ЧТО ЭТО ЗА ИГРА

Семь игроков садятся за стол с фасилитатором. У каждого игрока лист с четырьмя числами, тремя способностями и должностью, которой он в жизни не занимал. На столе d20, горсть жетонов и семь пустых шкал. Примерно через три часа кто-то из них скажет вслух фразу, ради которой всё и затевалось:

«Погоди. Мы же не проверяли, что бэкапы восстанавливаются. Мы проверяли, что они делаются».

Это игра про реагирование на киберинцидент. Год на обложке — 2094. Всё остальное настоящее.

---

Одной страницей

Движок. d20. Бросаете двадцатигранник, прибавляете характеристику и мастерство, сравниваете со сложностью. Правила целиком помещаются на две страницы и объясняются за десять минут. Это не скромность, а требование: если объяснение системы занимает дольше, участники учатся играть в игру, а не реагировать на инцидент.

Мир. Киберпанк без капюшонов. 2094 год, шесть корпораций, наднациональный реестр инцидентов, лицензированные реагирующие. Ни одного импланта, дающего механическое преимущество. Ни одного погружения в киберпространство. Всё фантастическое в этом мире — прямая экстраполяция того, что уже происходит сегодня.

Роли. Директор по информационной безопасности. Аналитик мониторинга. Расследователь. Инженер инфраструктуры. Коммуникации. Юрист. Первое лицо. Семьдесят лет технологического прогресса не сократили ни одной из этих должностей, потому что они не про технологию — они про то, как у людей устроены внимание и ответственность.

Противник. Живой человек за ширмой или фасилитатор. У него одно действие в блок, две скрытые цели и ЁМКОСТЬ на глубокие операции; бесплатные подготовительные ходы остаются доступны. Он тоже не может всё сразу.

Чем всё кончается. Семь временных блоков, от «час с начала» до «неделя спустя». В конце каждый называет одну собственную ошибку и получает за это Урок — единственный способ, которым персонаж растёт.

---

Спекулятивная форма и профессиональный корень

Правило: если игрок спрашивает «а это правда?», честный ответ всегда один: «эта форма — художественная экстраполяция; вот её сегодняшний профессиональный корень». Каждая врезка 📚 показывает конкретную связь. Мир 2094-го не одноразовая декорация, а способ сделать нынешние зависимости видимыми.

---

Чему эта игра учит

Не «основам кибербезопасности». Основам учат курсы, и делают это лучше. Игра учит шести вещам, которым курс научить не может, потому что они не про знания, а про поведение под давлением.

1. Отличать «мы проверили» от «мы уверены, что проверили»

Центральная механика игры называется Ложная Уверенность. Иногда бросок даёт результат, который выглядит успехом, но им не является: вы получаете правдоподобный и неверный ответ, докладываете его команде уверенным голосом, и следующие два часа команда действует по нему.

Игрок знает, что персонаж ошибается. Персонаж — не знает. Это единственная механика в игре, где от игрока требуется дисциплина, а не удача.

К третьему блоку любой стол сам приходит к вопросу: что мы вообще перепроверяли? Ответ обычно — «ничего, времени не было». Так и в жизни.

2. Ставить приоритеты, когда всё срочно

У каждого персонажа три жетона ЁМКОСТИ на всю игру и одно действие в блок. Глубокие действия — снятие образа памяти, обход логов за тридцать дней, обзвон сорока клиентов — жетон съедают. Восстанавливаются они только через передачу смены, а передача смены стоит целого блока бездействия.

Это ресурс триажа. Он существует ровно затем, чтобы вопрос «что мы копаем первым» имел цену, а не решался фразой «давайте всё параллельно».

3. Понимать цену решений, принятых полгода назад

Игра начинается не с инцидента, а с фазы бюджета: десять очков на пять треков готовности, распределяются до того, как стол узнает сценарий. Каждый трек меняет сложность всех бросков в своей области на ±2.

Через полтора часа кто-то произнесёт: «А вот если бы мы вложили эти два очка в бэкапы...». Вот ради этой фразы фаза бюджета и стоит первой.

4. Разговаривать через профессиональную границу

Правило раздачи ролей не подлежит смягчению: класс никогда не совпадает с реальной должностью игрока. Технарь не получает технаря, бизнес не получает бизнес. Из этого правила берётся весь эффект игры.

Инженер, оказавшийся в роли Голоса, впервые в жизни узнаёт, каково это — выйти к прессе с тем, что ему рассказали технари. А технари узнают, как это выглядит с той стороны.

5. Держать сроки, о которых никто не помнит

У Арбитра есть часы, идущие независимо от воли команды. Регуляторное уведомление подаётся в срок или не подаётся вовсе, и второй вариант стоит дороже самого инцидента.

📚 Отсюда это растёт: сроки уведомления реальны и жёстки. GDPR — 72 часа с момента, когда стало известно. NIS2 — раннее предупреждение за 24 часа. Требования SEC к публичным компаниям США — четыре рабочих дня с момента признания инцидента существенным. В российском контуре ГосСОПКА срок для компьютерного инцидента измеряется часами, а не днями. Ни один из этих таймеров не останавливается на выходные.

6. Говорить наружу, не имея фактов

Часы ПУБЛИЧНОСТИ растут независимо от того, готовы вы или нет. Голосу придётся делать заявление на данных, которых у него нет, — и каждый раз, когда он спрашивает «так что мне отвечать», технари будут раздражаться. Спрашивать нужно всё равно: заявление, сделанное без фактов, стоит дороже, чем задержка.

---

Чем это отличается от обычных штабных учений

Штабные учения (tabletop exercise) — уважаемый и полезный формат. Их проблема известна всем, кто их проводил: в них невозможно проиграть неожиданно.

Ключевая разница — не в кубиках. Она в том, что в обычных учениях участник защищает свою профессиональную репутацию, а здесь у него есть персонаж, за которого не стыдно ошибиться. Люди, которым не страшно ошибиться, показывают, как они на самом деле принимают решения. Это и есть данные, ради которых всё делается.

💡 Совет: если вы проводите это внутри компании, посадите за стол наблюдателя без роли и без права голоса. Его единственная задача — записывать, в какой момент кто перестал перепроверять. Этот список стоит дороже всего остального протокола.

---

Юридический и этический дисклеймер

Обязателен к прочтению вслух на первой сессии. Не сокращать.

Чего в этой книге нет и не будет

В этих трёх книгах нет и не появится: команд, эксплойтов, названий наступательных инструментов, пошаговых процедур получения доступа, описаний уязвимостей, пригодных к воспроизведению, ссылок на репозитории с вредоносным кодом.

Всё, что игра называет действием противника, — абстракция уровня «часы РАСПРОСТРАНЕНИЕ сдвинулись на два сегмента». Игрок за противника не описывает, как он это сделал, и не обязан этого знать. Механически это одно решение и один бросок.

Это не осторожность издателя. Это дизайн: детализация атаки не улучшает обучение реагированию ни на одну единицу, а риски создаёт настоящие.

Что запрещено законом

Несанкционированный доступ к чужой информационной системе — уголовное преступление практически в любой юрисдикции, и намерение «просто проверить» не является оправдывающим обстоятельством ни в одной из них.

Тестировать защищённость можно только на своих системах либо при наличии письменного разрешения владельца с явно описанным объёмом работ и сроками. Устное «да ладно, проверь» разрешением не является. Программа bug bounty является разрешением ровно в границах опубликованного scope и ни на сантиметр дальше.

Где практиковаться легально

Полный список площадок — в главе «СПРАВОЧНИК». Коротко: существуют десятки бесплатных полигонов, специально построенных для того, чтобы на них ломали. Учебные лаборатории, соревнования формата CTF, публичные наборы данных для расследования, готовые уязвимые приложения, разворачиваемые локально. Ни один из них не требует трогать чужую инфраструктуру.

Чем эта игра не является

• Не заменяет юридическую консультацию. Сроки, привилегия расследования и обязательства перед регулятором в игре упрощены до игрового вида. Реальные сроки уточняйте у своего юриста, а не за игровым столом.
• Не является методикой оценки персонала. Результат броска не говорит ничего о компетентности игрока. Использовать записи сессии в аттестации сотрудника — прямое нарушение контракта стола и надёжный способ убить формат в компании навсегда.
• Не является планом реагирования вашей компании. Игра показывает, как думать. План пишется отдельно, под вашу инфраструктуру, и проверяется учениями.

Драконы

В мире игры семь архетипов противника: шесть базовых и седьмой модульный Уроборос из «Автономии». Они носят имена мифологических существ. Совпадения с действующими группировками намеренны на уровне тактик и случайны на уровне всего остального.

⚠ Внимание: в этой игре нет «плохих стран», нет реальных названий групп в качестве противников и нет названий компаний-жертв. Исторические инциденты в врезках 📚 описаны как факты индустрии, без атрибуции. Так делается сознательно: атрибуция — работа государств и специализированных команд, а за игровым столом она превращается в политику.

Безопасность за столом

Инцидент — стрессовая тема, и у части участников за плечами реальный тяжёлый случай. Правило простое: любой участник может в любой момент сказать «пропустим» — сцена сворачивается, объяснений не требуется, обсуждение не ведётся. Фасилитатор подтверждает кивком и идёт дальше.

Отдельно: за столом не произносятся реальные данные вашей компании. Ни имён систем, ни адресов, ни фамилий администраторов, ни настоящих сроков хранения логов. Игра идёт про «Ратмир-Групп». Если вам захотелось сказать «ну у нас же точно так же» — скажите это на дебрифе и без подробностей.

---

Контракт стола

Шесть пунктов. Зачитываются вслух перед фазой бюджета, до раздачи листов. Каждый участник подтверждает согласие вслух — не кивком.

1. Ошибка персонажа — не ошибка игрока. Ничто, произошедшее за этим столом, не выходит наружу как оценка человека. Ни в разговоре с руководителем, ни в шутке в курилке через месяц.

2. Получил жетон Ложной Уверенности — отыгрываешь уверенность. Докладываешь. Споришь. Говоришь «уверен процентов на девяносто». Не подмигиваешь, не делаешь паузу, не понижаешь голос. Механика мертва ровно в тот момент, когда стол начинает читать не персонажа, а игрока.

3. Заявляем действия, а не намерения. «Я снимаю образ памяти с этого узла» — заявка. «Надо бы разобраться с этим узлом» — не заявка, а фоновый шум. Фасилитатор имеет право не услышать второе.

4. Один говорит — остальные молчат, и блок длится восемь минут. Время реальное. Обсуждение, не уложившееся в отведённые три минуты, обрывается на середине фразы. Это неприятно и это точная модель.

5. Никаких реальных данных компании. См. выше. Ни имён, ни адресов, ни настоящих цифр.

6. Вечер заканчивается разбором. После последнего блока каждый называет вслух одно собственное решение, которое считает неверным, и что сделает иначе. За это выдаётся Урок — единица роста персонажа. Уходить раньше можно, но персонаж останется на той же ступени.

---

Что нужно, чтобы сыграть

Опыт настольных ролевых игр не требуется. Опыт кибербезопасности не требуется — более того, стол, где половина участников не из ИТ, работает лучше, чем стол из семи безопасников.

---

Как выглядит сессия

Три с половиной часа, разбитые на четыре неравные части. Ниже — что реально происходит в комнате.

Что происходит между вторым и третьим актом. Обычно — шифрование или его эквивалент: момент, когда становится ясно, что часть решений уже необратима. Это не наказание за плохую игру, это точка, вокруг которой построен сценарий. Даже команда, сделавшая всё правильно, до неё доходит; разница в том, с чем она к ней приходит.

💡 Совет: не пытайтесь «выиграть» первый акт. В первом акте выигрывать нечего: КАРТИНА нулевая, часы противника закрыты, любое решительное действие бьёт по площадям. Первый акт — про подготовку и вопросы. Резать начинают во втором.

---

Пять вопросов, которые задают до первой игры

«Нужно ли разбираться в кибербезопасности?» Нет. Из семи ролей три вообще не технические, и лучшие сессии получаются на смешанных столах. Игра ни разу не спросит вас, как устроен протокол; она спросит, что вы решаете и на основании чего.

«А если я не играл в настольные ролевые игры?» Правила помещаются на две страницы. Отыгрывать акцент и говорить в образе не требуется — достаточно объявлять действия от лица персонажа и держать контракт стола.

«Мы можем проиграть?» Да, и это нормальный исход. Из четырёх условий окончания только одно — чистая победа. Самый частый финал: бизнес восстановлен, противник остался внутри. Он выглядит как победа ровно до дебрифа.

«Это оценка нашей команды?» Нет, и контракт стола это прямо запрещает. Использовать записи сессии в аттестации сотрудника — надёжный способ закрыть формат в компании навсегда. Единственное, что игра честно оценивает, — раскладку готовности, а её делал стол целиком.

«Сколько раз можно играть?» Готовых сценариев пять, Драконов семь, раскладок готовности — десятки, и класс каждый раз выдаётся другой. Секреты конкретного сценария после раскрытия уже известны, поэтому повторное прохождение той же группой слабее; зато перенос решений между разными сессиями даёт кампании высокую продольную реиграбельность.

---

Ступень сеньорности на первую игру

Персонажи различаются по пяти ступеням от Стажёра до Принципала. Для одиночной трёхчасовой сессии берите ступень 3 (Старший): класс уже узнаваем, есть специализация, и лист всё ещё помещается на страницу.

Кампания начинается с любой ступени по договорённости. Между сессиями персонаж растёт единственным способом — через Уроки, а Урок выдаётся за конкретный названный вслух собственный просчёт. Два Урока — ступень.

Правило: прогрессия в этой игре механически невозможна без рефлексии. Ровно как в профессии.

---

Лицензия и происхождение

Автор: Evgenii Koltsov · e@koltsov.pro © 2026 Evgenii Koltsov. Все права на оригинальные материалы принадлежат автору.

В этой книге два слоя прав, и у них разные условия.

Слой первый — движок

Игра построена на d20 и совместима с System Reference Document 5.2.1, который распространяется по лицензии Creative Commons Attribution 4.0 (CC BY 4.0).

Из SRD 5.2.1 взяты: базовая схема броска d20 против класса сложности, механика преимущества и помехи, структура бонуса мастерства, идея вдохновения как перебрасываемого ресурса.

Эта часть остаётся под CC BY 4.0 и доступна всем из первоисточника. Требуется только указание источника:

Атрибуция SRD: This work includes material from the System Reference Document 5.2.1 (“SRD 5.2.1”) by Wizards of the Coast LLC, available at https://www.dndbeyond.com/srd. The SRD 5.2.1 is licensed under the Creative Commons Attribution 4.0 International License, available at https://creativecommons.org/licenses/by/4.0/legalcode.

Как ссылаться на эту книгу: Koltsov E. «CYBER & DRAGONS». Редакция 2026-08, 2026. Оригинальные материалы — CC BY-NC 4.0, коммерческое использование по согласованию с автором (e@koltsov.pro).

Слой второй — всё остальное

Мир «Периметр» и его хронология, шесть корпораций, семь классов и двадцать одна специализация, семь Драконов (шесть базовых и модульный Уроборос), механика Ложной Уверенности, часы, треки готовности, арсенал из 44 инструментов, кампания «Ратмир», иллюстрации и весь текст — оригинальные материалы. К SRD они отношения не имеют.

Оригинальный слой распространяется на условиях CC BY-NC 4.0 с одной добавкой: коммерческое использование — по согласованию с автором.

Правило простое. Учите людей сколько угодно и где угодно. Берёте за это деньги — напишите автору.

Почему так можно

CC BY 4.0 не является «вирусной» лицензией: она не требует, чтобы производные работы распространялись на тех же условиях, а требует только указания источника. Поэтому оригинальный слой законно закрыть строже — при условии, что заимствованный слой остаётся атрибутирован и доступен из первоисточника на исходных условиях.

Дополнительно: правила игры как таковые в большинстве юрисдикций вообще не охраняются авторским правом — охраняется их конкретное текстовое выражение. Лицензия защищает текст, оформление и мир, а не саму идею бросить d20 против класса сложности.

Никакие защищённые торговые марки не используются. Названия классов, характеристик, часов, треков готовности, Драконов и сеттинга — оригинальные.

⚠️ Этот раздел — описание намерений автора, а не юридическая консультация. Перед коммерческим распространением стоит показать его юристу вашей юрисдикции.

---

С чего начать читать

Главы 03 и 04 (классы) читаются выборочно: свой класс полностью, остальные шесть — по одному абзацу «Как играть». Знать, чего ждать от соседа, полезно. Знать наизусть его способности — не нужно, он сам скажет.