Durante años, los debates sobre la resiliencia se han centrado en la tecnología. ¿Tienes copias de seguridad? ¿Tienes un plan de recuperación ante desastres? ¿Dispones de medidas de protección para prevenir un ataque?
Esas siguen siendo preguntas importantes. Pero, cada vez más, no son las que me plantean los directivos.
En cambio, lo que oigo es una pregunta mucho más sencilla:Si mañana sufrimos un ciberataque, ¿podremos recuperarnos de él y demostrarlo?
NuevoEstudio de IDC, según una encuesta realizada a 539 responsables de la toma de decisiones en materia de TI y resiliencia en Estados Unidos y Canadá, pone de manifiesto una realidad cada vez más evidente: el hecho de contar con tecnología de Recovery no garantiza automáticamente que una organización esté preparada para la Recovery.
Hace poco, me reuní con Jason Cray, del equipo de Experiencia de Producto de Commvault, para hablar sobre ese estudio de IDC. Lo que surgió de nuestra conversación no fue simplemente un debate sobre copias de seguridad, Recovery o ciberresiliencia.
Fue un debate sobre la confianza. Más concretamente, sobre por qué tantas organizaciones creen que son capaces de recuperarse, pero les cuesta demostrar que realmente están preparadas para la Recovery.
Mira elSeminario web sobre Readiness para la recuperación, disponible bajo demanda.
Puntos Clave
- La diferencia entre ser recuperable y estar preparado para la recuperación es como la diferencia entre la teoría y la demostración.
- IDC ha constatado que el 57,7 % de las organizaciones no han definido completamente su modelo de negocio mínimo viable. Si no sabes qué es lo que necesitas recuperar, ¿cómo puedes priorizar qué es lo que debe volver a estar operativo primero?
- Recuperarlo todo no es una estrategia viable. El éxito de la Recovery depende del establecimiento de prioridades y del contexto empresarial.
- Para que la Recovery tras un ciberataque tenga éxito, es necesario adoptar un enfoque de equipo.
- La diferencia fundamental entre la recuperación cibernética y la recuperación ante desastres es la necesidad de confianza.
- Puede que la velocidad no sea el mejor indicador de Recovery, sobre todo si no puedes confiar en tus copias de seguridad.
- Las organizaciones generan confianza mediante las pruebas, no solo con la planificación.
- ResOps ofrece un marco para convertir la resiliencia en una disciplina operativa.
¿Cuál es la diferencia entre ser recuperable y estar preparado para la Recovery?
Hace unos años, muchos debates sobre la resiliencia terminaban con una lista de puntos a tener en cuenta.
- Backups? Consulte.
- ¿Plan de recuperación? Consulte.
- ¿Pruebas de recuperación ante desastres? Consulte.
Hoy en día, ese nivel de garantía ya no es suficiente.
Durante el seminario web, Jason compartió una opinión que escucho con frecuencia entre los clientes: las organizaciones suelen saber decir exactamente cuánto invierten en tecnologías de seguridad y protección, pero son muchas menos las que pueden explicar con seguridad cómo se recuperarían si esos controles fallaran.
La distinción puede parecer sutil, pero es importante.
Ser «recuperable» significa que se dispone de mecanismos capaces de facilitar la recuperación. Estar «preparado para la Recovery» significa que se ha demostrado que dichos mecanismos pueden restablecer con éxito las operaciones críticas de la empresa en condiciones reales.
A medida que la resiliencia se convierte en una preocupación a nivel directivo, las suposiciones están dando paso a los datos contrastados. Los líderes quieren tener la certeza de que los planes de Recovery funcionarán realmente cuando la presión sea máxima.
Cuando llega la hora de la verdad, ¿sabe tu organización qué es lo más importante?
Una de las conclusiones más llamativas delEstudio de IDCes queEl 57,7 % de las organizaciones no ha definido completamente su modelo de negocio mínimo viable.
Un negocio mínimamente viable no es simplemente una lista de aplicaciones esenciales. Es la combinación de personas, procesos, sistemas y datos necesarios para mantener el funcionamiento de la organización durante una interrupción. Responde a una pregunta fundamental:
¿Qué es lo primero que tiene que volver sin falta?
Es aquí donde muchas estrategias de Recovery empiezan a fallar.
He trabajado con organizaciones que saben qué aplicaciones son importantes, pero que no han identificado las dependencias que las sustentan. Otras siguen considerando que casi todas las cargas de trabajo son críticas para la misión. Aunque ese enfoque pueda parecer prudente, plantea un problema práctico a la hora de Recovery.
Cuando todo es crítico, nada lo es
Recovery lleva tiempo. Las infraestructuras tienen sus límites. Las dependencias son importantes.
Las organizaciones no pueden esperar, de forma realista, recuperar por completo un entorno de varios petabytes inmediatamente después de un ciberataque a gran escala. Establecer prioridades resulta esencial.
Las organizaciones que se recuperan con mayor eficacia suelen saber exactamente qué es lo que debe restablecerse primero, qué puede esperar y qué resultados empresariales dependen de esas decisiones. Eso es lo que permite definir un modelo de negocio mínimo viable.
Avance: Seminario web sobre la Readiness para la recuperación
Uno de los temas que Jason y yo abordamos a lo largo del seminario web es el hecho de que la ciberresiliencia es una responsabilidad compartida. En muchas organizaciones existe la idea errónea de que la Readiness para la recuperación es un reto de infraestructura. No lo es; es un reto organizativo. Requiere una coordinación entre los equipos de seguridad, TI, jurídico, de comunicaciones y de negocio para garantizar que se comprendan claramente las aplicaciones críticas, los procesos y las prioridades de recuperación antes de que se produzca una interrupción.
Los planes de Recovery fracasan cuando se aplican de forma aislada
Muchas organizaciones siguen abordando la resiliencia a través de equipos que no están coordinados entre sí. Los equipos de infraestructura se centran en los sistemas. Los equipos de seguridad se centran en las amenazas. Los responsables empresariales se centran en la continuidad. Los equipos jurídicos y de comunicación suelen intervenir solo después de que se produzca un incidente.
El problema es que las perturbaciones no respetan los límites organizativos.
El éxito de la recuperación depende de que la toma de decisiones esté coordinada entre todas esas funciones. Las prioridades de recuperación, la comunicación con los clientes, las operaciones empresariales, las obligaciones legales y las tareas técnicas de restauración deben coordinarse en tiempo real.
Un cliente describió recientemente sus esfuerzos en materia de planificación de la resiliencia como la creación de un equipo de superhéroes. Aunque lo dijo en tono de broma, esa expresión reflejaba a la perfección la realidad de la Readiness para la recuperación en la actualidad. Las organizaciones se recuperan como equipos, no como tecnologías.
Por qué la recuperación cibernética es fundamentalmente diferente de la recuperación ante desastres
Una idea errónea que abordamos durante el seminario web es la creencia de que los planes tradicionales de Recovery ante desastres pueden adaptarse sin más a la Recovery tras un ciberataque.
En realidad, resuelven problemas distintos.
Recovery tradicional solía basarse en escenarios de fallo predecibles: una interrupción del servicio en una sede, un fallo de la infraestructura o una interrupción conocida que desencadenaba una respuesta documentada. Los incidentes cibernéticos son fundamentalmente diferentes.
Las organizaciones deben determinar qué sistemas se han visto afectados, en qué datos se puede confiar y si las medidas de Recovery podrían reintroducir el riesgo de forma involuntaria. El reto no es simplemente la restauración, sino la validación.
No se puede recuperar aquello en lo que no se puede confiar. Esa incertidumbre da lugar a un proceso de Recovery muy diferente.
Si las organizaciones restauran sistemas comprometidos o datos infectados, corren el riesgo de que el problema vuelva a afectar al entorno de producción. A medida que los ataques se vuelven cada vez más sofisticados, resulta cada vez más importante verificar la integridad de los entornos recuperados.
Recovery ya no consiste únicamente en volver a poner en marcha los sistemas. Se trata de recuperar la confianza.
Por qué la confianza es más importante que la rapidez: una recuperación rápida puede ser, aun así, una recuperación fallida
Esto nos lleva a uno de los puntos más importantes de nuestro debate. Durante años, el éxito de la Recovery se medía en gran medida por la rapidez.
- ¿En cuánto tiempo se pueden restablecer los sistemas?
- ¿En qué plazo se podrán reanudar las operaciones?
Esas cuestiones siguen siendo importantes. Pero la velocidad por sí sola ya no basta.
Una recuperación que reintroduzca malware, identidades comprometidas o datos no fiables en el entorno de producción no puede considerarse realmente satisfactoria. Por eso, cada vez más organizaciones invierten en entornos de recuperación aislados, ejercicios de validación y pruebas de recuperación diseñadas para verificar la integridad de los activos recuperados antes de que vuelvan al entorno de producción.
Recuperarse rápidamente solo tiene importancia si lo que recuperas es algo en lo que puedes confiar.
MTCR: el nuevo indicador de confianza en la Recovery
A medida que las organizaciones se replantean cómo miden la resiliencia, muchas están yendo más allá de los objetivos tradicionales de tiempo de recuperación (RTO) y de punto de recuperación (RPO).
En cambio, se están centrando entiempo medio hasta la recuperación de la limpieza.
Lo que hace que el MTCR sea valioso es que refleja la realidad de la recuperación cibernética actual. No se trata solo de la rapidez con la que una organización restaura los datos, sino que incluye el tiempo necesario para validar, evaluar y volver a poner en funcionamiento los sistemas con total confianza.
Esa distinción es importante porque las organizaciones no se limitan a recuperar la infraestructura, sino que recuperan las operaciones empresariales. El MTCR refleja mejor la rapidez con la que la organización puede volver de forma segura a un estado operativo fiable.
La confianza viene de las pruebas
Si hay una lección que he aprendido al trabajar con organizaciones que se encuentran en distintas fases de madurez en materia de resiliencia, es esta: la confianza no se basa en la documentación.
La confianza viene de las pruebas.
Los ejercicios de recuperación estática suelen validar procesos conocidos en condiciones ideales. Las interrupciones que se producen en la vida real rara vez son tan predecibles.
Las organizaciones preparadas para la Recovery realizan pruebas de forma continua. Simulan condiciones realistas. Introducen elementos de incertidumbre. Identifican las dependencias. Detectan los puntos débiles antes de que lo hagan los atacantes.
Y lo más importante: desarrollan la memoria muscular de la organización.
Durante el seminario web, Jason compartió una perspectiva que siempre me ha parecido convincente: las organizaciones pueden optar por resolver los problemas durante un periodo de estabilidad, o pueden intentar resolverlos en plena crisis. La mejor opción es obvia.
Las pruebas no se limitan a validar la tecnología. Validan a las personas, los procesos, las comunicaciones, las prioridades y las hipótesis. Y ahí es donde se forja la verdadera confianza.
ResOps es lo que ocurre cuando Recovery se convierte en una disciplina operativa
A lo largo de nuestro debate, casi todos los retos que identificamos apuntaban a la misma necesidad: las organizaciones necesitan una forma de definir prioridades de manera coherente, coordinar a las partes interesadas, validar la capacidad de recuperación y mejorar con el tiempo.
Precisamente por eso las operaciones de resiliencia, o ResOps, están cobrando impulso.
ResOps no consiste en introducir otra herramienta o proceso. Se trata de poner en práctica la resiliencia. Aúna a las personas, los procesos y la tecnología bajo un marco común para la validación y la mejora continuas.
Porque, en definitiva, la Readiness para la recuperación no es un proyecto. Es una disciplina.
Las organizaciones que marcarán la diferencia en los próximos años no serán simplemente aquellas que cuenten con tecnologías de Recovery o planes documentados. Serán aquellas que puedan demostrar que esos planes funcionan:
- Sabrán qué es lo más importante.
- Sabrán cómo recuperarlo.
- Comprobarán que es seguro reincorporarse sin riesgo de reinfección.
- Y tendrán pruebas que lo demuestren.
En otras palabras, no solo serán recuperables, sino que estarán preparados para la Recovery.
Saber Más
El informe de IDC también reveló que la resiliencia organizativa general de las organizaciones encuestadas se ve mermada tanto por las deficiencias en las tecnologías individuales como por la ausencia de un marco de coordinación que aúne las funciones empresariales, de infraestructura y de seguridad en torno a un objetivo común de Recovery.
Para profundizar en el estudio:
- Ver el seminario web: Seminario web sobre Readiness para la recuperación, disponible bajo demanda
- Descargar el informe: Informe de IDC sobre operaciones de resiliencia
Preguntas frecuentes
P: ¿Qué es ResOps?
R:ResOps (operaciones de resiliencia) es una disciplina operativa que ayuda a las organizaciones a validar y mejorar de forma continua su capacidad para recuperarse ante una interrupción. Aúna personas, procesos y tecnología para que la Readiness para la recuperación sea cuantificable y demostrable.
P: ¿Qué es un negocio mínimamente viable?
R:Un negocio mínimamente viable es la combinación de sistemas, procesos, personas y datos necesarios para seguir operando durante una interrupción. Ayuda a las organizaciones a priorizar las medidas de Recovery cuando no es posible restablecerlo todo al mismo tiempo.
P: ¿En qué se diferencia la recuperación cibernética de la recuperación ante desastres?
R:La recuperación ante desastres tradicional parte de la base de que los escenarios de fallo son predecibles. Dado que la naturaleza de los ciberataques es impredecible, la recuperación tras un ciberataque exige que las organizaciones cambien su enfoque para determinar en qué sistemas se puede confiar, validar los datos recuperados y garantizar que las amenazas no vuelvan a introducirse en los entornos de producción.
P: ¿Qué es el tiempo medio hasta la recuperación tras una limpieza (MTCR)?
R:El MTCR mide el tiempo que tarda una organización en recuperarse y alcanzar un estado operativo verificado y fiable. Incorpora actividades de Recovery, validación y fomento de la confianza, en lugar de centrarse únicamente en la rapidez de la restauración.
P: ¿Por qué son importantes las pruebas de recuperación?
R:Las pruebas ayudan a las organizaciones a descubrir dependencias ocultas, validar hipótesis, desarrollar la «memoria muscular» y mejorar los procesos de Recovery antes de que se produzca una interrupción real. La confianza en la capacidad de Recovery se gana con la práctica, no con el papeleo.
P: ¿Por qué es importante la resiliencia de la identidad?
R:Los sistemas de identidad desempeñan un papel fundamental en la Recovery. Si los usuarios no pueden acceder a los sistemas de producción, a los entornos de Recovery o a los datos críticos, incluso los mejores planes de Recovery pueden resultar difíciles de ejecutar con éxito.
P: ¿Cómo pueden las organizaciones evaluar su grado de Readiness para la recuperación?
R:Las organizaciones pueden empezar por definir su modelo de negocio mínimo viable, probar periódicamente los procesos de Recovery, validar los entornos recuperados y medir los resultados utilizando indicadores como el tiempo medio hasta la Recovery completa (MTCR).