Qué es ISO 22301
ISO 22301 es la norma internacional para un sistema de gestión de la continuidad del negocio. Pide a una organización que entienda qué debe mantener en funcionamiento, mediante un análisis de impacto en el negocio, que fije objetivos de recuperación, que planifique cómo cumplirlos, que pruebe los planes con ejercicios y que los mejore. Es certificable y tiene la misma estructura que ISO 27001. Los cuestionarios de los clientes usan su vocabulario aunque nunca la nombren.
Qué preguntan los clientes
- Si tiene un plan de continuidad del negocio y un plan de recuperación ante desastres, quién es responsable de ellos y cuándo se revisaron por última vez.
- Sus objetivos de tiempo y de punto de recuperación para el servicio que compran.
- Cómo se hacen las copias de seguridad, con qué frecuencia, dónde se guardan, si están cifradas y cuándo se probó una restauración por última vez.
- Si el servicio funciona en más de un centro de datos o zona de disponibilidad, y qué ocurre si se pierde uno.
- Cuándo se ejercitaron los planes por última vez, qué se encontró y qué se cambió después.
- Cómo y con qué rapidez informaría al cliente de una interrupción grave.
- Qué pasa con el servicio y con los datos del cliente si su empresa cesa su actividad.
Responder como proveedor
Dé cifras y fechas. «Tenemos un plan de recuperación ante desastres» no cierra nada; «RTO de 8 horas y RPO de 24 horas, copias de seguridad cifradas diarias en una segunda región, restauración probada en marzo, plan revisado en junio» cierra la sección. Si su proveedor de alojamiento se encarga de la infraestructura, cite su certificación y describa lo que usted añade: sus copias de seguridad, su prueba de restauración, su plan de comunicación. Sea honesto con los objetivos. Un revisor que ve un RTO de cuatro horas en una empresa pequeña preguntará cómo se ha probado.
Los clientes financieros sujetos a DORA y las entidades cubiertas por NIS2 piden más detalle sobre la salida y sobre la continuidad de sus propios proveedores. La pregunta de salida, cómo recupera el cliente sus datos y se traslada a otro proveedor, merece una respuesta escrita propia.
En Responsemate
El plan de continuidad, el último informe de pruebas y la política de copias de seguridad están en la base de conocimiento como evidencia con fechas de caducidad, de modo que una prueba desfasada aparece antes de que la encuentre un cliente. Cada fila de continuidad se redacta a partir de ellos con la fuente visible. Conocimiento en Responsemate.
Preguntas que hacen las personas
¿Cuál es la diferencia entre RTO y RPO?
El objetivo de tiempo de recuperación es cuánto tiempo puede estar caído el servicio antes de restablecerse. El objetivo de punto de recuperación es cuántos datos, medidos en tiempo, pueden perderse. «RTO de 8 horas, RPO de 24 horas» significa volver a funcionar en ocho horas como máximo, con un día de cambios perdidos como mucho.
¿Necesitamos la certificación ISO 22301?
Rara vez. Los clientes del sector financiero y de sectores críticos a veces la piden, pero la mayoría acepta un plan de continuidad documentado, un análisis de impacto en el negocio y evidencia de una prueba reciente.