Resiliencia operativa: marcos y mejores prácticas

La resiliencia operativa se ha convertido en una prioridad a nivel directivo, ya que las organizaciones se enfrentan a amenazas cibernéticas sin precedentes y a un escrutinio regulatorio cada vez mayor. Los 166 incidentes cibernéticos graves notificados a la Autoridad de Conducta Financiera del Reino Unido en 2024, de los cuales 89 se atribuyeron a ciberataques, ilustran la magnitud del reto al que se enfrentan las empresas modernas.

El impacto financiero de los fallos operativos sigue aumentando: las organizaciones se enfrentan ahora a interrupciones de gran repercusión. Esta realidad impulsa el cambio de una Recovery reactiva a estrategias de resiliencia proactivas que mantengan la prestación de servicios durante las interrupciones.

Las exigencias normativas en todas las jurisdicciones obligan ahora a las organizaciones a demostrar su capacidad para garantizar la prestación continua de servicios. Con la entrada en vigor de la Ley de Resiliencia Operativa Digital y marcos normativos similares en todo el mundo, la resiliencia operativa ha pasado de ser una «buena práctica» a convertirse en un requisito normativo.

La resiliencia operativa representa la capacidad de prestar servicios críticos ante interrupciones, manteniendo las operaciones dentro de unos niveles de tolerancia predefinidos incluso durante incidentes graves. A diferencia de los enfoques tradicionales de Recovery, que se centran en la restauración tras un fallo, la resiliencia operativa hace hincapié en la prestación continua de servicios durante las interrupciones y a pesar de ellas.

Este cambio fundamental refleja las expectativas normativas en las principales jurisdicciones: las organizaciones deben identificar sus servicios críticos, comprender las dependencias, establecer tolerancias cuantificables y demostrar su capacidad para operar dentro de esos límites.

El enfoque estructurado de la resiliencia operativa aborda tanto las amenazas cibernéticas como los requisitos normativos a través de marcos integrados. Los marcos de resiliencia empresarial proporcionan la estructura general para la preparación de la organización, mientras que los marcos de gestión de riesgos operativos abordan específicamente la identificación, evaluación y mitigación de los riesgos que podrían interrumpir los servicios críticos.

Estos marcos convergen en torno a principios comunes: un enfoque centrado en los servicios, tolerancias cuantificables y una validación continua mediante pruebas.

Pilares del marco de resiliencia operativa

Esta tabla resume los pilares fundamentales que constituyen la base de los marcos de resiliencia operativa en las distintas jurisdicciones reguladoras.

La distinción entre resiliencia operativa y continuidad del negocio cambia de manera fundamental la forma en que las organizaciones abordan la protección de los servicios. La continuidad del negocio se centra tradicionalmente en la recuperación de los procesos internos tras fallos concretos, mientras que la resiliencia operativa da prioridad al mantenimiento de los servicios orientados al cliente ante las interrupciones.

Este cambio de un enfoque centrado en la entidad a uno centrado en el servicio refleja la realidad de que aproximadamente dos tercios de las interrupciones del servicio notificadas públicamente afectan a proveedores externos de TI o de centros de datos.

Comparación: resiliencia operativa frente a continuidad del negocio

La comparación que figura a continuación aclara las diferencias fundamentales entre estas disciplinas complementarias, pero distintas.

Desarrollar la resiliencia operativa requiere un enfoque sistemático que se ajuste a las directrices normativas de las distintas jurisdicciones. Los componentes del marco que se indican a continuación representan el consenso entre las expectativas normativas del Reino Unido, la UE (DORA), el Gobierno federal de EE. UU. y Australia:

1. Identificar los servicios críticos para el negocio (CBS): Las organizaciones deben determinar qué servicios causarían un perjuicio intolerable a los clientes o a los mercados en caso de interrupción. Este proceso de identificación va más allá de las evaluaciones tradicionales de criticidad de las TI; requiere comprender las dependencias de los clientes, los impactos en el mercado y las obligaciones normativas. Las entidades de servicios financieros se centran especialmente en el procesamiento de pagos, el acceso a las cuentas y las capacidades de negociación como servicios críticos típicos.
2. Identificar las dependencias: un mapeo exhaustivo de extremo a extremo revela todos los recursos necesarios para prestar cada servicio crítico. Esto incluye los sistemas tecnológicos, el personal, las instalaciones, los flujos de datos y, lo que es fundamental, los proveedores externos. El ejercicio de mapeo a menudo pone de manifiesto dependencias ocultas: infraestructura compartida, riesgos de concentración y puntos únicos de fallo que las evaluaciones de riesgo tradicionales pasan por alto.
3. Establecer tolerancias de impacto: Las organizaciones deben definir los niveles máximos aceptables de interrupción para cada servicio crítico. Estas tolerancias suelen incluir medidas basadas en el tiempo (cuánto tiempo puede verse degradado el servicio) y medidas basadas en el volumen (qué reducción de capacidad es aceptable). La norma australiana CPS 230 exige específicamente la notificación en un plazo de 24 horas si una interrupción supera los niveles de tolerancia definidos.
4. Probar y validar: Las pruebas con escenarios graves pero plausibles permiten comprobar si las organizaciones pueden mantener los servicios dentro de los niveles de tolerancia. Las pruebas deben incluir escenarios de ciberataques, ya que, según datos recientes, los ciclos de pruebas periódicos sustituyen a los ejercicios teóricos anuales por una validación continua.
5. Aprender y adaptarse: La creación de ciclos de retroalimentación transforma los resultados de las pruebas en mejoras aplicables. Las organizaciones deben demostrar cómo incorporan las lecciones aprendidas, corrigen las vulnerabilidades identificadas y actualizan sus marcos de trabajo en función de las amenazas emergentes y los cambios normativos.

Las siguientes prácticas recomendadas abordan las deficiencias más graves a las que se enfrentan las organizaciones a la hora de implementar marcos de resiliencia operativa:

La recuperación limpia es fundamental: todo el marco de resiliencia depende de la capacidad de recuperarse rápidamente sin reintroducir elementos comprometidos. Los enfoques tradicionales de copia de seguridad fallan cuando el ransomware cifra o corrompe los datos de Recovery.

• Práctica recomendada: Implemente copias de seguridad inmutables y físicamente aisladas con las capacidades de «Commvault Cleanroom». El almacenamiento inmutable evita la alteración o eliminación de los datos de copia de seguridad, mientras que los entornos «Commvault Cleanroom» permiten validar los sistemas recuperados antes de su restauración en producción. Este enfoque resuelve el problema al proporcionar puntos de recuperación de fiabilidad contrastada.

Visibilidad y pruebas continuas: Los ejercicios anuales ya no satisfacen las expectativas normativas ni las necesidades operativas. Las organizaciones necesitan visibilidad en tiempo real de su estado de resiliencia y capacidades de pruebas automatizadas.

• Práctica recomendada: Automatizar las pruebas de Recovery y aprovechar la IA y el aprendizaje automático para la detección de anomalías. Las pruebas automatizadas ayudan a validar las capacidades de Recovery sin intervención manual, mientras que la detección basada en IA ayuda a identificar amenazas antes de que se conviertan en interrupciones. Las organizaciones con .

La resiliencia operativa aborda directamente la intersección entre la gestión del riesgo operativo y la continuidad del servicio. Este hecho explica por qué la resiliencia se ha convertido en una preocupación a nivel del consejo de administración. Más allá de las repercusiones financieras, los fallos operativos merman la confianza de los clientes y desencadenan el escrutinio de las autoridades reguladoras.

La alineación con normas como las directrices del Comité de Basilea ofrece un enfoque estructurado para la mitigación de riesgos. Los principios de Basilea hacen hincapié en la gobernanza, la gestión del riesgo operativo y la planificación de la continuidad del negocio como elementos interrelacionados de la resiliencia. Las organizaciones deben ir más allá de las listas de verificación de cumplimiento para demostrar una capacidad real de mantener los servicios críticos.

Requisitos normativos específicos de cada jurisdicción

La siguiente tabla detalla los requisitos normativos específicos y los plazos de implementación en las principales jurisdicciones.

Conceptos distintivos de la resiliencia operativa

La resiliencia operativa abarca, pero va más allá, de las disciplinas tradicionales de continuidad y recuperación. Mientras que la recuperación ante desastres se centra en la restauración técnica de los sistemas y la continuidad del negocio aborda la recuperación de los procesos, la resiliencia operativa garantiza la prestación de servicios durante las interrupciones. Esta distinción es importante porque el 40 % de las organizaciones han sufrido interrupciones graves causadas por errores humanos en los últimos tres años; la recuperación técnica por sí sola no puede abordar estos problemas sistémicos.

El riesgo operativo representa las pérdidas potenciales derivadas de procesos inadecuados o fallidos, mientras que la resiliencia operativa proporciona el marco para seguir operando a pesar de esos fallos. La relación es complementaria: la gestión de riesgos identifica posibles interrupciones, mientras que la planificación de la resiliencia define cómo mantener los servicios cuando se producen dichas interrupciones.

Esta tabla ofrece una guía paso a paso para integrar las capacidades de respuesta ante incidentes en una estrategia de resiliencia operativa.

ResOps representa el cambio de una resiliencia basada en la planificación a una práctica operativa continua. ResOps es la práctica continua y coordinada que automatiza la integración de la protección de datos, la ciberseguridad y la recuperación ante desastres para cumplir con los niveles de tolerancia al impacto definidos. Este modelo operativo transforma la resiliencia, pasando de ser ejercicios periódicos a capacidades medibles en tiempo real.

En las siguientes secciones se detalla cómo ResOps pone en práctica cada componente del marco de resiliencia operativa:

Asignación y tolerancia: Las tecnologías de ResOps asignan automáticamente los activos de TI a los sistemas, servicios y procesos (CBS) y automatizan la medición en función de los umbrales de impacto definidos. Esta asignación continua sustituye la documentación estática por una comprensión dinámica de las dependencias de los servicios. La supervisión de la tolerancia en tiempo real proporciona visibilidad inmediata cuando los servicios se acercan a los umbrales definidos.

Detección y respuesta: La respuesta inmediata y unificada ante las amenazas es posible gracias a la detección de anomalías impulsada por IA y a los planes de Recovery automatizados. El «vector de ataque» exige capacidades de respuesta automatizadas que operen más rápido de lo que permite la intervención manual.

Pruebas y aprendizaje: ResOps transforma las pruebas, que pasan de ser eventos anuales a procesos continuos. Las pruebas automatizadas en «sala limpia» validan las capacidades de recuperación sin afectar a la producción, mientras que la supervisión continua proporciona una garantía cuantificable del estado de resiliencia. Este enfoque aborda el reconocimiento de la resiliencia como una función independiente, algo que ya ha alcanzado el 45,5 % de las organizaciones.

La ventaja de Commvault: Commvault Cloud proporciona la plataforma unificada que ayuda a hacer posible una verdadera implementación de ResOps. Al integrar capacidades de copia de seguridad, Recovery, seguridad y cumplimiento normativo, Commvault ayuda a transformar la resiliencia de un ejercicio de planificación en operaciones continuas y cuantificables que contribuyen a cumplir los requisitos normativos y las necesidades empresariales.

La DORA ejemplifica el cambio normativo global hacia requisitos obligatorios de resiliencia. El enfoque integral de la DORA abarca la gestión de riesgos de las TIC, la notificación de incidentes, las pruebas de resiliencia y la gestión de riesgos de terceros. Los plazos de notificación de incidentes establecidos por la DORA exigen una notificación inicial en un plazo de 4 horas tras la clasificación y, a más tardar, 24 horas desde que se tiene conocimiento del incidente.

Los bancos centrales de todo el mundo han publicado directrices similares, reconociendo que la estabilidad del sistema financiero depende de la resiliencia de cada institución. Estas normativas comparten elementos comunes: enfoques centrados en los servicios, tolerancias cuantificables, pruebas continuas y responsabilidad a nivel del consejo de administración. La convergencia de las expectativas normativas crea un estándar global de facto para la resiliencia operativa en los servicios financieros.

Una planificación proactiva de la resiliencia ofrece ventajas cuantificables que van más allá del mero cumplimiento normativo. La capacidad de mantener los servicios dentro de los límites de tolerancia definidos ayuda a prevenir fallos en cadena que amplifican las interrupciones iniciales.

El refuerzo de la posición en materia de cumplimiento normativo adquiere cada vez más valor a medida que cambian las normativas. Las organizaciones que desarrollan auténticas capacidades de resiliencia se adaptan más fácilmente a los nuevos requisitos, evitando las costosas adaptaciones que exige un cumplimiento reactivo.

Antes y después de la implementación de la resiliencia

Esta tabla compara los indicadores clave de rendimiento antes y después de implementar marcos de resiliencia operativa. (Ten en cuenta que los resultados de «Después de la implementación» son métricas del sector y no reflejan los resultados específicos de los clientes de Commvault.)

El enfoque de Commvault respecto a la resiliencia operativa se centra en automatizar las capacidades fundamentales que requieren los marcos de resiliencia. La arquitectura unificada de la plataforma ayuda a reducir la complejidad que supone gestionar por separado las herramientas de copia de seguridad, Recovery, seguridad y cumplimiento normativo.

Una recuperación rápida y limpia constituye la base de la estrategia de resiliencia de Commvault. Las capacidades de Commvault Cleanroom de la plataforma ayudan a hacer frente al hecho de que las restauraciones tradicionales pueden reintroducir elementos comprometidos. Los procesos de validación automatizados están diseñados para verificar la integridad de los datos antes de la restauración en producción, lo que contribuye a reducir tanto el tiempo de recuperación como el riesgo.

Las soluciones de Commvault ayudan a cumplir los requisitos normativos de tiempo de inactividad prácticamente nulo y protección integral frente a las ciberamenazas. Las capacidades de copia de seguridad inmutable de la plataforma ayudan a prevenir la manipulación o la eliminación de datos, mientras que la protección de aislamiento físico (air-gap) proporciona un aislamiento adicional frente a los ataques. Estas características contribuyen a garantizar el cumplimiento de los requisitos de tolerancia al impacto en todas las jurisdicciones.

Hoja de ruta de implementación de Commvault para la resiliencia operativa

La siguiente tabla detalla las fases clave para integrar las soluciones de Commvault en un marco de resiliencia operativa.

Los responsables de TI que aprovechan Commvault para sus estrategias de resiliencia pueden beneficiarse de la capacidad de la plataforma para unificar funciones que antes estaban dispersas. En lugar de gestionar múltiples herramientas de copia de seguridad, recuperación, seguridad y cumplimiento normativo, las organizaciones disponen de una única plataforma que les ayuda a obtener resultados medibles en materia de resiliencia. Esta consolidación contribuye a reducir la complejidad, al tiempo que mejora la visibilidad de las capacidades reales de recuperación frente a los planes teóricos.

El cambio hacia la resiliencia operativa representa algo más que el cumplimiento normativo; define cómo las organizaciones protegen sus servicios más críticos en un entorno en el que las interrupciones son inevitables. Las organizaciones que implementan capacidades de ResOps se posicionan para ayudar a cumplir tanto los requisitos normativos actuales como las futuras exigencias empresariales.