Continuidad de negocio
Pruebas y simulaciones
Un plan que nunca se probó es una suposición.
En qué consiste este trabajo
Un plan bueno en el papel falla en detalles que solo aparecen cuando alguien intenta seguirlo. Montamos el escenario, ponemos a las personas en la sala y conducimos el ejercicio, con un guion escrito para tu ambiente e inyecciones que cambian el panorama a mitad de camino y fuerzan decisiones bajo presión. El objetivo no es pasar la prueba: es hacer que las fallas aparezcan ahí, antes de que cuesten caro.
El formato define lo que el ejercicio revela. En la mesa, el liderazgo discute las decisiones en voz alta sin que nada se ejecute, y es donde primero aparece el desalineamiento sobre quién decide qué. En la simulación con ejecución, partes del plan corren de verdad: la activación se dispara, la restauración se prueba y el tiempo medido se compara con el tiempo prometido. El programa anual encadena ejercicios con escenarios variados, dificultad creciente e indicadores de evolución.
De tu lado, necesitamos los planes que se van a probar, a las personas correctas en la sala y, cuando haya ejecución real, las autorizaciones formales y las ventanas acordadas antes de que cualquier cosa empiece. Al final recibes el guion utilizado, el informe con lo que funcionó y lo que se trabó, y el plan de mejora con lo que debe ajustarse antes del próximo ejercicio o del incidente de verdad.
Cómo conducimos, etapa por etapa
Las etapas y los entregables de abajo describen la modalidad Simulación con ejecución. Las demás modalidades aparecen cuando pides la propuesta.
Planificación y autorización
Cerramos el alcance por escrito, definimos ventanas, contactos de emergencia y las autorizaciones formales. Ninguna prueba empieza sin eso.
Elaboración de los planes
Escribimos los planes en el formato de quien va a usarlos en el peor día del año: directo, con pasos y teléfonos.
Ejercicio
Ponemos a las personas en la situación y conducimos. Lo que falla aquí es lo que habría fallado de verdad.
Presentación
Reunión con la dirección traduciendo el resultado técnico en riesgo de negocio y decisión de inversión. Llegamos con la respuesta a las preguntas que la mesa siempre hace: qué atacar primero, cuánto esfuerzo exige y qué pasa si no se hace nada.
Lo que no está incluido
- La elaboración de los planes que se van a probar, que es otro servicio y viene antes
- Pruebas que exijan una parada real de producción sin autorización formal por escrito, que no conducimos bajo ninguna circunstancia
- Herramientas de simulación de ataque técnico, que son alcance de ciberseguridad
- La ejecución de las correcciones del plan de mejora, que es de los dueños de cada acción; en el programa anual acompañamos el avance, no ejecutamos por ellos
- La reescritura de los planes después del ejercicio, que queda con el dueño de cada documento o con el servicio de continuidad
- El ambiente de prueba y la infraestructura de restauración para la simulación con ejecución, que los provisiona tu TI o el proveedor
- Campañas de phishing simulado, que prueban a las personas frente a un engaño y no a los planes frente a una crisis, y son otro servicio
- La presencia de los convocados en la sala, que es compromiso de tu liderazgo: un ejercicio de mesa sin quien decide no prueba nada
Suele venir junto
No es paquete y no cambia lo que ya elegiste. Es lo que suele aparecer justo después, en la experiencia de quien ya pasó por esto.