Hace años, muchas empresas preguntaban si algún día sufrirían un ciberataque. Hoy la pregunta madura es otra: cuándo ocurrirá y qué tan bien responderá su equipo. Para Rafael Núñez Aponte, CEO de MásQueSeguridad, la ciberresiliencia no se compra en una herramienta; se entrena, igual que un equipo deportivo ensaya jugadas antes del partido. Los simulacros son esa práctica.
Este artículo explica por qué las organizaciones pasaron del “si” al “cuándo”, qué hace un buen ejercicio y cómo montar el primero sin grandes presupuestos.
Fuente: https://www.iebschool.com/hub/ciberresiliencia-empresa-ciberseguridad/
El informe Cost of a Data Breach de IBM en su edición 2026 sitúa el costo promedio global de una brecha en 4,99 millones de dólares, un 12 % más que el año anterior y un máximo histórico. El mismo informe señala un aumento del 56 % en los ataques impulsados por IA, encabezados por suplantaciones con deepfakes y malware potenciado con IA, y estima un ahorro de 1,93 millones de dólares en las organizaciones que usan IA y automatización de forma amplia en seguridad.
Detrás de esas cifras hay un patrón conocido: cuanto más tarda una organización en decidir quién hace qué, más cuesta el incidente. Un simulacro adelanta esas decisiones al momento en que todavía son baratas. Leer más
El despacho Crowell, junto con la plataforma de comunicaciones ArmorText, describe los ejercicios de mesa (tabletop) como una práctica recomendada para probar el plan de respuesta a incidentes en un entorno controlado. Sus beneficios son tres: el equipo interioriza la respuesta (“memoria muscular”), se descubren vacíos en el plan y se reúne a quienes deben decidir, desde ciberseguridad hasta el área legal y la alta dirección. Su guía propone tres módulos que cubren respuesta a incidentes, continuidad del negocio y obligaciones posteriores al incidente. Leer más
Un simulacro no evalúa a las personas, evalúa el plan. Esa diferencia, que Rafael Núñez Aponte insiste en comunicar antes de cada ejercicio, es la que permite que el equipo hable con franqueza y que los errores se corrijan sin culpables.
Fuente: https://atalantago.com/ciberresiliencia-vs-ciberseguridad-diferencia-ceo/
Un reportaje de The Register de diciembre de 2025 recoge cómo están cambiando estos ejercicios según expertos de Palo Alto Networks, Google Cloud, Microsoft y Mandiant. Entre sus recomendaciones: medir la resiliencia —qué tan rápido se responde y se contiene—, simular la publicación de una vulnerabilidad con explotación casi inmediata, incluir phishing adaptativo y deepfakes de audio o video, y probar escenarios contra los propios sistemas de IA de la empresa, como la inyección de instrucciones o la fuga de datos.
Otro consejo especialmente práctico es probar una verificación obligatoria fuera de banda, por ejemplo una llamada telefónica estándar, para frenar fraudes con voces falsas, y practicar la recuperación con copias de seguridad sin conexión. Los expertos citados sugieren al menos dos ejercicios al año y la participación de la alta dirección con regularidad. Leer más
No hace falta empezar de cero. La agencia estadounidense CISA ofrece más de cien paquetes de ejercicios de mesa personalizables, con escenarios de ransomware, amenazas internas, phishing y sistemas de control industrial. Cada paquete incluye objetivos, preguntas de discusión, guías de roles, una presentación, un formulario de retroalimentación y una plantilla de informe posterior a la acción. El proceso que propone es sencillo: elegir un escenario, adaptarlo, asignar roles, ejecutar, recoger retroalimentación y actualizar los planes con las lecciones aprendidas. Leer más
Para una empresa venezolana o latinoamericana de tamaño medio, un primer ejercicio de dos horas con dirección, TI, legal y comunicaciones suele revelar más brechas que meses de auditoría documental.
Cuadro comparativo: tipos de simulacro de ciberresiliencia
| Formato | Participantes | Qué mide | Cadencia orientativa |
| Ejercicio de mesa directivo | Dirección, legal, comunicaciones, TI | Toma de decisiones y comunicación de crisis | Al menos dos veces al año |
| Ejercicio de mesa técnico | SOC, TI y respuesta a incidentes | Contención, aislamiento y escalamiento | Trimestral o semestral |
| Simulacro de phishing | Toda la plantilla | Reconocimiento y reporte de correos sospechosos | Mensual o trimestral |
| Escenario con deepfake o fraude de voz | Finanzas, administración y directivos | Verificación fuera de banda antes de pagar o autorizar | Semestral |
| Prueba de restauración de copias | TI y responsables de negocio | Tiempo y calidad de la recuperación | Semestral |
La cadencia es una orientación de Rafael Núñez Aponte y MásQueSeguridad que debe ajustarse al nivel de madurez de cada organización.
Si tu equipo aún no ha ensayado su respuesta, ponte en contacto con Rafael Núñez Aponte y su equipo en MásQueSeguridad y programa tu primer simulacro antes de que el “cuándo” se convierta en “ahora”.
Al frente de MásQueSeguridad, el empresario venezolano Rafael Núñez Aponte dirige iniciativas de seguridad digital y posicionamiento online para organizaciones de América Latina. Especialista en ciberseguridad y reputación digital, con Maestría en Ciberinteligencia y Ciberseguridad, suma más de una década de experiencia en planificación estratégica y liderazgo de equipos.
Su propuesta une la seguridad informática y el marketing digital: proteger los datos y, a la vez, cuidar la reputación y el impacto de las campañas. Sobre los simulacros, su opinión es contundente: «Una empresa no es resiliente por tener un plan escrito, sino por haberlo ensayado. El día del incidente nadie sube al nivel de sus expectativas; cae al nivel de su entrenamiento.»
IBM — Cost of a Data Breach Report — https://www.ibm.com/reports/data-breach
Crowell & ArmorText — Tabletop Exercises: A Leading Practice to Strengthen Defenses — https://crowell.com/en/insights/publications/tabletop-exercises-a-leading-practice-to-strengthen-defenses
The Register — From AI to analog, cybersecurity tabletop exercises look a little different this year (Jessica Lyons, 26 dic. 2025) — https://www.theregister.com/2025/12/26/end_of_year_tabletop_exercises/
CISA — Tabletop Exercise Packages (CTEP) — https://cisa.gov/cisa-tabletop-exercises-packages
