¿Sabías que puedes salvar todos tus datos y aun así perder tu empresa?
Parece contradictorio, pero durante años fue así de literal. Todo el concepto de «recuperación ante desastres» (disaster recovery) se pensó...
Read More →
¿Sabías que puedes salvar todos tus datos y aun así perder tu empresa?
Parece contradictorio, pero durante años fue así de literal. Todo el concepto de «recuperación ante desastres» (disaster recovery) se pensó casi únicamente para salvar los ordenadores centrales de una empresa. La lógica era simple: si el mainframe se caía, se restauraba desde una copia de seguridad en otro centro de datos, y listo. El negocio volvía a funcionar. Nadie pensaba mucho más allá de la sala de servidores. Y no es que eso estuviera mal -las copias de seguridad son, y siguen siendo, imprescindibles-; el problema es que nadie se planteaba que pudieran no ser suficientes.
Esa lógica se sostuvo hasta los años 90, cuando varios atentados (IRA) en el centro financiero de Londres pusieron a prueba esa lógica y la dejaron en evidencia. Las empresas afectadas descubrieron algo incómodo: podían tener sus sistemas informáticos perfectamente intactos y, aun así, no tener negocio.
Las empresas no podían operar como de costumbre. No es una anécdota curiosa sin más: fue el punto de partida de todo lo que hoy entendemos por continuidad de negocio.
Si las oficinas quedaban destruidas o inaccesibles y el personal no podía trabajar, de nada servía tener los datos a salvo.
Esa es la idea clave, y es el motivo por el que existe la ISO 22301 tal y como la conocemos hoy: los atentados no crearon la norma directamente, pero sí obligaron a inventar una disciplina nueva.
Una que ya no hablaba solo de «recuperar la informática», sino de «mantener el negocio funcionando», contemplando personas, procesos, proveedores e instalaciones, además de la tecnología.
De la idea a la norma: una evolución rápida
Esa nueva forma de pensar no tardó en formalizarse:
- En 2003, Reino Unido publica PAS 56, una de las primeras guías sobre continuidad de negocio (ya no solo de recuperación de sistemas).
- En 2006-2007, se convierte en la norma británica BS 25999, la primera certificable en esta materia.
- Y, en 2012, BS 25999 se transforma en la norma internacional ISO 22301, la que hoy certifican organizaciones en todo el mundo.
Así pues, una necesidad nacida de la experiencia real pasó a ser un estándar internacional.
Por qué esto te debería importar hoy
Puede parecer historia lejana, pero el problema que resolvió sigue siendo el mismo: muchas empresas todavía confunden «tener copias de seguridad» con «estar preparadas para una crisis». Y los datos muestran lo caro que sale ese error:
- Según FEMA, el 40% de las pequeñas empresas nunca reabren tras un desastre mayor, y otro 25% cierra en el primer año siguiente.
- Diversos estudios coinciden en algo similar: cuanto más tiempo tarda una empresa en recuperar su actividad crítica, mucho mayor es la probabilidad de que acabe cerrando en los meses posteriores.
- Cuando llegó la pandemia, el 51% de las empresas del mundo no tenía ningún plan de continuidad.
- Con la Directiva europea NIS2, la continuidad de negocio ha dejado de ser solo una buena práctica para convertirse en un requisito legal en varios países de la UE, con multas de hasta 10 millones de euros o el 2% de la facturación global para las organizaciones que no cumplan. En España, la ley que la incorpora todavía está en fase final de tramitación.
La lección de fondo
Además de preguntarnos si tenemos los datos a salvo, deberíamos hacernos otra pregunta igual de necesaria, y complementaria a la primera: ¿sabemos, con precisión, cuánto tiempo aguantaría nuestro negocio sin sus procesos críticos, y qué haríamos en ese tiempo?
Si no tienes esa respuesta a mano, es un buen momento para conseguirla. Desde nuestra área de Gobierno, Riesgo y Cumplimiento (GRC) ayudamos a las organizaciones a responder esa pregunta. ¿Quieres saber cómo de preparada está tu organización frente a una interrupción grave? Ponte en contacto con nosotros.
