BCP frente a DRP: planificación para la interrupción y la recuperación

La planificación de la continuidad empresarial (BCP) y la planificación de la recuperación ante desastres (DRP) son disciplinas relacionadas, pero distintas. La BCP se centra en mantener las operaciones empresariales durante una interrupción, mediante procesos manuales, sitios alternativos o modos de servicio degradado. La DRP se centra específicamente en restaurar los sistemas y la infraestructura de TI después de un desastre. La BCP es el concepto más amplio: la DRP es un componente de la BCP que gestiona el aspecto de recuperación tecnológica. Ambos planes deben documentarse, probarse y mantenerse actualizados.

La BCP y la DRP se activan ante eventos disruptivos que superan la respuesta habitual a incidentes operativos. Entre los factores desencadenantes se incluyen: ataques de ransomware que cifran sistemas críticos, desastres naturales (inundaciones, terremotos o tornados que dañan el centro de datos principal), fallos de infraestructura (interrupciones eléctricas prolongadas o caídas del ISP), pandemias o emergencias de salud pública (la COVID-19 demostró la importancia de los planes de continuidad del trabajo remoto) y interrupciones de la cadena de suministro que impiden obtener hardware de sustitución.

Un análisis de impacto empresarial (BIA) es el documento fundamental tanto para el BCP como para el DRP. Identifica: qué procesos empresariales son críticos y deben continuar a cualquier costo; qué procesos son importantes, pero pueden tolerar demoras; el impacto financiero y operativo del tiempo de inactividad de cada proceso (pérdida de ingresos por hora, sanciones regulatorias, daño a la reputación); y el tiempo máximo de inactividad tolerable para cada proceso. Los resultados del BIA determinan directamente los objetivos de RTO y RPO que establecen los requisitos de recuperación tecnológica.

Cuando se declara un desastre, se activa un Equipo de Gestión de Crisis (CMT), que asume la autoridad sobre la respuesta de la organización. El CMT incluye a la alta dirección y a representantes de TI, asuntos legales, comunicaciones, recursos humanos y servicios generales. El CMT sigue una Estructura de Mando de Incidentes (ICS) predefinida que asigna funciones claras: quién toma las decisiones de recuperación, quién se comunica con los clientes y los medios, quién coordina con proveedores y organismos reguladores, y quién vela por el bienestar del personal. Las estructuras de mando claras evitan el caos y la falta de comunicación que amplifican el impacto de un desastre.

Por lo general, el BCP depende de sitios alternativos para reanudar las operaciones cuando el sitio principal no está disponible. Un sitio activo es una instalación duplicada completamente equipada, sincronizada de forma continua y capaz de asumir las operaciones en cuestión de minutos. Un sitio templado dispone de equipos y suministro eléctrico, pero requiere desde varias horas hasta varios días para cargar los datos y configurar los sistemas. Un sitio frío es una instalación vacía con suministro eléctrico y conectividad; los equipos deben enviarse e instalarse, lo que puede tardar de varios días a varias semanas. Los sitios activos cuestan considerablemente más, pero minimizan el tiempo de inactividad de los procesos críticos.

Los acuerdos de ayuda mutua son contratos entre organizaciones para prestarse asistencia durante desastres. Entre las formas más comunes se incluyen: acuerdos recíprocos (dos organizaciones acuerdan alojar las operaciones de la otra si alguna sufre un desastre), proveedores externos de servicios de DR (empresas como Sungard o IBM ofrecen instalaciones de recuperación ante desastres como servicio) y organizaciones de ayuda mutua del sector (las empresas de servicios públicos, los bancos y los sistemas de salud cuentan con redes formales para compartir recursos durante desastres regionales). Los acuerdos de ayuda mutua deben revisarse anualmente y activarse durante los ejercicios.

Los planes de comunicación son un componente crítico del BCP. Durante un desastre, es posible que los canales de comunicación habituales no estén disponibles (servidores de correo electrónico fuera de servicio, teléfonos de la oficina no disponibles). Los planes deben incluir: listas de contactos de emergencia con números de teléfonos móviles personales, canales de comunicación fuera de banda (Slack, una instancia de respaldo de Teams, correo electrónico personal), procedimientos de notificación a clientes (páginas de estado, redes sociales, correo electrónico directo), requisitos de notificación a organismos reguladores (leyes de notificación de filtraciones de datos, organismos reguladores financieros) y relaciones con los medios para gestionar las declaraciones públicas.

La documentación eficaz del BCP incluye varios componentes clave: el BIA (identifica los procesos críticos y el tiempo máximo de inactividad tolerable), el propio BCP (procedimientos paso a paso para mantener las operaciones), el DRP (procedimientos de recuperación de TI), los directorios de contactos de emergencia, las listas de contactos de proveedores (proveedores de nube, ISP y proveedores clave), la documentación de seguros y los procedimientos de notificación a organismos reguladores. Todos los documentos deben almacenarse en ubicaciones accesibles cuando los sistemas principales no estén disponibles: copias impresas, almacenamiento seguro en la nube con acceso sin conexión o unidades USB en poder del personal clave.

La COVID-19 reveló que la mayoría de los planes de BCP no abordaban adecuadamente los escenarios de pandemia, en los que el desastre no se limita a una ubicación, sino que afecta simultáneamente a todas las ubicaciones. Lecciones clave: garantizar que la infraestructura de VPN pueda escalar para admitir de forma remota al 100 % de la plantilla (no solo el 20-30 % que se suponía en los diseños anteriores a la pandemia), implementar herramientas de colaboración basadas en la nube que funcionen sin infraestructura local, verificar que los procesos críticos puedan completarse íntegramente de forma remota y garantizar la continuidad de la cadena de suministro de hardware cuando sea necesario acondicionar rápidamente las viviendas de los empleados como oficinas.

Un BCP que nunca se ha probado es un BCP que fallará durante un desastre real. Entre los enfoques habituales de prueba se incluyen: ejercicios teóricos (análisis guiado mediante debate con el personal clave, sin activar sistemas), ejercicios funcionales (activación real de las cadenas de comunicación y de procedimientos de recuperación parciales), pruebas a escala completa (traslado de las operaciones al sitio alternativo y ejecución del negocio desde allí durante un periodo) y revisiones posteriores a incidentes para actualizar el plan basándose en la experiencia real. Los planes deben revisarse anualmente y actualizarse después de cualquier cambio significativo en la infraestructura.

Muchas industrias reguladas exigen contar con BCP y DRP. HIPAA exige que las entidades cubiertas dispongan de planes de contingencia que incluyan procedimientos de respaldo de datos, recuperación ante desastres y operación en modo de emergencia. PCI-DSS exige planes de respuesta a incidentes y procedimientos de continuidad del negocio para los sistemas incluidos en su alcance. FINRA y los organismos reguladores bancarios exigen un BCP detallado, con pruebas anuales y presentación ante los organismos reguladores. Las aseguradoras de riesgos cibernéticos exigen cada vez más un BCP documentado y probado como condición de cobertura, y pueden rechazar reclamaciones si no existen planes o si estos no se probaron cuando ocurrió un evento cubierto.

Compruebe su comprensión de los conceptos de CompTIA Security+ (SY0-701) tratados en esta lección.

En esta lección ha aprendido que: el BCP mantiene las operaciones del negocio durante las interrupciones, mientras que el DRP restaura los sistemas de TI; el análisis de impacto empresarial identifica los procesos críticos y el tiempo máximo de inactividad tolerable que determina los requisitos de recuperación; y los sitios alternativos (activos, templados y fríos) ofrecen distintos niveles de velocidad y costo de recuperación para reanudar las operaciones cuando el sitio principal no está disponible. A continuación exploraremos RTO, RPO y MTTR, las métricas específicas que cuantifican los objetivos de recuperación.