DOCUMENTATIE
Voor MT-leden die een uitnodiging kregen, facilitators die een oefening voorbereiden en iedereen die wil weten wat er achter de login zit.
Een tabletop-oefening voor het managementteam: een cyberincident dat zich in een paar uur ontvouwt, met druk van buiten en van binnen. Het MT werkt op een virtuele werkplek in de browser die lijkt op de eigen werkplek. De buitenwereld en de IT-collega worden gespeeld door AI-agents: de IT'er die escaleert, de leverancier die zich indekt, de journalist die om 11:00 publiceert, de toezichthouder, de verzekeraar, collega's op de werkvloer en de aanvaller zelf.
Een facilitator regisseert: start en versnelt de klok, zet gebeurtenissen in, keurt reacties van de agents goed of stuurt ze bij, en kijkt mee op elke werkplek. Na afloop schrijft een observator-agent de nabespreking.
Een gesprek met de intake-agent, met crisisplan en organogram als bijlage. Het resultaat is een profiel van de organisatie: rollen, systemen, leveranciers, mandaten, meldplichten, de echte teams en kanalen.
Uit het profiel maakt de generator het aanvalsplan, het scenario en de meetlat. De facilitator leest, past aan en keurt goed.
Deelnemers krijgen een login per e-mail; hun rol in de oefening volgt uit de intake. De IT-collega wordt door een agent gespeeld.
De klok loopt, realtime of versneld. Injects vuren op sim-tijd; de agents reageren op wat het MT doet en laat. De regie keurt goed, stuurt bij of laat persona's op autopilot.
De observator-agent toetst het logboek aan de meetlat: besluiten, doorlooptijden, meldplichten, communicatie. Sterke punten en verbeteracties met een eigenaar.
Elk MT-lid logt in op een eigen werkplek: een bureaublad met rechts een dock. Een nieuw bericht geeft een korte melding bovenaan; de apps tonen een teller met wat nog niet gelezen is. De facilitator kan op elke werkplek meekijken.
Het kanaal van het crisisteam met de IT-collega, naast de openstaande besluiten met wachttijd, de toezeggingen en deadlines van persona's als aftellende tegels, de meldplicht-klokken en de systemen zoals het team ze kent. Niet hoe het werkelijk zit: dat weet alleen de regie.
Elke rol heeft een eigen mailbox. De toezichthouder deelt indicatoren, de verzekeraar wijst op de polis, de journalist wil vóór 11:00 een reactie. En er zit een phishing-mail tussen met een echt lijkend afzenderadres; verdachte mail meld je bij IT.
De eigen teams en kanalen uit de intake, plus de chats met collega's. Hier vragen locaties en de werkvloer wat ze moeten doen. Blijft het MT stil, dan worden de vragen dringender; een goed bericht maakt het rustig.
Tickets van IT en de leverancier, met prioriteit en reacties. Zeven tickets in een half uur waar er normaal één per uur komt: het eerste signaal dat iets niet klopt.
Bel de IT-collega, de leverancier of de journalist. Standaard als getypt gesprek; met spraak aan praat je in het Nederlands met de persona en loopt het transcript mee. Wat er gezegd is, weten de andere agents ook.
Monitoring van vermeldingen: de foto van een medewerker, een familielid dat vraagt waarom niemand opneemt. En een vak om als organisatie te reageren. Wat hier staat, zien de pers, medewerkers en de aanvaller ook.
De mediamonitor: artikelen die de journalist-agent schrijft, met letterlijke citaten van wat de organisatie zei, of juist niet zei. Een holding statement zie je binnen tien minuten terug als kop; stilte ook.
Aftelklok, wat er gestolen zou zijn, een voorproefje van bestandsnamen die bij de organisatie passen, en de 'support chat' waarin je onderhandelt. Betalen is in de oefening altijd een besluit van het MT, nooit van één persoon.
Een persona legt een besluit voor met twee of drie opties. Ieder MT-lid kan kiezen; de eerste keuze telt voor het hele MT en staat met naam in het logboek. Een optie kan een maatregel van IT in gang zetten.
Uit de intake, met wettelijke termijn. De klok start bij kennisname; in de Crisisroom markeert het MT dat er gemeld is. De melding zelf gebeurt buiten de oefening.
Zegt een persona iets toe ('ik bel om 11:00 terug', 'wij publiceren om 11:00'), dan verschijnt dat als aftellende tegel in de Crisisroom. Verstrijkt de tijd, dan komt de persona zelf terug.
Eén regel bovenaan voor het nieuwste bericht, met een knop naar de app. Berichten in de app die al open staat geven geen melding.
De facilitator opent vanaf de startpagina elke werkplek alleen-lezen, om te zien wat een MT-lid ziet.
Het dashboard van de facilitator, ook wel de witte cel: de klok, de tijdlijn van injects, de goedkeuringswachtrij, de instellingen per persona, de deelnemers, de lopende telefoongesprekken en het logboek. De facilitator ziet de werkelijkheid én wat het MT weet.
Time-out zet de klok stil, voor uitleg of een echte pauze. Overleg laat de klok doorlopen terwijl het MT confereert: injects blijven komen en de nabespreking laat zien hoeveel sim-tijd dat kostte.
Elke maatregel en elk besluit heeft vaste gevolgen: wie het merkt, via welk kanaal, hoeveel minuten later. Servers loskoppelen zonder de locaties te waarschuwen levert na acht minuten vragen van de werkvloer op, en daarna de locatiemanager.
Gebeurtenissen vuren op sim-tijd; optionele injects zet de regie zelf in als het MT lucht nodig heeft of juist druk.
Elke reactie van een agent wacht op de facilitator, tenzij de persona op autopilot staat. Tekst aanpassen kan voordat het MT het ziet.
Systeemstatus, verborgen feiten, onderzoeken en het volledige logboek. De regie ziet alles, het MT alleen wat IT heeft gemeld.
Persona's lezen alleen de kanalen die bij hen horen. De aanvaller leest de leksite en sociale media, de journalist sociale media en de eigen mail. Interne chat lekt niet, tenzij een inject dat regelt.
De intake is een gesprek, geen formulier. De agent werkt de fasen af (organisatie en doel, deelnemers, collega's, infrastructuur, ISMS en mandaat, werkplek-inrichting, dreiging, logistiek, privacy), slaat over wat al bekend is, leest geüploade documenten en vraagt om bevestiging van wat hij daarin vindt. Rechts vult het profiel live mee, met een checklist van wat nog nodig is voor het pakket.
Uit het profiel maakt de generator het voorbereidingspakket: het aanvalsplan (alleen voor de facilitator), het scenario in leesbare YAML en de meetlat voor de observator. De facilitator ziet ze naast elkaar, past aan (het scenario wordt bij elke wijziging gevalideerd) en keurt goed. Vanaf dat moment draait de oefening op het eigen scenario: de eigen locaties, systemen, teams en kanalen, de eigen rollen en meldplichten, een leksite die bij de organisatie past.
Na de oefening schrijft de observator-agent de nabespreking op basis van het volledige logboek en de meetlat: per besluit wanneer gevraagd, wanneer genomen, door wie en hoe lang het duurde; of de meldplichten binnen de termijn zijn gemeld; of er één woordvoerder was; wat besproken maar niet besloten is. Het rapport beoordeelt het team en de afspraken, niet personen.
Een afgeronde oefening afspelen als film: de sim-klok loopt versneld, berichten en besluiten verschijnen op het moment dat ze gebeurden, en de kijker kan pauzeren, terugspoelen en naar een hoofdstuk springen. Voor nieuwe MT-leden, voor de nabespreking (de facilitator spoelt naar het moment dat het misging) en voor de raad van toezicht (het verhaal in tien minuten).
Injects, besluiten gevraagd en genomen, meldingen, annotaties, en de momenten waarop het MT langer dan tien minuten stil was, als rode vlakken.
De sim-klok loopt versneld; pauzeren, terugspoelen en naar een hoofdstuk springen. Links het crisiskanaal dat oploopt, rechts per kanaal de berichten als kaartjes.
De systeemkaart kleurt mee met wat IT had gemeld, ernaast de werkelijkheid op dat moment. Het gat ertussen is het leerpunt.
De observator deelt de oefening in hoofdstukken met één zin. De facilitator zet opmerkingen op de tijdlijn, die in de replay en de nabespreking terugkomen.
De MT-rollen komen uit de intake: zoveel rollen als de organisatie heeft, met de eigen functienamen en mailadressen. De persona's zijn alleen partijen die de organisatie echt heeft, elk met een briefing over wat die weet en wil. Maatregelen van IT zijn binnen of buiten het mandaat uit de intake; buiten het mandaat gebeurt niets zonder besluit van het MT. Onderzoeken kosten tijd en onthullen feiten, dus wat het MT weet loopt achter op wat er werkelijk aan de hand is.
Rapporteert wat hij ziet, doet kleine dingen zelf, legt alles met impact als besluit voor. Raakt moe en korter van stof naarmate de dag vordert.
Verwijst naar de SLA, wil eerst een ticketnummer, ontkent dat zijn account de bron kan zijn totdat het bewijs onontkoombaar is.
Heeft al twee medewerkers gesproken en een foto van de losgeldbrief gezien. Publiceert hoe dan ook om 11:00 en citeert letterlijk.
Het CSIRT of de toezichthouder bij de meldplichten uit de intake. Zakelijk, behulpzaam, wijst op de termijn.
Alleen als de organisatie een cyberpolis heeft. Melden binnen 24 uur, forensisch onderzoek alleen via een erkend bureau, geen contact met de aanvaller zonder onderhandelaar.
De werkvloer in een groepsapp. Vragen wat ze moeten doen, bellen familie als het stil blijft, verzinnen zelf iets als niemand iets zegt.
Raad van toezicht, OR of cliëntenraad, alleen als de organisatie ze heeft. Willen vroeg en feitelijk horen, niet via de pers; komen zelf als de afgesproken termijn verstrijkt.
De jurist die de tekst vooraf wil zien en op de meldtermijn wijst; de bank of salarisverwerker die betaalopdrachten blokkeert en weet wanneer de salarisrun is.
Zit in de onderhandelchat op de leksite en kent het aanvalsplan. Zakelijk, kort, dreigend zonder te schelden.
Organisatie, systemen, personen en adressen komen uit de intake of zijn verzonnen. Cliënt- en andere privénamen nooit.
Pers, toezichthouder en verzekeraar zijn agents. Een codewoord stopt de oefening bij een echt incident.
De agents geven geen technische instructies die buiten de oefening werken. Het gaat om communicatie, druk en besluiten.
Het rapport beoordeelt het team en de afspraken, niet personen. Wat naar het model mag en hoe lang het bewaard blijft, spreek je af in de intake.
Er is een speelronde met AI-spelers die de MT-rollen spelen om de werkplek te testen voordat echte mensen het doen. Inloggen kan met het adres waarop je de uitnodiging kreeg.