Puntos Clave
- ResOps no es un producto tecnológico. Se trata de una disciplina operativa multifuncional que contribuye a impulsar la ciberresiliencia de la organización.
- Complementa las funciones de copia de seguridad, recuperación ante desastres, ciberseguridad, continuidad del negocio y respuesta ante incidentes, alineándolas en torno a los resultados de Recovery de principio a fin.
- ResOps se centra en los servicios críticos y en los niveles de tolerancia al impacto definidos por la empresa, en lugar de en componentes aislados de la infraestructura.
- Se basa en la generación continua de datos, entre los que se incluyen resultados de Recovery contrastados, indicadores de resiliencia del servicio y un registro propio de deficiencias.
- ResOps es un proceso continuo. Ni la elaboración de un plan ni la realización de un ejercicio puntual con éxito bastan para establecer una capacidad de Recovery duradera.
El nuevo reto de la resiliencia
La mayoría de las organizaciones invierten en ciberseguridad, copias de seguridad,la Recovery,y la continuidad del negocio. Sin embargo, muchos ejecutivos siguen enfrentándose a tres preguntas fundamentales: ¿Podemos recuperarnos? ¿Cuánto tiempo tardará la recuperación? ¿Y podemos demostrarlo? Parte del reto radica en que la responsabilidad de la resiliencia se reparte entre equipos que, a menudo, operan de forma aislada. El departamento de seguridad gestiona las amenazas. El departamento de TI se encarga del mantenimiento de los sistemas. Los equipos de Backup and Recovery restauran los datos y la infraestructura. Los equipos de continuidad del negocio se centran en mantener la organización en funcionamiento. Cada uno desempeña un papel importante, pero la responsabilidad de la recuperación puede seguir estando fragmentada.
ResOps aúna estas funciones en torno a prioridades compartidas, objetivos de Recovery y pruebas. El resultado es una forma más práctica de abordar la resiliencia: saber qué es lo más importante, comprender qué se necesita para recuperarlo, comprobar si Recovery funciona y actuar ante las deficiencias que se detecten.
P: ¿Qué es ResOps?
ResOpses la disciplina operativa que aúna seguridad, infraestructura y operaciones de TI,continuidad de las actividades, y a los responsables de las empresas en torno a los servicios críticos, el diseño resiliente y la validación continua. En pocas palabras, ResOps ayuda a los equipos a prepararse ante las interrupciones, a recuperar los servicios críticos dentro de los límites de tolerancia al impacto definidos por la empresa y a demostrar, basándose en pruebas, que la recuperación funciona.
Cuatro características definen a ResOps. Se trata de:
- Multifuncional por naturaleza. ResOps conecta las responsabilidades distribuidas a través de un modelo operativo compartido, la asignación de responsabilidades y la gobernanza ejecutiva.
- Centrado en los servicios esenciales. Da prioridad a los servicios que la organización debe restablecer para aportar valor fundamental, atender a los clientes y generar ingresos; además de contribuir al cumplimiento de las obligaciones urgentes de carácter legal, normativo, de seguridad y relacionadas con la misión.
- Validada de forma continua. La resiliencia es una actitud que los equipos deben practicar y mejorar —no un estado que se determine mediante una prueba anual—.
- Medida a partir de datos contrastados. ResOps genera una puntuación de resiliencia (RPS): una puntuación por servicio, respaldada por datos contrastados, que mide la capacidad de recuperación de un servicio crítico concreto basándose en los resultados de la validación, el estado de las dependencias y la confianza en una recuperación sin incidencias.
¿Qué no es ResOps?
No es una categoría de productos.
Ninguna plataforma puede crear ResOps por sí sola. Las tecnologías de protección de datos, Recovery cibernético, automatización, observabilidad y pruebas pueden respaldar esta disciplina, pero ResOps es una cuestión organizativa. Depende de la gobernanza, la responsabilidad compartida, las prioridades empresariales, las prácticas operativas y un estándar común de pruebas.
No sustituye a Backup and Recovery, ni a la recuperación ante desastres.
ResOps no sustituye a unas capacidades sólidas de Backup and Recovery: depende de ellas. La copia de seguridad determina si existen copias recuperables. Recovery proporciona los procedimientos y las capacidades técnicas que ayudan a restaurar los sistemas y la infraestructura.
Pero ResOps plantea una pregunta más amplia: ¿Puede el servicio crítico volver a funcionar por completo, sin problemas y dentro de los límites de tolerancia, incluyendo sus identidades, aplicaciones, datos, infraestructura, servicios en la nube, terceros, personas y procesos de toma de decisiones?
No es otro nombre para la continuidad del negocio ni para la respuesta ante incidentes.
La continuidad del negocio define cómo funciona la empresa ante situaciones de interrupción. La respuesta ante incidentes detecta, contiene y gestiona el suceso. ResOps conecta esas disciplinas con el resultado de Recovery. Crea un ritmo operativo que permite a los equipos ponerse de acuerdo sobre lo que es importante, validar Recovery en condiciones realistas, medir los resultados y subsanar las deficiencias que revelan las pruebas.
No se trata de un mero trámite de cumplimiento normativo ni de un proyecto puntual.
Un programa de ResOps consolidado puede ayudar a generar pruebas para los consejos de administración, los organismos reguladores, las aseguradoras, los clientes y los auditores. Sin embargo, la documentación es un subproducto, no el objetivo. El objetivo es demostrar la capacidad de recuperación.
Y dado que los sistemas, las dependencias, las amenazas y las prioridades empresariales cambian constantemente, ResOps nunca está «terminado». Funciona de forma continua, al igual que la planificación financiera o las operaciones de seguridad.
¿Qué cambia con ResOps?
ResOps cambia el enfoque: ya no se trata de si los sistemas y procesos individuales funcionan, sino de si el servicio crítico en su conjunto es capaz de recuperarse. Esto cambia el tipo de preguntas que pueden plantearse los responsables.
Es importante que la copia de seguridad se realice correctamente. También lo es contar con un plan de Recovery. Pero ninguna de las dos cosas te indica si un servicio crítico puede restablecerse realmente cuando lo necesites. ResOps adopta una visión más amplia:
- ¿Hemos realizado la recuperación a partir de un punto de recuperación válido y verificado?
- ¿Cuánto tiempo tardó?
- ¿Hemos alcanzado los objetivos fijados por la empresa?
- ¿Y qué es lo que aún requiere atención?
Por eso es tan importante ResOps. Ofrece a las organizaciones una forma de ir más allá de las suposiciones sobre la resiliencia para pasar a demostraciones sistemáticas y fiables de su capacidad de recuperación. Y lo hace mediante la generación continua de pruebas y la trazabilidad. Así, cuando se produce una interrupción, la cuestión no es si cada equipo ha cumplido con su parte o quién ha fallado en qué tarea, sino si la empresa es capaz de restablecer los servicios críticos de los que dependen sus clientes.
Saber Más
Commvault ha publicadoResOps: Una guía para directivosofrecer a los CISO, los CIO y a los responsables de TI, seguridad, resiliencia y gestión de riesgos un marco práctico para implementar ResOps en sus organizaciones.
Los responsables aprenderán a identificar los servicios más importantes, a validar la Readiness para la recuperación con pruebas reales y a poner a prueba la resiliencia de forma continua. Como resultado, las organizaciones podrán establecer un modelo operativo único que aúne a los responsables de seguridad, infraestructura, operaciones de TI y del negocio en torno a una capacidad de recuperación basada en pruebas.Consigue elguía aquí.
Preguntas frecuentes
P: ¿Es ResOps simplemente un nuevo nombre para la recuperación ante desastres?
R: No. La recuperación ante desastres es una parte esencial de ResOps, pero ResOps analiza el servicio crítico en su conjunto —incluidas las dependencias técnicas, de terceros, humanas y de toma de decisiones— y si este puede recuperarse dentro de los límites de tolerancia al impacto definidos por la empresa.
P: ¿Es necesario adquirir una nueva plataforma para utilizar ResOps?
R: No. La tecnología puede facilitar la identificación, las pruebas, Recovery y la recopilación de pruebas, pero ResOps se basa, ante todo, en la responsabilidad, la gobernanza, las prioridades empresariales y las prácticas operativas.
P: ¿Quién es el propietario de ResOps?
R: ResOps necesita un responsable designado con autoridad interfuncional y el respaldo de la dirección. Los responsables de cada servicio siguen siendo los encargados de sus respectivos servicios, mientras que los equipos de seguridad, TI, continuidad del negocio y de las áreas de negocio contribuyen al objetivo común de Recovery.
P: ¿Cómo se mide el éxito de ResOps?
R: El éxito se deriva de la evidencia actual de que los servicios críticos pueden recuperarse sin problemas dentro de sus tolerancias de impacto definidas —y no simplemente de completar un plan o de ejecutar con éxito una tarea de copia de seguridad—.
La puntuación de resiliencia (RPS) es también una herramienta de medición útil. Al tratarse de una puntuación por servicio respaldada por datos, la RPS ayuda a demostrar el grado de recuperabilidad de un servicio crítico concreto basándose en los resultados de la validación, el estado de las dependencias y la confianza en una recuperación sin incidencias.
P: ¿Cómo pueden las organizaciones empezar a utilizar ResOps?
R: Empieza por identificar los servicios críticos de los que depende la empresa, quién es el responsable de ellos, de qué dependen y con qué rapidez deben recuperarse. A partir de ahí, los equipos pueden validar Recovery, identificar las deficiencias y priorizar el trabajo necesario para reforzar la resiliencia.
Michael Thelanderis Senior Director of Product Marketing at Commvault.
