Tabletop-Übung

Was ist der Zweck von Tabletop-Übungen?

Der Zweck einer Tabletop-Übung besteht darin, die Bereitschaft einer Organisation für eine bestimmte Katastrophe zu bewerten und die erforderlichen Teilnehmer über ihre Rolle bei der Reaktion zu informieren. Unabhängig davon, ob es sich um die Zerstörung von Einrichtungen, den Verlust von Mitarbeitern oder den Verlust von Daten durch einen Cyberangriff handelt, werden bei einer Tabletop-Übung alle Aspekte der Reaktion und der erforderlichen Folgemaßnahmen für die Organisation durchgespielt.

Der hier angegebene Link führt Sie zum Download unserer kostenfreien Vorlage für eine Tabletop-Übung.

Während sie einen beschleunigten Zeitplan verwenden, decken Tabletop-Übungen jeden Aspekt des hypothetischen Szenarios ab, vom Störungsbeginn bis zu den Bemühungen nach der Katastrophe. Sie bewerten die internen Ressourcen, alle externen Agenturen, die zur Unterstützung herangezogen werden können, und ermitteln, welche Kommunikationsmittel zu diesem Zeitpunkt zur Verfügung stehen werden.

Die Ergebnisse einer Tabletop-Übung können in die künftige Disaster-Recovery-Planung einfließen und neue Richtlinien festlegen, die die Organisation möglicherweise umsetzen muss. Eine Tabletop-Übung könnte Wissenslücken beim Personal oder Sicherheitsmängel aufdecken, die behoben werden müssen. Die an der Übung teilnehmenden Mitarbeiter in Schlüsselpositionen haben die Möglichkeit, sich nicht nur mit ihrer eigenen Rolle in Katastrophenszenarien vertraut zu machen, sondern auch zu sehen, wie die gesamte Reaktion in der Organisation ablaufen wird.

Im Anschluss an die Übung können die Teilnehmer und die Übungsleiter einen Nachbereitungsbericht erstellen, in dem alle wichtigen Erkenntnisse oder Fragen, die während der Übung aufgeworfen wurden, detailliert beschrieben werden.

Tabletop-Übung vs. andere Übungen

Eine Tabletop-Übung ist eine von sieben Übungsarten, die das Homeland Security Exercise Evaluation Program für die Vorbereitung auf Katastrophen vorsieht. Diese Übungsarten lassen sich in zwei Kategorien einteilen: diskussionsbasiert oder einsatzbasiert.

Tabletop-Übungen gehören zu den diskussionsbasierten Übungen, ebenso wie Seminare, Workshops und Spiele. Während die anderen diskussionsbasierten Übungen einer Tabletop-Übung ähneln, ist eine diese jedoch ein interaktiver Prozess zur Bewertung von Plänen, Verfahren und Strategien. Seminare und Workshops können ein gewisses Maß an Interaktion umfassen, dienen aber in erster Linie der Information, und Spiele sind informeller als eine Tabletop-Übung und bilden die Szenarien nicht so genau nach.

Zu den einsatzbezogenen Alternativen gehören Drills, funktionale Übungen und groß angelegte Übungen. Alle sind interaktiv, aber im Gegensatz zu Tabletop-Übungen enthalten diese Übungen in der Regel, dass die Teilnehmer ihre Aufgaben ausführen, möglicherweise vor Ort.

Eine Übung wird durchgeführt, wenn eine bestimmte Funktion oder ein bestimmter Prozess getestet werden kann, möglicherweise in Echtzeit. Eine funktionale Übung geht noch einen Schritt weiter, bei der mehrere Teilnehmer ihre Aufgaben in einer simulierten Umgebung ausführen. Bei einer funktionellen Übung wird die Kommunikation zwischen der Organisation und allen Stellen koordiniert, auf die sie im Katastrophenfall angewiesen sein könnte.

Bei einer groß angelegten Übung wird die Reaktion so realitätsnah wie möglich nachgeahmt, wobei Notdienste und möglicherweise sogar lokale Unternehmen einbezogen werden. Bei einer groß angelegten Übung wird in Echtzeit und vor Ort reagiert.

Vor- und Nachteile

Testen ist einer der wichtigsten Aspekte des Disaster Recovery (DR) und der Data Protection, und eine Tabletop-Übung ist eine DR-Testmethode, die die Teilnehmer realistisch auf den Katastrophenfall vorbereitet und die Organisation auch über etwaige Mängel oder Schwächen in ihrem Katastrophenschutzplan informiert. Eine Tabletop-Übung ist im Idealfall eine aktive Diskussion, zu der alle Teilnehmer beitragen. Auf diese Weise lässt sich zuverlässig feststellen, wie viel die Mitarbeiter über ihre Aufgaben wissen, und sie haben die Möglichkeit, Fragen zu stellen, die sie sonst vielleicht nicht stellen würden.

Da sie in einem informellen Rahmen wie einem Klassenzimmer oder Konferenzraum stattfinden können, sind Tabletop-Übungen eine kostengünstige Möglichkeit, die Reaktion auf Zwischenfälle zu bewerten und zu testen. Sie erfordern zwar einen gewissen Zeitaufwand für die Teilnehmer und Moderatoren, aber die Übungen werden nicht in Echtzeit durchgeführt und können daher innerhalb von Stunden statt Tagen abgeschlossen werden.

Der größte Nachteil einer Tabletop-Übung besteht darin, dass sie nicht alle Aspekte einer hypothetischen Situation nachbilden kann. Eine gründliche Planung ist unabdingbar, und diejenigen, die den Plan für die Übung erstellen, müssen alle möglichen Ergebnisse in Betracht ziehen. Selbst dann handelt es sich immer noch um eine oberflächliche Überprüfung des Plans. Ohne diese Situationen direkt zu erleben, können einige Möglichkeiten übersehen werden.

Eine Organisation kann sich beispielsweise auf den Verlust des Zugriffs auf ihr primäres Rechenzentrum vorbereiten, aber dieses Szenario sieht möglicherweise nicht den gleichzeitigen Verlust des Zugriffs auf eine Cloud oder ein ausgelagertes Rechenzentrum vor. Dies mag zwar unwahrscheinlich sein, ist aber nicht unmöglich. Im Interesse der Zeitersparnis oder der Priorisierung häufigerer Katastrophen können Unternehmen Szenarien übersehen, die unwahrscheinlich erscheinen. Dieses Versehen könnte dazu führen, dass sie unvorbereitet sind.

Eine Reihe von Faktoren bestimmt, für welche Arten von Szenarien eine Organisation mit einer Tabletop-Übung planen kann. Übliche Naturkatastrophen variieren je nach Region, ebenso wie geopolitische Szenarien. Auch die Art der Branche kann sich darauf auswirken, für welche Katastrophen eine Organisation planen muss.

Gängige Szenarien können sein:

• Erdbeben
• Wirbelsturm
• Überschwemmung
• Tornado
• Stromausfall
• Feuer
• Pandemie
• Cyberangriff
• Büro-/Gebäudenotfall

Die Art des Notfalls bestimmt den Umfang der Reaktion, das erforderliche Personal und informiert die Beteiligten über ihre Prioritäten und verfügbaren Ressourcen. Handelt es sich beispielsweise um einen Cyberangriff, hat das Datenschutzteam andere Aufgaben zu erfüllen als bei einer Naturkatastrophe.