Gestión de incidentes: del playbook al tabletop ejercitable

El playbook no es el plan

Si tu plan de respuesta a incidentes es "tenemos un playbook", no tienes plan. El playbook es una guía. El plan es: gente entrenada, comunicación funcionando, decisiones tomadas antes del momento crítico.

Los tabletops son el ensayo de orquesta. Sin ellos, la primera función será un desastre.

Qué es un buen tabletop

NO es una reunión donde alguien lee el playbook en voz alta. ES un ejercicio donde:

• Hay un facilitador que presenta un escenario realista.
• Los participantes responden cómo lo harían en la vida real.
• El facilitador introduce inyecciones (twists) que estresan el proceso.
• Al final hay un debrief honesto identificando qué falló.

Roles imprescindibles

• Incident Commander: toma decisiones, comunica. Debe ser el mismo cargo que en la vida real.
• Comunicaciones: maneja mensajes externos (clientes, prensa, regulador).
• Técnico: ejecuta contención y remediación.
• Legal & Compliance: notificaciones a reguladores, asesoría legal.
• Negocio: representa el impacto operacional, prioridades.
• Liderazgo C-Level: presente, observando, no dirigiendo el técnico.

Escenarios que NO pueden faltar

En el ciclo anual de tabletops de un banco, mínimo ejercitamos:

1. Ransomware: cifrado de servidores críticos. ¿Pagas? ¿No pagas? ¿Cómo recuperás?
2. Brecha de datos: filtración de datos de clientes. Notificación 72h, comunicación, contención.
3. DDoS sostenido: tus servicios online down. ¿Mitigás con un partner? ¿Qué priorizás?
4. Insider malicioso: empleado con acceso privilegiado actúa de mala fe. Detección, contención sin tip-off.
5. Compromiso de supply chain: tu proveedor de software fue hackeado. Tu instancia está comprometida.

Inyecciones que estresan el proceso

El valor del tabletop está en las inyecciones. Algunas favoritas:

• "El CEO está en un vuelo internacional, sin acceso a celular."
• "Un periodista llamó con detalles del incidente — antes de que ustedes confirmaran nada."
• "El regulador llama pidiendo info — y todavía no tienen forensics completos."
• "Los backups de las últimas 72 horas también están cifrados."
• "Su MDR no responde — están en mantenimiento programado."

Frecuencia mínima

Para una institución financiera mediana:

• Tabletop completo: 2 veces al año.
• Tabletop departamental: 1 vez al trimestre.
• Drills técnicos (simulación de detección): mensual.
• Re-lectura del playbook por roles: mensual.

En Ciberseguridad & PDP 2026 vamos a hacer tabletops en vivo con casos reales. Si tu organización nunca ha ensayado un incidente, este es el momento.