Qué es el BCP (Plan de Continuidad de Negocio)

El BCP (Business Continuity Plan / Plan de Continuidad de Negocio) es un plan para minimizar la interrupción del negocio y continuar o recuperar rápidamente las operaciones importantes cuando ocurre una emergencia como un desastre natural, ciberataque o pandemia.

La esencia del BCP no es "proteger todo" sino decidir de antemano "qué proteger prioritariamente" con recursos limitados. Se identifican las operaciones importantes mediante el Análisis de Impacto en el Negocio (BIA) y se establecen el Objetivo de Tiempo de Recuperación (RTO) y el Objetivo de Punto de Recuperación (RPO) para cada una. Con el aumento de casos donde fallos de TI como ataques de ransomware que detienen completamente los sistemas amenazan la continuidad del negocio, la importancia del IT-BCP crece año tras año.

Estrategia de recuperación y diseño del IT-BCP

En el IT-BCP, se definen RTO y RPO para cada sistema y se selecciona la estrategia de recuperación adecuada.

Hot standby: Sistema equivalente al de producción funcionando constantemente, con conmutación inmediata ante fallos. RTO de minutos pero costo más alto
Warm standby: Sistema en configuración reducida en espera, que se escala ante fallos. RTO de decenas de minutos a horas
Cold standby: Solo se mantienen datos de respaldo, construyendo el sistema desde cero ante fallos. RTO de días pero costo mínimo

En entornos de nube, se puede asegurar la disponibilidad con configuraciones multi-región o multi-AZ. Siguiendo la regla de respaldo 3-2-1, distribuir geográficamente los datos de respaldo es lo básico. Documenta los procedimientos de restauración desde respaldos y realiza pruebas de restauración periódicas para verificar la efectividad.

Procedimientos de elaboración del BCP

Para elaborar un BCP efectivo, sigue estos pasos en orden.

Análisis de Impacto en el Negocio (BIA): Inventaría todas las operaciones y evalúa el impacto financiero y social si se detienen. Define el tiempo de parada tolerable para cada operación
Evaluación de riesgos: Evalúa la probabilidad de ocurrencia e impacto de amenazas previstas como terremotos, inundaciones, ciberataques y pandemias
Elaboración de estrategia de recuperación: Establece RTO y RPO para cada operación importante y selecciona el método de recuperación equilibrando con el costo
Creación del documento del plan: Documenta criterios de activación, cadena de mando, red de contactos, procedimientos de recuperación y métodos de asegurar ubicaciones alternativas
Simulacros y revisión: Realiza periódicamente simulacros de mesa y simulacros prácticos para verificar la efectividad del plan

Incorpora los procedimientos de colaboración con el CSIRT y el equipo de respuesta a incidentes en el BCP para preparar un sistema que también responda a escenarios de ciberataques.

Operación para evitar que el BCP se convierta en formalidad

El BCP no termina con su elaboración; la mejora continua es indispensable. La causa de que el BCP se convierta en formalidad en muchas organizaciones es la falta de simulacros y el estancamiento de las actualizaciones.

Simulacros al menos una vez al año: Simulacros de mesa cada 6 meses, simulacros prácticos una vez al año como referencia. Los problemas descubiertos en simulacros se reflejan en el plan dentro de 30 días
Actualización ante cambios organizacionales: Actualiza rápidamente el BCP cuando hay cambios de personal, renovación de sistemas o cambios de ubicación. La obsolescencia de la red de contactos es el patrón más común de formalización
Aprendizaje de incidentes reales: Retroalimenta los resultados de respuesta a fallos e incidentes reales al BCP

Almacena los documentos del BCP en almacenamiento en la nube y también prepara versiones impresas accesibles en entornos offline como punto práctico.

Procedimientos de elaboración y simulacros del BCP

Para elaborar un BCP efectivo, es importante seguir procedimientos sistemáticos. Un plan creado de forma improvisada no funciona en una emergencia real.

Realización del BIA: El punto de partida es el BIA. Inventaría todos los procesos de negocio y evalúa cuantitativamente el impacto de la detención de cada operación en 4 ejes: "pérdida financiera", "impacto en clientes", "riesgo legal" e "impacto en la reputación". Este análisis aclara qué operaciones deben protegerse prioritariamente con recursos limitados.

Establecimiento de RTO y RPO: Basándose en los resultados del BIA, establece RTO y RPO para cada operación. Por ejemplo, el sistema de pedidos de un sitio EC con RTO 1 hora y RPO 5 minutos, y el sistema de liquidación de gastos interno con RTO 72 horas y RPO 24 horas, diferenciando según la importancia. RTO y RPO tienen una relación de compensación con el costo, así que obtén la aprobación de la dirección.

Ejercicio de mesa (Tabletop Exercise): Los involucrados se reúnen y simulan verbalmente los procedimientos del BCP ante un escenario específico (ejemplo: ransomware detiene completamente el sistema principal). Como no es necesario detener sistemas reales, se puede realizar frecuentemente a bajo costo. Los problemas típicos descubiertos son: obsolescencia de contactos, ambigüedad de procedimientos, falta de definición de sustitutos.

Ciclo de revisión anual: Realiza una revisión periódica del BCP al menos una vez al año. En la revisión, refleja cambios organizacionales, renovación de sistemas y aparición de nuevas amenazas, y reevalúa el BIA y verifica la validez de RTO/RPO. Colaborando con el CSIRT y reflejando las lecciones de la respuesta a incidentes del último año, la efectividad del plan mejora continuamente.

Conceptos erróneos comunes

El BCP solo es necesario para grandes empresas: Las pequeñas y medianas empresas necesitan aún más el BCP. Comparadas con las grandes empresas, tienen recursos financieros limitados, por lo que unos días de interrupción del negocio pueden llevar directamente al cierre. Incluso un BCP simplificado según el tamaño marca una gran diferencia en la velocidad de recuperación.
Si tienes respaldo de datos, no necesitas BCP: El respaldo es solo un elemento del BCP. Aunque tengas respaldo, no puedes recuperarte si los procedimientos de restauración no están preparados, no hay entorno de destino o el responsable está ausente. El BCP es un plan que cubre integralmente personas, procesos y tecnología.

BCP (Plan de Continuidad de Negocio)