Tabletop exercise — মহড়া, যোগাযোগ আর শেখা

১ · মহড়া কেন দরকার: চাপে পরিকল্পনা ভেঙে পড়ে

গার্মেন্টস কারখানার অগ্নি-মহড়ার কথা ভাবুন। দেয়ালে জরুরি নির্গমনের নকশা টাঙানো আছে। কিন্তু ঘণ্টা বাজলে দেখা গেল একটি দরজা কার্টনে আটকে আছে, আর নতুন কর্মীরা সিঁড়ি চেনেন না। আসল আগুনের আগেই এই ভুল ধরা পড়লে জীবন বাঁচে। মহড়ার কাজ ঠিক এটাই।

সাইবার ঘটনাতেও একই গল্প। Incident response পরিকল্পনা ফাইলে থাকে (পর্ব ৬১), ransomware-এর runbook-ও লেখা থাকে। তবু চাপের মুখে এমন সব ফাঁক দেখা যায়:

• পরিকল্পনাটি রাখা ছিল সেই server-এ, যেটি এখন অচল।
• জরুরি তালিকার ফোন নম্বরটি দুই বছর আগের কর্মীর।
• সবাই ধরে নিয়েছেন অন্য কেউ নেতৃত্ব দেবেন।
• System বন্ধ করার অনুমতি দিতে পারেন মাত্র একজন, আর তিনি বিমানে।
• Backup “আছে” বলা হয়েছে, কিন্তু ফেরাতে কত সময় লাগবে কেউ জানেন না।

কেন এমন হয়? চাপে মানুষের মনোযোগ সরু হয়, চেনা কাজে ফিরে যায়, আর সবচেয়ে জোরে বলা কথাই সিদ্ধান্ত হয়ে যায়। পরিকল্পনা লেখা হয় শান্ত মাথায়, কিন্তু ব্যবহার হয় রাত দুটোয়। মহড়া এই দুই অবস্থার ব্যবধান কমায়।

২ · মহড়ার ধরন: আলোচনা থেকে red team

সব মহড়া এক নয়। বাস্তবতা যত বাড়ে, খরচ আর ঝুঁকিও তত বাড়ে। তাই সিঁড়ির মতো ধাপে ধাপে ওঠা ভালো।

Live মহড়ার নিরাপত্তা

Tabletop-এ system ছোঁয়া হয় না। কিন্তু drill, functional বা red team-এ ভুল হলে সত্যিকারের বিভ্রাট ঘটতে পারে। তাই:

• লিখিত অনুমতি আর rules of engagement আগে থেকে চূড়ান্ত (পর্ব ৫০, পর্ব ৬)
• Production ছাড়া পরিবেশে আগে অনুশীলন, আর ফিরে আসার পথ আগেই পরীক্ষিত
• প্রতিটি বার্তায় “EXERCISE” লেখা, যেন কেউ আসল ভেবে বাইরে না পাঠান
• একটি থামার শব্দ ঠিক করা, যা শুনলে সবাই সঙ্গে সঙ্গে থামবেন
• আসল ঘটনা ঘটলে মহড়া বন্ধের নিয়ম, আর SOC-এর মধ্যে একজন trusted agent যিনি আগে থেকে জানেন

Cloud দলগুলো এমন live অনুশীলনকে অনেক সময় game day বলে। নিয়ন্ত্রিত ব্যর্থতার চর্চা Cloud & DevOps কোর্সের chaos পর্বে দেখতে পারেন।

৩ · একটি tabletop-এর নকশা

ভালো tabletop নাটকের রিহার্সালের মতো। পরিচালক জানেন কোন দৃশ্যে কী পরীক্ষা হবে, কিন্তু অভিনেতারা সংলাপ আগে থেকে পান না। সাতটি অংশ ঠিক থাকলে এক ঘণ্টাতেই অনেক শেখা যায়।

Inject-এর পুরো তালিকাকে অনেক জায়গায় MSEL বলা হয়। Inject লেখার তিনটি নিয়ম: প্রতিটি একটি লক্ষ্যের সাথে বাঁধা; প্রতিটিতে অন্তত দুটি যুক্তিসংগত পথ; আর উত্তর জানা থাকে এমন “ধরা পড়ার” প্রশ্ন নয়। কোনো মহড়াই হামলার কৌশল শেখানোর জায়গা নয়, তাই ঘটনা কীভাবে ঘটল তা ইচ্ছে করেই ঝাপসা রাখুন। আলোচনা হবে সাড়া নিয়ে।

সবচেয়ে বড় বিপদ সময়। প্রথম আলোচনা জমে গেলে শেষের inject আর পর্যালোচনা বাদ পড়ে, অথচ শেখার বড় অংশ সেখানেই। নিচের ছোট simulator একটি বানানো মহড়ার ঘড়ি চালায়। দুটি আলোচনা বেশি সময় নিয়েছে। প্রথমে facilitator কিছু করেন না, তারপর সময় ছেঁটে শেষের পর্যালোচনা বাঁচান।

// Toy exercise clock in minutes. Nothing here touches a real system.
const injects = [
  { id: 'I1', at: 5,  len: 10, text: 'orders fail, care team calls' },
  { id: 'I2', at: 15, len: 10, text: 'ransom note on order system' },
  { id: 'I3', at: 25, len: 10, text: 'backup job failed for 3 days' },
  { id: 'I4', at: 35, len: 10, text: 'customer post, journalist call' },
  { id: 'I5', at: 45, len: 7,  text: 'partner asks, owner unreachable' },
];
const HOTWASH_AT = 52, END = 60, MIN_TALK = 5;
const overrun = { I2: 4, I3: 3 };          // extra minutes people talked

function run(trim) {
  let clock = 5;
  injects.forEach((inj, i) => {
    const later = injects.length - i - 1;
    const wanted = inj.len + (overrun[inj.id] || 0);
    const budget = HOTWASH_AT - clock - later * MIN_TALK;
    const used = trim ? Math.max(MIN_TALK, Math.min(wanted, budget)) : wanted;
    const late = clock - inj.at;
    console.log(`  t=${String(clock).padStart(2)} ${inj.id} late ${late} talk ${used}  ${inj.text}`);
    clock += used;
  });
  console.log(`  t=${clock} hotwash, ${END - clock} min left`);
}
console.log('No time box:');
run(false);
console.log('Facilitator trims to protect the hotwash:');
run(true);

৪ · তৈরি ৬০ মিনিটের মহড়া: ঈদের সেলে ransomware

এই অংশটি প্রিন্ট করে নিজের দলে চালাতে পারেন। দোকান, মানুষ আর সংখ্যা সবই কাল্পনিক। ঘটনা কীভাবে ঘটল, তা এই মহড়ার বিষয় নয়, তাই কোনো কৌশলের বিবরণ নেই।

এবার পাঁচটি inject. Facilitator একটি করে পড়বেন, তারপর প্রশ্ন করবেন। “প্রত্যাশিত আলোচনা” অংশটি উত্তর-পত্র নয়, facilitator-এর স্মরণ-তালিকা।

এবার মহড়ার প্রথম ১৫ মিনিট ঘড়ি ধরে দেখুন। Facilitator কখন কথা বলেন আর কখন চুপ থাকেন, সেটি খেয়াল করুন।

৫ · সংকটের যোগাযোগ আর holding statement

পাড়ায় আগুন লাগলে মাইকে একজন বলেন, “কোথায় আগুন, কোন রাস্তা দিয়ে সরবেন, দমকল আসছে।” দশজন দশ রকম কথা বললে ভিড় আর ভয় বাড়ে। Crisis communication-এর কাজও এই: সবাই একই সঠিক কথা শুনবেন, ঠিক মানুষের মুখে, ঠিক সময়ে।

আক্রান্ত ইমেইল বা chat হয়তো হামলাকারীও পড়ছেন, তাই সংবেদনশীল কথা আলাদা out-of-band পথে চলুক। সেই পথ আগেই ঠিক করে পরীক্ষা করে রাখুন। বাংলাদেশে জাতীয় CIRT-কে জানানোর আইনি দিকটি পর্ব ৬-এ আলোচিত। এই পর্ব আইনি পরামর্শ নয়; কোন সংস্থা, কত সময়ে, তা নিজের ক্ষেত্রে আইনজীবীর সাথে ঠিক করুন।

Holding statement

Holding statement হলো সব তথ্য জানার আগের সংক্ষিপ্ত প্রথম বিবৃতি। এটি সবকিছুর উত্তর দেয় না। শুধু দেখায় যে আপনি জানেন, কাজ করছেন আর আবার কথা বলবেন। নীরবতার ফাঁকা জায়গা গুজব ভরে দেয়, আবার তাড়াহুড়ার ভুল আশ্বাস পরে ফিরে আসে। নিচের ধাপে বিশৃঙ্খল নোট থেকে একটি বিবৃতি তৈরি হচ্ছে।

রাত ১১:৪০ থেকে অর্ডার বন্ধ
সম্ভবত বিদেশি হ্যাকার
ডেটা নিয়েছে? নোটে দাবি, যাচাই হয়নি
Vendor-এর দোষ মনে হচ্ছে
সেবা আলাদা করা হয়েছে

জানা: ১১:৪০ থেকে অর্ডার বন্ধ, সেবা আলাদা
অজানা: ডেটার ওপর প্রভাব, কারণ
অনুমান (বাদ): কে করেছে, কার দোষ

আমরা নিশ্চিত হয়েছি যে রাত ১১:৪০ থেকে
অর্ডার সেবা বন্ধ আছে। কারণ আর প্রভাব
আমরা এখনো যাচাই করছি। সতর্কতা হিসেবে
আমরা সেবাটি আলাদা করেছি।

আমরা নিশ্চিত হয়েছি যে রাত ১১:৪০ থেকে
অর্ডার সেবা বন্ধ আছে। কারণ আর প্রভাব
আমরা এখনো যাচাই করছি। সতর্কতা হিসেবে
আমরা সেবাটি আলাদা করেছি।
অনুরোধ: কেউ ফোনে OTP চাইলে দেবেন না।

আমরা নিশ্চিত হয়েছি যে রাত ১১:৪০ থেকে
অর্ডার সেবা বন্ধ আছে। কারণ আর প্রভাব
আমরা এখনো যাচাই করছি। সতর্কতা হিসেবে
আমরা সেবাটি আলাদা করেছি।
অনুরোধ: কেউ ফোনে OTP চাইলে দেবেন না।
পরবর্তী আপডেট আজ 13:00-এ।

ঘটনার দিন নতুন করে লিখতে বসলে সময় নষ্ট হয়। শান্ত সময়ে template বানিয়ে রাখুন। নিচের খেলনা যাচাইকারী দুটি খসড়া পরীক্ষা করে: চারটি জরুরি অংশ আছে কি না, আর অনুমান, ভুল আশ্বাস, দোষারোপ বা কারও নাম ধরে অভিযোগের লক্ষণ আছে কি না।

// Toy checker for a holding statement. A human still decides.
const must = {
  'known fact':  /নিশ্চিত হয়েছি/,
  'action':      /আমরা .*(করেছি|করছি)/,
  'advice':      /অনুরোধ/,
  'next update': /পরবর্তী আপডেট.*\d{1,2}:\d{2}/,
};
const banned = {
  'speculation':     /সম্ভবত|মনে হচ্ছে/,
  'false assurance': /ফাঁস হয়নি|সম্পূর্ণ নিরাপদ/,
  'blame':           /দোষ/,
  'attribution':     /বিদেশি|হ্যাকার দল/,
};
const drafts = {
  A: 'সম্ভবত বিদেশি হ্যাকার দল হামলা করেছে। কোনো ডেটা ফাঁস হয়নি। ' +
     'এটি আমাদের সরবরাহকারীর দোষ।',
  B: 'আমরা নিশ্চিত হয়েছি যে রাত ১১:৪০ থেকে অর্ডার সেবা বন্ধ আছে। ' +
     'কারণ আর প্রভাব আমরা এখনো যাচাই করছি। ' +
     'সতর্কতা হিসেবে আমরা সেবাটি আলাদা করেছি। ' +
     'অনুরোধ: কেউ ফোনে OTP চাইলে দেবেন না। ' +
     'পরবর্তী আপডেট আজ 13:00-এ।',
};
for (const [name, text] of Object.entries(drafts)) {
  const missing = Object.keys(must).filter(k => !must[k].test(text));
  const flagged = Object.keys(banned).filter(k => banned[k].test(text));
  const ok = missing.length === 0 && flagged.length === 0;
  console.log(`Draft ${name}: ${ok ? 'READY FOR HUMAN REVIEW' : 'REWRITE'}`);
  console.log(`  missing: ${missing.join(', ') || 'none'}`);
  console.log(`  flagged: ${flagged.join(', ') || 'none'}`);
}

৬ · নেতৃত্ব, আইনজীবী আর decision log

নেতৃত্ব কেন বসবেন? বড় সিদ্ধান্তগুলো প্রযুক্তির নয়, ব্যবসার: সেল থামানো, মুক্তিপণ, ক্রেতাকে কী বলা, কত খরচ। মহড়ায় মালিক প্রথমবার বুঝতে পারেন, ৪ ঘণ্টার RTO শুধু একটি সংখ্যা ছিল। তাই বছরে অন্তত একবার নেতৃত্বের জন্য আলাদা, ছোট একটি মহড়া রাখুন। প্রযুক্তিগত খুঁটিনাটি বাদ দিন; আলোচনা হোক ক্ষমতা, খরচ, সুনাম আর আইনি দায় নিয়ে। আগে থেকে লিখে রাখুন, কোন সিদ্ধান্ত কার, আর তিনি না থাকলে কার।

Decision log হলো জাহাজের লগবইয়ের মতো। প্রতিটি বড় সিদ্ধান্তের সময়, কারণ আর সিদ্ধান্তদাতা লেখা থাকে। সংকট কেটে গেলে স্মৃতি বদলায়, লেখা বদলায় না। মহড়ায়ও একই ফরম্যাট ব্যবহার করুন, যাতে অভ্যাস তৈরি হয়। এতে আপনি দেখাতে পারবেন, সেই মুহূর্তের জানা তথ্যে সিদ্ধান্তটি কেন যুক্তিসংগত ছিল।

৭ · মহড়ার পরে: after-action report আর কাজের হিসাব

মহড়া শেষ হলো মানে কাজ অর্ধেক হলো। ঘরেই সঙ্গে সঙ্গে হয় hotwash: কী ভালো হয়েছে, কোথায় আরও প্রশিক্ষণ দরকার, পরিকল্পনার কোন অংশ বদলাতে হবে। স্মৃতি তাজা থাকতেই এটি করুন। এরপর কয়েক দিনের মধ্যে evaluator-এর খাতা থেকে তৈরি হয় after-action report, যাকে সংক্ষেপে AAR বলে।

ভালো AAR ছোট: লক্ষ্য, কী দেখা গেল, ফাঁক, সুপারিশ। HSEEP একে improvement plan-এর সাথে জুড়ে দেখে, যেখানে কাজ, মালিক আর সময় লেখা থাকে। লক্ষ্য ধরে নম্বর দিলে কোন ফাঁক আগে বন্ধ করতে হবে তা বোঝা যায়। নম্বরটি দল বা মানুষের মূল্যায়ন নয়।

// Toy evaluator sheet. target and seen are minutes on the exercise
// clock of one fictional run. null = never reached in the exercise.
const objectives = [
  { id: 'O1', name: 'incident lead named',       weight: 3, target: 15, seen: 12 },
  { id: 'O2', name: 'out-of-band channel works', weight: 2, target: 25, seen: 30 },
  { id: 'O3', name: 'restore time evidenced',    weight: 3, target: 35, seen: 55 },
  { id: 'O4', name: 'holding statement approved', weight: 2, target: 45, seen: 50 },
  { id: 'O5', name: 'notification path named',   weight: 2, target: 52, seen: null },
];
const mark = o => o.seen === null ? 0
  : o.seen <= o.target ? 2
  : o.seen <= o.target + 10 ? 1 : 0;

let got = 0, max = 0;
const rows = objectives.map(o => {
  const m = mark(o);
  got += m * o.weight;
  max += 2 * o.weight;
  return { ...o, m, gap: (2 - m) * o.weight };
});
rows.forEach(r => console.log(
  `${r.id} ${r.name.padEnd(27)} mark ${r.m}/2  weight ${r.weight}  gap ${r.gap}`));
console.log(`Weighted score: ${got}/${max} = ${(100 * got / max).toFixed(1)}%`);
const order = [...rows].filter(r => r.gap > 0).sort((a, b) => b.gap - a.gap);
console.log('Fix first: ' + order.map(r => `${r.id}(${r.gap})`).join(' > '));

ফাঁক পাওয়া সহজ, বন্ধ করা কঠিন। “Backup নিয়ে আরও সতর্ক হতে হবে” কোনো কাজ নয়, একটি ইচ্ছা। নিচে দেখুন একটি পর্যবেক্ষণ কীভাবে মালিকসহ কাজ হয়ে ওঠে।

কাজের তালিকা মাসিক সভায় দেখা উচিত, ঝুঁকির খাতার (পর্ব ৬৮) সাথে জুড়ে। নিচের tracker মহড়ার ৪৫ দিন পরের অবস্থা দেখায়।

// Toy after-action tracker. Days are counted from the exercise (day 0).
const today = 45;
const actions = [
  { id: 'A1', task: 'print contact sheet',    owner: 'ops lead', due: 7,  done: 5,    verified: true },
  { id: 'A2', task: 'timed restore test',     owner: 'IT lead',  due: 14, done: 20,   verified: true },
  { id: 'A3', task: 'statement template',     owner: 'comms',    due: 10, done: 9,    verified: false },
  { id: 'A4', task: 'backup alert to phone',  owner: 'IT lead',  due: 21, done: null, verified: false },
  { id: 'A5', task: 'cloud support contact',  owner: null,       due: 30, done: null, verified: false },
  { id: 'A6', task: 'repeat tabletop',        owner: 'CEO',      due: 90, done: null, verified: false },
];
const status = a => {
  if (!a.owner) return 'NO OWNER, escalate';
  if (a.done === null) return today > a.due ? `OVERDUE by ${today - a.due} days` : 'open, on time';
  if (!a.verified) return 'done, NOT verified';
  return a.done > a.due ? `closed, ${a.done - a.due} days late` : 'closed on time';
};
const counts = { closed: 0, attention: 0, open: 0 };
for (const a of actions) {
  const s = status(a);
  if (s.startsWith('closed')) counts.closed++;
  else if (s.startsWith('open')) counts.open++;
  else counts.attention++;
  console.log(`${a.id} ${a.task.padEnd(22)} ${(a.owner || '-').padEnd(9)} ${s}`);
}
console.log(`Day ${today}: closed ${counts.closed}, need attention ${counts.attention}, open ${counts.open}`);

৮ · ছোট দল, মানসিক নিরাপত্তা, vendor আর কত ঘন ঘন

পাঁচজনের দল, শূন্য বাজেট

মহড়ার জন্য দামি tool লাগে না। লাগে একটি চা-বিরতি, এক পাতা কাগজ আর একজন সময় ধরার মানুষ। ৩০ মিনিটের একটি সংস্করণ:

• একটি লক্ষ্য: যেমন “ফোন নম্বর হাতে আছে কি না।”
• দুটি inject: “Website খুলছে না” আর “একজন কর্মীর ইমেইল থেকে অদ্ভুত বার্তা গেছে।”
• ভূমিকা ভাগ: কেউ facilitator আর evaluator দুটিই হবেন না। পাঁচজনের দলে পালা করে করুন।
• ফল: শেষে তিনটি কাজ, প্রত্যেকটির মালিক আর তারিখ। একটি শেয়ার্ড শিট বা খাতাই যথেষ্ট।

আটজন দেড় ঘণ্টা বসলে খরচ ১২ জন-ঘণ্টা। এই হিসাবটি নেতৃত্বকে দেখান, পাশে রাখুন এক দিন বন্ধ থাকলে ক্ষতির হিসাব।

কথা বলার নিরাপত্তা

কনিষ্ঠ কর্মী যদি ভাবেন, “ভুল ধরলে আমারই বিপদ”, তবে মহড়া শুধু অভিনয় হবে। Psychological safety মানে দলে এই বিশ্বাস যে প্রশ্ন, ভুল বা আপত্তি জানালে কেউ হেনস্তা হবেন না। Amy Edmondson-এর ১৯৯৯ সালের গবেষণা এই ধারণাকে দলের শেখার আচরণের সাথে যুক্ত করে দেখায়। তাই:

• মহড়ার ফল দিয়ে কারও মূল্যায়ন করবেন না, এটি শুরুতে নেতৃত্বের মুখ থেকেই বলা ভালো।
• AAR-এ মানুষের নাম নয়, ভূমিকা আর প্রক্রিয়া লিখুন।
• নেতা নিজের ভুল আগে স্বীকার করলে অন্যরা সাহস পান।
• ফলের মান বজায় রাখুন: দোষ না দেওয়া মানে দায়িত্ব না থাকা নয়। পর্ব ৫৪-এর just culture এই ভারসাম্যই শেখায়।

Cloud provider আর vendor

আপনার সংকটে অন্যের ভূমিকাও থাকে। Vendor বা payment partner হয়তো মহড়ায় বসবে না, তবু তার অংশটি পরীক্ষা করুন: support-এর পথ কী, জরুরি যোগাযোগ কার সাথে, চুক্তিতে সাড়ার সময় কত, log চাইলে কত দিনের পাওয়া যাবে, কে কোন দায়িত্বে। Cloud-এ দায়িত্ব ভাগ করা থাকে (পর্ব ৭২), তাই provider আপনার ডেটা নিজে থেকে ফেরাবে, এমন ধরে নেবেন না। গুরুত্বপূর্ণ vendor-কে বছরে একবার ৩০ মিনিটের যৌথ মহড়ায় ডাকুন। Provider-এর system-এ live পরীক্ষার আগে তার পরীক্ষা-নীতি পড়ুন আর অনুমতি নিন। Vendor ঝুঁকির পুরো আলোচনা পর্ব ৭১-এ।

কত ঘন ঘন

একক সঠিক সংখ্যা নেই। একটি যুক্তিসংগত শুরু:

কিছু কাঠামো নিয়ম নির্দিষ্ট করে। যেমন PCI DSS কার্ড-তথ্যের পরিবেশে incident response পরিকল্পনা অন্তত ১২ মাসে একবার পরীক্ষা করতে বলে। আপনার ক্ষেত্রে কী প্রযোজ্য, তা বর্তমান সংস্করণ দেখে মিলিয়ে নিন। ঈদ বা বড় সেলের মতো ব্যস্ত সময়ের আগেই মহড়া সেরে ফেলুন, সেলের মাঝে নয়।

৯ · AI-এর যুগে মহড়া

পরিস্থিতির খসড়া, inject-এর ধারণা আর AAR-এর গোছানো ভাষা, এসব কাজে AI সময় বাঁচায়। ভুল হয় সেখানে, যেখানে আইন, সময়সীমা বা আপনার ব্যবসার তথ্য লাগে।

AI ব্যবহারের চেকলিস্ট

• পরিস্থিতি কাল্পনিক; আসল নাম, ডেটা বা গোপন key পেস্ট করিনি
• Inject-এর প্রতিটি তথ্য আমার ব্যবসার বাস্তবতার সাথে মিলিয়েছি
• প্রতিটি আইন, standard আর সময়সীমা মূল উৎসে দেখেছি
• বিবৃতির প্রতিটি বাক্যের প্রমাণ দেখাতে পারি
• মানুষের ওপর প্রভাব ফেলে এমন সিদ্ধান্ত মানুষ নিয়েছেন আর লিখে রেখেছেন