Cybercrisis oefening: waarom een walkthrough niet genoeg is

Vraag tien organisaties of ze hun cybercrisis hebben geoefend en negen zeggen ja. Vraag door wat ze precies deden en je hoort meestal hetzelfde: een middag in een zaal, een scenario op papier, een gespreksleider die vraagt "wat zou je nu doen?" Iedereen zegt keurig wat hij zou doen. Niemand hoeft het echt te doen.

Dat is nuttig werk, maar het is geen crisis. Het is een doorloop. Het verschil zit in de druk.

Twee dingen die allebei oefening heten

Er zijn grofweg twee soorten oefening. De eerste is de table-top simulatie: je praat een scenario door, je checkt of iedereen zijn rol kent en of het plan logisch loopt. Handig om gaten te vinden. Rustig, want je kunt op elk moment pauzeren en terugbladeren.

De tweede is de echte cybercrisis oefening: een omgeving waarin je team zelf de beslissingen neemt die het in het echt ook zou moeten nemen. Geen pauze. De klok loopt. De informatie verandert terwijl je bezig bent. Soms klopt wat je net hoorde niet meer.

Allebei heten ze oefening. Ze trainen iets heel anders.

Wat er gebeurt als de druk echt is

Onder druk reageren mensen anders dan ze van zichzelf denken. Dat is geen zwakte, het is hoe een brein werkt als er stress bij komt. Het overzicht versmalt. De neiging om te wachten op zekerheid wordt sterker. Het eerste echte besluit blijft hangen.

Ik zie in de praktijk hoe teams vastlopen op precies dat moment. Niet omdat ze dom zijn of onvoorbereid, maar omdat vooraf niet is belegd wie het besluit mag nemen. De toets die ik daarvoor gebruik: als dit besluit om drie uur 's nachts moet vallen en de eerste persoon neemt niet op, wie hakt de knoop dan door? Wie daar geen antwoord op heeft, ontdekt het op het slechtst denkbare moment.

De zes vaardigheden die je traint

Een goede cybercrisis oefening traint gedrag, geen kennis. Zes vaardigheden maken in de praktijk het verschil: kalm blijven, overzicht houden, beslissen op onvolledige informatie, prioriteren onder tijdsdruk, veerkracht na een tegenslag en improviseren als het plan niet meer past. Die laatste is belangrijker dan mensen denken, want geen enkel scenario verloopt zoals het op papier stond. We hebben ze uitgewerkt bij de zes crisisvaardigheden.

Het mooie is dat deze vaardigheden geen aangeboren talent hoeven te zijn, maar kunnen worden geleerd. Alleen niet uit een presentatie. Je leert ze door ze te doen, onder omstandigheden die genoeg lijken op het echte werk om je hoofd hetzelfde te laten reageren.

Wat je eruit haalt

Een simulatie is nooit hetzelfde als een echte crisis. Dat hoeft ook niet. Wat je eruit haalt, is dat je team het eerste echte besluit al een keer heeft genomen, dat je weet waar de communicatie hapert en dat je ziet wie onder druk het overzicht houdt en wie dat kwijtraakt. Dat is bruikbare informatie, geen cijfer op een certificaat.

Wil je verder dan de doorloop, kijk dan hoe je je crisisteam kunt trainen of hoe een ransomware simulatie er in de praktijk uitziet. Of kom langs in de Community om te zien wat het met een team doet.