Qué es la continuidad del negocio y qué significan RTO y RPO

La continuidad del negocio es la capacidad de una organización de mantener o recuperar rápidamente sus funciones críticas después de una interrupción. Es el punto donde la conversación deja de ser exclusivamente tecnológica, porque quien puede responder cuánto aguanta la empresa sin facturar no es el área de TI: es la gerencia.

Conviene ubicarla junto a un concepto más amplio. La resiliencia es la capacidad de prepararse, resistir, responder, recuperarse y adaptarse frente a un incidente. La ciberseguridad trabaja sobre la probabilidad y el impacto de que ocurra; la resiliencia agrega la pregunta que la seguridad por sí sola no responde: qué pasa con el negocio cuando ocurre igual.

RTO y RPO: las dos cifras que hay que decidir

Son las dos métricas centrales de cualquier plan de continuidad, y se confunden con frecuencia porque ambas se miden en tiempo. Pero apuntan en direcciones opuestas respecto del momento del incidente.

RPO — Recovery Point Objective

Mira hacia atrás: cuánta información estás dispuesto a perder. Si respaldas una vez al día, tu RPO es de veinticuatro horas, y eso significa que un incidente puede costarte un día completo de trabajo.

RTO — Recovery Time Objective

Mira hacia adelante: cuánto tiempo puede estar caído el servicio antes de que el daño sea inaceptable. No es cuánto demoras hoy en recuperarte, es cuánto puede tolerar el negocio.

El BIA es lo que permite fijar esas cifras

El Análisis de Impacto al Negocio, o BIA, es el ejercicio previo: identifica cuáles son los procesos críticos, de qué sistemas y proveedores dependen, y cuánto cuesta cada hora de interrupción de cada uno. Sin ese análisis, el RTO y el RPO se fijan por intuición y suelen quedar mal calibrados en ambos sentidos.

El Plan de Continuidad, o BCP, es el documento que traduce esos objetivos en acciones concretas: quién declara la contingencia, a quién se avisa, qué se levanta primero, con qué recursos alternativos se opera mientras tanto y cómo se vuelve a la normalidad.

Un respaldo que nadie ha restaurado no es un respaldo

Es la brecha más frecuente y la más incómoda de descubrir en medio de una crisis. Muchas empresas tienen respaldos configurados y ninguna prueba documentada de restauración. El respaldo existe, se ejecuta todas las noches, y nadie ha comprobado nunca que se pueda volver a levantar el sistema a partir de él.

Por eso la verificación es parte del control, no un extra. Un plan de continuidad que nunca se ha ensayado es una hipótesis, y la primera vez que se pone a prueba no debería ser el día del incidente.

Cómo se conecta con la norma chilena

La continuidad aparece en la normativa chilena por la vía de los incidentes. La Ley 21.663 fija plazos de reporte para quienes califican como Operador de Importancia Vital o proveen a uno, y esos plazos corren desde que el incidente se detecta — es decir, en el peor momento posible para improvisar quién avisa y con qué información.

La Ley 21.719 agrega la otra cara: ante una vulneración de datos personales hay que notificar, y para eso se necesita saber qué datos había en el sistema afectado y desde cuándo. Un plan de continuidad que incluya el inventario y el procedimiento de notificación convierte esa obligación en un trámite ordenado en vez de una carrera contra el reloj.

Preguntas frecuentes

¿La continuidad del negocio es lo mismo que tener respaldos?

No. El respaldo es un control, la continuidad es un plan. Un respaldo responde cómo recuperar la información; la continuidad responde cómo sigue operando la empresa mientras eso pasa: con qué personas, en qué instalaciones, con qué procesos alternativos y en qué orden se levantan los sistemas.

¿Cada cuánto hay que probar el plan?

Al menos una vez al año, y cada vez que cambie un sistema crítico o un proveedor. La prueba no siempre implica detener la operación: se puede partir por un ejercicio de escritorio con los responsables y escalar después a una restauración real en un ambiente controlado.

¿Esto aplica a una empresa mediana o es solo para grandes?

Aplica, y con frecuencia con más urgencia. Una empresa grande suele tener redundancia y equipos dedicados; una mediana normalmente depende de pocos sistemas y pocas personas, de modo que una interrupción la afecta más rápido y más profundo. Lo que cambia es la escala del plan, no la necesidad.