Más vale prevenir que curar ¿En qué nos pueden ayudar los planes de continuidad de negocio?

Con el objetivo de evitar que se produzcan incidentes, la prevención es una faceta fundamental de la ciberseguridad. Pero siempre hay un pequeño porcentaje de las amenazas que pueden terminar materializándose, generando incidentes de seguridad con diversas consecuencias para las empresas y las organizaciones, afectando a su actividad, infraestructuras o activos, o incluso, provocando su desaparición.

Por este motivo, siempre tenemos que tener en cuenta la gestión de las consecuencias derivadas de los incidentes de seguridad. Tenemos que contar con planes de gestión y de recuperación ante desastres ante incidentes de seguridad. Con el objetivo principal de mantener la actividad de la organización y reducir al mínimo el impacto sobre su actividad. Según estudio sobre seguridad de la información y continuidad de negocio en las empresas españolas de septiembre de 2012 que realizamos desde INTECO, tan sólo cuatro de cada diez empresas encuestadas conoce el significado de estos planes, aunque esta proporción es inferior (15,3%) en cuanto a la disposición de alguna estrategia o procedimiento.

Existe la falsa creencia que la continuidad del negocio es un tema solamente de grandes organizaciones. Lógicamente existe una diferencia significativa entre una grande, mediana y pequeña empresa. Cada empresa tendrá que establecer aquellas medidas necesarias y proporcionales a sus necesidades para garantizar su continuidad en caso de desastre.

¿Ante que nos tenemos que proteger con un plan de continuidad de negocio? Debemos de tener en cuenta que este tipo de planes tiene que ir un paso más allá del ámbito tecnológico. No sólo debemos de pensar en amenazas como el malware o el fallo de un disco duro o en el sistema eléctrico, sino también en los desastres naturales, el fuego, dependencias de proveedores externos, etc. Es decir todo aquello que pueda tener impacto sobre las infraestructuras y los activos de información de nuestra empresa.

Risk analysis Keep calm you have a BCP

¿Para qué puede ayudarnos un plan de continuidad de negocio? Como señalábamos anteriormente su principal objetivo es mantener la actividad y reducir al mínimo el impacto de un incidente de seguridad, y más en particular puede ayudarnos en otros aspectos. Podemos evitar que los procesos y actividades de nuestra empresa se interrumpan y en caso de que hacerlo que la inactividad sea lo mínima posible. Además nos permitirá mantener el nivel de servicio en los límites, estableciendo un periodo de recuperación mínimo que garantice la continuidad de las actividades y podamos volver a la situación inicial antes de que produjera el incidente.

Po este motivo, en caso de que hayamos sufrido algún incidente siempre es conveniente analizar los resultados y los motivos que originaron el mismo para evitar que se vuelvan a producir. Por eso es importante cuando estemos diseñando nuestro plan de continuidad de negocio que tengamos presentes las siguientes preguntas ante un incidente:

¿Cómo podemos minimizar las consecuencias? Tenemos que plantearnos qué procedimientos y medidas, desde el punto de vista técnico, organizativo y jurídico, nos permitirían reducir las consecuencias del mismo.
¿Cómo podemos retomar la actividad lo antes posible? Es decir cuáles los procedimientos y medidas que tenemos que establecer que nos permitan volver lo antes posible a un estado aceptable antes de haberse producido.

El diseño no es una tarea sencilla, y dependerá en gran medida del tipo de actividad, su estructura, sus activos, procesos e infraestructura así como de los recursos disponibles y finalmente, de las amenazas potenciales y su impacto. Además volviendo a lo comentado anteriormente, si por ejemplo nos centramos en lo que al ámbito tecnológico se refiere mientras que una gran empresas puede requerir una sala de servidores en una ubicación remota, en una mediana o pequeña empresa es posible que realizando una tarea tan sencilla como la realización de copias de seguridad con cierta frecuencia resuelva parte del problema. Fuera del ámbito tecnológico, otra de las medida de coste reducido que podríamos tener en cuenta puede ser el teletrabajo en una situación de contingencia.