Tener respaldos, infraestructura redundante o un plan de recuperación de desastres documentado ya no es suficiente para garantizar que una empresa puede volver a operar después de un ciberataque, falla técnica o incluso desastre natural.
La verdadera resiliencia no se mide por los documentos que existen, sino por la capacidad de ejecutar un plan bajo presión, restaurar los sistemas en los tiempos previstos y coordinar a las personas de manera eficaz.
Para conocer qué separa a las organizaciones que logran recuperarse de aquellas que prolongan una crisis, entrevistamos a Antar Poixtan, gerente comercial de Scientia México y especialista con más de siete años de experiencia en ciberseguridad y continuidad de negocios.
1. Cuando hablamos de resiliencia y continuidad operativa, ¿qué significa realmente estar preparado y cuál es la diferencia entre tener un plan de recuperación de desastres y tener la capacidad real de recuperarse?
Sí hay una amplia diferencia entre tener un plan de recuperación de desastres y saber, con certeza, que existe la capacidad para recuperarse.
Estar preparado no significa únicamente tener un PDF, un documento en Word o un plan guardado en una carpeta, incluso impreso. Significa haber probado ese plan, haberlo corregido y haberlo ejecutado en un escenario real.
La diferencia es que el plan existe en papel, mientras que la capacidad real de recuperarse solo existe en la práctica. Las organizaciones deben saber qué hacer en los primeros 15 minutos de una contingencia: a quién comunicar, qué hacer con la infraestructura, qué apagar, qué encender y cómo restablecer la operación en el tiempo comprometido.
Lo mismo ocurre con los respaldos de datos sensibles. No basta con tenerlos; es necesario comprobar que realmente pueden restaurarse cuando se necesitan.
Es importante eliminar la idea de que tener un plan documentado significa estar preparado. El plan es cómo debería recuperarse la organización, pero no garantiza que pueda ejecutarse. La capacidad real de recuperación se construye mediante ejercicios, se mide y se ajusta constantemente. Esa diferencia solo se hace evidente cuando ocurre una contingencia.
2. Muchas empresas cuentan con respaldos, infraestructura redundante y un plan documentado. Entonces, ¿por qué siguen fracasando los planes de recuperación de desastres cuando ocurre una contingencia real?
Las empresas que ya tienen un plan documentado van por delante que otras ante cualquier situación que llegue a surgir.
Sin embargo, muchos planes fracasan porque se diseñan una sola vez y nunca vuelven a actualizarse. Las empresas cambian: incorporan nuevos sistemas, actualizan aplicaciones y también cambia el personal. Si el plan no evoluciona junto con la organización, termina congelado en el tiempo.
También sucede que pocas organizaciones prueban realmente la restauración de sus respaldos. Asumen que, por tener copias de seguridad, ya están protegidas, pero por cuestiones operativas o de tiempo no realizan pruebas completas de recuperación. Sin esas pruebas no hay forma de saber si los respaldos funcionarán cuando sean necesarios.
Otro factor importante es que, durante un incidente, las personas entran en pánico. Tener un plan no garantiza que alguien pueda ejecutarlo bajo presión. Además, muchas veces todo depende de una sola persona, normalmente el gerente o director de sistemas. Si esa persona no está disponible, el resto del equipo no sabe cómo reaccionar.
Entonces, todo puede estar impecable en cuestión de la tecnología, pero si la organización no está entrenada para reaccionar, el plan no funciona.
Por eso recomendamos realizar pruebas de escritorio. Consisten en dedicar medio día o un día completo a simular una contingencia, como un ciberataque, una falla eléctrica, un sismo o una inundación. Durante ese ejercicio se sigue el plan documentado paso a paso, con todo el equipo presente, cada integrante desempeñando su función y registrando los tiempos de respuesta. Así se obtiene una simulación muy cercana a la realidad y se puede evaluar cómo reaccionaría la organización.
3. ¿Cuáles son los errores o puntos ciegos más frecuentes que encuentran cuando evalúan la estrategia de recuperación y continuidad operativa de una empresa?
Uno de los errores más frecuentes es que los respaldos nunca se prueban mediante una restauración completa de servidores, equipos o sistemas.
Sin embargo, el punto ciego más común es que no queda claro quién toma las decisiones durante una crisis y esa falta de roles definidos genera parálisis precisamente cuando es más importante actuar con rapidez.
Muchas organizaciones cuentan con herramientas que alertan sobre un ciberataque, pero cuando ocurre el incidente el equipo no está coordinado o el comité de crisis no está tan bien definido, no se sabe quién toma qué acción y ese punto ciego llega a afectar bastante el desarrollo y ejecución del plan.
Otro error es enfocarse únicamente en la tecnología y dejar de lado la comunicación. Además de contar con un comité de crisis, debe existir un protocolo claro de comunicación durante el incidente.
También es importante considerar escenarios donde personas clave no estén disponibles o donde un proveedor deje de operar. Si toda la estrategia depende de una sola persona, de un único proveedor o de una sola región, la organización queda expuesta ante cualquier contingencia.
4. ¿Cómo deberían definir las empresas qué aplicaciones, datos y procesos recuperar primero, y qué papel juegan conceptos como RTO (Objetivo de Tiempo de Recuperación) y RPO (Objetivo de Punto de Recuperación)?
Esta decisión no debería recaer únicamente en el área de TI. Deben participar las áreas de negocio y la dirección general, porque una interrupción tecnológica también afecta la operación, la facturación y los procesos comerciales.
Entonces, lo primero es llegar a preguntar qué procesos van a estar involucrados en este tipo de conceptos, qué pasa si se detienen, cuáles generan el mayor impacto económico a la empresa, inclusive reputacional, y a partir de ahí se llega a ordenar la prioridad de recuperación.
Es normal que en prácticamente todas las empresas, no todos los sistemas son igual de críticos, entonces tratarlos como si todos lo fueran, es uno de los errores también más comunes.
Una vez identificados los sistemas críticos, se definen métricas como el RTO y el RPO.
El RTO representa el tiempo máximo que el negocio puede permanecer sin un sistema crítico, mientras que el RPO determina cuánta información puede permitirse perder la organización. Estas métricas permiten transformar una conversación de negocio en una estrategia técnica y obligan a que la dirección y el área de TI trabajen juntas para establecer límites reales antes de que ocurra un incidente.
Además, hay estándares internacionales que las empresas pueden tomar como referencia, como el ISO 2301, que se enfoca en la continuidad del negocio, y se pueden basar en ese estándar para definir puntos de mejor manera. También, otro adicional que se pudiese llegar a mencionar y que también ayuda en llegar a identificar ciertos sistemas críticos es el NIST 2.0, que es un estándar de Estados Unidos muy utilizado, en el que recientemente añadieron el asunto de gobernanza.
5. Si mañana una empresa sufriera un incidente que detuviera una parte importante de su operación, ¿cuáles serían las tres preguntas que un CIO o CISO debería hacerse hoy?
La primera pregunta sería: ¿Cuándo fue la última vez que probamos una restauración completa de nuestros sistemas críticos? Si ha pasado más de uno o dos años sin hacerlo, ya existe una señal de alerta. No basta con tener respaldos exitosos; es indispensable comprobar que realmente pueden restaurarse.
La segunda pregunta es: Si el sistema más crítico deja de funcionar en este momento, ¿sabemos cuánto tiempo tomaría recuperarlo y quién es responsable de cada paso?
La tercera sería: ¿El plan actual sigue reflejando cómo opera hoy la empresa o describe una infraestructura que ya cambió? Es decir, si hay algo dentro de la operación, dentro de nuestros sistemas críticos que haya evolucionado con el tiempo, y si esa evolución se llega a describir en el plan que ya hicimos. Esas principalmente serían las tres preguntas.
6. ¿Cuál es la falsa sensación de seguridad más peligrosa que tienen hoy las empresas respecto a sus respaldos y planes de recuperación?
Una de las más comunes es pensar que, por tener los datos en la nube o contar con respaldos automatizados, la empresa ya está protegida.
La nube no elimina la responsabilidad que tiene la organización sobre sus propios datos, un respaldo que nunca ha sido restaurado solo genera una sensación de seguridad, pero no una garantía.
Esa confianza excesiva hace que muchas empresas dejen de invertir tiempo y recursos en simulacros, porque asumen que todo está resuelto cuando en realidad nunca se llega a comprobar al 100% todo lo que tiene ahí.
Otra falsa creencia consiste en pensar que, porque un proveedor ofrece alta disponibilidad, la empresa ya está completamente protegida sin revisar o sin generar un escenario de simulación de qué pasa si ese mismo proveedor sufrió una falla o un ataque.
Muchas empresas operan sobre plataformas como AWS o Microsoft Azure y creen que, por tratarse de grandes proveedores con múltiples centros de datos, nunca tendrán problemas.
La seguridad no proviene únicamente de contratar una herramienta, sino de entender exactamente qué protege esa herramienta, y esa sensación de tranquilidad es varias veces la más peligrosa, porque impide que la empresa siga evolucionando en temas de proteger sus datos y preparándose.
Plan de recuperación no debe quedarse congelado en el tiempo
Antar Poixtan concluye que la continuidad del negocio no debe entenderse como un proyecto que se implementa una sola vez, sino como una disciplina que evoluciona junto con la organización.
“Las empresas que se recuperan más rápido no son necesariamente las que más invirtieron en tecnología, sino las que más invirtieron en un plan de recuperación y en desarrollar un hábito de revisión, prueba y mejora continua.”
Por ello, recomienda realizar ejercicios de recuperación en escenarios lo más cercanos posibles a la realidad al menos cada seis meses o cada año si los recursos son limitados. Y señaló que, en organizaciones donde se busca convertirlo en una práctica permanente, se pueden realizar cada mes o cada dos meses para tener mayor certeza sobre su capacidad de recuperación.
