# Ejercicio de mesa de ransomware para la dirección https://es.kinlevi.com/resources/ransomware-tabletop-exercise Use este escenario original para examinar la coordinación ante la incertidumbre. El objetivo es revelar autoridad ausente, supuestos sin evidencia y dependencias de recuperación. El acuerdo en la reunión demuestra una discusión; no demuestra que funcionen un control técnico o una restauración. ## Prepare la sesión - Designe un facilitador que presente las novedades y un observador que registre las acciones reales de los participantes. Incluya coordinación del incidente, seguridad, operaciones de plataforma, negocio y comunicación. - Delimite un servicio y la versión del plan de respuesta que se ejercitará. Lleve la matriz de decisiones, los contactos y un mapa de dependencias. Use nombres y materiales ficticios. - Reserve unos 90 minutos como orientación: 10 para acordar el alcance, 60 para cuatro rondas y 20 para la revisión posterior. Adapte el ritmo a sus objetivos; no evalúe solo la velocidad. ## Límites y condiciones de interrupción - Es un ejercicio de discusión. No cambie accesos reales, ejecute archivos, envíe mensajes externos ni use registros reales de clientes para representar el escenario. - Cualquier participante puede pausar si una acción propuesta alcanza un sistema real o supera el alcance acordado. Resuelva ese límite antes de continuar. - Si ocurre un incidente operativo real, detenga el ejercicio y aplique el proceso de respuesta efectivo. Identifique claramente las notas y los mensajes simulados. ## Situación inicial ficticia Un proveedor B2B depende de un servicio de confirmación de pedidos durante su periodo de mayor actividad. Los clientes reportan fallos y el personal no sabe qué pedidos fueron aceptados. Se desconocen la causa y el alcance. Las novedades siguientes son materiales ficticios del facilitador, no observaciones de una organización real. ## Servicio, participantes y alcance Registre servicio, versión del plan, facilitador, observador, roles participantes y límites acordados. [Complete durante el ejercicio] ## Presente las novedades en secuencia Abra una ronda cada vez. Cada intervalo de 15 minutos orienta la facilitación y no es un plazo de respuesta. Registre elección, autoridad, evidencia disponible y próxima comprobación antes de avanzar. ### 00 min — Interrupción del servicio El servicio de pedidos no está disponible. Soporte tiene tres reportes, pero no un recuento fiable de pedidos afectados. El responsable habitual del incidente no puede ser contactado. - ¿Quién declara el incidente, asume la coordinación y activa al sustituto? - ¿Qué hay que conocer antes de usar un proceso manual o suspender nuevos pedidos? #### Decisión, autoridad y razonamiento ¿Qué se eligió, por qué rol autorizado, con qué alternativas y consecuencias para los clientes? Identifique al responsable de la siguiente acción. [Complete durante el ejercicio] #### Evidencia pendiente y próxima comprobación Separe hechos proporcionados, supuestos de los participantes y evidencia ausente. Registre qué se comprobará, quién lo hará y antes de qué decisión. [Complete durante el ejercicio] ### 15 min — Una alegación de extorsión sin verificar El facilitador presenta una nota de rescate simulada y un reporte de una sesión privilegiada inusual. Ninguna evidencia demuestra todavía robo de datos ni el alcance completo del acceso. - ¿Qué contención está autorizada y qué evidencia podría eliminar? - ¿Quién evalúa la alegación y mantiene una comunicación precisa mientras se desconoce su validez? #### Decisión, autoridad y razonamiento ¿Qué se eligió, por qué rol autorizado, con qué alternativas y consecuencias para los clientes? Identifique al responsable de la siguiente acción. [Complete durante el ejercicio] #### Evidencia pendiente y próxima comprobación Separe hechos proporcionados, supuestos de los participantes y evidencia ausente. Registre qué se comprobará, quién lo hará y antes de qué decisión. [Complete durante el ejercicio] ### 30 min — Una dependencia de recuperación Un inventario de copias de seguridad muestra una copia reciente, pero no se ha demostrado su restauración en este ejercicio. Recuperar requiere además un servicio de identidad cuya fiabilidad se cuestiona. Operaciones pide reiniciar rápidamente. - ¿Qué evidencias se necesitan antes de restaurar identidades, datos y servicio? - ¿Quién acepta operar con restricciones y qué condición de monitorización o reversión obligaría a detenerse? #### Decisión, autoridad y razonamiento ¿Qué se eligió, por qué rol autorizado, con qué alternativas y consecuencias para los clientes? Identifique al responsable de la siguiente acción. [Complete durante el ejercicio] #### Evidencia pendiente y próxima comprobación Separe hechos proporcionados, supuestos de los participantes y evidencia ausente. Registre qué se comprobará, quién lo hará y antes de qué decisión. [Complete durante el ejercicio] ### 45 min — Presión para comunicar Un cliente importante pide una hora de recuperación y un periodista menciona una captura no verificada. Llega el siguiente turno con un registro incompleto de decisiones. - ¿Quién aprueba una actualización que explique impacto e incertidumbre sin promesas infundadas? - ¿Qué decisiones, compromisos y evidencias deben trasladarse al siguiente turno y al responsable ejecutivo? #### Decisión, autoridad y razonamiento ¿Qué se eligió, por qué rol autorizado, con qué alternativas y consecuencias para los clientes? Identifique al responsable de la siguiente acción. [Complete durante el ejercicio] #### Evidencia pendiente y próxima comprobación Separe hechos proporcionados, supuestos de los participantes y evidencia ausente. Registre qué se comprobará, quién lo hará y antes de qué decisión. [Complete durante el ejercicio] ## Convierta la revisión en acciones ### Fortalezas y carencias observadas Distinga lo demostrado en la discusión, lo simplemente declarado y lo no tratado. Cite un registro o una acción observada; evite una puntuación de preparación sin fundamento. [Complete durante el ejercicio] ### Acciones correctivas y verificación Asigne a cada carencia responsable, siguiente acción, plazo y evidencia de finalización. Mantenga visibles las dependencias pendientes. [Complete durante el ejercicio] ### Condición para repetir el ejercicio Defina qué cambio o acción completada requiere otro ejercicio y qué debe demostrar. Acuerde quién hará el seguimiento. [Complete durante el ejercicio] Las conclusiones de una discusión no prueban que recuperación, detección o comunicación funcionen en un incidente real. Compruebe las afirmaciones técnicas por separado mediante pruebas autorizadas. Conserve el archivo descargado y revise las acciones antes de declararlas completas. ## Método y referencias Escenario y guía originales con referencias primarias sobre ejercicios. No es un paquete oficial de CISA o NIST. - [CISA — Tabletop Exercise Package Documents](https://www.cisa.gov/resources-tools/resources/ctep-package-documents) - [NIST SP 800-84 — Test, Training, and Exercise Programs](https://csrc.nist.gov/pubs/sp/800/84/final) - [NIST SP 800-61 Rev. 3 — Incident Response Recommendations](https://csrc.nist.gov/pubs/sp/800/61/r3/final)