Oír la palabra "catástrofe" puede evocar imágenes de huracanes, incendios forestales y otros sucesos catastróficos que ocurren una vez en la vida. Pero para los proveedores de servicios gestionados (MSP), el desastre va más allá de lo que se lee en los titulares. Un único ataque de ransomware, un corte del ISP de una semana de duración, un error de un empleado que borra datos clave de un cliente... todo ello puede resultar catastrófico para los MSP y poner a prueba su capacidad de recuperación y la lealtad de sus clientes.

La preparación ante desastres es realmente una cuestión de "cuándo", no de "si" para los MSP. Entonces, ¿cómo salir airoso cuando se produce un desastre? Prepárese con tiempo, construya sistemas resistentes y pruébelos a menudo.

En este blog, compartiremos los pasos prácticos que siguen los mejores MSP para hacer frente a lo inesperado.

Las empresas necesitan algo más que un plan básico de Business Continuity

Como MSP, conoce la importancia de la planificación de Business Continuity. Puede resultar tentador contar con protocolos básicos, pero vaya un poco más allá. Perfile los detalles importantes y actualice su plan con regularidad para aumentar las posibilidades no solo de sobrevivir, sino también de prosperar ante un desastre.

Vaya un paso más allá asegurándose de que su lista de comprobación de Business Continuity incluye lo siguiente:

Despejar los árboles de comunicaciones.

• Ser directo a la hora de asignar responsabilidades y protocolos de comunicación. ¿Quién hablará con los clientes si los sistemas fallan? ¿Qué dirá y con qué frecuencia se comunicará? Compruébela trimestralmente para asegurarse de que sus puntos de contacto estén actualizados.

Listas de recuperación del sistema priorizadas.

• ¿Cuál es la cadena de mando en relación con su sistema? ¿Qué es lo primero que hay que restaurar para minimizar las interrupciones? Cree listas de comprobación detalladas y póngalas a prueba a menudo.

Funciones y responsabilidades por nombre, no por título o departamento.

• En caso de emergencia, no deje nada a la interpretación. Enumere claramente los nombres por responsabilidad e incluya cómo contactar con cada persona (correo electrónico, nombre de usuario de Slack, número de teléfono, etc.).

Cada persona de su plantilla debe saber cómo acceder su plan de Business Continuity en caso de emergencia. Establezca un recordatorio en el calendario para cada trimestre para revisar sus protocolos, realizar una prueba y asegurarse de que todo esté actualizado.

Objetivos de recuperación que se convierten en infraestructuras reales

Parte de la preparación ante desastres consiste en identificar los objetivos de tiempo de recuperación (RTO) y el punto de recuperación (objetivos). Una vez definidos, deberá construir su infraestructura que cumpla con los estándares establecidos.

• Su RTO es la rapidez con la que necesita recuperar los sistemas. Esto debe basarse en datos, no en corazonadas. Comprenda lo que significa para usted y sus clientes incluso un minuto de tiempo de inactividad y, a continuación, cree estándares y procedimientos basados en esas cifras.
• Su RPO es la cantidad de datos que puede permitirse perder. Nadie quiere perder datos críticos, pero es necesario crear protocolos para los peores escenarios posibles. El RPO se mide normalmente en unidades de tiempo y define la antigüedad máxima de los datos que se pueden recuperar tras una interrupción del servicio (es decir, si su RPO es de 5 horas, significa que una empresa puede tolerar la pérdida de hasta 5 horas de datos). Esto variará según el cliente y el sector.

Muestre precisión y concreción en estas definiciones. Si su RTO es de dos horas, pero su solución de copia de seguridad actual tarda seis horas, se ha abocado al fracaso.

Adapte sus herramientas de copia de seguridad y recuperación ante desastres a sus RTO y RPO. Es posible que tenga que crear niveles para que los sistemas de alta prioridad obtengan una conmutación por error casi instantánea, mientras que los sistemas menos críticos tengan ventanas más largas.

Pruebe, pruebe y vuelva a probar

No asuma que, solo porque esté documentado y la gente sepa cómo encontrarlo, funcionará. Un protocolo de copia de seguridad que nunca se ha probado es, en realidad, solo una teoría. Genere confianza poniendo a prueba una y otra vez su plan y sus procesos de Business Continuity.

Pruebe como si fuera su responsabilidad (oh, espere, ¡lo es!). Para ello, haga lo siguiente:

• Lleve a cabo ejercicios de simulación: reúna a su equipo, simule diferentes situaciones de desastre y, por turnos, repase su respuesta.
• Realice simulacros de restauración por sorpresa: pille a su equipo desprevenido para asegurarse de que pueden trabajar bajo presión y recuperar los datos dentro del RTO objetivo.
• Documéntelo todo: cree un informe detallado después de cada prueba e incluya qué ha funcionado, qué ha fallado, cuáles han sido sus RTO y RPO y cómo mejorar la próxima vez (consejo profesional: introduzca estos datos en su sistema de IA para ayudarle a tomar decisiones empresariales más rápidas y mejor informadas).

Incorpore las pruebas de recuperación ante desastre como parte habitual de su ritmo operativo para generar confianza, crear una cultura de responsabilidad y ganarse la confianza de sus clientes.

Redundancias intencionadas

A veces, la redundancia es su mejor póliza de seguros. Del mismo modo que no confiaría en un único método para resolver todos los problemas, tampoco debería confiar en un único sistema para superar un desastre.

Vaya más allá de las copias de seguridad de los datos y asegúrese de que los protocolos tienen en cuenta lo siguiente:

• Conectividad: disponga de múltiples sistemas de conmutación por error y proveedores de servicios de Internet. Si sus líneas principales fallan, tenga preparados otros planes alternativos.
• Sistemas: considere el uso de replicación en la nube y servidores y centros de datos geodiversos.
• Personal: forme al personal en diferentes tareas y elabore una lista de contactos de emergencia para cada paso de su protocolo de recuperación.

Dedique un tiempo cada trimestre a auditar sus puntos únicos de fallo. ¿En qué aspectos depende de un único proveedor, sistema o persona? Ahí es donde está el riesgo.

Ciberseguridad como primera línea de defensa

Los desastres más comunes de los MSP hoy en día son los ciberataques, no los desastres naturales. Las medidas de ciberseguridad modernas deben formar parte de su plan de preparación para desastres y deben incluir:

• Detección y respuesta de terminales (EDR)
• Autenticación multifactor (MFA) en el panel de control
• Parcheado frecuente y automatizado y análisis de vulnerabilidades
• Supervisión proactiva de amenazas
• Cumplimiento actualizado de las normativas importantes

Su tecnología de ciberseguridad debe estar directamente vinculada a su plan de recuperación ante desastre. Si se produce un ataque de ransomware u otras ciberamenazas, ¿con qué rapidez puede aislar, contener y recuperar?
Por cierto, muchos clientes de MSP dan por sentado que están protegidos contra amenazas cibernéticas solo por contar con ustedes. Deje claro lo que sus clientes pueden y no pueden esperar de usted en materia de ciberseguridad.

Formación que crea alineación

Cuando se produce un desastre, se trata de un problema que afecta a toda la organización, no solo a TI. Todos los empleados de su MSP deben saber cómo acceder a su plan de Business Continuity, comprenderlo y conocer su función específica en caso de crisis.

Para garantizar cumplimiento y alineación de BCP:

• Organice sesiones de formación para todos los empleados de su organización y comuníquelo cuando haya alguna actualización importante del plan.
• Practique la transparencia y la comunicación con sus clientes; proporcióneles guías de actuación en caso de desastre que describan lo que pueden esperar de usted y lo que necesitará de ellos.

Cuanto más eduque a sus clientes y a su personal, mayor será la fidelidad de ambos. Generará confianza y será visto como alguien que se implica en el éxito de todos.

Prosperar en cualquier circunstancia

Los desastres son inevitables, pero el fracaso no tiene por qué serlo. Los MSP con madurez operativa integran la preparación ante desastres en el núcleo de su negocio y confían en que pueden implementar los protocolos que han creado.

Los planes de preparación ante desastres basados en datos, probados y mantenidos con regularidad crean resiliencia, fomentan la confianza y demuestran que su MSP está preparado para proteger su negocio y el de sus clientes pase lo que pase.

Los MSP que se toman en serio la preparación ante desastres son los que disfrutan de rentabilidad y crecimiento a largo plazo, porque los clientes invertirán repetidamente en un socio capaz de capear cualquier temporal.

¿Tiene curiosidad por saber cómo han llegado a la madurez operativa los MSP? Eche un vistazo a nuestro MSP Maturity Blueprint, un recurso gratuito repleto de estrategias para construir un negocio más inteligente y rentable.