Reevaluando los riesgos en la seguridad de la información
Cuando se discute el impacto de la seguridad en el ámbito empresarial, la tendencia es asociarlo inmediatamente con ciberataques. Entre ellos se encuentran el ransomware, el robo de datos y las filtraciones, los cuales están en la mente de las organizaciones debido a la frecuencia y sofisticación de estos incidentes que pueden acarrear pérdidas significativas.
Sin embargo, surge una interrogante que quizás muchas empresas no contemplan: ¿qué sucedería si, de un día para otro, sus operaciones se detienen por una causa ajena a un ataque cibernético?
Extensos peligros más allá de los ciberataques
Factores como un corte de energía, un incendio, el robo de equipamiento crítico o un error humano pueden ocasionar los mismos estragos que un ataque de ransomware, deteniendo las funciones operativas de la compañía. Lo que importa al cliente, en última instancia, es que el sistema esté inactivo, ya sea por un ataque cibernético o por una interrupción del servicio en la infraestructura.
Así, la noción de seguridad de la información debe abarcar mucho más que la simple defensa contra hackers. Se trata de salvaguardar la capacidad de la organización para operar continuamente, sin importar la naturaleza del incidente.
El impacto de un apagón masivo
En los últimos años, se han documentado numerosos incidentes de ransomware que han dejado a empresas enteras incapaces de facturar o atender a sus clientes por prolongados períodos de tiempo. Sin embargo, no sería necesario un ataque para experimentar este tipo de situación.
Por ejemplo, en abril de 2025, un apagón masivo afectó a millones de residentes en España y Portugal. Aeropuertos, hospitales y diversas empresas vieron cómo sus operaciones se interrumpían, a pesar de que no se trataba de un ciberataque. Sin embargo, el resultado fue comparable: sistemas fuera de servicio y graves pérdidas económicas. La Red Eléctrica de España atribuyó el apagón a una desconexión del sistema eléctrico europeo.
La diferencia entre las organizaciones que lograron continuar sus actividades y las que se vieron paradas radicó en un elemento fundamental: la preparación. Contar con energía de respaldo, planes de contingencia y personal capacitado permitió que muchas empresas mantuvieran sus operaciones, mientras que otras simplemente tuvieron que esperar a que el servicio se restableciera.
Un incendio como recordatorio de la importancia de la resiliencia
Otro caso elocuente donde se resalta la importancia de la continuidad del negocio se dio en 2021, cuando un incendio destruyó parcialmente el centro de datos de OVHcloud, uno de los mayores proveedores de infraestructura de Europa. Este evento dejó miles de sitios web y aplicaciones fuera de línea, llevando a muchas organizaciones a darse cuenta tardíamente de que su operación dependía de un único servidor, sin un plan de recuperación implementado.
No fue solo el incendio lo que causó el problema; muchos descubrieron que ese edificio representaba su única infraestructura digital. Las empresas que diversificaron su carga de trabajo y mantuvieron respaldo pudieron recuperar rápidamente sus servicios, mientras que otras se vieron forzadas a esperar, algunas incluso desaparecieron.
Incidentes cotidianos también amenazan la operación
Por otro lado, no se puede ignorar la ocurrencia de incidentes más mundanos, como el robo de una computadora portátil, que muchas veces se subestima como simple pérdida material. Sin embargo, si este dispositivo contiene información sensible, la situación puede transformarse rápidamente en una brecha de seguridad.
Errores humanos, fallos de infraestructura y problemas con proveedores son situaciones corrientes que, aunque no acaparan titulares, pueden poner en riesgo gravemente la continuidad de un negocio.
Afortunadamente, muchas de estas situaciones cuentan con mitigaciones eficaces, tales como cifrado, autenticación multifactorial y organización de procedimientos claros ante incidentes.
Prepararse para lo incierto
Es imposible que cualquier organización garantice que no sufrirá incidentes. La cuestión realmente crucial es: ¿cuánto tiempo puede el negocio estar inactivo antes de que las repercusiones se vuelvan inaceptables?
Resolver este interrogante implica identificar los procesos críticos, definir las dependencias tecnológicas, establecer tiempos de recuperación y preparar al personal para actuar ante una crisis. Esto es lo que se entiende por continuidad del negocio.
No se trata de evitar la aparición de problemas, ya que eventualmente sucederán, sino de asegurar que la entidad pueda seguir operando cuando ocurran.
Construir resiliencia antes de que sea necesario
Los incidentes son variables, pero la necesidad de estar preparados permanece. La seguridad de la información no se limita a frenar accesos no autorizados; también implica que la información continúe disponible, los procesos críticos sigan funcionando y haya capacidad de recuperación ante eventualidades adversas.
En conclusión, los líderes organizacionales no se preguntarán cuál fue la causa del problema cuando ocurra un incidente; lo único que recordarán será si la empresa pudo seguir respondiendo en los momentos que más lo necesitaba.
