¿Qué es realmente una empresa resiliente?
Cuando hablamos de resiliencia empresarial, muchas personas piensan automáticamente en tecnología.
Más servidores.
Nuevas aplicaciones.
Herramientas especializadas.
Y más proveedores tecnológicos.
Sin embargo, la resiliencia rara vez depende únicamente de la tecnología.
Una empresa resiliente no es aquella que evita todos los problemas.
Es aquella que entiende suficientemente bien cómo funciona como para seguir operando cuando los problemas aparecen.
La diferencia es importante.
Porque una organización puede disponer de herramientas avanzadas y, aun así, desconocer qué procesos sostienen realmente su actividad.
Puede invertir en tecnología y seguir sin saber qué ocurriría si mañana desapareciera un proveedor crítico.
Puede disponer de medidas de seguridad y seguir sin tener claro quién es responsable de supervisarlas.
La resiliencia no empieza cuando ocurre una crisis.
Empieza mucho antes.
Empieza cuando una organización comprende cómo funciona.
Lo que hemos descubierto tras hablar con directivos de toda España
Durante este trimestre hemos mantenido conversaciones con responsables de empresas de distintos sectores y tamaños.
Y aunque cada organización tiene una realidad diferente, hemos detectado patrones que se repiten con una frecuencia preocupante.
No hablamos de problemas técnicos.
Hablamos de decisiones, responsabilidades y falsas sensaciones de seguridad.
Externalizar no significa transferir la responsabilidad
Uno de los errores más repetidos es asumir que contratar un servicio implica transferir la responsabilidad.
Muchas empresas creen que al externalizar la protección de datos, la ciberseguridad o el cumplimiento normativo, el proveedor pasa a asumir el riesgo.
Pero no funciona así.
El proveedor puede asesorar.
También puede acompañar en la toma de decisiones.
Y, además, ejecutar determinadas tareas.
Sin embargo, quien responde ante una reclamación, una inspección o una autoridad de control sigue siendo la organización.
Por eso el Artículo 24 del RGPD establece el principio de responsabilidad proactiva.
La propia AEPD recuerda que la organización debe ser capaz de garantizar y demostrar el cumplimiento de las obligaciones que le corresponden.
No basta con tener un proveedor.
La empresa debe poder demostrar que las medidas implantadas son adecuadas y están siendo supervisadas.
La responsabilidad no desaparece porque exista un contrato.
«No tengo tiempo para estas cosas» suele ser una señal de alarma
Otra situación habitual aparece cuando hablamos de protección de la información.
Muchas veces escuchamos frases como:
«No tengo tiempo para ocuparme de estas cuestiones.»
Sin embargo, rara vez se trata de una cuestión de tiempo.
Se trata de no comprender completamente el valor de lo que se está protegiendo.
Hablamos de bases de datos de clientes.
Información financiera.
Proyectos estratégicos.
Conocimiento interno.
Procedimientos de trabajo.
Y relaciones comerciales.
Información que, en muchos casos, constituye el principal activo de la organización.
Resulta difícil imaginar a una empresa diciendo que no tiene tiempo para revisar su tesorería.
Sin embargo, todavía encontramos organizaciones que no dedican tiempo a supervisar la información sobre la que se sostiene gran parte de su actividad.
Tener herramientas no significa tener control
Probablemente esta sea una de las falsas sensaciones de seguridad más extendidas que hemos encontrado durante este trimestre.
Muchas organizaciones confunden la existencia de tecnología con la existencia de control.
Algunas cuentan con un proveedor IT.
Otras trabajan con Microsoft 365.
Muchas utilizan soluciones cloud.
Y prácticamente todas disponen de algún sistema antivirus.
Y concluyen que están protegidas.
Pero cuando profundizamos unos minutos, aparecen preguntas que muy pocas empresas pueden responder con seguridad.
- ¿Existen copias verificadas y probadas periódicamente?
- ¿Se han realizado simulaciones reales de recuperación?
- ¿Se supervisan los accesos privilegiados?
- ¿Se revisan las cuentas inactivas?
- ¿Se controlan los permisos sobre la información crítica?
- ¿Existe evidencia documental de estas revisiones?
Lo que exige realmente el Artículo 32 del RGPD
Y aquí aparece un problema que muchas empresas desconocen.
El RGPD no exige tener herramientas.
Exige poder demostrar que las medidas implantadas son adecuadas al riesgo existente.
Eso es exactamente lo que establece el principio de responsabilidad proactiva recogido en el Artículo 24 RGPD.
Y el Artículo 32 obliga a implantar medidas técnicas y organizativas apropiadas para garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas y servicios de tratamiento.
Estas obligaciones están recogidas expresamente en el Artículo 32 del RGPD, que exige adoptar medidas adecuadas al riesgo existente.
La diferencia es enorme.
Porque una empresa puede tener tecnología.
Y seguir incumpliendo.
Puede tener un proveedor.
Y seguir incumpliendo.
Puede tener un antivirus.
Y seguir incumpliendo.
Lo relevante no es la existencia de la herramienta.
Lo relevante es la capacidad de supervisarla, justificarla y demostrar su eficacia.
La tecnología aporta capacidades.
La responsabilidad sigue siendo de la organización.
La nube sigue siendo una de las mayores fuentes de falsa seguridad empresarial
Hay una frase que hemos escuchado repetidamente este trimestre.
«Nosotros trabajamos con Microsoft 365.»
Y casi siempre viene acompañada de una conclusión implícita.
«Por tanto, estamos protegidos.»
Sin embargo, esa afirmación suele esconder una confusión profunda sobre cómo funciona realmente la responsabilidad en entornos cloud.
El error de asumir que Microsoft responde por ti
Microsoft proporciona una plataforma.
No asume la responsabilidad sobre la gestión de tu información.
No decide qué usuarios tienen acceso.
No revisa tus permisos.
No clasifica tus datos.
No valida tus procedimientos.
No responde por las decisiones que toma tu organización.
Y tampoco sustituye las obligaciones que establece el RGPD.
La responsabilidad compartida sigue siendo responsabilidad
De hecho, el modelo cloud se basa en el principio de responsabilidad compartida.
El proveedor protege la infraestructura.
La organización sigue siendo responsable de la configuración, los accesos, la supervisión, la protección de los datos y la capacidad de recuperación de la información.
Por eso resulta especialmente preocupante escuchar afirmaciones como:
«No necesitamos copias porque estamos en Microsoft 365.»
o
«Si ocurre algo, Microsoft responderá.»
La realidad es mucho menos cómoda.
La responsabilidad frente a una brecha de seguridad, una pérdida de información o una inspección sigue correspondiendo a la organización.
No corresponde al proveedor.
Tampoco a Microsoft.
Ni al software utilizado.
Y precisamente por eso el Artículo 24 RGPD exige poder demostrar que las medidas adoptadas son adecuadas.
Mientras que el Artículo 32 exige garantizar un nivel de seguridad apropiado al riesgo existente.
Trabajar en la nube no elimina estas obligaciones.
Tampoco transfiere la responsabilidad.
Y mucho menos sustituye la supervisión necesaria.
La nube es una herramienta.
No una estrategia.
Y cuando una empresa confunde una herramienta con una estrategia de protección, normalmente descubre el error cuando ya es demasiado tarde.
El patrón que más se repite en las empresas menos resilientes
Después de todas estas conversaciones hemos llegado a una conclusión que probablemente resulte incómoda.
Las organizaciones menos resilientes rara vez tienen un problema tecnológico.
Tienen un problema de percepción.
Creen entender su empresa mejor de lo que realmente la entienden.
Esta falsa sensación de control suele ir acompañada de otro problema: nadie ha definido formalmente qué nivel de exposición considera aceptable la organización. Ya analizamos este punto al hablar del riesgo empresarial aceptable y de la responsabilidad de dirección en la toma de decisiones.
Creen conocer sus dependencias.
Dan por hecho que sabrían reaccionar ante una incidencia.
Y consideran que los principales riesgos ya están identificados.
Pero cuando analizamos procesos, proveedores, accesos y responsabilidades, aparecen lagunas que nadie había detectado.
Y precisamente ahí suele encontrarse la fragilidad real.
No en la tecnología.
En el desconocimiento.
Las cinco preguntas que toda empresa resiliente puede responder
Las organizaciones más resilientes no son las que tienen todas las respuestas.
Pero sí son capaces de responder con claridad a determinadas preguntas.
¿Qué procesos son imprescindibles para seguir operando?
¿Qué dependencias externas sostienen el negocio?
¿Quién tiene acceso a la información crítica?
¿Qué ocurriría si mañana desapareciera un proveedor clave?
¿Quién revisa periódicamente estas decisiones?
Si estas cuestiones generan dudas, probablemente existe una oportunidad importante de mejora.
Porque aquello que no se comprende difícilmente puede supervisarse.
Y aquello que no se supervisa rara vez puede protegerse adecuadamente.
La resiliencia empieza antes del incidente
Durante este trimestre hemos hablado de:
- dependencia digital
- continuidad operativa
- RTO y RPO
- ransomware
- correo electrónico
- copias de seguridad
- riesgo aceptable
A simple vista parecen temas diferentes.
Pero todos comparten una misma raíz.
La capacidad de comprender cómo funciona realmente la organización.
Uno de los descubrimientos más relevantes es que muchas organizaciones no son conscientes del nivel de dependencia tecnológica sobre el que se sostiene su actividad diaria. Ya analizamos este problema en profundidad cuando hablamos de dependencia digital extrema.
Ninguna empresa descubre sus dependencias durante una crisis.
Ninguna empresa construye resiliencia durante un incidente.
Ninguna empresa aprende a supervisar cuando ya ha perdido el control.
La resiliencia se construye antes.
Mucho antes.
Cuando todavía no ha ocurrido nada.
De hecho, una estrategia de continuidad operativa 360° no se limita a la tecnología. Obliga a entender procesos, personas, dependencias y responsabilidades.
Conceptos como RTO y RPO existen precisamente para ayudar a las organizaciones a definir cuánto tiempo pueden permitirse estar inoperativas y cuánto dato pueden permitirse perder.
¿Y si el problema no fuera la tecnología?
Después de todo lo que hemos analizado durante los últimos meses, creemos que existe una pregunta más importante que cualquier otra.
No es:
¿Tienes antivirus?
No es:
¿Tienes proveedor IT?
No es:
¿Trabajas en Microsoft 365?
La pregunta realmente relevante es otra.
¿Entiendes realmente cómo funciona tu empresa?
Porque si no puedes explicar con claridad:
- qué sostiene tu actividad
- qué dependencias son críticas
- quién supervisa los riesgos
- quién toma las decisiones
- qué ocurriría si algo falla
Entonces probablemente tu organización es mucho menos resiliente de lo que imaginas.
Y esa es una realidad que ninguna herramienta puede resolver por sí sola.
Las organizaciones más vulnerables no suelen ser las que tienen menos tecnología.
Suelen ser las que creen conocer su negocio mejor de lo que realmente lo conocen.
La resiliencia empieza por comprender la organización
Durante este trimestre hemos hablado de dependencias digitales, continuidad operativa, recuperación, ransomware, copias de seguridad y gestión del riesgo.
A simple vista parecen conversaciones distintas.
En realidad siempre hemos estado hablando de lo mismo.
De comprender cómo funciona una organización antes de que llegue el momento de ponerla a prueba.
La continuidad operativa nunca fue una cuestión de tecnología.
La continuidad operativa siempre fue una cuestión de conocimiento.
Las empresas resilientes no son las que tienen más herramientas.
Son las que entienden mejor cómo funcionan.
Y quizá esa sea la lección más importante que nos deja este trimestre.
Tu empresa
disponer de tecnología.
Puede apoyarse en proveedores especializados.
Incluso puede haber documentado procedimientos internos.
Pero: ¿Podrías explicar hoy cuáles son las dependencias críticas que sostienen tu actividad y quién supervisa realmente cada una de ellas?
Si la respuesta no es inmediata, quizá el siguiente paso no sea comprar más tecnología.
Quizá sea entender mejor cómo funciona tu organización.
👉 Solicita una Consulta de Continuidad Operativa YWEN.
Una empresa resiliente es aquella capaz de mantener o recuperar su actividad ante incidentes, interrupciones o cambios imprevistos.
No. La resiliencia depende también del conocimiento de los procesos, las dependencias críticas, la supervisión y la toma de decisiones.
La continuidad operativa forma parte de la resiliencia empresarial y permite mantener la actividad cuando ocurre una incidencia.
No. Microsoft proporciona la infraestructura, pero la organización sigue siendo responsable de la gestión, supervisión y protección de la información.
No. Puede asesorar y ejecutar determinadas tareas, pero la responsabilidad final sigue correspondiendo a la organización.
