Este artículo es una guía completa sobre las pruebas de continuidad de la actividad empresarial que presenta un amplio conjunto de métodos prácticos que puede aplicar en su organización.
Según un estudio realizado en 2019 por BC Benchmark, el 57% de las empresas declararon que realizan pruebas dos o cuatro veces al año. Lo hacen porque ayuda a conseguir una aceptación coherente en toda la empresa, lo que significa que estará más preparada en caso de interrupción.
Pero, ¿cuál es la importancia específica de poner a prueba la preparación ante interrupciones de la continuidad de la actividad?
Siga leyendo para saber por qué la creación de un PCN es sólo la mitad de la batalla y por qué es esencial que utilice estrategias de pruebas frecuentes para identificar lagunas en la continuidad de su negocio y aumentar su preparación.
¿Qué son las pruebas del PBC?
Las pruebas del plan de continuidad de negocio (PCN) son un método para comprobar hasta qué punto están preparados sus empleados en caso de emergencia. Es un simulacro de riesgo a realidad en el que los empleados y los equipos de recuperación de desastres deben trabajar juntos para encontrar una solución y recuperar los datos perdidos, los problemas de personal, las tecnologías de comunicación o los bienes dañados. En esencia, es un simulacro de lo que ocurre si surge un problema grave en una organización.
Hay muchas razones por las que probar la continuidad del negocio es esencial para mantener su seguridad y protección:
- Los equipos de catástrofes pueden identificar lagunas, interdependencias y áreas de mejora en la gestión de crisis.
- Mejorar continuamente los planes estudiando nueva información
- Satisfacer los requisitos de cumplimiento y las autoridades reguladoras
- Reducir el tiempo y los costes de recuperación
- Las pruebas demuestran un mayor grado de compromiso con sus clientes
- Este compromiso significa que si eres el proveedor de una empresa, asciendes entre los competidores (y por tanto puedes aceptar más proyectos y ganar clientes)
El 40% de los encuestados afirma haberse sometido a una prueba de PBC al menos una vez en el último año, y un 35% más lo ha hecho en los últimos seis meses. La realización de estas pruebas ayuda a garantizar que su PBC nunca se quede atrás y que no corra un alto riesgo de que estalle un desastre.
¿Hay obstáculos para las pruebas?
No tiene mucho sentido no someterse a las pruebas de BC. Hay mucho que ganar con estas pruebas.
Sin embargo, puede haber algunas barreras a las pruebas de continuidad de negocio. La principal barrera a las pruebas del PCN es que los directivos temen fracasar en el ejercicio y que los competidores o los clientes descubran este fracaso. Sin embargo, las pruebas de PCN no consisten en aprobar o suspender, sino en identificar las lagunas en la preparación ante emergencias. Además, las pruebas de PBC tienen lugar dentro de una organización, por lo que nadie más se enterará si resulta que tiene muchas áreas que mejorar.
Algunas organizaciones optan por no participar porque no ven ningún mérito en una prueba. Sin embargo, esto suele deberse al desconocimiento de los beneficios: las empresas de todos los sectores pueden mejorar su respuesta ante catástrofes si realizan pruebas. Como resultado, quienes ponen a prueba la continuidad del negocio pueden estar más seguros, asegurarse de que no se perderán datos ni productividad, y tener la certeza de que habrá menos problemas de daños a la propiedad y lesiones graves a los empleados.
Riesgos a tener en cuenta
Es probable que se pregunte qué riesgos específicos debería tener en cuenta para las pruebas de PBC. Algunos de los más comunes son:
- Catástrofes naturales (incendios, inundaciones, huracanes, etc.)
- Daños a la propiedad/red (pérdida de energía, acceso comprometido a las instalaciones, interrupción del transporte, interrupción de las comunicaciones)
- Problemas de salud de los empleados (accidentes de tráfico, enfermedades, lesiones, infartos, agotamiento del personal/hipotermia).
Asegúrese de tener en cuenta todos estos riesgos al realizar las pruebas del PCN. Esto es necesario para elaborar un plan de acción completo.
Teniendo en cuenta estos riesgos, echemos un vistazo a los principales escenarios para las pruebas del PCN.
1. Pérdida y violación de datos
Los ciberataques y la pérdida de datos son los escenarios de desastre más comunes en el lugar de trabajo hoy en día. Por este motivo, seguro que querrá poner a prueba su respuesta a estas crisis. Algunas causas comunes de pérdida de datos en el lugar de trabajo son:
- Archivos y carpetas borrados involuntariamente
- Ransomware y ciberataques
- Un servidor o una unidad que se apaga
- Interrupción del centro de datos
Realice una prueba de BC en la que su equipo deba recuperar el acceso a los datos perdidos. Esto les ayudará a averiguar quién es el responsable de hacerlo, cómo comunicarse a lo largo del proceso y cuáles deben ser las principales prioridades en este sentido.
2. Recuperación de datos
Este escenario es útil para aquellas empresas que quieren asegurarse de que se puede recuperar una gran cantidad de datos en caso de pérdida.
Esta prueba evalúa si su equipo puede necesitar objetivos incluidos en su RTO. También garantiza que no habrá daños en los archivos en el momento de la recuperación y que todo el mundo entiende cómo acceder a las copias de seguridad almacenadas en la nube.
3. Corte de electricidad/red
Si vives en una zona con muchas tormentas, es probable que tengas que hacer frente a cortes de electricidad y de red en el lugar de trabajo. Esta prueba se centra en lo que hay que hacer si una tormenta corta la electricidad durante un buen rato.
Aprenderá a notificar el incidente a su plantilla y a delegar tareas tanto internas como remotas. Las pruebas le permiten ver qué departamentos se ven más afectados por un corte de electricidad y necesitarán ayuda inmediata.
Si dispone de un generador de energía de reserva, deberá asegurarse de que un miembro del equipo también sabe cómo utilizarlo. También deberá asegurarse de que alguien conoce un lugar de recuperación móvil (si existe).
4. 4. Perturbación física
Es probable que ya realice este tipo de pruebas del PBC en forma de simulacros de incendio. También debe hacer simulacros y aprender lo que ocurrirá en otras catástrofes naturales como tornados, huracanes, terremotos e inundaciones repentinas. También pueden ensayarse aquí las amenazas de bomba y las situaciones de tirador activo. Las pruebas de interrupción física son muy importantes para regular y garantizar la seguridad física de los empleados.
5. 5. Comunicación de emergencia
Estos escenarios describen cómo deben comunicarse las personas en el lugar de trabajo en caso de catástrofe. Tendrás que definir qué medidas tomar, conseguir un programa informático de notificación de emergencias y enseñar a la gente a utilizarlo. También tendrás que actualizar la información de los contactos de emergencia y crear plantillas para cada escenario de catástrofe grave.
Los niveles de las pruebas del PCN
Las pruebas del PBC funcionan en cinco niveles. He aquí un resumen de cada uno de estos niveles para comprender cómo deben realizarse las pruebas. A continuación se exponen las formas de ayudar a sus organizaciones a ser más explícitas sobre las responsabilidades de la empresa y los empleados, localizar recursos para la recuperación de datos y personal y, en general, estar preparadas si ocurriera lo peor tras la interrupción de los servicios.
El primer nivel de pruebas de BC
Un ejercicio de simulación es un ejercicio de grupo que examina la respuesta de su equipo de crisis ante situaciones de catástrofe concretas que podrían producirse. La intención es detectar rápidamente lagunas no detectadas previamente en su plan. Un ejercicio de prueba de mesa examina las diversas cuestiones que debe abordar su equipo de respuesta. Una guía general para el éxito de un ejercicio de mesa incluye:
- Elegir una amenaza realista para examinar que pueda ocurrir realmente en su sector u organización (cuando practique la respuesta a esta amenaza, sabrá que dispone de un equipo de crisis que puede actuar en escenarios realistas).
- Tener objetivos claros en cuanto a lo que debe lograrse
- Siga el programa que usted (y el resto de los participantes) han trazado con antelación.
Poner en práctica lo aprendido en el ejercicio (debatir los puntos fuertes y débiles de la respuesta de la organización a la amenaza y averiguar cómo se pueden reforzar los puntos más débiles).
El segundo nivel de pruebas de BC
Los participantes usuarios experimentados son parte integrante del segundo nivel en la operación de recuperación. Estos individuos son las personas más esenciales para planificar acciones que luchen contra los problemas de interrupción de la BC.
Los debates facilitados pueden darse de múltiples maneras. Hable sobre el escenario en el que actuó durante su ejercicio de simulación e identifique posibles problemas y cuestiones con su respuesta. A continuación, puedes sacarlos del escenario y presentar estos problemas/cuestiones al equipo encargado de la recuperación de la crisis. A continuación, las partes implicadas pueden hacer una lluvia de ideas y debatir las formas en que estos problemas de respuesta podrían haberse gestionado mejor para que todo el mundo tenga un plan de acción más eficaz en caso de emergencia real.
El tercer nivel de BC
A continuación, deberá contar con una estrategia multisede y multidía. En este punto, deberá enviar equipos de empleados a trabajar desde casa. Otros deben ser enviados a una unidad móvil de recuperación.
Estos equipos de empleados trabajarán en diferentes catástrofes. Cada uno de los equipos tendrá un escenario del que tendrán que ocuparse, y los participantes dentro del equipo tendrán que trabajar juntos bajo una presión limitada para identificar y gestionar la situación simulada. Tendrán que trabajar juntos como una unidad cohesionada para tomar decisiones, gestionar la información que se les presente, registrar lo que ocurre y manejar los dilemas dentro de la crisis ficticia.
El cuarto nivel de pruebas de BC
Después de que equipos individuales o grupos pequeños simulen la gestión de catástrofes, hay que programar un simulacro. Esto significa cerrar la oficina, enviar personal a una unidad móvil de recuperación y completar un simulacro de las actividades y soluciones que se han planificado previamente.
Se trata de una ampliación de la simulación de un solo equipo a la interacción de varios equipos. En este nivel de las pruebas del PCN, el objetivo es que los equipos se comuniquen y coordinen entre sí.
El quinto nivel de pruebas de BC
En los ejercicios a escala real participan todos los equipos que trabajarían en una crisis real. Hay que elegir un día a pleno rendimiento en el que haya el mayor número posible de empleados trabajando y realizar un simulacro de prueba. No se debe avisar a estos trabajadores antes de que tenga lugar: debe ser una sorpresa para que la prueba sea lo más realista posible.
Este nivel no debe emprenderse hasta que se hayan dominado todos los demás niveles. Todos los equipos deben ser competentes y confiar en sus capacidades y experiencia para que el ejercicio a escala real sea lo más eficaz posible.
Distintos tipos de pruebas
Debe probar varios tipos de planes de pruebas de continuidad de negocio en su organización. Así se asegurará de identificar las lagunas de su plan de recuperación. Siga leyendo para conocer algunos de los tipos de pruebas en los que debe centrarse su empresa para ser lo más eficiente y eficaz posible.
1. Prueba de mesa
Una prueba de mesa es una de las mejores formas de implicar a todos los empleados esenciales. Como ya hemos comentado, se trata simplemente de ejercicios de grupo que analizan la eficacia de su equipo de crisis. Es posible que desee realizar varios ejercicios de mesa para analizar diferentes situaciones de catástrofe.
2. Prueba de simulación
Un simulacro de PCB es un ejercicio más práctico.
Como su nombre indica, una prueba de mesa consiste principalmente en discutir los detalles del plan alrededor de una mesa. Por otro lado, una prueba de simulación combina acciones de recuperación de la vida real en estas discusiones. Puede abarcar la notificación de emergencias, la restauración de copias de seguridad, la pérdida de datos, la interrupción de la red, la recuperación física y, básicamente, cualquier otro escenario en el que un riesgo se convierta en realidad.
Junto con el personal crítico, todos los empleados de su empresa estarían implicados en este proceso de prueba del plan de continuidad de las operaciones.
3. 3. Revisión del plan
Una revisión del plan es básicamente una auditoría del plan de continuidad de negocio. El equipo del PCN, la dirección y los jefes de departamento se reúnen para revisar el plan. En ese momento, decidirán juntos si falta algún componente del PCN o si es necesario revisarlo.
Entre los aspectos que se revisan durante una reunión figuran:
- Información de contacto de los miembros del equipo BCP
- La validez de los contratos de recuperación de su organización
- Cobertura de los escenarios aplicables de BC y recuperación en caso de catástrofe
- Formar a los nuevos gestores sobre los detalles del plan (que luego pueden transmitir a sus equipos).
Por lo general, este tipo de prueba se utiliza mejor para formar a los nuevos miembros del equipo de BCP. También es excelente para la incorporación periódica de nuevos empleados.
Qué hacer tras las pruebas del PCB
Una vez realizada la prueba de PNC, deberá hacer algunas cosas con los resultados.
- Revise los resultados de la prueba con todos los participantes una vez finalizada (y hágalo de nuevo una vez recopiladas todas las notas).
- Asignar responsabilidades para las acciones pendientes a las personas que deben ocuparse de ellas.
- Actualizar y distribuir el plan escrito de continuidad de la actividad
- Captura de elementos a tener en cuenta la próxima vez que realice una prueba del PCO
Es fundamental documentar los resultados de todas las pruebas que realice su empresa. También querrá registrar cualquier hallazgo procesable que se derive de esas pruebas. Esto ayudará a sus empleados y contratistas a aprender lo que puede y debe mejorarse en el futuro. También permitirá a todos visualizar y comprender los progresos realizados.
El seguimiento de los resultados, la anotación de las recomendaciones de las pruebas realizadas y la consolidación de las notas son los procesos más importantes de las pruebas del plan de continuidad de las operaciones. Probar, registrar los resultados de las pruebas y aplicar métodos para mejorar el plan de continuidad de las operaciones es una de las mejores formas de reforzar los procesos de respuesta de la organización.
Comenzar
Ahora que lo sabe todo sobre las pruebas de continuidad de negocio, es hora de ponerse manos a la obra.
Solicite una demostración de nuestro software BCP de gama alta para poder planificar, formar, probar, alertar y gestionar la recuperación en una única plataforma fácil de usar. Nuestros expertos están a su disposición para explicarle cómo puede maximizar su eficacia cuando empiece a probar su estrategia de BC.
Nota del Editor: Este post fue publicado originalmente en Preparis Business Continuity Software. En octubre de 2024, Mitratech adquirió Preparis, un proveedor líder de soluciones de planificación de continuidad de negocio y respuesta a emergencias. El contenido ha sido actualizado para reflejar la oferta ampliada de productos de Mitratech, los avances de la industria y los desarrollos regulatorios.
