Para las organizaciones modernas el principal reto relacionado con los ciberataques ha pasado de ser si se producirá un ataque a cuán rápido pueden restablecer las operaciones esenciales una vez que ocurre.
Los incidentes que afectaron a Marks & Spencer y, más recientemente, a Jaguar Land Rover (JLR) han vuelto a poner de relieve la magnitud de la interrupción. En el caso de M&S, la recuperación de un incidente que salió a la luz a finales de abril alcanzó un importante hito a principios de agosto, cuando sus servicios de «click and collect» volvieron a estar operativos. Son casi cuatro meses de ingresos perdidos, por no hablar del impacto en la reputación de la marca y la confianza de los consumidores.
La empresa mínima viable
Afrontar este tipo de realidad requiere un cambio fundamental de perspectiva. Una parte importante del problema es que las estrategias tradicionales de recuperación ante desastres suelen centrarse en restaurar todo el entorno de TI, un proceso que puede llevar meses, dejando incluso a las empresas con más recursos incapaces de funcionar correctamente mientras tanto.
Entonces, ¿cuál es la alternativa? Aquí es donde entra en juego el concepto de empresa mínima viable (MVC).
Una MVC es la versión más reducida de una empresa que sigue siendo capaz de operar y atender a sus clientes si se interrumpen partes de sus sistemas o procesos. Este enfoque ayuda a las organizaciones a mantener la continuidad del negocio, incluso en medio de un ciberataque.
Desde el punto de vista operativo y de TI, lo que constituye la viabilidad mínima variará de una organización a otra, pero normalmente el énfasis recae en áreas como las plataformas de comunicación y colaboración, la gestión de identidades y accesos, y las aplicaciones empresariales básicas que sustentan las cadenas de suministro, la logística, las finanzas, el servicio al cliente y, en el caso de empresas como JLR, la producción.
Sin estos servicios esenciales en funcionamiento, incluso una empresa que técnicamente se esté «recuperando» puede seguir sin poder funcionar. El MVC, por lo tanto, representa un punto de partida práctico para la planificación de la resiliencia, tendiendo un puente entre la continuidad inmediata y la restauración a largo plazo.
Definición de un MVC
Aunque la lógica detrás de la MVC es sencilla, y una investigación reciente reveló que el 36 % de las empresas reconocen su valor, a la mayoría de las organizaciones les cuesta definirla y dimensionarla. Se ha constatado que las mayores barreras son la complejidad de los sistemas y aplicaciones existentes (52 %), mantener los planes de recuperación en consonancia con las necesidades cambiantes del negocio (47 %) y las dificultades para separar los sistemas «básicos» de las operaciones «más amplias» (30 %). Las grandes empresas, en particular, suelen carecer de una visión clara y documentada de los sistemas y procesos que conforman su estado mínimo viable, y son aún menos las que han probado esa visión de principio a fin.
Una parte clave de la dificultad radica en la forma en que suelen estar estructuradas las funciones de TI. Los equipos responsables de las redes, el almacenamiento, las plataformas en la nube, las herramientas de colaboración y los servidores tienden a operar de forma aislada, lo que significa que las dependencias críticas entre sistemas se pasan por alto fácilmente. Una aplicación orientada al cliente, por ejemplo, puede depender de plataformas de ERP, almacenamiento y CRM en segundo plano. Si no se alinean todas estas, restaurar solo el servicio de cara al cliente sirve de muy poco.
La complejidad de las infraestructuras híbridas es otro factor. Con servicios locales, SaaS y nativos de la nube funcionando en paralelo, determinar qué recuperar y en qué orden está lejos de ser sencillo. El resultado es que las organizaciones siguen siendo vulnerables a interrupciones prolongadas, incluso cuando creen que cuentan con planes de resiliencia.
Cuando se produce un incidente grave, tanto los equipos de respuesta a incidentes como los de recuperación necesitan acceder a la misma infraestructura bajo una presión intensa. Las medidas de seguridad en las que las organizaciones esperan confiar fallan con frecuencia: los sitios de recuperación ante desastres pueden verse comprometidos si comparten el mismo dominio y las copias de seguridad suelen estar dañadas o cifradas.
Como resultado, identificar un punto de restauración limpio puede llevar días, y se necesita más tiempo para construir la infraestructura y validar las aplicaciones. No es raro que el tiempo de inactividad total sea de entre 20 y 23 días, un periodo que a muchas organizaciones les costaría mucho soportar. Esto pone de relieve por qué es fundamental definir una MVC con antelación: proporciona una base de referencia para la recuperación que evita semanas de parálisis.
Dimensionamiento de la MVC
Como regla general, asignar alrededor del 20 % de la producción en términos de almacenamiento, capacidad de cálculo y alcance de la carga de trabajo ofrece una base de referencia de recursos viable. Este subconjunto debe hacerse inmutable y aislarse físicamente para protegerlo de cualquier compromiso, reservando alrededor del 10% de esa asignación para una cleanroom o un entorno de recuperación aislado.
Por ejemplo, una organización con un entorno de producción de 4 petabytes podría empezar con 800 terabytes de backup inmutable, de los cuales 80 terabytes se reservan para una recuperación limpia. Aunque no sustituye a un análisis MVC completo, este enfoque proporciona una capa fundamental de resiliencia mientras continúa la planificación a largo plazo.
Al saber de antemano a qué sistemas y datos dar prioridad, las organizaciones evitan la ineficiencia de intentar restaurarlo todo de una vez. Los esfuerzos de recuperación pueden centrarse en el entorno central que mantiene las operaciones en marcha, mientras que el conjunto de TI más amplio se recupera en paralelo.
Además, las plataformas de recuperación modernas también pueden reducir drásticamente el tiempo de inactividad. Al escanear continuamente las copias de seguridad en busca de malware, identificar puntos de restauración limpios, poner en marcha entornos de recuperación aislados bajo demanda y coordinar la reconstrucción de aplicaciones manteniendo intactas las dependencias, una recuperación que antes tardaba 20 días puede reducirse a unas pocas horas o a un solo día.
Del mismo modo, reunir la respuesta a incidentes y la recuperación en un único panel de control supone una gran ventaja, sobre todo porque permite a los equipos asegurarse de que se restauran los sistemas correctos en el orden adecuado. Para las organizaciones más pequeñas, esto puede empezar con un paquete mínimo —como una copia de seguridad inmutable de Microsoft 365 y una recuperación segura de Active Directory—, mientras que las grandes empresas pueden ampliar esos mismos principios con apoyo de consultoría. En cualquier caso, establecer una «empresa mínima viable» puede contribuir en gran medida a mitigar los riesgos de los tiempos de inactividad empresarial que acaparan los titulares.
Darren Thomson
Field CTO para EMEAI en Commvault
