Ejercicio de mesa de ransomware para la dirección
Dirija un ejercicio de crisis con cuatro novedades del escenario, registro de decisiones y plan de mejoras. Descargue una guía editable para el facilitador.
Use este escenario original para examinar la coordinación ante la incertidumbre. El objetivo es revelar autoridad ausente, supuestos sin evidencia y dependencias de recuperación. El acuerdo en la reunión demuestra una discusión; no demuestra que funcionen un control técnico o una restauración.
Prepare la sesión
Designe un facilitador que presente las novedades y un observador que registre las acciones reales de los participantes. Incluya coordinación del incidente, seguridad, operaciones de plataforma, negocio y comunicación.
Delimite un servicio y la versión del plan de respuesta que se ejercitará. Lleve la matriz de decisiones, los contactos y un mapa de dependencias. Use nombres y materiales ficticios.
Reserve unos 90 minutos como orientación: 10 para acordar el alcance, 60 para cuatro rondas y 20 para la revisión posterior. Adapte el ritmo a sus objetivos; no evalúe solo la velocidad.
Límites y condiciones de interrupción
- Es un ejercicio de discusión. No cambie accesos reales, ejecute archivos, envíe mensajes externos ni use registros reales de clientes para representar el escenario.
- Cualquier participante puede pausar si una acción propuesta alcanza un sistema real o supera el alcance acordado. Resuelva ese límite antes de continuar.
- Si ocurre un incidente operativo real, detenga el ejercicio y aplique el proceso de respuesta efectivo. Identifique claramente las notas y los mensajes simulados.
Situación inicial ficticia
Un proveedor B2B depende de un servicio de confirmación de pedidos durante su periodo de mayor actividad. Los clientes reportan fallos y el personal no sabe qué pedidos fueron aceptados. Se desconocen la causa y el alcance. Las novedades siguientes son materiales ficticios del facilitador, no observaciones de una organización real.
Presente las novedades en secuencia
Abra una ronda cada vez. Cada intervalo de 15 minutos orienta la facilitación y no es un plazo de respuesta. Registre elección, autoridad, evidencia disponible y próxima comprobación antes de avanzar.
Sus respuestas permanecen en esta página y el navegador las usa para crear el archivo. Descárguelo antes de cerrar o recargar: el sitio no guarda el formulario rellenado.
Registre servicio, versión del plan, facilitador, observador, roles participantes y límites acordados.
00 minInterrupción del servicio
El servicio de pedidos no está disponible. Soporte tiene tres reportes, pero no un recuento fiable de pedidos afectados. El responsable habitual del incidente no puede ser contactado.
- ¿Quién declara el incidente, asume la coordinación y activa al sustituto?
- ¿Qué hay que conocer antes de usar un proceso manual o suspender nuevos pedidos?
¿Qué se eligió, por qué rol autorizado, con qué alternativas y consecuencias para los clientes? Identifique al responsable de la siguiente acción.
Separe hechos proporcionados, supuestos de los participantes y evidencia ausente. Registre qué se comprobará, quién lo hará y antes de qué decisión.
15 minUna alegación de extorsión sin verificar
El facilitador presenta una nota de rescate simulada y un reporte de una sesión privilegiada inusual. Ninguna evidencia demuestra todavía robo de datos ni el alcance completo del acceso.
- ¿Qué contención está autorizada y qué evidencia podría eliminar?
- ¿Quién evalúa la alegación y mantiene una comunicación precisa mientras se desconoce su validez?
¿Qué se eligió, por qué rol autorizado, con qué alternativas y consecuencias para los clientes? Identifique al responsable de la siguiente acción.
Separe hechos proporcionados, supuestos de los participantes y evidencia ausente. Registre qué se comprobará, quién lo hará y antes de qué decisión.
30 minUna dependencia de recuperación
Un inventario de copias de seguridad muestra una copia reciente, pero no se ha demostrado su restauración en este ejercicio. Recuperar requiere además un servicio de identidad cuya fiabilidad se cuestiona. Operaciones pide reiniciar rápidamente.
- ¿Qué evidencias se necesitan antes de restaurar identidades, datos y servicio?
- ¿Quién acepta operar con restricciones y qué condición de monitorización o reversión obligaría a detenerse?
¿Qué se eligió, por qué rol autorizado, con qué alternativas y consecuencias para los clientes? Identifique al responsable de la siguiente acción.
Separe hechos proporcionados, supuestos de los participantes y evidencia ausente. Registre qué se comprobará, quién lo hará y antes de qué decisión.
45 minPresión para comunicar
Un cliente importante pide una hora de recuperación y un periodista menciona una captura no verificada. Llega el siguiente turno con un registro incompleto de decisiones.
- ¿Quién aprueba una actualización que explique impacto e incertidumbre sin promesas infundadas?
- ¿Qué decisiones, compromisos y evidencias deben trasladarse al siguiente turno y al responsable ejecutivo?
¿Qué se eligió, por qué rol autorizado, con qué alternativas y consecuencias para los clientes? Identifique al responsable de la siguiente acción.
Separe hechos proporcionados, supuestos de los participantes y evidencia ausente. Registre qué se comprobará, quién lo hará y antes de qué decisión.
Convierta la revisión en acciones
Distinga lo demostrado en la discusión, lo simplemente declarado y lo no tratado. Cite un registro o una acción observada; evite una puntuación de preparación sin fundamento.
Asigne a cada carencia responsable, siguiente acción, plazo y evidencia de finalización. Mantenga visibles las dependencias pendientes.
Defina qué cambio o acción completada requiere otro ejercicio y qué debe demostrar. Acuerde quién hará el seguimiento.
Las conclusiones de una discusión no prueban que recuperación, detección o comunicación funcionen en un incidente real. Compruebe las afirmaciones técnicas por separado mediante pruebas autorizadas. Conserve el archivo descargado y revise las acciones antes de declararlas completas.
Método y referencias
Escenario y guía originales con referencias primarias sobre ejercicios. No es un paquete oficial de CISA o NIST.