¿Qué es la continuidad del negocio y la recuperación ante desastres? La diferencia entre BC y DR

Sería injusto decir que un plan es menos eficaz que el otro, ya que cada uno intenta alcanzar objetivos diferentes. Ninguno de estos planes se contradice tampoco. De hecho, existe un término completamente independiente que explica la combinación de los planes de continuidad de la actividad empresarial y de recuperación en caso de catástrofe.

¿Qué es BCDR?

Dado que los planes de continuidad del negocio y de recuperación en caso de catástrofe tienden a centrarse en diferentes elementos del mismo proceso, no es tan infrecuente que las organizaciones intenten crear un único plan que incluya elementos de BC y DR. Este tipo de combinación se denomina BCDR, o Plan de Continuidad del Negocio y Recuperación ante Desastres.

El BCDR es un proceso de gestión de crisis cuyo objetivo principal es devolver a toda la organización a sus tareas empresariales cotidianas tras un suceso desastroso. Se supone que combina el enfoque mejorado en el aspecto técnico del proceso de los planes de DR al tiempo que cubre todos los pasos necesarios desde el propio suceso catastrófico hasta el momento en que toda la infraestructura vuelve a la normalidad.

Ventajas generales de la planificación de la continuidad empresarial y la recuperación tras catástrofes

La planificación de la BCDR no sólo facilita a las organizaciones de todos los tamaños la gestión de amenazas y catástrofes, sino que también ayuda a comprender mejor la infraestructura en su conjunto, lo que puede dar lugar a mejoras en la gestión del flujo de trabajo. Algunas de las mayores ventajas de la BCDR son:

• Menores costes por violación de datos. Aunque es posible eliminar algunas de las posibles razones de las violaciones de datos, es prácticamente imposible estar protegido contra todas ellas a la vez. La situación empeora aún más por el hecho de que se desarrollan nuevas ciberamenazas con regularidad, y nadie está a salvo de los accidentes o del factor «error humano». Lo que las empresas pueden hacer es crear planes de BCDR que agilicen al máximo la recuperación de una organización a un estado normal de funcionamiento, reduciendo en gran medida la cantidad de dinero que una empresa pierde por estar en un estado inoperativo

El precio medio de un incidente de violación de datos durante todo el año 2023 rondó los 4,45 millones de dólares. Poder reducir el coste de una violación de datos disminuyendo el tiempo de inactividad es una enorme ventaja financiera para cualquier empresa.

• Menos tiempo de inactividad. Recuperarse de un incidente lo más rápido posible proporciona múltiples beneficios. El principal beneficio es relativamente obvio, y ya lo hemos mencionado anteriormente: el precio del tiempo de inactividad de la empresa. Otra ventaja de una recuperación más rápida para una empresa es su reputación a los ojos del cliente.
• Multas reglamentarias más bajas. En la actualidad, muchas industrias están sujetas a estrictos marcos normativos y legales. Los datos financieros, los datos sanitarios y la información personal son algunos de los tipos de datos más comunes sujetos a alguna norma, ya sea GDPR, HIPAA, etc.

Creación de un plan de continuidad empresarial

Todos los planes de recuperación en caso de catástrofe suelen ser mucho más específicos y selectivos en comparación con los planes de continuidad del negocio. También varía significativamente de una empresa a otra debido a las diferentes prioridades de cada una.

Sin embargo, lo que sí podemos hacer es describir cuatro pasos de un plan de CB que se incluirían en todos estos planes:

• Realizar el BIA (Análisis del Impacto en el Negocio).

Comprender qué riesgos tienen más probabilidades de afectar a una organización concreta es la base de un plan de continuidad empresarial eficaz. Un plan de Análisis del Impacto en el Negocio (BIA) es la parte clave de este paso. El BIA representa el proceso de búsqueda y evaluación de diferentes sucesos y catástrofes (así como su efecto en las operaciones de una empresa).

Un buen BIA es una visión general de todas y cada una de las amenazas que podrían sucederle a una organización, incluyendo tanto las internas como las externas. Algunos BIA también identifican las probabilidades potenciales de que se produzca cada amenaza y vulnerabilidad, lo que facilita a las empresas priorizar las amenazas mayores sobre las menores.

• Planifique respuestas para cada amenaza.

Una vez completada la lista de amenazas potenciales en forma de BIA, el siguiente paso es planificar respuestas eficaces para cada amenaza. La naturaleza de la respuesta y el enfoque general dependerán en gran medida de la gravedad de la propia amenaza y de otros factores. El objetivo final de este paso es tener respuestas eficientes y a tiempo para todas las amenazas que se identificaron en el BIA.

• Identifique los roles críticos y asigne responsabilidades.

Incluso las respuestas a incidentes más minuciosamente planificadas dependen de lo bien que los miembros del equipo vayan a ejecutarlas. Por ello, asignar funciones y responsabilidades a los distintos miembros del equipo es vital para asegurarse de que todos los planes de recuperación avanzan lo más rápidamente posible.

Algunas amenazas también afectan a los canales de comunicación, como las conexiones a Internet y las redes celulares. Planificar canales de comunicación secundarios para estos casos específicos sería una buena idea.

• Ponga a prueba el plan y actualícelo con regularidad.

Incluso el plan de continuidad empresarial más minucioso y detallado podría tener algunos fallos que sólo se revelarán una vez que se produzca el desastre. En este contexto, poner a prueba los planes de continuidad empresarial es tan importante como crearlos

Creación de un plan de recuperación en caso de catástrofe

En comparación, los planes de recuperación en caso de catástrofe son algo más limitados. La infraestructura informática de una organización es el objetivo principal de un plan de recuperación en caso de catástrofe. A pesar de su menor alcance, un plan de recuperación en caso de catástrofe también requiere la participación de varias personas en el proceso, debido a la necesidad de desarrollar, aplicar, probar y documentar varios elementos de un plan de recuperación en caso de catástrofe.

Garantizar que los elementos críticos de la empresa se recuperan lo antes posible si se produce una catástrofe es el objetivo principal de un plan de recuperación ante catástrofes. No es infrecuente que los planes de RD impliquen a múltiples partes interesadas de diferentes departamentos para asegurarse de que se satisfacen las necesidades de toda la organización durante el proceso de recuperación.

A pesar de que todo el proceso de recuperación en caso de catástrofe es iterativo y continuo, existen al menos cinco fases diferentes en el proceso que difieren drásticamente entre sí:

• Compromiso y autorización
• Priorización
• Enfoque técnico
• Desarrollo y aplicación del plan
• Pruebas

Compromiso y autorización

El compromiso con el desarrollo de un plan de recuperación de desastres por parte de todos los niveles directivos es una parte esencial de todo el proceso. Es necesario transmitir a las múltiples partes interesadas una comprensión adecuada de por qué es necesaria la recuperación en caso de catástrofe para garantizar que la empresa pueda asignar a este proceso no sólo tiempo y atención, sino también dinero y recursos.

En primer lugar, se recomienda recopilar toda la información posible sobre las políticas de recuperación en caso de catástrofe existentes, incluidas sus últimas actualizaciones, las capacidades de cada medida y la persona responsable de hacer cumplir estas políticas. Este paso es técnicamente opcional, pero se recomienda en la mayoría de los casos para comprender mejor cómo funciona la empresa en su conjunto.

En segundo lugar, la parte más significativa de este paso consiste en convencer a las partes interesadas de la necesidad de crear un plan de recuperación en caso de catástrofe. Una comunicación clara y concisa es un requisito absoluto para este paso, e incluso una presentación para la alta dirección sería beneficiosa para el éxito general de la campaña.

Otra parte vital de este segmento incluye decidir a quién se va a incluir en el proceso de recuperación en caso de catástrofe:

• El grupo de trabajo pone en práctica y prueba los planes de recuperación en caso de catástrofe al tiempo que define el aspecto técnico del proceso.
• El comité directivo supervisa el proceso de recuperación en caso de catástrofe al tiempo que autoriza recursos como tiempo y dinero para desarrollar instrucciones nuevas y mejoradas.

Priorización

Se trata de una fase mucho más sofisticada que la anterior, ya que abarca tanto la identificación de los riesgos como las medidas que se toman para prevenirlos. Esta fase consta de cinco partes principales:

1. Evaluar todas las aplicaciones y servicios del sistema para determinar los más importantes. Cada departamento de la empresa debe participar en este proceso de evaluación para recibir la información más actualizada de fuentes fiables.
2. Identifique la cantidad máxima de pérdida de datos para la empresa, el impacto global de la interrupción del servidor, así como el tiempo de inactividad del servicio más largo que siga siendo algo aceptable para la empresa. Existen cuatro niveles de gravedad del impacto potencial que puede causar la interrupción de un servicio o una aplicación:
   1. Impacto menor resulta en pérdidas monetarias bajas y se puede tratar con relativa facilidad.
   2. Impacto moderado representa un cambio significativo en las operaciones empresariales sin una amenaza directa para la prestación de procesos y servicios.
   3. Impacto importante implica una amenaza significativa para la prestación de los procesos y servicios que ofrece la empresa, suele requerir la implicación de los ejecutivos para solucionarlo o trabajar en torno a él.
   4. Impacto catastrófico implica problemas importantes para la empresa en su conjunto, requiere la implicación inmediata de todo el equipo ejecutivo. Una destrucción importante de la propiedad, múltiples amenazas a vidas humanas e inmensas pérdidas monetarias son consecuencias potenciales del nivel de impacto catastrófico.
3. Realice una evaluación de todas las amenazas y riesgos que puedan interrumpir potencialmente las aplicaciones, los procesos y los servicios de TI. Cada riesgo debe tener las implicaciones potenciales y la necesidad de realizar algún tipo de estrategia para mitigarlo.
4. Priorice los servicios de TI por orden de importancia para el funcionamiento general de la empresa. El tiempo de recuperación previsto para la mayoría de las empresas es de 24 horas para los elementos esenciales de la infraestructura, 72 horas para las partes importantes del sistema y 2 semanas o más para el resto de la lista. Antes de proceder, todas las partes interesadas deben estar de acuerdo con la lista de prioridades.
5. Determine qué servicios deben recibir primero los planes de recuperación. La lista anterior es muy útil para determinar qué elementos de la infraestructura deben recibir antes los planes de recuperación en caso de catástrofe.

Enfoque técnico

Esta fase abarca la mayor parte de la investigación técnica de todo el plan; se utiliza para determinar qué tipo de solución tecnológica se necesita para resolver las consecuencias de cada una de las catástrofes que se han encontrado – y si es posible ser proactivo y resolver algunas de ellas de antemano. De forma similar a cómo se construyó la fase anterior, es posible separar la parte técnica del tema en cuatro subtemas más pequeños que se suceden uno tras otro:

• Determinar si sería más eficaz intentar prevenir el problema (riesgo) antes de que suceda o preparar la solución de recuperación para cuando suceda. Este puede ser un proceso muy difícil, y parámetros como el Objetivo de punto de recuperación y el Objetivo de tiempo de recuperación son esenciales para esta etapa. Por ejemplo, es mucho más preferible para los servicios con requisitos RPO/RTO más estrictos tratar de prevenir los problemas en lugar de reaccionar cuando se producen (ya que el coste del tiempo de inactividad suele ser enorme para estos servicios).
• Definir las medidas que podrían tomarse para prevenir y responder a los incidentes, como encontrar un emplazamiento alternativo que pueda utilizarse como instalación de recuperación. La nueva instalación debe cumplir todos los requisitos de la empresa en términos de escala, menor y complejidad de la infraestructura. La razón por la que se necesita el centro de datos espejo en primer lugar es para actuar como salvaguarda frente a sucesos o incidentes potencialmente perturbadores que podrían inutilizar parte o toda la infraestructura primaria durante un periodo de tiempo, si no permanentemente.
• Calcular las estimaciones de costes de las medidas de seguridad mencionadas es el último elemento de esta fase. También incluye la creación de un calendario detallado de ejecución y la obtención de la aprobación del comité directivo antes mencionado.

Desarrollo y aplicación del plan

Como hemos mencionado antes, hay dos grupos de usuarios que deben incluirse en el proceso de desarrollo de un plan de recuperación en caso de catástrofe: un grupo de trabajo y un comité directivo. El primero define la parte técnica del plan mientras que el segundo toma decisiones y autoriza los presupuestos.

La creación de un proceso adecuado de respuesta en caso de catástrofe también es un paso importante, aunque se trate menos de los detalles técnicos del trabajo con tareas específicas y más de cómo debe reaccionar toda la empresa ante cualquier tipo de problema. Hay cuatro pasos principales en un proceso medio de respuesta ante una catástrofe (suponiendo que el incidente se produzca justo antes de la etapa 1):

1. Evaluación de la naturaleza del incidente y de la gravedad del impacto.
2. Notificación a todo el equipo de recuperación mientras se inicia el proceso de recuperación y se sigue su progreso.
3. Inicio de la continuación del servicio con normalidad una vez finalizado el proceso de recuperación. Comprobación del estado actual del sistema.
4. Realización del análisis y estudio de incidentes.

Siguiendo una lógica muy similar, es necesario desarrollar un plan detallado para recuperar cada uno de los servicios y elementos. Éstos diferirían entre sí de forma bastante significativa, pero la estructura central de estos procesos sigue siendo relativamente similar:

• Se analiza el estado actual del sistema.
• Se determina el enfoque recomendado para recuperarse de un incidente.
• Se analiza la situación una vez que el servicio vuelve a funcionar.

El último paso es esencial para la mejora continua de todos los procesos de recuperación, con o sin el plan de recuperación de desastres. Así es también como pasamos a la última fase de la creación del plan de recuperación en caso de catástrofe.

Pruebas

El último y más importante elemento de un plan de recuperación en caso de catástrofe es su fase de prueba. Todos los esfuerzos anteriores serían prácticamente inútiles si el propio plan no se prueba a fondo antes de que sea realmente necesario. Las pruebas minuciosas son la única forma de determinar si un plan de RD funciona siquiera sin provocar un incidente real para su empresa.

Se pueden realizar tres tipos de pruebas principales para los planes de RD:

1. Pruebas de conmutación por error completa. Se trata de la prueba más costosa y que requiere más tiempo, además de entrañar cierto riesgo para las operaciones cotidianas de la empresa. Sin embargo, esta prueba es también la más parecida a la situación real de un incidente y la que ofrece más resultados para un análisis posterior.
2. Simulación de catástrofe. El término medio de las pruebas de planes de RD; la simulación de catástrofes implica un simulacro de catástrofe sin ningún riesgo para las tareas y procesos existentes. La simulación en cuestión puede implicar canales de comunicación, personal, suministros, documentación, software e incluso hardware. Los simulacros de catástrofe suelen dividirse en tres tipos distintos:
   1. Pruebas de componentes. Operaciones de prueba de pequeño alcance que se realizan para elementos individuales del entorno, en su mayoría realizadas varias veces a lo largo del año a intervalos aleatorios.
   2. Pruebas de entorno. Un proceso para probar entornos moderadamente complejos (por ejemplo, una combinación de cortafuegos y enrutadores a la vez), puede ofrecer una capacidad limitada de pruebas funcionales pero se acerca más en sus resultados a un desastre real.
   3. Pruebas en tiempo real. Pruebas que se realizan para todos los entornos a la vez en un solo día, abarca tanto pruebas funcionales como de conectividad, incluso puede aislar elementos de producción. A un paso de las pruebas de conmutación por error completas.
3. Revisiones técnicas. Se trata sobre todo de una revisión técnica del plan a nivel verbal, implica que todos los miembros del equipo se reúnan en una sala de reuniones y repasen cada paso del plan para buscar cuellos de botella o puntos débiles en él.

Crear y ejecutar un plan de recuperación en caso de catástrofe puede ser todo un reto. Esperamos que nuestra guía haya aportado una comprensión suficiente de lo que es un plan de RD y de lo que implica en las distintas fases.

Casos de uso y ejemplos de diferentes planes de BCDR

Los planes de BCDR suelen ser diferentes entre sí, ya que muchos sectores distintos tienen sus prioridades y objetivos cuando se trata de la recuperación ante desastres y la continuidad de la actividad empresarial. Algunas de las variaciones más destacadas de un plan BCDR son:

• Plan de recuperación de la red. Las interrupciones del servicio de red son el objetivo principal de este plan, que ayuda a las empresas a recuperarse de problemas como la pérdida de conexión, la interrupción del acceso a Internet y otros problemas similares. Las organizaciones modernas dependen mucho de los servicios en red en sus operaciones diarias, por lo que es muy importante que los planes de recuperación de la red sean lo más eficaces posible.
• Plan de comunicación. Un plan que cubra todos los pasos necesarios que la organización da en el departamento de Relaciones Públicas (RRPP). Una comunicación adecuada con los clientes y socios de la organización es esencial para minimizar el daño a la reputación que una organización podría sufrir por una violación de datos o algún otro desastre.
• Plan de recuperación virtualizado. Poder disponer de un plan eficaz para recuperar instancias de máquinas virtuales también es crucial para muchas empresas, ya que las máquinas virtuales tienen muchos casos de uso en sí mismas, como pruebas, alta disponibilidad, emulación, etc.
• Plan de gestión de crisis. Un plan que detalla la respuesta para un tipo muy específico de incidente, razón por la que también suele denominarse plan de gestión de incidentes. Un plan de gestión de crisis incluye instrucciones paso a paso sobre cómo se supone que una organización debe gestionar un ciberataque, un desastre natural, un apagón o algún otro tipo de crisis.
• Plan de recuperación del centro de datos. Un plan que cubre los pasos esenciales de recuperación de un centro de datos tras un apagón, un ciberataque o un error humano. Los centros de datos suelen estar sujetos a estrictos requisitos de cumplimiento por parte de múltiples entidades gubernamentales, lo que hace que el tema de la recuperación rápida y eficaz sea extremadamente importante.

Ejemplo de plan de BCDR: El huracán Sandy y una importante institución financiera

Los planes de BCDR pueden ser algo difíciles de comprender, incluso después de ver su estructura general en detalle. Como tal, podemos tomar un ejemplo bien conocido de un proceso de planificación BCDR correctamente construido que salvó las operaciones comerciales de todo un edificio en medio de una inundación masiva.

La empresa en cuestión es una conocida institución financiera estadounidense. El edificio concreto en el que nos centraremos aquí está situado en el Bajo Manhattan, Nueva York. Esa parte de la ciudad fue objeto de un devastador huracán, Sandy, en 2012, y se han producido múltiples inundaciones y cortes de electricidad por todas partes.

El edificio de oficinas de la empresa consiguió eludir este tipo de destino, y sus preparativos de BCDR son la razón de que así fuera. Vamos a intentar repasar todas las medidas que tomó la institución para evitar los daños por inundación y los cortes de electricidad, separándolas en múltiples categorías importantes:

• Medidas proactivas

Una mejora significativa de las infraestructuras fue la primera medida obvia que se tomó en preparación para la catástrofe. Algunos ejemplos de estas mejoras son las barreras contra inundaciones y las actualizaciones del sistema eléctrico (para ganar la mayor elevación posible y evitar inundaciones), con el objetivo principal de evitar que al menos la infraestructura crítica se viera afectada durante la inundación.

Las capacidades de acceso remoto también se probaron a fondo de antemano, incluida la introducción de una VPN interna que permitió a muchos empleados seguir trabajando sin estar en las instalaciones. Los ordenadores portátiles y el acceso a la red también se prepararon y facilitaron a esos empleados con antelación.

La información financiera de la organización también se almacenó en varios centros de datos separados geográficamente entre sí, utilizando funciones como la duplicación de datos y el acceso rápido para garantizar que los servicios financieros de los clientes no se interrumpieran aunque una de las ubicaciones se quedara sin electricidad.

• Activación del plan BCDR

A medida que el huracán se acercaba, se iniciaron múltiples protocolos en la empresa y en su oficina del Bajo Manhattan. Entre otras cosas, se comprobó si los parqués contaban con soluciones de conexión y energía de reserva adicionales y la posibilidad de operar a distancia en caso necesario.

Al personal esencial de esa sucursal de la empresa se le proporcionó alojamiento cerca del edificio en varios hoteles para garantizar que pudieran llegar al lugar en caso de que se necesitara su experiencia. También se introdujo a todos los empleados en los canales de comunicación de emergencia, ofreciéndoles actualizaciones regulares del estado a través de varios tipos de comunicación simultáneamente con fines de continuidad.

Uno de los mayores testimonios del nivel de preparación de la institución fue que su edificio fue uno de los pocos que permaneció operativo y con electricidad durante la propia inundación (aunque en ese momento estuvieran funcionando sus propios generadores). Se escribieron múltiples artículos sobre la situación y sobre cómo la empresa lo preparó todo.

• El resultado de la inundación

Al final, las barreras contra inundaciones consiguieron proteger la estructura de daños significativos, y las fuentes de energía de reserva, como los generadores, se aseguraron de que el negocio siguiera operativo antes, durante y después de que pasara la catástrofe. Esta situación ha dado a la empresa un impulso significativo en la estabilidad del mercado y la confianza de los clientes, ya que los daños generales del huracán Sandy fueron masivos.

• Revisión tras la inundación

Tras el huracán, se llevó a cabo una revisión exhaustiva de los planes de RD y BC existentes en la empresa, destacando las áreas de mejora potencial gracias a que el marco de BCDR se puso a prueba durante una catástrofe real. Esto permitió a la institución centrarse en mejorar las capacidades de acceso remoto e invertir en diversificar las opciones de ubicación de almacenamiento de datos. Toda esta situación es bien conocida en el sector y suele utilizarse como caso de estudio para múltiples marcos y sistemas beneficiosos, incluidos los planes BCDR.

Este estudio de caso muestra cómo una única institución consiguió evitar daños importantes en sus instalaciones durante un gran huracán aplicando varias prácticas diferentes de continuidad del negocio y recuperación en caso de catástrofe. Este tipo de ejemplo es uno de los muchos que ocurren con regularidad, pero este tipo de acontecimientos suelen ser escasos y poco frecuentes, especialmente cuando se trata de filtraciones de datos y otros temas que atañen a la seguridad de la información.

BCDR y ciberseguridad

Como hemos mencionado antes, tanto los planes de BC como los de DR se crean para hacer frente a diversos problemas, que van desde las catástrofes naturales hasta el ransomware y las ciberamenazas. Ahora que tenemos un ejemplo de cómo se puede hacer frente a un desastre físico mediante un plan de BCDR, es hora de hablar de lo que estos planes pueden hacer para protegerse contra las ciberamenazas.

Muchos elementos diferentes de los planes de continuidad de la actividad empresarial y de recuperación en caso de catástrofe contribuyen al esfuerzo general de ciberseguridad dentro de una organización. Sorprendentemente, los elementos orientados a la ciberseguridad en los planes de BC y DR tienden a diferir, por lo que es más fácil revisarlos por separado

Los planes de recuperación de desastres y la ciberseguridad

Como hemos mencionado antes, los planes de RD tienden a ser más prácticos y específicos que los planes de BC. El enfoque más significativo para cualquier plan de RD es la recuperación posterior al evento (ya sea tras un ciberataque, una catástrofe natural, etc.). A continuación se presentan algunos de los elementos más significativos de un plan de RD orientado a temas de ciberseguridad:

• Una explicación detallada de qué hacer después de que se produzca un determinado evento. Si el sistema sufre un ciberataque, la secuencia de pasos más probable será «aislar los elementos de almacenamiento afectados – eliminar el malware – restaurar la copia de seguridad».
• Un análisis detallado de la situación después de que se produjera. Algo que todos los sistemas deberían hacer después de una especie de desastre de ciberseguridad es realizar una investigación para comprender:
  • ¿Cómo se produjo la situación en cuestión?
  • ¿Qué importancia tuvieron los daños?
  • ¿Cómo puede evitarse a partir de ahora?
• Una preparación exhaustiva para los casos de pérdida de datos. Algunos de los pasos más obvios para garantizar la disponibilidad de los datos y su completa integridad durante y después de un ciberataque es crear copias de seguridad, incluyendo copias de seguridad en la nube, copias de seguridad externas y otras variaciones del proceso para garantizar que la información original pueda restaurarse lo antes posible si ocurre algo.
• Pruebas y análisis frecuentes de todas las medidas de RD existentes. El número de filtraciones de datos no ha dejado de aumentar desde hace años, y el software malicioso no deja de evolucionar y perfeccionarse hasta nuestros días. La revisión de las medidas de RD existentes, el análisis de su rapidez y eficacia y la introducción de nuevas medidas en el plan son importantes como medio para estar preparados, si no otra cosa.

El cumplimiento de la normativa también es un tema esencial en este contexto, pero se revisará más adelante en este artículo. Aparte de eso, se puede decir con seguridad que un plan de RD contribuye bastante al esfuerzo general de ciberseguridad de una organización, desde establecer y probar los sistemas y medidas existentes (incluidas las copias de seguridad, que es sin duda una de las más importantes) hasta detallar los procesos que hay que llevar a cabo si se produce realmente un incidente de ciberseguridad.

Los planes de continuidad del negocio y la ciberseguridad

Los planes de continuidad del negocio, por otro lado, son mucho menos específicos de la recuperación y tienen en mente tareas de mayor envergadura, lo que cambia bastante sus prioridades de ciberseguridad. Existen múltiples formas en las que los planes de CB pueden ayudar con la protección frente a las ciberamenazas, entre ellas:

• Una cobertura detallada de toda la comunicación durante un desastre. Esto incluye tanto las medidas de comunicación como las personas con las que hay que ponerse en contacto en primer lugar cuando ocurra algo.
• Una visión general de todas las medidas de ciberseguridad existentes, incluyendo software antivirus, cortafuegos y detección de intrusiones. Comprender lo que la empresa ya tiene hace que mejorar las medidas existentes sea mucho más fácil.
• Un plan de comunicación con los diferentes socios. Una comunicación estable dentro de la empresa es importante durante acontecimientos estresantes, pero tener una comunicación segura y fiable con diferentes socios es igual de importante para garantizar que uno de los socios no sea utilizado como eslabón débil del sistema.
• Un minucioso plan de gestión de riesgos. La evaluación de riesgos suele ser la pieza central de un plan de continuidad empresarial, ya que crea una breve visión general de todos los riesgos potenciales y de lo que se puede hacer para mitigar cada uno de ellos.

Los planes de continuidad del negocio son ligeramente diferentes en su contribución a los esfuerzos de ciberseguridad, pero tanto los planes de BC como los de RD son esenciales para establecer un sistema robusto y seguro que pueda resistir una multitud de amenazas.

Cursos de formación en torno a la continuidad del negocio y la recuperación ante desastres

La BCDR puede ser un tema bastante desafiante para muchos usuarios, ya que requiere tener en cuenta muchos detalles diferentes. Por suerte, la industria es consciente de estas cuestiones, por lo que en Internet hay disponibles multitud de cursos de formación y otros materiales didácticos que intentan explicar hasta cierto punto el tema de la RD y la BC.

Existen múltiples cursos diferentes que las empresas y organizaciones imparten sobre recuperación tras catástrofes, continuidad empresarial, BCDR, etc. Un buen ejemplo de este tipo de cursos de formación es ISO 22301 – un curso de formación sobre sistemas de gestión de la continuidad empresarial que está diseñado para cubrir diferentes aspectos de la continuidad empresarial como tema.

Este curso se aplica a la mayoría de los casos de uso en la industria, independientemente de su tamaño, lo que facilita la localización de amenazas perturbadoras, la preparación para ellas y la recuperación tras las secuelas de tales acontecimientos. La gestión de la continuidad empresarial también puede ser útil a la hora de proporcionar ventajas competitivas, aumentar la reputación de la empresa y otros beneficios ya mencionados en el artículo.

La norma ISO 22301 es sólo un ejemplo de cómo los cursos de formación pueden ayudar a las empresas a desarrollar planes de recuperación en caso de catástrofe y de continuidad de la actividad empresarial. También hay muchos otros ejemplos similares, que amplían un tema algo confuso como es el de la BCDR en su conjunto.

Planificación de la BCDR y cumplimiento de la normativa

Los planes de continuidad del negocio y de recuperación en caso de catástrofe se mencionan a menudo en varios marcos normativos a diferentes niveles y se citan como un requisito para múltiples industrias. Esto hace que la planificación BCDR tenga cierta relevancia en el contexto de varias normativas, tanto locales como globales. De hecho, podemos incluso separar ambas para simplificar la explicación.

Prácticas reglamentarias locales y BCDR

Muchas normativas se consideran locales simplemente porque puede resultar difícil para una zona o localidad extender sus normas a todo el mundo. Por ello, incluso los marcos normativos a gran escala como el GDPR (UE) o la CCPA (EE.UU.) se consideran locales y exigen la protección de los datos personales a un nivel específico. La planificación BCDR contribuye en gran medida a la protección de la información en su conjunto, incluidas las medidas de protección, las capacidades de recuperación y las notificaciones de incidentes.

La alta disponibilidad en la que se basan los planes de BCDR también es un requisito frecuente en casos específicos del sector, como la sanidad, las finanzas, etc. Una lógica similar se aplica a la necesidad de realizar auditorías y generar informes sobre las medidas de BCDR existentes. Esto requiere que todos los planes de BC y DR sean muy detallados y se mantengan actualizados para garantizar su cumplimiento en todo momento.

Prácticas reguladoras globales y BCDR

El número de marcos reguladores y normativas que existen para áreas o industrias específicas es relativamente alto, y todos estos marcos tienen que satisfacerse utilizando la planificación BCDR, así como otras medidas. Algunos de los ejemplos más conocidos de industrias con mucha reglamentación son:

• Sanidad (Ley de Portabilidad y Responsabilidad de los Seguros Médicos, Reglamento General de Protección de Datos)
• Telecomunicaciones (Comisión Federal de Comunicaciones, Consejo de Fiabilidad e Interoperabilidad de la Red)
• Energía (Comisión Federal Reguladora de la Energía, Corporación Norteamericana de Fiabilidad Eléctrica)
• Finanzas (Norma de seguridad de datos del sector de las tarjetas de pago, Ley Sarbanes-Oxley, Basilea III)
• Fabricación (Agencia de Protección Medioambiental, Administración de Seguridad y Salud en el Trabajo)

Muchas otras industrias también están reguladas hasta cierto punto, pero estos cinco ejemplos son algunas de las más mencionadas en este contexto. Aquí es donde la línea entre los marcos normativos locales y globales se vuelve algo borrosa debido a la naturaleza de una empresa del mundo moderno que puede trabajar en un país y al mismo tiempo almacenar información de clientes de todo el mundo.

Por ello, existen múltiples normas que regulan precisamente estas situaciones. Por ejemplo, la norma ISO 22301 para la Gestión de la Continuidad del Negocio se creó específicamente para los casos de uso en los que una única empresa debe cumplir simultáneamente los requisitos normativos de varios países.

Tampoco es infrecuente que diferentes normativas locales regulen la información de los clientes locales que se transfiere fuera del territorio local (GDPR es el ejemplo más popular de este tipo de normativa). Muchos planes BCDR tienen una sección separada para las medidas que se toman explícitamente por razones de cumplimiento, especialmente cuando se trata de compartir datos.

Dado que los BCDR se crean regularmente para garantizar la disponibilidad continua y el acceso constante al servicio en cuestión, la importancia de estos planes crece aún más cuando se crean para empresas que operan en varios países. Uno de los mayores objetivos de muchos planes de BC y DR es garantizar el cumplimiento de todos los requisitos y normas de conformidad locales (y mundiales).

Las amenazas más importantes para la continuidad de una organización

El número y la variedad de amenazas a las que puede enfrentarse regularmente una organización media es realmente asombroso. La situación general empeora aún más por el hecho de que la mayoría de estos sucesos son extremadamente difíciles de predecir y esperar, lo que hace que la tarea de protegerse contra ellos sea mucho más difícil. Para que resulte más fácil ofrecer al menos algunas amenazas potenciales a la continuidad de una empresa, podemos separarlas en cuatro categorías:

1. Catástrofes naturales y cambios climáticos. Esta categoría abarca algunas de las causas más esperadas de daños físicos a la infraestructura de una organización: olas de calor, tormentas, sequías, terremotos e inundaciones.
2. Brechas de datos y ciberataques. Una categoría que ha estado recibiendo cada vez más atención en los últimos años, cubre el malware, el ransomware y cualquier otro tipo de solución o método que pueda potencialmente interrumpir las operaciones diarias de una organización, causando tiempo de inactividad del negocio, pérdidas de ingresos e insatisfacción de los clientes.
3. Fallas de infraestructura. Una categoría relativamente amplia que incluye principalmente accidentes que causan interrupciones en la infraestructura de una empresa, como pérdida de productividad, pérdida de datos y otras consecuencias problemáticas.
4. Cortes de electricidad. Existe el argumento de que este problema específico pertenece a la categoría de «fallos de infraestructura». Sin embargo, los problemas relacionados con los cortes de energía son por sí solos lo suficientemente perturbadores como para mencionarlos aquí por separado. La inmensa mayoría de las organizaciones dependen de equipos alimentados por electricidad – e incluso los cortes de energía planificados pueden causar muchas molestias a una organización media, mientras que los cortes no planificados son altamente problemáticos para casi cualquier empresa.

Todos estos problemas difieren de forma bastante significativa, y puede resultar increíblemente difícil limitar el alcance de cada uno sobre la marcha. La planificación de la continuidad del negocio y la planificación de la recuperación en caso de catástrofe ayudan a las empresas a sobrevivir a este tipo de acontecimientos con un daño mínimo.

La importancia de los planes BCP y de recuperación tras catástrofes

La planificación BCDR mejora drásticamente las posibilidades de una organización de atravesar acontecimientos perturbadores sin pérdidas significativas de beneficios o clientes. Algunos de los elementos de un plan BCDR también actúan para reducir la probabilidad de que se produzcan acontecimientos potencialmente desastrosos para la infraestructura en primer lugar.

Por el contrario, las organizaciones que no cuentan con un plan de BCDR tienen muchas menos probabilidades de sobrevivir a una interrupción importante o a un suceso desastroso, para empezar. Una estadística bastante conocida afirma que 4 de cada 5 empresas no pueden tolerar más de 12 horas de inactividad sin sufrir pérdidas significativas en sus operaciones comerciales.

Sin un plan de acción para todos los miembros de la organización, volver a la normalidad menos de 12 horas después de que se produzca un desastre sería todo un reto. El valor de los planes de RD y CB es difícil de sobreestimar en circunstancias como éstas.

El futuro de la BCDR

La continuidad empresarial y la planificación de la recuperación en caso de catástrofe se ven inevitablemente afectadas por las diferentes tendencias y cambios en las industrias asociadas. Uno de los cambios más significativos de los últimos años que prácticamente todo el mundo conoce es la introducción del Aprendizaje Automático y la Inteligencia Artificial en múltiples industrias, proporcionando un conjunto totalmente nuevo de ventajas y características a las soluciones existentes.

Los planes de BCDR no son inmunes a ninguno de estos cambios, y existen multitud de tecnologías, tendencias y cambios que, o bien van a afectar a la planificación de BCDR en un futuro próximo, o bien ya se han implantado en cierta medida. A continuación presentamos una serie de ejemplos comunes de dichas tecnologías y tendencias.

• Integración de ML e IA en múltiples formas. El potencial de cambios en relación con la BCDR y la inteligencia artificial es significativo. Estos sistemas pueden automatizar procesos complejos de recuperación de desastres, mejorar las técnicas existentes de evaluación de riesgos y mejorar la asignación de recursos durante la recuperación de desastres.
• Virtualización y almacenamiento en la nube. Aunque ambas técnicas llevan bastante tiempo en la industria, siguen creciendo y evolucionando con regularidad. Pueden ofrecer tiempos de recuperación más rápidos en forma de redes virtuales de RD, una mejor protección para la recuperación ante desastres y la recuperación de datos a través del almacenamiento en la nube, así como otras posibles mejoras de eficiencia.
• Industria de TI verde y sostenible. Existe un impulso significativo hacia la sostenibilidad, el menor consumo de energía, la reducción de residuos y muchas tendencias similares. Esto ya está afectando a la forma en que se construyen y mantienen las instalaciones de RD, e incluso algunas de las medidas de continuidad del negocio se ven ahora obligadas a ser más eficientes energéticamente o a generar menos residuos durante la recuperación.
• Mejoras de la ciberseguridad. Naturalmente, la industria de la ciberseguridad en su conjunto también está implementando una gran cantidad de prácticas orientadas a la IA y el ML en sus operaciones habituales, incluyendo mejores sistemas de coordinación de respuesta a incidentes, sistemas de detección de amenazas más exhaustivos basados en la monitorización de redes por IA y muchas otras opciones potenciales.
• Tecnología reguladora. El cumplimiento normativo como campo propio crece a la par que la tecnología, y se ha vuelto tan sofisticado con el paso de los años que ha surgido toda una nueva rama del software: la tecnología reguladora, o RegTech. El objetivo principal de este tipo de software es garantizar el cumplimiento de las distintas normativas de conformidad, y es fácil ver cómo este tipo de software puede afectar a la planificación de la BCDR al mejorar la capacidad de la empresa para garantizar su conformidad con cualquier marco normativo.

El campo de la BCDR en su conjunto es susceptible a muchos factores y tecnologías diferentes, y tendría que seguir evolucionando para mantenerse al día con el progreso tecnológico general. Es difícil predecir cómo afectarán algunas tecnologías a este sector concreto, pero la influencia de algunos de los ejemplos más evidentes ya podría verse en la práctica.

Conclusión

Es muy difícil afirmar que los planes de recuperación en caso de catástrofe son más valiosos que los planes de continuidad de la actividad y viceversa. En la mayoría de los casos, se trata menos de elegir entre dos tipos de planes y más de priorizar un plan sobre otro. Lo más probable es que las empresas centradas en la tecnología de la información prefieran concentrarse en los planes de recuperación en caso de catástrofe antes de intentar crear planes de continuidad empresarial, mientras que las organizaciones menos centradas en la tecnología darían prioridad a los planes de continuidad empresarial.

Ambos planes son extremadamente importantes para prácticamente cualquier empresa del mercado, y un conocimiento adecuado del tema es necesario para crear flujos de trabajo de planificación de BCDR sólidos y eficaces. Afortunadamente, también existen otras formas de simplificar la creación y aplicación de planes de BC o DR, como el uso de software de terceros.

Existe un buen número de soluciones diferentes en el mercado que podrían ayudar a una empresa a establecer un plan de BCDR. Por ejemplo, las soluciones integrales de copia de seguridad y recuperación como Bacula Enterprise pueden ofrecer muchas opciones diferentes en términos de seguridad de los datos, así como herramientas y técnicas de recuperación integrales para respaldar una estrategia de recuperación ante desastres y garantizar la continuidad de la actividad empresarial (y mucho más).

Bacula Enterprise es una plataforma de copia de seguridad y recuperación muy segura y potente, diseñada para mejorar la seguridad y la versatilidad de los esfuerzos de protección de datos de una empresa. Puede desempeñar un papel clave en el programa de transformación digital de una organización y también es una excelente forma de mejorar diversos planes de BCDR, entre los que se incluyen:

• Soporte para múltiples tipos de almacenamiento y variaciones del sistema operativo para facilitar la implementación de copias de seguridad y recuperación en múltiples entornos. Esto supone un importante ahorro de recursos gracias a una solución de un solo panel.
• Fácil escalabilidad que puede adaptarse a las capacidades de crecimiento de cualquier empresa sin perder en rendimiento ni en medidas de seguridad. La escalabilidad se da tanto en el aspecto técnico como en el de las licencias (sin cargos por volumen de datos).
• Las capacidades de automatización de la recuperación de desastres mejoran significativamente la velocidad y la eficacia de los procesos de restauración de datos, y los múltiples métodos de restauración permiten muchas opciones de personalización en beneficio del arquitecto de sistemas.
• Niveles impresionantes de capacidades de seguridad de la información con cifrado de datos en todos los ámbitos, herramientas antiransomware y GUI de acceso basada en roles.
• Capacidades detalladas de elaboración de informes, que son una gran ventaja en lo que respecta a temas de cumplimiento y pistas de auditoría.
• Tecnología avanzada de deduplicación para ahorrar espacio de almacenamiento
• Sostenibilidad del producto muy superior a la de otros proveedores

Como copia de seguridad segura y altamente escalable

Preguntas frecuentes

¿Cuáles son los objetivos de un plan BCDR medio?

En los términos más básicos posibles, hay cinco objetivos principales que debe perseguir cada BCDR:

• Evaluar el estado actual de una empresa, establecer prioridades e identificar posibles amenazas en el proceso.
• Otra parte vital es evaluar los riesgos y aportar soluciones a los mismos. La evaluación periódica de los riesgos y el análisis minucioso de los resultados garantizan que se tengan en cuenta todas las posibles puertas de entrada de los problemas.
• La combinación de riesgos y soluciones crea la base de un plan de BCDE. Debe probarse con regularidad para garantizar que todas las medidas y acciones planificadas son funcionales y capaces de hacer su trabajo. Existen múltiples soluciones de comprobación de planes de RD y BC, y muchas de ellas también pueden utilizarse simultáneamente para obtener mejores resultados.
• Una vez establecidas las prioridades relativas a los datos sensibles, también sería prudente conocer la ubicación de estos datos, garantizando que el proceso de recuperación pueda iniciarse en cualquier momento y que no se rompa ningún marco normativo.
• Las responsabilidades son otro elemento esencial de cualquier plan de BC o DR. Garantizan que todos los empleados sepan qué hacer si se produce una catástrofe. Esto es aún más importante para los equipos de recuperación de desastres, ya que deben poder ser contactados en cualquier momento.

¿Cuál es la diferencia más significativa entre los planes de RD y de CB?

Un plan de continuidad del negocio cubre el panorama general en el contexto de una organización, evitando que se produzcan todas y cada una de las interrupciones operativas, sin importar qué parte de la empresa se vea afectada.

Por el contrario, un plan de recuperación en caso de catástrofe se centra más en los aspectos prácticos y físicos de hacer frente a un traumatismo en una organización, y suele cubrir principalmente los pasos necesarios para que la infraestructura informática se recupere de una catástrofe u otro suceso.

¿Por qué es esencial que existan planes BCDR en una organización?

Los planes BCDR son necesarios para que las organizaciones sobrevivan a catástrofes y sucesos perturbadores sin que la empresa quiebre como consecuencia de ello. Un plan BCDR adecuado ayuda a la empresa a prepararse para acontecimientos potencialmente perjudiciales, incluso proporcionando un curso de acción detallado para el caso de que dicho acontecimiento catastrófico se produzca realmente.