Plan de continuidad de negocio: qué debe incluir un BCP para pymes
¿Qué hacemos si mañana por la mañana nada funciona? Un BCP de diez páginas.
La continuidad de negocio no es un manual extenso, sino la respuesta a una sola pregunta: qué hacemos si un sistema crítico no funciona mañana. Para una pyme es suficiente un documento de diez páginas bien preparado que todos conozcan.
TL;DR — Puntos clave
- Para cada proceso crítico, defina el RTO (cuánto tiempo podemos aguantar) y el RPO (cuántos datos podemos permitirnos perder).
- El plan debe contener nombres y números de teléfono, no solo roles.
- Los procedimientos manuales de sustitución suelen ser la solución más económica.
- Un plan no probado es solo una suposición.
Qué debe contener el plan
Un buen BCP comienza con un análisis de impacto en el negocio: qué procesos generan ingresos o son una obligación legal y cuánto tiempo pueden estar detenidos. De ahí derivamos los objetivos técnicos (RTO y RPO para cada sistema) y solo entonces elegimos las soluciones.
Le siguen los escenarios: caída de la conexión a internet, fallo del servidor, ransomware, inaccesibilidad de las oficinas, caída de un proveedor clave. Para cada uno, anotamos los tres primeros pasos, los responsables y los procedimientos de respaldo.
Por qué compensa también a las pequeñas empresas
Las empresas pequeñas tienen menos margen de reserva, por lo que una interrupción las afecta más.
- Los clientes y las licitaciones exigen cada vez más pruebas de un plan de continuidad.
- Las aseguradoras comprueban la preparación al tramitar un siniestro.
- Pasos claros reducen la duración de la caída en horas.
- El plan revela dependencias que nadie conocía.
Cómo empezar — proceso recomendado
- Identifique los procesos clave y sus dependencias de IT.
- Defina el RTO y el RPO para cada proceso junto con la dirección.
- Compruebe si las soluciones actuales cumplen estos objetivos.
- Escriba los escenarios, pasos y contactos en una página por escenario.
- Realice una vez al año un ejercicio de simulación y una prueba de recuperación.
- Incorpore las conclusiones al plan y actualícelo.
Ejemplo de objetivos RTO y RPO
| Proceso | RTO | RPO | Procedimiento alternativo |
|---|---|---|---|
| Correo electrónico | 4 horas | 1 hora | Acceso móvil, teléfono |
| Facturación | 24 horas | 24 horas | Emisión manual, entrada posterior |
| Sistema de producción | 4 horas | 15 minutos | Órdenes de trabajo en papel |
| Servicios de archivos | 48 horas | 24 horas | Trabajo desde copias locales |
Errores más frecuentes
El error más común es definir un RTO sin verificar si la solución actual lo permite. Un objetivo de cuatro horas con un backup nocturno en cinta no es alcanzable.
El segundo error es tener el plan guardado exclusivamente en el servidor afectado por la caída. Debe haber una copia impresa en manos de las personas responsables.
Cómo ayudamos en VitalIT
En VitalIT preparamos el análisis de impacto, el plan y realizamos el simulacro. Consulte Consultoría IT e Infraestructura IT.
Relacionado: Ransomware: plan de recuperación y Backup 3-2-1: cómo proteger correctamente los datos.
Preguntas frecuentes (FAQ)
- ¿Qué longitud debe tener un BCP?
- Para una pyme, de 10 a 20 páginas son suficientes; la utilidad es más importante que la extensión.
- ¿Quién es responsable del plan?
- La dirección lo aprueba, el departamento de IT prepara la parte técnica y los propietarios de los procesos la parte de negocio.
- ¿Con qué frecuencia se debe actualizar?
- Al menos una vez al año y después de cualquier cambio importante en los sistemas o la organización.
- ¿Qué es un ejercicio de simulación de mesa?
- Una simulación teórica donde el equipo revisa los pasos sin una caída real; es económico y muy útil.
- ¿Necesitamos una ubicación de reserva?
- Rara vez. Con la nube y el teletrabajo, la mayoría de los escenarios se cubren sin necesidad de espacios físicos adicionales.