Un simulacro de incidente en una mañana: cómo organizar un ejercicio de mesa útil

Un ejercicio de mesa permite ensayar la respuesta a un incidente sin atacar sistemas ni interrumpir servicios. Las personas recorren un escenario, toman decisiones y explican cómo actuarían con los recursos disponibles. Su valor está en descubrir desacuerdos, dependencias y autorizaciones que no se ven al leer un plan. Una mañana bien preparada puede revelar más que meses de documentación sin probar, siempre que el ejercicio termine con cambios concretos y no solo con una sensación de haber cumplido.

Elige dos o tres objetivos observables

No intentes evaluar toda la ciberseguridad de la empresa en una sesión. Decide si quieres comprobar quién declara un incidente, cómo se autoriza una contención o cómo se mantiene la comunicación cuando falla el correo. Formula objetivos que puedan observarse durante el ejercicio. Por ejemplo, localizar al responsable correcto y acordar una medida dentro del escenario. Esto ayuda al facilitador a mantener el foco y evita que la conversación derive hacia debates técnicos sin relación con el propósito.

Invita a quienes tienen decisiones y dependencias reales

Además del equipo técnico, puede ser necesario contar con dirección, operaciones, comunicación y responsables de protección de datos o asesoría. La composición depende del escenario, no de una lista universal. Asigna un facilitador que presente información y una persona que registre observaciones. Explica que el ejercicio busca mejorar el sistema de trabajo. Si se percibe como un examen individual, aparecerán respuestas ideales y se ocultarán las dudas que precisamente interesa detectar.

Facilita antes de empezar los límites: no se ejecutarán acciones reales, las comunicaciones simuladas se identificarán como tales y cualquier incidencia auténtica tendrá prioridad. Utiliza nombres ficticios y evita reproducir datos personales o secretos. Los materiales de CISA para ejercicios de mesa ofrecen plantillas y orientaciones para preparar escenarios. Adaptarlos requiere sustituir supuestos genéricos por los servicios, contactos y restricciones que existen realmente en la organización.

Construye una historia que evolucione por etapas

Empieza con una señal incompleta, como una alerta de acceso sospechoso, y añade información gradualmente. Después puede aparecer una cuenta afectada, una necesidad de aislamiento o una consulta de un cliente. Cada nueva situación debe poner a prueba un objetivo definido. Evita giros espectaculares que no aportan aprendizaje. Un escenario sencillo y plausible permite observar cómo se verifican hechos y se coordinan decisiones sin exigir que todos dominen técnicas de investigación especializadas.

• Presenta qué se sabe, qué no se sabe y qué herramientas están disponibles.
• Pregunta quién decide, a quién informa y qué evidencia necesita antes de actuar.
• Introduce una dependencia realista: un contacto ausente o un canal no disponible.
• Solicita una condición clara para pasar de contención a recuperación y cerrar el incidente.

Pide que demuestren cómo encontrarían la respuesta

Cuando alguien diga que llamaría al proveedor o recuperaría una copia, pregunta dónde está el contacto o el procedimiento. No es necesario ejecutar la acción, pero sí comprobar que la información puede localizarse y que la persona está autorizada. Anota los supuestos sin discutir cada detalle en ese momento. El facilitador debe distinguir una decisión pendiente de una falta de conocimiento técnico; ambas generan acciones, pero requieren soluciones distintas.

Observa comunicación y coordinación, además de técnica

Comprueba si existe una persona que coordine, si se separan hechos e hipótesis y si alguien mantiene una cronología. Evalúa cómo se comunica incertidumbre sin prometer resultados que todavía no se conocen. Los plazos de notificación que pudieran aplicar deben verificarse con los responsables correspondientes para el caso concreto, sin improvisar reglas generales durante el simulacro. La sesión puede revelar precisamente que falta un circuito para obtener ese asesoramiento a tiempo.

Introduce un relevo breve entre participantes para comprobar qué información necesita quien se incorpora. Muchas respuestas pierden eficacia cuando una persona clave deja de estar disponible o cambia el turno. Una síntesis con alcance, acciones realizadas, evidencias y próximos pasos suele facilitar la continuidad. Si cada participante reconstruye el incidente desde mensajes dispersos, existe una oportunidad clara de mejorar el registro y la coordinación antes de enfrentarse a una situación real.

Cierra con acciones pequeñas y una nueva comprobación

Reserva tiempo para revisar qué funcionó y qué bloqueó decisiones. Convierte los hallazgos en tareas con responsable, fecha y criterio de cierre: actualizar un contacto, ensayar una restauración o acordar una autorización. Evita una lista interminable sin prioridades. Comparte una síntesis adecuada a cada destinatario y programa una revisión de las acciones. El siguiente ejercicio puede centrarse en las mejoras aplicadas. Así, el simulacro se convierte en una práctica de preparación continua y no en un evento aislado.