¿Cuánto tardaría tu organización en volver a operar si mañana los sistemas no arrancan? Casi todos los equipos de gobierno tienen esa respuesta escrita en un plan de continuidad del negocio, aprobado por el comité y revisado en la última auditoría. Lo que pocos tienen es la certeza de que las personas que deben ejecutar ese documento sepan, en el momento del incidente, cuál es su parte.
El escenario dejó de ser hipotético. El Data Breach Investigations Report 2026 de Verizon reporta que el 48% de las brechas ya involucra ransomware, y el panorama de amenazas de ENISA ubica las amenazas contra la disponibilidad en el primer lugar del ranking, por delante del ransomware y de las amenazas contra los datos. Cuando lo que se interrumpe es la operación, el plan de continuidad del negocio deja de ser un requisito de auditoría y pasa a ser un procedimiento que alguien tiene que aplicar sin tiempo para leerlo.
En mi experiencia revisando marcos de continuidad, el documento casi nunca es el problema. El problema aparece una capa más abajo, en la pregunta de quién sabe qué y desde cuándo.
¿Qué pide ISO 22301 sobre las personas, y por qué se implementa al final?
ISO 22301 es la norma internacional que especifica los requisitos de un sistema de gestión de la continuidad del negocio. Como el resto de las normas de sistemas de gestión, agrupa sus requisitos de soporte en la cláusula 7, y dos de ellos apuntan directamente a las personas. Son la competencia (7.2) y la toma de conciencia (7.3).
La competencia obliga a determinar qué capacidades necesita cada persona que tiene un rol asignado en la continuidad, y a asegurar que las tenga. La toma de conciencia tiene un alcance más amplio y llega a toda la organización, no solo al comité de crisis. Pide que cada persona conozca la política de continuidad, entienda su contribución al sistema y sepa qué implica apartarse de los procedimientos.
Esas dos cláusulas suelen quedar para el final. Documentar el análisis de impacto en el negocio, las estrategias de recuperación y los tiempos objetivo produce entregables que un auditor puede revisar en una carpeta. La competencia y la toma de conciencia producen algo menos cómodo de mostrar, porque viven en la cabeza de las personas el día que hacen falta.
Es el mismo desplazamiento que ocurre con el control 6.3 de ISO/IEC 27001, donde la formación del personal se documenta tarde y con menos precisión que los controles técnicos que la rodean.
La distancia entre tener un plan y poder activarlo
Un plan de continuidad aprobado prueba que la organización analizó sus procesos críticos y decidió cómo recuperarlos. No prueba que pueda hacerlo.
Entre una cosa y la otra hay una distancia que se manifiesta casi siempre de las mismas tres formas:
- El plan describe roles por cargo, y quien ocupa ese cargo cambió hace ocho meses sin que nadie actualizara el anexo.
- El procedimiento asume un canal de comunicación que depende del sistema que está caído.
- La activación requiere una decisión que nadie tiene delegada por escrito para las tres de la mañana de un domingo.
Ninguna de las tres se detecta leyendo el documento. Se detectan cuando alguien intenta usarlo.
¿Quién tiene que saber qué, y en qué momento?
La toma de conciencia en continuidad no significa que las 800 personas de una organización conozcan el plan completo. Significa que cada grupo sepa la parte que le toca. La segmentación que funciona tiene tres capas.
El comité de crisis necesita el criterio de activación, el orden de prelación entre procesos críticos y sus atribuciones para decidir sin consultar hacia arriba.
Los equipos con rol técnico asignado necesitan el procedimiento de recuperación de su ámbito y los tiempos objetivo que la organización comprometió para él.
El resto de la organización necesita saber tres cosas, y solo tres: cómo se va a enterar de que hay un incidente, por qué canal alternativo se comunica la organización mientras dure y qué está autorizada a hacer con la información y los dispositivos en el intervalo.
La tercera capa es la que se salta con más frecuencia y es, por lejos, la más numerosa. Alguien de administración que no sabe por qué canal alternativo se comunica la organización va a improvisar uno. Ese canal improvisado suele ser el que abre el problema siguiente.
¿Por qué ensayar el plan no es lo mismo que preparar a las personas?
ISO 22301 pide ejercitar y probar los procedimientos de continuidad, y el ejercicio de crisis es difícil de reemplazar. Pone al comité a decidir con información parcial y expone los supuestos que el documento daba por resueltos.
Lo que un ejercicio anual no consigue es sostener el comportamiento del resto del año. Un simulacro convoca a un grupo acotado durante unas horas, con aviso previo y en un contexto donde todos saben que están siendo observados. La conducta que importa el día del incidente real es la de alguien que no fue convocado a ningún ejercicio y que tiene que reconocer, sin ayuda, que lo que está viendo en su pantalla no es una falla informática común.
Ahí la continuidad se apoya en el mismo terreno que la concientización. Observar cómo responde la organización frente a un ataque de ransomware simulado produce una señal que el ejercicio de comité no da, porque esa observación alcanza a la población completa en un día normal de trabajo y no a los diez nombres de la sala de crisis. Esa señal se lee como comportamiento sostenido en el tiempo.
¿Qué parte del disparador depende de una persona?
Conviene ser preciso, porque este dato se suele estirar. El DBIR 2026 no sostiene que todo el ransomware entre por un clic. Reporta que el 31% de las brechas arranca en vulnerabilidades de software, una vía que ya supera las credenciales robadas. Lo que el informe sí mantiene es que las causas más frecuentes continúan involucrando de forma intensa el elemento humano, con la ingeniería social, el phishing y las credenciales robadas entre ellas.
Para un marco de gobierno lo que importa es que el disparador de un evento de continuidad tiene una componente humana estable y medible, y que esa componente se gestiona con instrumentos distintos de los que sirven para el parche y el backup. Tratar el riesgo humano como una variable que se observa antes del clic es lo que permite anticiparlo en lugar de reconstruirlo después.
¿Qué registrar para que la continuidad sea auditable?
Un requisito de competencia y toma de conciencia se demuestra con registros, igual que cualquier otro. La diferencia es que acá el registro tiene que responder por persona y por fecha, no por evento.
Cuatro preguntas ordenan lo que conviene tener disponible:
- ¿Quién tiene hoy un rol asignado en el plan de continuidad, según el directorio vigente y no según la última versión del anexo?
- ¿Qué formación recibió cada una de esas personas, cuándo la recibió y cuándo caduca?
- ¿Qué sabe el resto de la organización sobre el procedimiento de comunicación alternativa, y desde cuándo lo sabe?
- ¿Dónde está la evidencia de que la política de continuidad se comunicó y se aceptó?
Esas preguntas se parecen bastante a las que aparecen cuando hay que notificar una brecha con un reloj corriendo, y por una razón simple. En los dos casos la organización tiene que probar, con poco margen, algo que decidió mucho antes.
La gestión de normativas, políticas y procedimientos de SMARTFENSE cubre esa capa para la política de continuidad, y los registros de auditoría del programa permiten reconstruir quién leyó qué, cuándo lo aceptó y con qué vigencia, sin depender de una planilla que alguien mantiene a mano.
Qué convierte un plan de continuidad del negocio en una capacidad
Un plan de continuidad del negocio que solo existe como documento aprobado transfiere todo el riesgo al día del incidente. La organización queda dependiendo de que las personas adecuadas improvisen bien y a tiempo.
Cuando el incidente además tiene implicancia penal, esa improvisación se vuelve costosa muy rápido, porque las decisiones de las primeras horas quedan documentadas y se revisan después. Ahí la continuidad pasa a ser parte del gobierno de riesgos y deja de ser un anexo del área técnica.
La alternativa está en tratar la competencia y la toma de conciencia como dos requisitos con dueño, con registro y con vigencia, del mismo modo que ya se tratan el análisis de impacto y los tiempos objetivo de recuperación. Cuando eso está resuelto, el plan deja de revisarse una vez al año y empieza a ser una capacidad con la que la organización cuenta.
Preguntas frecuentes
¿Qué exige ISO 22301 sobre la concientización del personal?
ISO 22301 incluye la toma de conciencia como requisito de soporte en su cláusula 7.3. Pide que las personas de la organización conozcan la política de continuidad del negocio, entiendan cuál es su contribución al sistema de gestión y sepan qué implica apartarse de los procedimientos establecidos.
¿Cuál es la diferencia entre competencia y toma de conciencia en continuidad del negocio?
La competencia (7.2) aplica a quienes tienen un rol asignado en la continuidad y exige asegurar que cuenten con las capacidades necesarias para desempeñarlo. La toma de conciencia (7.3) aplica a toda la organización y opera en un nivel más básico, el de saber que el plan existe, qué se espera de cada persona y cómo se va a comunicar la organización durante una interrupción.
¿Alcanza un ejercicio de crisis anual para cumplir el requisito sobre las personas?
El ejercicio cubre la obligación de probar los procedimientos, pero involucra a un grupo acotado durante unas horas y con aviso previo. No sostiene el comportamiento del resto de la organización durante el año, que es donde se apoya la respuesta el día de un incidente no anunciado.
¿Quién dentro de la organización tiene que conocer el plan de continuidad?
Conviene segmentar en tres capas. El comité de crisis necesita el criterio de activación y sus atribuciones de decisión; los equipos con rol técnico necesitan el procedimiento de recuperación de su ámbito y los tiempos objetivo; el resto de la organización necesita saber cómo se enterará del incidente, por qué canal alternativo se comunicará y qué está autorizado a hacer mientras dure.
¿Qué evidencia pide un auditor sobre la preparación de las personas en continuidad?
Registros por persona y por fecha, no por evento. Quién tiene rol asignado según el directorio vigente, qué formación recibió cada uno con fecha de realización y de caducidad, qué se comunicó al resto de la organización y desde cuándo, y dónde consta la aceptación de la política de continuidad.
Deja un comentario