ГОТОВНОСТЬ
Двадцать минут до начала игры. Ни одного броска, ни одного противника, ни одной новости. Пять цифр на листе бумаги.
Это самая важная часть сессии, и почти каждый стол понимает это только в пятом блоке.
Что это такое
Фаза бюджета — создание персонажа для всей команды сразу.
Каждый игрок делает своего персонажа сам: класс, характеристики, специализация. Готовность делается один раз и общая. Она описывает не людей, а компанию, в которой они работают: какие данные записываются, что можно восстановить, куда противник дойдёт за один шаг, чем подтверждается, что вы — это вы, и кто отвечает на звонок журналиста.
Механически это ±5 пунктов сложности на каждый бросок в соответствующей области. Практически — это разница между «справились» и «не справились».
Правило: бюджет распределяется до того, как команда узнает сценарий. Известны только отрасль и то, что в этом году был серьёзный инцидент у конкурента. В этом весь урок: бой проигран за полгода до атаки.
Правила распределения
| Треков | 5 |
| Значение трека | от 0 до 5 |
| Старт | все треки на 1 |
| Бюджет | 10 очков |
| Ограничение | не больше 4 очков в один трек (то есть максимум трек 5) |
| Итог | сумма всех треков ровно 15 |
| Кто решает | стол целиком, вслух, консенсусом. Директор имеет право финального слова |
| Время | 20 минут, и это жёсткий таймер |
Ноль в таблице модификаторов существует не для фазы бюджета, а для игры: действие противника «Ослепить» снижает трек ЛОГИ на 1 до конца сессии, и трек 1 после этого превращается в трек 0.
Модификатор DC
Модификатор = 3 − значение трека.
| Трек | 0 | 1 | 2 | 3 | 4 | 5 |
|---|---|---|---|---|---|---|
| К DC | +3 | +2 | +1 | 0 | −1 | −2 |
Читается так: трек 3 — это нормально, всё считается по базовой таблице сложности. Трек 5 — DC 16 превращается в DC 14. Трек 1 — DC 16 превращается в DC 18.
Разница между треком 1 и треком 5 — четыре пункта DC, то есть двадцать процентов вероятности на каждом броске в этой области. За семь блоков это примерно два-три исхода, изменённых на противоположные.
Что делает каждый трек
| Трек | На что влияет | Проявляется в блоках |
|---|---|---|
| ЛОГИ | Все действия АНАЛИЗ: расследование, поиск вектора, таймлайн, объём | 1–4 |
| БЭКАПЫ | ВОССТАНОВЛЕНИЕ. Стартовое значение после шифрования = БЭКАПЫ − 1 | 5–7 |
| СЕГМЕНТАЦИЯ | ЛОКАЛИЗАЦИЯ. При треке 2+ противник продвигает РАСПРОСТРАНЕНИЕ на 1 медленнее; при треке 4+ оно вдобавок не растёт первые два блока | 2–5 |
| IDENTITY | Противодействие закреплению и повышению привилегий | 1–7 |
| КОММУНИКАЦИИ | Всё внешнее: пресса, регулятор, клиенты, сотрудники | 3–7 |
Колонка справа объясняет, почему обсуждение всегда идёт неправильно. ЛОГИ окупаются в первых блоках, когда всё решается, — поэтому их переоценивают. КОММУНИКАЦИИ окупаются в конце, когда уже поздно что-то менять, — поэтому их недофинансируют.
Как это обсуждать
Двадцать минут, семь человек, ноль информации о сценарии. Ниже — порядок, который работает.
Шаг 1 · Три минуты: каждый называет свой страх
По кругу, одно предложение, без обсуждения. Формула: «Больше всего я боюсь, что...»
- «...мы не поймём, откуда он вошёл, и всё повторится через месяц»
- «...производство встанет, а мы не сможем сказать, когда запустится»
- «...данные утекут, и мы узнаем об этом из новостей»
- «...мы вообще ничего не увидим»
Это не голосование. Это способ вытащить на стол разные модели угрозы, которые есть у семи разных людей, до того как начнётся торговля цифрами.
Шаг 2 · Пять минут: что вы знаете о себе
Известно немного, и это специально. Известно вот что:
- вы производственно-логистический конгломерат: четыре завода, одиннадцать распределительных центров, автономный транспорт, около двенадцати миллионов записей клиентов;
- одна из площадок работает в непрерывном цикле — её остановка стоит сорока часов перезапуска;
- в этом году был серьёзный инцидент у конкурента по отрасли;
- у вас 40 000 сотрудников, из них 900 в ИТ и 60 в безопасности.
Из этого следует ровно три вещи, и их стоит проговорить вслух:
- У вас есть физические последствия. Не только данные и репутация — реальные линии, которые останавливаются.
- У вас есть клиенты-физлица. Двенадцать миллионов записей — это регуляторный объём.
- У вас большая поверхность подрядчиков. Логистика и производство означают десятки внешних организаций с доступом.
Шаг 3 · Семь минут: торговля
Правила разговора, которые стоит объявить заранее:
- Каждое предложение — с обоснованием. Не «давайте логи на пять», а «логи на пять, потому что без них мы не построим таймлайн, а без таймлайна не поймём объём».
- На каждый трек находится защитник. Если у трека нет защитника — он получает 1, и это осознанное решение, а не забывчивость.
- Формулировка отказа обязательна. Тот, кто предлагает оставить трек на 1, произносит вслух: «мы сознательно принимаем риск в этой области». Эта фраза потом всплывёт на дебрифе, и это полезно.
Шаг 4 · Три минуты: фиксация и подпись
Директор объявляет итог вслух. Все повторяют цифры за ним. Записываете на общий лист, который лежит на столе на виду всю игру.
💡 Совет: отдельной строкой запишите, на какой трек вы поставили меньше всего и почему. Одно предложение. В конце игры фасилитатор попросит его зачитать, и это будет самая полезная минута дебрифа.
Чего делать нельзя
- ✗ Спрашивать фасилитатора, что будет. Он не ответит, и правильно сделает.
- ✗ Ждать «оптимальной» раскладки. Её не существует. Существуют разные способы проиграть и разные способы выжить.
- ✗ Растягивать обсуждение. Двадцать минут — это ровно столько, сколько нужно. Час обсуждения не даёт лучшего результата, он даёт усталость до первого блока.
- ✗ Голосовать молча. Если решение принято без произнесённого обоснования, на дебрифе никто не вспомнит, почему так вышло.
Три типовых раскладки
Все три суммируются в 15. Все три встречались за реальными столами. Ни одна не является правильной.
Раскладка А · «Мы всё увидим»
| Трек | Значение | Модификатор DC |
|---|---|---|
| ЛОГИ | 5 | −2 |
| СЕГМЕНТАЦИЯ | 4 | −1 |
| IDENTITY | 3 | 0 |
| БЭКАПЫ | 2 | +1 |
| КОММУНИКАЦИИ | 1 | +2 |
Кто так делает. Стол, где большинство — технические специалисты, и особенно стол, где кто-то работал в мониторинге. Логика безупречна: нельзя реагировать на то, чего не видишь.
Как ощущается игра. Первые три блока — прекрасно. КАРТИНА растёт быстро, Охотник закрывает шестнадцатки с восьмёрки, Форензик строит хронологию на 365 дней, вектор находится в блоке 3. Команда испытывает редкое и приятное ощущение контроля.
Где ломается. В блоке 4, когда становится ясно, что понимать и останавливать — разные глаголы.
- БЭКАПЫ 2 означают, что после шифрования ВОССТАНОВЛЕНИЕ стартует с единицы. Пять сегментов до нормальной работы, по одному за успешное действие, без бонуса за проверенные копии. Это пять блоков, а у вас их три.
- КОММУНИКАЦИИ 1 означают, что «Встречный нарратив» Голоса работает на минимуме, внеполосной связи нет (и после шифрования вся команда получает −2 ко всем броскам), а список контактов регуляторов годичной давности.
Чем кончается. Команда точно знает, что произошло, в мельчайших деталях, и не может ни быстро восстановиться, ни объяснить это наружу. На дебрифе звучит фраза: «мы написали отличный отчёт о том, как нас разобрали на части».
📚 Отсюда это растёт: видимость приятно ощущается как контроль, и это одна из самых устойчивых иллюзий отрасли. Организация, которая инвестировала в обнаружение и не инвестировала в восстановление, обнаруживает инцидент быстро и переживает его долго. Средства обнаружения не сокращают время простоя — они сокращают время до начала простоя.
Раскладка Б · «Нас не остановят»
| Трек | Значение | Модификатор DC |
|---|---|---|
| БЭКАПЫ | 5 | −2 |
| СЕГМЕНТАЦИЯ | 4 | −1 |
| ЛОГИ | 3 | 0 |
| IDENTITY | 2 | +1 |
| КОММУНИКАЦИИ | 1 | +2 |
Кто так делает. Стол, который в прошлом году читал новости про вымогателей. Или стол, где сидит человек, лично переживший шифрование.
Как ощущается игра. Первые два блока тревожно: КАРТИНА растёт медленно, вектор не находится, IDENTITY на двойке даёт противнику собирать учётные данные почти беспрепятственно. Зато когда наступает шифрование — а оно наступает — команда переживает его почти без потерь: ВОССТАНОВЛЕНИЕ стартует с четвёрки, каждое действие даёт на сегмент больше, доступен капстон «С нуля».
Где ломается. Ровно там, где и должно: шифрование не было целью.
- Данные ушли раньше. Часы ВЫГРУЗКА заполнялись, пока команда разбиралась с локализацией, и восстановление на них не влияет никак.
- КОММУНИКАЦИИ 1 плюс заполненная ВЫГРУЗКА — это публикация. Компания восстановилась за полтора дня и следующие три месяца объясняется.
Чем кончается. Производство работает, отчётность в порядке, ПУБЛИЧНОСТЬ 6, и второй фронт — пресса, клиенты, регулятор — открыт полностью. На дебрифе: «мы выиграли ту войну, к которой готовились».
📚 Отсюда это растёт: модель «выкачал — зашифровал — опубликовал» стала отраслевым стандартом вымогателей именно потому, что резервное копирование начало работать. Смысл прямой: восстановились — прекрасно, а данные всё равно у нас. Организация с образцовыми копиями и без плана коммуникаций переживает техническую часть инцидента и не переживает публичную.
Раскладка В · «Ровно по три»
| Трек | Значение | Модификатор DC |
|---|---|---|
| ЛОГИ | 3 | 0 |
| БЭКАПЫ | 3 | 0 |
| СЕГМЕНТАЦИЯ | 3 | 0 |
| IDENTITY | 3 | 0 |
| КОММУНИКАЦИИ | 3 | 0 |
Кто так делает. Стол, который не смог договориться, и стол, который хорошо считает вероятности. Это два очень разных стола с одинаковой раскладкой.
Как ощущается игра. Ровно и без чудес. Все броски по базовой таблице сложности: DC 13 — это DC 13. Ни одного места, где вы проваливаетесь автоматически, ни одного, где справляетесь легко.
Что вы получаете:
- ЛОГИ 3 — SIEM работает, детекционный инженер может писать правила, хранение 90 дней;
- БЭКАПЫ 3 — тестовое восстановление, золотые образы, доступен капстон Инженера, каждое действие на восстановление даёт +1 сегмент сверх обычного;
- СЕГМЕНТАЦИЯ 3 — микросегментация, доступна «Аварийная перегородка», и «Расползтись» уже даёт +1 вместо +2; порог 4 не взят, поэтому нет двухблочного стартового заслона и безопасного «Рубильника»;
- IDENTITY 3 — управление привилегированным доступом, автоматическое закрепление отменено;
- КОММУНИКАЦИИ 3 — внеполосная связь есть, контакты регуляторов есть.
Где ломается. Ни одного пройденного порога. Механика треков нелинейна: 4 и 5 открывают качественные эффекты, которых нет на 3.
| Порог | Что даёт | Есть при раскладке В? |
|---|---|---|
| СЕГМЕНТАЦИЯ 4 | РАСПРОСТРАНЕНИЕ не растёт первые два блока; Рубильник без побочного ущерба | нет |
| IDENTITY 4 | Сброс паролей действительно обрывает доступ | нет |
| ЛОГИ 4 | Хронология на 365 дней; «Нулевой день» без ограничений | нет |
| БЭКАПЫ 4 | Противник не может уменьшать ВОССТАНОВЛЕНИЕ | нет |
| КОММУНИКАЦИИ 4 | ПУБЛИЧНОСТЬ не растёт от нарушенного порядка уведомления | нет |
| IDENTITY 5 | Противник не может «Собрать креды» вообще | нет |
Чем кончается. Игра без катастрофы и без победы. Команда всё делает наполовину, ничего не проваливает окончательно, ничего не решает окончательно. На дебрифе это самая честная и самая скучная раскладка: она не показывает ни одного урока крупным планом.
⚠ Внимание: равномерность — легитимный выбор и часто разумный в реальности. Но за игровым столом она снижает обучающую ценность сессии: уроки видны там, где решение имело последствия. Если стол выбирает 3/3/3/3/3 из-за того, что не смог договориться, — это тревожный сигнал, и фасилитатор обязан его отметить на дебрифе.
Ещё четыре формы, которые встречаются
| Раскладка | Л / Б / С / I / К | Что происходит |
|---|---|---|
| «Крепость» | 1 / 2 / 4 / 5 / 3 | Противник почти не может войти и закрепиться. Если всё-таки вошёл — вы его не увидите и не восстановитесь |
| «Пиарщики» | 2 / 3 / 2 / 3 / 5 | Снаружи вы образцовые. Внутри всё горит. Кредит доверия тратится один раз |
| «После аудита» | 4 / 4 / 3 / 3 / 1 | Куплено то, что проверяет аудитор. Не куплено то, что звонит журналисту |
| «Всё в идентичность» | 2 / 3 / 2 / 5 / 3 | Самая недооценённая раскладка. В мире 2094 года IDENTITY — единственный трек, который по-настоящему имеет значение; все остальные про последствия его провала |
Что покупать первым
Ответа нет. Есть последствия, и они разные.
| Вложились в | Игра ощущается как | Провалитесь на |
|---|---|---|
| ЛОГИ | Вы всё видите и ничего не можете остановить | Локализации и восстановлении |
| БЭКАПЫ | Вы переживёте шифрование почти без потерь | Расследовании: не поймёте, откуда пришли, и всё повторится |
| СЕГМЕНТАЦИЯ | Противник заперт в одной комнате | Публичности: заперт — не значит не выкачал |
| IDENTITY | Противник не может закрепиться | Всём остальном, если он всё-таки вошёл |
| КОММУНИКАЦИИ | Снаружи вы выглядите образцово | Внутри: снаружи это ненадолго |
Наблюдение по итогам плейтестов. Команды почти всегда недофинансируют КОММУНИКАЦИИ и почти всегда переоценивают ЛОГИ. Первое — потому что это «не техника». Второе — потому что видимость приятно ощущается как контроль.
Два порога, о которых стоит знать до распределения
Игра не скрывает свою математику. Два эффекта настолько сильнее остальных, что заслуживают отдельного упоминания.
Порог первый · СЕГМЕНТАЦИЯ 2 и 4
При треке 2 и выше действие «Расползтись» продвигает РАСПРОСТРАНЕНИЕ на 1 сегмент вместо 2. Это базовое замедление.
При треке 4 и выше РАСПРОСТРАНЕНИЕ вдобавок вообще не получает сегментов в первые два блока сценария, а «Рубильник» Инженера перестаёт бросать d6 на побочный ущерб.
Разница между СЕГМЕНТАЦИЕЙ 3 и 4 — не первое замедление, а два полных блока форы и безопасная гарантированная изоляция.
Порог второй · БЭКАПЫ и восстановление
После шифрования часы ВОССТАНОВЛЕНИЕ обнуляются и стартуют со значения БЭКАПЫ − 1. При треке БЭКАПЫ 3 и выше каждое действие на восстановление даёт на 1 сегмент больше.
| БЭКАПЫ | Старт ВОССТАНОВЛЕНИЯ | Сегментов за действие | Действий до полного |
|---|---|---|---|
| 1 | 0 | 1 | 6 |
| 2 | 1 | 1 | 5 |
| 3 | 2 | 2 | 2 |
| 4 | 3 | 2 | 2 |
| 5 | 4 | 2 | 1 |
Разница между БЭКАПАМИ 1 и БЭКАПАМИ 5 — это разница между шестью действиями и одним. Ничто другое в системе не даёт такого разрыва, и это сделано намеренно.
Обратите внимание на скачок между 2 и 3: одно очко бюджета сокращает восстановление с пяти действий до двух.
Почему это самый важный момент игры
Три причины. Все три подтверждаются на дебрифе каждого стола.
1. Здесь решается исход
Семь блоков, примерно тридцать пять бросков команды. Модификатор готовности применяется почти к каждому. Разница между треком 1 и треком 5 — четыре пункта DC, то есть двадцать процентов на каждом броске.
Никакая тактическая гениальность в блоке 4 не отыгрывает четырёх пунктов, розданных на всю сессию. Игроки, которые считают, что «главное — правильно среагировать», обнаруживают это на своей шкуре и запоминают навсегда.
2. Здесь принимаются решения в тех же условиях, в которых они принимаются в жизни
Реальный бюджет безопасности распределяется:
- без знания того, кто придёт и когда;
- под ограничением, которое всегда меньше желаемого;
- в разговоре, где у каждого участника своя модель угрозы;
- с последствиями, которые проявятся через месяцы.
Фаза бюджета воспроизводит все четыре условия за двадцать минут. Это единственная часть игры, которая моделирует не инцидент, а подготовку к нему — то есть ту часть работы, где на самом деле всё и решается.
3. Это единственный момент, когда команда может выбрать, чему научиться
Раскладка определяет, какой урок вы увезёте. Вложились в логи — узнаете цену видимости без возможности действовать. Вложились в бэкапы — узнаете, что шифрование не было целью. Раздали ровно — узнаете, что пороги нелинейны.
Все три урока полезны. Выбираете вы, и выбираете вслепую, — ровно как в понедельник.
Правило кампании: если вы играете серию сессий, треки переносятся между играми и меняются по итогам. Они и есть носитель последствий: то, что вы не купили в первой сессии, догонит вас во второй. Уроки, полученные персонажами, тратятся на сеньорность; уроки, полученные компанией, тратятся на треки.
Памятка фазы бюджета
- Пять треков, все стартуют на 1.
- 10 очков, максимум 4 в один трек. Итоговая сумма — 15.
- Модификатор = 3 − трек. Трек 3 — нейтрально, трек 5 — минус два к DC, трек 1 — плюс два.
- Двадцать минут. Каждый называет свой страх, потом торгуетесь, потом Директор фиксирует.
- Отдельной строкой запишите, что вы сознательно не купили и почему.
- Лист готовности лежит на столе на виду всю игру. Никто не имеет права сказать «а я думал, у нас есть внеполосная связь».
💡 Совет фасилитатору и столу: сфотографируйте лист готовности до первого блока. На дебрифе он читается совершенно иначе, чем при заполнении, и эта фотография — самый ценный артефакт сессии.