Lo que no debe detenerse
Las actividades esenciales, los clientes o usuarios afectados, las obligaciones contractuales, las restricciones normativas y los impactos financieros o reputacionales.
Módulo Continuidad · BIA / PCA / PRA
Estructurar BIA, PCA y PRA en torno a las actividades críticas
El módulo identifica las actividades que deben mantenerse, sus dependencias, los plazos de recuperación y las pérdidas de datos aceptables. Los planes de continuidad y de recuperación se vinculan después a escenarios, responsables, pruebas y acciones de actualización.
Comprender el riesgo. Recuperar el control. Mantenerse en el tiempo.
Alojado en Francia en Scaleway · IA de Mistral (UE) · para preparar y documentar el RGPD, NIS 2 y DORA.
01 · EL TEMA
El PCA/PRA debe responder a decisiones concretas
La continuidad de negocio cíber resulta útil cuando vincula los impactos en el negocio, las dependencias técnicas, las responsabilidades y las condiciones de recuperación. Se entra por la decisión, no por una lista de herramientas.
Lo que permite continuar
Las aplicaciones, cuentas, proveedores, flujos, copias de seguridad, accesos de emergencia, medios de comunicación y recursos humanos necesarios para el mantenimiento mínimo.
Lo que debe decidirse
Las prioridades de recuperación, los umbrales de activación, las funciones de crisis, los plazos aceptables, los modos degradados y los riesgos residuales asumidos.
PRINCIPIO
El verdadero plan
es el que funciona.
El verdadero plan de continuidad de negocio no es el que está escrito: es el que aguanta cuando los procedimientos habituales dejan de funcionar. Un documento nunca puesto a prueba da una ilusión de control. Galyct Pro equipa la continuidad para que siga siendo activable, realista y actualizada, no decorativa.
02 · BIA, PCA Y PRA
Tres planes, tres funciones: dejar de confundirlos
Continuidad de negocio, recuperación, análisis de impacto: estos términos se emplean a menudo indistintamente. Aclararlos ya es saber por dónde empezar, siempre por el BIA.
BIA, análisis de impacto en el negocio
Identifica las actividades críticas, los impactos de una interrupción, las dependencias y las tolerancias. Es la base: sin BIA, un plan de continuidad se construye a ciegas. Produce dos referencias clave, el RTO y el RPO.
PCA, plan de continuidad
Organiza el mantenimiento de las funciones esenciales durante la crisis: modos degradados, procedimientos alternativos, funciones, medios. Va más allá de la informática, afecta a toda la organización.
PRA, plan de recuperación
La vertiente técnica: restaurar los sistemas y los datos tras un siniestro (copias de seguridad, conmutación, prioridades de rearranque) respetando los RTO/RPO definidos en el BIA.
LOS OBJETIVOS MEDIBLES
RTO y RPO: los dos límites que fija la dirección
Dos referencias derivadas del BIA, que traducen una exigencia de negocio en un objetivo de recuperación verificable.
RTO, plazo de recuperación
El tiempo máximo aceptable para restablecer un servicio tras una interrupción. Condiciona las inversiones en redundancia, conmutación y asistencia.
RPO, pérdida de datos
El volumen de datos que la organización puede perder razonablemente, expresado en tiempo. Determina la frecuencia de las copias de seguridad y la estrategia de restauración.
03 · LA CRONOLOGÍA
De la interrupción a la continuidad, y después a la recuperación
Una misma cronología vincula las cinco nociones. El RPO fija el punto de recuperación hacia atrás, el PCA mantiene lo esencial durante la crisis, el PRA restaura el sistema y el RTO limita la vuelta al servicio nominal.
RPOÚltima copia de seguridad sanaEl punto de recuperación: hasta ahí, los datos son recuperables. Limita la pérdida aceptable.
T0InterrupciónSe produce el incidente: indisponibilidad, compromiso, siniestro. El servicio nominal se detiene.
PCAContinuidadLo esencial se mantiene en modo degradado: procedimientos alternativos, funciones, medios de emergencia.
→DecisiónDecisiones: lo que se corta, lo que se mantiene, lo que se restaura primero, lo que se comunica.
PRARecuperaciónRestauración técnica de los sistemas y los datos: copias de seguridad, conmutación, prioridades de rearranque.
RTOServicio restablecidoSe cumple el plazo máximo de recuperación: vuelta al funcionamiento normal, desviaciones registradas.
04 · DESENCADENANTES
¿Cuándo estructurar o revisar su continuidad?
Un PCA/PRA debe poder activarse antes de la crisis, pero también seguir siendo realista tras una auditoría, una transformación del sistema de información, una exigencia de un cliente, una tensión con la aseguradora o un incidente.
Actividad dependiente de lo digital
Correo, ERP, facturación, producción, telefonía, acceso a la nube o herramientas de negocio se han convertido en puntos de bloqueo.
Auditoría o análisis de riesgos
Dependencias críticas, copias de seguridad frágiles, accesos sin control o proveedores estructurales deben traducirse en una trayectoria de continuidad.
Exigencia de un cliente, de la aseguradora o del mercado
Un tercero pide pruebas de resiliencia, de pruebas realizadas, de gobernanza, de recuperación o de control de los incidentes cíber.
Incidente o cuasi incidente
Una indisponibilidad, una cuenta comprometida, un fraude, una fuga o un ransomware evitado revela una necesidad de encuadre y de procedimientos.
Transformación del sistema de información o externalización
La migración a la nube, un nuevo proveedor, M365, un ERP, una adquisición o el cambio de proveedor de servicios gestionados modifican las dependencias de recuperación.
Comité o presupuesto cíber
La dirección debe decidir las inversiones en copias de seguridad, supervisión, bastionado, redundancia, documentación y pruebas.
05 · LOS ENTREGABLES
Soportes utilizables por la dirección, TI y las áreas de negocio
La documentación debe ser lo bastante clara para decidir, lo bastante precisa para actuar y lo bastante breve para consultarse de verdad durante un incidente.
Síntesis ejecutiva
Vista para la dirección: actividades críticas, riesgos principales, decisiones, acciones prioritarias y presupuesto orientativo.
Cartografía BIA
Actividades, impactos, plazos de interrupción tolerables, dependencias, recursos mínimos y exigencias de recuperación.
Matriz RTO / RPO
Objetivos de recuperación por actividad o aplicación, condiciones de validación y puntos de fragilidad.
Escenarios de continuidad
Pérdida del correo, ransomware, indisponibilidad del ERP, fuga de datos, proveedor crítico, sede inaccesible.
Fichas de actuación
Célula de crisis, comunicación, copias de seguridad, restauración, cuentas de emergencia, contactos críticos, conservación de pruebas.
Plan de pruebas y lecciones aprendidas
Calendario de ejercicios, criterios de éxito, desviaciones observadas, acciones correctivas y mantenimiento en condiciones operativas.
06 · LO QUE NO PROMETEMOS
La continuidad se prepara, no se garantiza
La resiliencia cíber exige método, pero también pruebas periódicas, responsabilidades claras y decisiones asumidas. Un documento no puesto a prueba da una ilusión de control.
Ninguna disponibilidad garantizada
El dispositivo reduce la improvisación, pero no elimina ni los incidentes, ni las dependencias externas, ni las decisiones difíciles. Ningún resultado está garantizado: un PCA/PRA no asegura la ausencia de interrupciones.
Ningún PRA puramente técnico
Restaurar un servidor no basta si los accesos, los datos, las validaciones, las áreas de negocio o los proveedores no están alineados.
Ninguna continuidad sin mantenimiento
Los contactos, procedimientos, cuentas de emergencia, copias de seguridad, permisos y escenarios deben mantenerse actualizados. Un plan nunca puesto a prueba es una hipótesis, no una garantía.
Un plan nunca puesto a prueba es una hipótesis, no una garantía
El valor de un dispositivo de continuidad depende de las pruebas, de la gobernanza, de las copias de seguridad, de los accesos de emergencia y del mantenimiento en condiciones operativas. Galyct Pro vincula el BIA, los objetivos RTO/RPO y los escenarios para que la continuidad siga siendo activable, en el mismo lugar que el riesgo y la conducción del incidente.
¿Una crisis cíber en curso?
Sospecha de intrusión, ransomware, cuenta crítica comprometida, fuga de datos: estabilice sin destruir las pruebas y hágase acompañar. Abrimos una célula de crisis y mantenemos el hilo de las decisiones.
Vea el módulo Continuidad en su contexto.
Una demo en directo de 30 minutos, o empiece por su cuenta con el diagnóstico de dirección gratuito. Sin compromiso, sus datos se tratan en la Unión Europea.