Un procedimiento de respuesta puede parecer claro hasta que varias personas deben utilizarlo bajo presión. ¿Quién decide detener un servicio? ¿Quién llama al proveedor? ¿Qué información se comunica a clientes? ¿Dónde se encuentran los contactos si el correo no funciona?

Un simulacro de sobremesa permite practicar estas decisiones sin atacar sistemas ni interrumpir el negocio. Los participantes reciben una situación ficticia que evoluciona por etapas y explican qué harían con los recursos disponibles. En una hora pueden aparecer dependencias, dudas y responsabilidades que un documento no revela.

Qué es un ejercicio de sobremesa

Es una conversación guiada sobre un incidente simulado. No se ejecuta malware, no se envían correos de phishing y no se modifica la infraestructura. El objetivo es evaluar coordinación, comunicación y toma de decisiones.

Puede participar dirección, soporte técnico, administración, comunicación, protección de datos y proveedores relevantes. En una pyme una misma persona puede asumir varias funciones; precisamente por eso conviene identificar suplencias y límites.

Qué se puede aprender en 60 minutos

  • Si el personal sabe cómo comunicar un incidente.
  • Quién coordina y quién autoriza medidas con impacto.
  • Qué sistemas son realmente prioritarios.
  • Dónde faltan contactos, inventarios o copias.
  • Cómo se preservan evidencias antes de borrar o reinstalar.
  • Cuándo se necesita apoyo técnico, jurídico o de comunicación.
  • Qué mensajes pueden darse sin afirmar hechos aún no confirmados.

Preparación previa

El ejercicio debe tener un objetivo concreto. No es lo mismo comprobar el canal de aviso que evaluar la continuidad durante dos días. Para una primera sesión, es mejor limitar el alcance.

Antes de empezar, prepara:

  • Un escenario relacionado con la actividad real.
  • Una persona facilitadora que no resuelva el caso por el grupo.
  • Participantes con capacidad operativa y de decisión.
  • Inventario, procedimiento y contactos que se usarían de verdad.
  • Una plantilla para registrar decisiones, dudas y acciones.

Debe quedar claro que no se examina a individuos. Se evalúa el sistema de trabajo. Penalizar una duda hace que los participantes oculten problemas que precisamente interesa descubrir.

Ejemplo: correo comprometido y factura manipulada

Minutos 0–10: detección

Administración informa de que un proveedor ha recibido una factura con un IBAN distinto. Al mismo tiempo, una cuenta corporativa muestra un inicio de sesión desconocido.

Preguntas para el grupo:

  • ¿Por qué canal se comunica?
  • ¿Quién asume la coordinación?
  • ¿Qué hechos están confirmados y cuáles son hipótesis?
  • ¿Qué evidencias deben conservarse?

Minutos 10–25: contención

La persona afectada sigue conectada y recibe nuevas solicitudes MFA. Un cliente afirma haber pagado a la cuenta modificada.

El equipo debe decidir cómo bloquear sesiones, restablecer credenciales, revisar reglas de buzón y advertir a contactos. También debe valorar si continuar usando el correo es seguro.

Minutos 25–40: impacto

Se descubre que el buzón contenía contratos y datos de contacto. Todavía no se conoce qué mensajes fueron consultados.

Aquí aparecen las necesidades de evaluación técnica y de protección de datos. No toda incidencia exige las mismas comunicaciones; las decisiones legales deben coordinarse con el responsable, el delegado de protección de datos o asesoramiento especializado.

Minutos 40–55: recuperación

El acceso se ha contenido. El grupo debe decidir cómo validar la cuenta, cambiar secretos relacionados, informar de forma proporcionada y supervisar actividad posterior.

Minutos 55–60: cierre

Cada participante identifica una medida concreta: actualizar un contacto, crear una cuenta alternativa, revisar MFA, documentar la revocación de sesiones o preparar una plantilla de aviso.

Errores frecuentes

  • Crear un escenario tan complejo que nadie pueda decidir.
  • Convertir la sesión en una clase teórica.
  • Evaluar memoria en lugar de consultar procedimientos.
  • No incluir a dirección cuando debe autorizar decisiones.
  • Resolver todas las dudas verbalmente y no documentarlas.
  • No asignar responsable y fecha a las mejoras.

Cómo registrar los resultados

El informe no necesita ser extenso. Puede incluir escenario, participantes, decisiones, elementos que funcionaron, brechas detectadas y plan de acción. Cada mejora debería tener prioridad, responsable y fecha objetivo.

Las evidencias del ejercicio pueden apoyar programas de seguridad y continuidad. Sin embargo, realizar un simulacro no certifica una organización ni garantiza cumplimiento o respuesta perfecta.

Conclusión

Una hora de conversación estructurada puede descubrir que falta un teléfono, que nadie puede revocar sesiones fuera de horario o que la copia depende de la cuenta comprometida. Encontrarlo durante un ejercicio es mucho menos costoso que descubrirlo durante un incidente real.

T3chWare puede preparar y facilitar ejercicios adaptados a autónomos y pymes, documentar los resultados y convertirlos en mejoras técnicas y formativas.

Solicita información en T3chWare →