Desde hace décadas, los líderes tecnológicos llevan intentando acabar con los silos. Se han diseñado programas de modernización completos centrados en conectar aplicaciones, consolidar plataformas y ofrecer a las organizaciones una visión más completa de sus datos. Esos esfuerzos han aportado un valor enorme, pero también han marcado nuestra forma de ver la resiliencia. Cuando algo sale mal, instintivamente buscamos la fragmentación técnica. Sin embargo, nos hemos dado cuenta de que el mayor reto está en otra parte.
Los silos más importantes que afectan hoy en día a la ciberresiliencia no se encuentran en las bases de datos ni en las aplicaciones, sino en las estructuras organizativas. Se dan entre los equipos de seguridad y de infraestructura, entre TI y el negocio, y entre las personas encargadas de responder a un ataque y las que se ocupan de que la organización siga funcionando.
El último estudio de IDC sobre ResOps, «Resilience Operations: The Discipline that Makes Readiness Provable» (Operaciones de resiliencia: la disciplina que permite demostrar la Readiness), sugiere que estas barreras organizativas se han convertido en uno de los principales obstáculos para una recuperación eficaz. Se trata de una observación muy oportuna, ya que los ciberataques han evolucionado de tal manera que cada vez resulta más difícil mantener esas barreras.
Los ataques modernos no siguen tu organigrama
Un ciberataque moderno casi nunca afecta únicamente a un ámbito tecnológico. Un incidente de ransomware puede comenzar con identidades comprometidas, extenderse por toda la infraestructura en la «nube», cifrar cargas de trabajo críticas, interrumpir aplicaciones orientadas al cliente, afectar a servicios de terceros y activar requisitos de notificación reglamentaria, todo ello en cuestión de horas. Cada fase implica equipos distintos, herramientas diferentes y prioridades distintas. Sin embargo, muchas organizaciones siguen preparándose para la recuperación como si estas responsabilidades pudieran gestionarse por separado.
Los equipos de seguridad se centran, naturalmente, en contener las amenazas y preservar las pruebas. Los equipos de infraestructura dan prioridad a restaurar los sistemas y minimizar el tiempo de inactividad. Los responsables empresariales se concentran en los clientes, los ingresos y la continuidad operativa. Los equipos de comunicación piensan en la reputación, mientras que los equipos jurídicos y de cumplimiento normativo se centran en las obligaciones reglamentarias. Cada punto de vista es totalmente razonable. El problema surge cuando esas prioridades nunca se han conciliado antes de que se produzca un incidente.
En plena crisis, Recovery exige tomar decisiones bajo presión. ¿Qué aplicaciones deben volver a funcionar primero? ¿Qué datos pueden restaurarse de forma segura? ¿Qué nivel de riesgo es aceptable antes de reanudar los servicios al cliente? ¿Quién tiene la autoridad para tomar esas decisiones? Sin una buena coordinación, las organizaciones suelen darse cuenta de que los mayores retrasos no se deben a la tecnología, sino a la incertidumbre, ese tipo de incertidumbre que podría mitigarse con una mejor preparación.
La resiliencia empieza por una definición común de lo que realmente importa
El informe hace hincapié en establecer tu negocio mínimo viable (BMV). A primera vista, parece un ejercicio más de planificación de la recuperación, pero su verdadero valor radica en las conversaciones que obliga a las organizaciones a mantener.
Para definir un MVB, los responsables de la empresa, los equipos de seguridad, los especialistas en infraestructura y los responsables de las aplicaciones deben ponerse de acuerdo en una pregunta que parece muy sencilla, pero que no lo es tanto: ¿Qué es lo que tiene que seguir funcionando sin falta si todo lo demás se detiene?
Ese debate cambia la naturaleza de la planificación de la resiliencia. Las prioridades de recuperación ya no las determina el responsable de la aplicación que argumente de forma más convincente durante un incidente. En su lugar, se establecen de antemano, se basan en los resultados empresariales y se apoyan en dependencias técnicas que todo el mundo entiende.
Quizá lo más importante es que el MVB crea un lenguaje común. Los líderes empresariales empiezan a hablar de capacidades críticas en lugar de sistemas individuales. Los equipos tecnológicos comienzan a relacionar la infraestructura con los resultados para los clientes, en lugar de con las arquitecturas técnicas. Los equipos de seguridad obtienen una mayor claridad sobre qué activos merecen los niveles más altos de protección durante Recovery. Esa visión común es precisamente lo que ha faltado a muchas organizaciones.
La tecnología puede automatizar la recuperación, pero no puede crear alineación
El informe no sostiene que las organizaciones necesiten una plataforma más. Sostiene que necesitan una forma de trabajar que alinee a las personas, los procesos y la tecnología en torno a un único objetivo operativo. Aquí es donde ResOps —una disciplina multifuncional— demuestra su valía.
La tecnología puede ayudar a automatizar la Recovery, pero no puede resolver desacuerdos sobre las prioridades empresariales. No puede decidir qué servicios al cliente son los más importantes. Y no puede sustituir a la gobernanza necesaria para coordinar múltiples equipos durante un incidente de gran presión. Esos son retos de liderazgo, y la mejor forma de abordarlos es dedicar tiempo a resolver juntos las cuestiones difíciles, mucho antes de que un ataque te obligue a tomar medidas.
Las organizaciones más sólidas no eliminan los silos, sino que los conectan
Los ciberataques seguirán evolucionando. La inteligencia artificial seguirá reduciendo los plazos de los ataques. Las nuevas tecnologías introducirán nuevas dependencias y, junto con ellas, surgirán nuevas amenazas. Nada de eso cambia el requisito fundamental de la resiliencia. Las organizaciones no se recuperan porque cada equipo por separado rinda a las mil maravillas, sino porque esos equipos ya saben cómo trabajar juntos.
Quizá esa sea, en definitiva, la conclusión más importante del estudio de IDC. La resiliencia no es simplemente el resultado de una tecnología mejor o de controles de seguridad más sofisticados. Es el resultado de prioridades compartidas, una gobernanza clara y un modelo operativo probado que reúne a las personas adecuadas antes de que se produzca un incidente. Vidya Shankaran es directora técnica de operaciones de Commvault.
