¿Qué es un plan de continuidad del negocio?
La continuidad del negocio es la capacidad de continuar las operaciones y suministrar productos y servicios tras un incidente.
La traducción a “continuidad del negocio” hace hincapié no solo en los procesos y la capacidad de producción, sino también en activos como la gestión de la marca y la imagen de la empresa.
Un sistema eficaz de gestión de la continuidad del negocio (BCMS, por sus siglas en inglés) pretende evitar el mayor número posible de acontecimientos adversos y minimizar los daños en caso de que se produzcan.
ISO 22301: 2019 “Seguridad social – Sistema de gestión de la continuidad de la actividad empresarial – Requisitos“, es la norma internacional para la gestión de la continuidad de la actividad empresarial. Especifica los requisitos necesarios para planificar, establecer, implantar, operar, supervisar y mejorar un sistema de gestión que identifique las amenazas potenciales relevantes para la empresa, reduzca el riesgo de tales amenazas y, en caso de que se produzcan, haga que la empresa esté preparada y lista para responder eficazmente sin afectar a su continuidad de negocio.
Entre las posibles perturbaciones se incluyen
Catástrofes naturales como terremotos, incendios, inundaciones, desprendimientos hidrogeológicos, emergencias sanitarias como pandemias, condiciones meteorológicas prohibitivas, averías de equipos, lesiones o enfermedades del personal, robos y ciberataques. La ISO 22301: 2019 se alinea con la ISO/IEC 27001:2013, que describe cómo implantar un Sistema de Gestión de la Seguridad de la Información (SGSI).
El Sistema de Gestión de la Continuidad de Negocio es un proceso de mejora continua que, una vez iniciado, requiere recursos humanos e instalaciones adecuados. Pero va más allá del Plan de Continuidad de Negocio, el documento que describe la estrategia de continuidad de negocio, la norma ISO 22301:2019, recomienda muchos “planes” pequeños, específicos y fácilmente comprensibles, en lugar de un único plan. La ISO 22301 está flanqueada por la ISO 22313 con directrices para el BCMS, la ISO 22317 con directrices para el análisis del impacto empresarial, y la ISO 22318 para aplicar la continuidad empresarial en la cadena de suministro.
Cómo implantar un sistema eficaz de gestión de la continuidad del negocio
Para determinar el alcance del, el primer paso es el análisis del contexto
Conocer la organización, los procesos y recursos utilizados, las formas y tiempos de comunicación interna y externa, la normativa que debe cumplir la empresa, identificar a los clientes y la forma de contactar con ellos y venderles.
Para que un sea eficaz, es importante que la alta dirección perciba su utilidad, de modo que participe en el trabajo, garantice los recursos adecuados para el proceso y designe a las personas más adecuadas para la tarea de entre los responsables. Pero la participación del personal también es indispensable para el éxito del BCMS: todos deben ser conscientes de su papel y del apoyo que deben prestar en caso de necesidad.
Identificar las áreas y funciones más vulnerables
Una vez definido el ámbito de actuación, se identifican las áreas y funciones empresariales más vulnerables, por orden de prioridad. Se identifican los riesgos relacionados con la implantación del BCMS, se establecen objetivos a corto y medio plazo y criterios claros de seguimiento.
Analizar el impacto de cada posible evento adverso
A continuación, se analiza el impacto de cada posible evento adverso a lo largo del tiempo, con el fin de prepararse para responder al peor escenario posible: los procedimientos para evitar o reducir la probabilidad de incidentes descritos en la fase de planificación se integrarán con cualquier otro evento que se haya producido a lo largo del tiempo. Así, no solo se planifica la gestión de la emergencia, sino también las operaciones y el tiempo necesario para volver al funcionamiento normal. En concreto, se define el tiempo de parada, el intervalo de tiempo en el que las actividades pueden detenerse sin causar trastornos. También se reserva una claridad específica para la definición de los equipos implicados en las distintas fases.
Las directrices recomiendan poner a prueba el BCMS para ver si funciona, incluyendo ejercicios estructurados que simulen ciertos aspectos de la respuesta a incidentes y pongan a prueba al personal implicado, previamente formado. Se prevén auditorías internas y un seguimiento y mejora continuos.
Qué problemas resuelve la continuidad del negocio y qué beneficios aporta a la empresa
-Un Sistema de Gestión de la Continuidad del Negocio eficaz es capaz de evitar o minimizar la interrupción de la producción y/o la prestación de servicios.
–Restablece la continuidad de la actividad lo antes posible, con un enfoque proactivo que minimiza los impactos y mejora progresivamente los tiempos de recuperación.
-La planificación de la gestión de riesgos sobre la base del análisis de impactos, optimiza los sistemas y procesos, produce ventajas competitivas, consolida la seguridad y la confianza de los empleados y las partes interesadas, cumple los requisitos legislativos y reduce los costes de producción e imagen derivados de la gestión de emergencias y/o del tiempo de inactividad prolongado.
-La implantación de un Sistema de Gestión de la Continuidad de Negocio garantiza que la empresa se muestre fiable, resistente y eficiente incluso en situaciones adversas.
La relación entre Continuidad del Negocio y Recuperación ante Desastres
La Recuperación de Desastres es el conjunto de estrategias y acciones necesarias para restaurar la infraestructura informática de la empresa tras sucesos perjudiciales como ciberataques, averías o desastres naturales.
El plan de Recuperación de Desastres identifica las posibles amenazas a los sistemas y aplicaciones informáticos, evaluando su vulnerabilidad y estableciendo las prioridades que deben protegerse para la continuidad de la empresa.
La Recuperación de Desastres se incluye en el Sistema de Gestión de la Continuidad del Negocio para la parte informática de la empresa.
Existen varios métodos de Recuperación de Desastres
La copia de seguridad
Que permite guardar los datos en otro sitio/unidad extraíble; el sitio frío, un segundo sitio con una infraestructura básica que se utilizará después de la emergencia
El sitio caliente (cold site)
Que tiene copias actualizadas de todos los datos
La Recuperación de Desastres como Servicio
Que traslada la informática de la empresa a la nube
La Copia de Seguridad como Servicio
Que traslada la copia de seguridad de los datos a la nube
Recuperación ante desastres del centro de datos
Como una fuente de alimentación de reserva o herramientas de contención de incendios
La virtualización
Que traslada la copia de seguridad o la infraestructura a máquinas virtuales externas
Copias puntuales de la base de datos en un punto temporal externo
Recuperación inmediata
Que copia el contenido de toda una máquina virtual.
Un Plan de Recuperación ante Catástrofes contiene un Objetivo de Punto de Recuperación (RPO) y un Objetivo de Tiempo de Recuperación (RTO).
En concreto: el Objetivo de Punto de Recuperación – OPR es el intervalo de tiempo entre la producción de los datos y su aseguramiento; el Objetivo de Tiempo de Recuperación – OTR es el tiempo de inactividad, el intervalo de tiempo en el que no se pueden restablecer los servicios sin daños irreparables para la organización.
Parámetros, objetivos y operaciones que se integran en el Sistema de Gestión de la Continuidad de Negocio.
Prohibida su reproducción total o parcial.
