本技能用于规划与主持模拟勒索软件事件的桌面推演（Tabletop Exercise）。
用途：每年或在重大基础设施变更后测试组织勒索软件响应流程；验证赎金支付、监管通报与公开披露的决策过程；培训高管、IT、法务、公关与运营团队；满足网络保险对事件响应测试记录的要求；发现恢复预案、沟通计划与备份流程中的差距。它不能替代技术控制测试，桌面推演只验证流程与决策，不验证技术检测或预防能力。
主要能力：基于当前威胁行为者 TTP 构建现实场景，可分阶段推进——初始检测、事件升级、决策点、恢复与沟通，每阶段配 SITREP 与注入卡，通过新信息施压推动决策。可自定义威胁组织、被加密基础设施比例、备份完好程度、外泄数据类型、适用监管框架、赎金金额与期限。提供决策点清单与按 NIST CSF 响应/恢复职能对齐的评估标准。
使用方式：先准备已记录的事件响应计划与参与者名单，由独立于 IR 团队的引导者主持 2-4 小时无干扰会议；按阶段分发 SITREP 与注入，记录决策与理由；随后按检测与升级、遏制、内部沟通、外部沟通、恢复规划、法律合规、业务连续性、支付决策等维度评分（1-5），并在 5 个工作日内产出事后报告（AAR），含差距、严重性评级、整改行动、负责人与截止日期，并与上次推演结果对比。
限制：文中未提供具体安装命令、平台版本或收费信息。参与者应提前阅读 IRP；需有明确评估标准与整改跟进，否则推演价值会丧失。常见陷阱包括场景不真实、技术团队主导而业务与法务被动、未测试沟通计划、整改不落实。