En un episodio reciente del podcast STRIVE, el presentador Darren Thomson profundizó en una introducción al concepto de viabilidad mínima para tu organización. Dada la amenaza siempre presente de los ciberataques, debes estar preparado para responder ante posibles interrupciones en tus operaciones empresariales.
Pero, ¿y si existiera una forma de ayudar a tu empresa a sobrevivir e incluso a prosperar ante tales amenazas? Aquí entra en juego el concepto de empresa mínimamente viable (MVC, por sus siglas en inglés) para la ciberresiliencia.
¿Qué es una empresa mínimamente viable?
La MVC es el conjunto mínimo imprescindible de funciones y recursos necesarios para mantener tu empresa en funcionamiento y recuperarse de un ciberataque. Imagina una situación en la que toda tu infraestructura informática, tus aplicaciones críticas, tu tecnología de comunicaciones, los datos de tus clientes y tus cadenas de suministro se vean comprometidos. En una situación así, contar con una MVC bien definida puede marcar la diferencia entre una recuperación rápida y un parón total.
¿Por qué es importante el MVC?
- Priorizar las funciones críticas: El modelo MVC te ayuda a identificar las funciones esenciales que deben estar operativas en primer lugar. Entre ellas pueden figurar las finanzas, la atención al cliente, las cadenas de suministro y las operaciones relacionadas con el cumplimiento normativo.
- Recovery rápida: al centrarte en lo estrictamente necesario, podrás recuperarte más rápido que si esperas a una recuperación completa. Esto es fundamental para minimizar el impacto negativo en tus finanzas y en tu reputación.
- Mantener la confianza: tras un ciberataque, la confianza es un bien muy preciado. Un modelo MVC bien definido te ayuda a seguir operando, aunque sea a capacidad reducida, lo que contribuye a mantener la confianza y la seguridad.
Cómo definir tu MVC
- Análisis del impacto en el negocio: Empieza por realizar un análisis del impacto en el negocio para identificar las funciones y los activos que son fundamentales para la misión y que pueden suspenderse temporalmente.
- Simulacros de mesa: pon a prueba la capacidad de respuesta de tu equipo mediante simulacros de mesa que simulen incidentes cibernéticos y te ayuden a identificar las deficiencias de tu plan de respuesta. Estos simulacros son fundamentales para comprobar que todos conozcan sus funciones y responsabilidades durante una crisis.
- Manuales de actuación: Elabora manuales de actuación detallados que recojan los pasos a seguir para la Recovery y los planes de comunicación. Estos manuales deben ser accesibles y fáciles de seguir, incluso en situaciones de gran estrés. Deben incluir instrucciones paso a paso para restablecer los servicios esenciales y comunicarse con las partes interesadas.
- Pruebas exhaustivas: Las pruebas no son una actividad puntual. Es fundamental realizar pruebas periódicas y exhaustivas para confirmar que tu plan de respuesta ante emergencias (MVC) se pueda poner en práctica de forma eficaz cuando sea necesario. Esto incluye realizar pruebas de tu entorno informático, los planes de comunicación y las soluciones manuales alternativas.
Estrategias y prácticas clave
- Funciones empresariales esenciales: céntrate en las funciones que son absolutamente necesarias para el funcionamiento de tu empresa. Entre ellas pueden figurar las finanzas, la atención al cliente y la gestión de la cadena de suministro.
- Entorno informático mínimo pero funcional: identifica y restablece los servicios de máxima prioridad en un estado seguro y libre de contaminaciones. Herramientas como las copias de seguridad en la nube, las zonas de Recovery aisladas y las salas blancas pueden resultar de gran utilidad en este proceso.
- Personal y procesos clave: identifica a los empleados clave que puedan mantener el funcionamiento mínimo de la empresa. Asegúrate de que dispongan de los accesos y las herramientas necesarias, y establece soluciones alternativas manuales y planes de comunicación para casos de interrupciones prolongadas del servicio.
Mejora continua
El MVC no es un concepto estático. Requiere un perfeccionamiento continuo mediante análisis de impacto en el negocio, simulacros y pruebas. Estas actividades te ayudan a adelantarte a posibles amenazas y permiten que tu empresa responda de forma eficaz ante cualquier incidente cibernético.
Si te centras en las funciones esenciales, en un entorno informático mínimo pero funcional y en las personas y los procesos clave, podrás garantizar la continuidad de la actividad empresarial y mantener la confianza. Establecer tu viabilidad mínima es una herramienta muy eficaz para la supervivencia de la empresa y para mantener la resiliencia ante cualquier desafío.
Escucha el podcast completo aquí.
