Un corte de energía prolongado, un ransomware que cifra el servidor de facturación o la renuncia de la única persona que sabe restaurar los respaldos: cualquiera de esos tres escenarios detiene una empresa salvadoreña en cuestión de minutos. Y sin embargo, en la mayoría de organizaciones el plan de continuidad de negocio vive en la cabeza de alguien, no en un documento que el equipo pueda ejecutar. Este artículo desarrolla un ejemplo práctico en 5 pasos para pasar de «sabemos más o menos qué hacer» a un plan escrito, probado y defendible ante un auditor o un cliente.
Antes de empezar, una aclaración de alcance: un plan de continuidad de negocio (BCP, por sus siglas en inglés) no es solo un plan de respaldos. Los respaldos recuperan datos; el BCP recupera la operación: quién decide, qué proceso se levanta primero, con qué recursos y en cuánto tiempo. Si su empresa factura, despacha o atiende clientes con sistemas, necesita ambos.
Paso 1: Identifique sus procesos críticos (y resista la tentación de marcar todos)
El primer paso es un análisis de impacto de negocio ligero: liste sus procesos operativos y pregúntese, por cada uno, cuánto dinero y reputación pierde por hora si se detiene. En una distribuidora, facturar y despachar son críticos; actualizar el sitio web puede esperar días. La regla práctica: si al detenerse un proceso el cliente lo nota el mismo día, es crítico. Un BCP realista protege 3 a 5 procesos, no 20. Si aún no ha cuantificado ese impacto, nuestra guía sobre el costo real de una hora detenido le da el método y las cifras de referencia.
Paso 2: Defina RTO y RPO para cada proceso crítico
Dos números convierten un deseo en un requisito medible. El RTO (Recovery Time Objective) es el tiempo máximo que ese proceso puede estar caído antes de que el daño sea inaceptable. El RPO (Recovery Point Objective) es cuánta información puede permitirse perder: si su último respaldo utilizable es de anoche, su RPO real es de un día de trabajo.
- Facturación: RTO de 4 horas, RPO de 1 hora. Cada hora sin facturar es venta que no se recupera.
- Correo y comunicación: RTO de 8 horas, RPO de 4 horas. Molesto, pero sobrevivible un día.
- Contabilidad: RTO de 48 horas, RPO de 24 horas. Crítico a fin de mes, tolerante el resto.
Estos números no se eligen por gusto técnico: los define el negocio, y son los que un auditor o un comprador internacional le pedirá ver por escrito.
Paso 3: Elija la estrategia de recuperación que sus números exigen
El RTO y el RPO dictan la inversión. Un RPO de una hora no se cumple con un respaldo nocturno a un disco USB; exige replicación frecuente. Como mínimo, aplique la regla 3-2-1: tres copias de sus datos, en dos medios distintos, con una fuera de sus instalaciones (idealmente en la nube y con una copia inmutable que un ransomware no pueda cifrar). Para los procesos de RTO corto, defina desde ya el «sitio alterno»: ¿la facturación puede levantarse en la nube, en una laptop designada, en la sucursal? La respuesta debe estar escrita antes del incidente, no improvisarse durante. El detalle de estas arquitecturas está en nuestra página de continuidad de negocios.
Paso 4: Asigne roles y arme el árbol de comunicación
En una crisis, la tecnología falla menos que la coordinación. Su plan necesita, con nombre y suplente: quién declara el incidente y activa el plan, quién ejecuta la recuperación técnica, quién comunica a empleados y clientes, y quién decide gastos de emergencia. Complete con un árbol de llamadas impreso (los directorios digitales no sirven si el sistema caído es el correo) y un canal alterno acordado, por ejemplo un grupo de WhatsApp de crisis. Si maneja datos personales, incluya aquí al responsable de evaluar si el incidente dispara la notificación de 72 horas que exige la Ley de Protección de Datos Personales; nuestra guía de ciberseguridad para empresas explica cuándo aplica.
Paso 5: Pruebe el plan, mida y ajuste
Un plan sin probar es una hipótesis. Empiece pequeño: un ejercicio de escritorio de una hora donde el equipo recorre un escenario («es lunes 8 a. m. y el servidor no enciende») y responde con el documento en mano. Cada trimestre, restaure un respaldo real y cronometre. Cada año, un simulacro completo del proceso más crítico. Registre los tiempos obtenidos contra el RTO y el RPO prometidos: esa bitácora de pruebas es exactamente la evidencia que la SSF, un auditor ISO 22301 o el cuestionario de un cliente internacional le van a pedir.
El ejemplo completo, en una página
Imagine una distribuidora de 80 empleados (caso ilustrativo). Su BCP cabe en pocas páginas: tres procesos críticos (facturación, despacho, cobros) con sus RTO/RPO; respaldos 3-2-1 con copia inmutable en la nube y replicación horaria de la base de facturación; un plan de contingencia que levanta la facturación en la nube desde dos laptops designadas; cuatro roles con suplentes y árbol de llamadas impreso en tres lugares; y un calendario de pruebas trimestral con su bitácora. Nada de esto exige un departamento nuevo: exige decidirlo, escribirlo y probarlo.
Empiece hoy con la estructura ya resuelta
Los cinco pasos de este artículo están convertidos en un documento listo para completar, con las tablas de procesos, RTO/RPO, roles y calendario de pruebas ya armadas. Descargue la plantilla de plan de continuidad (BCP) y complete la primera versión de su plan esta misma semana.