Tabletop exercise, ou exercício de mesa, é um simulado em que executivos e líderes discutem, a partir de um cenário de crise apresentado em etapas, que decisões tomariam. Ele não testa tecnologia. Testa quem decide, com que informação, em quanto tempo e quem comunica o quê a quem.
Num ataque real, decisões como parar ou não a operação, pagar ou não o resgate, quando comunicar o regulador e o que dizer aos clientes cabem à liderança. O tabletop permite tomá-las pela primeira vez com calma, fora do incidente.
A pressão sobre essas decisões tende a crescer. O Global Cybersecurity Outlook 2026, do Fórum Econômico Mundial, mostra que 64% das organizações já consideram ataques motivados por geopolítica em suas estratégias de risco, e o FBI recebeu mais de 1 milhão de denúncias de crimes digitais em 2025, com perdas reportadas de US$ 20,9 bilhões.
Como montar o exercício
O primeiro passo é definir o objetivo: testar o fluxo de decisão, a comunicação externa, o acionamento do plano de continuidade ou a relação com o regulador. Um exercício que tenta testar tudo perde foco. Os participantes são os que estariam na sala no dia real: presidência ou diretoria executiva, operações, jurídico, comunicação, tecnologia, segurança, financeiro e RH.
O cenário deve ser realista e ancorado nos riscos da empresa, de preferência nos cenários priorizados na análise de impacto no negócio. Ele avança por injeções, cada uma com uma informação nova que exige decisão: um sistema parou, um jornalista ligou, chegou uma nota de resgate, o regulador pediu informações.
Facilitação e debrief
Um facilitador externo conduz o exercício, controla o tempo, aprofunda respostas vagas e registra as lacunas. Facilitadores internos tendem a ser mais condescendentes com a própria diretoria.
O debrief é a parte mais importante: o que funcionou, o que travou, quem não sabia o próprio papel e que decisões não tinham responsável. Dele sai um plano de ação com responsável e prazo. Duas a três horas costumam ser suficientes para o exercício completo.
Perguntas que o tabletop precisa colocar à prova
Se a sala não consegue responder a uma delas em um minuto, o exercício já encontrou uma lacuna:
- Operação: quem pode mandar parar a operação, e quem decide se essa pessoa não for encontrada?
- Resgate: quem decide sobre pagar, e com base em quê?
- Comunicações obrigatórias: quando comunicar ANPD, titulares e reguladores setoriais, e quem assina?
- Imprensa: quem fala e o que diz nas primeiras duas horas?
- Clientes e parceiros: quem avisa, e por qual canal, se o e-mail estiver comprometido?
- Seguro: a seguradora já foi acionada, e quem tem os dados da apólice?
Exemplo fictício: o jornalista que ligou primeiro
Num tabletop com a diretoria de uma indústria alimentícia, o cenário é ransomware na planta principal. As primeiras injeções correm bem: o comitê se forma, a TI isola os sistemas e o jurídico avalia as comunicações obrigatórias.
Na quarta injeção, um jornalista liga perguntando sobre o ataque, a partir de uma postagem de um funcionário. A comunicação entende que o tema é do jurídico, o jurídico entende que é da presidência, e ninguém tinha considerado que a notícia poderia vazar por dentro. O ajuste inclui porta-voz com substituto, mensagem inicial pré-aprovada e orientação aos funcionários sobre publicações durante uma crise.
Erros que reduzem o valor do simulado
Cenários genéricos, sem relação com a empresa, são tratados como exercício acadêmico. Executivos que enviam substitutos fazem o exercício testar quem não vai decidir no dia real. Roteiros em que todas as respostas são aceitas confirmam o plano sem testá-lo, e a ausência de debrief faz o aprendizado se perder.
O exercício deve acontecer pelo menos uma vez por ano com a diretoria e sempre que houver mudança relevante na liderança ou no plano de continuidade. O cenário é surpresa; o formato, não: todos precisam saber que erros são esperados e que o objetivo é encontrar lacunas. Para testar a execução técnica, o exercício complementar é o Cyber Wargame.
Simulados de crise conduzidos por especialistas
A Vultus conduz tabletop exercises com cenários baseados nos riscos da empresa e transforma as lacunas encontradas em ajustes no plano de continuidade. Conheça os simulados de crise e tabletop da Vultus e leia sobre as primeiras 48 horas de um ataque de ransomware.
