Introducción
La continuidad del negocio se ha convertido en una capacidad estratégica para las organizaciones que dependen de tecnologías digitales, servicios en la nube, redes de comunicación, plataformas de comercio electrónico, sistemas de gestión y cadenas de suministro interconectadas. En este contexto, una interrupción tecnológica puede afectar simultáneamente la operación, la atención a clientes, el cumplimiento regulatorio, la seguridad de la información y la reputación institucional.
Los incidentes que amenazan la continuidad pueden tener orígenes diversos: ataques de ransomware, fallas de infraestructura, interrupciones de proveedores tecnológicos, errores humanos, pérdida de conectividad, desastres naturales, conflictos geopolíticos o problemas en la cadena de suministro. La transformación digital no elimina estos riesgos; en algunos casos, aumenta la velocidad con la que un incidente puede propagarse entre procesos, áreas y organizaciones.
Por ello, la continuidad del negocio ya no debe entenderse únicamente como la recuperación después de un desastre físico. Actualmente implica desarrollar la capacidad de anticipar amenazas, mantener las funciones prioritarias durante una interrupción, responder de forma coordinada y recuperar los servicios dentro de niveles aceptables. La norma ISO 22301:2019 establece un marco para implementar, operar, mantener y mejorar continuamente un sistema de gestión de la continuidad del negocio.
En la era digital, este sistema debe integrarse con la gestión de riesgos, la ciberseguridad, la protección de la información, la gestión de proveedores y la gobernanza corporativa. La continuidad no depende exclusivamente del área de tecnologías de la información: requiere decisiones de la alta dirección, participación del personal, coordinación con terceros y una comprensión clara de los procesos que sostienen los objetivos de la organización.
La continuidad del negocio en el entorno digital
La continuidad del negocio puede definirse como la capacidad de una organización para seguir entregando productos o servicios durante y después de un incidente disruptivo. Esta capacidad no significa necesariamente mantener todas las actividades con normalidad. En una situación crítica, el objetivo puede ser operar temporalmente con recursos reducidos, priorizar clientes o servicios esenciales y restablecer progresivamente la operación habitual.
La digitalización modifica la naturaleza de las interrupciones por tres razones principales:
- Interdependencia: los procesos dependen de aplicaciones, redes, centros de datos, proveedores de nube, sistemas de pago, servicios de telecomunicaciones y plataformas externas.
- Velocidad: un incidente informático puede afectar múltiples activos en minutos y extenderse a distintas ubicaciones o entidades conectadas.
- Intangibilidad: la interrupción puede no presentar daños físicos visibles, aunque impida acceder a datos, sistemas, identidades digitales o servicios esenciales.
El riesgo digital tampoco se limita a la confidencialidad de la información. La disponibilidad y la integridad son igualmente importantes para la continuidad. Un sistema que permanece accesible, pero entrega información alterada o incompleta, puede producir decisiones incorrectas y daños operativos. De manera similar, una base de datos protegida contra accesos no autorizados puede seguir siendo crítica si la organización no puede consultarla durante una emergencia.
Esta perspectiva es relevante porque evita reducir la continuidad a una tarea técnica. La tecnología es un componente esencial, pero la prioridad debe definirse desde el negocio: qué procesos son críticos, qué consecuencias tendría su interrupción, cuánto tiempo pueden permanecer detenidos y qué recursos son necesarios para mantenerlos o recuperarlos.
Un sistema de gestión como base
ISO 22301:2019 propone un sistema de gestión de la continuidad del negocio que puede aplicarse a organizaciones de distintos tamaños y sectores. Su enfoque es compatible con otros sistemas de gestión porque utiliza elementos como el análisis del contexto, el liderazgo, la planificación, el apoyo, la operación, la evaluación del desempeño y la mejora continua.
La norma busca que la organización pueda:
- Identificar los riesgos y amenazas relevantes para sus actividades.
- Determinar los efectos potenciales de una interrupción.
- Establecer prioridades de continuidad y recuperación.
- Diseñar estrategias y soluciones apropiadas.
- Implementar procedimientos de respuesta.
- Probar la capacidad de respuesta.
- Revisar el desempeño y corregir deficiencias.
La ventaja de este enfoque es que sustituye las respuestas improvisadas por una capacidad institucionalizada. Un documento aislado no garantiza la continuidad. Para que un plan sea útil, debe contar con responsables definidos, recursos disponibles, mecanismos de comunicación, criterios de activación, procedimientos actualizados y evidencia de que ha sido probado.
La continuidad también debe alinearse con los objetivos estratégicos. Una organización puede considerar prioritario mantener la producción, procesar pedidos, atender emergencias, conservar la trazabilidad de sus operaciones o proteger información regulada. Las prioridades variarán según el sector, el tamaño, la ubicación geográfica, el modelo operativo y las obligaciones contractuales.
ISO 31000:2018 puede complementar este trabajo porque proporciona principios y directrices para identificar, analizar, evaluar, tratar, monitorear y comunicar riesgos en toda la organización (ISO, 2018). La norma no es un estándar certificable de sistemas de gestión, pero ofrece un marco útil para vincular la continuidad con la toma de decisiones y la gestión corporativa del riesgo.
Análisis de impacto al negocio
Uno de los instrumentos centrales de la continuidad del negocio es el análisis de impacto en el negocio, conocido como BIA por sus siglas en inglés. Su finalidad es determinar cómo afectaría una interrupción a los procesos, productos, servicios y partes interesadas de la organización.
Es necesario analizar los procesos que generan valor y los recursos que los hacen posibles.
Entre estos recursos pueden encontrarse:
- Personal.
- Instalaciones y equipos.
- Información y registros.
- Aplicaciones y bases de datos.
- Redes y servicios de telecomunicaciones.
- Proveedores y socios de negocio.
- Energía, transporte y servicios públicos.
- Requisitos legales, regulatorios y contractuales.
A partir de este análisis, la organización puede definir objetivos como el tiempo máximo tolerable de interrupción, el tiempo objetivo de recuperación y el nivel mínimo de operación aceptable. Estos conceptos deben establecerse con criterios de negocio y no únicamente con base en las capacidades actuales de la infraestructura tecnológica.
Por ejemplo, una empresa manufacturera podría determinar que su sistema de planificación de producción debe recuperarse antes que una plataforma de reportes internos. Un hospital puede priorizar los sistemas clínicos y de urgencias sobre los servicios administrativos. Una agencia aduanal puede considerar esenciales la comunicación con autoridades, la gestión documental y la trazabilidad de operaciones. En todos los casos, el criterio central es el impacto de la interrupción sobre los objetivos y las obligaciones de la organización.
Ciberseguridad y continuidad
La continuidad y la ciberseguridad tienen objetivos relacionados, aunque no son idénticos. La ciberseguridad busca proteger los activos digitales y reducir la probabilidad o el impacto de incidentes. La continuidad busca asegurar que las funciones prioritarias puedan mantenerse y recuperarse cuando una interrupción ocurre, incluso si los controles preventivos no fueron suficientes.
ISO/IEC 27001:2022 establece requisitos para un sistema de gestión de seguridad de la información, mientras que ISO/IEC 27002:2022 proporciona orientación y controles relacionados con aspectos como control de acceso, criptografía, seguridad de los recursos humanos y respuesta a incidentes (ISO, 2022a, 2022b). La propia ISO diferencia entre los requisitos del sistema de gestión y las buenas prácticas o controles que pueden aplicarse para proteger la información.
Estas normas pueden contribuir a la continuidad mediante medidas como la gestión de identidades, la segregación de funciones, la protección contra malware, la gestión de vulnerabilidades, la seguridad de proveedores y la preparación para incidentes. Sin embargo, la existencia de controles de seguridad no reemplaza el plan de continuidad. Una organización puede contar con controles preventivos adecuados y, aun así, necesitar procedimientos para operar cuando un sistema sea indisponible.
La preparación debe incluir respaldos protegidos, procedimientos de restauración, ambientes alternos, mecanismos de comunicación fuera de banda y accesos de emergencia controlados. También debe contemplar la preservación de evidencias, la coordinación con autoridades y la evaluación de obligaciones de notificación cuando se presenta una brecha o incidente.
Preparación de las TIC
La tecnología de la información y las comunicaciones ocupa un lugar central en la continuidad digital. ISO/IEC 27031:2025 proporciona orientación para preparar las TIC de manera que respalden los objetivos generales de continuidad del negocio. La norma aborda la capacidad de prevenir, responder y recuperarse de interrupciones relacionadas con las TIC que pueden afectar operaciones críticas (ISO, 2025)
Esta preparación implica relacionar los objetivos del negocio con las capacidades técnicas. No basta con afirmar que existe redundancia o respaldo; es necesario verificar si la solución cumple con el tiempo y el nivel de recuperación que requiere cada proceso.
La recuperación debe probarse en condiciones realistas. Una copia de seguridad no puede considerarse confiable si nunca se ha restaurado. Del mismo modo, un centro alterno puede resultar insuficiente si las credenciales, licencias, configuraciones, conectividad o datos necesarios no están disponibles.
La arquitectura tecnológica también debe analizarse desde el punto de vista de los puntos únicos de falla. La concentración de varios servicios en un único proveedor, región o plataforma puede generar eficiencia, pero también aumentar la exposición sistémica. Por esta razón, las decisiones sobre nube, externalización y centralización deben incluir criterios de resiliencia, portabilidad y recuperación.
Proveedores y cadena de suministro
La continuidad de una organización depende cada vez más de terceros. Los proveedores pueden alojar información, operar aplicaciones, administrar infraestructura, prestar servicios logísticos o suministrar componentes indispensables para la producción. Una interrupción en uno de ellos puede afectar a múltiples clientes al mismo tiempo.
El riesgo de terceros no desaparece por incluir una cláusula contractual. La organización debe conocer qué ocurre detrás del proveedor principal: subcontratistas, centros de datos, servicios de telecomunicaciones y dependencias tecnológicas. También conviene establecer mecanismos para verificar la capacidad de recuperación y la comunicación durante un incidente.
En sectores interconectados, la dependencia puede ser recíproca. Una falla energética puede interrumpir servicios digitales; una falla digital puede afectar la distribución de energía, el transporte o el acceso a servicios financieros. Esta interdependencia exige analizar los riesgos más allá de los límites formales de una empresa.
Respuesta, comunicación y recuperación
Un plan de continuidad debe establecer cómo se activa la respuesta y quién tiene autoridad para hacerlo. Las primeras decisiones durante una interrupción suelen producirse con información incompleta. Por ello, las responsabilidades deben definirse previamente y los equipos deben conocer sus funciones.
La comunicación es uno de los elementos más sensibles. En una crisis digital, los canales habituales pueden estar comprometidos. Por ello, es recomendable disponer de medios alternos, listas de contacto verificadas y mensajes previamente preparados para trabajadores, clientes, proveedores, autoridades y otras partes interesadas.
La comunicación debe ser oportuna, coherente y proporcional a la información confirmada. Ocultar un incidente puede aumentar la incertidumbre, pero difundir datos no verificados también puede perjudicar la respuesta. La organización debe establecer quién comunica, qué información puede divulgarse, cómo se protegen los datos personales y cuándo deben notificarse incidentes a las autoridades competentes.
La recuperación tampoco debe entenderse como el simple restablecimiento técnico de un sistema. Es necesario confirmar la integridad de la información, validar los controles de seguridad, verificar que los procesos funcionen correctamente y documentar las decisiones adoptadas. En algunos casos, recuperar un sistema sin analizar la causa del incidente puede reintroducir la vulnerabilidad.
Conclusiones
La continuidad del negocio en la era digital requiere mucho más que un plan de recuperación informática. Implica proteger y mantener los procesos prioritarios mediante una combinación de gestión de riesgos, ciberseguridad, preparación tecnológica, coordinación con proveedores, comunicación efectiva y liderazgo organizacional.
ISO 22301 ofrece un marco para establecer y mejorar un sistema de gestión de continuidad; ISO 31000 ayuda a integrar la gestión del riesgo en la toma de decisiones; ISO/IEC 27001 e ISO/IEC 27002 contribuyen a proteger la información y responder ante incidentes; e ISO/IEC 27031 aborda la preparación de las TIC para respaldar los objetivos de continuidad. Estas referencias deben aplicarse de acuerdo con el contexto, el tamaño, el sector y las obligaciones de cada organización.
La resiliencia no se demuestra mediante la cantidad de documentos elaborados, sino mediante la capacidad de actuar cuando los supuestos habituales dejan de cumplirse. Una organización resiliente conoce sus procesos críticos, entiende sus dependencias, prueba sus soluciones, comunica con claridad y aprende de los resultados.
En un entorno de interconexión creciente, la continuidad también es una responsabilidad compartida. La cooperación con proveedores, autoridades, clientes y otras organizaciones resulta necesaria para proteger servicios esenciales y reducir los efectos de interrupciones que pueden superar los límites de una sola entidad.
La transformación digital seguirá modificando la forma en que se producen bienes, se prestan servicios y se relacionan las partes interesadas. Por ello, la continuidad debe mantenerse como un proceso dinámico: planificar, implementar, probar, revisar y mejorar de manera permanente.
Referencias
International Organization for Standardization. (2018). ISO 31000:2018: Risk management—Guidelines. https://www.iso.org/standard/65694.html
International Organization for Standardization. (2019). ISO 22301:2019: Security and resilience—Business continuity management systems—Requirements. https://www.iso.org/standard/75106.html
International Organization for Standardization. (2022a). ISO/IEC 27001:2022: Information security, cybersecurity and privacy protection—Information security management systems—Requirements. https://www.iso.org/standard/27001.html
International Organization for Standardization. (2022b). ISO/IEC 27002:2022: Information security, cybersecurity and privacy protection—Information security controls. https://www.iso.org/standard/75652.html
International Organization for Standardization. (2025). ISO/IEC 27031:2025: Cybersecurity—Information and communication technology readiness for business continuity. https://www.iso.org/es/norma/27031