Puntos clave
- La mayoría de los ejercicios de simulación solo sirven para evaluar el rendimiento, en lugar de poner de manifiesto las deficiencias reales en la respuesta ante incidentes.
- Para que los ejercicios sean eficaces, deben incluir elementos de fricción, ambigüedad y presión que reflejen situaciones reales.
- Limitar el alcance del ejercicio a unos pocos escenarios críticos y definir el éxito como la detección de problemas, en lugar de quedar bien, puede dar lugar a conclusiones más significativas y aplicables.
- La participación de distintos departamentos, y no solo de los equipos técnicos, es fundamental para evaluar con precisión la respuesta de la organización.
- La verdadera resiliencia se demuestra mediante pruebas reales de recuperación, no solo con simulaciones basadas en debates.
Hay un momento que la mayoría de los responsables de seguridad reconocen, aunque no lo digan en voz alta. El ejercicio de simulación acaba de terminar. El equipo se va retirando. Todo el mundo parece razonablemente satisfecho. Y, en algún rincón de tu mente, surge una pregunta silenciosa: ¿Hemos aprendido realmente algo?
Si eres sincero, la respuesta suele ser no.
Esto no se debe a que los ejercicios de simulación sean una mala idea. Son una de las herramientas más valiosas con las que cuenta un responsable de seguridad. El problema radica en cómo los llevan a cabo la mayoría de las organizaciones, y en qué miden realmente al hacerlo.
La trampa del rendimiento
El error más común en los ejercicios de simulación no tiene nada que ver con el escenario. Tiene que ver con el objetivo. La mayoría de los equipos, de forma consciente o no, diseñan ejercicios destinados a demostrar competencia en lugar de a descubrir carencias.
El escenario suele seguir un arco narrativo claro. La información llega en una secuencia lógica. Las personas adecuadas dicen lo que deben decir. Todo el mundo se siente preparado. Y esa sensación —de confianza, de haber ensayado bien, casi de camaradería— es precisamente el problema. Los incidentes reales no siguen un guion perfecto. Se presentan con información incompleta, señales contradictorias, personas ilocalizables y una empresa que exige respuestas más rápido de lo que permiten los hechos. Si tu simulacro no genera ese tipo de fricción, es que no has puesto a prueba la respuesta ante incidentes. Solo has ensayado una conversación.
Cuando el ejercicio está diseñado para validar en lugar de poner a prueba bajo presión, surge un segundo problema: la gente deja de ser sincera. Nadie dice: «No sé a quién corresponde esa decisión» o «en realidad nunca hemos probado esa vía de Recovery». Dicen lo que suena bien. Y las lagunas que deberían salir a la luz en un entorno controlado permanecen ocultas hasta que salen a la luz en uno real.
Lo que realmente evalúa un buen ejercicio
Antes de crear un escenario, tienes que responder a una pregunta más sencilla: ¿qué es lo que realmente quieres aprender? No veinte cosas. Tres o cuatro.
¿Es capaz tu equipo de tomar una decisión definitiva con la suficiente rapidez, y sabe todo el mundo quién tiene la autoridad para tomarla? Cuando los departamentos de seguridad, TI, jurídico y de comunicaciones se reúnen en una misma sala con prioridades contradictorias, ¿son realmente capaces de llegar a decisiones de forma conjunta? ¿Puedes explicar el impacto empresarial de un incidente con la claridad suficiente para que la dirección actúe —y no solo lo comprenda? Y si tuvieras que restaurar un sistema crítico en las próximas cuatro horas, ¿serías realmente capaz de hacerlo?
Una vez que sepas qué estás poniendo a prueba, crea un escenario con fricciones reales. Haz que una persona clave no esté disponible en mitad del ejercicio. Introduce una escalada por parte de un cliente. Haz que un regulador plantee una pregunta que el equipo no pueda responder basándose en el manual de procedimientos.
Proporciona a los participantes información incompleta y observa cómo toman decisiones a pesar de ello. El valor no reside en ver cómo la gente tiene éxito bajo presión, sino en descubrir los puntos en los que el proceso falla mientras el riesgo aún es lo suficientemente bajo como para solucionarlo.
Di esto en voz alta al principio: hoy en día, el éxito consiste en detectar problemas, no en quedar bien. Esa sola frase cambia lo que la gente se atreve a decir en la sala.
El problema de la gente
Una simulación en la que solo participen los equipos de seguridad y de TI es una conversación técnica, no un ejercicio de respuesta ante incidentes. Si el departamento jurídico no está presente, si tampoco está el de comunicaciones, y si faltan los responsables de negocio y la dirección ejecutiva, no estás poniendo a prueba cómo responde realmente tu organización ante una crisis. Lo que estás haciendo es ver cómo un grupo de personas inteligentes analiza una situación hipotética. Los incidentes reales se gestionan en toda la empresa. El simulacro debería reflejar eso.
Hablar del tema no es suficiente
Aquí es donde la mayoría de las organizaciones se quedan a medio camino. Hacerlo sobre el papel es importante, pero eso no es lo mismo que tener confianza. Analizar un escenario de Recovery te aporta cierta información. Restaurar realmente un sistema te aporta otra información diferente. ¿Puedes restablecer el estado de un momento concreto en el que el sistema estuviera limpio? ¿Puedes validar que lo que estás recuperando es fiable? ¿Puedes restaurar una aplicación de nivel 1 y confirmar que vuelve a funcionar correctamente, sin arrastrar la infección?
Esas no son preguntas que se puedan responder en una sala de reuniones. Llega un momento en el que el plan tiene que enfrentarse al entorno, y tienes que saber si encajan.
Una vez finalizado el ejercicio
La sesión de análisis te indica si el ejercicio ha servido de algo. Si la sesión de análisis inmediato es tranquila, vaga o está llena de «buenos recordatorios», el ejercicio no ha ido lo suficientemente lejos. Un ejercicio de simulación bien llevado debería dejarte con una breve lista de conclusiones reales, responsables claros y plazos concretos. Si no puedes responder a qué ha fallado, quién lo va a solucionar y para cuándo, has organizado un evento, no un ejercicio.
El objetivo nunca fue aprobar el ejercicio. Era aprender algo importante mientras el precio de equivocarse fuera solo tiempo. Echa un vistazo a nuestro último episodio del podcast STRIVE, en el que me uno a mi compañero Chris Mierzwa, director sénior de Marketing de Cartera, para charlar a fondo sobre los ejercicios de simulación.
Preguntas frecuentes
P: ¿Por qué la mayoría de los ejercicios de simulación no aportan un valor real?
R: Muchos ejercicios están pensados para que los equipos parezcan preparados, en lugar de para detectar puntos débiles. Esto da lugar a debates preestablecidos que no reflejan la imprevisibilidad ni la presión de los incidentes reales.
P: ¿Qué objetivo debería perseguir un ejercicio de simulación?
R: Debería centrarse en responder a unas pocas preguntas clave, como la rapidez en la toma de decisiones, la claridad en la responsabilidad y la capacidad de recuperación. Este enfoque ayuda a los equipos a descubrir carencias importantes, en lugar de limitarse a observaciones superficiales.
P: ¿Cómo pueden las organizaciones hacer que los simulacros sean más realistas?
R: Introduciendo incertidumbre, información que falta y contratiempos inesperados durante el escenario. Estos elementos obligan a los equipos a pensar de forma crítica y a actuar bajo presión, en condiciones más parecidas a las de un incidente real.
P: ¿Quién debería participar en un ejercicio de simulación?
R: Además de los equipos de seguridad y de TI, deberían participar equipos como el jurídico y el de comunicación, así como los responsables de negocio y los ejecutivos. De este modo, el simulacro reflejará cómo se gestionan los incidentes reales en toda la organización.
P: ¿Por qué no basta con hablar de la recuperación?
R: Las conversaciones pueden poner de relieve los planes, pero solo las pruebas reales demuestran si los sistemas se pueden restaurar de verdad de forma limpia y rápida. La validación práctica es necesaria para confirmar que todo está listo para la recuperación.
P: ¿Qué define un resultado satisfactorio en un ejercicio de simulación?
R: Un ejercicio bien realizado da lugar a conclusiones claras, responsables asignados y plazos definidos para la corrección. Si faltan estos elementos, es probable que el ejercicio no haya supuesto un reto suficiente para el equipo.
Chris Bevil es director del área de Ciberresiliencia Global e Inteligencia Artificial en Commvault.
