Planificación de continuidad del negocio - Sobrevivir a las interrupciones

Lectura de 2 min aprox.

Un Plan de Continuidad del Negocio (BCP, por sus siglas en inglés) es un plan y un marco integral para mantener las actividades empresariales críticas en funcionamiento sin interrupción, o para reanudarlas en el menor tiempo posible, incluso en situaciones de crisis como desastres naturales, pandemias y ciberataques. La norma ISO 22301 es ampliamente referenciada como el estándar internacional para los sistemas de gestión de la continuidad del negocio. En 2025, con el aumento de los ataques de ransomware y las interrupciones en la cadena de suministro, está creciendo rápidamente el número de empresas que elaboran y revisan su BCP.

Procedimientos alternativos para seguir operando con los sistemas caídos

El papel de un BCP se entiende mejor si se imagina que los sistemas centrales quedan paralizados por un ransomware o un incidente similar. Restaurar los sistemas de TI y mantener el negocio en marcha mientras tanto son problemas distintos, y un enfoque establecido consiste en definir de antemano procedimientos alternativos que no dependan de los sistemas, como gestionar en papel tareas centrales como la recepción de pedidos y los envíos. Sin embargo, un procedimiento alternativo que solo existe como documento rara vez funciona en una crisis real: solo cuando los simulacros periódicos han confirmado que puede llevarse a cabo se convierte en una opción viable para seguir operando en paralelo a la recuperación.

La diferencia con la recuperación ante desastres (DR)

Mientras que la recuperación ante desastres (DR) es un plan técnico centrado específicamente en restaurar los sistemas de TI, un BCP es una estrategia de continuidad para todo el negocio, liderada por la alta dirección. También abarca ampliamente elementos ajenos a la TI, como asegurar oficinas alternativas, confirmar la seguridad de los empleados, establecer canales de comunicación con los socios comerciales y procedimientos manuales para sustituir el trabajo. La DR es un componente importante de un BCP, pero el alcance de un BCP es mucho más amplio.

Pasos para elaborar un BCP

La elaboración de un BCP comienza con un Análisis de Impacto en el Negocio (BIA). Se cuantifica, en términos de dinero y tiempo, el impacto que la interrupción de cada proceso de negocio tendría sobre la empresa, y se determinan las prioridades de recuperación. A continuación, mediante una evaluación de riesgos, se identifican las amenazas y vulnerabilidades previstas y se diseñan las contramedidas. Se documentan los procedimientos de respuesta a incidentes, el plan de comunicación y los procedimientos de recuperación, y se verifica su eficacia mediante simulacros realizados al menos una vez al año.

Los ciberataques y el BCP

Los ataques de ransomware son uno de los desencadenantes para activar un BCP. En los casos en que todos los sistemas quedan cifrados y las operaciones se detienen por completo, se ponen a prueba todos los elementos del BCP, incluyendo no solo la recuperación de TI, sino también la continuidad manual de las operaciones, la notificación a los clientes y los informes a las autoridades reguladoras. Protege el acceso a los documentos relacionados con el BCP y a las listas de contactos de emergencia con contraseñas robustas para evitar que los atacantes obstaculicen los procedimientos de recuperación.