Un procedimiento escrito puede no aclarar quién toma decisiones durante una alerta. Un ejercicio permite observar dependencias y puntos de coordinación antes de una incidencia real.
Coordinar un ejercicio con objetivos observables
El ejercicio se define con escenarios, contactos y condiciones de parada. Se acuerda qué capacidad se quiere comprobar y cómo se recogerán evidencias para revisar después la respuesta de los sistemas y de las personas implicadas.
Qué incluye la propuesta
- 01
- Objetivo del ejercicio, participantes y reglas de interacción.
- 02
- Escenario y evidencias acordadas con controles de impacto y parada.
- 03
- Revisión posterior de detección, coordinación y decisiones.
Qué queda fuera
No se ofrece por defecto un servicio de red team encubierto, persistencia, engaño a terceros o respuesta real a incidentes. Cada modalidad y capacidad debe confirmarse.
Cómo se desarrolla el trabajo
Acordamos si procede un ejercicio de mesa o una simulación técnica y sus límites.
Ejecutamos el guion autorizado con un contacto responsable y registro de observaciones.
Analizamos con los participantes lo ocurrido y las mejoras del procedimiento.
Qué recibe tu empresa
Guion, reglas, registro de observaciones y conclusiones técnicas y ejecutivas con acciones priorizadas.
Plazos y factores de presupuesto
Preparación del escenario, disponibilidad de equipos participantes y ventanas de ejecución.
Complejidad del escenario, áreas implicadas y profundidad técnica autorizada.
Autorización y confidencialidad
El escenario acordado identifica objetivos, sistemas autorizados y contactos de coordinación. Se documenta la secuencia de la simulación y las observaciones útiles para mejorar la detección y respuesta.
Solicitar presupuesto o una reunión
Describe el procedimiento o escenario que quieres comprobar y las áreas participantes.
Un escenario concreto y una autorización clara
Una simulación debe responder a un objetivo verificable, como comprobar si un control detecta una secuencia acordada o si el equipo sabe escalar una alerta. No se plantea como una actuación abierta sobre cualquier sistema. El escenario identifica activos, participantes, permisos y límites. Se distinguen las acciones técnicas permitidas y las decisiones que necesitan una autorización adicional.
La preparación contempla contactos de seguridad, ventanas, condiciones de parada y protección de información. Si el ejercicio incluye personas o proveedores, sus condiciones deben quedar definidas. No se presupone ingeniería social, acceso físico o actuación sobre terceros por utilizar la expresión simulación de ataques. Cada modalidad requiere alcance y viabilidad propios.
Observar detección y respuesta sin inventar conclusiones
El resultado no se limita a si una acción fue posible. También interesa qué registros se generaron, quién recibió avisos y cómo se interpretaron. Se compara lo observado con los objetivos acordados. Si faltó información o un componente quedó excluido, se explica para no convertir una prueba limitada en una conclusión general sobre la capacidad defensiva.
La revisión posterior organiza evidencias y decisiones de mejora. Puede identificar ajustes de controles, comunicación o procedimientos, pero su implantación no se presume incluida. Las medidas deben asignarse a responsables y verificarse con criterios concretos. Repetir el ejercicio sin cambios acordados no demuestra una mejora.
Cuándo valorar este tipo de trabajo
Puede ser útil cuando la empresa ya dispone de controles y quiere comprobar cómo actúan juntos ante un escenario autorizado. En organizaciones con procesos críticos, la actividad debe condicionarse a la continuidad operativa. La propuesta debe distinguir simulación, pentesting, auditoría y formación para que el cliente compare tareas equivalentes.
Trabajamos desde Murcia con empresas de toda España. La conversación inicial identifica qué capacidad quieres comprobar y qué restricciones tiene el entorno. Después se concreta el ejercicio posible, los entregables y la participación del equipo. No se promete representar todas las amenazas ni reproducir cualquier modalidad de ataque.
Definir qué observaciones permitirán aprender
Un ejercicio resulta más útil cuando parte de una pregunta concreta: si una actividad autorizada genera la señal prevista, si el aviso llega al responsable o si el procedimiento permite coordinar una decisión. Las acciones técnicas se eligen para responder a esa pregunta, con límites y criterios de parada. La cantidad de técnicas ejecutadas no demuestra por sí sola la utilidad del trabajo.
Antes de comenzar debe existir una persona capaz de confirmar si una actividad pertenece al ejercicio o a un incidente real. También conviene identificar dependencias delicadas y situaciones que obligarían a detenerlo. Los sistemas fuera de alcance no se incorporan porque aparezcan conectados a uno autorizado. Cualquier ampliación necesita una decisión explícita.
Reconstruir lo ocurrido de forma conjunta
La revisión posterior puede relacionar acciones de prueba, eventos observados y decisiones del equipo mediante una cronología. Una detección tardía puede deberse a falta de datos, una regla, un canal de comunicación o un procedimiento poco claro. Separar esas causas permite proponer mejoras concretas. La entrega distingue acciones realizadas, resultados observados y limitaciones; no transforma un escenario acotado en una evaluación completa de todas las capacidades defensivas.