Ejercicios de simulación sobre ciberseguridad
La mayoría de los ejercicios de simulación de mesa en los que he participado como observador externo son una farsa. Todo el mundo conoce ya el plan, el escenario es tan poco realista que no ocurre nada sorprendente y la sesión de análisis consiste en una ronda de felicitaciones. Eso no es un ejercicio de simulación de mesa, es un ensayo de un guion. El objetivo de realizar uno es descubrir qué falla cuando no hay una respuesta clara.
Un ejercicio de simulación de mesa es un repaso guiado, basado en un escenario, de un incidente, que se lleva a cabo con las mismas personas que estarían presentes en la sala si ocurriera de verdad: personal de TI, del departamento jurídico, de comunicaciones, un empresario y, en ocasiones, un directivo. No se interviene en ningún sistema. El valor reside exclusivamente en las decisiones que las personas deben tomar en voz alta, bajo presión de tiempo y con información incompleta, así como en observar en qué puntos divergen el plan sobre el papel y el plan que tienen las personas en mente.
A qué me dedico realmente
Elaboro el escenario en función de su entorno, no a partir de una plantilla genérica de ransomware. Si se trata de un centro sanitario, el escenario incluye datos de pacientes y plazos de notificación de la filtración. Si es una empresa manufacturera, implica una brecha de seguridad introducida por un proveedor en la planta de producción. A medida que avanza el ejercicio, introduzco complicaciones, de ese tipo que nunca aparecen en un plan de respuesta a incidentes bien estructurado: el ingeniero de guardia está de viaje, la compañía de seguros quiere estar al corriente antes de que el asesor jurídico esté preparado, un periodista llama durante la segunda hora. Estoy atento a los casos en los que las competencias para tomar decisiones no están claras, en los que la vía de escalación tiene un único punto de fallo y en los que la frase «alguien se encargará de eso» acaba significando que nadie lo hará.
A continuación, se le entrega un informe detallado, no un certificado de participación. Redacto lo que el ejercicio ha revelado realmente: las discrepancias entre el plan documentado y lo que hicieron los participantes en la sala, las decisiones que tardaron demasiado en tomarse porque nadie tenía la autoridad para tomarlas, y una breve lista priorizada de lo que hay que corregir antes del próximo simulacro. Prefiero ofrecerle tres soluciones concretas que veinte recomendaciones vagas que nunca llevará a la práctica.
A quién va dirigido
Si dispone de un plan de respuesta a incidentes que nunca se ha puesto a prueba con personas que realmente estarían presentes en la sala, o si ha pasado más de un año desde el último simulacro, esa es la señal. También merece la pena llevarlo a cabo tras una reorganización, tras la incorporación de un nuevo MSSP o una nueva aseguradora, o antes de una auditoría en la que se le pregunte si se ha puesto en práctica su plan.
Si desea un taller que le aporte información que aún no conozca, Contacte conmigo y hablemos sobre su entorno y sobre quiénes deben participar en la sesión.