CISA a găzduit în săptămâna 18 septembrie 2026 exercițiul Cyber Storm X: patru zile, aproximativ 2.000 de participanți și peste 200 de organizații din toate nivelurile administrației și din mediul privat. Este a zecea ediție dintr-un program care rulează o dată la doi ani din 2006. Scenariul: un adversar statal care vizează transportul — feroviar și porturi — și sectorul de apă și canalizare.
Cifrele sunt interesante, dar nu transferabile. Ce este transferabil e structura. Iar aici merită preluate câteva decizii de proiectare pe care le ia un exercițiu de asemenea anvergură și pe care aproape nimeni nu le ia într-o sală de ședințe de firmă.
Ce face un exercițiu bun, indiferent de scară
- Se joacă în timp real, nu se povestește. Potrivit relatărilor, Cyber Storm X înseamnă patru zile de „live play”, nu o prezentare despre ce s-ar întâmpla.
- Nu participă doar tehnicienii. La masă stau reprezentanți din juridic, comunicare de criză, IT, conducere și răspuns tehnic. Un exercițiu la care vine doar IT-ul testează doar IT-ul.
- Oamenii sunt organizați în grupuri de lucru, pe comunități de interes, nu într-o singură discuție unde vorbește cel mai vocal.
- Se produce un rezultat scris. CISA anunță că va lucra cu participanții pentru a identifica lecțiile învățate și va publica un raport post-acțiune cu observații, analize și recomandări.
- Se repetă. O dată la doi ani, de douăzeci de ani. Un exercițiu făcut o singură dată este o activitate de team building.
Ultimele două puncte sunt cele mai des ratate. Multe organizații fac un exercițiu, toată lumea iese mulțumită, nimeni nu scrie nimic și peste un an nimeni nu mai știe ce s-a decis. Fără document și fără repetare, exercițiul nu a produs nimic durabil.
Cele cinci întrebări de guvernanță
Publicația TechTarget, analizând exercițiul, propune cinci întrebări pe care o companie ar trebui să le testeze sub presiune. Este analiza publicației, nu o recomandare a CISA, dar sunt exact întrebările care blochează o criză reală:
- Cine are autoritatea să oprească un sistem care produce venit? Nu cine ar trebui, ci cine efectiv poate decide la ora trei dimineața.
- Din ce moment preia controlul departamentul juridic?
- Cine stabilește dacă incidentul este semnificativ și declanșează obligația de notificare?
- Cine comunică public atunci când faptele sunt încă incomplete?
- Cine informează conducerea și acționarii despre riscul operațional, în timp real?
Recomandarea aceleiași analize este să depășești plimbarea prin scenariu și să introduci fricțiune reală — situații care se suprapun: credențiale compromise, un furnizor afectat și o întrerupere vizibilă pentru clienți, toate în același timp. În realitate lucrurile nu vin pe rând.
Cum scalezi asta la 30 de oameni
Nu ai nevoie de patru zile. Ai nevoie de nouăzeci de minute și de disciplina de a nu transforma exercițiul într-o ședință.
- Invită cinci roluri, nu cinci persoane din IT: cineva din conducere, cineva din juridic sau conformitate, cineva din financiar, cineva din comunicare sau relații cu clienții și cineva din IT.
- Pregătește trei injecturi scrise dinainte și nu le arăta în avans. Fiecare se dă la un interval fix.
- Pentru fiecare injecture cere cinci lucruri: decizia, responsabilul, termenul, dovada și pragul la care se escaladează.
- Numește pe cineva care doar notează — nu participă la discuție, doar consemnează deciziile și întrebările fără răspuns.
- La final, o singură pagină: ce am decis, ce nu am putut decide și cine rezolvă asta până când.
- Pune data următorului exercițiu în calendar înainte să iasă lumea din sală.
O coincidență care merită privită corect
Scenariul acestei ediții a inclus sectorul de apă și canalizare. În aceeași perioadă, biroul guvernatorului statului Colorado a comunicat că actori străini au manipulat în august echipamente la doi mici furnizori de apă potabilă. Cele două sunt evenimente separate: Cyber Storm se planifică cu mult timp înainte și rulează la doi ani. Nicio sursă nu sugerează că exercițiul ar fi fost o reacție la acele incidente.
Coincidența rămâne totuși utilă ca argument intern, atunci când cineva întreabă de ce să pierzi nouăzeci de minute cu un scenariu care „oricum nu ni se va întâmpla nouă”.
Ce măsori
- Câte dintre cele cinci roluri au fost efectiv prezente, nu invitate.
- Numărul de decizii luate în timpul exercițiului, față de numărul de discuții amânate.
- Timpul până la prima decizie corectă după fiecare injecture.
- Numărul de întrebări rămase fără răspuns și câte dintre ele au primit un responsabil și un termen.
- Dacă raportul de o pagină a fost scris în aceeași zi.
- Dacă data următorului exercițiu era în calendar la plecarea din sală.
Rezultatele Cyber Storm X nu sunt încă publice — raportul post-acțiune urmează. Dar lecția de proiectare nu are nevoie de el: un exercițiu contează prin cine participă, prin ce se scrie la final și prin faptul că se repetă. Restul este decor.