Tecnología
Plan de Continuidad del Negocio: qué es y cómo armarlo en cuatro pasos
Redacción: ESET
ESET analiza los pasos claves para elaborar un plan de continuidad del negocio y asegurar el futuro digital de una empresa ante posibles incidentes.
Desde un brote de un virus informático, un brote de un virus biológico, y otros peligros, como incendios, inundaciones, tornados, huracanes, terremotos o tsunamis que puedan alterar la operabilidad del negocio, un plan de continuidad de negocio (también llamado BCP, por sus siglas en inglés) gestiona cómo una organización debe recuperarse después de una interrupción no deseada o desastre en su organización, y restaurar sus funciones críticas, parcial o totalmente interrumpidas, dentro de un tiempo predeterminado.
ESET, compañía líder en detección proactiva de amenazas, explica los pasos claves para elaborar un plan de continuidad del negocio y asegurar el futuro digital de una empresa ante posibles incidentes.
“Sin dudas estos planes conforman una parte vital de la gestión de seguridad de sistemas de información, ya que sirven para prevenir y gestionar eventos no deseados con el objetivo de dar continuidad al negocio de la manera más eficiente y menos costosa posible”, comenta Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica.
El estándar internacional para la continuidad del negocio, ISO 22301, la define como la “capacidad [de una organización] de continuar la prestación de productos o servicios en los niveles predefinidos aceptables tras incidentes de interrupción de la actividad”.
Es importante tener presente que este tipo de planes deben combinarse con otros planes, como los DRP (disaster recovery plan) y BCM (Business Continuity Management), ya que estos complementan el procedimiento de acciones que deben tomarse para darle la continuidad a un negocio ante un evento no deseado.
“Desafortunadamente algunas empresas deben cerrar cuando son afectadas por un desastre para el cual no estaban preparadas adecuadamente. Cualquier empresa de cualquier tamaño puede mejorar las posibilidades de superar un incidente que amenace con interrumpir su actividad y quedar en una pieza (con la marca intacta y sin merma en los ingresos) si sigue ciertas estrategias probadas y de confianza, más allá de que desee obtener la certificación ISO 22301 o no”, agrega Gutiérrez Amaya de ESET.
¿Cómo elaborar un plan de continuidad de negocio en cuatro pasos?
1. Identificar y ordenar las amenazas: Luego de identificar los productos, servicios o funciones clave para una organización y más tarde realizar un perfil de riesgo a través de una autoevaluación utilizando el marco de las 4P: Personas, Procesos, Beneficios y Asociaciones, crear una lista de los incidentes de interrupción de la actividad que constituyan las amenazas más probables para la empresa. No usar la lista de otro, porque las amenazas varían según la ubicación. Por ejemplo, puede que una zona sea más propensa a terremotos que otra y esto es importante para establecer el orden y prioridad de las acciones.
Por otra parte, es necesario plantearse algunas preguntas: ¿qué ocurre dónde se encuentra la empresa? ¿Y qué pasa con la fuga de datos o la interrupción de la infraestructura de TI, que pueden ocurrir en cualquier parte? ¿Estás ubicado cerca de una vía ferroviaria? ¿De una autopista importante? ¿Cuánto depende la empresa de proveedores extranjeros?
En esta etapa, una buena técnica es reunir personas de todos los departamentos en una sesión de intercambio de ideas. El objetivo de la reunión es crear una lista de escenarios ordenados por probabilidad de ocurrencia y por potencial de causar un impacto negativo.
2. Realizar un análisis del impacto en la empresa: Sin dudas se necesitará determinar qué partes de la empresa son las más críticas para que sobreviva. Siguiendo esta línea, es importante poder evaluar el potencial impacto de las interrupciones para la empresa y sus trabajadores. Se puede comenzar detallando las funciones, los procesos, los empleados, los lugares y los sistemas que son críticos para el funcionamiento de la organización.
De estas tareas se ocupa generalmente el líder del proyecto y, para ello, deberá entrevistar a los empleados de cada departamento y luego elaborar una tabla de resultados que liste las funciones, las personas principales y las secundarias. Esto permitirá determinar la cantidad de “días de supervivencia” de la empresa para cada función. ¿Cuánto puede resistir la empresa sin que una función en particular provoque un impacto grave?
3. Crear un plan de respuesta y recuperación: En esta etapa se deberán catalogar datos clave sobre los bienes involucrados en la realización de las funciones críticas, incluyendo sistemas de TI, personal, instalaciones, proveedores y clientes. Se deberán incluir números de serie de los equipos, acuerdos de licencia, alquileres, garantías, detalles de contactos, etc.
Se necesitará determinar “a quién llamar” en cada categoría de incidente y crear un árbol de números telefónicos para que se hagan las llamadas correctas en el orden correcto. También se necesitará una lista de “quién puede decir qué cosa” para controlar la interacción con los medios durante un incidente (considerar quedarse con una estrategia de “sólo el CEO” si se trata de un incidente delicado).
Deberán quedar documentados todos los acuerdos vigentes para mudar las operaciones a ubicaciones e instalaciones de IT temporales, de ser necesario. No olvidar documentar el proceso de notificación para los miembros de la empresa en su totalidad y el procedimiento de asesoramiento para clientes.
Los pasos para recuperar las operaciones principales deberían ordenarse en una secuencia donde queden explícitas las interdependencias funcionales. Cuando el plan esté listo, asegurarse de capacitar a los gerentes sobre los detalles relevantes para cada departamento, así como la importancia del plan general para sobrevivir a un incidente.
4. Probar el plan y refinar el análisis: La mayoría de los expertos en planes de continuidad de negocios recomiendan probar el plan al menos una vez al año, con ejercicios, análisis paso a paso o simulaciones. La prueba permite sacar el mayor provecho a lo que se invirtió en la creación del plan, pudiendo detectar fallas y dar cuenta de los cambios corporativos con el transcurso del tiempo, lo que sugiere que siempre conviene mantener, revisar y actualizar continuamente el plan de continuidad de la actividad.
“No cabe duda de que estos cuatro pasos significan un enorme trabajo, pero es una tarea que las empresas ignoran bajo su propio riesgo. Si el proyecto parece demasiado desalentador para aplicar a la empresa completa, considera comenzar por unos pocos departamentos o una sola oficina, si hay varias. Todo lo que vayas aprendiendo en el proceso se podrá aplicar en mayor escala a medida que progreses. Evita a toda costa pensar que las cosas malas no suceden, porque sí lo hacen. Sólo tienes que estar preparado. Y no pretendas que cuando ocurra algo no será tan malo, porque podría serlo”, asegura Gutiérrez Amaya de ESET Latinoamérica.
Para conocer más sobre seguridad informática visita el portal de noticias de ESET: https://www.welivesecurity.com/la-es/2022/12/15/gestion-continuidad-negocio-cuatro-pasos/
Por otro lado, ESET invita a conocer Conexión Segura, su podcast para saber qué está ocurriendo en el mundo de la seguridad informática. Para escucharlo ingrese a:
Nacionales
Binaes presenta a Otelo, nuevo perro robot para fomentar la robótica e innovación en El Salvador
La Biblioteca Nacional de El Salvador (Binaes) incorporó un nuevo perro robot llamado Otelo, disponible en el sexto nivel del edificio, dedicado a la innovación y tecnología. Otelo se suma a Canelo, el primer perro robot de la biblioteca, para ofrecer a los visitantes una experiencia de aprendizaje y entretenimiento.
La Binaes invita a niños, jóvenes, adultos y estudiantes a conocer a Otelo, con acceso gratuito todos los días. En la sección de robótica, los niños de tres a siete años pueden interactuar con robots educativos para desarrollar habilidades básicas de programación y coordinación motora.
Además, la biblioteca ofrece talleres y cursos para niños mayores de ocho años y adolescentes, donde se abordan desde conceptos básicos de electrónica hasta la creación de casas inteligentes mediante domótica. El próximo 18 de julio se realizará un taller para la construcción de un termómetro digital.
“Descubre el apasionante universo de la robótica en nuestro taller para jóvenes y adultos, donde exploraremos Arduino y electrónica básica en una jornada intensa y educativa”, informó la Binaes en sus redes sociales. Las inscripciones están abiertas en el sitio web oficial de la biblioteca.
Los infostealers, un tipo de malware diseñado para robar información confidencial como credenciales de acceso y datos financieros, se han consolidado como una de las amenazas cibernéticas más frecuentes y sofisticadas en América Latina. Así lo revela el más reciente informe de ESET, compañía líder en detección proactiva de amenazas, que analiza el comportamiento de estas familias de malware en la región durante la primera mitad de 2025.
De acuerdo con el reporte, los infostealers no solo han incrementado su volumen de actividad, sino que también han diversificado sus métodos de ataque, afectando de manera significativa a países como Brasil, México y Argentina. Estas amenazas operan de forma silenciosa, infiltrándose en dispositivos para sustraer datos sensibles que luego son enviados a redes de cibercriminales mediante plataformas como Discord o Telegram.
Martina López, investigadora de Seguridad Informática de ESET Latinoamérica, advierte que muchas de estas familias están diseñadas bajo el modelo Malware-as-a-Service, lo que permite su compra y personalización por distintos actores maliciosos. “Hemos observado una evolución significativa en la forma en que operan estas amenazas. Algunas mantienen presencia constante desde hace años, mientras que otras emergen con rapidez y se adaptan mediante componentes modulares y nuevas tácticas de evasión”, detalló.
Entre las seis familias de infostealers más detectadas por ESET en la región destacan:
-
LummaStealer, el más prevalente en 2025, ha registrado más de 4,000 detecciones. Se caracteriza por su arquitectura modular y su venta en mercados clandestinos, lo que permite a diferentes atacantes personalizarlo para campañas específicas.
-
Amadey, activo desde 2018, destaca por su doble función: actúa como infostealer y también como loader de otros tipos de malware, como ransomware o troyanos bancarios.
-
Rozena, una amenaza versátil que combina capacidades de robo de datos y acceso remoto, y que opera de forma file-less, dificultando su detección.
-
Guildma, troyano bancario de origen brasileño que ha expandido su alcance regional. Capta credenciales y manipula sesiones bancarias en tiempo real.
-
Formbook y XLoader, amenazas ligadas a campañas de malspam, utilizadas tanto por ciberdelincuentes experimentados como por atacantes menos sofisticados, debido a su bajo perfil y facilidad de uso.
Según ESET, estos códigos maliciosos no solo representan un peligro por el robo de datos, sino por su papel como vectores iniciales en ataques de mayor escala. “La mayoría de infostealers están diseñados para ser sigilosos, eficientes y persistentes. Esto los convierte en una pieza crítica dentro de cadenas de infección más amplias, como las que terminan en ataques de ransomware o espionaje industrial”, señaló López.
Frente a este panorama, ESET insiste en la importancia de reforzar la seguridad cibernética mediante herramientas de detección temprana, inteligencia de amenazas y estrategias de respuesta coordinada.
Más información sobre el informe completo está disponible en el portal oficial de ESET: WeLiveSecurity. Además, la compañía invita a escuchar Conexión Segura, su podcast de seguridad informática, disponible en Spotify.
Microsoft dejará oficialmente de dar soporte a Windows 10 el 14 de octubre de 2025. Con esta fecha acercándose rápidamente, algunas empresas deberán tomar acciones urgentes. Sin más actualizaciones de seguridad, correcciones de errores o soporte técnico más allá de esta fecha límite, las empresas que todavía usan Windows 10 se enfrentan a mayores riesgos que van desde vulnerabilidades de ciberseguridad hasta problemas de cumplimiento normativo e interrupciones operativas.
Este momento marca algo más que el ocaso del software. Es una oportunidad para evaluar su infraestructura de TI, modernizar el hardware obsoleto y equipar a la fuerza de trabajo con herramientas seguras y potenciadas por IA, creadas para las necesidades empresariales en evolución de hoy en día.
Cómo afectará el fin de soporte a los usuarios finales
Cuando Microsoft finalice el soporte para Windows 10, los servicios críticos dejarán de estar disponibles. Esto incluye que no habrá más actualizaciones de seguridad, lo que significa que cualquier vulnerabilidad descubierta después de la fecha de corte quedará sin parche, exponiendo los sistemas a crecientes amenazas de ciberseguridad. Las empresas también perderán el acceso a las correcciones de errores y mejoras de rendimiento, lo que podría provocar problemas de estabilidad y una menor eficiencia. Además, con el fin del soporte técnico de Microsoft para Windows 10, la resolución de problemas se volverá más compleja y exigirá más recursos. Con el tiempo, las nuevas aplicaciones y servicios también pueden dejar de ser compatibles con Windows 10, lo que provocará problemas de compatibilidad que afectarán tanto a la experiencia del usuario como a la continuidad operativa.
Para evitar estos riesgos y mantener la continuidad del negocio, es importante empezar a planificar ya los próximos pasos.
Qué puede hacer
Para reducir cualquier posible interrupción y maximizar el valor a largo plazo, las empresas no deben dudar en empezar a planificar lo antes posible. Los pasos clave incluyen:
- Evaluar la preparación de los dispositivos: Utilice la herramienta PC Health Check de Microsoft o consulte a su socio de TI para determinar qué dispositivos son aptos para una actualización a Windows 11.
- Actualización a Windows 11: Si los dispositivos son compatibles, planifique una estrategia de migración del sistema operativo que minimice el tiempo de inactividad y favorezca la productividad de los empleados.
- Modernización con nuevo hardware: Los dispositivos antiguos que no cumplan los requisitos de Windows 11 deben sustituirse. Los dispositivos modernos ofrecen seguridad integrada, rendimiento mejorado y preparación para IA.
“A medida que las empresas se preparan para un entorno post-Windows 10, se vuelve imprescindible contar con dispositivos que no solo respondan a los estándares actuales, sino que anticipen las exigencias del futuro. Las PC modernas deben ser capaces de gestionar cargas de trabajo cada vez más complejas, proteger datos sensibles frente a amenazas cibernéticas, y facilitar una colaboración eficiente en entornos híbridos o distribuidos. Todo esto, además, con una arquitectura que esté lista para aprovechar el potencial transformador de la inteligencia artificial en el lugar de trabajo”, explica Acer, líder global en tecnología. “En este contexto, invertir en equipos diseñados para productividad, seguridad y rendimiento ya no es una ventaja competitiva: es una necesidad estratégica”.
