Cómo desarrollar una estrategia sólida de recuperación ante desastres

Las empresas digitales modernas necesitan planes sólidos de recuperación ante desastres pararecuperarse de ciberataques, desastres naturales o acontecimientos imprevistos– y garantizar a sus organizaciones la protección de los datos, unas pérdidas económicas mínimas, la preservación de su reputación y una sólida confianza por parte de los clientes.

En entornos digitales tan interconectados, los tiempos de inactividad pueden suponer un coste desorbitado.Algunos informes estiman queel coste medio del tiempo de inactividad asciende a 9.000 dólares por minuto en el caso de las grandes organizaciones y puede alcanzar los 5 millones de dólares por hora en determinados sectores y situaciones concretas. Más de la mitad (54 %) de los encuestados en laEncuesta del Uptime Institute sobre centros de datosinformaron de que su «interrupción significativa, grave o muy grave» más reciente les costó más de 100 000 dólares, y el 16 % afirmó que su interrupción más reciente les costó más de 1 millón de dólares. Y segúnEncuesta mundial de IDC sobre el estado de la protección de datos y la recuperación ante desastres, la consecuencia más habitual de las interrupciones en el flujo de datos son las horas extras de los empleados, lo que afecta al 45 % de las organizaciones. Otro 40 % señaló una pérdida de productividad de los empleados debido a los incidentes, y el 35 % sufrió pérdidas directas de ingresos como consecuencia de las interrupciones… y el 35 % perdió datos de forma definitiva.

Estas y muchas otras consecuencias son sencillamente inaceptables y obligan a todas las empresas a desarrollar una estrategia sólida de Recovery ante desastres.

La mayoría de las empresas cuentan con algún tipo de plan de recuperación ante desastres para hacer frente a una situación de emergencia, ya sea un ciberataque provocado por el hombre o un fenómeno natural, como un huracán. Pero eso no significa que los planes de los que disponen puedan proteger adecuadamente los activos y restablecer las operaciones en el mundo digital actual.

En comparación con hace tan solo 10 años, la recuperación ante desastres se basa ahora en mayor medida en la nube y se centra en la continuidad del negocio, en lugar de limitarse a la mera recuperación de datos. Con un mayor énfasis en la automatización y en unos tiempos de recuperación más rápidos, la recuperación ante desastres actual debe tener en cuenta la adopción generalizada de la infraestructura en la nube y la creciente complejidad de los sistemas informáticos. En el pasado, las copias de seguridad físicas y los centros de datos secundarios desempeñaban un papel más importante en la recuperación ante desastres, pero hoy en día las empresas dependen en gran medida de los servicios en la nube para el almacenamiento de datos, la replicación y la recuperación rápida.

Estos son los pasos fundamentales que hay que seguir paraelaborar un plan de recuperación ante desastres para proteger la empresa:

• Identificar los datos críticos: Realiza un inventario de tus sistemas, aplicaciones y datos que se consideren más críticos para las operaciones de tu empresa. Prioriza los activos en función de los tiempos de Recovery en caso de desastre.

• Establecer el RTO y el RPO:Determina tu objetivo de tiempo de recuperación aceptable(la rapidez con la que deben restablecerse los sistemas) y el objetivo de punto de recuperación (cuánta pérdida de datos es tolerable) en función del impacto en la empresa.

• Configurar políticas de almacenamiento de copias de seguridad: Crea una política de almacenamiento para la recuperación ante desastres, en la que se detalle cómo almacenar las copias de seguridad de forma independiente. Las políticas también pueden incluir características como la protección «escribir una vez, leer muchas veces» (WORM) para evitar el borrado accidental.

• Establecer la replicación: copiar de forma continua o periódica los datos críticos a un sitio secundario, lo que permite una rápida recuperación en caso de fallo del sitio principal. Sincronizar los sistemas y los datos entre los sitios de producción y de Recovery para protegerse contra la pérdida de datos.

• Desarrollar procedimientos de recuperación: Documentar los pasos detallados para restaurar los datos y los sistemas a partir de las copias de seguridad de recuperación ante desastres, incluyendo el hardware necesario, las configuraciones de red y los procedimientos de restauración específicos de cada aplicación.

• Asignar funciones y responsabilidades: Identifica a las personas de tu equipo de TI que se encargarán de mantener, poner en marcha y gestionar el proceso de recuperación ante desastres. Ya sea el director de sistemas de información (CIO), el jefe del equipo de recuperación ante desastres, el coordinador de crisis o un responsable sénior de TI, el jefe del equipo es el encargado de tomar las decisiones estratégicas y gestionar el proceso de recuperación en su conjunto. Además, un equipo de recuperación ante desastres suele incluir a miembros de distintos ámbitos de TI, como TI, operaciones, continuidad del negocio y gestión de riesgos.

• Realiza pruebas periódicas: planifica pruebas y simulacros periódicos de tu plan de Recovery ante desastres, llevando a cabo restauraciones parciales o completas a partir de tus copias de seguridad para verificar la integridad de los datos e identificar cualquier problema que pudiera impedir una Recovery rápida y precisa.

• Actualiza tu plan de recuperación ante desastres: revisa periódicamente el plan y actualízalo según sea necesario para adaptarlo a los cambios que se produzcan.

Operar sin un plan de recuperación ante desastres no es una opción. Al tener en cuenta estos pasos, los responsables empresariales pueden estar un poco más tranquilos ante los inevitables ciberataques o fallos del sistema.

Con una estrategia formal que detalle cómo actuar en caso de desastre, las empresas disfrutarán de varias ventajas, que van desde la minimización del tiempo de inactividad y un entorno más seguro hasta un mejor cumplimiento normativo y operaciones optimizadas.

Entre estas ventajas, destaca la reducción al mínimo del tiempo de inactividad, o incluso su eliminación total. Un plan adecuado puede mantener en funcionamiento las actividades críticas de la empresa con una interrupción mínima o nula. Además, las mejores prácticas de Recovery también pueden ayudar a las empresas a reducir costes al evitar el impacto financiero del tiempo de inactividad o de un desastre.

La mejora de la seguridad también es una consecuencia natural de contar con un plan de recuperación ante desastres. Por ejemplo, una organización puede reforzar su postura de seguridad y, en última instancia, limitar el impacto de los ataques y otros riesgos de seguridad. La mejora del cumplimiento normativo y la reducción de la pérdida de datos son también ventajas clave, ya que las empresas definen medidas de protección para los datos y las cargas de trabajo y minimizan la cantidad de datos perdidos durante un desastre.

La recuperación ante desastres promete numerosas ventajas: algunas esperadas y otras que pueden suponer una grata sorpresa. Por ejemplo, el proceso de creación de un plan de recuperación ante desastres suele implicar la revisión y actualización de la infraestructura de TI existente, lo que da lugar a posibles mejoras en el rendimiento y la fiabilidad del sistema durante las operaciones empresariales normales. Con unas operaciones de TI optimizadas, un plan de recuperación ante desastres puede ayudar a identificar el hardware innecesario y a reducir la deuda técnica.

El proceso de elaboración del plan también ayuda a la empresa a identificar y evaluar los riesgos y vulnerabilidades en toda la organización, lo que puede conducir a una mejora general de la postura de seguridad. Todas estas ventajas se combinan para mejorar la ventaja competitiva global de una empresa, ya que los clientes pueden estar seguros de que la empresa es capaz de operar y satisfacer sus necesidades incluso ante un desastre.

Un plan de recuperación ante desastres sólidoelimina el pánico que provoca una crisis inesperada, y hace mucho más aún. Gestiona las expectativas y cuenta con las personas adecuadas para hacer frente al desastre. Ayuda a cumplir con los requisitos legales y normativos, además de mantener una percepción pública positiva de la empresa. Con un plan sólido en marcha, las organizaciones no solo minimizan el impacto de los ciberataques y otras interrupciones, sino que también puedenmantener la continuidad de las operaciones empresariales y reducir al mínimo la preocupación por la pérdida de datos o la ruina financiera.