Independientemente de que su sector se enfrente a retos derivados de conflictos geopolíticos, las secuelas de una pandemia mundial o la creciente agresividad en el espacio de la ciberseguridad, el vector de amenazas para las empresas modernas es innegablemente poderoso. Las estrategias de recuperación ante desastres proporcionan el marco para que los miembros del equipo vuelvan a poner en marcha una empresa después de un evento imprevisto.

La popularidad de las estrategias de recuperación ante desastres está aumentando en todo el mundo. El año pasado, las empresas gastaron 219 mil millones de dólares solo en ciberseguridad y soluciones, un aumento del 12 % con respecto a 2022, según un informe reciente de International Data Corporation (IDC) (enlace externo a ibm.com).

Una estrategia de recuperación ante desastres establece cómo responderán sus empresas a una serie de incidentes no planificados. Las estrategias sólidas de recuperación ante desastres consisten en planes de recuperación ante desastres (planes DR), planes de continuidad del negocio (BCP) y planes de respuesta a incidentes (IRP). Juntos, estos documentos ayudan a garantizar que las empresas están preparadas para hacer frente a una variedad de amenazas, como cortes de energía, ataques de ransomware y malware, desastres naturales y muchas más.

Los planes de recuperación ante desastres (DRP) son documentos detallados que describen cómo responderán las empresas a diferentes tipos de desastres. Por lo general, las empresas crean sus propios DRP o subcontratan su proceso de recuperación ante desastres a un proveedor externo de DRP. Junto con los planes de continuidad del negocio (BCP) y los planes de respuesta a incidentes (IRP), los DRP desempeñan un papel crucial en la eficacia de la estrategia de recuperación ante desastres.

Al igual que los DRP, los BCP y los IRP forman parte de una estrategia de recuperación ante desastres más amplia en la que una empresa puede confiar para ayudar a restablecer las operaciones normales en caso de desastre. Los BCP suelen tener una visión más amplia de las amenazas y las opciones de resolución que los DRP, centrándose en lo que una empresa necesita para restaurar la conectividad. Los IRP son un tipo de DRP que se centra exclusivamente en los ciberataques y las amenazas a los sistemas de TI. Los IRP describen claramente la respuesta de emergencia en tiempo real de una organización desde el momento en que se detecta una amenaza hasta su mitigación y resolución. 

Las desastres pueden afectar a las empresas de distintas maneras, provocando todo tipo de problemas complejos. Desde un terremoto que afecte a la infraestructura física y a la seguridad de los trabajadores hasta una interrupción de los servicios en la nube que cierre el acceso al almacenamiento de datos confidenciales y a los servicios a los clientes, contar con una sólida estrategia de recuperación ante desastres ayuda a garantizar que las empresas se recuperen rápidamente. Estos son algunos de los mayores beneficios de crear una sólida estrategia de recuperación en caso de catástrofe:

• Mantenimiento de la continuidad del negocio: la continuidad del negocio y la recuperación ante desastres para la continuidad del negocio (BCDR) ayudan a garantizar que las organizaciones vuelvan a sus operaciones normales después de un evento imprevisto, proporcionando protección de datos, copia de seguridad de datos y otros servicios críticos.
• Reducción de costes: según el reciente Informe "Cost of Data Breach" de IBM, el coste medio de una vulneración de datos en 2023 fue de 4,45 millones de dólares, un aumento del 15 % en los últimos 3 años. Las empresas que no cuentan con estrategias de recuperación ante desastres se arriesgan a costes y sanciones que podrían superar con creces el dinero ahorrado al no invertir en la solución.
• Menos tiempo de inactividad: las empresas modernas se basan en tecnologías complejas, como las soluciones de infraestructura basadas en la nube y las redes móviles. Cuando un incidente no planificado interrumpe las operaciones comerciales, puede costar millones. Además, el alto perfil de los ciberataques, los largos periodos de inactividad o las interrupciones relacionadas con errores humanos pueden provocar la huida de clientes e inversores.
• Preservación del cumplimiento: las empresas que operan en sectores muy regulados, como la sanidad y las finanzas personales, se enfrentan a fuertes multas y sanciones por violaciones de datos debido a la naturaleza crucial de los datos que gestionan. Contar con una sólida estrategia de recuperación ante desastres ayuda a acortar los procesos de respuesta y recuperación tras un incidente imprevisto, lo que resulta crucial en sectores en los que la cuantía de la sanción económica suele estar vinculada a la duración de la infracción.

Las estrategias de recuperación ante desastres más sólidas preparan a las empresas para hacer frente a una amplia variedad de amenazas. Una plantilla sólida para restablecer las operaciones normales puede ayudar a fomentar la confianza de los inversores y los clientes y aumentar la probabilidad de que se recupere de cualquier amenaza a la que se enfrente su empresa. Antes de entrar en los componentes reales de las estrategias de recuperación ante desastres, veamos algunos términos clave.

• Conmutación por error/conmutación por recuperación: la conmutación por error es un proceso ampliamente utilizado en la recuperación ante desastres de TI en el que las operaciones se trasladan a un sistema secundario cuando uno principal falla debido a un corte de energía, un ciberataque u otra amenaza. La conmutación por recuperación es el proceso de volver al sistema original una vez que se han restaurado los procesos normales. Por ejemplo, una empresa podría conmutar por error desde su centro de datos a un sitio secundario donde un sistema redundante se activará al instante. Si se ejecuta correctamente, la conmutación por error/conmutación por recuperación puede crear una experiencia fluida en la que el usuario/cliente ni siquiera es consciente de que está siendo trasladado a un sistema secundario.
• Objetivo de tiempo de recuperación (RTO): RTO se refiere a la cantidad de tiempo que se tarda en restaurar las operaciones comerciales después de un incidente no planificado. Establecer un RTO razonable es una de las primeras cosas que las empresas deben hacer cuando crean su estrategia de recuperación ante desastres.
• Objetivo de punto de recuperación (RPO): el RPO de su empresa es la cantidad de datos que puede permitirse perder y aún así recuperar. Algunas empresas copian constantemente los datos a un centro de datos remoto para garantizar la continuidad. Otros establecen un RPO tolerable de unos pocos minutos (o incluso horas) y saben que podrán recuperarse de lo que se perdió durante ese tiempo.
• Recuperación ante desastres como servicio (DRaaS): DRaaS es un enfoque de recuperación ante desastres que ha ido ganando popularidad debido a una creciente concienciación sobre la importancia de la seguridad de los datos. Las empresas que adoptan un enfoque DRaaS para la recuperación ante desastres básicamente externalizan sus planes de recuperación ante desastres (DRP) a un tercero. Este tercero aloja y gestiona la infraestructura necesaria para la recuperación, luego crea y gestiona planes de respuesta y garantiza una rápida reanudación de las operaciones cruciales para la empresa. Según un informe reciente de Global Market Insights (GMI) (enlace externo a ibm.com), el tamaño del mercado para DRaaS era de 11 500 millones de dólares en 2022 y estaba a punto de crecer un 22 % en los próximos años.

La planificación de la recuperación ante desastres comienza con un análisis profundo de sus procesos empresariales más cruciales, conocido como análisis de impacto empresarial (BIA) y evaluación de riesgos (RA). Aunque cada empresa es diferente y tendrá sus propias necesidades, hay varias medidas que puede tomar, independientemente de su tamaño o sector, que le ayudarán a garantizar una planificación eficaz de la recuperación ante desastres.

Paso 1: Realizar un análisis de impacto empresarial

El análisis de impacto empresarial (BIA) es una evaluación cuidadosa de cada amenaza a la que se enfrenta su empresa, junto con los posibles resultados. Strong BIA analiza cómo las amenazas pueden afectar a las operaciones diarias, los canales de comunicación, la seguridad de los trabajadores y otras partes cruciales de su negocio. Algunos ejemplos de factores a tener en cuenta al realizar el BIA son la pérdida de ingresos, la duración y el coste del tiempo de inactividad, el coste de la reparación de la reputación (relaciones públicas), la pérdida de confianza de clientes o inversores (a corto y largo plazo) y las sanciones a las que podría enfrentarse debido a infracciones de cumplimiento causadas por una interrupción.

Paso 2: Realizar un análisis de riesgos

Las amenazas varían mucho según el sector y el tipo de negocio que tenga. Realizar un análisis de riesgos (RA) sólido es un paso crucial en la elaboración de su estrategia. Puede evaluar cada amenaza potencial por separado teniendo en cuenta dos cosas: la probabilidad de que ocurra y su posible impacto en las operaciones comerciales. Para ello, existen dos métodos ampliamente utilizados: el análisis cualitativo y el análisis cuantitativo de riesgos. El análisis cualitativo de riesgos se basa en el riesgo percibido y el análisis cuantitativo se realiza utilizando datos verificables.

Paso 3: Crear su inventario de activos

La recuperación ante desastres se basa en tener una imagen completa de todos los activos que posee su empresa. Esto incluye hardware, software, infraestructura de TI, datos y cualquier otra cosa que sea crucial para las operaciones de su empresa. Estas son tres etiquetas muy utilizadas para categorizar sus activos:

• Crucial: solo etiquete los activos cruciales si son necesarios para las operaciones comerciales normales.
• Importante: asigne esta etiqueta a los activos que su empresa utiliza al menos una vez al día y, si se interrumpieran, tendrían un impacto en las operaciones empresariales (pero no los cerrarían por completo).
• Sin importancia: se trata de activos que su empresa utiliza con poca frecuencia y que no son esenciales para las operaciones comerciales normales.

Paso 4: Establecer funciones y responsabilidades 

La asignación clara de funciones y responsabilidades es posiblemente la parte más importante de una estrategia de recuperación ante desastres. Sin ella, nadie sabrá qué hacer en caso de desastre. Aunque las funciones y responsabilidades reales varían mucho según el tamaño de la empresa, el sector y el tipo de negocio, hay algunas funciones y responsabilidades que toda estrategia de recuperación debe contener:

• Informador de incidentes: persona responsable de comunicarse con las partes interesadas y las autoridades pertinentes cuando se producen sucesos disruptivos y de mantener actualizada la información de contacto de todas las partes pertinentes.
• Gestor del plan de recuperación ante desastres: su director de DRP se asegura de que los miembros del equipo de recuperación ante desastres realizan las tareas que se les han asignado y de que la estrategia que ha puesto en marcha funciona sin problemas. 
• Gestor de activos: debe asignar a alguien la función de asegurar y proteger los activos cruciales cuando se produce un desastre e informar sobre su estado durante todo el incidente.

Paso 5: Probar y perfeccionar

Para garantizar la solidez de su estrategia de recuperación ante desastres, deberá ponerla en práctica constantemente y actualizarla con regularidad en función de cualquier cambio significativo. Por ejemplo, si su empresa adquiere nuevos activos después de la formación de su estrategia DRP, deberán incorporarse a su plan para garantizar que estén protegidos en el futuro. Las pruebas y el perfeccionamiento de su estrategia de recuperación ante desastres se pueden dividir en tres sencillos pasos:

1. Crear una simulación precisa: al ensayar su DRP, intente crear un entorno lo más parecido posible al escenario real al que se enfrentará su empresa sin poner a nadie en riesgo físico.
2. Identificar los problemas: utilice el proceso de prueba del DRP para identificar fallos e incoherencias en su plan, simplificar los procesos y solucionar cualquier problema con sus procedimientos de copia de seguridad.
3. Probar sus procedimientos de recuperación ante desastres: ver cómo responderá a un incidente es vital, pero es igual de importante probar los procedimientos que ha implementado para restaurar los sistemas críticos una vez que el incidente haya terminado. Pruebe cómo volverá a activar las redes, recuperar los datos perdidos y reanudar el funcionamiento normal de la empresa. 

Las empresas modernas confían más que nunca en la tecnología para atender a sus clientes. Incluso interrupciones menores pueden causar un tiempo de inactividad crucial y afectar la confianza de los clientes e inversores. El IBM FlashSystem Cyber Recovery Guarantee está diseñado para cualquier persona que adquiera un nuevo FlashSystem Array con IBM Storage expert care e IBM Storage Insights Pro.