Recomendaciones Clave para la Continuidad del Negocio y la Recuperación ante Desastres

En el dinámico panorama de los negocios modernos, la robustez de las operaciones de una organización y su capacidad para navegar las interrupciones imprevistas son determinantes críticos de su éxito a largo plazo. Los dominios de la Continuidad del Negocio (CN) y la Recuperación ante Desastres (RD) han surgido como pilares fundamentales para salvaguardar la continuidad de las funciones comerciales críticas, especialmente frente a desastres inesperados o incidentes disruptivos. La Continuidad del Negocio se refiere a la práctica estratégica de desarrollar e implementar planes y procedimientos integrales para asegurar la continuidad sin problemas de las operaciones comerciales vitales ante incidentes disruptivos o catástrofes.

Un plan de continuidad de negocio (BCP) es un plan detallado que describe los pasos que seguirá una organización para volver a la normalidad en caso de catástrofe. Los planes de continuidad del negocio y recuperación ante desastres son estrategias de gestión de riesgos en las que se basan las empresas para prepararse ante incidentes inesperados. La continuidad de negocio se refiere a los planes, procesos y procedimientos que una organización pone en marcha para garantizar que las funciones esenciales continúen durante y después de un desastre o evento inesperado. Por otro lado, la Recuperación ante Desastres se centra en el aspecto táctico de asegurar la restauración de la tecnología, los datos y los sistemas infraestructurales después de un evento disruptivo. La RD se basa en el reconocimiento de que los activos tecnológicos son integrales para las operaciones modernas.

Continuidad del Negocio y Recuperación ante Desastres (BCDR)

Últimamente, cada vez son más las empresas que se inclinan por la práctica conjunta de ambas disciplinas, pidiendo a los ejecutivos que colaboren en las prácticas de BC y DR en lugar de trabajar de forma aislada. Independientemente de cómo decida enfocar el desarrollo de la BCDR en su organización, merece la pena destacar la rapidez con la que está creciendo este campo en todo el mundo. BCDR significa Continuidad de Negocio y Recuperación ante Desastres. Un plan de continuidad de negocio y recuperación ante desastres combina ambas perspectivas en una sola estrategia.

La Continuidad de Negocios abarca un enfoque integral que comprende la planificación estratégica, la evaluación de riesgos, la gestión de crisis y las estrategias de comunicación. Por otro lado, la Recuperación de Desastres se adentra en el ámbito de la tecnología, los datos y la infraestructura. Está principalmente preocupada por restaurar componentes tecnológicos vitales a su estado operativo de manera rápida y eficiente. Si bien la Continuidad de Negocios y la Recuperación de Desastres están interconectadas, atienden a diferentes aspectos de la resiliencia organizacional.

¿Por qué toda organización necesita hoy una estrategia BCDR?

Disponer de un sistema y un plan de continuidad de negocio es clave para garantizar la resiliencia y estabilidad operativa de una organización. Ambos permiten anticipar riesgos, minimizar el impacto de interrupciones, proteger activos críticos y asegurar la rápida recuperación de servicios esenciales. Las empresas modernas dependen de los sistemas de TI, los datos y los flujos de trabajo digitales para operar a diario. Incluso una interrupción breve, ya sea causada por un ciberataque, un fallo de infraestructura, un error humano o un desastre natural, puede detener operaciones críticas, afectar a los clientes y generar pérdidas financieras significativas.

La implementación de un plan sólido de BCDR puede acortar el tiempo de recuperación, independientemente del tipo de desastre al que se enfrente. La continuidad de negocio es especialmente importante dado que los sistemas de TI son cada vez más interdependientes y se incrementa el volumen de transacciones en línea. Una interrupción en una empresa puede traer consigo un efecto dominó y afectar a otras.

Beneficios de una estrategia BCDR sólida:

• Tiempo de inactividad reducido y recuperación más rápida: Cuando los equipos saben de antemano cómo actuar durante las interrupciones, los tiempos de respuesta mejoran significativamente. Esto reduce el caos durante los incidentes y limita el efecto dominó entre sistemas y departamentos.
• Menor riesgo financiero: Según el reciente informe "Cost of a Data Breach" de IBM, el coste medio de una filtración de datos fue de 4,45 millones de dólares en un aumento del 15 % desde 2020. Las empresas con planes sólidos de continuidad del negocio han demostrado que pueden reducir esos costos significativamente.
• Reducción de las sanciones: Las vulneraciones de datos pueden conllevar grandes sanciones si se filtra información privada de clientes. Las empresas que operan en el ámbito de la atención médica y las finanzas personales corren un mayor riesgo debido a la confidencialidad de los datos que manejan.
• Mejor protección de las operaciones comerciales críticas: Un enfoque estructurado obliga a las organizaciones a distinguir entre lo importante y lo esencial para la supervivencia.
• Cumplimiento normativo mejorado: Muchos marcos regulatorios y contractuales exigen que las organizaciones demuestren estar preparadas ante interrupciones inesperadas.
• Roles y responsabilidades claros durante los incidentes: Unas funciones y vías de escalamiento claramente definidas eliminan las dudas y las acciones contradictorias cuando el tiempo apremia.
• Mayor confianza entre clientes y socios: Cuando las partes interesadas ven que los incidentes se gestionan con calma y transparencia, aumenta la confianza.

Desafíos de la implementación de una estrategia BCDR:

• La planificación inicial requiere tiempo y coordinación entre equipos: Recopilar esta información lleva tiempo y a menudo revela dependencias incómodas.
• El mantenimiento continuo a menudo se subestima: Los planes que no se revisan pierden gradualmente su relevancia. Sin actualizaciones y pruebas periódicas, los procedimientos podrían dejar de reflejar la realidad.
• Los planes mal diseñados pueden quedar obsoletos rápidamente: Si los planes no se ajustan tras cambios significativos, corren el riesgo de convertirse en algo teórico en lugar de práctico.

Componentes Clave de la Planificación BCDR

La Continuidad del Negocio y la Recuperación ante Desastres son estrategias fundamentales que aseguran la estabilidad operativa frente a crisis. Esta discusión profundiza en sus aspectos clave: evaluación de riesgos, desarrollo de planes, respuesta a crisis, estrategias de comunicación, pruebas y cumplimiento.

1. Evaluación y Análisis de Riesgos

En el ámbito de la Continuidad de Negocios y la Recuperación de Desastres (CN y RD), la identificación proactiva y la evaluación de riesgos potenciales se erigen como la piedra angular de la preparación efectiva. Las evaluaciones de riesgos deben incluir eventos disruptivos, como desastres naturales, guerras, actos de terrorismo, olas de calor e inundaciones, así como fallos de TI causadas por errores de software y humanos y ciberataques, cualquier cosa que pueda interrumpir sus operaciones comerciales normales y provocar pérdidas financieras. Las organizaciones deben identificar las amenazas en primer lugar. Esto implica un examen meticuloso de todo el espectro de amenazas, peligros y vulnerabilidades que podrían interrumpir las operaciones normales.

Una vez que se identifican las amenazas, peligros y vulnerabilidades, se lleva a cabo una evaluación de riesgos integral. Esto implica evaluar la probabilidad de que ocurra cada posible interrupción y su impacto potencial en las funciones comerciales críticas. El proceso de evaluación de riesgos a menudo implica asignar valores numéricos a la probabilidad y al impacto de cada riesgo, creando una matriz de riesgos que los categoriza en niveles de riesgo bajo, medio o alto. Más allá de las interrupciones operativas, la evaluación de riesgos efectiva amplía su enfoque al impacto potencial en la reputación de una organización.

Análisis de Impacto en el Negocio (AIN)

En el ámbito de la Continuidad del Negocio y la Recuperación ante Desastres (CN y RD), el Análisis de Impacto en el Negocio (AIN) emerge como una herramienta crucial para evaluar las posibles consecuencias de las interrupciones, priorizar las funciones críticas y garantizar la continuación sin problemas de las operaciones esenciales. En el corazón del AIN se encuentra la evaluación integral del impacto potencial que una interrupción puede tener en una organización. Esto implica comprender no solo las consecuencias operativas directas, sino también las repercusiones financieras y de reputación.

Un aspecto fundamental del AIN implica identificar los procesos críticos, sistemas y activos que son indispensables para la continuidad organizativa. Un resultado crucial del proceso de AIN es el establecimiento de Objetivos de Tiempo de Recuperación (RTO) y Objetivos de Punto de Recuperación (RPO).

• Objetivo de Tiempo de Recuperación (RTO): El RTO se refiere a la cantidad de tiempo que se tarda en restaurar los procesos empresariales tras un incidente imprevisto.
• Objetivo de Punto de Recuperación (RPO): El objetivo de punto de recuperación (RPO) de su empresa es la cantidad de datos que puede permitirse perder en un desastre y aun así recuperarse.

2. Desarrollo de Estrategias de Continuidad y Recuperación

En la intrincada trama de la Continuidad del Negocio y la Recuperación ante Desastres (CN y RD), el desarrollo de estrategias de continuidad y recuperación adaptadas emerge como un pilar de la resiliencia organizativa. Los Planes de Continuidad del Negocio (BCPs) son hojas de ruta meticulosamente elaboradas que describen las medidas que se deben tomar para mantener las operaciones comerciales esenciales durante y después de un incidente disruptivo. Estos planes no son universales; se adaptan para abordar los riesgos y escenarios específicos que una organización podría enfrentar.

Los Planes de Recuperación ante Desastres (DRPs) son integrales para el aspecto tecnológico de la continuidad. Estos describen las estrategias para restaurar sistemas tecnológicos, datos e infraestructura en caso de una interrupción. Involucran la definición de Objetivos de Tiempo de Recuperación (RTO) y Objetivos de Punto de Recuperación (RPO) para guiar la velocidad y precisión del proceso de recuperación. El corazón de la resiliencia radica en los mecanismos de redundancia y conmutación por fallo. Esto implica el establecimiento de sistemas duplicados, procesos y recursos que pueden asumir el control de manera fluida en caso de un fallo.

Tipos de Planes Adicionales

• Plan de gestión de crisis: Proporcionan instrucciones detalladas sobre cómo responderá una organización a un tipo concreto de crisis, como un apagón, un ciberdelito o una catástrofe natural.
• Plan de comunicación: Esbozan el modo en que su organización abordará específicamente los problemas de relaciones públicas durante un incidente imprevisto.
• Plan de recuperación de la red: Ayudan a las organizaciones a recuperar las interrupciones de los servicios de red, incluido el acceso a internet, los datos móviles, las redes de área local (LAN) y las redes de área amplia (WAN).
• Plan de recuperación del centro de datos: Se centra en la seguridad de los datos y en las amenazas a la infraestructura de TI.
• Plan de recuperación virtualizado: Se basan en instancias de máquinas virtuales (VM) que pueden comenzar a funcionar en un par de minutos luego de una interrupción.

3. Implementación y Activación del Plan

En el dinámico ámbito de la Continuidad del Negocio y la Recuperación ante Desastres (CN y RD), la eficacia de los planes depende de su implementación y activación sin problemas durante momentos de crisis. Un elemento crucial de la implementación efectiva del plan es la clara delineación de roles y responsabilidades dentro de la organización. Durante las crisis, cada individuo debe comprender sus funciones específicas para garantizar una respuesta coordinada. Además, se deben establecer canales de comunicación que permitan la rápida difusión de información a las partes interesadas pertinentes.

La automatización puede apoyar la continuidad de negocio contribuyendo a poner procesos seleccionados en "piloto automático", reduciendo la posibilidad de que el error humano o la sobrecarga de información provoquen una interrupción. Por ejemplo, consideremos las copias de seguridad de datos automatizadas en la nube, mediante las cuales los archivos importantes se guardan y almacenan de forma continua y segura en varias ubicaciones a las que se puede acceder desde cualquier lugar en el que un empleado tenga acceso a Internet. La implementación y activación de los planes de Continuidad del Negocio y Recuperación ante Desastres representan la capacidad de una organización para exhibir precisión en medio del caos.

4. Pruebas, Formación y Mantenimiento

Para ser eficaces, los planes de continuidad de negocio deben combinar inversiones tecnológicas, procesos sólidos y capacitación que sirva para repasar con los empleados las principales medidas antes de que ocurra un desastre. Un aspecto clave de la continuidad de negocio es la capacidad de recuperarse de interrupciones que alteran la fabricación, las ventas, el transporte y otras operaciones.

La investigación ha demostrado que los planes de continuidad de negocio son más exitosos si cuentan con el respaldo de directivos con visibilidad. Las empresas también deben actualizar y formar a los miembros del equipo con regularidad en torno a sus responsabilidades. Un equipo bien preparado e informado es fundamental. Los ejercicios de entrenamiento y simulación regulares son fundamentales para lograr esta preparación. Las simulaciones brindan información valiosa sobre posibles cuellos de botella, desafíos no anticipados y áreas que requieren mejoras.

Es fundamental que tu plan se alinee con los objetivos de tu organización y con los estándares y principales referentes de la industria, incluidos los requisitos estatales, nacionales e internacionales. Las auditorías son particularmente útiles en industrias altamente reguladas, como servicios financieros, salud y servicios públicos. Las empresas deben revisar sus evaluaciones de riesgos, análisis de impacto y planes de recuperación para asegurarse de que cumplen con los últimos estándares, por ejemplo, la Directiva Federal de Continuidad de FEMA (PDF) para las organizaciones federales y la norma internacional ISO 22301 para los sistemas de gestión de continuidad de negocio, y agregar pruebas y formación siempre que sea necesario.

Incluso los mejores planes no sirven si las personas que deben ejecutarlos no están informadas y equipadas con las herramientas adecuadas. Los líderes de los departamentos, los equipos de continuidad de negocio y los departamentos de recursos humanos pueden ayudar a comunicar la importancia de saber qué hacer hasta que se reanuden las operaciones normales.

El Papel de la Nube en la BCDR

La computación en la nube y los enfoques de desarrollo de aplicaciones más recientes diseñados para Internet están cambiando la forma en que las empresas desarrollan estrategias de continuidad de negocio. En lugar de duplicar o triplicar los presupuestos de TI para sistemas locales redundantes que necesitan licencias, servidores, almacenamiento, redes y refrigeración adicionales, los servicios en la nube permiten a las empresas desplegar aplicaciones cruciales en varios centros de datos en la nube en diferentes regiones de nube.

Oracle Cloud Infrastructure (OCI) puede ayudar a las organizaciones a protegerse contra el tiempo de inactividad informático relacionado con desastres. Oracle separa sus regiones nube globales, que prestan servicio a distintas áreas geográficas, en dominios de disponibilidad aislados y tolerantes a errores, cada uno con su propio suministro eléctrico y sistema de refrigeración. Esto significa que es muy poco probable que un fallo en un dominio detenga la actividad informática en otro. Una nube distribuida te proporciona la flexibilidad de elegir dónde y cómo se entregan los servicios para satisfacer tus necesidades, incluidas las tareas de BCDR.

El enfoque tradicional de la recuperación ante desastres requiere el disponer de un espacio físico secundario en un segundo data center. Una segunda opción es contar con un proveedor de infraestructura como servicio que nos permita disponer de un backup en la nube. Esta opción permite dimensionar nuestra infraestructura secundaria de apoyo según nuestras necesidades y pagar solo por lo que utilicemos. Un aspecto importante de los backups, tanto si son on-premise en un data center o en la nube es que han de estar en una ubicación geográfica diferente de nuestra infraestructura principal. El incendio de varios data centers en Estrasburgo en 2021 de un proveedor de servicios cloud resultó en la pérdida completa de datos incluso de clientes que tenían contratado un servicio de respaldo, dado que estos backups estaban en los mismos data centers.

En Adam inauguramos en mayo de 2021 nuestro nuevo centro de datos en Madrid. Este data center dispone de una nueva versión de nuestra plataforma de infraestructura como servicio (IaaS), basada en OpenStack. Esta versión incluye sistemas de almacenamiento en discos SSD NVMe de Pure Storage, lo que permite una mayor velocidad de ejecución de las aplicaciones instaladas en la plataforma. Pero, además, la implantación de los sistemas de Pure Storage permite sincronizar nuestros data centers de Alcalá, en Madrid, y Cerdanyola del Vallès, en Barcelona, así como simplificar la gestión de snapshots y réplicas de instancias cloud.

Pasos para Desarrollar un Plan de Continuidad de Negocio

Los líderes empresariales generalmente comienzan su planificación de la continuidad de negocio asignando a los miembros clave de TI, operaciones, RR. HH. y otros departamentos para catalogar posibles desastres que pudieran interrumpir el curso normal del trabajo. Priorizan los procesos que sus organizaciones no pueden permitirse el lujo de prescindir y elaboran planes detallados y asignaciones de personal para acciones durante una catástrofe y recuperación después. Para cualquier empresa es muy importante seguir llevando a cabo todas sus operaciones independientemente del contexto en el que se encuentre y los sucesos que puedan ocurrir. En este sentido, es aconsejable seguir las etapas de un proyecto de continuidad de negocio. De esta forma, la organización se asegurará de que no se verá afectada ante cualquier incidencia inesperada.

Etapas de un Proyecto de Continuidad de Negocio

1. Análisis de Riesgos: Esta es una de las etapas más importantes dentro del proyecto de continuidad de negocio. Es un análisis de riesgos en el que se realiza una panorámica de la situación actual y se estudian las amenazas que podrían afectar a la continuidad del negocio. En el plan de continuidad de negocio también se deben contemplar el máximo de escenarios o posibles desastres que afectarán a la actividad normal de la empresa.
2. Definición de Estrategias: La estrategia de continuidad de negocio define todo lo que la empresa necesita para asegurarse que no habrá una interrupción de las actividades ni del negocio. Es necesario concretar las acciones para restablecer la actividad en caso de que se tuviera que parar por algún suceso inesperado.
3. Elaboración del Plan de Continuidad de Negocio (PCN): En el PCN se identifican los diferentes escenarios que pueden provocar una interrupción de los servicios. Dentro del Plan de Continuidad de Negocio hay dos etapas: la etapa de respuesta y una etapa de recuperación.
4. Definición de Roles y Responsabilidades: En un PCN se deben definir y describir los diferentes roles y cuáles serán sus funciones ante un evento disruptivo. Este paso debe documentar las expectativas y considerar cómo se comunicarán las personas durante un incidente no planificado.
5. Identificación de Recursos Necesarios: Determinar qué recursos serán necesarios en el plan de continuidad de negocio, tanto en el momento de respuesta frente a sucesos inesperados como también para volver a la normalidad. En este punto se indica de dónde se obtendrán los recursos necesarios y quienes serán los proveedores, asegurándose que estarán disponibles.
6. Pruebas y Mantenimiento: En esta fase se realizan pruebas prácticas para asegurarse de que todo lo que se ha escrito y detallado en el PCN funcione correctamente y con la agilidad suficiente. Una de las formas de realizar las pruebas es mediante simulacros, formaciones y reuniones con todo el personal.

Para poder elaborar un PCN efectivo, siguiendo todas las etapas, es importante contar con los conocimientos y habilidades adecuadas. EALDE Business School ha diseñado un nuevo programa formativo: el Máster en Gestión de Riesgos y Continuidad de Negocio. Esta formación en continuidad de negocio impartida totalmente online permite dominar las normativas ISO 22301, ISO 31000 así como las directrices del Business Continuity Institute.