¿Qué es la continuidad del negocio? Cómo planificar para una emergencia

Una onza de preparación vale una libra de cura.

No importa el tamaño de tu organización, el riesgo de interrupción del negocio es real. Muchos peligros pueden interrumpir funciones críticas del negocio, incluyendo ataques físicos o cibernéticos, desastres naturales, pandemias e impactos en la cadena de suministro.

La continuidad del negocio es la piedra angular de la capacidad de tu organización para responder a las interrupciones. Aborda los riesgos clave del negocio que pueden llevar a interrupciones y ayuda a planificar la respuesta esperada.

Los servicios tecnológicos comunes orientados a la continuidad del negocio incluyen software de recuperación ante desastres como servicio (DRaaS) para fallos de infraestructura y políticas de seguridad gestionadas que protegen contra ciberataques más sofisticados, entre otros.

Dado que la continuidad del negocio es esencial para mantener tu infraestructura de TI bajo control durante un desastre, debe desarrollarse a través de un proceso bien orquestado.

La continuidad del negocio tiene dos aspectos:

1. Planificación de la continuidad del negocio (BCP) define procesos de gestión de riesgos y técnicas para prevenir interrupciones de servicios críticos para la misión y reanudar operaciones completas tan rápida y eficientemente como sea posible. Estos planes a menudo incluyen procesos, soluciones manuales y procedimientos de respaldo para lidiar con la pérdida de espacio de trabajo, infraestructura, personas, software y proveedores.
2. Gestión de la continuidad del negocio (BCM) es un enfoque holístico para la evaluación de riesgos y su impacto en los procesos operativos. Combina respuesta a emergencias, gestión de crisis, recuperación ante desastres y continuidad del negocio.

¿Por qué es importante la continuidad del negocio?

Cada institución, desde pequeñas empresas hasta grandes corporaciones, depende de la tecnología digital para generar ingresos, ofrecer servicios y apoyar a los consumidores que desean servicios y datos disponibles en todo momento. Los clientes no son los únicos que sufren por la interrupción. Un incendio, una inundación, un ataque de ransomware u otros desastres pueden causar pérdidas financieras significativas, dañar la imagen de la empresa y, en el peor de los casos, obligar a una empresa a cerrar permanentemente.

Las organizaciones enfatizan la continuidad del negocio porque mantener servicios vitales durante una crisis o interrupción puede significar la diferencia entre el éxito y el fracaso. Si fallan capacidades críticas del negocio, un tiempo de recuperación corto para la restauración del sistema puede ser de gran valor. 

La continuidad del negocio puede:

• Asegurar la seguridad del personal, contratistas, clientes y visitantes
• Reducir el impacto de una interrupción acelerando el esfuerzo de recuperación
• Proteger la imagen, los procesos y las relaciones con los interesados de un negocio

La planificación y preparación son esenciales para una estrategia holística de continuidad del negocio. Los profesionales pueden ayudar a una empresa a desarrollar un plan de resiliencia. Establecer tal estrategia es un proceso que consume tiempo e involucra realizar un análisis de impacto en el negocio (BIA) y análisis de riesgos, y diseñar planes de BC, pruebas, ejercicios y capacitación.

Por ejemplo, recuperar conjuntos de datos masivos de una copia de seguridad puede llevar un tiempo dolorosamente largo. Por lo tanto, el cambio a un centro de datos distante es una alternativa preferible para empresas con grandes conjuntos de datos.

Un plan de contingencia puede ser la última alternativa cuando los esfuerzos de resiliencia y recuperación fallan, o ocurre un evento inesperado. Un plan de contingencia contiene un enfoque practicado y una estrategia para necesidades de último recurso. Estas necesidades pueden variar desde encontrar apoyo de terceros hasta localizar un segundo sitio para espacio de oficina urgente o servidores de respaldo remotos.

Tipos de riesgos de continuidad del negocio

Los riesgos de continuidad del negocio afectan en gran medida a las organizaciones. El impacto de la pandemia de Covid-19 en las empresas de todo el mundo es quizás el mejor ejemplo de riesgos de continuidad del negocio. 

Las empresas sufrieron pérdidas severas al cerrar permanentemente, y los clientes se vieron obligados a permanecer en interiores durante los confinamientos. Muchos empleados fueron despedidos mientras las empresas luchaban por pagar salarios y alquileres.

Un plan de continuidad del negocio puede ayudar a prevenir tales amenazas potenciales y mantener operaciones fluidas y efectivas. Veamos cinco riesgos principales de continuidad del negocio que una empresa debería monitorear y gestionar:

1. Ciberataques son una gran preocupación. Los ciberdelincuentes pueden dañar la reputación y las finanzas de una empresa causando daños a la red y al sistema. Por ejemplo, en octubre de 2020, Clop ransomware atacó a Software AG, una empresa de tecnología alemana. Los ciberdelincuentes amenazaron con divulgar datos de clientes (como información de contacto y otra información personal identificable (PII)) si la empresa no pagaba un rescate de 23 millones de dólares.
2. La violación de datos ocurre cuando información esencial, privada y sensible se libera o revela a una persona o entorno no confiable. Las violaciones de datos incluyen la pérdida de unidades USB, dispositivos móviles o de computación, laptops y redes informáticas. Tales violaciones pueden exponer información crítica de la empresa y del cliente a individuos desconocidos y causar un daño significativo a la empresa.
3. El terrorismo amenaza a un país o comunidad. Infunde miedo e incertidumbre entre el público en general. Los empleados y las fuerzas de seguridad en una empresa están mal equipados para lidiar con ataques terroristas. Las consecuencias más visibles del terrorismo son la destrucción de propiedades y la interrupción del negocio. Además, el turismo y la vida diaria se ven altamente afectados después de un evento terrorista. Toma algún tiempo para que las empresas reanuden sus actividades normales.
4. Los incendios ocurren típicamente de repente y sin aviso. Cualquier cosa puede causar que funcionen mal las propiedades del negocio o que se abusen de las herramientas y dispositivos organizacionales, como configuraciones de tecnología de la información (TI) defectuosas o sobrecalentadas. Mantener una estrategia de control de incendios que incluya brigadas de bomberos, alarmas y extintores como un paso preventivo para prevenir y combatir incendios es necesario para todo tipo de negocios.
5. Interrupción de la cadena de suministro: Las empresas también deben ser cautelosas con la interrupción de la cadena de suministro. Las calamidades naturales como inundaciones, huracanes, terremotos, tsunamis y tormentas frecuentemente causan tal interrupción. Como resultado, el sistema de distribución entre empresas y proveedores colapsa, y la cadena de suministro sufre.

¿Qué incluye la continuidad del negocio?

La continuidad del negocio aborda la planificación y preparación esenciales para fortalecer y equipar a una empresa para llevar a cabo servicios comerciales vitales durante una crisis. Determina, planifica y desarrolla:

• Los equipos necesarios para gestionar emergencias
• Cómo comunicarse con los consumidores, proveedores y otros intermediarios para proporcionar información precisa y asistencia
• La secuencia y el tiempo esenciales para restaurar operaciones
• Cómo asegurar que los clientes continúen recibiendo servicios o productos
• La tecnología esencial para apoyar los flujos de trabajo del negocio
• Cómo ayudar a los empleados en caso de emergencia
• Dónde y cómo mover a los interesados internos si los sitios comerciales se ven afectados o no están disponibles
• Procedimientos alternativos que entran en juego cuando los procesos no están disponibles
• Ejercicios regulares para asegurar que los planes y acciones cumplan con los estándares y funcionen durante un incidente real
• Documentación de los procesos comerciales y pasos necesarios

La continuidad del negocio adecuada incorpora diferentes clases de respuesta. Como no todo es crítico para la misión, es esencial separar lo que es más crítico para mantener en funcionamiento y lo que puede esperar un poco más. Es vital ser imparcial sobre los objetivos de tiempo de recuperación (RTO) y los objetivos de punto de recuperación (RPO).

Componentes de un plan de continuidad del negocio

Un plan de continuidad del negocio tiene tres componentes principales: resiliencia, recuperación y contingencia.

La resiliencia de una organización mejora cuando planifica servicios e infraestructura esenciales considerando múltiples escenarios de crisis, como rotaciones de personal, redundancia de datos y excedente de capacidad. Asegurar la resiliencia contra diversas situaciones también puede ayudar a las empresas a mantener servicios vitales dentro y fuera del sitio sin interrupción.

La recuperación rápida es crítica para restaurar servicios después de un desastre. Establecer objetivos de tiempo de recuperación para diferentes sistemas, redes o aplicaciones puede determinar qué componentes necesitan ser recuperados inicialmente. Otras opciones de recuperación incluyen inventarios de recursos, asociaciones con empresas de terceros para hacerse cargo de las operaciones comerciales, y instalaciones modificadas para operaciones críticas para la misión.

Un plan de contingencia incluye técnicas para una variedad de eventos externos y una jerarquía que distribuye tareas dentro de una empresa. Estas tareas también pueden involucrar reemplazar hardware, adquirir espacio de oficina de emergencia, evaluar daños y contratar proveedores de terceros.

Continuidad del negocio vs. recuperación ante desastres

La continuidad del negocio y la recuperación ante desastres (DR) están estrechamente alineadas y ayudan a una organización a mantenerse activa después de un desastre. Integrar la continuidad del negocio y la recuperación ante desastres en un solo término, BCDR, surge de una comprensión creciente de que los ejecutivos de negocios y tecnología deben trabajar estrechamente para prepararse para soluciones de crisis en lugar de construir estrategias de forma aislada. BCDR tiene como objetivo reducir riesgos y poner en funcionamiento una organización lo más rápido posible después de una interrupción no planificada.

La continuidad del negocio es más proactiva y se refiere a gestionar sistemas y procesos críticos para la misión para asegurar la operación continua durante y después de una crisis. Incluye una planificación más exhaustiva que apunta a amenazas a largo plazo para el éxito del negocio. La continuidad del negocio típicamente se enfoca en procesos organizacionales.

La recuperación ante desastres es más reactiva e involucra medidas específicas para que un negocio siga después de una interrupción para reanudar operaciones. La recuperación ante desastres ocurre después del desastre, con tiempos de reacción que van desde segundos hasta días. DR se ocupa de la infraestructura técnica.

A diferencia de los planes de continuidad del negocio, las estrategias de recuperación ante desastres también pueden incluir precauciones adicionales de seguridad para los empleados, como simulacros de incendio o suministros de emergencia. Combinar los dos ayuda a una empresa a enfocarse en las operaciones y la seguridad de los empleados simultáneamente.

La recuperación ante desastres es un componente esencial de los programas de continuidad del negocio que hacen que los datos sean accesibles después de un desastre. Este aspecto está incluido en BC, pero también considera la gestión de riesgos y otras preparaciones que una empresa necesita para mantenerse a flote durante una emergencia.

La continuidad del negocio y la recuperación ante desastres tienen algunos paralelismos. Ambos consideran varios eventos imprevistos, como ciberataques, errores humanos y desastres naturales. Se enfocan en la recuperación del negocio, especialmente para aplicaciones críticas para la misión. En muchas situaciones, el mismo equipo trabaja en BC y DR.

Los planes de continuidad del negocio exitosos reducen el tiempo de inactividad operativo, mientras que los planes de recuperación ante desastres efectivos reducen las funciones del sistema anómalas o ineficientes. Las empresas pueden prepararse completamente para emergencias solo integrando las dos estrategias.

Resiliencia del negocio vs. continuidad del negocio

Si bien los planes de continuidad del negocio son críticos para el éxito en un mundo impredecible, la resiliencia del negocio va más allá de los planes para fomentar una cultura ágil.

La resiliencia del negocio es la disposición de una organización para adaptarse a situaciones y funcionar eficientemente frente a riesgos o cambios externos o internos. Las empresas resilientes pueden adaptarse y manejar amenazas de seguridad, riesgo, preparación y supervivencia.

La resiliencia del negocio responde a riesgos e incorpora continuidad del negocio y gestión de crisis. También abarca la capacidad de una empresa para adaptarse a nuevos entornos y fusionar varias disciplinas en un solo conjunto de procedimientos integrados. Es un enfoque más estratégico para la gestión de riesgos. La resiliencia del negocio está personalizada para cada negocio ya que diferentes empresas tienen diferentes necesidades.

En pocas palabras, se trata de absorber un golpe y recuperarse de él. Para un negocio, esto significa que en caso de una interrupción, tienes medidas en su lugar para absorber el impacto sin interrumpir severamente tus actividades. Las empresas necesitan seguir ciertos principios para crear un marco para una resiliencia organizacional exitosa.

La resiliencia generalmente requiere:

• Comportamiento consistente con una visión y objetivo compartidos
• Una comprensión actualizada del entorno de una empresa
• La capacidad de absorber, adaptarse y responder al cambio efectivamente
• Buen liderazgo y gestión
• Coordinación a través de disciplinas gerenciales y contribuciones de expertos técnicos y científicos

Estándares de continuidad del negocio

Los estándares de continuidad del negocio promueven la uniformidad en un enfoque particular de continuidad del negocio. Seguir normas y procesos establecidos permite a las empresas lograr tiempos de respuesta rápidos.

• ISO 22301: Este estándar de BC establece una estructura para tácticas de respuesta y métodos de recuperación a través de un sistema de gestión definido. Incluye planificación estratégica, diseño, implementación, facilidad de operabilidad, monitoreo, evaluación, gestión y actualizaciones oportunas.
• ISO 22313: Este protocolo es una extensión de ISO 22301 que destaca cláusulas regulatorias particulares.
• ISO 27001: Esta estrategia se enfoca en sistemas de gestión de seguridad de la información (ISMS). Involucra el diseño, implementación, gestión y fomento de una cultura de mejora continua.
• ISO 22320: Este estándar de BC define condiciones de respuesta a incidentes y un enfoque fundamental para la estructura de comando, información operativa y compromiso con grupos de respuesta a incidentes.
• ISO 31000: Este es un marco general de gestión de riesgos que puede adaptarse a cualquier negocio, independientemente del tipo, tamaño o complejidad de sus actividades. Cubre la gestión de riesgos y la asignación efectiva de recursos.
• ISO 27000: Este es un conjunto de reglas regulatorias aplicables a ISMS. Se enfoca en la seguridad del sistema de información, incluyendo datos financieros, perfiles de personal, datos de consumidores y bases de datos de terceros.
• ISO 28000: Este estándar describe los requisitos para un sistema de gestión de seguridad desde un punto de vista de gestión de la cadena de suministro.
• NFPA 1600: Es una fuente de referencia que explica cómo prepararse para, abordar y recuperarse de desastres.
• NFPA 72: Este estándar proporciona mejores prácticas para desplegar sistemas de detección de incendios, señalización, alarma, notificación masiva, gestión del clima y sistemas de notificación similares para notificar a los equipos de continuidad del negocio sobre peligros potenciales.

Herramientas de continuidad del negocio

Puedes elegir entre una amplia gama de herramientas de continuidad del negocio, cada una con su propio conjunto de características:

• Respaldo: El respaldo de datos es una de las técnicas más básicas para asegurar la continuidad del negocio. Mientras que mantener datos fuera del sitio o en una unidad remota asegura cierta continuidad del negocio, otros sistemas son necesarios para respaldar la infraestructura de TI y mantenerla operativa en caso de un desastre. El software de respaldo protege los datos de la empresa replicando datos de servidores, bases de datos, escritorios y otros dispositivos cuando errores humanos, archivos dañados o calamidades físicas hacen que los datos esenciales sean inaccesibles.
• Respaldo como Servicio (BaaS): El respaldo como servicio es comparable a respaldar datos en una ubicación distante, pero lo realiza una fuente de terceros. Una vez más, los datos se respaldan, y la infraestructura de TI no lo está.
• DRaaS: DRaaS migra el procesamiento de datos de una organización a una plataforma en la nube. Los proveedores de DRaaS ofrecen un modelo de suscripción o pago por uso para que las empresas utilicen el servicio. Una ventaja de DRaaS es que las empresas pueden continuar operando normalmente desde el sitio del proveedor incluso si sus servidores no están disponibles. Usar un proveedor local de DRaaS resulta en menor latencia, pero si los servidores del proveedor están demasiado cerca del sitio del desastre, sus servidores podrían verse afectados por la misma crisis.

Beneficios de la continuidad del negocio

Eventos inesperados pueden descarrilar una organización en cualquier momento. Ya sea que el incidente sea un desastre natural o un accidente, un revés intencional o un ataque, el impacto en tu empresa puede ser severo. Si no planificas para tal emergencia, las consecuencias pueden ser mucho más severas.

Las estrategias de continuidad del negocio pueden ayudarte a:

• Asegurar que tu empresa siga funcionando durante y después de un evento
• Proteger la reputación de tu empresa
• Restaurar operaciones lo antes posible después de una interrupción
• Reducir el costo de lidiar con el tiempo de inactividad del negocio
• Reducir los riesgos y el impacto de los riesgos en tu negocio
• Aumentar la confianza y la confianza del cliente

Desafíos de la continuidad del negocio

Con la continuidad del negocio proporcionando todos los beneficios enumerados anteriormente, podría ser contraproducente asumir que adoptar una estrategia de continuidad del negocio puede tener desventajas. Quizás "limitaciones" es un mejor término para usar al discutir desventajas. Si bien la planificación de la continuidad del negocio ofrece varios beneficios, puede dar a las empresas una falsa sensación de seguridad y llevar a una preparación inadecuada.

Aquí hay algunos desafíos comunes de la continuidad del negocio:

• Es un proceso que consume tiempo. Desarrollar una estrategia de continuidad del negocio lleva tiempo. Además, establecerlo como una parte crítica de la cultura organizacional no es tan fácil.
• Viene con restricciones financieras. Un plan de continuidad del negocio puede resultar en pérdidas económicas sustanciales si se ejecuta incorrectamente.

Planifica para lo peor

No hay mucho uso en organizar planes de recuperación ante desastres y continuidad del negocio si no los mantienes actualizados. Revisa regularmente las suposiciones en las que se basó tu programa. Desarrolla más de un escenario de recuperación para elegir la solución más adecuada para cada situación. Finalmente, identifica sistemas críticos y datos para recuperarlos rápida y completamente.

¿Quieres evaluar riesgos comerciales y planificarlos? Ve cómo el software de gestión de continuidad del negocio ayuda a las empresas a identificar y recuperarse de interrupciones operativas.