Medición, elaboración de informes y mejora de la resiliencia operativa

La resiliencia operativa se ha convertido en el factor determinante que distingue a las organizaciones que prosperan de aquellas que simplemente sobreviven a las interrupciones. Dado que el 78 % de las organizaciones afirma haber sido víctima de un ataque de ransomware en el último año, la capacidad de mantener los servicios empresariales críticos durante y después de los incidentes marca la diferencia en la ventaja competitiva.

Las empresas modernas se enfrentan a un triple reto: ciberamenazas sofisticadas, requisitos normativos estrictos y la complejidad de las infraestructuras distribuidas. La mediana global de 11 días entre el momento en que se produce la intrusión inicial y su detección demuestra que los enfoques de seguridad tradicionales por sí solos pueden no ser suficientes para proteger plenamente la continuidad del negocio.

Desarrollar una verdadera resiliencia suele implicar algo más que planes de respaldo y procedimientos de Recovery ante desastres. Exige un enfoque sistemático para medir, informar y mejorar continuamente la capacidad de su organización para absorber las interrupciones y recuperarse de ellas, al tiempo que se mantiene la prestación de servicios dentro de unos límites aceptables.

La resiliencia operativa representa la capacidad de su organización para prevenir, adaptarse, responder y recuperarse ante interrupciones, al tiempo que sigue prestando servicios empresariales críticos. A diferencia de la planificación tradicional de la continuidad del negocio, que se centra en escenarios específicos, la resiliencia operativa adopta una visión holística de todo su ecosistema, incluyendo la tecnología, los procesos, las personas y las dependencias de terceros.

Los cinco pilares de la resiliencia operativa proporcionan un marco estratégico para desarrollar un enfoque integral de protección:

1. Taxonomía de servicios y umbrales de tolerancia: Identificar los servicios empresariales críticos (CBS) y establecer umbrales de tolerancia al impacto.
2. Mapeo de dependencias: comprender todos los componentes, incluidos los proveedores externos.
3. Pruebas de escenarios: ejercicios periódicos para validar las capacidades de Recovery.
4. Respuesta y recuperación: planes contrastados mediante pruebas que garanticen el cumplimiento de los límites de tolerancia.
5. Gobernanza y mejora continua: supervisión por parte del consejo de administración, autoevaluación y medidas correctoras financiadas.

La continuidad del negocio suele centrarse en la recuperación tras incidentes específicos, mientras que la resiliencia operativa puede abordar el reto más amplio de mantener los servicios ante diversos tipos de interrupciones. Este cambio refleja las expectativas normativas: por ejemplo, en el Reino Unido, la Autoridad de Conducta Financiera (FCA) comenzó a exigir a las empresas que demuestren que pueden mantenerse dentro de los límites de tolerancia de impacto en 2025.

Esta tabla ofrece una hoja de ruta estructurada para la implementación de cada pilar, con hitos y criterios de validación claros.

Comprender la distinción entre métricas e indicadores clave de rendimiento (KPI) es fundamental para una gestión eficaz de la resiliencia. Las métricas representan datos brutos que miden aspectos específicos de sus operaciones, mientras que los KPI son indicadores de rendimiento seleccionados que se vinculan directamente con los objetivos estratégicos de resiliencia y los requisitos normativos.

Métricas clave de resiliencia que hay que supervisar

Las siguientes métricas constituyen la base de la medición cuantitativa de la resiliencia y contribuyen a facilitar la toma de decisiones basada en datos:

• Tiempo de detección (TTD): mide la rapidez con la que sus sistemas identifican anomalías o incidentes de seguridad. Con un tiempo medio de permanencia de 11 días a nivel mundial, las organizaciones que reducen el TTD limitan significativamente los daños potenciales y la complejidad de Recovery.
• Tiempo medio de recuperación limpia (MTCR): representa el tiempo real necesario para restaurar los servicios a un estado limpio y verificado, lo que ayuda a confirmar que están libres de malware conocido o de corrupción. Esta métrica va más allá de la simple restauración; valida que los sistemas recuperados son fiables. Las organizaciones señalan que, sin embargo, la recuperación limpia suele llevar más tiempo.
• Tasa de éxito de la recuperación: realiza un seguimiento del porcentaje de pruebas de recuperación que cumplen los objetivos de tolerancia al impacto definidos. Dado que solo el 13 % de las organizaciones recupera íntegramente sus datos tras un ataque de ransomware, esta métrica pone de relieve la brecha entre los intentos de recuperación y los resultados satisfactorios.
• Análisis de desviaciones/brechas: cuantifica en qué medida el estado actual del CBS se desvía de los niveles de resiliencia deseados. Esto incluye brechas en la cobertura de los controles, como servicios que carecen de copias de seguridad inmutables o manuales de procedimientos probados.

Los miembros del consejo de administración y los organismos reguladores se centran principalmente en una cuestión fundamental: ¿puede la organización mantener los servicios dentro de los límites de tolerancia al impacto definidos durante las interrupciones? Este enfoque específico determina la estructura y el contenido de unos informes eficaces sobre resiliencia operativa.

Los informes sobre la tolerancia al impacto deben demostrar claramente la capacidad de la organización para mantener los servicios críticos para el negocio (CBS). Un informe eficaz sobre resiliencia operativa contiene tres secciones esenciales que ofrecen una visión completa del estado de Readiness de la organización:

1. Resumen del estado de los CBS: esta sección ofrece una representación visual clara de la situación actual de cada servicio crítico en relación con su umbral de tolerancia. Utilice indicadores tipo semáforo (rojo/ámbar/verde) para mostrar si los servicios operan dentro de los límites de tolerancia, se acercan a ellos o superan los límites aceptables.
2. Pruebas que avalan la fiabilidad: documente la evidencia de que todos los planes de recuperación se someten a una validación periódica mediante pruebas automatizadas. Incluya métricas como las tasas de éxito de Commvault Cleanroom, la frecuencia de las pruebas y los tiempos de recuperación alcanzados. Esta evidencia demuestra no solo la capacidad teórica, sino también un rendimiento contrastado.
3. Hoja de ruta de corrección: Presente un resumen priorizado de los riesgos identificados y los recursos necesarios para subsanar las deficiencias de resiliencia. Céntrese en las mejoras de gran impacto que afectan directamente al cumplimiento de los umbrales de tolerancia del CBS, con plazos claros y asignación de responsabilidades.

ResOps transforma los datos fragmentados en información unificada que impulsa mejoras cuantificables en la resiliencia de la organización. Al romper los silos tradicionales entre los equipos de seguridad, operaciones de TI y continuidad del negocio, ResOps ofrece una visión global del estado de la resiliencia.

Fuente de datos unificada

ResOps consolida las métricas de sistemas dispares en una única fuente de información fiable. Esta integración aborda el reto que, según el 77 % de las organizaciones, supone la falta de integración de herramientas, lo que dificulta la detección de amenazas. Al extraer datos de sistemas de copia de seguridad, gestión de identidades, herramientas de seguridad y plataformas de coordinación de la recuperación, ResOps proporciona una visibilidad completa del estado de Readiness en materia de resiliencia.

Garantía automatizada

Las pruebas automatizadas continuas a través de capacidades como Commvault Cleanroom proporcionan datos MTCR verificados que resisten el escrutinio normativo. Esta automatización transforma las pruebas de ejercicios periódicos en una validación continua, y algunas organizaciones ya pueden realizar pruebas de recuperación mensualmente si así lo desean.

La automatización también simplifica los datos técnicos complejos y los convierte en información útil para los directivos. En lugar de presentar registros de Recovery sin procesar, las plataformas ResOps generan informes claros que muestran si cada CBS puede recuperarse dentro de su tolerancia definida, respaldados por pruebas con marca de tiempo procedentes de pruebas reales.

Estrategias para la elaboración de informes sobre resiliencia

La elaboración de informes de resiliencia eficaces requiere adaptar el contenido y la presentación a cada público, manteniendo al mismo tiempo la coherencia en los datos subyacentes. Los paneles de control para directivos deben equilibrar una cobertura exhaustiva con la claridad, proporcionando información útil sin abrumar con detalles excesivos.

Las distintas partes interesadas necesitan perspectivas diferentes sobre los datos de resiliencia. Los altos directivos necesitan análisis de tendencias y resúmenes de exposición al riesgo; los auditores requieren pruebas detalladas y mapas de cumplimiento; las unidades de negocio quieren conocer las capacidades de recuperación específicas de cada servicio y sus dependencias.

Una comunicación coherente fomenta la responsabilidad en toda la organización. Los ciclos de información periódicos, las métricas estandarizadas y la asignación clara de responsabilidades crean una cultura en la que la resiliencia se convierte en responsabilidad de todos, y no solo del departamento de TI.

Estructura del panel de control ejecutivo

El siguiente esquema describe los componentes esenciales de un panel de control ejecutivo completo con frecuencias de actualización adecuadas:

Desarrollar la resiliencia requiere enfoques sistemáticos que combinen una planificación proactiva, una validación periódica y una mejora continua basada en las lecciones aprendidas en la práctica.

Los ejercicios de simulación siguen siendo fundamentales para poner a prueba los procedimientos de respuesta sin interrumpir las operaciones. Estas simulaciones deben reflejar la información actual sobre amenazas, con escenarios basados en incidentes reales que hayan afectado a organizaciones similares. Es importante incluir a terceros en los ejercicios, ya que dos tercios de las interrupciones del servicio de las que se informa públicamente se deben a fallos de proveedores externos.

Las revisiones posteriores a los incidentes transforman los fallos en oportunidades de aprendizaje. Las organizaciones deben ir más allá de la búsqueda de culpables para comprender los problemas sistémicos; el 85 % de las interrupciones graves debidas a errores humanos se deben a que el personal no sigue los procedimientos o a fallos en los procesos.

Guía de implementación para la mejora de la resiliencia

Esta guía de implementación ofrece un enfoque estructurado para desarrollar y mantener capacidades de resiliencia con una responsabilidad clara y criterios de éxito definidos.

Una empresa de logística global con presencia en más de 200 ubicaciones descubrió que la resiliencia operativa no es algo teórico cuando el ransomware cifró sus datos de producción y su infraestructura de copias de seguridad. El ataque dejó los camiones parados y a los clientes a la espera, pero las decisiones estratégicas tomadas meses antes permitieron una recuperación al menos dos semanas más rápida de lo que habría sido posible de otro modo.

El ingeniero de sistemas sénior de la empresa reflexiona sobre la experiencia: «Hay que contar con que se produzca una brecha de seguridad. No es cuestión de “si”, sino de “cuándo”».

El reto: la protección fragmentada se enfrenta a un ataque real

Las frecuentes adquisiciones habían obligado al equipo de TI a gestionar múltiples soluciones de protección de datos en toda su infraestructura de nube híbrida, que incluía Microsoft 365, SQL, Oracle, Sybase, OneDrive, SharePoint, Active Directory, servidores de archivos y máquinas virtuales. La empresa había comenzado a consolidarse a nivel mundial con Commvault Cloud, una solución que ayuda a simplificar la gestión y Recovery.

Cuando se produjo el ataque de ransomware, este cifró todos los datos de producción y dejó fuera de servicio CommServe y MediaAgents. Los atacantes habían comprometido tanto los sistemas principales como las copias de seguridad. Sin embargo, una decisión clave resultó vital: la empresa había almacenado una copia de seguridad para la recuperación ante desastres de su CommServe en Commvault Cloud, separada de su infraestructura local, lo que contribuyó a respaldar el esfuerzo de recuperación.

La respuesta: Recovery de los sistemas críticos en 72 horas

El equipo de TI se puso inmediatamente en contacto con el servicio de asistencia de Commvault y con el equipo de Servicios de Respuesta a Incidentes, disponible las 24 horas del día, los 7 días de la semana. En primer lugar, el servicio de asistencia restauró la base de datos de CommServe desde la nube, lo que permitió al equipo reconstruir su servidor local y los tres MediaAgents. A continuación, el equipo de Respuesta a Incidentes tomó el relevo, trabajando con una lista de aplicaciones clasificadas según su impacto en el negocio.

«Contamos con un equipo de ingenieros de Commvault que apoyó a nuestro equipo día y noche en la recuperación de nuestros sistemas», afirmó el ingeniero de sistemas sénior. «Tuvieron en cuenta nuestras prioridades y nos asesoraron sobre las mejores prácticas para restaurar los sistemas lo más rápidamente posible. Fue una auténtica colaboración».

Los sistemas más críticos volvieron a estar operativos en un plazo de 72 horas desde la intervención del equipo de Respuesta a Incidentes. El resto de los sistemas de producción se recuperaron en el plazo de una semana, lo que permitió reanudar las entregas y contribuyó a minimizar las molestias para los clientes minoristas y los clientes finales.

El impacto: valor cuantificado de Recovery

El director de Infraestructura y Operaciones de TI estima que, sin la intervención de Commvault, el tiempo de inactividad se habría prolongado al menos dos semanas. La empresa evitó tener que pagar el rescate del ransomware y mantuvo sus operaciones, protegiendo tanto los ingresos como las relaciones con los clientes.

Este incidente real corrobora las métricas de resiliencia mencionadas anteriormente. El MTCR de la empresa para los sistemas críticos se situó en 72 horas, un resultado significativamente mejor que el habitual en los ataques de ransomware.

Lecciones aplicadas: refuerzo de la resiliencia futura

Tras el incidente, la empresa implementó varias mejoras basadas en las lecciones aprendidas. Documentó un plan de Recovery exhaustivo, amplió las copias de seguridad a la nube y a diversos soportes, y verificó la finalización de las copias de seguridad mediante pruebas exhaustivas.

Desde entonces, la empresa de logística ha estandarizado el uso de Commvault a nivel mundial, incorporando Commvault Grid para obtener Backup and Recovery de alto rendimiento, una protección mejorada contra el ransomware y una mayor escalabilidad. También incorporó los Servicios de Gestión Remota para la supervisión 24/7, la resolución de incidencias y el análisis anual del estado y la seguridad.

«Commvault Cloud es ahora nuestra solución de ciberresiliencia a nivel mundial», afirmó el director de Infraestructura y Operaciones de TI. «Cuando se produjo la brecha de seguridad, Commvault salió airosa y se ganó mi confianza. Son un verdadero socio, no un simple proveedor».

La plataforma de protección de datos de Commvault ayuda a abordar los retos de medición, generación de informes y mejora a los que se enfrentan las organizaciones a la hora de desarrollar la resiliencia operativa. La arquitectura unificada de la plataforma puede ayudar a reducir la fragmentación que dificulta los esfuerzos de resiliencia, lo que contribuye a proporcionar visibilidad y control en entornos híbridos.

Las funciones de copia de seguridad automatizadas ayudan a reducir los errores humanos, al tiempo que mantienen la coherencia en infraestructuras diversas. Gracias a las funciones integradas de validación y pruebas, las organizaciones adquieren la confianza de que la Recovery se llevará a cabo con éxito cuando sea necesario. La capacidad de la plataforma para automatizar entre 50 y más de 100 pasos en recuperaciones complejas, como la restauración de un bosque de Active Directory, ayuda a transformar procesos manuales de varios días en recuperaciones coordinadas que duran unas pocas horas.

Las características de portabilidad en la nube permiten a las organizaciones mantener la resiliencia en entornos de infraestructura cambiantes. Ya sea para proteger aplicaciones SaaS, cargas de trabajo nativas de la nube o sistemas tradicionales locales, Commvault está diseñado para proporcionar capacidades consistentes de protección y Recovery que se adaptan a las necesidades empresariales.

Cuadro de mando de rendimiento de Commvault

Este cuadro de mando describe los objetivos clave de rendimiento y los métodos de validación de las capacidades fundamentales de resiliencia de Commvault.

La medición y la elaboración de informes sobre la resiliencia operativa transforman conceptos abstractos en información útil que los consejos de administración, los organismos reguladores y los equipos operativos pueden utilizar para tomar decisiones fundamentadas. Las organizaciones que prosperan ante las perturbaciones son aquellas que tratan la resiliencia como una disciplina continua, no como un proyecto puntual.