Saltar al contenido
03 · SOC Gestionado03 · Managed SOC

Simulacros de Incidentes (TTX)Incident Simulation Exercises (TTX)

Ejercicios de mesa: ransomware, fuga de datos, DDoS.Tabletop exercises covering ransomware, data breaches and DDoS.

TabletopTabletop 3.2 · Gestión de Incidentes3.2 · Incident Management

¿Qué es este servicio?What is this service?

Es un ejercicio de mesa: se reúne al equipo directivo y técnico durante unas horas y se les plantea un escenario que va empeorando por inyectos, mientras un facilitador anota qué deciden, cuánto tardan y dónde se traban. No se toca ningún sistema real.

A tabletop exercise: the executive and technical teams sit together for a few hours facing a scenario that worsens through injects, while a facilitator records what they decide, how long they take and where they get stuck. No real system is touched.

¿Para qué se usa?What is it used for?

Sirve para descubrir que el plan no funciona, pero un martes cualquiera y sin pérdidas. Los hallazgos son casi siempre los mismos y casi siempre incómodos: nadie sabe quién autoriza apagar producción, el teléfono del proveedor de respuesta está desactualizado, y la primera reacción del equipo es escribir por WhatsApp en un grupo donde también está gente que no debería enterarse.

It exists to discover the plan does not work on an ordinary Tuesday, at no cost. The findings are nearly always the same and nearly always uncomfortable: nobody knows who authorises shutting production down, the response provider phone number is out of date, and the team's first instinct is to message a WhatsApp group that also contains people who should not know yet.

Qué beneficios traeBenefits it delivers

  • Prueba el plan sin riesgo operativo ni ventana de mantenimiento. Es la forma más barata de encontrar sus huecos.
  • Alinea a dirección, legal, comunicación y TI, que en un incidente real es donde se produce la mayor fricción.
  • Genera evidencia auditable de que el plan se probó, con fecha, participantes y hallazgos.
  • Cambia la conversación con la dirección: después de un TTX bien conducido, el presupuesto de seguridad se discute distinto.
  • Tests the plan with no operational risk and no maintenance window. It is the cheapest way to find its gaps.
  • Aligns the board, legal, communications and IT, which is where most friction appears in a real incident.
  • Produces auditable evidence the plan was tested, with date, participants and findings.
  • Changes the conversation with the board: after a well-run tabletop, the security budget gets discussed differently.

¿En qué momentos es obligatorio?When is it mandatory?

Costa RicaCosta Rica

  • No es obligatorio en Costa Rica.
  • Es la evidencia más limpia de que la capacidad de respuesta declarada en el perfil tecnológico existe de verdad y no solo en papel.
  • It is not mandatory in Costa Rica.
  • It is the cleanest evidence that the response capability declared in the technology profile genuinely exists rather than living on paper.

InternacionalInternational

  • PCI-DSS exige probar el plan de respuesta a incidentes al menos una vez cada doce meses, y el ejercicio de mesa es la forma habitual de cumplirlo.
  • ISO 22301 exige ejercitar y probar los planes de continuidad de negocio con un programa definido.
  • DORA exige un programa de pruebas de resiliencia digital que incluye ejercicios sobre los planes de respuesta y recuperación.
  • PCI-DSS requires testing the incident response plan at least every twelve months, and the tabletop is the usual way of meeting it.
  • ISO 22301 requires exercising and testing business continuity plans under a defined programme.
  • DORA requires a digital resilience testing programme covering exercises on response and recovery plans.

Requisitos mínimosMinimum requirements

  • Que los participantes de verdad asistan. Un TTX con suplentes que no deciden nada no mide nada.
  • Un plan de respuesta previo, aunque esté a medias: el ejercicio prueba el plan, no lo sustituye.
  • Escenario acordado y realista, construido sobre las amenazas que sí aplican al sector de la organización.
  • Acuerdo explícito de que no se busca culpables. Si la gente se cuida, el ejercicio no revela nada.
  • Participants who actually attend. A tabletop run with stand-ins who decide nothing measures nothing.
  • An existing response plan, even a half-finished one: the exercise tests the plan, it does not replace it.
  • An agreed, realistic scenario built on the threats that genuinely apply to the sector of the organisation.
  • An explicit no-blame agreement. If people play defensively, the exercise reveals nothing.

Plazo típico de entregaTypical delivery time

2 a 5 semanas 2 to 5 weeks rango habitual del mercado usual market range

El ejercicio en sí dura entre dos y cuatro horas. El servicio completo va de dos a cinco semanas contando el diseño del escenario a medida, la coordinación de agendas —que suele ser lo que más demora— y el informe con hallazgos y plan de acción. Lo recomendable es repetirlo al menos una vez al año con un escenario distinto.

The exercise itself lasts two to four hours. The full service runs two to five weeks including bespoke scenario design, diary coordination — usually the slowest part — and the report with findings and action plan. Repeating it at least annually with a different scenario is the sensible cadence.

NomenclaturaTerminology

Las siglas y estándares que aparecen en esta ficha, explicados. The acronyms and standards used on this page, explained.

TTXTTX
Ejercicio de mesa: simulacro conversado, sin tocar sistemas, centrado en la toma de decisiones. Tabletop exercise: a discussion-based drill that touches no systems and focuses on decision-making.
InyectoInject
Cada nueva noticia que el facilitador introduce para complicar el escenario y forzar decisiones. Each new development the facilitator introduces to complicate the scenario and force decisions.
FacilitadorFacilitator
Quien conduce el ejercicio, mantiene el ritmo y evita que la sala se vaya por las ramas. The person running the exercise, keeping pace and stopping the room from drifting.
Simulacro funcionalFunctional exercise
La versión más exigente: se ejecutan acciones reales, como restaurar un respaldo, no solo hablar de ellas. The more demanding version: real actions are executed, such as restoring a backup, rather than merely discussed.