Executive Tabletop
Simulación de Crisis Ejecutiva
Tu plan de respuesta existe. La pregunta es si funciona cuando el reloj corre, la información está incompleta y el regulador espera. Ponemos a tu comité directivo frente a una crisis real, con obligaciones regulatorias de varias jurisdicciones corriendo en tiempo real, y te entregamos la evidencia documentada de que la prueba ocurrió.
No es un simulacro.
Es una crisis con reloj.
Un tabletop tradicional reúne a un comité alrededor de una presentación y discute qué haría. Nadie pierde nada por deliberar de más, y al final todos coinciden en que el plan funciona.
Executive Tabletop no espera. El incidente avanza, los relojes regulatorios corren, y cada decisión cambia lo que pasa después. Cuando un plazo de notificación se vence, se vence de verdad, y eso queda en el reporte.
Tabletop tradicional
- Discusión sin consecuencias.
- El tiempo no cuenta.
- Un país, un marco genérico.
- Escenario de plantilla.
- Reporte de percepciones.
- Un evento aislado al año.
Executive Tabletop (Nordstern)
- Cada decisión altera el estado del incidente.
- Relojes regulatorios corriendo, con plazos reales.
- Obligaciones simultáneas de varias jurisdicciones.
- Configurado a tu sector, tus países y tus roles reales.
- Veredicto de cumplimiento con evidencia auditable.
- Programa con medición de tendencia entre ejercicios.
La diferencia entre las dos columnas no se explica en una reunión. Se corre.
Poner nuestro plan a pruebaYa no es opcional
Tu póliza lo exige
Las principales aseguradoras cibernéticas ya condicionan la cobertura a un ejercicio documentado dentro de los últimos doce meses. Se han anulado pólizas por no tenerlo.
Tu regulador lo exige
Cada vez más marcos regulatorios reconocen las pruebas basadas en escenarios como forma válida, y en algunos casos obligatoria, de demostrar preparación operativa, con documentación de alcance, hallazgos y remediación. Aplica en América Latina, Estados Unidos y Europa, con matices por jurisdicción y por sector.
Tu norma lo exige
ISO 27001 no pide que tengas un plan de continuidad. Pide que lo pruebes. Un ejercicio documentado es exactamente esa evidencia.
Si tu último ejercicio documentado tiene más de doce meses, conviene revisarlo antes de la próxima renovación de póliza.
Revisar mi situaciónCuatro fases
Configuración
Definimos el escenario a partir de tu sector, tus países de operación, tu normativa aplicable y los roles reales de tu comité. No usamos una plantilla genérica.
Ejercicio
Tu comité enfrenta el incidente desde su propio dispositivo, con injects que llegan por canales realistas y cuatro cursos de acción por decisión. Ninguna opción es obviamente correcta.
Relojes en marcha
Las obligaciones regulatorias corren en paralelo. Si operas en varios países, son varios relojes con plazos y autoridades distintas, y hay que decidir a quién notificar primero cuando no alcanza para todos.
Evidencia
Entregamos el desempeño del comité, el análisis individual de cada participante, el veredicto de cumplimiento obligación por obligación, y la evidencia documentada de que el ejercicio ocurrió.
El reloj regulatorio
multi-jurisdicción
La mayoría de las simulaciones tratan el cumplimiento como tema de conversación. Aquí es un reloj que corre y un veredicto que se cumple o no se cumple.
Un mismo incidente activa obligaciones distintas en cada país donde operas, con autoridades distintas y plazos distintos. Tu comité las ve todas al mismo tiempo, con el reloj de cada una corriendo por separado, y tiene que decidir a quién notificar primero cuando no alcanza para todos.
Detrás hay investigación real: dieciocho países curados, con las obligaciones específicas de cada uno, sus plazos, sus autoridades y casos documentados de sanción con montos y fechas. Y cuando una obligación no está determinada para tu caso, el sistema lo dice, en lugar de inventarla.
Representación esquemática del panel de sesión. Las jurisdicciones, autoridades y plazos de tu ejercicio se configuran con tus países de operación.
Dieciocho países curados. Tu ejercicio se configura con aquellos en los que operas.
Configurar mi ejercicioTu preparación, medida sesión tras sesión
Un ejercicio aislado te dice cómo respondió tu comité ese día. Un programa te dice si tu organización está mejorando, y con qué evidencia lo afirmas.
Cada organización acumula un Validation Score que se recalcula con cada sesión cerrada, sobre cinco factores ponderados:
Con qué regularidad se ejercita.
Cuántos escenarios y disciplinas se han probado.
Qué tan exigentes fueron las condiciones.
Si el desempeño se sostiene o depende de quién estuvo ese día.
Si los resultados avanzan entre ejercicios.
El resultado es una curva de tendencia, no una foto. Y un estado de madurez que evoluciona conforme la organización acumula evidencia.
Y hay algo más importante que la curva. El siguiente ejercicio empieza revisando los hallazgos del anterior: qué se cerró, qué sigue abierto, y qué se prometió y no ocurrió. Eso es precisamente lo que un auditor pide como evidencia de que las pruebas no solo se hicieron, sino que se atendieron.
Sin instalar nada, sin capacitación previa
Un enlace por participante
Cada participante entra desde su propio dispositivo con un enlace individual asociado a su rol. Se distribuyen por código o por liga, en el momento, y en menos de un minuto el comité está dentro.
Cero requisitos técnicos
Nadie necesita instalar software, crear una cuenta ni aprender a usar la herramienta antes de empezar. El facilitador conduce desde la consola y ve el estado completo del ejercicio.
Presencial o distribuido
Funciona igual en una sala presencial que con el comité distribuido en tres ciudades.
Lo que queda después del ejercicio
Debriefing ejecutivo
Desempeño del comité en contención, cumplimiento y coordinación, con la trayectoria completa del incidente, el estado terminal alcanzado y su nivel de severidad.
Línea de tiempo de decisiones
Cada decisión del comité, con su explicación: si fue la mejor opción disponible o no, y por qué, anclada a la normativa o al marco de práctica que corresponde.
Evidencia de cumplimiento
Veredicto obligación por obligación, con la autoridad, el plazo y el resultado. El documento que tu auditor, tu regulador o tu aseguradora van a pedir. Descargable y enviable.
Cada veredicto va acompañado de su explicación y del marco normativo o de práctica que lo sustenta. Representación esquemática del entregable.
Es el documento que tu auditor, tu regulador o tu aseguradora van a pedir. Mejor tenerlo antes de que lo pidan.
Quiero esa evidenciaDiseñado por una firma auditada bajo los mismos marcos que evalúa
No es un dato decorativo. Significa que quien diseña tu ejercicio de cumplimiento vive dentro de un sistema de gestión auditado, con las mismas exigencias de evidencia, trazabilidad y control de cambios que estamos evaluando en tu organización.
A eso se suma la operación diaria: un SOC 24/7, un equipo de respuesta a incidentes con experiencia real en crisis, y práctica activa de cumplimiento PCI DSS. Los escenarios no salen de un catálogo comprado, salen de lo que vemos y de nuestra práctica de simulación de adversarios.
Certificaciones
- ISO/IEC 27001
- ISO/IEC 27017
- ISO/IEC 27018
Marcos bajo los que operamos
- ISO 9001
- ISO/IEC 20000
- PCI DSS
Detrás del ejercicio hay una plataforma
Executive Tabletop no es una presentación con diapositivas. Es una plataforma de simulación desarrollada por Nordstern.
piezas de contenido curado
tipos de escenario
países con obligaciones curadas
Con anclaje verificable a marcos como MITRE ATT&CK e ISO 22301. El contenido se genera con inteligencia artificial y nada llega a una sesión sin aprobación humana explícita. Eso resuelve la tensión entre bibliotecas curadas que no escalan y contenido generado que no es confiable.
Próximamente bajo licencia
Organizaciones que quieran ejercitar con su propia frecuencia, sin depender de agendar una sesión facilitada, podrán operar la plataforma directamente. Escríbenos si te interesa esa modalidad.
¿Tu comité sabe qué hacer
cuando el reloj empieza a correr?
No lo averigües durante el incidente.
Agendar Executive Tabletop