Simulacro de ransomware: guion de mesa para empresas

Ensaya coordinación y decisiones antes de una crisis

Un ejercicio de mesa reúne a las personas que tendrían que responder a un incidente y les presenta una situación por fases. No se instala malware ni se realizan cambios en producción: el objetivo es descubrir decisiones ambiguas, contactos ausentes y dependencias no contempladas.

CISA describe sus paquetes de ejercicios de mesa como recursos para facilitar conversaciones organizativas sobre escenarios de amenaza. Su guía de ransomware también recomienda mantener copias offline y probar periódicamente la capacidad de restauración.

Preparación

• Participantes: coordinación del incidente, TI, seguridad, negocio, comunicaciones y privacidad/legal según el caso.
• Alcance: define servicios críticos, duración, reglas de confidencialidad y una persona que toma notas.
• Objetivos: acuerda qué se evaluará: escalado, decisiones de aislamiento, comunicación y recuperación.
• Material: contactos, procedimientos existentes y un mapa de dependencias; no compartas credenciales reales.

Guion de 75 minutos

Minutos	Inyección hipotética	Preguntas de facilitación
0–10	El equipo detecta ficheros inaccesibles en una unidad compartida	¿Quién declara el incidente y dónde se registra?
10–25	Aparecen alertas en varios equipos; una aplicación empresarial va lenta	¿Qué se aísla primero y quién autoriza la medida?
25–40	Un proveedor pregunta si su integración sigue habilitada	¿Qué canal se usa para validar y compartir información?
40–55	Se localiza una copia, pero aún no se ha probado su recuperación	¿Quién decide el entorno y el orden de restauración?
55–75	La dirección solicita una estimación de recuperación	¿Qué se sabe, qué falta confirmar y quién comunica el siguiente parte?

Cierre y acciones

Clasifica cada observación como brecha de proceso, tecnología, acceso, comunicación o continuidad. Asigna un responsable y fecha a cada acción y acuerda una prueba que demuestre el cierre. El simulacro no demuestra por sí solo que los controles funcionen: contrasta lo conversado con ejercicios técnicos autorizados.

Consulta los paquetes de ejercicios de mesa de CISA y la guía #StopRansomware. Para profundizar en controles ofensivos, enlaza con pentesting y hacking ético; para recuperar datos, usa el guion de prueba de restauración.