Cómo desarrollar una estrategia sólida de recuperación ante desastres

Las empresas digitales modernas necesitan planes sólidos de recuperación ante desastres para recuperarse de ciberataques, desastres naturales o acontecimientos imprevistos, y para garantizar a sus organizaciones la protección de los datos, unas pérdidas económicas mínimas, la preservación de su reputación y una gran confianza por parte de los clientes.

En entornos digitales tan interconectados, el tiempo de inactividad puede resultar exorbitantemente caro. Algunos informes estiman que el coste medio del tiempo de inactividad es de 9.000 dólares por minuto para las grandes organizaciones y de hasta 5 millones de dólares por hora en determinados sectores y situaciones específicas. Más de la mitad (54 %) de los encuestados en el estudio sobre centros de datos del Uptime Institute indicaron que su «interrupción significativa, grave o severa» más reciente les costó más de 100 000 dólares, mientras que el 16 % afirmó que su interrupción más reciente les costó más de 1 millón de dólares. Y según la encuesta «Worldwide State of Data Protection & DR Survey» de IDC, la consecuencia más habitual de la interrupción de los datos son las horas extras de los empleados, lo que afecta al 45 % de las organizaciones. Otro 40 % informó de una pérdida de productividad de los empleados debido a incidentes, y el 35 % sufrió una pérdida directa de ingresos como consecuencia de las interrupciones del servicio, además de que el 35 % perdió datos de forma permanente.

Estas y muchas otras consecuencias son sencillamente inaceptables y obligan a todas las empresas a desarrollar una estrategia sólida de Recovery ante desastres.

La mayoría de las empresas cuentan con algún tipo de plan de recuperación ante desastres en caso de que se produzca una catástrofe, ya sea un ciberataque provocado por el hombre o un fenómeno natural como un huracán. Pero eso no significa que los planes de los que disponen puedan proteger adecuadamente los activos y restablecer las operaciones en el mundo digital actual.

En comparación con hace tan solo 10 años, la recuperación ante desastres se basa cada vez más en la nube y se centra en la continuidad del negocio, más que en la mera recuperación de datos. Con un mayor énfasis en la automatización y en unos tiempos de recuperación más rápidos, la recuperación ante desastres hoy en día debe tener en cuenta la adopción generalizada de la infraestructura en la nube y los sistemas de TI cada vez más complejos. En el pasado, las copias de seguridad físicas y los centros de datos secundarios desempeñaban un papel más importante en la recuperación ante desastres, pero hoy en día las empresas dependen en gran medida de los servicios en la nube para el almacenamiento de datos, la replicación y la recuperación rápida.

Estos son los pasos fundamentales necesarios para crear un plan de recuperación ante desastres que proteja a la empresa:

• Identificar los datos críticos: Realiza un inventario de tus sistemas, aplicaciones y datos que se consideren más críticos para las operaciones de tu empresa. Prioriza los activos en función de los tiempos de Recovery en caso de desastre.

• Establecer el RTO y el RPO: Determina tu objetivo de tiempo de recuperación (RTO) aceptable (la rapidez con la que deben restaurarse los sistemas) y tu objetivo de punto de recuperación (RPO) (cuánta pérdida de datos es tolerable) en función del impacto en la empresa.

• Configure políticas de almacenamiento de copias de seguridad: Cree una política de almacenamiento para la Recovery que detalle cómo almacenar sus copias de seguridad de forma independiente. Las políticas también pueden incluir características como protecciones de tipo «escribir una vez, leer muchas veces» (WORM) para evitar el borrado accidental.

• Establezca la replicación: copie de forma continua o periódica los datos críticos a un sitio secundario, lo que permitirá una recuperación rápida en caso de fallo del sitio principal. Sincronice los sistemas y los datos entre los sitios de producción y de Recovery para protegerse contra la pérdida de datos.

• Desarrolla procedimientos de recuperación: documenta los pasos detallados para restaurar datos y sistemas a partir de tus copias de seguridad de recuperación ante desastres, incluyendo el hardware necesario, las configuraciones de red y los procedimientos de restauración específicos de cada aplicación.

• Asignar funciones y responsabilidades: Identifica al personal de tu equipo de TI que se encargará de mantener, poner en marcha y gestionar el proceso de recuperación ante desastres. Ya sea un director de sistemas de información (CIO), un jefe de equipo de recuperación ante desastres, un coordinador de crisis o un responsable sénior de TI, el jefe de equipo es el encargado de tomar las decisiones estratégicas y gestionar el proceso de recuperación en su conjunto. Además, un equipo de recuperación ante desastres suele incluir miembros de distintos ámbitos de TI, como TI, operaciones, continuidad del negocio y gestión de riesgos.

• Realice pruebas periódicas: planifique pruebas y simulacros periódicos de su plan de recuperación ante desastres, llevando a cabo restauraciones parciales o completas a partir de sus copias de seguridad para verificar la integridad de los datos e identificar cualquier problema que pudiera impedir una recuperación rápida y precisa.

• Actualiza tu plan de recuperación ante desastres: revisa periódicamente el plan y actualízalo según sea necesario para adaptarlo a los cambios que se requieran.

Operar sin un plan de recuperación ante desastres no es una opción. Teniendo en cuenta estos pasos, los responsables empresariales pueden estar un poco más tranquilos ante los inevitables ciberataques o fallos del sistema.

Con una estrategia formal que detalle cómo actuar en caso de desastre, las empresas disfrutarán de varias ventajas, que van desde la minimización del tiempo de inactividad y un entorno más seguro hasta un mejor cumplimiento normativo y operaciones optimizadas.

Entre estas ventajas, destaca la reducción al mínimo del tiempo de inactividad, o incluso su eliminación total. Un plan adecuado puede mantener en funcionamiento las actividades críticas de la empresa con una interrupción mínima o nula. Además, las mejores prácticas de Recovery también pueden ayudar a las empresas a reducir costes al evitar el impacto financiero del tiempo de inactividad o de un desastre.

La mejora de la seguridad también es una consecuencia natural de contar con un plan de recuperación ante desastres. Por ejemplo, una organización puede reforzar su postura de seguridad y, en última instancia, limitar el impacto de los ataques y otros riesgos de seguridad. La mejora del cumplimiento normativo y la reducción de la pérdida de datos son también ventajas clave, ya que las empresas establecen medidas de protección para los datos y las cargas de trabajo y minimizan la cantidad de datos perdidos durante un desastre.

La recuperación ante desastres promete numerosas ventajas: algunas esperadas y otras que pueden suponer una grata sorpresa. Por ejemplo, el proceso de elaboración de un plan de recuperación ante desastres suele implicar la revisión y actualización de la infraestructura de TI existente, lo que da lugar a posibles mejoras en el rendimiento y la fiabilidad del sistema durante las operaciones empresariales normales. Con unas operaciones de TI optimizadas, un plan de recuperación ante desastres puede ayudar a identificar el hardware innecesario y a reducir la deuda técnica.

El proceso de elaboración del plan también ayuda a la empresa a identificar y evaluar los riesgos y vulnerabilidades en toda la organización, lo que puede conducir a una mejora general de la postura de seguridad. Todas estas ventajas se combinan para mejorar la ventaja competitiva global de una empresa, ya que los clientes pueden estar seguros de que la empresa es capaz de operar y satisfacer sus necesidades incluso ante un desastre.

Un plan de recuperación ante desastres sólido elimina el pánico que acompaña a una crisis inesperada, y hace mucho más aún. Gestiona las expectativas y cuenta con las personas adecuadas para hacer frente al desastre. Ayuda a cumplir los requisitos legales y normativos, además de mantener una percepción pública positiva de la empresa. Con un plan sólido en marcha, las organizaciones no solo minimizan el impacto de los ciberataques y otras interrupciones, sino que también pueden mantener la continuidad de las operaciones empresariales y reducir al mínimo la preocupación por la pérdida de datos o la ruina financiera.