Tras lo que podría ser una de las interrupciones mundiales de las tecnologías de la información más extendidas de la historia, las organizaciones están prestando una atención renovada a la lucha contra antiguas vulnerabilidades que pueden tener efectos en cascada.
No es el único apagón informático que acapara titulares, pero podría ser el mayor de la historia reciente, y todo empezó cuando una actualización rutinaria de software hizo que fallara una actualización del sistema diseñada para proteger a los usuarios de las cibervulnerabilidades.
Los usuarios de Microsoft Windows se encontraron la semana pasada con que no podían acceder a varias aplicaciones y servicios, lo que provocó importantes interrupciones en los procesos empresariales de todos los sectores, desde terminales de aeropuertos y centros comerciales hasta bancos de todo el mundo. Incluso la Bolsa de Londres y el Departamento de Seguridad de New Hampshire informaron de algunas interrupciones del servicio.
Para la mayoría de los usuarios de PC, la solución al problema será probablemente una nueva actualización de software, que algunos realizarán automáticamente y otros manualmente. Pero para todos, la interrupción de Microsoft sirve como una dura llamada de atención sobre la necesidad de estrategias de continuidad de negocio más sólidas y tácticas de gestión de riesgos de terceros (TPRM).
El persistente impacto mundial de la interrupción de Microsoft
La escala y el alcance del impacto de la interrupción fueron radicales, entre otras cosas:
- Interrupciones en la línea 911
- Interrupciones de emisión
- Vuelos en tierra
El efecto en cascada de una sola actualización de software ha puesto aún más de relieve los factores de riesgo interconectados y ajenos que hemos visto crecer en complejidad. O, como dijo Ciaran Martin, ex director ejecutivo del Centro Nacional de Ciberseguridad de Gran Bretaña y profesor de la Escuela de Gobierno Blavatnik de la Universidad de Oxford, en un artículo del New York Times: "Esta es una ilustración muy, muy incómoda de la fragilidad de la infraestructura central de Internet del mundo."
Y cuando no se trata sólo de ciberataques externos, sino de una interrupción del código interno, puede ser difícil saber dónde mirar primero. Las llamadas vienen de dentro y de fuera de casa, pero no es momento de colgar o esconderse en un rincón. En su lugar, es hora de comprender mejor la gestión de riesgos de terceros, las dependencias operativas, las estrategias de remediación y el plan de continuidad del negocio.
Recordatorios y lecciones aprendidas en la planificación de la continuidad de las actividades (PCN)
El objetivo de su plan de continuidad de negocio es siempre minimizar el impacto en las operaciones, empleados y clientes durante y después de un desastre o interrupción significativa. Debe tener en cuenta y estar preparado para abordar:
- Tiempo de inactividad del sistema: ¿Dispone de un plan en caso de que el acceso a aplicaciones y servicios interrumpa las operaciones diarias de muchas empresas, provocando retrasos, reducción de la productividad y posibles pérdidas?
- Daños a la reputación: ¿Puede comunicarse con transparencia y eficacia durante este tipo de incidentes para mantener la confianza de clientes y partes interesadas?
- Cumplimiento de la normativa: ¿Puede demostrar la diligencia debida y la preparación a los reguladores?
Elementos clave del plan de continuidad de las operaciones: comience su planificación aquí
Su Plan de Continuidad de Negocio debe tener tres elementos fundamentales:
- Evaluación de riesgos y análisis del impacto en el negocio (BIA): La interrupción de Microsoft ilustra la importancia de comprender las dependencias de los sistemas informáticos y las posibles consecuencias de su fallo. Es crucial identificar los riesgos potenciales y su impacto en cascada en las operaciones de la empresa.
- Estrategias de recuperación: El desarrollo de planes para restablecer las funciones empresariales lo antes posible incluye disponer de sistemas de copia de seguridad, acuerdos de trabajo alternativos y planes de comunicación claros.
- Desarrollo y comprobación del plan: La creación de un plan de respuesta detallado es el primer paso. A continuación, hay que ponerlos a prueba periódicamente para garantizar su eficacia continua.
Y no se olvide de la gestión de riesgos de terceros (TPRM).
A medida que las empresas dependen cada vez más de proveedores externos para la prestación de servicios críticos, la identificación, la evaluación y el control de los riesgos asociados a esta externalización se vuelven más matizados. Vaya un paso por delante en la gestión de riesgos de terceros:
- Evaluación de riesgos de proveedores y diligencia debida: Evalúe los riesgos potenciales que plantean los proveedores externos y conozca los perfiles de riesgo de todos los proveedores que intervienen en su cadena de suministro.
- Garantías contractuales: Asegúrese de que los contratos con los proveedores incluyen disposiciones sobre la continuidad de la actividad y la recuperación en caso de catástrofe. Esto incluye acuerdos de nivel de servicio (SLA) que especifiquen los tiempos de respuesta y los procesos de reparación en caso de interrupción.
- Supervisión continua: Supervisar periódicamente el rendimiento y las prácticas de seguridad de terceros proveedores. La evaluación continua ayuda a identificar y mitigar los riesgos antes de que se materialicen en problemas importantes.
- Planificación de contingencias: A pesar de las exhaustivas evaluaciones de riesgos y las medidas preventivas, acontecimientos imprevistos como catástrofes naturales o fallos en las infraestructuras pueden interrumpir las operaciones de terceros y plantear riesgos significativos para las organizaciones. Los profesionales del riesgo deben desarrollar planes de contingencia y estrategias de continuidad del negocio para mitigar el impacto de tales interrupciones. La planificación de contingencias implica identificar proveedores alternativos, establecer sistemas redundantes y aplicar procedimientos de recuperación para garantizar la continuidad de las operaciones en caso de crisis.
- Planificación de la liquidez: Al igual que su plan de acción de contingencia, asegúrese de que no se enfrenta a restricciones financieras mientras la producción se ve afectada mediante la asignación estratégica de fondos. Una forma de hacerlo sería cuantificar estos riesgos y simular el valor en riesgo (que no debería superar tu capacidad de asumir riesgos).
- Comunicación con las partes interesadas: La comunicación eficaz fomenta la transparencia y la colaboración en los esfuerzos de gestión de riesgos de terceros. Los profesionales del riesgo deben mantener canales de comunicación abiertos con las partes interesadas internas, los proveedores externos, las autoridades reguladoras y otras partes relevantes. Una comunicación transparente facilita el intercambio de información, facilita la concienciación sobre los riesgos y permite responder con prontitud a las amenazas o preocupaciones emergentes.
Lo que hemos aprendido:
Garantizar que sus marcos de planificación de la continuidad del negocio y de gestión de riesgos de terceros son sólidos y están actualizados puede mitigar significativamente los riesgos operativos y ayudar a sus equipos a superar las interrupciones con eficacia. A medida que la tecnología sigue evolucionando, también deben hacerlo las estrategias para salvaguardar las operaciones empresariales frente a imprevistos.
La conclusión clave es clara: una planificación proactiva y una gestión vigilante de los riesgos son esenciales para mantener la resistencia de las empresas en un mundo interconectado.
Más blogs que pueden interesarle:
- Navegar por la actualización de la Directiva sobre seguridad de las redes y de la información (NIS2)
- ¿Qué significa el Informe sobre Riesgos Mundiales 2024 del FEM para los profesionales de la gobernanza, el riesgo y el cumplimiento?
- 5 razones para invertir en software de gestión de riesgos empresariales
- Recordatorios para los equipos de riesgos tras el trágico derrumbe del puente de Baltimore
¿Nuestra prioridad? En su éxito.
Programe una demostración u obtenga más información sobre los productos, servicios y compromiso de Mitratech.
