以前に特定されたインシデント シナリオに基づいて卓上ドリルを実行することは、ビジネスに影響を与えることなく BC および DR 計画の変更をテストする最善の方法です。これは、計画を実行し、ギャップや問題を特定するための低コストで低リスクの方法だからです。卓上ドリルは、さまざまな部門や役割から主要な担当者を集め、架空のインシデント シナリオにどのように対応するかを話し合う BC/DR 演習の一種です。卓上ドリルでは、実際のシミュレーションやシステムやプロセスの中断は行われず、口頭でのコミュニケーションとドキュメントの確認に依存します。卓上ドリルは、全員が BC/DR 計画に精通していること、計画が組織の現在の状態を反映していること、計画がさまざまな機能間で一貫して調整されていることを保証するのに役立ちます。その他のオプションは、コスト、リスク、またはビジネスへの影響が大きくなるため、卓上ドリルの実行ほど適切ではありません。
プライマリ データ センターの電源をシャットダウンしてインシデントをシミュレートすることは、重要なシステムまたはプロセスの実際の中断または停止を作成し、組織がどのように対応して回復するかを観察する BC/DR 演習の一種です。このタイプの演習では、BC/DR 機能の現実的な評価を提供できますが、ビジネス運営、顧客、評判に重大な影響を与える可能性もあります。
アクティブなワークロードをプライマリ データ センターからセカンダリ ロケーションに移行することは、BC/DR 演習の一種であり、システムまたはサイトを別のシステムまたはサイトに切り替え、バックアップ システムまたはサイトが通常の操作をサポートできることを確認する作業です。この種類の演習は、バックアップ システムまたはサイトの機能とパフォーマンスを検証するのに役立ちますが、コストが高くなり、複雑になり、エラーや障害が発生する可能性があります。現在の計画を以前のインシデントから学んだ教訓と比較することは、過去の経験と結果を見直し、ベスト プラクティスや改善の機会を特定する作業である BC/DR アクティビティの一種です。このアクティビティは、BC/DR 計画を更新および改良するのに役立ちますが、シミュレーションまたは実際のシナリオで計画をテストまたは検証するものではありません。

インシデント対応計画とは、セキュリティ侵害や攻撃に直面した組織が従う、事前に定義された一連の手順とガイドラインです。インシデント対応計画は、組織がインシデントを迅速かつ効果的に封じ込め、分析、根絶し、回復できるようにするとともに、ビジネス運営、評判、顧客への損害や影響を防止または最小限に抑えるのに役立ちます。また、インシデント対応計画では、インシデント対応チームの役割と責任、通信チャネルとプロトコル、エスカレーションと報告の手順、インシデント対応に使用できるツールとリソースも定義します。会社のインシデント対応計画に従うことで、管理者はセキュリティ インシデントを処理するためのベスト プラクティスと標準に従っていること、および関連する利害関係者や当局と調整および協力していることを確認できます。会社のインシデント対応計画に従うことで、インシデントから生じる可能性のある法的、規制的、または契約上の責任や罰則を回避または軽減することもできます。他のオプションは、会社のインシデント対応計画に従うほど効果的でも適切でもありません。社内のインシデント対応チームに通知する (A) ことは良いステップですが、会社のインシデント対応計画に従って行う必要があります。この計画では、報告する相手、時期、方法、内容が指定されている場合があります。最善のアプローチのために教訓を確認することは良いステップですが、アクティブ対応フェーズではなく、インシデントが解決されて終了した後に行う必要があります。アクセスがいつ開始されたかを特定する (D) ことは良いステップですが、インシデント対応計画の分析フェーズの一部として行う必要があり、計画に従う前に行うべきではありません。

アナリストは TTP (戦術、技術、手順) を作成します。TTP は、サイバー攻撃中に攻撃者が使用する動作、方法、パターンを表します。TTP に重点を置くことで、アナリストはシグネチャや IOC (侵害の兆候) などの静的な指標に頼るのではなく、観察された動作とパターンに基づいて悪意のあるアクティビティを識別する動的な検出戦略を開発できます。