Plan de continuidad de negocio ante un ciberataque

Un ciberataque puede interrumpir procesos esenciales de una empresa en cuestión de minutos. La facturación, los envíos, la atención al cliente o el acceso a la información pueden verse afectados si los sistemas dejan de estar disponibles.

Disponer de copias de seguridad ayuda a recuperar los datos, pero no garantiza que la empresa pueda retomar su operativa rápidamente. Para reducir el impacto de un incidente, es necesario identificar qué procesos deben recuperarse primero, cuánto tiempo pueden estar interrumpidos y qué alternativas existen mientras se restablecen los sistemas.

Un plan de continuidad de negocio ante un ciberataque permite definir estas prioridades y coordinar la respuesta para reducir las interrupciones, las pérdidas económicas y las consecuencias para clientes y proveedores.

¿Qué es un plan de continuidad de negocio y para qué sirve?

Un plan de continuidad de negocio establece los procedimientos, recursos y responsabilidades necesarios para mantener o recuperar los procesos esenciales de una empresa ante una interrupción grave, como un ataque de ransomware, una caída de los servicios cloud o un incidente que afecte a un proveedor.

Se diferencia del plan de recuperación ante desastres (Disaster Recovery Plan), centrado principalmente en restaurar sistemas tecnológicos y datos. La continuidad de negocio también contempla las personas, los procesos y las alternativas necesarias para seguir prestando servicios mientras se recupera la infraestructura.

Su objetivo es reducir el tiempo de interrupción, establecer prioridades y evitar que las decisiones tengan que improvisarse durante una crisis.

¿Qué ciberataques pueden interrumpir la operativa de una empresa?

No todos los incidentes tienen las mismas consecuencias. Identificar las amenazas que pueden afectar a los procesos críticos ayuda a preparar una respuesta adecuada.

Ransomware y bloqueo de sistemas críticos

Un ataque de ransomware puede cifrar archivos, interrumpir aplicaciones y dejar inaccesibles sistemas necesarios para trabajar. En algunos casos, los ciberdelincuentes también intentan eliminar o comprometer las copias de seguridad para dificultar la recuperación.

Incidentes de ciberseguridad en proveedores

Una empresa puede perder acceso a servicios esenciales si un proveedor tecnológico, una plataforma de pagos o un servicio cloud sufre una interrupción. Por eso, el plan debe contemplar dependencias externas y alternativas para mantener los procesos más importantes.

Robo de credenciales y pérdida de acceso a servicios cloud

El compromiso de cuentas administrativas puede impedir el acceso a correo corporativo, documentos, aplicaciones y herramientas de colaboración. Contar con procedimientos alternativos de comunicación y recuperación ayuda a coordinar la respuesta cuando los canales habituales no están disponibles.

¿Cómo elaborar un plan de continuidad de negocio ante un ciberataque?

Un plan eficaz debe adaptarse a los procesos y riesgos reales de la empresa. Estos son los elementos principales que conviene definir.

1. Análisis de impacto en el negocio

Identifica los procesos más importantes de la empresa, qué sistemas necesitan y cuánto tiempo pueden estar sin funcionar. También define alternativas temporales, como procedimientos manuales o canales de atención alternativos, para mantener los servicios esenciales durante una interrupción.

2. Definición de los tiempos de recuperación: RTO y RPO

Dos indicadores ayudan a establecer objetivos de recuperación:

• RTO (Recovery Time Objective): tiempo máximo objetivo para restablecer un sistema o proceso tras una interrupción.
• RPO (Recovery Point Objective): pérdida máxima de datos que la empresa puede asumir, expresada como el periodo de información que podría perderse.

Estos objetivos deben definirse según la criticidad de cada proceso. No todas las aplicaciones necesitan recuperarse en el mismo plazo ni requieren la misma frecuencia de copia de seguridad.

3. Procedimientos de respuesta y aislamiento de sistemas

El plan debe indicar quién toma las decisiones, cómo se comunica un incidente y qué medidas pueden aplicarse para contenerlo. Según el caso, puede ser necesario aislar dispositivos comprometidos, revocar credenciales o limitar conexiones para evitar que el incidente se extienda.

Estas actuaciones deben coordinarse con los procedimientos de respuesta ante incidentes y ejecutarse de forma que no se comprometan innecesariamente otros sistemas esenciales.

4. Copias de seguridad y pruebas de recuperación

Las copias de seguridad deben estar protegidas frente a accesos no autorizados y a posibles intentos de borrado o cifrado. Una estrategia adecuada puede combinar varias copias, soportes distintos y una copia aislada o inmutable.

La regla 3-2-1-1-0 es una referencia útil para organizar los respaldos: tres copias de los datos, en dos tipos de soporte, una fuera de la ubicación principal, otra aislada o inmutable y cero errores detectados en las verificaciones. Lo importante es adaptar esta estrategia a las necesidades de la empresa y probar periódicamente que los datos y sistemas pueden recuperarse.

5. Comunicación de crisis y responsabilidades

Durante un incidente, los empleados necesitan saber cómo actuar y a quién informar. El plan debe definir responsables, contactos clave y canales alternativos de comunicación, además de establecer cómo se informará a clientes, proveedores y autoridades cuando corresponda.

También debe contemplar las obligaciones de notificación aplicables, por ejemplo, cuando un incidente afecta a datos personales o a servicios sujetos a requisitos regulatorios.

¿Qué exige la normativa sobre continuidad de negocio y ciberseguridad?

La continuidad operativa está relacionada con diferentes marcos normativos, aunque las obligaciones concretas dependen del tipo de organización, el sector y su ámbito de aplicación.

• NIS2: incluye la continuidad de negocio, la gestión de crisis y la recuperación ante incidentes entre las medidas de gestión de riesgos de ciberseguridad para las entidades incluidas en su ámbito.

• DORA: establece requisitos de resiliencia operativa digital para las entidades financieras sujetas al reglamento, incluidos planes de continuidad, respuesta y recuperación ante incidentes relacionados con las TIC.
  
• RGPD: exige medidas de seguridad adecuadas al riesgo, incluida, cuando proceda, la capacidad de restaurar la disponibilidad y el acceso a los datos personales en caso de incidente físico o técnico.

La documentación por sí sola no demuestra que una empresa esté preparada. Las pruebas de recuperación, la revisión de los procedimientos y el registro de resultados permiten comprobar si las medidas funcionan y qué aspectos deben corregirse.

¿Cómo ayuda la ciberseguridad gestionada a mantener la continuidad de negocio?

Un plan de continuidad necesita medidas de prevención y detección que ayuden a reducir la probabilidad y el impacto de un incidente. También requiere revisar las vulnerabilidades, proteger los dispositivos y comprobar que los procedimientos de recuperación siguen siendo válidos.

En ESED ayudamos a las empresas a mejorar su capacidad de prevención, detección y respuesta mediante servicios de ciberseguridad gestionada, monitorización continua, protección de endpoints y XDR, gestión de vulnerabilidades y pruebas de seguridad.