Después de leerlo, podrá ver cómo encajan las piezas de un programa de continuidad y qué hacer primero.
Definición
La ISO 22301 fija los requisitos de un sistema de gestión de la continuidad de negocio. Su alcance va mucho más allá de la informática e incluye personas, sedes, proveedores e información.
El detonante puede ser un incendio, un ciberataque, el fallo de un proveedor, una inundación o la ausencia repentina de personal clave. Los planificadores miran el efecto, como perder una sede, porque nunca podrían enumerar todas las causas.
Por qué importa
Nadie fija prioridades con calma en medio de una crisis. Lo que se decidió antes es lo que limita la pérdida.
También es una cuestión legal. El artículo 21.2.c) de NIS2 menciona la continuidad de las actividades y la gestión de crisis, y DORA la exige a las entidades financieras.
Cómo funciona
Primero va el análisis de impacto en el negocio. Ordena las actividades y fija los objetivos de recuperación, y solo después se evalúan los riesgos para esas actividades.
Después elija una estrategia para cada recurso: una sede alternativa, el teletrabajo, un segundo proveedor, un proceso manual. Los planes dicen entonces quién hace qué y en qué orden.
Los ejercicios van al final y nunca terminan del todo. Cada uno revela algo que corregir, y los planes cambian con la empresa.
Un caso práctico
Un ransomware tumba el sistema de almacén de una empresa logística. El plan designa a un responsable de crisis, pasa los pedidos prioritarios a las listas de preparación en papel que se imprimen cada noche y recurre al segundo transportista.
En seis horas la empresa envía el 60 % de su volumen, el nivel fijado en su análisis de impacto, mientras informática restaura el sistema desde las copias de seguridad.
Buenas prácticas
- Parta de los servicios de los que dependen los clientes y luego rastree lo que esos servicios necesitan.
- Mantenga los planes accesibles cuando la red caiga, también en papel.
- Nombre un suplente para cada función clave. La gente se va de vacaciones y las crisis no esperan.
- Haga ejercicios al menos una vez al año con personas ajenas a informática.
Errores frecuentes
- Tratar la continuidad como un proyecto de copias de seguridad, lo que deja a la empresa con servidores que funcionan y nadie que sepa qué hacer.
- Escribir un plan tan largo que nadie lo lee antes del día en que hace falta.
- No probarlo nunca. En la primera prueba fallan la mayoría de los planes, y es mejor fallar en un ejercicio.
- Olvidar que el equipo de crisis necesita una forma de comunicarse cuando el correo no funciona.
Preguntas
- ¿Es certificable la ISO 22301?
- Sí. Contiene requisitos que auditan los organismos de certificación acreditados.
- ¿Qué es la gestión de crisis?
- La forma en que la dirección toma decisiones y comunica durante un suceso grave. Los planes de continuidad ejecutan esas decisiones en cada área operativa.
- ¿Con qué frecuencia debe probarse un plan de continuidad?
- La ISO 22301 exige ejercicios a intervalos planificados y cuando hay cambios significativos. Una vez al año es un mínimo habitual.
- ¿Necesita una pequeña empresa un plan de continuidad?
- Sí, a su escala. Unas pocas páginas con prioridades, personas, contactos y soluciones alternativas suelen bastar.
- ¿Qué hace bueno un ejercicio de continuidad?
- Un escenario realista, las personas que actuarían de verdad, un límite de tiempo y una lista escrita de correcciones al final.