Planificación de la continuidad del negocio
La mayoría de los planes de continuidad del negocio que reviso se redactaron en su momento para hacer frente a un desastre que no es el más probable de que afecte a una empresa moderna. Abordan una inundación o un incendio y pasan por alto lo que ocurre cuando el ransomware deja fuera de servicio sus servidores de archivos, sus copias de seguridad resultan estar también parcialmente cifradas y usted tiene que decidir en tiempo real si pagar, reconstruir o ambas cosas, mientras los clientes y empleados se preguntan qué está pasando.
La continuidad del negocio, si se gestiona adecuadamente, es la respuesta a una pregunta práctica: si los sistemas de los que depende su empresa dejan de funcionar, ¿qué mantiene el negocio en marcha y durante cuánto tiempo puede tolerar que cada uno de esos componentes esté inactivo? Esto varía en función de cada organización. Una empresa de servicios profesionales podría sobrevivir una semana sin su CRM si los teléfonos y el correo electrónico siguieran funcionando. Una empresa de logística podría perder contratos en cuestión de horas si su sistema de envíos deja de funcionar. El plan debe elaborarse en función de sus dependencias reales, no de una lista de verificación genérica.
Cómo elaboro estos
Comienzo con un análisis de impacto en el negocio, determinando qué funciones son realmente importantes, cuánto tiempo puede permanecer inactiva cada una de ellas antes de que cause un daño real y qué se necesita para mantenerlas en funcionamiento a un nivel reducido. A partir de ahí, el plan se concreta: quién toma la decisión de activarlo, cómo es el plan de comunicación para el personal, los clientes y los socios, cómo se validan y restauran las copias de seguridad, y en qué consiste un plan de contingencia manual para los procesos que no pueden limitarse a esperar a que intervenga el departamento de TI.
Los elaboro para que se utilicen, no para que se archiven. Esto significa que deben ser manuales breves y prácticos para las personas que realmente los pondrán en práctica, no un documento de cien páginas que acaba guardado en una unidad compartida. Además, insisto en que se pruebe el plan, al menos sobre el papel mediante un ejercicio de simulación de mesa, ya que un plan de continuidad que nunca se ha puesto a prueba no es más que una hipótesis.
¿A quién va dirigido?
Si no dispone de un objetivo de tiempo de recuperación documentado para sus sistemas críticos, si su «plan de respaldo» se limita en realidad a «tenemos copias de seguridad» sin un proceso de restauración probado, o si un cliente o una aseguradora le solicita un plan de continuidad del que actualmente no dispone, merece la pena elaborar uno de forma adecuada.
Contacte conmigo y definamos juntos qué es lo que realmente debe seguir funcionando cuando surja un problema.