Ciberresiliencia a través de la gestión de la continuidad de negocio

El estándar BSI 200-4 (versión final 1.0, de mayo de 2023; sucesor del estándar BSI 100-4) describe la implantación y la operación de un sistema de gestión de la continuidad de negocio (BCMS). Su modelo escalonado permite una adopción eficiente en recursos en tres niveles de madurez: el BCMS reactivo para una capacidad básica de respuesta a emergencias disponible con rapidez, el BCMS de desarrollo (Aufbau-BCMS) para una ampliación gradual y el BCMS estándar como despliegue completo. El nivel BCMS estándar es conforme con los requisitos de la ISO 22301:2019, la norma de BCMS certificable internacionalmente (complementada en 2024 con el Amendment 1). La gestión de emergencias de TI (IT Service Continuity Management, ITSCM) engrana el BCM con la operación de TI y el SGSI.

El punto de partida es el análisis de impacto en el negocio (BIA): identifica los procesos de negocio críticos en el tiempo, sus recursos y los posibles puntos únicos de fallo. El tiempo máximo tolerable de interrupción (MTA en la terminología del BSI, MTPD en inglés) establece cuánto tiempo puede estar parado como máximo un proceso de negocio; de ahí se deriva el tiempo de recuperación exigido (Recovery Time Objective, RTO) de los recursos que lo soportan. La pérdida máxima de datos admisible (Recovery Point Objective, RPO) determina la antigüedad máxima del último estado de datos recuperable y, con ello, la frecuencia de las copias de seguridad. En la práctica resulta decisivo el contraste con los valores realmente alcanzables (RTA/RPA): si estos superan los valores objetivo, existe una brecha de cobertura que debe cerrarse mediante medidas técnicas o mediante un nivel definido de operación de emergencia (MBCO).

Como regla básica para las copias de seguridad se ha consolidado la regla 3-2-1: tres copias de los datos en dos tipos de soporte distintos, de las cuales una copia en otra ubicación. En su catálogo de medidas contra ransomware, el BSI advierte de que los atacantes con derechos de administración obtenidos previamente buscan de forma selectiva las copias de seguridad y las cifran igual que los sistemas productivos; por ello, al menos una copia debería mantenerse offline y desconectarse de la red tras la copia, y esta separación debe verificarse periódicamente. El almacenamiento inmutable (Immutable Storage, por ejemplo mediante mecanismos WORM u Object Lock) complementa la protección, porque los estados guardados no pueden modificarse ni borrarse a posteriori ni siquiera con derechos de administración. A la copia de seguridad pertenece también la restauración practicada: la recuperación y el arranque en frío (black start) —la puesta en marcha de todos los servidores y sistemas— deberían probarse periódicamente en la práctica.

Los planes de emergencia solo son fiables cuando se han ejercitado. El estándar BSI 200-4 prevé para ello una planificación anual de ejercicios con formatos escalonados: las revisiones de planes (conocidas internacionalmente como ejercicios tabletop) examinan los planes de forma deliberativa «sobre la mesa»; los ejercicios de comité de crisis y de estado mayor entrenan el trabajo del comité de crisis en condiciones realistas; los ejercicios de alerta prueban la localizabilidad y las vías de notificación; las pruebas funcionales demuestran la eficacia técnica de medidas de emergencia concretas. Los escenarios deberían contemplar distintos grados de compromiso: desde sistemas individuales hasta la caída total, incluidas copias de seguridad online inutilizables. La evaluación y el análisis posterior de cada ejercicio revierten como mejoras en los planes y playbooks.

Para la comunicación de emergencia y de crisis se elaboran de antemano conceptos para el trato con los grupos de interés relevantes: empleados, clientes, proveedores de servicios, medios y autoridades. En paralelo a la gestión del incidente corren las obligaciones legales de notificación: según el art. 23 de la Directiva NIS2, en caso de incidentes significativos debe emitirse una alerta temprana en un plazo de 24 horas y una notificación en un plazo de 72 horas desde su conocimiento, seguidas de un informe final a más tardar un mes después de la notificación. La capacidad de comunicación debe estar garantizada incluso cuando los propios sistemas estén cifrados; por ello, las listas de contactos, los planes de respuesta y las credenciales de acceso necesarias deberían conservarse offline o en formato impreso.

La Directiva NIS2 (Directiva (UE) 2022/2555) exige en el art. 21(2)(c), como medida mínima, la «continuidad de las actividades, como la gestión de copias de seguridad y la recuperación en caso de catástrofe, y gestión de crisis». Para el sector financiero, DORA (Reglamento (UE) 2022/2554, aplicable desde el 17 de enero de 2025) va más allá: las entidades financieras que no sean microempresas deben mantener, conforme al art. 24, un programa sólido y completo de pruebas de resiliencia operativa digital; los sistemas de TIC que sustentan funciones esenciales o importantes deben probarse al menos una vez al año. Además, las entidades financieras designadas por las autoridades competentes deben realizar, conforme al art. 26, al menos cada tres años pruebas avanzadas mediante pruebas de penetración basadas en amenazas (TLPT), sobre sistemas de producción en vivo que sustenten funciones esenciales o importantes.