¿Qué es la resiliencia operativa?

Los grandes eventos disruptivos, ya sean ciberataques, cortes de energía o fallos del sistema, son inevitables. Ninguna organización o empresa es inmune. La resiliencia operativa va más allá de la recuperación ante desastres tradicional mediante la gestión proactiva de eventos imprevistos. Este enfoque requiere identificar qué servicios son más importantes para la empresa y garantizar que permanezcan estables y se recuperen rápidamente.

Las empresas abordan cada vez más la necesidad de resiliencia operativa. Según una investigación de BCI y Riskonnect, el 70 % de las organizaciones cuentan ahora con programas de resiliencia operativa y un 10 % adicional está en proceso de desarrollar uno.¹ La adhesión a las buenas prácticas es el controlador más común para desarrollar estas estrategias, con el cumplimiento normativo en segundo lugar.

Aunque la resiliencia operativa es vital para todas las empresas, ciertos sectores requieren capacidades sólidas. Las instituciones financieras son especialmente vulnerables a los incidentes de seguridad y a los riesgos cibernéticos. Deben proteger los datos de los clientes, mantener la estabilidad del sistema financiero y cumplir con regulaciones estrictas, o de lo contrario corren el riesgo de perder su reputación y la confianza de los clientes. Del mismo modo, las organizaciones sanitarias son responsables de garantizar la continuidad de la atención durante los eventos adversos y, al mismo tiempo, cumplir con los requisitos de privacidad de los datos confidenciales de los pacientes.

La resiliencia operativa de misión crítica se ha vuelto fundamental en los negocios modernos por numerosas razones. En un mundo digital "siempre conectado", se espera que las organizaciones capeen cualquier interrupción operativa, y cada segundo de tiempo de inactividad se traduce en pérdidas financieras, vulnerabilidades de seguridad y riesgos empresariales.

Los grandes acontecimientos catastróficos, ya sean pandemias o desastres naturales, han puesto de relieve la necesidad de resiliencia operativa. Además, la actividad reguladora en todo el mundo está aumentando, y los gobiernos y otras autoridades emiten directrices, leyes y normativas para garantizar que las empresas puedan anticiparse y recuperarse rápidamente de los acontecimientos adversos.

A medida que las empresas implementan la inteligencia artificial (IA) de manera constante y dependen de las asociaciones para seguir siendo competitivas, las organizaciones deben asegurarse de que estas dependencias cumplen con los mismos estándares de seguridad, resiliencia y control de la información que exigen ellos y sus reguladores.

El panorama de las ciberamenazas también está evolucionando. Según el IBM X-Force Threat Intelligence Index 2024, los atacantes están pasando de ransomware a malware diseñado para robar información.

Independientemente del sector, la confianza y la seguridad deben ser la base de la toma de decisiones sobre dónde residen las cargas de trabajo y los datos.

La resiliencia operativa, la gestión de la continuidad del negocio (BCM) y la recuperación ante desastres (DR) son todas estrategias para proteger las empresas, pero son procesos distintos.

Una estrategia de continuidad del negocio se refiere a la capacidad de una organización para mantener las funciones empresariales cruciales y reanudar las operaciones normales con un tiempo de inactividad mínimo ante una crisis. La BCM se centra en crear planes y procedimientos detallados para garantizar que los procesos empresariales esenciales puedan continuar durante fallos en la cadena de suministro, pandemias u otros incidentes inesperados.

Los planes de recuperación ante desastres son más técnicos y se centran en las TI. La DR consiste en tecnologías de TI y buenas prácticas diseñadas para prevenir o minimizar la pérdida de datos y la interrupción del negocio debido a eventos catastróficos como fallos de equipos, ciberataques o daños en las instalaciones.

Se centra en puntos aislados de fallo que podrían interrumpir las operaciones críticas, normalmente en un centro de datos, ya sea en las instalaciones o en la nube. La DR establece objetivos de tiempo de recuperación (RTO) y objetivos de punto de recuperación (RPO) específicos para restaurar los sistemas de información y los datos.

Cabe señalar que la continuidad del negocio y la recuperación ante desastres (BCDR) suelen combinarse en estrategias integradas, pero también pueden utilizarse por separado en función de los objetivos empresariales.

Un plan de resiliencia operativa es una estrategia más amplia que se refiere a la capacidad de una empresa para predecir, mantener y restaurar sus servicios y funciones críticos ante un desafío. Mientras que la DR y la BCM suelen centrarse en escenarios y planes de recuperación específicos, la resiliencia operativa abarca todo el espectro de factores (por ejemplo, personas, procesos, tecnología, cadena de suministro) que respaldan las operaciones y la prestación de servicios empresariales. Ha evolucionado para abordar amenazas cada vez más sofisticadas.

En los últimos años, la resiliencia operativa se ha convertido en una prioridad normativa para los gobiernos y otras entidades de todo el mundo. Orienta a los sectores altamente regulados (por ejemplo, empresas de servicios financieros, infraestructuras de mercados financieros) en la gestión de los requisitos de privacidad, resiliencia, seguridad y soberanía de los datos.

Para proteger el interés público, estos organismos reguladores han establecido prácticas normalizadas para garantizar que las organizaciones comprendan sus vulnerabilidades e inviertan en medidas de protección para la estabilidad financiera.

En Estados Unidos, la Reserva Federal y otros reguladores bancarios han emitido directrices sobre prácticas de resiliencia operativa. A nivel internacional, regulaciones como la Ley de Resiliencia Operativa Digital (DORA ) de la Unión Europea han creado marcos vinculantes y integrales de gestión de riesgos en tecnologías de la información y la comunicación (TIC) para las instituciones financieras y sus proveedores críticos de servicios tecnológicos externos.

La resiliencia operativa requiere un enfoque holístico en áreas interconectadas que incluyen:

• Marco de gestión de riesgos: las prácticas de gestión de riesgos operativos constituyen la base frente a amenazas internas y externas. Las organizaciones deben identificar, evaluar y mitigar continuamente la exposición a los riesgos operativos, que van desde los errores humanos a los fallos de la tecnología y los sistemas. Una gestión eficaz de los riesgos permite a las organizaciones anticiparse a los riesgos potenciales y desarrollar estrategias para reducir su impacto.
• Tecnología y sistemas: es fundamental construir una infraestructura de tecnología de la información (TI) sólida. Los sistemas informáticos, las aplicaciones, los datos y los controles de ciberseguridad deben ser lo suficientemente sólidos como para soportar interrupciones y recuperarse rápidamente si se producen incidentes operativos.
• Personas y procesos: unos empleados cualificados, unos procedimientos bien definidos y una formación eficaz garantizan que todas las partes interesadas puedan responder adecuadamente durante las crisis y mantener las funciones cruciales y la soberanía digital.
• Instalaciones e infraestructura: las ubicaciones físicas como los centros de datos, los Power System y la infraestructura de red deben estar protegidos y equipados con capacidades de copia de seguridad para apoyar la recuperación ante desastres y la continuidad del negocio.
• Dependencias de terceros: los vendedores, los proveedores de servicio en la nube y los partners de externalización introducen dependencias que requieren prácticas de gestión de riesgos de terceros para garantizar que cumplen las normas de resiliencia.

Las organizaciones desarrollan resiliencia operativa en todas las áreas principales a través de un ciclo de vida continuo y proactivo de cuatro etapas.

Las empresas deben identificar las funciones empresariales críticas, las posibles amenazas y las vulnerabilidades en todo su sistema de TI (por ejemplo, on-premises, en la nube privada, en la nube soberana, en la nube pública y en el edge).

Este enfoque consiste en realizar evaluaciones de riesgos cibernéticos, modelos de amenazas y análisis de impacto en el negocio (BIA) para identificar posibles vulnerabilidades y funciones clave.

Esta etapa desarrolla e implementa estrategias para detener o atenuar el impacto de las posibles interrupciones. Implica integrar políticas de seguridad sólidas, formación de los empleados y soluciones informáticas especializadas para prevenir incidentes.

Esta etapa se refiere a la activación de los planes de respuesta a incidentes y continuidad del negocio para gestionar una crisis en curso y restaurar rápidamente las funciones esenciales.

El objetivo es minimizar los impactos y las conmociones repentinos y garantizar la continuidad de los servicios vitales.

Después de un incidente, las organizaciones deben analizar lo ocurrido, recopilar datos, revisar la eficacia del plan y remediar las brechas identificadas para mejorar sus capacidades de resiliencia.

Convertir la resiliencia operativa en práctica requiere una Estrategia coherente que incorpore todo el sistema: equipos internos, procesos, Tecnología y entidades de terceros y cuartos.

Muchas organizaciones se enfrentan a obstáculos como datos aislados, infraestructuras heredadas y la complejidad de las pruebas de estrés a gran escala sin interrumpir las operaciones empresariales críticas.

Un plan integral aborda estos problemas a través de los pasos clave que se presentan más adelante.

Comience por mapear qué servicios son esenciales para su negocio y causarían el daño más significativo si se interrumpieran. Establezca tolerancias y métricas de impacto. 

Es importante no centrarse únicamente en las consideraciones técnicas de la empresa; asegúrese de tener en cuenta el impacto sobre los clientes, los ingresos y la reputación.

Documente cómo se conectan los sistemas, las personas y los procesos. Comprender esta interconexión e interdependencia ayuda a identificar posibles reacciones en cadena, como una avería de un proveedor de servicios externo que afecte a varios sistemas internos simultáneamente.

Las herramientas modernas de mapeo de dependencias pueden automatizar la visibilidad en entornos complejos y distribuidos.

Identifique los puntos significativos de fallo, como la dependencia de un único centro de datos. Establezca un lenguaje común en materia de riesgos en toda la organización mediante el uso de terminología estandarizada y escalas de calificación de riesgos que permitan una comunicación coherente entre los equipos técnicos, los responsables de negocio y el consejo de administración.

Considere tanto las amenazas tradicionales (por ejemplo, fallos de hardware) como las amenazas emergentes (por ejemplo, malware sofisticado). El análisis y la monitorización impulsados por IA pueden ayudar a descubrir vulnerabilidades y posibles puntos de fallo en infraestructuras críticas.

Cree un marco de gobierno de datos que atribuya claramente la responsabilidad a la alta dirección. Asigne funciones y responsabilidades de manera clara (con medidas de rendición de cuentas) para dar prioridad a las actividades de resiliencia operativa.

La dirección también debe definir la tolerancia al riesgo de la organización para determinar las inversiones y prioridades en materia de resiliencia.

Realice pruebas de escenarios para validar sus capacidades de respuesta. Los simulacros y ejercicios frecuentes ayudan a garantizar que los equipos están preparados y que los planes de contingencia siguen en vigor en caso de que se produzcan ciberincidentes o interrupciones.

Los incidentes reales y los ejercicios de prueba ayudan a identificar las deficiencias. Las evaluaciones y modificaciones rutinarias ayudan a reforzar las capacidades de resiliencia y a seguir el ritmo de las amenazas y los cambios empresariales en curso.

Incorpore el cumplimiento en su estrategia desde el principio. Alinee su negocio con las normativas adecuadas y utilice marcos sectoriales como el NIST.

La monitorización automatizada del cumplimiento puede ayudar a demostrar la conformidad continua con los requisitos normativos.