Resiliencia operativa: marcos y mejores prácticas

La resiliencia operativa se ha convertido en una prioridad a nivel directivo, ya que las organizaciones se enfrentan a amenazas cibernéticas sin precedentes y a un escrutinio regulatorio cada vez mayor. Los166 incidentes cibernéticos graves notificados a la Autoridad de Conducta Financiera del Reino Unido en 2024, de los cuales89 se atribuyeron a ciberataques, ilustran la magnitud del reto al que se enfrentan las empresas modernas.

El impacto financiero de los fallos operativos sigue aumentando: las organizaciones se enfrentan ahora a interrupciones de gran repercusión. Esta realidad impulsa el cambio de una Recovery reactiva a estrategias de resiliencia proactivas que mantengan la prestación de servicios durante las interrupciones.

Las exigencias normativas en todas las jurisdicciones obligan ahora a las organizaciones a demostrar su capacidad para garantizar la prestación continua de servicios. Con la entrada en vigor de laLey de Resiliencia Operativa Digitaly marcos normativos similares en todo el mundo, la resiliencia operativa ha pasado de ser una «buena práctica» a convertirse en un requisito normativo.

La resiliencia operativa representa la capacidad de prestar servicios críticos ante interrupciones, manteniendo las operaciones dentro de unos niveles de tolerancia predefinidos incluso durante incidentes graves. A diferencia de los enfoques de Recovery tradicionales, que se centran en la restauración tras un fallo, la resiliencia operativa hace hincapié en la prestación continua de servicios durante las interrupciones y a pesar de ellas.

Este cambio fundamental refleja las expectativas normativas en las principales jurisdicciones: las organizaciones deben identificar sus servicios críticos, comprender las dependencias, establecer tolerancias cuantificables y demostrar su capacidad para operar dentro de esos límites.

El enfoque estructurado de la resiliencia operativa aborda tantolas amenazas cibernéticascomo los requisitos normativos a través de marcos integrados. Los marcos de resiliencia empresarial proporcionan la estructura general para la preparación de la organización, mientras que los marcos de gestión de riesgos operativos abordan específicamente la identificación, evaluación y mitigación de los riesgos que podrían interrumpir los servicios críticos.

Estos marcos convergen en torno a principios comunes: un enfoque centrado en los servicios, tolerancias cuantificables y una validación continua mediante pruebas.

Pilares del marco de resiliencia operativa

Esta tabla resume los pilares fundamentales que constituyen la base de los marcos de resiliencia operativa en las distintas jurisdicciones reguladoras.

La distinción entre resiliencia operativa y continuidad del negocio cambia de forma fundamental la forma en que las organizaciones abordan la protección de los servicios. La continuidad del negocio se centra tradicionalmente en la recuperación de los procesos internos tras fallos concretos, mientras que la resiliencia operativa da prioridad al mantenimiento de los servicios orientados al cliente ante las interrupciones.

Este cambio de un enfoque centrado en la entidad a uno centrado en el servicio refleja la realidad de queaproximadamente dos tercios de las interrupciones de servicio notificadas públicamenteafectan a proveedores externos de TI o de centros de datos.

Comparación: resiliencia operativa frente a continuidad del negocio

La comparación que figura a continuación aclara las diferencias fundamentales entre estas disciplinas complementarias, pero distintas.

Desarrollar la resiliencia operativa requiere un enfoque sistemático que se ajuste a las directrices normativas de las distintas jurisdicciones. Los componentes del marco que se indican a continuación representan el consenso entre las expectativas normativas del Reino Unido, la UE (DORA), el Gobierno federal de EE. UU. y Australia:

1. Identificar los servicios críticos para el negocio (CBS): Las organizaciones deben determinar qué servicios causarían un perjuicio intolerable a los clientes o a los mercados en caso de interrupción. Este proceso de identificación va más allá de las evaluaciones tradicionales de criticidad de las TI; requiere comprender las dependencias de los clientes, las repercusiones en el mercado y las obligaciones normativas. Las entidades de servicios financieros se centran especialmente en el procesamiento de pagos, el acceso a las cuentas y las capacidades de negociación como servicios críticos típicos.
2. Dependencias del mapa: un mapeo exhaustivo de principio a fin revela todos los recursos necesarios para prestar cada servicio crítico. Esto incluye los sistemas tecnológicos, el personal, las instalaciones, los flujos de datos y, lo que es más importante, los proveedores externos. El ejercicio de mapeo suele sacar a la luz dependencias ocultas: infraestructura compartida, riesgos de concentración y puntos únicos de fallo que las evaluaciones de riesgo tradicionales pasan por alto.
3. Establecer tolerancias de impacto: Las organizaciones deben definir los niveles máximos aceptables de interrupción para cada servicio crítico. Estas tolerancias suelen incluir medidas basadas en el tiempo (cuánto tiempo puede permanecer degradado el servicio) y medidas basadas en el volumen (qué reducción de la capacidad es aceptable).La norma australiana CPS 230 exige específicamente la notificación en un plazo de 24 horassi una interrupción supera los niveles de tolerancia definidos.
4. Pruebas y validación: Las pruebas basadas en escenarios graves, pero plausibles, permiten comprobar si las organizaciones pueden mantener los servicios dentro de los niveles de tolerancia. Las pruebas deben incluir escenarios de ciberataques, dado que, según datos recientes, los ciclos de pruebas periódicos sustituyen a los ejercicios anuales de simulación por una validación continua.
5. Aprender y adaptarse: la creación de ciclos de retroalimentación permite convertir los resultados de las pruebas en mejoras aplicables. Las organizaciones deben demostrar cómo incorporan las lecciones aprendidas, subsanan las vulnerabilidades detectadas y actualizan sus marcos de trabajo en función de las nuevas amenazas y los cambios normativos.

Las siguientes prácticas recomendadas abordan las carencias más importantes a las que se enfrentan las organizaciones a la hora de implementar marcos de resiliencia operativa:

Una recuperación limpia es fundamental: todo el marco de resiliencia depende de la capacidad de recuperarse rápidamente sin reintroducir elementos comprometidos. Los métodos tradicionales de copia de seguridad fallan cuando el ransomware cifra o corrompe los datos de recuperación.

• Buena práctica: Implementaraislado (air-gapped), copias de seguridad inmutables con rápidaSala limpia de CommvaultCapacidades. El almacenamiento inmutable impide la alteración o eliminación de los datos de copia de seguridad, mientras que los entornos de sala limpia permiten validar los sistemas recuperados antes de su restablecimiento en producción. Este enfoque resuelve el problema al proporcionar puntos de Recovery de fiabilidad contrastada.

Visibilidad y pruebas continuas: Los ejercicios anuales ya no satisfacen las expectativas normativas ni las necesidades operativas. Las organizaciones necesitan una visibilidad en tiempo real de su nivel de resiliencia y capacidades de pruebas automatizadas.

• Buenas prácticas: Automatizar las pruebas de Recovery y aprovechar la inteligencia artificial y el aprendizaje automático parala detección de anomalías. Las pruebas automatizadas ayudan a validar las capacidades de Recovery sin intervención manual, mientras que la detección basada en la inteligencia artificial ayuda a identificar las amenazas antes de que se conviertan en incidencias. Las organizaciones con .

La resiliencia operativa aborda directamente la intersección entre la gestión del riesgo operativo yla continuidad del servicio. Este hecho explica por qué la resiliencia se ha convertido en una preocupación a nivel de consejo de administración. Más allá de las repercusiones financieras, los fallos operativos merman la confianza de los clientes y desencadenan el escrutinio de las autoridades reguladoras.

La alineación con normas como las directricesdel Comité de Basileaofrece un enfoque estructurado para la mitigación de riesgos. Los principios de Basilea hacen hincapié en la gobernanza, la gestión del riesgo operativo y la planificación de la continuidad del negocio como elementos interrelacionados de la resiliencia. Las organizaciones deben ir más allá de las listas de verificación de cumplimiento para demostrar una capacidad real de mantener los servicios críticos.

Requisitos normativos específicos de cada jurisdicción

La tabla siguiente detalla los requisitos normativos específicos y los plazos de implementación en las principales jurisdicciones.

Conceptos distintivos de la resiliencia operativa

La resiliencia operativa abarca, pero va más allá, de las disciplinas tradicionales de continuidad y recuperación. Mientras que la recuperación ante desastres se centra en la restauración técnica de los sistemas y la continuidad del negocio aborda la recuperación de los procesos, la resiliencia operativa mantiene la prestación de servicios durante las interrupciones. Esta distinción es importante porqueel 40 % de las organizaciones han sufrido interrupciones graves causadas por errores humanosen los últimos tres años; la recuperación técnica por sí sola no puede abordar estos problemas sistémicos.

El riesgo operativo representa las pérdidas potenciales derivadas de procesos inadecuados o fallidos, mientras que la resiliencia operativa proporciona el marco para seguir operando a pesar de esos fallos. La relación es complementaria:la gestión de riesgos identificaposibles interrupciones, mientras que la planificación de la resiliencia define cómo mantener los servicios cuando se producen dichas interrupciones.

Esta tabla ofrece una guía paso a paso para integrar las capacidades de respuesta ante incidentes en una estrategia de resiliencia operativa.

ResOpsrepresenta el cambio de una resiliencia basada en la planificación a una práctica operativa continua.ResOpses la práctica continua y coordinada que automatiza la integración de la protección de datos, la ciberseguridad y la recuperación ante desastres para cumplir con los niveles de tolerancia al impacto definidos. Este modelo operativo transforma la resiliencia, pasando de ser ejercicios periódicos a capacidades medibles en tiempo real.

En las siguientes secciones se detalla cómo ResOps pone en práctica cada componente del marco de resiliencia operativa:

Correspondencias y tolerancia:Las tecnologías de ResOpsasignan automáticamente los activos de TI a los sistemas, servicios y procesos (CBS) y automatizan la medición en función de los umbrales de impacto definidos. Esta asignación continua sustituye la documentación estática por una comprensión dinámica de las dependencias de los servicios. La supervisión de la tolerancia en tiempo real proporciona visibilidad inmediata cuando los servicios se acercan a los umbrales definidos.

Detección y respuesta: La detección de anomalías basada en la inteligencia artificial y los planes de Recovery automatizados permiten dar una respuesta inmediata y unificada ante las amenazas. Este tipo de ataque exige capacidades de respuesta automatizadas que funcionen con mayor rapidez de la que permite la intervención manual.

Pruebas y aprendizaje: ResOps transforma las pruebas, pasando de ser eventos anuales a procesos continuos. Las pruebas automatizadas en sala limpia validan las capacidades de recuperación sin afectar a la producción, mientras que la supervisión continua ofrece una garantía cuantificable del nivel de resiliencia. Este enfoque aborda elreconocimiento de la resiliencia como una función independiente, algo que ya ha alcanzado el 45,5 %de las organizaciones.

La ventaja de Commvault:CommvaultCloudproporciona la plataforma unificada que ayuda a hacer posible una verdadera implementación de ResOps. Al integrar capacidades de copia de seguridad, Recovery, seguridad y cumplimiento normativo, Commvault ayuda a transformar la resiliencia de un ejercicio de planificación en operaciones continuas y cuantificables que contribuyen a cumplir los requisitos normativos y las necesidades empresariales.

DORAejemplifica el cambio normativo global hacia requisitos obligatorios de resiliencia. El enfoque integral de la DORA abarca la gestión de riesgos de las TIC, la notificación de incidentes, las pruebas de resiliencia y la gestión de riesgos de terceros. Los plazos de notificación de incidentes establecidos por la DORA exigenuna notificación inicial en un plazo de 4 horas tras la clasificación y, a más tardar, 24 horas desde que se tiene conocimiento del incidente.

Los bancos centrales de todo el mundo han publicado directrices similares, reconociendo que la estabilidad del sistema financiero depende de la resiliencia de cada institución. Estas normativas comparten elementos comunes: enfoques centrados en los servicios, tolerancias cuantificables, pruebas continuas y responsabilidad a nivel del consejo de administración. La convergencia de las expectativas normativas crea un estándar global de facto para la resiliencia operativa en los servicios financieros.

Una planificación proactiva de la resiliencia ofrece ventajas cuantificables que van más allá del simple cumplimiento normativo. La capacidad de mantener los servicios dentro de los límites de tolerancia definidos ayuda a prevenir fallos en cadena que amplifican las interrupciones iniciales.

El refuerzo de la posición en materia de cumplimiento normativo adquiere cada vez más valor a medida que cambian las normativas. Las organizaciones que desarrollan auténticas capacidades de resiliencia se adaptan más fácilmente a los nuevos requisitos, evitando las costosas adaptaciones que exige un cumplimiento reactivo.

Antes y después de la puesta en marcha del programa «Resilience»

Esta tabla compara los indicadores clave de rendimiento antes y después de implementar marcos de resiliencia operativa. (Ten en cuenta que los resultados de «Después de la implementación» son métricas del sector y no reflejan los resultados específicos de los clientes de Commvault.)

El enfoque de Commvault en materia de resiliencia operativa se centra en la automatización de las capacidades fundamentales que requieren los marcos de resiliencia. La arquitectura unificada de la plataforma contribuye a reducir la complejidad que supone gestionar por separado las herramientas de copia de seguridad, Recovery, seguridad y cumplimiento normativo.

Una recuperación rápida y limpia constituye la base de la estrategia de resiliencia de Commvault. La plataforma…Sala limpia de CommvaultEstas capacidades ayudan a hacer frente al hecho de que las restauraciones tradicionales pueden reintroducir elementos comprometidos. Los procesos de validación automatizados están diseñados para verificar la integridad de los datos antes de la restauración en el entorno de producción, lo que contribuye a reducir tanto el tiempo de Recovery como el riesgo.

Las soluciones de Commvault ayudan a cumplir los requisitos normativos relativos a un tiempo de inactividad prácticamente nulo y a unaprotección contra amenazas cibernéticas. Las capacidades de copia de seguridad inmutable de la plataforma ayudan a evitar la manipulación o la eliminación de datos, mientras que la protección mediante «air gap» proporciona un aislamiento adicional frente a los ataques. Estas características contribuyen a garantizar el cumplimiento de los requisitos de tolerancia al impacto en todas las jurisdicciones.

Hoja de ruta de implementación de Commvault para la resiliencia operativa

La siguiente tabla describe las fases clave para integrar las soluciones de Commvault en un marco de resiliencia operativa.

Los responsables de TI que aprovechan Commvault para sus estrategias de resiliencia pueden beneficiarse de la capacidad de la plataforma para unificar funciones que antes estaban dispersas. En lugar de gestionar múltiples herramientas de copia de seguridad, recuperación, seguridad y cumplimiento normativo, las organizaciones disponen de una única plataforma que les ayuda a obtener resultados medibles en materia de resiliencia. Esta consolidación contribuye a reducir la complejidad, al tiempo que mejora la visibilidad de las capacidades reales de recuperación frente a los planes teóricos.

El cambio hacia la resiliencia operativa va más allá del mero cumplimiento normativo; define cómo las organizaciones protegen sus servicios más críticos en un entorno en el que las interrupciones son inevitables. Las organizaciones que implementan capacidades de ResOps se posicionan para ayudar a cumplir tanto los requisitos normativos actuales como las futuras exigencias empresariales.