Las organizaciones se enfrentan a un amplio espectro de situaciones que pueden amenazar la continuidad de las actividades que permiten llevar a cabo el negocio. Algunas amenazas son provocadas deliberadamente, pero muchas otras surgen como resultado de acontecimientos internos o externos inesperados. Acontecimientos recientes demuestran que, aunque relativamente poco probables, dichas amenazas son reales y no pueden pasarse por alto:
Distribución estadística de amenazas a la continuidad de negocio
En la era del conocimiento, proteger los activos de información es una de las actividades más importantes que toda organización debe asumir para garantizar su supervivencia. Por ello, a menudo se piensa que la continuidad del negocio es una cuestión de seguridad de los sistemas y tecnologías de la información. Eso es cierto, pero la continuidad del negocio depende de muchos más factores, debiendo ocuparse necesariamente de aspectos organizativos, de infraestructuras, de las personas, etc. mesurando los posibles riesgos y su impacto para el negocio. El resultado debe ser un plan de continuidad de negocio (Business Continuity Plan (BCP)) que asegure la recuperación de un desastre y la continuidad de las operaciones, todo ello englobando el conjunto de la organización.
Cada vez más los reguladores, los inversores y los directivos están buscando garantías de que las organizaciones disponen de los mencionados planes, en marcha y actualizados, con el fin de reducir al mínimo cualquier perturbación de la buena marcha del negocio debida a circunstancias imprevistas. Actualmente, pues, esta es una cuestión que las organizaciones no pueden permitirse el lujo de ignorar.
Por fortuna, tanto las administraciones como organismos internacionales de estandarización están tomando cartas en el asunto y de ahí la existencia de normas como la Sarbanes-Oxley Act (SOX), la Ley Orgánica de Protección de Datos de Carácter Personal (LOPD), la ISO/IEC 27001 para la implantación de Sistemas de Gestión de la Seguridad de la Información (SGSI) y la BS 25999 para la Gestión de la Continuidad de Negocio, entre otras. Todas ellas, en mayor o menor medida, hacen referencia a aspectos organizativos y técnicos para salvaguardar los activos de una organización, empezando por su información.
Para acabar una cita de la norma BS 25999 que, en su definición de continuidad de negocio, resume buena parte de todo lo anterior:
“Proceso de gestión holístico que identifica las amenazas potenciales para una organización y el impacto en las operaciones de negocio que esas amenazas podrían causar si se materializasen, y que proporciona un escenario para la incorporación de resiliencia con la capacidad de respuesta efectiva para proteger los intereses de los accionistas, partes interesadas, la imagen, marca o actividades de valor. “ Cláusula 2.3 BS 25999-2:2007.
