Um plano de resposta a incidentes que nunca foi exercitado é hipótese, não capacidade. Equipes de SOC, gestores de infraestrutura e executivos que terão de decidir em minutos durante uma invasão só descobrem os vazios do plano quando o colocam à prova em condição controlada. A ação prioritária é objetiva: agendar um tabletop nos próximos 60 dias com material gratuito pronto da CISA e transformar cada descoberta em item de plano de ação com responsável e prazo. Sem esse ciclo, o documento continua impecável e a resposta continua improvisada.
O que o tabletop revela
Tabletop é um exercício baseado em discussão: um facilitador apresenta um cenário dividido em módulos — ameaça, incidente e recuperação — e pergunta a cada área o que faria, com quais dados, com que autoridade e em que ordem. Nada roda em produção, e é exatamente isso que expõe lacunas baratas de corrigir antes que custem caro: o contato desatualizado do provedor de nuvem, o comunicado externo que ninguém sabe quem aprova, a disputa sobre quem pode mandar desligar um sistema crítico do negócio.
O NIST trata essa disciplina como parte da melhoria contínua do programa. No documento oficial do framework, o instituto ressalta a importância da governança e da cadeia de suprimentos como focos novos da revisão do CSF 2.0 — e governança, nesse modelo, é a função central que informa como as outras cinco serão implementadas, incluindo testes e exercícios. A subcategoria ID.IM-02 do Core pede de forma explícita que melhorias sejam identificadas a partir de testes e exercícios de segurança, inclusive os conduzidos em coordenação com fornecedores e terceiros relevantes.
Para decisões de contenção, o exercício antecipa o impasse que já analisamos em artigo sobre governança de incidentes: sem autoridade definida antes do incidente, a discussão sobre quem decide acontece no pior momento possível, com relógio correndo e pressão máxima.
O catálogo gratuito da CISA
Argumento de orçamento não se sustenta. Na página oficial do programa, a CISA disponibiliza mais de 100 pacotes de exercício tabletop — os CTEP, de CISA Tabletop Exercise Packages — com objetivos-modelo, cenários e perguntas de discussão personalizáveis. O kit inclui manual do planejador, manual do facilitador e avaliador, carta de convocação, formulário de feedback dos participantes e um modelo alinhado ao HSEEP de relatório pós-exercício acompanhado de plano de melhoria, o AAR/IP.
Para escolher por onde começar, a página de cenários de cibersegurança da CISA organiza os pacotes por vetor de ameaça: os manuais de situação cobrem ransomware, ameaça interna, phishing e comprometimento de sistemas de controle industrial. Há também edições setoriais para infraestrutura eleitoral, governos locais, portos marítimos, saneamento e saúde, além de setores industriais como químico, comunicações, manufatura crítica e base industrial de defesa.
Cada Situation Manual traz o roteiro completo em três módulos — informações pré-incidente e compartilhamento de inteligência, resposta ao incidente e recuperação pós-incidente — com perguntas sugeridas por bloco. O formato recomendado pela própria agência é um encontro de cerca de quatro horas, com agenda divulgada antes e um hotwash final, sem slides e sem mentira institucional, para colher impressões enquanto estão frescas.
Como montar o ciclo
Um exercício isolado gera ata bonito e mudança zero. O valor aparece quando o tabletop vira ciclo com datas fixas no calendário. Um roteiro enxuto de oito semanas:
| Semana | Ação | Saída esperada |
|---|---|---|
| 1–2 | Definir escopo, objetivo mensurável e cenário; escolher o Situation Manual da CISA mais próximo do risco real da organização | Objetivo e cenário adaptados |
| 3 | Convidar todas as áreas que decidem durante um incidente: SOC, infraestrutura, jurídico, comunicação e uma liderança com autoridade real | Lista de participantes com papéis |
| 4 | Preparar facilitador e avaliadores; ajustar as perguntas dos módulos ao contexto interno | Manual personalizado |
| 5 | Conduzir o exercício de até quatro horas em três módulos, com anotações de cada avaliador | Notas de observação |
| 5 | Hotwash imediato: cada área relata o que travou e o que faltou | Lista bruta de achados |
| 6–8 | Escrever o relatório com plano de melhoria: cada achado com dono, prazo e critério de fechamento | AAR/IP publicado internamente |
Duas regras de ouro na condução: o facilitador não pode ser quem responde pelo plano testado, para não avaliar o próprio trabalho, e o cenário precisa atingir um processo crítico de verdade — exercício que só arranha periferia não gera desconforto, e sem desconforto não gera aprendizado.
Do achado ao plano
O produto que importa é o After-Action Report com Improvement Plan que dá nome ao modelo da CISA. A regra prática é implacável: achado sem dono e sem prazo é reclamação, não melhoria. Cada item entra no mesmo registro que acompanha os riscos cotidianos da operação, com revisão mensal até o fechamento e evidência objetiva do que mudou.
O segundo elo do ciclo é medir de ponta a ponta. Se o tabletop de ransomware apontou que a restauração de backups nunca foi ensaiada, o item só fecha quando o teste acontece — a mesma exigência de evidência documentada que discutimos ao analisar o guia do NIST para resposta a incidentes. Exercício que não muda nada até o próximo exercício é encenação com hora marcada, e a organização fica sabendo disso apenas durante o incidente real.
Prioridades e sinais de alerta
P1 — nesta semana: baixar um Situation Manual da CISA, escolher o facilitador e marcar data com a liderança. Sem data na agenda, o exercício não existe. Definir também quem registra decisões durante a sessão e quem escreve o rascunho do AAR/IP na mesma semana da condução, porque memória de hotwash evapora rápido.
P2 — em até 60 dias: conduzir o primeiro ciclo completo, incluir no cenário um fornecedor crítico — o modelo do NIST prevê exercícios coordenados com terceiros justamente porque a resposta real atravessa fronteiras contratuais — e publicar o plano de melhoria interno com prazos trimestrais e responsável nomeado por item.
Sinais de que o programa é fachada: o exercício não gera nenhum achado; a liderança não participa; os mesmos achados se repetem no ano seguinte; o relatório existe, mas nenhum item tem data. Qualquer um desses pontos exige parar e redesenhar o processo antes de marcar o próximo encontro — senão a organização paga o custo de ensaiar sem aprender.