La perspectiva de Cyber Academy
Un tabletop exercise es una simulación basada en discusión de un escenario disruptivo con el equipo de respuesta reunido en torno a una mesa. Económico, rápido, expone las brechas que ninguna revisión documental revelará. Práctica exigida por ISO 22301, NIS 2 y DORA, y la actividad de mayor ROI en un programa de BCM. Planifíquelos trimestralmente, no anualmente.
Qué es realmente un ejercicio de mesa
Un ejercicio de mesa reúne en una misma sala a las personas que tendrían que responder a una interrupción, las guía a través de un escenario realista y les pide que expliquen lo que harían, paso a paso. Nadie toca los sistemas de producción. Nadie conmuta nada a un sitio de recuperación. Todo el sentido reside en la conversación: quién decide, a quién se llama, qué dice el plan frente a lo que el equipo haría realmente, y dónde el documento queda en silencio justo en el momento en que se necesita una decisión. Está basado en el debate por diseño, y por eso resulta barato y rápido de ejecutar.
Ese bajo coste es la razón por la que es la actividad de mayor rentabilidad de un programa de continuidad o de respuesta a incidentes. Un facilitador presenta una situación inicial y luego inyecta nueva información a medida que avanza el debate: la copia de seguridad también está cifrada, la prensa tiene la historia, el responsable de guardia está ilocalizable. El equipo razona en voz alta y las carencias afloran ante las personas capaces de corregirlas. Una revisión documental nunca produce eso. Leer un plan confirma que existe. Recorrer un escenario revela si alguien lo entiende, si la lista de contactos está actualizada y si dos equipos dan por hecho cada uno que es el otro quien declara el incidente.
En qué se diferencia de otros tipos de ejercicio
Los ejercicios de mesa se sitúan en un extremo de un espectro de rigor. Son deliberadamente el formato más ligero, lo que los hace adecuados para ejecutarse con frecuencia. Los ejercicios más pesados validan los mecanismos de los que un ejercicio de mesa solo habla, con un coste y una perturbación mucho mayores.
| Tipo de ejercicio | Qué hace | Coste y perturbación |
|---|---|---|
| Ejercicio de mesa | Recorrido de un escenario basado en el debate, alrededor de una mesa; saca a la luz las carencias de decisión y de plan | Bajo |
| Repaso / simulacro | Ensayo paso a paso de un único procedimiento, como un árbol de llamadas o una restauración | Bajo a moderado |
| Ejercicio funcional | Activación real de funciones de respuesta concretas sin afectar a la producción | Moderado a alto |
| Prueba a gran escala / en condiciones reales | Conmutación o recuperación real en condiciones cercanas a un incidente verdadero | Alto |
El error habitual es tratar el ejercicio de mesa como un sustituto de la prueba en condiciones reales. No lo es. Un ejercicio de mesa demuestra que las personas conocen el plan y saben tomar decisiones; solo una prueba funcional o a gran escala demuestra que las copias de seguridad se restauran realmente y que los objetivos de recuperación son alcanzables. Un programa maduro utiliza ambos: ejercicios de mesa frecuentes que alimentan las lecciones que hacen que valga la pena ejecutar las pruebas reales, escasas y costosas.
El lugar de los ejercicios de mesa en las normas y la regulación
Realizar ejercicios no es opcional según los marcos que rigen la resiliencia. ISO 22301, la norma internacional para los sistemas de gestión de continuidad del negocio, exige que las disposiciones de continuidad se ejerciten y se prueben, y el ejercicio de mesa es la forma más común en que las organizaciones cumplen ese requisito entre pruebas reales. En la Unión Europea, la Directiva NIS 2 espera medidas de continuidad del negocio y de gestión de crisis por parte de los operadores de los sectores esenciales e importantes, y el Digital Operational Resilience Act establece expectativas de prueba explícitas para las entidades financieras, donde los ejercicios basados en escenarios forman parte del programa de pruebas de resiliencia.
Lo que buscan los auditores y los reguladores no es solo que se haya realizado un ejercicio, sino que se haya documentado y se haya actuado en consecuencia. Un ejercicio de mesa que no produce ningún registro ni ninguna acción correctiva es puro teatro. El valor se materializa en el informe posterior a la acción: qué falló, quién es responsable de la corrección y cuándo se volverá a probar. Ese bucle, del escenario al hallazgo, luego a la corrección y al siguiente ejercicio, es lo que convierte un ejercicio de mesa de una casilla que marcar en el motor que mantiene actualizado un programa de continuidad.
Frequently asked questions
01¿Cuál es la diferencia entre un ejercicio de mesa y una prueba a gran escala?
Un ejercicio de mesa es un recorrido basado en el debate en el que el equipo repasa un escenario sin tocar los sistemas en producción, por lo que es barato y rápido. Una prueba a gran escala conmuta o recupera realmente los sistemas en condiciones casi reales, lo que resulta mucho más costoso pero es la única forma de demostrar que la recuperación técnica funciona.
02¿Con qué frecuencia debe realizarse un ejercicio de mesa?
Con más frecuencia que una vez al año. Los planes se desfasan rápido a medida que cambian las personas, los proveedores y los sistemas, por lo que muchos programas realizan ejercicios de mesa trimestrales y reservan las pruebas reales, más escasas y costosas, para validar la recuperación técnica.
03¿Quién debe participar en un ejercicio de mesa?
Las personas que responderían realmente: el responsable de incidente o de crisis, los equipos de respuesta de TI y seguridad, los responsables de negocio de las actividades afectadas, y comunicación y asesoría jurídica cuando el escenario lo justifique. La dirección debería participar en las decisiones que le corresponden, ya que suele ser ahí donde aparecen las carencias reales.
04¿Un ejercicio de mesa satisface los requisitos de prueba de ISO 22301 o DORA?
Contribuye a ellos pero rara vez los satisface por sí solo. ISO 22301 y DORA esperan que las disposiciones de continuidad y resiliencia se ejerciten, y un ejercicio de mesa documentado ayuda a demostrarlo, pero los reguladores también esperan pruebas funcionales y reales que demuestren que la recuperación funciona de verdad.
05¿Qué hace eficaz a un ejercicio de mesa?
Un escenario realista, inyectos bien temporizados que fuerzan decisiones, un debate honesto en lugar de recitar el plan, y un informe posterior a la acción que asigne acciones correctivas con responsables y fechas. Sin el seguimiento documentado, las carencias que encontró nunca se cierran.