Dla prowadzących

Przeprowadź ćwiczenie ze swoją grupą

Wybierz scenariusz, a my utworzymy sesję na naszym serwerze. Dostaniesz kod i kod QR dla uczestników oraz tajny link do panelu prowadzącego. Bez konta, bez instalacji, bez opłat.

1
Utwórz sesję
Scenariusz, poziom trudności i liczba zespołów. Zajmuje to minutę.
2
Pokaż kod
Wyświetl kod QR na rzutniku. Uczestnicy dołączają z telefonu lub laptopa i wybierają rolę.
3
Wystartuj
Każda rola potrzebuje co najmniej jednej osoby. Zegar rusza dla wszystkich zespołów naraz.
4
Omówcie raport
Po końcu każdy zespół dostaje raport z wynikiem, a Ty widzisz raporty wszystkich zespołów.

Sesja wygasa 2 godz. po planowym końcu gry, więc utwórz ją tuż przed zajęciami. Do 30 osób w zespole.

Scenariusz

Insider — wyciek danych klientów NordBankNordBank · scenariusz rozruchowy — 1. doba 24hGra trwa ok. 90 minScenariusz rozruchowy — pierwsza doba kryzysu (24h fabuły). Wtorek 11:45. Email od researchera Niebezpiecznika do skrzynki rzecznika prasowego — załączony plik z 200 rekordami klientów NordBank: imię, PESEL, numer rachunku, historia 90 dni transakcji, ostatnie 4 cyfry karty. Próbka opublikowana wczoraj na DarkForums przez użytkownika '@bankleaker'. Ofertowane: 880 000 rekordów za 350 000 USD. Niebezpiecznik prosi o komentarz do 16:00. Wstępna analiza SOC odkrywa wzorce: były pracownik anti-fraud, Dariusz K. (employee ID 9234), który złożył wypowiedzenie 3 tygodnie temu po sporze płacowym, w okresie ostatnich 4 miesięcy systematycznie eksportował dane klientów małymi paczkami przez legalny dostęp do CRM (audit log nigdy nie był przeglądany). Scenariusz testuje: wyciek bez 'klasycznego' atakującego (nikt z kim negocjować), insider threat (governance failure), DORA + RODO równolegle, dylemat 'czy ścigać byłego pracownika gdy jeszcze ma sympatię w zespole', oraz problem klienta B2B (5 największych klientów ma SLA wymagający powiadomienia w 24h pod groźbą exit).Operation BlackCard — Ransomware w MediNetMediNet · scenariusz rozruchowy — 1. doba 24hGra trwa ok. 90 minScenariusz rozruchowy — pierwsza doba kryzysu (24h fabuły). Wtorek 04:12 — ransomware grupy 'Akira' szyfruje system EMR/HIS w obu centrach danych MediNet. Lekarze przychodzący na poranne dyżury w 40 placówkach nie mają dostępu do historii chorób, recept ani wyników badań. O 04:30 attackerzy publikują w darknecie sample 12 000 rekordów pacjentów (PESEL, diagnozy onkologiczne, dane dzieci) i żądają 1.5 mln EUR w 48h pod groźbą publikacji 520 tys. rekordów. Pierwsi pacjenci na izbie przyjęć w Warszawie czekają już 2 godziny — wśród nich pacjent po zawale, który nie wie czy lekarz może podać mu lek nieantykolizujący z jego stałą terapią. Scenariusz testuje: bezpieczeństwo pacjentów vs. sprawność operacyjna, koordynację z Ministerstwem Zdrowia i Rzecznikiem Praw Pacjenta, dylemat ransomu w sektorze gdzie 'system stoi' = 'pacjenci umierają'.Operation Midas — Ransomware w NordBankNordBank · scenariusz rozruchowy — 1. doba 24hGra trwa ok. 90 minScenariusz rozruchowy — pierwsza doba kryzysu (24h fabuły). Wieloetapowy atak ransomware z eksfiltracją danych klientów banku. Atakujący (grupa 'Midas Syndicate') szyfruje kluczowe systemy, grozi publikacją 2 mln rekordów PII jeśli nie zostanie wypłacony okup 5 mln EUR w 48h. Scenariusz testuje równolegle: reakcję techniczną, obowiązki regulacyjne (DORA/UKSC/GDPR/PSD2), komunikację z mediami oraz dylemat płacenia okupu.Exposed — wyciek danych medycznych MediNetMediNet · scenariusz rozruchowy — 1. doba 24hGra trwa ok. 90 minScenariusz rozruchowy — pierwsza doba kryzysu (24h fabuły). MediNet — sieć 40 przychodni — budzi się do wtorku rano z niepokojącym emailem od Niebezpiecznik.pl: dziennikarz ma sample 5000 rekordów pacjentów z PESEL-ami, diagnozami i wynikami badań. Jednocześnie na Twitterze pojawia się screenshot publicznie dostępnego bucketu S3 o nazwie 'medinet-backups-prod-emr-v2'. Dochodzenie wewnętrzne szybko ustali przyczynę: junior DevOps 6 tygodni temu podczas migracji ustawił na chwilę ACL:public-read i zapomniał. Sample jest prawdziwy. Scenariusz testuje: zarządzanie kryzysem bez 'atakującego' z którym można negocjować, obowiązek powiadomienia UODO w 72h, zawiadomienie pacjentów (RODO art. 34) dla danych szczególnej kategorii, presję medialną od pierwszej minuty oraz accountability (kogo obwinić).Insider — wyciek danych klientów NordBankNordBank · pełny kryzys 72hGra trwa ok. 3 hPełny kryzys — 72h fabuły. Wtorek 11:45 — email od researchera Niebezpiecznika z próbką 200 rekordów klientów NordBank: imię, PESEL, numer rachunku, historia 90 dni transakcji. Próbka opublikowana na DarkForums przez '@bankleaker'. Oferta sprzedaży: 880 000 rekordów za 350 000 USD. SOC ustala wzorzec: było to dzieje analityka anti-fraud Dariusza K. (wypowiedzenie 3 tyg temu, spór płacowy). Obejmuje pełne 72h kryzysu: od wykrycia, przez lawinę medialną i regulacyjną pierwszej doby, po dni 2-3 z terminami RODO (72h). Testuje: zarządzanie kryzysem bez 'klasycznego atakującego', insider threat (governance failure), DORA + RODO równolegle, dylemat publicznego oskarżania byłego pracownika przed wyrokiem.Operation BlackCard — Ransomware w MediNetMediNet · pełny kryzys 72hGra trwa ok. 3 hPełny kryzys — 72h fabuły. Wtorek 04:12 — ransomware grupy 'Akira' szyfruje system EMR/HIS w obu centrach danych MediNet. Lekarze przychodzący na poranne dyżury w 40 placówkach nie mają dostępu do historii chorób, recept ani wyników badań. O 04:30 attackerzy publikują w darknecie sample 12 000 rekordów pacjentów (PESEL, diagnozy onkologiczne, dane dzieci) i żądają 1.5 mln EUR w 48h pod groźbą publikacji 520 tys. rekordów. Obejmuje pełne 72h kryzysu: od wykrycia, przez lawinę medialną i regulacyjną pierwszej doby, po dni 2-3 z terminami RODO (72h). Testuje: bezpieczeństwo pacjentów vs. sprawność operacyjna, koordynację z Ministerstwem Zdrowia i Rzecznikiem Praw Pacjenta, dylemat ransomu w sektorze gdzie 'system stoi' = 'pacjenci umierają'.Operation Midas — Ransomware w NordBankNordBank · pełny kryzys 72hGra trwa ok. 3 hPełny kryzys — 72h fabuły. Wieloetapowy atak ransomware z eksfiltracją danych klientów banku. Atakujący (grupa 'Midas Syndicate') szyfruje kluczowe systemy, grozi publikacją 2 mln rekordów PII jeśli nie zostanie wypłacony okup 5 mln EUR w 48h. Obejmuje pełne 72h kryzysu: od wykrycia, przez lawinę medialną i regulacyjną pierwszej doby, po dni 2-3 z terminami RODO (72h). Testuje równolegle: reakcję techniczną, obowiązki regulacyjne (DORA/UKSC/GDPR/PSD2), komunikację z mediami i klientami oraz dylemat płacenia okupu — z ograniczeniem że przelewy SWIFT w weekend są wstrzymane.Exposed — wyciek danych medycznych MediNetMediNet · pełny kryzys 72hGra trwa ok. 3 hPełny kryzys — 72h fabuły. MediNet — sieć 40 przychodni — budzi się do wtorku rano z niepokojącym emailem od Niebezpiecznik.pl: dziennikarz ma sample 5000 rekordów pacjentów z PESEL-ami, diagnozami i wynikami badań. Jednocześnie na Twitterze pojawia się screenshot publicznie dostępnego bucketu S3 o nazwie 'medinet-backups-prod-emr-v2'. Dochodzenie wewnętrzne szybko ustali przyczynę: junior DevOps 6 tygodni temu podczas migracji ustawił na chwilę ACL:public-read i zapomniał. Sample jest prawdziwy. Obejmuje pełne 72h kryzysu: od wykrycia, przez lawinę medialną i regulacyjną pierwszej doby, po dni 2-3 z terminami RODO (72h). Testuje: zarządzanie kryzysem bez 'atakującego' z którym można negocjować, obowiązek powiadomienia UODO, zawiadomienie pacjentów (RODO art. 34) dla danych szczególnej kategorii, presję medialną od pierwszej minuty oraz długoterminowe accountability.

Poziom

łatwy — wszystkie terminy widoczne od początkuśredni — terminy odsłaniają się w trakcie gry

Role grane przez komputer

ZarządCISO / ITDział prawny

Gdy zespołowi brakuje osoby: komputer podejmuje decyzje tej roli według wzorcowej ścieżki. Ktoś, kto dołączy do tej roli, przejmie ją.

Liczba zespołów

Każdy zespół gra osobno, z własnym kodem. Najlepiej 3–6 osób w zespole.

Tworząc sesję, akceptujesz regulamin i politykę prywatności.

Chcesz używać CSIRT-Sim regularnie, bez limitów i na własnym serwerze? Kod jest otwarty: instrukcja instalacji Pytania i współpraca: contact@ksiezopolski.pl.