Sepište **zápis z cvičení:**

``` Datum: [datum] Účastníci: [seznam jmen a rolí] Scénář: [název a stručný popis] Klíčová zjištění:

Otevřené akční body:

Příští cvičení plánováno: [datum] ```

Tento dokument uschovejte. Je to váš důkaz pro auditory a zákazníky.