¿Qué es un plan de continuidad de negocio (BCP)?
Un plan de continuidad de negocio (BCP) es un conjunto documentado de procedimientos que permite a una organización mantener en marcha sus funciones esenciales (o restaurarlas con rapidez) durante y después de un suceso disruptivo. Su trabajo es convertir una crisis que podría ser existencial en una crisis gestionada y superable.
Todo el negocio, no solo la TI
El alcance es lo que más a menudo se entiende mal. Un BCP cubre toda la organización (personas, procesos, instalaciones, proveedores y tecnología), no solo los sistemas informáticos. Las disrupciones para las que se planifica son igual de amplias: un ciberataque o un ransomware, una caída prolongada, una catástrofe natural, la pérdida de un edificio, el fallo de un proveedor crítico o la indisponibilidad repentina de personal clave. La pregunta a la que responde un BCP es: cuando la forma normal de hacer algo se vuelve imposible, ¿cómo sigue el negocio atendiendo a los clientes y ejecutando sus operaciones críticas de todos modos?
BCP frente a recuperación ante desastres
Esta es la distinción que conviene tener clara. La recuperación ante desastres (DR) es el subconjunto más acotado y centrado en la tecnología: restaurar los sistemas, la infraestructura y los datos de TI, conmutar a un sitio de respaldo, restaurar desde copias de seguridad, reconstruir servidores. La continuidad de negocio es la disciplina más amplia que mantiene en funcionamiento a toda la organización: cómo sigue trabajando el personal desde otro lugar, cómo se atiende a los clientes por un canal alternativo, cómo continúan los procesos críticos y cómo se comunica y decide el negocio durante una crisis.
La DR es un componente de la continuidad de negocio, no un sinónimo. Restaurar la tecnología (DR) es necesario pero no suficiente: si los sistemas vuelven pero nadie conoce la solución manual, las instalaciones alternativas o quién está autorizado a tomar decisiones, el negocio sigue atascado. Un plan que solo aborda la TI es un plan de DR con la etiqueta de BCP.
La base: un análisis de impacto en el negocio
No puedes redactar un plan de continuidad creíble hasta saber qué proteges y cuánto tiempo puedes sobrevivir sin ello. Ese es el trabajo del análisis de impacto en el negocio (BIA). El BIA:
- Identifica las funciones críticas de la organización: las actividades sin las que el negocio de verdad no puede funcionar.
- Traza de qué depende cada función: sistemas, datos, personas, proveedores, instalaciones.
- Evalúa el impacto a lo largo del tiempo de perder cada función (operativo, financiero, legal y reputacional), reconociendo que el coste de una caída suele crecer cuanto más dura.
El BIA es lo que te permite priorizar: te dice qué funciones recuperar primero y con qué intensidad. Trabajar ese análisis del impacto a lo largo del tiempo de forma estructurada es justo para lo que está pensado un laboratorio de resiliencia y BIA, y cuantificar la parte financiera conecta de forma natural con estimar el coste de una brecha en las disrupciones causadas por incidentes cibernéticos.
RTO y RPO: las dos cifras que determinan el plan
El BIA produce dos objetivos para cada función crítica, y de ellos se derivan casi todas las decisiones de diseño:
- Objetivo de tiempo de recuperación (RTO, recovery time objective): el tiempo máximo tolerable que una función puede estar caída antes de que el impacto sea inaceptable. Responde a «¿con qué rapidez debemos recuperarnos?» y determina cuánto inviertes en mecanismos de recuperación rápida.
- Objetivo de punto de recuperación (RPO, recovery point objective): la pérdida de datos máxima tolerable, expresada como un punto en el tiempo. Responde a «¿cuántos datos recientes podemos permitirnos perder?» y determina con qué frecuencia haces copias de seguridad o replicas. Un RPO de una hora significa copias al menos cada hora; un RPO cercano a cero significa replicación continua.
Cada función merece objetivos distintos: un sistema de pagos puede necesitar un RTO y un RPO estrictos, mientras que una herramienta de informes interna puede tolerar mucho más. Fijarlos con honestidad, frente al impacto real, es lo que mantiene proporcionada la inversión en continuidad.
Qué contiene un plan
Con el BIA y los objetivos en la mano, el plan en sí suele incluir:
- Funciones y un equipo de crisis: quién lidera, quién decide y quién comunica, con suplentes nombrados.
- Criterios de activación: qué activa el plan y quién tiene autoridad para invocarlo.
- Procedimientos de comunicación: cómo llegas al personal, los clientes, los reguladores y el público, incluidos canales fuera de banda para cuando los sistemas normales están caídos.
- Estrategias de recuperación por función crítica: los pasos, soluciones provisionales y alternativas concretos para restaurar o continuar cada una dentro de su RTO.
- Dependencias y alternativas: proveedores de respaldo, instalaciones alternativas, procesos manuales y los recursos que requiere cada uno.
- Listas de contactos y recursos: actualizadas y accesibles incluso si los sistemas principales no están disponibles.
Como los sucesos disruptivos son con frecuencia incidentes cibernéticos, un BCP funciona de la mano de la respuesta a incidentes y de una visión de riesgos sobre lo que podría salir mal en primer lugar: el tipo de razonamiento por escenarios que sistematizan un modelo de amenazas y un marco como el NIST Cybersecurity Framework (cuyas funciones Respond y Recover se corresponden directamente con la continuidad).
Las pruebas son lo que lo hace real
Esta es la verdad más importante sobre la continuidad de negocio: un plan sin probar es una hipótesis. Los planes se desactualizan en cuanto se escriben: los contactos cambian de trabajo, los sistemas se sustituyen y las suposiciones dejan de ser ciertas sin hacer ruido. Solo ejercitar el plan revela el número de teléfono desactualizado, el paso de recuperación que no funciona como se describe, la dependencia que nadie documentó y la autoridad de decisión que resulta ambigua bajo presión.
Las pruebas abarcan una gama de coste y realismo: los ejercicios de mesa, en los que el equipo de crisis repasa un escenario y saca a la luz las carencias a bajo coste; las pruebas funcionales de procedimientos de recuperación concretos; y las pruebas de conmutación reales completas, que cambian de verdad a los sistemas o sitios de respaldo. La práctica habitual es al menos un ejercicio anual, más en las organizaciones de alto riesgo, además de una revisión tras cualquier cambio importante y tras cada incidente real. El objetivo de cada prueba es el mismo: encontrar las carencias en un día planificado y no durante una crisis real.
La conclusión
Un plan de continuidad de negocio es resiliencia preparada y probada para toda la organización, no solo la recuperación de la TI de la que se ocupa la recuperación ante desastres. Constrúyelo sobre un análisis de impacto en el negocio que nombre tus funciones críticas y fije RTO y RPO honestos, documenta las funciones, los desencadenantes, las comunicaciones y las estrategias de recuperación, y después pruébalo hasta que desaparezcan las carencias. Las organizaciones que sobreviven a un mal día son las que decidieron cómo lo harían, y lo demostraron, antes de que llegara.
Preguntas frecuentes
¿Qué es un plan de continuidad de negocio? Un conjunto documentado de procedimientos que mantiene en marcha las funciones esenciales de una organización, o las restaura con rapidez, durante y después de una disrupción, y que cubre personas, procesos, instalaciones, proveedores y tecnología, no solo la TI.
¿En qué se diferencia de la recuperación ante desastres? La DR es el subconjunto centrado en la TI que restaura los sistemas y los datos; la continuidad de negocio es la disciplina más amplia de mantener en funcionamiento todo el negocio. La DR es un componente de un BCP.
¿Qué son el RTO y el RPO? El RTO es el tiempo de inactividad máximo tolerable de una función (con qué rapidez debes recuperarte); el RPO es la pérdida de datos máxima tolerable como un punto en el tiempo (cuántos datos recientes puedes perder, lo que determina la frecuencia de las copias de seguridad).
¿Qué es un análisis de impacto en el negocio? El ejercicio de base que identifica las funciones críticas, sus dependencias y el impacto de perderlas a lo largo del tiempo, y que produce las prioridades, los RTO y los RPO sobre los que se construye el plan.
¿Con qué frecuencia debe probarse un BCP? Al menos una vez al año, más en las organizaciones de alto riesgo, además de tras cualquier cambio importante o incidente real. Los ejercicios de mesa y las pruebas de conmutación reales revelan los contactos desactualizados, las suposiciones erróneas y los pasos que faltan antes de que lo haga una crisis real.
Preguntas frecuentes
¿Qué es un plan de continuidad de negocio (BCP)?
Un plan de continuidad de negocio es un conjunto documentado de procedimientos que permite a una organización mantener en funcionamiento sus funciones esenciales, o restaurarlas con rapidez, durante y después de un suceso disruptivo como un ciberataque, una caída, una catástrofe natural, el fallo de un proveedor o la pérdida de unas instalaciones. Su alcance es todo el negocio (personas, procesos, instalaciones, proveedores y tecnología), no solo los sistemas de TI. El objetivo es la resiliencia: decidir con antelación cómo continúan las operaciones críticas cuando la forma normal de hacerlas no está disponible, para que una disrupción grave pase a ser un suceso gestionado y no existencial. Un BCP se construye sobre la comprensión de qué funciones son críticas y cuánto tiempo puede sobrevivir el negocio sin ellas.
¿Qué diferencia hay entre la continuidad de negocio y la recuperación ante desastres?
La recuperación ante desastres (DR) es el subconjunto más acotado y centrado en la tecnología que se ocupa de restaurar los sistemas, la infraestructura y los datos de TI tras una disrupción: conmutar a un centro de datos de respaldo, restaurar desde copias de seguridad, reconstruir servidores. La continuidad de negocio (BCP) es la disciplina más amplia de mantener en funcionamiento a toda la organización: cómo sigue trabajando el personal, cómo se atiende a los clientes, cómo continúan los procesos de negocio críticos y cómo se comunica y decide el negocio durante una crisis. La DR es un componente de la continuidad de negocio. Dicho de forma sencilla: la DR restaura la tecnología; la continuidad mantiene en marcha el negocio, y restaurar la tecnología es una parte esencial de ello. Un plan que solo cubre la TI es un plan de DR, no un BCP completo.
¿Qué son el RTO y el RPO?
Son los dos objetivos clave que produce un análisis de impacto en el negocio y que determinan todo el plan. El objetivo de tiempo de recuperación (RTO) es el tiempo máximo tolerable que una función o un sistema puede estar caído antes de que el impacto sea inaceptable; dicho de otro modo, con qué rapidez debes recuperarte. El objetivo de punto de recuperación (RPO) es la pérdida de datos máxima tolerable, expresada como un punto en el tiempo; dicho de otro modo, cuántos datos recientes puedes permitirte perder, lo que determina con qué frecuencia debes hacer copias de seguridad o replicar. Una función con un RPO de una hora necesita copias al menos cada hora; un RTO de cuatro horas necesita mecanismos de recuperación lo bastante rápidos como para restaurar en cuatro horas. Cada función justifica RTO y RPO distintos.
¿Qué es un análisis de impacto en el negocio (BIA)?
Un análisis de impacto en el negocio es el ejercicio de base de un BCP. Identifica las funciones críticas de la organización, traza de qué depende cada una (sistemas, datos, personas, proveedores, instalaciones) y evalúa el impacto operativo, financiero, legal y reputacional de perder cada función durante periodos de tiempo crecientes. El BIA es lo que te dice qué funciones importan de verdad y en qué orden recuperarlas, y produce los objetivos de tiempo de recuperación (RTO) y de punto de recuperación (RPO) en torno a los que se construye el resto del plan. Sin un BIA, la planificación de la continuidad se convierte en conjeturas: no puedes priorizar la recuperación con sensatez si no has establecido qué puede y qué no puede permitirse perder el negocio, y durante cuánto tiempo.
¿Con qué frecuencia debe probarse un plan de continuidad de negocio?
Con regularidad, y siempre que el negocio cambie de forma significativa. Un plan que nunca se ha ejercitado es una hipótesis, no una capacidad: las pruebas reales son lo que revela las suposiciones erróneas, los datos de contacto desactualizados, los pasos que faltan y las estrategias de recuperación que no funcionan tal como están escritas. La práctica habitual es al menos un ejercicio anual, con más frecuencia en las organizaciones de alto riesgo o que cambian rápido, además de una revisión tras cualquier cambio importante (sistemas nuevos, una reorganización, un nuevo proveedor crítico) y tras cualquier incidente real. Las pruebas van desde ejercicios de mesa de bajo coste, en los que el equipo repasa un escenario, hasta pruebas de conmutación reales completas. El objetivo de cada prueba es encontrar las carencias en un día planificado y no durante una crisis real.