Puntos clave
- La continuidad de negocio es la capacidad de tu empresa para seguir operando, o reoperar en horas, cuando ocurre un incidente grave.
- El BCP define qué procesos del negocio deben volver primero, quién hace qué y en cuánto tiempo; el DRP recupera la tecnología que sostiene esos procesos.
- Sin un plan probado, un incidente que debería durar horas termina dejando a una empresa días sin operar.
- El 95% de la seguridad recae en la prevención: diseñar, probar y mantener vivo el plan antes de que pase algo.
- RealNet acompaña a las empresas con respaldos, monitoreo y recuperación para que el plan no sea un documento muerto en un cajón.
La continuidad de negocio es la capacidad de tu empresa para seguir operando, o volver a operar en cuestión de horas, cuando ocurre un incidente grave: un ataque de ransomware, un servidor que muere, una inundación. Se arma con dos piezas que se complementan: un BCP, que ordena cómo sigue trabajando el negocio completo, y un DRP, que recupera la tecnología que lo sostiene. Les platico por qué esto importa tanto, con un caso que vimos de cerca.
Una SOFIPO, a la que llamaremos Empresa para no exponerla, sufrió un incidente un lunes por la mañana. Un equipo comprometido terminó cifrando parte de sus servidores. Lo que debió ser una mañana complicada se convirtió en tres días completos sin operar: sin colocar créditos, sin atender a sus socios, sin mover un solo peso. Tres días. Para una institución financiera popular, eso no es solo dinero perdido; es confianza perdida, y la confianza no se respalda en cinta.
Lo doloroso es que no tenían un plan. Tenían respaldos, sí, pero nadie sabía en qué orden levantar los sistemas, quién decidía qué, ni a quién llamar primero. Improvisaron bajo presión. Con un DRP y un BCP probados, esa misma empresa habría vuelto a operar en horas. Esa es la diferencia que marca un plan, y de eso se trata este artículo.
Qué es la continuidad de negocio y cómo se relacionan el DRP y el BCP
Empecemos por lo básico, sin tecnicismos. La continuidad de negocio es la disciplina de prepararte para seguir funcionando aunque algo salga muy mal. No es magia ni es software que compras y ya. Es planeación.
Dentro de esa disciplina hay dos planes que la gente confunde todo el tiempo:
1.- El BCP (Business Continuity Plan, o plan de continuidad de negocio) mira a toda la empresa. Responde preguntas como: si cae todo, ¿qué procesos tienen que volver primero? ¿Facturación? ¿Atención a clientes? ¿Nómina? ¿Quién toma las decisiones mientras arde el edificio, en sentido figurado? ¿Cómo le avisas a tus clientes y a tu gente?
2.- El DRP (Disaster Recovery Plan, o plan de recuperación ante desastres) es la parte tecnológica de ese mismo esfuerzo. Responde el cómo técnico: cómo recuperas los servidores, en qué orden, desde qué respaldo, con qué gente y en cuánto tiempo. El DRP vive adentro del BCP, como el motor vive adentro del coche.
Una comparación que usamos mucho con los empresarios: el BCP es el plan de evacuación completo de tu edificio (por dónde sale la gente, quién cuenta cabezas, dónde se reúnen). El DRP es, específicamente, cómo vuelves a encender la luz y el agua para que el edificio sirva otra vez. Necesitas los dos. Un edificio evacuado pero sin luz tampoco opera.
Si quieres profundizar en la mecánica de la recuperación tecnológica, escribimos una guía dedicada sobre cómo volver a operar tras un desastre que complementa lo que verás aquí.
Y una aclaración honesta, porque es nuestra filosofía desde que RealNet se fundó en 1993, y desde 1997 en temas de ciberseguridad: no existe el 100% seguro. Quien les diga que les garantiza seguridad absoluta, que se los firme con sangre. Lo que sí existe es la prevención, y el 95% de la seguridad recae ahí. El plan de continuidad es ese 95% en papel y en práctica.
Pasos para construir tu BCP: análisis de impacto, roles, tiempos y comunicación
Armar un BCP suena intimidante, pero se baja a cuatro bloques que cualquier empresario puede entender. Les platico cada uno.
1.- Análisis de impacto al negocio
Antes de proteger todo por igual, tienes que saber qué duele más perder. A esto se le llama análisis de impacto al negocio (BIA, por sus siglas en inglés). Te sientas con tu gente y listas tus procesos: facturación, cobranza, producción, atención, nómina. Para cada uno preguntas: si esto se cae, ¿qué pasa en una hora? ¿En un día? ¿En tres días, como le pasó a aquella SOFIPO?
De ahí salen dos números que mandan sobre todo el plan:
- RTO (tiempo objetivo de recuperación): cuánto tiempo máximo toleras que un proceso esté caído. Si tu facturación no puede parar más de cuatro horas, ese es tu RTO.
- RPO (punto objetivo de recuperación): cuántos datos puedes darte el lujo de perder, medido en tiempo. Si respaldas cada hora, tu RPO es de una hora; perderías, en el peor caso, 60 minutos de información.
Estos dos números no son adorno. Deciden cuánto inviertes y en qué. Un proceso con RTO de cuatro horas necesita una estrategia muy distinta a uno que aguanta dos días.
2.- Roles y responsabilidades
Durante una crisis, la peor pregunta es "¿y ahora quién decide?". El BCP la responde antes de que pase nada. Defines un responsable del plan, un vocero que habla con clientes y autoridades, un líder técnico que coordina la recuperación y un sustituto para cada uno, porque las crisis no respetan vacaciones ni incapacidades. En nuestra experiencia, hemos atendido entre 2 a 4 empresas por semana con incidentes, y las que salen bien libradas son siempre las que ya sabían quién hacía qué.
3.- Tiempos de recuperación y orden de prioridad
Aquí conviertes los RTO en una secuencia. No todo vuelve al mismo tiempo ni debe hacerlo. Primero lo que sostiene el flujo de dinero y la operación crítica; después lo importante pero tolerable; al final lo que puede esperar. Escribirlo evita que, bajo presión, alguien pierda tres horas levantando el servidor del correo mientras la facturación sigue muerta.
4.- Comunicación
Un incidente mal comunicado hace más daño que el incidente mismo. Tu BCP debe decir, de antemano, qué le dices a tus clientes, a tu equipo, a tus socios y, si aplica, al regulador. Para una SOFOM o una SOFIPO esto es doblemente delicado, porque hay obligaciones legales de por medio. Tener los mensajes y los canales listos convierte el pánico en orden.
Un buen BCP se apoya en que tu gente ya tenga cultura de prevención: el mejor plan falla si la gente que lo ejecuta nunca lo ensayó.
Cómo el DRP recupera tu infraestructura sin improvisar bajo presión
El DRP es donde la teoría se vuelve tornillos y cables. Es el documento que, a las tres de la mañana de un sábado, le dice a tu técnico exactamente qué hacer, paso a paso, sin que tenga que pensar bajo el estrés de una empresa parada.
Un DRP serio contiene, como mínimo:
1.- Inventario de sistemas críticos: qué servidores, qué aplicaciones, qué bases de datos sostienen los procesos que el BIA marcó como prioritarios.
2.- Estrategia de respaldo clara: aquí entra la regla que repetimos siempre, la del 3-2-1. Tres copias de tu información, en dos tipos de medios distintos, con una copia fuera de sitio o en la nube. Si el ransomware cifra tu servidor y tu único respaldo estaba conectado al mismo servidor, no tenías respaldo; tenías una ilusión.
3.- Procedimientos de recuperación escritos: no "restaurar el servidor", sino el orden exacto, las credenciales, las dependencias. Qué se levanta primero, qué depende de qué.
4.- Sitio alterno o nube: dónde reoperas si tu infraestructura física quedó inservible. La virtualización y la recuperación en la nube hicieron esto accesible hasta para empresas medianas que antes no podían pagar un segundo centro de datos.
Para que el DRP funcione de verdad, la recuperación tiene que estar libre de ransomware desde la raíz. De poco sirve restaurar un respaldo que también estaba infectado, y el costo de un ataque de ransomware casi siempre supera con creces lo que cuesta blindar los respaldos antes del incidente.
Aquí es donde entra BackupGuru, nuestro servicio de respaldo y recuperación. Está pensado precisamente para que la regla 3-2-1 no sea un buen deseo, sino algo que corre solo, con copias aisladas que el ransomware no alcanza, y con pruebas de restauración que confirman que el respaldo sí sirve. Un respaldo que nunca restauras es un paracaídas que nunca revisaste.
El acompañamiento de RealNet para diseñar, probar y mantener vivo el plan
Un plan de continuidad no es un documento que se escribe una vez y se guarda en un cajón. Esa es, de hecho, la trampa más común que hemos visto: empresas con un BCP hermoso, impreso, engargolado, que lleva tres años sin tocarse mientras la infraestructura cambió por completo. Cuando llega el incidente, el plan apunta a servidores que ya no existen.
Un plan vive solo si se mantiene. Y mantenerlo tiene tres momentos:
-
Diseñar. Nos sentamos contigo a hacer el análisis de impacto, definir RTO y RPO realistas para tu operación, y escribir tanto el BCP como el DRP con tu gente, no para tu gente. El plan que no entienden quienes lo van a ejecutar, no es un plan.
-
Probar. Aquí está el músculo que casi nadie ejercita. Hacemos simulacros: apagamos sistemas de forma controlada, restauramos respaldos, medimos si de verdad alcanzas tu RTO. Es tapar el pozo antes de que se ahogue el niño, no después. Lo que no se prueba, falla justo cuando más duele.
-
Mantener vivo. Cada vez que cambias un servidor, migras a la nube o agregas un sistema, el plan se actualiza. Y nuestro monitoreo continuo ayuda a que un incidente se detecte temprano, cuando todavía es manejable.
En ese monitoreo se apoyan servicios como SensorGuru, que vigila tu red con sensores y señuelos, y RadarGuru y MdrGuru, que detectan y responden a amenazas antes de que escalen. MailGuru cuida el correo, que sigue siendo la puerta de entrada favorita del phishing y del ransomware. Y PentestGuru pone a prueba tus defensas como lo haría un atacante real, para que no te enteres de tus huecos el día del desastre. Ese monitoreo de red con sensores es una de las piezas que sostiene un plan vivo.
RealNet lleva en esto desde 1997, y desde 2007 también en Bitrix, acompañando a empresas de manufactura, salud, logística, educación, hospitalidad y al sector financiero popular como SOFOMes y SOFIPOs. No vendemos una caja; acompañamos un proceso.
Prevención y planeación: el 95% que mantiene a tu empresa de pie
Déjame cerrar con números, porque a los empresarios nos mueven los números. Según el informe de IBM sobre el costo de una filtración de datos de 2025, el costo promedio global de una brecha fue de 4.44 millones de dólares, y a las organizaciones les tomó en promedio 241 días identificar y contener el incidente (Help Net Security). Doscientos cuarenta y un días. Imagínense esa cuenta corriendo mientras su empresa opera a medias.
Ese mismo informe trae un dato que da esperanza: las organizaciones que usaron automatización de forma extensa en su respuesta ahorraron en promedio 1.9 millones de dólares y contuvieron los incidentes 80 días más rápido. La planeación y las herramientas correctas no son un gasto; son la diferencia entre una mala mañana y una empresa que deja de existir. Y hemos visto empresas que, por no planear, dejaron de existir.
Si quieres una base sólida y neutral para empezar, la agencia FEMA del gobierno de Estados Unidos ofrece guías y plantillas públicas de continuidad y recuperación en ready.gov/business, un buen punto de partida antes de aterrizarlo a tu realidad mexicana.
El siguiente paso concreto es sencillo y lo puedes dar esta semana: toma tus tres procesos más críticos, pregúntate cuánto tiempo aguantas sin ellos y revisa si tu respaldo de hoy sí te permite cumplir ese tiempo. Si la respuesta es "no sé", esa incertidumbre es exactamente el riesgo que un plan elimina. Escríbenos a RealNet y armamos juntos tu DRP y tu BCP, los probamos y los mantenemos vivos. Porque una relación de seguridad solo funciona cuando los dos tienen la misma intención: crecer juntos.
Preguntas frecuentes
¿Cuál es la diferencia entre DRP y BCP?
El BCP, o plan de continuidad de negocio, abarca todo el negocio: qué procesos deben reoperar primero, quién los opera y en cuánto tiempo. El DRP, o plan de recuperación ante desastres, es la parte tecnológica: cómo recuperas servidores, datos y sistemas. El DRP vive dentro del BCP.
¿Qué es el tiempo objetivo de recuperación o RTO?
El RTO es el tiempo máximo que tu empresa puede tolerar que un proceso esté caído antes de que el daño sea grave. Si tu RTO de facturación es de cuatro horas, tu plan debe lograr que ese sistema regrese en menos de cuatro horas.
¿Cada cuánto debo probar mi plan de continuidad?
Al menos una vez al año, y cada vez que cambies algo importante en tu infraestructura. Un plan que nunca se prueba suele fallar justo cuando más lo necesitas.
¿Un respaldo es suficiente para la continuidad de negocio?
No. El respaldo es la base, pero la continuidad exige además saber en qué orden reoperar, quién decide, cómo te comunicas y cuánto tardas. El respaldo responde el qué; el plan responde el cómo y el cuándo.
