Cuando se habla de continuidad de negocio, muchas empresas piensan directamente en copias de seguridad, servidores redundantes o centros de datos alternativos. Pero antes de decidir qué tecnología necesitas, hay una pregunta que responder: ¿qué es realmente crítico para tu negocio y cuánto tiempo puede estar parado?
Esa pregunta se responde con un análisis de impacto en el negocio, conocido como BIA (*Business Impact Analysis*). Es el primer paso de cualquier plan de continuidad de negocio (PCN) y, sin él, cualquier inversión en recuperación se hace a ciegas.
Qué es un BIA
El análisis de impacto en el negocio es un estudio que identifica los procesos de una organización, evalúa las consecuencias de su interrupción y determina con qué prioridad y en qué plazo deben recuperarse.
No es un análisis técnico, sino de negocio. Parte de las actividades de la empresa (ventas, producción, atención al cliente, facturación, logística…) y después identifica los sistemas, personas y proveedores de los que dependen.
Qué responde un BIA
- ¿Qué procesos son críticos para la organización?
- ¿Qué impacto tendría su interrupción (económico, operativo, legal, reputacional)?
- ¿Cuánto tiempo puede estar parado cada proceso antes de que el daño sea inasumible?
- ¿Cuántos datos se pueden perder como máximo?
- ¿De qué sistemas, aplicaciones, personas y proveedores depende cada proceso?
Conceptos clave: RTO y RPO
Dos indicadores resumen los resultados del BIA y guían después todas las decisiones técnicas:
| Indicador | Qué significa | Ejemplo |
| RTO (Recovery Time Objective) | Tiempo máximo que un proceso o sistema puede estar sin servicio | La tienda online debe volver a funcionar en menos de 4 horas |
| RPO (Recovery Point Objective) | Cantidad máxima de datos que se puede perder, medida en tiempo | No se pueden perder más de 15 minutos de pedidos |
Cuanto más exigentes son el RTO y el RPO, más inversión requiere la solución técnica. El BIA permite ajustar esa inversión a lo que el negocio necesita de verdad.
Cómo se hace un BIA paso a paso
1. Identificar los procesos de negocio
Se elabora un mapa de las actividades de la organización con la ayuda de los responsables de cada área.
2. Evaluar el impacto de la interrupción
Para cada proceso se analiza qué pasaría si se detuviera durante distintos periodos (una hora, un día, una semana): pérdidas económicas, incumplimientos contractuales o legales, daño a la imagen, impacto en clientes.
3. Determinar la criticidad y los objetivos de recuperación
Con esa información se clasifican los procesos y se establecen el RTO y el RPO de cada uno.
4. Identificar las dependencias
Se relaciona cada proceso con los sistemas IT, aplicaciones, infraestructuras, personas clave y proveedores de los que depende. Aquí resulta muy útil contar con un inventario actualizado de activos IT.
5. Documentar y validar
Los resultados se documentan y se validan con la dirección, ya que de ellos dependerán las prioridades y el presupuesto del plan de continuidad.
Del BIA al plan de continuidad de negocio (PCN)
El BIA dice qué hay que proteger y con qué prioridad. El plan de continuidad de negocio dice cómo hacerlo. Con los resultados del BIA, el PCN define:
- Las estrategias de recuperación de cada proceso crítico.
- Los planes de contingencia para los escenarios más probables.
- Los roles y responsabilidades durante una crisis.
- Los procedimientos de activación, comunicación y vuelta a la normalidad.
- Las pruebas periódicas para comprobar que el plan funciona.
En la parte técnica, herramientas como DRLM permiten cumplir los objetivos de recuperación de los servidores Linux de forma centralizada.
Errores habituales
- Empezar por la tecnología: comprar soluciones de recuperación sin saber qué necesita el negocio.
- Hacerlo solo desde IT: sin la participación de las áreas de negocio, el BIA no refleja la realidad.
- Considerar todo crítico: si todo es prioritario, nada lo es, y la inversión se dispara.
- No actualizarlo: los procesos y sistemas cambian; el BIA debe revisarse periódicamente.
- No probar el plan: un PCN que nunca se ha ensayado es solo un documento.
BIA y seguridad de la información
El BIA no solo es la base del plan de continuidad. También es una pieza importante de un sistema de gestión de la seguridad de la información (SGSI), ya que la disponibilidad es uno de sus pilares. Si tu empresa trabaja hacia la ISO 27001, un gap análisis te ayudará a ver cómo encaja la continuidad en el conjunto.
Preguntas frecuentes
¿Qué diferencia hay entre BIA y análisis de riesgos?
El análisis de riesgos estudia qué amenazas pueden afectar a la organización y con qué probabilidad. El BIA estudia qué consecuencias tendría la interrupción de cada proceso, sea cual sea la causa. Son complementarios.
¿Cada cuánto hay que revisar el BIA?
Es recomendable revisarlo periódicamente y siempre que haya cambios relevantes en los procesos, los sistemas o la organización.
¿Qué diferencia hay entre un plan de contingencia y un PCN?
El plan de contingencia responde a un escenario concreto (por ejemplo, la caída de un centro de datos). El PCN es el marco general que reúne la estrategia de continuidad, incluidos los distintos planes de contingencia.
Empieza por saber qué proteger
En ToBeIT te ayudamos a realizar el análisis de impacto en el negocio, elaborar tu plan de continuidad y los planes de contingencia asociados, dentro de nuestros servicios de seguridad IT. Contacta con nosotros y te asesoramos.
