【当勒索攻击成为企业危机—REPRA管理者演练笔记 08】

把管理层演练带进行业与课堂：我们正在寻找怎样的合作伙伴？

面对勒索软件攻击，技术团队可以解释系统出了什么问题。但企业还需要有人决定：哪些业务继续，哪些必须暂停；有限资源先给谁；客户应该得到什么答复；哪些行动可以授权，哪些问题必须继续核实。

这些决定涉及不同部门，也取决于企业所处的行业和经营条件。

9月28日，REPRA管理层勒索软件攻击应对演练完成了首期公开测试。11位来自不同领域的参与者组成两个团队，围绕“停不停、付不付、先恢复谁”三个关键决策窗口展开讨论。大家逐渐进入情境，也提出了关于行业适配、决策引导和教学应用的建议。

本次推送的第7篇谈了现场体验和设计启示。这一篇，我们希望进一步发出合作邀请：与熟悉行业、企业和教学场景的伙伴一起，让这种演练进入更多真实的使用环境。

一 我们希望一起推进的 是管理团队的练习

REPRA首先是一款面向管理团队的勒索软件攻击应对演练产品，连接网络安全、业务连续性和危机管理。

参与者不必先成为网络安全专家。专业团队负责技术调查与处置，危机指挥部需要理解技术判断对经营意味着什么，在业务约束和不完整信息下作出决定，并组织行动。

这不是一次简单交换观点的研讨。企业背景、事件信息和资源条件需要足够具体，团队需要记录判断依据、决定和部署，并在新信息出现后重新审视原有选择。复盘时，再回看哪些考虑被遗漏、哪些行动没有落实，以及本可以怎样改进。

为了支撑这些工作，REPRA已经形成共同设计基础，包括“情景—任务—能力”体系、典型企业模型及BIA与RA结论、攻击者画像和隐藏攻击时间线。现行体系包含10个风险情景机制、12个关键任务包、30个任务组、85项参考任务和24项二级能力。

这些并不是要求每次活动全部使用的教学目录。它们帮助我们根据目标选择任务、安排事件，并使参与者面对的后果、约束和选择有依据。

目前，高科技制造业是已经完成较多设计工作的行业方向，典型企业采用汽车电子一级供应商模型。四小时版已有配套材料，12关卡版已有设计积累；首期公开测试实际体验了其中三个关卡的主要内容。其他关卡及版本仍需继续试用和完善，不能把这次测试视为全部产品已经得到验证。

我们希望伙伴共同参与的，正是从设计材料走向可重复使用的演练服务这一步。

二 与行业组织和企业 一起把情景做得更像日常经营

同样是“先恢复谁”，汽车电子供应商、银行、制药企业和医疗机构，可能面对完全不同的责任和后果。

行业适配不应只是换一个企业名称和几张背景照片。产品或服务怎样交付，关键活动依赖什么，业务中断多久会产生什么影响，外部承诺和恢复条件是什么，都需要结合行业重新考虑。

行业协会、专业组织和企业专家，能够帮助我们识别哪些设定真实、哪些约束关键，以及哪些问题确实需要管理层决定。

一种适合起步的合作方式，是围绕一个行业，先完成一次小范围情景评议，再组织同行业的体验活动。REPRA提供演练框架、材料和导调设计，伙伴帮助核对行业条件、组织适合参与的人群，并共同收集反馈。

企业也可以从现有版本的体验开始，再讨论是否需要定制。真正进入企业后，需要结合其业务、组织、系统、供应链和预案调整情景，而不是把假想企业原样搬进去。

这不要求一开始就提供大量敏感资料。初步交流可以采用经过处理的信息，具体数据需求、保密和成果使用安排，在项目范围明确后再商定。

除了继续完善高科技制造方向，我们也希望与生命科学和制药、医疗机构、金融机构等领域的伙伴讨论行业需求和试点机会。行业版本的开发顺序，应结合实际需求、专业支持和试用条件确定。

三 与院校 一起探索管理者体验教学

首期测试中，一位高校应急管理教师提出，可以考虑将REPRA用于高校实训。

这个方向值得探索。课堂能够介绍风险和应对原则，演练则可以让学习者暂时坐在管理岗位上，体会为什么各部门的意见都有道理，却仍需要有人作出取舍。

对经管、公共管理、应急管理及继续教育领域，可以先从一场课堂体验或工作坊开始。围绕一个明确教学目标选择关卡，安排必要的企业背景介绍和决策引导，再通过记录与复盘了解学生或学员怎样理解和处理问题。

不同人群需要不同的设计。面向企业管理者，可以利用已有工作经验形成讨论；面向尚未进入特定管理岗位的学生，则需要更多角色说明和引导。不能只是把企业版活动缩短，就当作教学版已经完成。

我们希望与教师共同明确学习目标、调整材料和研讨方式，再通过试点观察教学效果。目前，这仍是合作探索方向，尚不是已经验证成熟的大学实训系统。

起步也未必需要建设新的软件平台。一组清楚的情景材料、可以使用的决策记录和有效的复盘，就能够支持第一轮教学尝试。是否需要平台，以及需要哪些功能，可以根据实际使用再决定。

四 与专业机构 一起连接技术判断和经营决策

REPRA不是网络安全攻防演练的替代品，也不代替企业的IT灾难恢复测试。

它关注的是，当专业团队给出调查结论、处置建议或恢复方案时，企业怎样理解这些信息，决定允许什么、优先做什么，以及如何协调资源与行动。

网络安全和事件响应伙伴，可以帮助核验攻击假设、处置条件和剩余威胁。IT灾难恢复伙伴，可以帮助把备份可用性、环境重建、数据恢复与业务验证讲清楚。业务连续性和供应链伙伴，可以完善降级运行、应急保供及恢复优先级。法律、保险等专业意见，也可以在明确范围的议题中提供支持。

合作不必一开始就做覆盖所有专业的大型综合演练。可以先选一个接口问题共同设计和试用，例如：

• 技术团队建议扩大隔离时，管理层需要得到哪些经营影响和替代安排的信息？
• 恢复团队提出多个方案时，指挥部需要知道哪些条件、不确定性和资源需求？
• 部分系统已经恢复时，哪些业务可以恢复到什么水平，仍需核实什么？

通过一个具体问题，让专业判断能够支持管理决策，也让管理决定能够转化为专业团队清楚的工作要求，比在同一场活动里分别讲几段专业知识更有价值。

未来若开展技术、业务连续性和危机管理一体化演练，还需要进一步明确各方的任务、运行方式和验证边界，不能仅凭当前管理层体验版就宣称已经具备全部条件。

五 与区域伙伴 一起组织合适的体验活动

对区域服务机构、培训组织和已有企业客户关系的伙伴，我们可以讨论联合体验、专题研讨或面向特定客户群的活动。

这里的关键不是参与人数越多越好，而是参加的人与活动目标相匹配。

同一行业的管理者更容易理解共同背景；跨行业人群则需要更多说明，引导大家区分可借鉴的经验与行业特定条件。参与者可以有不同职能背景，但每个团队都需要有人承担决策组织和记录工作。

REPRA可以提供情景、参演材料、导调与复盘设计。合作方可以结合自身条件，参与目标人群邀请、活动组织、行业背景核对或后续需求沟通。具体分工可以从一次小规模活动开始商定，不必先建立复杂的合作层级。

首期测试没有进行团队排名，也没有形成个人或企业的正式能力评级。后续体验活动仍需说明用途和边界，参与材料、照片及反馈如何使用，应事先沟通。若需要开展正式能力评价，则必须另行设计评价范围、证据要求和实施条件。

六 合作可以从一个具体需求开始

我们不希望用一份笼统的“合作伙伴招募”，要求大家先作出长期承诺。

更有用的起点，是带着一个具体问题交流：

• 您的行业或客户群，最值得管理团队提前练习的决策是什么？
• 您希望用于企业管理者、专业人员培训，还是学生实训？
• 您已有怎样的人群、教学或专业资源，希望我们提供哪些支持？

据此，我们可以讨论先做情景评议、一次体验活动，还是一轮教学试点。活动目标、参与条件、双方分工、费用及成果使用安排，需要结合具体合作商定。

在勒索软件攻击应对之外，重大供应链中断等情景也是后续可以探索的方向。但当前，我们仍希望先把REPRA的行业模型、决策引导和实际运行做扎实，而不是同时推出很多名称相近、尚未得到充分检验的产品。

如果您熟悉一个行业，面对一类管理培训需求，或者希望将专业处置与企业决策更好地连接起来，欢迎与我们联系。

可以先选一类人、一个问题和一次试用，看看这种演练在您的场景里是否有用，再决定怎样继续。

联系新常安：010-5360 5969；13001090810（微信同号）。