Los incidentes de ciberseguridad muestran lo difícil que es tomar decisiones estratégicas óptimas en un entorno tan complejo. Dado que es difícil para los investigadores observar los procesos de toma de decisiones de las organizaciones que impulsan la estrategia de ciberseguridad, desarrollamos un juego de mesa que imita este entorno de la vida real y muestra los desafíos de la toma de decisiones. Observamos a expertos en ciberseguridad participando en el juego. Los resultados mostraron que los tomadores de decisiones que tuvieron un rendimiento deficiente tendían a emplear heurísticas, lo que llevaba a enfoques de decisión falaces (estrategias de sobrerreacción en lugar de proactivas), y no siempre eran conscientes de su bajo rendimiento. Abogamos por la necesidad de herramientas de apoyo a la decisión que capturen esta dinámica compleja.