Playbook: tabletop de ransomware para comité de dirección (guion de 90 minutos)

Cuando una organización habla de ransomware, a menudo lo enmarca como un problema de sistemas. En la práctica, la disrupción golpea antes y más lejos: ventas que no pueden procesarse, operaciones que se ralentizan, equipos que no saben qué mensaje dar a clientes, proveedores que esperan instrucciones y dirección que necesita priorizar sin visibilidad completa.

Por eso un tabletop con comité de dirección no es una simulación técnica, sino un entrenamiento de gobierno. Sirve para practicar cómo se decide cuando varias áreas compiten por recursos escasos y cuando la mejor información disponible sigue siendo insuficiente. Esa tensión es la parte más realista del ejercicio.

Desde negocio, este tipo de sesión ayuda a responder preguntas que suelen quedar implícitas hasta el día en que hacen falta de verdad:

• qué procesos se sostienen primero;
• qué significa operar “de forma mínima” durante 24, 48 o 72 horas;
• quién autoriza gasto extraordinario o apoyo externo;
• cómo se comunica sin prometer más de lo que se sabe;
• qué terceros son realmente críticos y cómo se coordinan.

También permite alinear expectativas entre funciones que suelen mirar la crisis desde ángulos distintos. Dirección necesita proteger continuidad, ingresos, reputación y confianza. TI y seguridad necesitan contener, diagnosticar y recuperar sin precipitarse. Operaciones quiere sostener servicio. Comunicación busca consistencia. Legal y cumplimiento deben orientar obligaciones y riesgos sin frenar la respuesta. El tabletop hace visible ese cruce de intereses en un entorno controlado.

El coste que se intenta reducir no es solo el del incidente, sino el de la improvisación. Una organización improvisa cuando no tiene definido qué prioriza, quién aprueba, qué mensajes usa y qué dependencias arrastran retrasos. Esa improvisación se traduce en reuniones eternas, órdenes contradictorias, escalados tardíos y una recuperación más confusa de lo necesario.

Un ejercicio bien diseñado aporta valor incluso si deja más preguntas que respuestas, siempre que esas preguntas queden registradas de forma accionable. Si al terminar la sesión la dirección entiende mejor sus dependencias, identifica bloqueos decisionales y acuerda un plan de mejora realista, el tabletop habrá cumplido su función.

Acciones recomendadas

1. Definir antes de la sesión qué decisiones se quieren practicar: activación de crisis, prioridades de recuperación, continuidad mínima, comunicación y apoyo externo.
2. Invitar solo a funciones con capacidad real de decisión o delegación efectiva: dirección, operaciones, TI/seguridad, finanzas, comunicación, legal/cumplimiento y, si aplica, RRHH.
3. Limitar el escenario a 2 o 3 procesos críticos concretos para obligar a priorizar de forma realista y evitar debates abstractos.
4. Preparar materiales mínimos útiles: servicios críticos, dependencias, terceros clave, criterios de escalado y plantilla de acta de decisiones.
5. Designar desde el inicio patrocinador, facilitador y relator, separando claramente quién decide, quién conduce y quién registra.
6. Establecer criterios de éxito observables y un método de cierre corto: máximo 5 a 10 acciones de mejora con responsable, fecha y evidencia esperada.
7. Recordar durante todo el ejercicio que no sustituye asesoría jurídica; si aparecen implicaciones legales o regulatorias, deben coordinarse con asesoría y cumplimiento.

Para qué sirve este playbook y cómo usarlo

Este documento está pensado para ejecutar una sesión de 90 minutos con comité de dirección y responsables clave. Puede usarse tal cual o adaptarse a la estructura de gobierno de cada organización, pero conviene mantener tres principios.

El primero es que el foco debe estar en decisiones, no en explicaciones. Si un participante dedica cinco minutos a describir cómo funciona un sistema, probablemente el ejercicio ha perdido el centro. La pregunta útil no es “cómo ocurre técnicamente”, sino “qué decide negocio con esta información”.

El segundo es que el escenario debe ser creíble, pero no excesivamente complejo. Si se intenta simular cada detalle, la sesión se vuelve lenta y defensiva. Basta con un contexto plausible, una secuencia de injects y un conjunto de preguntas que obliguen a priorizar.

El tercero es que la sesión debe generar un cierre manejable. No hace falta un informe eterno. Hace falta un registro de decisiones, bloqueos y mejoras que pueda convertirse en plan de trabajo. Si el ejercicio termina con veinte observaciones genéricas y ningún responsable, habrá sido interesante, pero poco útil.

Preparación previa: 7 a 10 días antes

La utilidad de un tabletop depende más de la preparación que del dramatismo del escenario. Con una preparación breve pero disciplinada se puede conseguir una sesión muy valiosa para dirección.

1. Definir alcance y objetivo

El escenario debe apoyarse en procesos reales de la organización, no en listas abstractas. Lo recomendable es seleccionar entre dos y tres procesos o servicios críticos que todo el comité reconozca como prioritarios. Pueden ser, por ejemplo, facturación y cobro, atención al cliente, operación logística, herramientas de colaboración o acceso a aplicaciones corporativas esenciales.

Conviene formular uno o dos objetivos centrales y no diez. Algunos objetivos útiles son:

• practicar cómo se activa y organiza la estructura de crisis;
• validar cómo se define la continuidad mínima viable;
• ensayar la priorización de recuperación de servicios;
• revisar el circuito de comunicación interna y externa;
• comprobar la coordinación con terceros críticos.

Un objetivo mal formulado suele sonar así: “revisar toda la respuesta a ransomware de la compañía”. Es demasiado amplio. Un objetivo útil obliga a decidir algo concreto.

2. Elegir participantes

No deben estar todas las personas relevantes, sino las funciones necesarias para decidir. Una mesa demasiado grande se vuelve lenta y dispersa. Para una sesión de 90 minutos, lo razonable es trabajar con seis a diez participantes.

Perfiles recomendados:

• dirección general o patrocinador ejecutivo;
• operaciones o responsable de negocio principal;
• finanzas;
• TI y/o seguridad;
• comunicación corporativa;
• legal o cumplimiento;
• RRHH o Personas, si la comunicación interna y la gestión de plantilla son relevantes;
• observadores, solo si aportan y sin intervenir en exceso.

La clave no es el cargo exacto, sino la capacidad de representar una función con criterio y autoridad suficiente.

3. Asignar roles de sesión

Separar bien los roles evita discusiones improductivas.

Patrocinador ejecutivo Abre la sesión, legitima el ejercicio y deja claro que el propósito es aprender a decidir, no evaluar personas.

Facilitador Conduce el tiempo, presenta los injects, evita derivas técnicas y devuelve siempre la discusión al plano de negocio.

Relator o secretario Registra decisiones, supuestos, bloqueos, responsables y acciones. Su función es crítica: sin registro, el aprendizaje se diluye.

Participantes Debaten, priorizan y deciden desde su función.

Observadores opcionales Anotan patrones y aportan al debrief, pero no interrumpen el flujo salvo que el facilitador lo pida.

4. Reunir materiales mínimos

No hace falta preparar una gran escenografía. Sí hace falta contar con materiales de trabajo que hagan la discusión más concreta.

Materiales mínimos recomendados:

• listado de procesos o servicios críticos;
• mapa simple de dependencias relevantes;
• contactos de proveedores y terceros críticos;
• criterios de escalado y severidad, si existen;
• borradores o principios de comunicación interna y externa;
• estructura de comité de crisis o equivalente;
• plantilla de acta de decisiones y hallazgos.

5. Fijar reglas de juego

El facilitador debe compartir reglas simples al inicio y, si hace falta, repetirlas durante la sesión.

Reglas recomendadas:

• el objetivo es practicar decisiones, no auditar personas;
• se trabaja con información incompleta, como en una crisis real;
• se decide con tiempo limitado;
• si aparece una cuestión legal o regulatoria, se documenta y se coordina con asesoría; el ejercicio no sustituye consejo legal;
• las decisiones se registran como si fueran reales;
• si una discusión se vuelve excesivamente técnica, el facilitador la recorta y la traduce a implicación de negocio.

6. Definir criterios de éxito

Un tabletop mejora mucho cuando el éxito no se mide por sensaciones, sino por señales observables. No hace falta puntuar todo, pero sí saber qué se quiere ver.

Criterios útiles:

• se activa con claridad la estructura de gobierno;
• quedan explícitas las prioridades de continuidad y recuperación;
• se identifican mensajes iniciales para empleados, clientes y terceros;
• se detectan dependencias críticas y vacíos de información;
• se acuerda un cierre con acciones limitadas y trazables.

Guion de 90 minutos: minuto a minuto

El siguiente guion está diseñado para ser usable tal cual. Mantiene un escenario genérico, orientado a decisiones de negocio, y puede adaptarse cambiando los procesos críticos afectados.

Minutos 0–10: apertura, alcance y reglas

Objetivo del bloque Alinear propósito, roles y forma de trabajo.

Guion del facilitador

• recuerda que se trata de un ejercicio de decisión y coordinación;
• presenta alcance y procesos incluidos;
• confirma quién decide, quién facilita y quién registra;
• explica reglas de juego y criterio de tiempo;
• anticipa que no se busca una respuesta perfecta, sino entrenar juicio.

Mensaje de apertura sugerido “Vamos a trabajar como si la situación fuera real, con información parcial y presión operativa. El objetivo no es acertar todo, sino comprobar si sabemos decidir qué priorizar, quién aprueba y cómo coordinarnos.”

Minutos 10–18: Inject 1 — detección inicial y primeras señales

Escenario A primera hora, varios equipos reportan problemas de acceso a sistemas corporativos. Algunas carpetas compartidas aparecen inaccesibles y ciertas herramientas internas responden con lentitud. El equipo técnico informa de actividad anómala, pero todavía no confirma alcance ni causa.

Preguntas para decisión

• ¿Se activa formalmente el comité de crisis o estructura equivalente?
• ¿Quién asume la coordinación ejecutiva en esta primera fase?
• ¿Qué información mínima se exige en los próximos 30 minutos?
• ¿Qué mensaje operativo inicial se da a mandos y responsables de área?

Qué debe observar el relator

• velocidad de escalado;
• claridad de liderazgo;
• capacidad de actuar sin sobrediagnosticar.

Minutos 18–26: Inject 2 — impacto en operación y continuidad mínima

Escenario Un proceso crítico empieza a degradarse. Puede tratarse de pedidos, atención al cliente, facturación o una operación interna esencial. El servicio no cae por completo, pero la capacidad de trabajo empeora y empiezan a acumularse retrasos.

Preguntas para decisión

• ¿Qué proceso se protege primero y por qué?
• ¿Qué nivel de operación mínima es aceptable durante las próximas horas?
• ¿Qué actividades se suspenden deliberadamente para contener impacto?
• ¿Qué umbral obliga a pasar a un modo de crisis más exigente?

Qué debe observar el relator

• existencia o ausencia de criterios de priorización;
• entendimiento compartido de continuidad mínima viable;
• coordinación entre negocio y tecnología.

Minutos 26–35: Inject 3 — hipótesis de ransomware y necesidad de apoyo externo

Escenario La hipótesis de trabajo pasa a ser un incidente de ransomware con cifrado activo en parte del entorno. No hay visibilidad completa del alcance. El equipo técnico recomienda contención prioritaria y plantea la necesidad de apoyo especializado si la situación escala.

Preguntas para decisión

• ¿Qué severidad se asigna al incidente?
• ¿Cuándo se activa apoyo externo especializado?
• ¿Quién puede autorizar gasto urgente o contratación acelerada?
• ¿Qué relación se abre con aseguradora o socios clave, si aplica?

Qué debe observar el relator

• rapidez para escalar ayuda;
• claridad de umbrales financieros y operativos;
• alineación entre dirección, finanzas y respuesta técnica.

Guardarraíl editorial Si surgen posibles implicaciones legales, regulatorias o contractuales, deben documentarse y coordinarse con asesoría y cumplimiento. El ejercicio no ofrece consejo legal.

Minutos 35–45: Inject 4 — presión de empleados, clientes y proveedores

Escenario Empiezan a circular preguntas internas. Clientes detectan retrasos. Un proveedor crítico solicita confirmación de que puede seguir intercambiando información con seguridad. Aparecen rumores sobre una posible afectación mayor de la inicialmente prevista.

Preguntas para decisión

• ¿Se envía ya un mensaje a empleados? ¿Con qué nivel de detalle?
• ¿Qué se comunica a clientes afectados sin sobreactuar?
• ¿Quién centraliza la interlocución con proveedores críticos?
• ¿Qué afirmaciones se consideran prematuras y no deben emitirse?

Qué debe observar el relator

• disciplina de comunicación;
• consistencia del mensaje;
• capacidad para gestionar incertidumbre sin silencio total ni exceso de promesas.

Minutos 45–55: Inject 5 — presión comercial y expectativas de dirección

Escenario Dirección solicita una previsión de recuperación y una primera estimación de impacto. Al mismo tiempo, áreas comerciales piden prioridad para cuentas clave y determinados servicios de alto valor.

Preguntas para decisión

• ¿Qué puede prometerse razonablemente sobre tiempos de recuperación?
• ¿Cómo se priorizan clientes, líneas o procesos cuando no todo puede recuperarse a la vez?
• ¿Quién decide entre velocidad de restauración y restauración ordenada?
• ¿Qué métricas mínimas se reportan al comité con cada actualización?

Qué debe observar el relator

• calidad de los criterios de priorización;
• capacidad de decir “aún no lo sabemos” con disciplina;
• coherencia entre presión comercial y realidad operativa.

Minutos 55–65: Inject 6 — fricción con terceros y dependencias no resueltas

Escenario Un proveedor tecnológico clave pide autorización formal para actuar. Otro requiere validación contractual antes de intervenir. Además, algunos contactos críticos están desactualizados y no queda claro quién es responsable de ciertas relaciones.

Preguntas para decisión

• ¿Quién coordina el frente de terceros?
• ¿Qué proveedores son críticos durante las primeras 24 horas?
• ¿Qué dependencia contractual o documental puede bloquear la respuesta?
• ¿Qué alternativa existe si un tercero no responde a tiempo?

Qué debe observar el relator

• visibilidad real de dependencias;
• preparación documental;
• capacidad para activar alternativas.

Minutos 65–75: Inject 7 — ventana de recuperación parcial

Escenario Se presenta una posible ruta de recuperación para servicios esenciales, pero obliga a escoger secuencia, aceptar servicio degradado y ordenar ventanas de trabajo. No todo puede volver al mismo tiempo.

Preguntas para decisión

• ¿Qué servicio o proceso se recupera primero?
• ¿Qué degradación temporal se acepta y durante cuánto tiempo?
• ¿Qué aprobaciones hacen falta para reanudar operación?
• ¿Quién informa al resto de la organización del estado de recuperación?

Qué debe observar el relator

• alineación entre necesidades de negocio y viabilidad operativa;
• criterio para aceptar degradación temporal;
• gobierno sobre la secuencia de recuperación.

Minutos 75–85: Inject 8 — actualización ejecutiva y mensaje consolidado

Escenario Se exige una actualización para empleados, clientes clave y órgano de dirección. La situación ha mejorado parcialmente, pero quedan incógnitas importantes. No es momento de declarar normalidad.

Preguntas para decisión

• ¿Qué tres mensajes deben emitirse ya?
• ¿Qué incertidumbres se reconocen de forma explícita?
• ¿Con qué frecuencia se actualizará a cada audiencia?
• ¿Quién aprueba cada mensaje y por qué canal se difunde?

Qué debe observar el relator

• claridad y prudencia;
• modelo de aprobación;
• consistencia entre mensaje interno y externo.

Minutos 85–90: cierre operativo

Objetivo del bloque Cerrar la simulación sin convertir el final en un debate nuevo.

Tareas del facilitador

• recapitular decisiones principales;
• pedir al relator que lea bloqueos clave;
• confirmar qué temas pasan al debrief;
• recordar que el valor del ejercicio se concreta en pocas mejoras bien definidas.

Cómo registrar hallazgos sin crear un informe eterno

Un error frecuente es convertir el tabletop en una sesión útil seguida de un documento inútil. El registro debe ser breve, accionable y suficiente para asignar trabajo. Con tres bloques suele bastar:

1. Decisiones tomadas durante el ejercicio

Qué se decidió, por quién y con qué criterio.

1. Bloqueos o vacíos detectados

Qué impidió decidir mejor o más rápido: falta de datos, dependencia de terceros, ausencia de criterio, aprobación difusa, etc.

1. Acciones de mejora

Entre 5 y 10 como máximo, cada una con responsable, fecha objetivo y evidencia esperada.

Ese formato obliga a priorizar. Si algo no merece entrar en esas tres listas, probablemente no requiere seguimiento ejecutivo inmediato.

Plantilla de acta de decisiones y hallazgos

Nombre del ejercicio: Fecha: Escenario: tabletop de ransomware orientado a comité de dirección Patrocinador: Facilitador: Relator:

A. Decisiones tomadas

B. Bloqueos o vacíos detectados

C. Acciones de mejora

D. Preguntas que requieren validación adicional

Con esta plantilla, el relator puede capturar lo esencial sin necesidad de redactar un informe narrativo largo. Si después se quiere ampliar para auditoría interna o continuidad, se puede hacer, pero no debería retrasar la ejecución de mejoras.

Preguntas de decisión reutilizables

Estas preguntas pueden reutilizarse en otros ejercicios similares, incluso cambiando el escenario.

Prioridades de negocio

• ¿Qué proceso no puede detenerse por completo?
• ¿Qué criterio prevalece: ingresos, servicio, seguridad, obligación contractual o impacto reputacional?
• ¿Qué secuencia de recuperación se acepta?

Continuidad mínima viable

• ¿Qué operación mínima puede sostenerse durante 24, 48 y 72 horas?
• ¿Qué trabajo manual o alternativa temporal existe?
• ¿Qué dependencia única compromete la continuidad?

Gobierno y escalado

• ¿Quién activa la estructura de crisis?
• ¿Qué asuntos decide el comité y cuáles se delegan?
• ¿Cómo se evita la parálisis por consenso?

Comunicación

• ¿Qué se comunica a empleados, clientes, proveedores y dirección?
• ¿Qué canal se usa y con qué frecuencia?
• ¿Qué es hecho confirmado y qué es hipótesis?

Terceros y apoyo externo

• ¿Cuándo se activa soporte especializado?
• ¿Quién aprueba gasto urgente?
• ¿Qué tercero debe entrar primero y con qué mandato?

Debrief: 30 minutos para convertir aprendizaje en trabajo útil

Aunque la simulación principal dure 90 minutos, conviene reservar un debrief de 30 minutos, idealmente al terminar o dentro de las 24 horas siguientes. Su propósito no es volver a representar el incidente, sino traducir lo observado en decisiones de mejora.

Estructura sugerida del debrief

1. Qué funcionó

El equipo identifica entre tres y cinco fortalezas observadas. Por ejemplo:

• liderazgo claro en la activación;
• buena coordinación entre operaciones y TI;
• mensajes prudentes y consistentes;
• criterio compartido para priorizar continuidad.

2. Qué bloqueó o retrasó

Aquí se nombran los obstáculos más relevantes, no todos los detalles menores. Por ejemplo:

• criterios difusos de prioridad;
• contactos desactualizados;
• falta de umbrales para activar apoyo externo;
• dependencia excesiva de una persona o proveedor;
• ausencia de mensajes preaprobados.

3. Qué decisiones siguen pendientes

No todo debe resolverse en la misma sesión. Algunas cuestiones deberán validarse después:

• definición formal de servicios críticos;
• umbrales de escalado ejecutivo;
• circuito de aprobación de gasto urgente;
• responsable de la relación con ciertos terceros;
• proceso de validación de mensajes externos.

4. Qué acciones se aprueban

Este es el cierre importante. El debrief debe terminar con un máximo de 5 a 10 acciones. Más de eso suele diluir la ejecución.

Ejemplo de cierre debrief: 8 acciones máximo

A continuación se muestra un ejemplo de salida útil. Debe adaptarse a la realidad de cada organización.

Este formato cumple una función doble: deja una salida concreta y permite revisar, en el siguiente ejercicio, si la organización ha mejorado de verdad.

Materiales reutilizables para la sesión

Agenda resumida

RACI simplificado

Checklist previo

• [ ] Objetivo del ejercicio definido
• [ ] Procesos críticos seleccionados
• [ ] Participantes confirmados
• [ ] Patrocinador, facilitador y relator asignados
• [ ] Materiales mínimos preparados
• [ ] Contactos de terceros revisados
• [ ] Reglas del ejercicio compartidas
• [ ] Criterios de éxito acordados
• [ ] Plantilla de acta disponible
• [ ] Franja de debrief reservada

Errores frecuentes que conviene evitar

Un tabletop se degrada rápido cuando la organización cae en alguno de estos errores:

• convertir la sesión en una clase técnica;
• invitar solo a TI y dejar fuera a quienes priorizan negocio;
• diseñar un escenario tan grande que nadie puede decidir;
• discutir durante demasiado tiempo antes de fijar responsables;
• confundir “hablar mucho” con “salir mejor preparados”;
• cerrar sin responsables, fechas ni evidencia esperada;
• intentar resolver durante el ejercicio asuntos jurídicos complejos en lugar de documentarlos y coordinarlos con asesoría.

Cómo saber si este tabletop ha sido útil

La señal más clara no es que todos salgan satisfechos, sino que la organización termine con mejores respuestas a unas pocas preguntas decisivas:

1. qué se protege y recupera primero;
2. quién decide bajo presión y con qué criterio;
3. cómo se comunica cuando aún no hay certeza completa;
4. qué terceros son críticos y cómo se activan;
5. qué debe mejorar en los próximos 30, 60 y 90 días.

Si esas respuestas quedan más claras y traducidas a un conjunto corto de acciones trazables, el ejercicio habrá hecho exactamente lo que debe hacer un buen playbook de dirección: entrenar decisiones antes de necesitarlas de verdad.