Las tormentas de nieve, los huracanes y las tormentas de lluvia ocurren cada año y afectan a empresas, hogares e instituciones. Casi todo el mundo ahora está pensando en medidas para mitigar el desastre y recuperarse de los efectos. Muchas compañías requieren políticas para seguir operando incluso después de la ira de la naturaleza.
Siempre tiene mucho sentido estar preparado para los desastres. Para tener éxito, necesita varias estrategias para la recuperación ante desastres y la continuidad del negocio.
Entendiendo la continuidad del negocio
Según la Organización Internacional de Normalización, la idea de la continuidad del negocio surgió de los gobiernos y los reguladores comerciales. Surgió la necesidad de gestionar el impacto y la interrupción de la normalidad. Los efectos de los desastres naturales y provocados por el hombre en las empresas e instituciones deben mitigarse adecuadamente.
Las autoridades tenían que estar en la primera línea de la gestión de desastres. El gobierno federal, por ejemplo, exige que las empresas se adhieran a estándares específicos. El Consejo de Normas de Seguridad de Tarjetas de Pago y la Corporación Federal de Seguros de Depósitos son quizás los mejores ejemplos de normas específicas de la industria que defienden la gestión de desastres.
Para que el plan de continuidad del negocio sea efectivo, deberá incorporarlo en sus programas de gestión de cumplimiento. La mayoría, si no todas, las definiciones de continuidad del negocio requieren que las organizaciones tengan un plan sólido en su gestión de continuidad del negocio.
Mientras diseña su plan de continuidad comercial, tenga en cuenta las posibles alternativas que se pueden usar mientras los procesos normales se han visto comprometidos, debilitados o destruidos. Recuerde que los clientes solo pueden soportar un retraso, pero no una interrupción total de los servicios. Ejemplos de alternativas son las copias de seguridad de datos, las ubicaciones de las empresas de emergencia y los derechos administrativos de reserva.
Comprender la recuperación ante desastres
La recuperación ante desastres es el plan para volver a los procesos comerciales normales. En lugar de perder el tiempo buscando la causa de la interrupción, concentra rápidamente los recursos en volver a ponerse de pie. Algunas personas dicen que el plan de recuperación ante desastres considera la interrupción de los servicios y las operaciones como de costumbre y que todas las organizaciones deberían estar listas para los tiempos de inactividad.
El plan para la recuperación ante desastres hace que su negocio pase de las secuelas de un ataque, desastre o interrupción a la normalidad. Por lo tanto, debe ser táctico y bien pensado. Deberá resaltar las posibles amenazas que puede sufrir su empresa. Estos incluyen desastres naturales, ataques maliciosos externos y errores humanos internos.
¿Cuál es la diferencia fundamental entre la continuidad del negocio y la recuperación ante desastres?
La diferencia fundamental entre la continuidad del negocio y la recuperación ante desastres es cuando implementa el plan. La continuidad comercial le permite mantener su negocio operativo antes, durante el ataque y después. Por otro lado, los planes de recuperación ante desastres se implementan después del ataque, para reanudar los servicios de rutina.
Principalmente, ambas funciones se centran en el evento una vez que ha ocurrido. Sin embargo, la recuperación ante desastres emplea medidas para volver a la misma posición antes del desastre. Si bien las dos funciones se superponen, es esencial distinguir cómo funcionan.
Si las fuertes lluvias inundan el edificio de su oficina, un plan sólido de recuperación comercial permitiría que su personal trabaje desde su casa o en algún otro lugar remoto. Sin embargo, esta medida es solo para fines de emergencia y, por lo tanto, es a corto plazo. Al mismo tiempo, su plan de recuperación de desastres emplea medidas para traer de vuelta a los empleados en una oficina compartida con equipos reemplazados.
Comprender los riesgos de continuidad del negocio
Los riesgos que amenazan la continuidad del negocio son diferentes. Por ejemplo, los efectos de los desastres naturales pueden ser fáciles de anticipar porque el meteorólogo a menudo prevé el desastre. Si su negocio está en Louisiana o Florida, por ejemplo, puede esperar que los huracanes lo interrumpan. Del mismo modo, las empresas en Oregon, California y otros lugares en la costa oeste pueden poner medidas para lidiar con la interrupción de incendios forestales.
Los ciberataques son difíciles y a menudo imposibles de pronosticar. Las empresas son cada vez más propensas a los ciberataques y los riesgos de TI. En el segundo trimestre de 2018, Verisign informó un aumento del 35 por ciento en los ataques de denegación de servicio distribuido en comparación con el primer trimestre del mismo año.
Los ataques distribuidos de denegación de servicio hacen que los servidores se ralenticen o no puedan funcionar debido a solicitudes abrumadoras de personas malintencionadas. Las empresas que atienden a los clientes en línea, como la plataforma de software como servicio, las plataformas de banca en línea y los servicios relacionados son muy susceptibles a estos ataques.
Identificar los riesgos de continuidad de su negocio
Debe descubrir cómo funciona su infraestructura de TI para identificar todos los riesgos, esto puede hacerse formulando un plan de gestión de riesgos después de realizar una evaluación de riesgos. Las siguientes son preguntas que debe hacerse y proporcionar respuestas confiables.
- ¿Qué datos son cruciales para mantener las operaciones y procedimientos comerciales normales?
- ¿Cuáles son los sistemas físicos y virtuales cruciales para mantener las operaciones comerciales normales?
- ¿Qué conexiones, redes y servicios de Internet son cruciales para mantener las operaciones y procedimientos comerciales normales?
- ¿Qué software y aplicaciones informáticas en dispositivos móviles son cruciales para mantener las operaciones y procedimientos comerciales normales?
- ¿Qué riesgos pueden ser causados por los desastres naturales que deben mitigarse para mantener las operaciones comerciales y los procedimientos normales de sus sistemas, software y redes?
- ¿A qué riesgos de ciberataque son propensos sus sistemas críticos, software, aplicaciones y redes?
- ¿Existen proveedores, proveedores de servicios y terceros que puedan causar riesgos a sus operaciones y procedimientos comerciales?
- ¿Cuáles son los servicios externos a su entorno que son cruciales para mantener las operaciones y procedimientos comerciales normales?
- ¿Qué medidas ha establecido para resaltar, monitorear y prevenir servicios externos críticos que pueden representar un riesgo para sus operaciones y procedimientos comerciales?
- ¿Tiene un plan de respaldo como un centro de datos ubicado fuera del sitio para ayudar con la recuperación de información cuando ocurre un ataque?
- ¿Qué tan seguro es su centro de recuperación de datos fuera del sitio y cómo mide el éxito de la recuperación de datos?
- ¿Tiene acceso remoto y cifrado en tránsito para ayudarlo a volver a las operaciones y procedimientos comerciales normales en caso de ataque e interrupción comercial?
- ¿Tiene cifrado de punto final para ayudar a su empresa a reanudar las operaciones y procedimientos comerciales normales en caso de un ataque y una interrupción comercial?
- ¿Qué autorizaciones administrativas de emergencia tiene que puedan ayudarlo a volver a las operaciones y procedimientos comerciales normales en caso de ataque e interrupción comercial?
Cómo incorporar la planificación de recuperación ante desastres a su empresa
Debe elaborar una lista de riesgos para los sistemas, el software, la red y los servicios de terceros de su empresa. El siguiente paso será el establecimiento de políticas que aceleren su velocidad de recuperación de un ataque e interrupción de las operaciones comerciales. Los siguientes son ejemplos de preguntas que debe hacerse al diseñar el plan de recuperación.
- ¿Hay personal cuya responsabilidad es implementar el plan de recuperación?
- ¿Su empresa o negocio tiene una cadena de mando clara para ejecutar la misión de recuperación?
- ¿Cuál es el cronograma que estas personas deben seguir al implementar el plan de recuperación?
- Cuando los desastres interrumpieron su negocio, ¿cumplió con su cronograma de recuperación?
- ¿Logró recuperar todos los datos cruciales?
- A raíz del evento de interrupción, ¿restableció la normalidad de las autorizaciones administrativas?
- ¿Qué criterios definen el cumplimiento de la política?
- ¿Cómo determina la eficacia de su plan de recuperación?
- ¿Existe documentación de las acciones tomadas para corregir los eventos?
- ¿Cómo ha revisado las incidencias de no conformidad?
- ¿Informó a su equipo sobre el plan de recuperación comercial?
Conclusión
Habiendo entendido la importancia de un plan de recuperación para la continuidad del negocio, es hora de elaborar un plan integral que se ajuste a los riesgos de su negocio. Revíselo continuamente para guiar a su empresa a responder a todo tipo de riesgos de un desastre natural o un ataque malicioso. Su plan de gestión de desastres debe tener definiciones sencillas centradas en la continuidad del negocio.