La continuidad y su norma

ISO 22301 (edición 2019, «Seguridad y resiliencia — Sistemas de gestión de continuidad del negocio — Requisitos») no dice qué tecnología comprar ni cuántas horas debe tardar nadie. Pide que la organización tenga un sistema de gestión: que entienda su contexto, analice el impacto de perder sus procesos (BIA), decida estrategias, escriba planes, los ejercite y los mejore con lo que aprenda. Es un ciclo, igual que el de ISO 27001, y se audita igual: lo que está escrito se compara con lo que se hace.

Por eso, para GRC, un plan guardado en una carpeta no es continuidad: continuidad es el sistema que lo mantiene vivo.

Tres palabras que se mezclan. Continuidad del negocio: mantener o reanudar los procesos del negocio dentro del tiempo que tolera, aunque sea de forma manual y reducida. Recuperación (de desastres de TI): volver a poner en pie sistemas y datos. Respuesta a incidentes: detectar, contener y resolver un evento de seguridad. Un incidente puede disparar la continuidad (si para un proceso) o no (si solo se roban datos y todo sigue funcionando); y la recuperación de TI es una parte de la continuidad, no su totalidad.

La pregunta que ordena todo es de qué se habla: del proceso del negocio, del sistema que lo sostiene o del evento que lo ataca.

El Anexo A de ISO/IEC 27001:2022 recoge dos controles de continuidad: el 5.29, seguridad de la información durante una interrupción (que los controles de seguridad sigan valiendo cuando se opera en modo de emergencia: no se desactiva el control para ir más rápido), y el 5.30, preparación de las TIC para la continuidad (que los sistemas puedan recuperarse a los objetivos que fije el BIA). El primero cuida la seguridad mientras se opera en emergencia; el segundo, que la tecnología llegue a tiempo.

Quien audita ISO 27001 y no mira cómo se opera con el motor caído se pierde justo el momento en que más se relajan los controles.

La política de continuidad de Mirador define su alcance: los procesos que entran en los planes y los que quedan excluidos, cada exclusión con su justificación. Abre la carpeta del laboratorio, lee la política y revisa las exclusiones. Una exclusión sin justificación escrita es una decisión que nadie puede defender frente a un auditor: o hay razón, o el proceso no debería estar fuera.