¿Qué es la resiliencia operativa?

Los grandes eventos disruptivos, ya sean ciberataques, cortes de suministro o fallas del sistema, son inevitables. Ninguna organización o empresa es inmune. La resiliencia operativa va más allá de la recuperación ante desastres tradicional mediante la gestión proactiva de eventos imprevistos. Este enfoque requiere identificar qué servicios son más importantes para el negocio y garantizar que permanezcan estables y se recuperen rápidamente.

Las empresas abordan cada vez más la necesidad de resiliencia operativa. Según una investigación de BCI y Riskonnect, el 70 % de las organizaciones ahora tiene programas de resiliencia operativa y un 10 % adicional está en proceso de desarrollar uno.¹ El cumplimiento de las mejores prácticas es el factor más común que impulsa el desarrollo de estas estrategias, mientras que el cumplimiento normativo ocupa el segundo lugar.

Si bien la resiliencia operativa es vital para todas las empresas, ciertas industrias requieren capacidades sólidas. Las instituciones financieras son especialmente vulnerables a los incidentes de seguridad y los riesgos cibernéticos. Deben proteger los datos de los clientes, mantener la estabilidad del sistema financiero y cumplir con regulaciones estrictas; de lo contrario, corren el riesgo de perder su reputación y la confianza de los clientes. Del mismo modo, las organizaciones de atención médica son responsables de garantizar la continuidad de la atención durante eventos adversos y, al mismo tiempo, cumplir con los requisitos de privacidad de los datos confidenciales de los pacientes.

La resiliencia operativa se ha convertido en una misión crítica en las empresas modernas por numerosas razones. En un mundo digital “siempre activo”, se espera que las organizaciones puedan soportar cualquier interrupción operacional, y cada segundo de tiempo de inactividad resulta en pérdidas financieras, vulnerabilidades de seguridad y riesgo para el negocio.

Los grandes eventos catastróficos, ya sean pandemias o desastres naturales, han puesto de relieve la necesidad de resiliencia operativa. Además, la actividad normativa en todo el mundo está aumentando: el gobierno y otras autoridades están emitiendo lineamientos, leyes y regulaciones para garantizar que las empresas puedan anticiparse y recuperarse rápidamente de eventos adversos.

A medida que las empresas implementan constantemente la inteligencia artificial (IA) y dependen de las asociaciones para seguir siendo competitivas, las organizaciones deben asegurarse de que estas dependencias cumplan con los mismos estándares de seguridad, resiliencia y control de la información que ellas y sus organismos reguladores exigen.

El panorama de las ciberamenazas también está evolucionando. Según el IBM X-Force Threat Intelligence Index 2024, los atacantes están pasando de ransomware a malware diseñado para robar información.

Independientemente de la industria, la confianza y la seguridad deben ser la base de la toma de decisiones con respecto a dónde residen las cargas de trabajo y los datos.

La resiliencia operativa, la gestión de la continuidad de negocio (BCM) y la recuperación ante desastres (DR) son estrategias para proteger a las empresas, pero son procesos distintos.

Una estrategia de continuidad de negocio se refiere a la capacidad de una organización para mantener funciones empresariales cruciales y reanudar sus operaciones normales con un tiempo de inactividad mínimo ante una crisis. La BCM se centra en crear planes y procedimientos detallados para garantizar que los procesos empresariales esenciales puedan continuar durante fallas en la cadena de suministro, pandemias u otros incidentes inesperados.

Los planes de recuperación ante desastres son más técnicos y se centran en TI. La DR consiste en tecnologías de TI y mejores prácticas diseñadas para prevenir o minimizar la pérdida de datos y la interrupción del negocio resultante de eventos catastróficos como fallas de equipamiento, ciberataques o daños a las instalaciones.

Se centra en los puntos de falla aislados que podrían interrumpir operaciones críticas, normalmente en un centro de datos, ya sea on premises o en la nube. La DR establece objetivos de tiempo de recuperación (RTO) y objetivos de punto de recuperación (RPO) específicos para restaurar sistemas de información y datos.

Vale la pena señalar que la continuidad de negocio y la recuperación ante desastres (BCDR) a menudo se combinan en estrategias integradas, pero también se pueden usar por separado según los objetivos del negocio.

Un plan de resiliencia operativa es una estrategia más amplia que se refiere a la capacidad de una empresa para predecir, mantener y restaurar sus servicios y funciones críticos ante un desafío. Si bien la DR y la BCM suelen centrarse en escenarios y planes de recuperación específicos, la resiliencia operativa abarca todo el espectro de factores (por ejemplo, personas, procesos, tecnología, cadena de suministro) que respaldan las operaciones y la entrega de servicios empresariales. Ha evolucionado para tratar las amenazas cada vez más sofisticadas.

En los últimos años, la resiliencia operativa se ha convertido en una prioridad regulatoria para los gobiernos y otras entidades de todo el mundo. Sirve de guía a las industrias altamente reguladas (por ejemplo, las empresas de servicios financieros y las infraestructuras de los mercados financieros) en la gestión de los requisitos en materia de privacidad, resiliencia, seguridad y soberanía de los datos.

Para proteger el interés público, estos organismos reguladores han establecido prácticas estandarizadas para garantizar que las organizaciones comprendan sus vulnerabilidades e inviertan en medidas de protección para la estabilidad financiera.

En Estados Unidos, la Reserva Federal y otros organismos reguladores bancarios emitieron orientaciones sobre prácticas de resiliencia operativa. A nivel internacional, las normativas como la Ley de Resiliencia Operativa Digital (DORA) de la Unión Europea han establecido marcos vinculantes y exhaustivos para la gestión de riesgos en materia de tecnologías de la información y la comunicación (TIC) destinados a las instituciones financieras y a sus proveedores de servicios tecnológicos externos críticos.

La resiliencia operativa requiere un enfoque integral en áreas interconectadas que incluyen:

• Marco de gestión de riesgos: las prácticas de gestión de riesgos operativos forman la base contra las amenazas internas y externas. Las organizaciones deben identificar, evaluar y mitigar continuamente la exposición al riesgo operativo, que va desde errores humanos hasta fallas tecnológicas y de sistemas. Una gestión eficaz de los riesgos permite a las organizaciones anticipar los riesgos potenciales y desarrollar estrategias para reducir su impacto.
• Tecnología y sistemas: es fundamental crear una infraestructura de tecnología de la información (TI) sólida. Los sistemas de TI, las aplicaciones, los datos y los controles de ciberseguridad deben ser lo suficientemente sólidos como para resistir las interrupciones y recuperarse rápidamente en caso de que se produzcan incidentes operativos.
• Personas y procesos: los empleados calificados, los procedimientos bien definidos y la capacitación efectiva aseguran que todos los stakeholders puedan responder adecuadamente durante las crisis y mantener funciones cruciales y soberanía digital.
• Instalaciones e infraestructura: los lugares físicos, como los centros de datos, los sistemas de energía y la infraestructura de networking, deben estar protegidos y equipados con capacidades de respaldo para garantizar la recuperación ante desastres y la continuidad de negocio.
• Dependencias de terceros: los proveedores de servicios en la nube y los socios de subcontratación introducen dependencias que requieren prácticas de gestión de riesgos de terceros para garantizar que cumplan con los estándares de resiliencia.

Las organizaciones desarrollan resiliencia operativa en todas las áreas principales a través de un ciclo de vida continuo y proactivo de cuatro etapas.

Las empresas deben identificar las funciones críticas del negocio, las amenazas potenciales y las vulnerabilidades en todo su sistema de TI (por ejemplo, on premises, nube privada, nube soberana, nube pública y perímetro).

Este enfoque consiste en realizar evaluaciones de riesgos cibernéticos, modelos de amenazas y análisis de impacto en el negocio (BIA) para identificar posibles vulnerabilidades y funciones críticas.

Esta etapa desarrolla e implementa estrategias para detener o disminuir el impacto de posibles interrupciones. Implica integrar políticas de seguridad sólidas, capacitación de empleados y soluciones de TI especializadas para prevenir incidentes.

Esta etapa se refiere a la activación de planes de respuesta ante incidentes y continuidad de negocio para gestionar una crisis continua y restaurar funciones esenciales rápidamente.

El objetivo es minimizar el impacto y las conmociones repentinos y garantizar la continuidad de los servicios vitales.

Después de un incidente, las organizaciones deben analizar lo que ocurrió, recopilar datos, revisar la eficacia del plan y remediar las brechas identificadas para mejorar sus capacidades de resiliencia.

Convertir la resiliencia operativa en práctica requiere una estrategia coherente que incorpore todo el sistema: equipos internos, procesos, sistemas de tecnología y entidades de terceros y de cuartas partes.

Muchas organizaciones experimentan obstáculos como datos aislados, infraestructura heredada y la complejidad de las pruebas de estrés a escala sin interrumpir las operaciones comerciales críticas.

Un plan integral maneja estos problemas a través de los pasos clave que se presentan más adelante.

Comience por mapear qué servicios son esenciales para su negocio y causarían el daño más significativo si se interrumpieran. Establezca tolerancias y métricas de impacto. 

Es importante no centrarse únicamente en las consideraciones técnicas del negocio; asegúrese de considerar el impacto en los clientes, los ingresos y la reputación.

Documente cómo se conectan los sistemas, las personas y los procesos. Comprender esta interconexión e interdependencia ayuda a identificar posibles reacciones en cadena, como una interrupción del proveedor de servicios de terceros que afecte a varios sistemas internos simultáneamente.

Las herramientas modernas de mapeo de dependencias pueden automatizar la visibilidad en entornos complejos y distribuidos.

Identifique puntos significativos de falla, como la dependencia de un único centro de datos. Cree un lenguaje de riesgos común en toda la organización mediante el uso de terminología estandarizada y escalas de calificación de riesgos que permitan una comunicación coherente entre los equipos técnicos, los líderes empresariales y la junta directiva.

Considere tanto las amenazas tradicionales (por ejemplo, fallas de hardware) como las amenazas emergentes (por ejemplo, malware sofisticado). El monitoreo y el análisis basados en IA pueden ayudar a descubrir vulnerabilidades y posibles puntos de falla en la infraestructura crítica.

Cree un marco de gobernanza de datos que designe una clara propiedad de la alta dirección. Asigne roles y responsabilidades claros (con medidas de responsabilidad) para priorizar las actividades de resiliencia operativa.

El liderazgo también debe establecer el apetito de riesgo de la organización para determinar las inversiones y las prioridades de resiliencia.

Realice pruebas de escenarios para validar sus capacidades de respuesta. Los simulacros y ejercicios frecuentes ayudan a garantizar que los equipos estén preparados y que los planes de contingencia sigan siendo efectivos si ocurren incidentes cibernéticos o interrupciones.

Los incidentes reales y los ejercicios de simulación ayudan a identificar las deficiencias. Las evaluaciones y modificaciones periódicas ayudan a reforzar la capacidad de resiliencia y a adaptarse a las amenazas y los cambios empresariales en constante evolución.

Incorpore el cumplimiento en su estrategia desde el principio. Alinee su negocio con las regulaciones adecuadas y utilice marcos de la industria como NIST.

El monitoreo automatizado del cumplimiento puede ayudar a demostrar el cumplimiento continuo de los requisitos normativos.