Capítulo 11 — Laboratorio supervisado

Capítulo 11 — Laboratorio supervisado

Mapa de la lección

Lección 11 publicada. Mapa, ejemplo, EX051.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["11.1 Tipos de ejercicio"]
  N2["11.2 Diseño"]
  N3["11.3 Facilitación"]
  N4["11.4 Evaluación y mejora"]
  N5["11.6 Rúbrica de diseño de ejercicios"]
  N6["11.7 Actividad práctica supervisada"]
  N7["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX051"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["11.1 Tipos de ejercicio"]
  N2["11.2 Diseño"]
  N3["11.3 Facilitación"]
  N4["11.4 Evaluación y mejora"]
  N5["11.6 Rúbrica de diseño de ejercicios"]
  N6["11.7 Actividad práctica supervisada"]
  N7["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX051"]

[Resultados de aprendizaje y conexión]
    |
    v
[11.1 Tipos de ejercicio]
    |
    v
[11.2 Diseño]
    |
    v
[11.3 Facilitación]
    |
    v
[11.4 Evaluación y mejora]
    |
    v
[11.6 Rúbrica de diseño de ejercicios]
    |
    v
[11.7 Actividad práctica supervisada]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX051]

Resultados de aprendizaje y conexión

Al terminar este capítulo debería ser capaz de:

• diseñar un ejercicio de mesa basado en la discusión para un servicio esencial, con objetivos, escenario, inyecciones, funciones y criterios de evaluación;
• conducirlo de forma segura y justa, de modo que siga siendo una prueba de los planes y no de las personas;
• evaluarlo con una puesta en común en caliente, un informe posterior a la acción y un plan de mejora;
• evaluar el diseño de un ejercicio frente a una rúbrica, bajo supervisión.

Para una coordinadora profesional, el laboratorio es la sala del ejercicio. Este capítulo reúne todo lo visto hasta ahora (partes interesadas, autorización, riesgo, RACI, acceso de proveedores, relojes de notificación, calidad de las decisiones) en un único ejercicio supervisado.

11.1 Tipos de ejercicio

Los programas de ejercicios distinguen los ejercicios basados en la discusión (seminarios, talleres, ejercicios de mesa), en los que los participantes recorren de palabra un escenario, de los ejercicios basados en operaciones (simulacros, ejercicios funcionales, ejercicios a escala real), en los que ejecutan acciones. El Homeland Security Exercise and Evaluation Program (HSEEP) de Estados Unidos expone esta progresión y un ciclo de diseñar, conducir, evaluar y mejorar (FEMA, HSEEP). La guía del NIST abarca los programas de pruebas, formación y ejercicios para los planes de TI (NIST SP 800-84). La CISA publica paquetes de ejercicios de mesa listos para usar con escenarios de infraestructuras críticas (CISA Tabletop Exercise Packages), y el NCSC británico ofrece «Exercise in a Box» (NCSC, Exercise in a Box).

Un ejercicio de mesa es el primer paso adecuado: barato, seguro (nada toca un sistema en funcionamiento) y excelente para sacar a la luz lagunas en las funciones, la información y la comunicación.

11.2 Diseño

Un documento de diseño tiene siete partes:

1. Objetivos: de tres a cinco, cada uno observable: «En los 30 minutos siguientes a la inyección correspondiente, el equipo decide si suspende el acceso del proveedor, con responsable y justificación registrados». Evite «probar nuestra respuesta».
2. Alcance y supuestos: qué planes se ponen a prueba, qué equipos juegan, qué queda fuera del alcance («no se juega el proceso técnico forense»).
3. Escenario: verosímil, sintético, adecuado al sector, basado en información pública sobre amenazas a un nivel general; nunca en el error de un colega real.
4. Inyecciones: datos nuevos programados en el tiempo (una alarma, una llamada telefónica, un periodista, un plazo del regulador). Cada inyección se asocia al menos a un objetivo y tiene una decisión esperada.
5. Funciones: jugadores (deciden como lo harían en la realidad), facilitador (controla el reloj, presenta las inyecciones, mantiene viva la discusión), evaluadores (observan frente a los objetivos, llevan el registro de decisiones), secretario de actas y un responsable de seguridad o agente de confianza que puede pausar el ejercicio.
6. Criterios de evaluación: qué significa «cumplido», «cumplido en parte» y «no cumplido» para cada objetivo.
7. Logística y reglas: fecha, sala, ningún sistema real tocado, «ejercicio, ejercicio, ejercicio» en cada inyección escrita para que nada pueda confundirse con un evento real, y una frase de parada para el mundo real.

11.3 Facilitación

Empiece con las reglas básicas: esto pone a prueba los planes, no a las personas; no hay preguntas trampa; decidan como lo harían en la realidad; digan cuándo necesitarían información que no tienen. Mantenga el reloj con honestidad y resista la tentación de rescatar a los jugadores: si el equipo no tiene forma de contactar con el hospital, la laguna es el hallazgo. Registre las decisiones, no opiniones sobre el desempeño. En DRY CREEK, el facilitador no proporcionó el contacto del hospital que faltaba ni asignó la llamada cuando los jugadores dudaron; ese silencio produjo el hallazgo más claro del ejercicio.

11.4 Evaluación y mejora

Inmediatamente después: una puesta en común en caliente, en la que cada participante dice qué funcionó y qué no. En dos semanas: un informe posterior a la acción (AAR) que califica cada objetivo con evidencia del registro de decisiones, y un plan de mejora que convierte los hallazgos en acciones con responsable, fecha y verificación (capítulo 10). El AAR se comparte con el nivel de TLP adecuado; nombra lagunas de los planes y de las herramientas, no a personas. El informe de DRY CREEK calificó O3 como no cumplido y lo convirtió en una acción con un responsable, una fecha y una inyección de nueva prueba.

11.5 Ejemplo resuelto: el ejercicio «DRY CREEK» (sintético)

Objetivos. (O1) Declarar o descartar un incidente cibernético en los 15 minutos siguientes al primer indicador, con justificación. (O2) Decidir sobre la suspensión del acceso remoto de un proveedor en 30 minutos, sabiendo qué operaciones dependen de él. (O3) Informar al hospital dentro de las 2 horas de su acuerdo, con un único responsable principal con nombre. (O4) Cumplir el plazo ilustrativo de alerta temprana del regulador con un mensaje aprobado. (O5) Emitir una declaración provisional con un aprobador que rinda cuentas en los 45 minutos siguientes al contacto de los medios.

Escenario. Un viernes por la tarde se denuncia el robo del portátil de un ingeniero de HydroLogic; una hora después, el KVROC comunica una sesión remota a la estación KW-04 desde la cuenta de HydroLogic a una hora inusual, y un operador ve un cambio inesperado de la consigna de dosificación, que los límites del controlador rechazan. Todo sintético.

Tabla de inyecciones (extracto).

Funciones. Jugadores: E. Varga (dirección), A. Mensah, L. Ferreira, R. Adeyemi, el ingeniero de guardia y M. Holt, que se incorpora a las 00:55. Facilitadora: la coordinadora. Evaluadores: un auditor interno y una coordinadora homóloga de una empresa de servicios vecina, con un acuerdo de confidencialidad. Responsable de seguridad: el supervisor de turno, con la frase de parada «mundo real, mundo real».

Evaluación (a partir del registro del evaluador, analizado con el método del Lab 10). O1 cumplido (9 minutos, justificación registrada). O2 cumplido en parte: decisión a los 52 minutos porque nadie sabía quién más dependía del acceso de HydroLogic. O3 no cumplido: la llamada al hospital nunca se asignó. O4 cumplido. O5 cumplido en parte: declaración emitida tarde, sin responsable hasta que llegó el consejero delegado. Estos hallazgos alimentaron directamente las acciones correctivas del capítulo 10.

11.6 Rúbrica de diseño de ejercicios

Use la rúbrica con el diseño de DRY CREEK: sus objetivos son observables y tienen plazo, y cada inyección se asocia a uno.

11.7 Actividad práctica (supervisada)

Diseñe un ejercicio de mesa de 90 minutos para un servicio esencial de su elección usando las siete partes de 11.2, con al menos cuatro objetivos y seis inyecciones. Pida a su supervisor o a un colega que lo puntúe con la rúbrica antes de conducirlo. Base el escenario en información pública sobre amenazas a un nivel general, como DRY CREEK usó un portátil robado de un proveedor y una sesión remota inusual, y nunca en el error de un colega real. Asocie cada inyección a un objetivo con una decisión esperada y nombre a un responsable de seguridad con una frase de parada. Marque cada inyección escrita como ejercicio. Tras la puntuación, revise el diseño y registre lo que cambió el revisor, para que el supervisor pueda ver cómo se aprovecharon los comentarios.

11.8 Errores comunes y límites

• Demasiados objetivos; nada se evalúa como es debido.
• Escenarios tan graves que todos los planes fallan y no se aprende nada concreto.
• Facilitadores que rescatan a los jugadores o dejan que dominen los cargos superiores.
• Inyecciones del ejercicio que podrían confundirse con mensajes reales.
• AAR que nunca se convierten en acciones.

• Un ejercicio de mesa muestra si los planes y las funciones tienen sentido; no muestra que los procedimientos puedan ejecutarse con rapidez; para eso hacen falta simulacros.

• Elegir evaluadores que también son jugadores, de modo que nadie observa las decisiones de forma independiente.

• Ignorar un comentario de la puesta en común como «dábamos por hecho que se encargaba comunicación», que en DRY CREEK apuntaba a la causa real.

Ejercicios — capítulo 11

EX051 — Haga observables los objetivos. Objetivo: redactar objetivos evaluables. Insumos: «Probar nuestra comunicación», «Comprobar la gestión de proveedores», «Ver si la gente conoce el plan». Pasos: reescribir cada uno. Evidencia esperada: tres objetivos. Rúbrica: 3 = cada uno indica una decisión o acción, un plazo y lo que se registra; 2 = sin plazos; 1 = siguen siendo vagos; 0 = nada.

EX052 — Redacte inyecciones. Objetivo: asociar inyecciones a objetivos. Insumos: los objetivos de DRY CREEK. Pasos: redactar dos inyecciones nuevas que pongan a prueba O2 y O4 con más profundidad, con sus decisiones esperadas. Evidencia esperada: dos filas de inyecciones. Rúbrica: 3 = verosímiles, sintéticas, cada una asociada con una decisión esperada (por ejemplo, HydroLogic pide volver a conectarse para arreglar la dosificación; el oficial de guardia del regulador pide una actualización antes del plazo); marcadas como «ejercicio»; 2 = sin asociar; 1 = poco realistas; 0 = nada.

EX053 — Puntúe un diseño. Objetivo: aplicar la rúbrica. Insumos: el diseño de un colega: un único objetivo, «probar la respuesta a incidentes»; el escenario es un ataque de un Estado que provoca el fallo de una presa; el consejero delegado evalúa; las inyecciones se envían desde la cuenta de correo real del consejero delegado. Pasos: puntuar cada criterio y proponer correcciones. Evidencia esperada: puntuaciones y correcciones. Rúbrica: 3 = puntuaciones bajas en objetivos, proporción del escenario, funciones/independencia de la evaluación y seguridad (el correo real puede causar confusión); correcciones para cada uno; 2 = correcciones sin puntuaciones; 1 = lo acepta; 0 = nada.

EX054 — Redacte el resumen del AAR. Objetivo: evaluar frente a los objetivos. Insumos: la evaluación de DRY CREEK en 11.5. Pasos: redactar la tabla resumen del AAR con calificación, evidencia y acción recomendada por objetivo. Evidencia esperada: cinco filas. Rúbrica: 3 = calificaciones coherentes con la evidencia, acciones con responsable y verificables, nadie culpado individualmente; 2 = acciones vagas; 1 = narración; 0 = nada.

EX055 — Un reto de facilitación. Objetivo: gestionar un problema de facilitación. Insumos: en el ejercicio, el consejero delegado domina la sesión y lo decide todo, incluido el aislamiento técnico. Pasos: describir lo que hace el facilitador durante el ejercicio y después. Evidencia esperada: acciones. Rúbrica: 3 = durante: invitar por su nombre a los dueños de cada función, preguntar «¿quién decidiría esto en la realidad?», registrar; después: plantearlo en el AAR como un hallazgo de claridad del plan o de las funciones, informar al consejero delegado en privado y con respeto; 2 = solo después; 1 = lo ignora; 0 = nada.

Síntesis del capítulo

Un ejercicio de mesa es el laboratorio del coordinador: seguro, barato y eficaz para sacar a la luz lagunas en las funciones, la información y la comunicación. Diséñelo con objetivos observables, un escenario sintético verosímil, inyecciones asociadas a los objetivos, evaluadores independientes y un responsable de seguridad. Condúzcalo para poner a prueba los planes, no a las personas; evalúelo con una puesta en común en caliente, un informe posterior a la acción y un plan de mejora cuyas acciones tengan responsable y se verifiquen.

Siga estudiando — capítulo 11 de 12

← Capítulo 10 · Índice de capítulos del curso · Capítulo 12 →

Continúe con la siguiente lección escrita.