Un ejercicio bien diseñado permite practicar decisiones, coordinación y comunicaciones sin intervenir sistemas reales.
Aprender ciberseguridad mediante escenarios
Los juegos de roles permiten entrenar a las personas mediante escenarios simulados en los que cada participante asume una función determinada y debe tomar decisiones frente a una situación de ciberseguridad.
Por ejemplo, ante un incidente de ransomware pueden participar representantes de dirección, informática, ciberseguridad, comunicaciones, asesoría jurídica, continuidad operacional y usuarios afectados.
¿Qué aportan estos ejercicios?
Su principal ventaja es que permiten transformar procedimientos escritos en decisiones concretas. Durante un ejercicio pueden aparecer preguntas sobre quién declara el incidente, qué sistemas deben aislarse, cómo se mantiene la continuidad operacional, qué información puede comunicarse o cuándo deben intervenir terceros.
Este tipo de actividad ayuda a identificar brechas de coordinación, responsabilidades poco claras y procedimientos que necesitan ser mejorados.
Tabletop exercises
Una modalidad especialmente útil es el tabletop exercise, en el cual los participantes analizan un escenario progresivo y discuten qué decisiones adoptarían. No es necesario intervenir sistemas reales: el objetivo es evaluar procedimientos, coordinación, toma de decisiones, comunicaciones y capacidad de respuesta.
Más que capacitación tradicional
Los juegos de roles no reemplazan la capacitación técnica, pero pueden complementarla de manera eficaz. Mientras una exposición tradicional explica qué debe hacerse, un ejercicio obliga a los participantes a decidir cómo actuar cuando existe presión, información incompleta y responsabilidades compartidas.
Después del ejercicio
Es recomendable realizar una revisión posterior para identificar qué funcionó correctamente, qué dificultades aparecieron, qué decisiones fueron confusas, qué procedimientos deben actualizarse y qué capacidades requieren entrenamiento adicional.
Conclusión
Los juegos de roles y ejercicios de mesa permiten practicar la respuesta a incidentes sin esperar a que ocurra una crisis real. Su mayor valor reside en convertir planes escritos en capacidades que realmente pueden ejecutarse.
Fuentes y referencias
Guía para diseñar, desarrollar, ejecutar y evaluar actividades de capacitación, pruebas y ejercicios.
https://csrc.nist.gov/pubs/sp/800/84/finalRecursos para desarrollar ejercicios de mesa, con escenarios, preguntas para discusión y orientación para facilitadores.
https://www.cisa.gov/resources-tools/services/cybersecurity-tabletop-exercise-packages