Resiliencia operativa: marcos y mejores prácticas

La resiliencia operativa se ha convertido en una prioridad a nivel directivo, ya que las organizaciones se enfrentan a amenazas cibernéticas sin precedentes y a un escrutinio regulatorio cada vez mayor. Los166 material cyber incidents reported to the United Kingdom’s Financial Conduct Authority in 2024, de los cuales89 se atribuyeron a ciberataques, ilustran la magnitud del reto al que se enfrentan las empresas modernas.

El impacto financiero de los fallos operativos sigue aumentando: las organizaciones se enfrentan ahora a interrupciones de gran repercusión. Esta realidad impulsa el cambio de una Recovery reactiva a estrategias de resiliencia proactivas que mantengan la prestación de servicios durante las interrupciones.

Las exigencias normativas en todas las jurisdicciones obligan ahora a las organizaciones a demostrar su capacidad para garantizar la prestación continua de servicios. Con la entrada en vigor de laLey de Resiliencia Operativa Digitaly marcos normativos similares en todo el mundo, la resiliencia operativa ha pasado de ser una «buena práctica» a convertirse en un requisito normativo.

La resiliencia operativa representa la capacidad de prestar servicios críticos ante interrupciones, manteniendo las operaciones dentro de unos niveles de tolerancia predefinidos incluso durante incidentes graves. A diferencia de los enfoques de Recovery tradicionales, que se centran en la restauración tras un fallo, la resiliencia operativa hace hincapié en la prestación continua de servicios durante las interrupciones y a pesar de ellas.

Este cambio fundamental refleja las expectativas normativas en las principales jurisdicciones: las organizaciones deben identificar sus servicios críticos, comprender las dependencias, establecer tolerancias cuantificables y demostrar su capacidad para operar dentro de esos límites.

El enfoque estructurado de la resiliencia operativa aborda tantolas amenazas cibernéticascomo los requisitos normativos a través de marcos integrados. Los marcos de resiliencia empresarial proporcionan la estructura general para la preparación de la organización, mientras que los marcos de gestión de riesgos operativos abordan específicamente la identificación, evaluación y mitigación de los riesgos que podrían interrumpir los servicios críticos.

Estos marcos convergen en torno a principios comunes: un enfoque centrado en los servicios, tolerancias cuantificables y una validación continua mediante pruebas.

Operational Resilience Framework Pillars

Esta tabla resume los pilares fundamentales que constituyen la base de los marcos de resiliencia operativa en las distintas jurisdicciones reguladoras.

La distinción entre resiliencia operativa y continuidad del negocio cambia de forma fundamental la forma en que las organizaciones abordan la protección de los servicios. La continuidad del negocio se centra tradicionalmente en la recuperación de los procesos internos tras fallos concretos, mientras que la resiliencia operativa da prioridad al mantenimiento de los servicios orientados al cliente ante las interrupciones.

Este cambio de un enfoque centrado en la entidad a uno centrado en el servicio refleja la realidad de queaproximadamente dos tercios de las interrupciones de servicio notificadas públicamenteafectan a proveedores externos de TI o de centros de datos.

Comparison: Resiliencia operativa frente a continuidad del negocio

La comparación que figura a continuación aclara las diferencias fundamentales entre estas disciplinas complementarias, pero distintas.

Desarrollar la resiliencia operativa requiere un enfoque sistemático que se ajuste a las directrices normativas de las distintas jurisdicciones. Los componentes del marco que se indican a continuación representan el consenso entre las expectativas normativas del Reino Unido, la UE (DORA), el Gobierno federal de EE. UU. y Australia:

1. Identify CBS: Organizations must determine which services would cause intolerable harm to customers or markets if disrupted. This identification process goes beyond traditional IT criticality assessments; it requires understanding customer dependencies, market impacts, and regulatory obligations. Financial services firms particularly focus on payment processing, account access, and trading capabilities as typical critical services.
2. Map dependencies: Comprehensive end-to-end mapping reveals all resources required to deliver each critical service. This includes technology systems, personnel, facilities, data flows, and crucially, third-party providers. The mapping exercise often uncovers hidden dependencies: shared infrastructure, concentration risks, and single points of failure that traditional risk assessments miss.
3. Set impact tolerances: Organizations must define maximum acceptable disruption levels for each critical service. These tolerances typically include time-based measures (how long can the service be degraded) and volume-based measures (what reduction in capacity is acceptable).La norma australiana CPS 230 exige específicamente la notificación en un plazo de 24 horassi una interrupción supera los niveles de tolerancia definidos.
4. Test and validate: Severe-but-plausible scenario testing validates whether organizations can maintain services within tolerance levels. Testing must include cyberattack scenarios, given that according to recent data. Regular testing cycles replace annual desktop exercises with continuous validation.
5. Learn and adapt: Creating feedback loops transforms testing results into actionable improvements. Organizations must demonstrate how they incorporate lessons learned, remediate identified vulnerabilities, and update their frameworks based on emerging threats and regulatory changes.

The following best practices address the most critical gaps organizations face when implementing operational resilience frameworks:

Clean recovery is foundational: The entire resilience framework depends on the ability to recover quickly without reintroducing compromised elements. Traditional backup approaches fail when ransomware encrypts or corrupts recovery data.

• Best practice: Implementaislado (air-gapped), immutable backups with rapidSala limpia de Commvaultcapabilities. Immutable storage prevents alteration or deletion of backup data, while cleanroom environments allow validation of recovered systems before production restoration. This approach addresses the by providing known-good recovery points.

Continuous visibility and testing: Annual exercises no longer meet regulatory expectations or operational needs. Organizations require real-time visibility into their resilience posture and automated testing capabilities.

• Best practice: Automate recovery testing and leverage AI/machine learning forla detección de anomalías. Automated testing helps validate recovery capabilities without manual intervention, while AI-enabled detection helps identify threats before they escalate into disruptions. Organizations with .

La resiliencia operativa aborda directamente la intersección entre la gestión del riesgo operativo yla continuidad del servicio. Este hecho explica por qué la resiliencia se ha convertido en una preocupación a nivel de consejo de administración. Más allá de las repercusiones financieras, los fallos operativos merman la confianza de los clientes y desencadenan el escrutinio de las autoridades reguladoras.

La alineación con normas como las directricesdel Comité de Basileaofrece un enfoque estructurado para la mitigación de riesgos. Los principios de Basilea hacen hincapié en la gobernanza, la gestión del riesgo operativo y la planificación de la continuidad del negocio como elementos interrelacionados de la resiliencia. Las organizaciones deben ir más allá de las listas de verificación de cumplimiento para demostrar una capacidad real de mantener los servicios críticos.

Jurisdiction-Specific Regulatory Requirements

La tabla siguiente detalla los requisitos normativos específicos y los plazos de implementación en las principales jurisdicciones.

Distinguishing Operational Resilience Concepts

La resiliencia operativa abarca, pero va más allá, de las disciplinas tradicionales de continuidad y recuperación. Mientras que la recuperación ante desastres se centra en la restauración técnica de los sistemas y la continuidad del negocio aborda la recuperación de los procesos, la resiliencia operativa mantiene la prestación de servicios durante las interrupciones. Esta distinción es importante porqueel 40 % de las organizaciones han sufrido interrupciones graves causadas por errores humanosen los últimos tres años; la recuperación técnica por sí sola no puede abordar estos problemas sistémicos.

El riesgo operativo representa las pérdidas potenciales derivadas de procesos inadecuados o fallidos, mientras que la resiliencia operativa proporciona el marco para seguir operando a pesar de esos fallos. La relación es complementaria:la gestión de riesgos identificaposibles interrupciones, mientras que la planificación de la resiliencia define cómo mantener los servicios cuando se producen dichas interrupciones.

Esta tabla ofrece una guía paso a paso para integrar las capacidades de respuesta ante incidentes en una estrategia de resiliencia operativa.

ResOpsrepresenta el cambio de una resiliencia basada en la planificación a una práctica operativa continua.ResOpses la práctica continua y coordinada que automatiza la integración de la protección de datos, la ciberseguridad y la recuperación ante desastres para cumplir con los niveles de tolerancia al impacto definidos. Este modelo operativo transforma la resiliencia, pasando de ser ejercicios periódicos a capacidades medibles en tiempo real.

En las siguientes secciones se detalla cómo ResOps pone en práctica cada componente del marco de resiliencia operativa:

Mapping & tolerance: Las tecnologías de ResOpsasignan automáticamente los activos de TI a los sistemas, servicios y procesos (CBS) y automatizan la medición en función de los umbrales de impacto definidos. Esta asignación continua sustituye la documentación estática por una comprensión dinámica de las dependencias de los servicios. La supervisión de la tolerancia en tiempo real proporciona visibilidad inmediata cuando los servicios se acercan a los umbrales definidos.

Detection & response: Immediate, unified response to threats becomes possible through AI-powered anomaly detection and automated recovery plans. The as an attack vector demands automated response capabilities that operate faster than manual intervention allows.

Testing & learning: ResOps transforms testing from annual events to continuous processes. Automated cleanroom testing validates recovery capabilities without production impact, while continuous monitoring provides measurable assurance of resilience posture. This approach addresses the reconocimiento de la resiliencia como una función independiente, algo que ya ha alcanzado el 45,5 %de las organizaciones.

The Commvault advantage:Commvault Cloudproporciona la plataforma unificada que ayuda a hacer posible una verdadera implementación de ResOps. Al integrar capacidades de copia de seguridad, Recovery, seguridad y cumplimiento normativo, Commvault ayuda a transformar la resiliencia de un ejercicio de planificación en operaciones continuas y cuantificables que contribuyen a cumplir los requisitos normativos y las necesidades empresariales.

DORA exemplifies the global regulatory shift toward mandatory resilience requirements. DORA’s comprehensive approach covers ICT risk management, incident reporting, resilience testing, and third-party risk management. The incident reporting timelines under DORA require una notificación inicial en un plazo de 4 horas tras la clasificación y, a más tardar, 24 horas desde que se tiene conocimiento del incidente.

Los bancos centrales de todo el mundo han publicado directrices similares, reconociendo que la estabilidad del sistema financiero depende de la resiliencia de cada institución. Estas normativas comparten elementos comunes: enfoques centrados en los servicios, tolerancias cuantificables, pruebas continuas y responsabilidad a nivel del consejo de administración. La convergencia de las expectativas normativas crea un estándar global de facto para la resiliencia operativa en los servicios financieros.

Una planificación proactiva de la resiliencia ofrece ventajas cuantificables que van más allá del simple cumplimiento normativo. La capacidad de mantener los servicios dentro de los límites de tolerancia definidos ayuda a prevenir fallos en cadena que amplifican las interrupciones iniciales.

El refuerzo de la posición en materia de cumplimiento normativo adquiere cada vez más valor a medida que cambian las normativas. Las organizaciones que desarrollan auténticas capacidades de resiliencia se adaptan más fácilmente a los nuevos requisitos, evitando las costosas adaptaciones que exige un cumplimiento reactivo.

Before and After Resilience Implementation

Esta tabla compara los indicadores clave de rendimiento antes y después de implementar marcos de resiliencia operativa. (Ten en cuenta que los resultados de «Después de la implementación» son métricas del sector y no reflejan los resultados específicos de los clientes de Commvault.)

Commvault’s approach to operational resilience centers on automating the foundational capabilities that resilience frameworks require. The platform’s unified architecture helps reduce the complexity of managing separate backup, recovery, security, and compliance tools.

Fast, clean recovery forms the foundation of Commvault’s resilience strategy. The platform’s Sala limpia de Commvaultcapabilities help address the reality that traditional restores may reintroduce compromised elements. Automated validation processes are designed to verify data integrity before production restoration, helping reduce both recovery time and risk.

Commvault’s solutions help address regulatory requirements for near-zero downtime and comprehensive cyber threat protection. The platform’s immutable backup capabilities help prevent tampering or deletion, while air-gap protection provides additional isolation from attacks. These features help support compliance with impact tolerance requirements across jurisdictions.

Commvault Implementation Roadmap for Operational Resilience

The following table maps out the key phases for integrating Commvault solutions into an operational resilience framework.

IT leaders leveraging Commvault for resilience strategies can benefit from the platform’s ability to unify previously disparate capabilities. Rather than managing multiple tools for backup, recovery, security, and compliance, organizations gain a single platform that helps deliver measurable resilience outcomes. This consolidation helps reduce complexity while improving visibility into actual recovery capabilities vs. theoretical plans.

The shift to operational resilience represents more than regulatory compliance; it defines how organizations protect their most critical services in an environment where disruptions are inevitable. Organizations that implement ResOps capabilities position themselves to help meet both current regulatory requirements and future business demands.