Un ejercicio de mesa consiste en discutir un escenario simulado y decidir cómo actuaría la empresa. No requiere atacar la plataforma ni interrumpirla. Su utilidad está en descubrir lo que un documento puede esconder: quién tiene autoridad, qué contactos faltan y qué información necesitaría la dirección para decidir bajo presión.

Propón un escenario relacionado con tu producto digital. Por ejemplo, un cliente informa que al entrar al portal vio un documento de otra empresa. Es un caso hipotético para practicar, no una afirmación sobre tu plataforma. Desde ese punto, el equipo debe explicar qué haría y qué necesita para comprobar lo ocurrido.

Elige una pregunta que el ejercicio deba responder

Evita intentar resolver toda la continuidad del negocio en una sola sesión. Puedes concentrarte en cómo se clasifica un reporte, quién autoriza una contención o cómo se coordina con desarrollo. La guía de respuesta a incidentes NIST SP 800-61 revisión 3 integra preparación, detección, respuesta y recuperación dentro de la gestión del riesgo. El ejercicio debe fortalecer una parte concreta de ese trabajo.

Invita a quienes tomarían decisiones reales: responsable del producto, tecnología, operaciones y las áreas de comunicación o asesoría que correspondan. Define una persona que facilite la conversación y otra que registre acuerdos. Los participantes necesitan saber que se evaluará el proceso y sus recursos, no su habilidad para adivinar una respuesta secreta.

Entrega información de manera progresiva

Comienza con un reporte breve y pregunta qué se haría durante los primeros pasos. Después agrega un antecedente ficticio: aparece un segundo reporte o el proveedor confirma que necesita acceso a registros. Cada nuevo dato debe servir para observar una decisión específica, sin convertir el ejercicio en una sucesión de sorpresas imposibles.

  • ¿Quién recibe el reporte y quién confirma que se está investigando?
  • ¿Qué información necesitamos conservar?
  • ¿Quién puede restringir una función si fuera necesario?
  • ¿Cómo seguimos atendiendo a los usuarios afectados?
  • ¿Quién valida lo que se comunica y a quién?

Si alguien responde “llamamos al proveedor”, pide identificar el contacto y el acuerdo disponible. Si dice “restauramos una copia”, pregunta qué se recuperaría y quién autoriza esa decisión. El valor está en pasar de una intención razonable a una capacidad que pueda comprobarse.

Distingue lo confirmado de las hipótesis

Durante una investigación puede existir presión por explicar una causa antes de contar con evidencia. Practica un registro con tres columnas: hechos comprobados, preguntas abiertas y decisiones tomadas. Esto ayuda a que quienes informan al resto de la empresa no conviertan una sospecha inicial en una conclusión definitiva.

Incluye una conversación sobre comunicaciones. El equipo debe saber quién coordina con asesoría legal y qué obligaciones o compromisos necesita evaluar, sin inventar plazos universales. Un mensaje claro puede reconocer una interrupción y explicar el canal de atención mientras continúa la investigación, siempre que describa honestamente lo que se sabe.

Comprueba que alguien conduzca la respuesta

La práctica de respuesta a incidentes de OWASP SAMM propone definir responsables, documentar acciones y ejercitar procedimientos. Para una empresa con varios proveedores, recomendamos explicitar además quién reúne información, asigna tareas y mantiene el estado compartido del incidente.

Esa coordinación no significa que una sola persona ejecute todo. Significa que hay un punto claro para resolver prioridades y evitar instrucciones incompatibles. Pide que el ejercicio considere la ausencia del contacto principal y la posibilidad de que el canal habitual de trabajo no esté disponible.

Termina con mejoras que puedan cerrarse

Si necesitas ordenar la preparación de tu plataforma, puedes consultar por protección continua y definir las actividades de coordinación que incluirá la propuesta. Cuando ya existe un incidente, nuestro servicio de corrección y recuperación permite evaluar el trabajo necesario según los accesos, registros y antecedentes disponibles.