Entregable 01Informe
Informe ejecutivo 20–30 páginas
ContenidoDecisiones tomadas, brechas detectadas, comparativa con benchmark sectorial y recomendaciones priorizadas.
§00 — Curso 05 · Simulacro
Tener un plan no sirve
Tener un plan no sirve
si nunca se ha puesto a prueba.
§01
Para quién
Para quién
Para comités de crisis reales o latentes.
El ejercicio funciona cuando se sienta a la mesa dirección, IT y comunicación juntos. Si falta alguno de los tres, sólo destapa la mitad de las fricciones.
Perfil del aula
- A.01CEO, COO y dirección financieraCrítico
- A.02CISO, CIO y responsable de ITCrítico
- A.03Comunicación, prensa y portavocíaCrítico
- A.04Legal, DPO y complianceEncaja
- A.05RRHH y dirección de operacionesEncaja
Requisitos previos
- R.01Comité ejecutivo constituidoObligatorio
- R.02Disponibilidad jornada completaObligatorio
- R.03Sala física amplia (recomendado)Logística
- R.04Cesión de organigrama y proveedores claveBrief previo
- R.05NDA firmado por todos los facilitadoresObligatorio
§02
Escenarios
Escenarios
Cinco escenarios. Uno se juega.
El cliente elige uno o nos deja elegirlo. Personalizamos detalles, nombres, infraestructura y proveedores al sector real. Ninguno se descubre hasta el briefing.
ESCENARIO A
Ransomware operativo
Un empleado abre un adjunto en el móvil. Quince horas después salta encrypting masivo en file servers. Nota de rescate: 4 M€ en Bitcoin, 72 horas. 400 GB filtrados como muestra. Decisión de pago vs restauración, aislamiento de CPD y comunicación a empleados y clientes afectados.
ESCENARIO B
BEC y fraude CEO
El director financiero recibe correos aparentemente legítimos del CEO aprobando una transferencia urgente de 1,2 M€ a un proveedor nuevo. Se ejecuta. Tres días después, el CEO real pregunta. Trazabilidad financiera, protocolo anti-fraude y gestión del error humano.
ESCENARIO C
Brecha de datos y dark web
Un cliente avisa de uso de credenciales desde Rusia. Ghostnet confirma 180.000 registros a la venta. No hay evidencia de intrusión en la infraestructura. AEPD debe ser notificada en 72 h. Investigación del vector sin evidencia clara y comunicación masiva a afectados.
ESCENARIO D
Supply chain compromise
Un proveedor SaaS crítico notifica compromiso: los atacantes tuvieron acceso a su panel durante cuarenta días. Tú eres cliente. No sabes qué datos tuyos están comprometidos. El proveedor no da detalles. Cláusulas contractuales, peor caso sin información y notificación proactiva.
ESCENARIO E
Hacktivismo y defacement
Un colectivo publica un dump de 22 GB presuntamente extraído de la web institucional. Los medios empiezan a llamar. El dump contiene datos personales de empleados y ciudadanos. Gestión de prensa en tiempo real, verificación del dump y reputación corporativa e institucional.
§03
Qué te llevas
Qué te llevas
Un informe que cambia decisiones reales.
Entregable 02Actas
Actas del facilitador
TrazabilidadCronología completa de inyecciones, respuestas y tiempos de decisión por persona y por rol.
Entregable 03Plan
Plan de acción 90 d / 6 m / 12 m
ResponsablesAcciones concretas con responsable nominal y fecha, priorizadas por impacto sobre las brechas reveladas.
Entregable 04Vídeo
Highlight para formación interna
OpcionalVídeo resumen (15–20 min) editado para reutilizar en onboarding y reuniones futuras del comité.
Entregable 05Retest
Retest a 6 meses
ContinuidadRepetición del ejercicio sobre el mismo comité con inyecciones distintas para medir evolución real.
Entregable 06Comparativa
Benchmark sectorial
ContextoComparación anónima del desempeño del comité con otros ejercicios del mismo sector que hemos facilitado.
§04
Formato
Formato
Una jornada. Tres fases. Tres facilitadores.
Detalle operativo
- F.01Duración8 h
- F.02ModalidadPresencial recomendado
- F.03AforoHasta 15
- F.04Facilitadores3 Neural
- F.05IdiomaES / EN
Fases de la jornada
- 09:00Briefing, reglas y asignación de roles30 min
- 10:00Fase 1 · Detección y contención2,5 h
- 13:30Fase 2 · Comunicación con prensa y reguladores2,5 h
- 16:00Fase 3 · Recuperación y post-mortem1 h
- 17:00Debrief y entrega preliminar30 min
§05
Preguntas
Preguntas
Dudas frecuentes.
¿Hace falta tener un plan de respuesta para hacer el tabletop?
No. De hecho, el ejercicio funciona muy bien como diagnóstico previo a redactar el plan. Si lo tenéis, se pone a prueba; si no, las brechas detectadas alimentan el primer borrador.
¿Se puede hacer 100 % online?
Es posible, pero recomendamos presencial. Las fricciones reales entre dirección, IT y comunicación se ven cuando todos están en la misma sala — por videoconferencia se mitigan artificialmente.
¿Qué información confidencial se cede a Neural?
Organigrama, proveedores clave y un repaso del entorno técnico — lo necesario para que las inyecciones tengan verosimilitud. Todo bajo NDA firmado por los tres facilitadores antes del kickoff.
¿Sirve para auditorías NIS2 o aseguradoras?
Sí. Entregamos acta firmada, listado de participantes y certificado del ejercicio. Es una de las evidencias más valoradas en renovaciones de pólizas y en auditorías de continuidad.
§06 — Siguiente paso
Pide presupuesto o reserva 30 min para definir alcance.
Cuéntanos sector, tamaño del comité y escenarios que más os preocupan. Te respondemos con propuesta cerrada en 48 h o ajustamos el formato en una llamada corta.