Puntos clave
- La ciberresiliencia es una cuestión de confianza empresarial, que exige a los directores de sistemas de información (CIO) demostrar que los servicios críticos pueden recuperarse sin problemas y con unos niveles de interrupción aceptables.
- Las operaciones de resiliencia (ResOps) cambian el enfoque, pasando de limitarse a disponer de copias de seguridad a realizar pruebas y validaciones continuas de la recuperación empresarial de principio a fin.
- Una planificación eficaz de Recovery debe tener en cuenta las dependencias entre aplicaciones, identidades, bases de datos, infraestructura en la nube, comunicaciones y otros sistemas críticos.
- La Readiness para la recuperación debe medirse en términos empresariales, utilizando indicadores como el tiempo de recuperación, los objetivos de punto de recuperación, la frecuencia de las pruebas, la integridad de los datos y la cobertura de los flujos de trabajo sometidos a prueba.
- A medida que las empresas dependen cada vez más de la IA, el SaaS, las plataformas en la nube y los flujos de datos, la resiliencia debe abarcar la integridad, la gobernanza, la seguridad y la accesibilidad de los datos subyacentes.
La confianza se pone a prueba durante las interrupciones
Para una empresa de servicios tecnológicos, la confianza no es un valor de marca abstracto. Se gana gracias a la capacidad de prestar servicios seguros y fiables cada día, incluso en las peores condiciones.
Los incidentes cibernéticos, los fallos de infraestructura y las interrupciones inesperadas ponen a prueba algo más que la tecnología de una organización. Ponen a prueba si la empresa puede seguir operando, si aún se pueden cumplir los compromisos con los clientes y si los directivos pueden tomar decisiones con confianza. Por eso, la ciberresiliencia se ha convertido en una cuestión de confianza empresarial, y no simplemente en una responsabilidad del departamento de TI.
La copia de seguridad no es un resultado empresarial
La protección de datos tradicional solía basarse en una pregunta sencilla: ¿disponemos de una copia de seguridad por si algo sale mal? Eso sigue siendo importante, pero ya no es suficiente.
Tras un incidente cibernético, la existencia de una copia de seguridad no garantiza que los datos estén intactos, que el entorno de recuperación sea seguro ni que la organización pueda restablecer el proceso empresarial completo en el plazo que la empresa requiere.
Una copia de seguridad es un recurso. El resultado es un negocio que funciona.
La pregunta que deben plantearse los líderes no es solo si se pueden restaurar los datos, sino si se pueden recuperar datos limpios y fiables en un entorno listo para la producción con la rapidez suficiente para proteger las operaciones, a los clientes y la reputación.
Este es el cambio que subyace a ResOps: abordar la resiliencia no como un conjunto de actividades de Backup and Recovery, sino como una disciplina operativa continua centrada en mantener los servicios empresariales críticos dentro de unos niveles aceptables de interrupción. Para los directores de sistemas de información (CIO), eso significa pasar de preguntarse «¿Tenemos copias de seguridad?» a «¿Podemos demostrar que la empresa es capaz de recuperarse?».
Recovery debe reflejar el funcionamiento de la empresa
Los servicios modernos no se ejecutan en una sola aplicación ni en una única capa de infraestructura. Las aplicaciones empresariales críticas dependen de la identidad, las bases de datos, las plataformas de comunicación, la infraestructura en la nube y los entornos de desarrollo. Si una de esas dependencias no está disponible, es posible que la restauración de la aplicación por sí sola no baste para restablecer el servicio.
Esto cambia la forma en que los responsables deben definir la «Readiness» (preparación) para la recuperación. La recuperación no puede tratarse como un conjunto de tareas técnicas inconexas. El enfoque de ResOps parte de los servicios empresariales críticos que deben mantenerse resilientes y, a continuación, mapea las aplicaciones, los datos, la identidad, la infraestructura y otras dependencias necesarias para restaurarlos dentro de los límites de la interrupción que la empresa puede tolerar.
En Persistent Systems, esto significa adoptar un enfoque estructurado respecto a las cargas de trabajo críticas y comprender las dependencias necesarias para volver a ponerlas en funcionamiento. El objetivo no es restaurar la tecnología por sí misma. El objetivo es mantener la capacidad de atender a los clientes.
Demostrar Recovery en lugar de darla por sentada
ResOps considera la resiliencia como una disciplina operativa continua. No puede validarse mediante una lista de comprobación anual ni un informe de copias de seguridad satisfactorio.
Las organizaciones deben probar periódicamente los flujos de trabajo de recuperación, llevar a cabo la recuperación en entornos aislados, validar la integridad de los datos y confirmar que los sistemas recuperados pueden soportar operaciones empresariales reales. A medida que cambian los entornos, los manuales de recuperación también deben adaptarse. Las nuevas aplicaciones, las nuevas integraciones y las nuevas amenazas pueden hacer que el plan de recuperación de ayer resulte incompleto.
Nuestro trabajo con Commvault respalda este cambio de la protección de datos tradicional hacia una Readiness continua para la recuperación. Commvault Cleanroom proporciona un entorno aislado en el que los equipos pueden restaurar sistemas, detectar amenazas, validar datos y probar la recuperación antes de devolver las cargas de trabajo a producción. Esa capacidad respalda un principio fundamental de ResOps: la recuperabilidad no debe darse por sentada, sino que debe probarse, validarse y demostrarse continuamente mediante pruebas.
Medir el progreso en términos empresariales
Una estrategia de resiliencia requiere pruebas cuantificables. En un principio, Persistent se fijó como objetivo una recuperación en 24 horas. Gracias a un enfoque más estructurado y sometido a pruebas continuas, nuestro plazo de recuperación actual se sitúa más cerca de las cuatro a seis horas para los escenarios de extremo a extremo analizados en nuestras pruebas recientes.
Aquí es donde ResOps cobra sentido. El objetivo no es simplemente realizar más pruebas de Recovery, sino utilizar cada ejercicio para identificar deficiencias, mejorar el proceso de Recovery y reducir de forma cuantificable el tiempo y la incertidumbre entre la interrupción y el funcionamiento fluido del negocio.
Esa mejora es importante porque el tiempo no es solo una métrica técnica durante una interrupción. Afecta al servicio al cliente, a la productividad de los empleados, a los costes operativos, a la toma de decisiones y a la reputación. Cuanto más rápido pueda la organización volver a un estado operativo normal, más eficazmente podrá limitar el impacto empresarial de un incidente.
Por lo tanto, las métricas deben estar vinculadas a las prioridades empresariales. La disciplina de ResOps amplía el debate sobre la medición más allá de si una restauración ha tenido éxito, para centrarse en si los servicios críticos pueden recuperarse sin problemas y dentro de los límites de interrupción que la empresa puede tolerar. El tiempo de recuperación, los objetivos de punto de recuperación, la frecuencia de las pruebas, la validación de la integridad de los datos y el porcentaje de flujos de trabajo críticos cubiertos por los manuales de actuación probados ayudan a la dirección a comprender si la resiliencia está mejorando.
La fiabilidad de los datos es importante más allá de Recovery
El papel de las plataformas de ciberresiliencia seguirá ampliándose. A medida que las organizaciones aprovechan cada vez más los datos, incluso en iniciativas de inteligencia artificial, necesitan saber que los datos están limpios, son seguros, cumplen con la normativa y se accede a ellos de forma adecuada.
Los sistemas de IA son tan fiables como los datos en los que se basan. Por lo tanto, la integridad de los datos, su clasificación, su gobernanza y el control de acceso se están convirtiendo en parte de un estándar de resiliencia más amplio. Las mismas disciplinas que ayudan a una organización a recuperarse con confianza también pueden respaldar un uso más seguro y responsable de los datos para las iniciativas impulsadas por la IA.
Esta es otra razón por la que ResOps debe evolucionar junto con el negocio: a medida que los servicios críticos dependen cada vez más de la IA, el SaaS, las plataformas en la nube, las identidades y los flujos de datos, la resiliencia debe abarcar todo el entorno del que dependen dichos servicios.
Cinco preguntas que todo director de sistemas de información (CIO) debería plantearse
Los líderes no necesitan gestionar cada paso técnico, pero sí necesitan respuestas claras a las preguntas que determinan si la empresa está realmente preparada. Estas son también las preguntas que convierten a ResOps de un concepto tecnológico en una disciplina operativa ejecutiva:
- ¿Qué servicios empresariales y cargas de trabajo deben recuperarse en primer lugar?
- ¿Hemos identificado las dependencias relacionadas con las identidades, las aplicaciones, las bases de datos, la nube y las comunicaciones necesarias para restaurarlas?
- ¿Podemos recuperar y validar los datos en un entorno limpio y aislado antes de volver a ponerlos en producción?
- ¿Con qué frecuencia probamos todo el flujo de trabajo y cómo actualizamos el manual de procedimientos cuando cambia el entorno?
- ¿Qué pruebas cuantificables podemos presentar a la dirección para demostrar que nuestros servicios críticos pueden recuperarse dentro de los límites de tolerancia aceptables para la empresa y que nuestro rendimiento en la recuperación está mejorando?
En última instancia, la ciberresiliencia se basa en la confianza: confianza en que la organización puede seguir funcionando, confianza en que se pueden cumplir los compromisos con los clientes y confianza en que se puede confiar en los datos que sustentan el negocio. Esa confianza hay que ganársela mediante la preparación, las pruebas y la mejora continua.
Preguntas frecuentes
P: ¿Qué es ResOps?
R: ResOps es una disciplina operativa continua centrada en mantener los servicios críticos de la empresa dentro de unos niveles aceptables de interrupción. Amplía el alcance de la resiliencia más allá de las actividades individuales de Backup and Recovery, con el fin de demostrar de forma continua que la empresa es capaz de recuperarse.
P: ¿Por qué las copias de seguridad por sí solas ya no son suficientes para la ciberresiliencia?
R: Una copia de seguridad confirma que existe una copia de los datos, pero no garantiza que estos estén intactos, que el entorno de recuperación sea seguro ni que todo el proceso empresarial pueda restablecerse con la rapidez suficiente. El verdadero resultado empresarial es la capacidad de restablecer los servicios críticos a un estado operativo fiable y funcional.
P: ¿Por qué la planificación de la Recovery debe centrarse en los servicios empresariales en lugar de en aplicaciones concretas?
R: Los servicios críticos suelen depender de múltiples tecnologías interconectadas, entre las que se incluyen la identidad, las bases de datos, la infraestructura en la nube, las comunicaciones y los entornos de desarrollo. Identificar estas dependencias permite a las organizaciones restablecer el servicio en su totalidad, en lugar de restaurar una aplicación dejando fuera de servicio los sistemas de apoyo esenciales.
P: ¿Cómo pueden las organizaciones demostrar que están preparadas para recuperarse de una interrupción?
R: Las organizaciones deben probar periódicamente los flujos de trabajo completos de Recovery en entornos aislados, validar la integridad de los datos, detectar amenazas y confirmar que los sistemas recuperados pueden dar soporte a las operaciones empresariales reales. Los manuales de Recovery también deben adaptarse a medida que cambian las aplicaciones, las integraciones, la infraestructura y las amenazas.
P: ¿Cómo deben medir los directores de sistemas de información (CIO) el grado de Readiness para la recuperación?
R: Los directores de sistemas de información (CIO) deben vincular las métricas de resiliencia a las prioridades empresariales, incluyendo el tiempo de recuperación, los objetivos de punto de recuperación, la frecuencia de las pruebas, la validación de la integridad de los datos y el porcentaje de flujos de trabajo críticos cubiertos por los manuales de recuperación probados. El objetivo es demostrar una mejora cuantificable en la rapidez y la fiabilidad con las que los servicios críticos pueden volver a estar operativos.
P: ¿Cómo contribuye la Readiness para la recuperación a la inteligencia artificial y a iniciativas más amplias relacionadas con los datos?
R: Los sistemas de IA dependen de que los datos estén limpios, sean seguros, estén regulados y se acceda a ellos de forma adecuada. Las disciplinas que respaldan una Recovery fiable —entre ellas, la integridad de los datos, la clasificación, la gobernanza y el control de acceso— también pueden favorecer un uso más seguro y responsable de los datos en iniciativas impulsadas por la IA.
Debashis SinghEs director de información de Persistent Systems.
