Retrospektywa reagowania na incydenty

Wyciągaj wnioski z każdego incydentu, zanim nadejdzie następny

Zapraszamy do obejrzenia tej retrospektywy na żywo

Przegląd incydentów

Jakie incydenty wystąpiły w omawianym okresie?

W zeszłym tygodniu mieliśmy atak DDoS, przez który nasza strona była niedostępna przez 2 godziny.
W jednej z naszych aplikacji webowych wykryto krytyczną lukę bezpieczeństwa, co doprowadziło do wycieku danych.
Awaria zasilania w naszym głównym centrum danych spowodowała kilkugodzinne przerwy w działaniu usług.
Co poszło dobrze

Które elementy reakcji na incydent okazały się skuteczne?

Nasz zespół reagowania na incydenty szybko się zmobilizował i działał zgodnie z ustalonymi procedurami.
Kanały komunikacji sprawdziły się i przez cały incydent interesariusze byli na bieżąco.
Szybko ustaliliśmy przyczynę źródłową, dzięki czemu mogliśmy wdrożyć ukierunkowane rozwiązanie.
Obszary do poprawy

Które elementy reakcji na incydent można poprawić?

W naszym planie reagowania na incydenty brakowało jasnych ścieżek eskalacji dla niektórych typów incydentów.
Mieliśmy opóźnienia w ściąganiu potrzebnych zasobów i ekspertów dziedzinowych.
Komunikacja między zespołami była rozproszona, co powodowało zamieszanie i dublowanie pracy.
Działania

Jakie konkretne działania poprawią nasze reagowanie na incydenty?

Zaktualizować plan reagowania na incydenty o jasne role, obowiązki i ścieżki eskalacji.
Regularnie przeprowadzać ćwiczenia sztabowe i symulacje, aby sprawdzać naszą gotowość do reagowania na incydenty.
Wdrożyć jedną, centralną platformę do komunikacji i współpracy przy obsłudze incydentów.
Wyciągnięte wnioski

Jakie wnioski możemy wyciągnąć z tego incydentu?

Regularne szkolenia z bezpieczeństwa dla wszystkich pracowników opłaciły się, gdy pojawiły się maile phishingowe.
Aktualna dokumentacja i baza wiedzy są niezbędne do skutecznego reagowania na incydenty.
Inwestycja w dobre systemy monitorowania i wykrywania może znacznie skrócić czas reakcji na incydenty.
Opinie interesariuszy

Jak usprawnić komunikację i współpracę z interesariuszami podczas incydentów?

Utworzyć osobny kanał komunikacji, w którym interesariusze dostają regularne aktualizacje podczas incydentów.
Przygotować szablony jasnych i zwięzłych raportów o stanie incydentu, dopasowanych do różnych grup interesariuszy.
Organizować spotkania podsumowujące z interesariuszami po incydencie, aby zebrać opinie i poprawić współpracę.

Czym jest retrospektywa reagowania na incydenty?

Retrospektywa reagowania na incydenty to spotkanie organizowane po incydencie lub serii incydentów, na którym zespół przygląda się temu, jak zareagował. Omawiacie, co się wydarzyło, co pomogło, co przeszkadzało i co warto zmienić, aby następna reakcja była szybsza i spokojniejsza. Tablica składa się z sześciu tematów. Przegląd incydentów nadaje kontekst dzięki krótkiemu podsumowaniu każdego incydentu. Co poszło dobrze i Obszary do poprawy dotyczą samej reakcji, od tego, jak szybko ludzie się zmobilizowali, po to, czy monitoring wychwycił problem. Działania zamieniają ustalenia w konkretne zmiany, Wyciągnięte wnioski zbierają szersze obserwacje, a Opinie interesariuszy pokazują, jak dobrze informowaliście klientów i współpracowników. Nie szukajcie winnych. Celem jest znalezienie przyczyn w systemach i procesach, takich jak brak ścieżki eskalacji czy nieaktualne runbooki, a nie wskazanie osoby, która zawiniła. Przeprowadzajcie ją wkrótce po każdym poważnym incydencie, a także regularnie, aby dostrzegać wzorce powtarzające się w różnych incydentach.

Format retrospektywy reagowania na incydenty

Przegląd incydentów

Jakie incydenty wystąpiły w omawianym okresie?

Zacznij od krótkiego podsumowania każdego incydentu: co się stało, kiedy i kogo to dotknęło, tak aby wszyscy mieli ten sam kontekst przed rozpoczęciem dyskusji.

Co poszło dobrze

Które elementy reakcji na incydent okazały się skuteczne?

Poproś uczestników o wskazanie działań i decyzji, które pomogły, aby zespół wiedział, co robić dalej przy następnej okazji.

Obszary do poprawy

Które elementy reakcji na incydent można poprawić?

Zachęć do szczerych opinii na temat reakcji i pilnuj, aby rozmowa dotyczyła procesu, a nie konkretnych osób.

Działania

Jakie konkretne działania poprawią nasze reagowanie na incydenty?

Zamień ustalenia w konkretne, mierzalne usprawnienia i każdemu przypisz właściciela.

Wyciągnięte wnioski

Jakie wnioski możemy wyciągnąć z tego incydentu?

Oderwij się od szczegółów i zapytaj, co ten incydent mówi o sposobie pracy zespołu w szerszym ujęciu.

Opinie interesariuszy

Jak usprawnić komunikację i współpracę z interesariuszami podczas incydentów?

Spójrz na incydent z perspektywy klientów, kierownictwa i innych zespołów. Co musieli wiedzieć i kiedy się o tym dowiedzieli?

Kiedy należy skorzystać z niniejszego przeglądu retrospektywnego

  • Po poważnym incydencie lub naruszeniu bezpieczeństwa, aby omówić reakcję i znaleźć obszary do poprawy.
  • Regularnie, na przykład co kwartał, aby przeanalizować reagowanie na kilka incydentów jednocześnie.
  • Przy wprowadzaniu nowych technologii, systemów lub procesów, które zmieniają sposób reagowania na incydenty.
  • Po reorganizacji, która dotyka zespołów lub procesów reagowania na incydenty.
  • Jako element programu szkoleń i przygotowania do reagowania na incydenty.

Proponowane pytania lodołamacze

  • Gdybyś mógł mieć supermoc pomocną przy reagowaniu na incydenty, jaka by to była i dlaczego?
  • Podziel się zabawną lub zapadającą w pamięć historią z reagowania na incydent (bez ujawniania poufnych informacji).

Czy chciałby Pan/Pani, aby Państwa zespół wykonał ćwiczenie rozgrzewkowe, a nie tylko odpowiadał na pytania na głos? Przejrzyj bezpłatne lodołamacze →

Pomysły i wskazówki dotyczące spotkania retrospektywnego

  • Nie szukajcie winnych, wtedy ludzie opiszą, co naprawdę się wydarzyło, łącznie z własnymi błędami.
  • Zaproś osoby ze wszystkich zespołów zaangażowanych w reakcję oraz kluczowych interesariuszy.
  • Przynieś dane z incydentu, takie jak oś czasu, alerty i czas rozwiązania, aby poprzeć to, co mówią uczestnicy.
  • Uszereguj działania według przewidywanego efektu i łatwości wdrożenia.
  • Każdemu usprawnieniu przypisz właściciela i termin.
  • Zacznij od sprawdzenia działań z poprzedniej retrospektywy incydentu.

Najczęściej zadawane pytania

Czym jest retrospektywa reagowania na incydenty?
To zespołowa dyskusja po incydencie, podczas której omawia się, co się wydarzyło, ocenia skuteczność reakcji i uzgadnia usprawnienia. Ten szablon obejmuje tematy: Przegląd incydentów, Co poszło dobrze, Obszary do poprawy, Działania, Wyciągnięte wnioski i Opinie interesariuszy.
Kiedy przeprowadzić retrospektywę reagowania na incydenty?
Przeprowadź ją wkrótce po rozwiązaniu incydentu, dopóki szczegóły są świeże. Dzięki temu wnioski są trafne, a działania zostaną wdrożone przed kolejnym incydentem.
Co powinna obejmować retrospektywa reagowania na incydenty?
Powinna obejmować to, jakie incydenty wystąpiły, co w reakcji zadziałało dobrze, co można poprawić, konkretne działania, wyciągnięte wnioski oraz opinie interesariuszy, których incydent dotknął.
Czy retrospektywa incydentu to to samo co postmortem?
Te pojęcia się pokrywają i wiele zespołów używa ich zamiennie. Postmortem to często pisemna analiza jednego incydentu, a ta retrospektywa to spotkanie zespołu, na którym omawia się reakcję i uzgadnia zmiany. Może też obejmować kilka incydentów naraz.
Ile trwa retrospektywa reagowania na incydenty?
Na jeden poważny incydent zaplanuj 60–90 minut. Przeglądy obejmujące kilka incydentów z kwartału zwykle wymagają więcej czasu lub osobnej sesji poświęconej działaniom.

Powiązane szablony

Retrospektywa procesu rozwoju produktu

Oderwij się od sprintów i sprawdź, jak tworzycie produkty.

Przegląd zarządzania dostawcami

Sprawdź, jak naprawdę pracują dla Ciebie Twoi dostawcy

Retrospektywa procesu eskalacji

Przeanalizuj, jak obsłużono ostatnie eskalacje, i usuń luki.

Przegląd efektywności operacyjnej

Znajdź wąskie gardła w procesach i ustal, jak je usunąć.

Czy są Państwo gotowi do przeprowadzenia tej retrospektywy?Zapraszamy do obejrzenia tej retrospektywy na żywo