Organizaciones resilientes: cuando la tecnología se convierte en una decisión de negocio
En el último #DOMODay, Mario M. Garcia, Head of MI en SideDrawer™ Inc., CTO de WizeFin.tech e integrante del DOMO 25 de Rosario; Gustavo Roselló, Gerente de Infraestructura Tecnológica en el Mercado Argentino de Valores S.A. e integrante del mismo DOMO; y Raúl Cáceres, Founder GRIT Servicios, Co-Founder de CORE e integrante del DOMO 27 de Buenos Aires, analizaron los principales desafíos que enfrentan las organizaciones para proteger su infraestructura, anticiparse a posibles incidentes y recuperarse rápidamente cuando algo falla.
¿Qué significa ser una organización resiliente?
Una infraestructura resiliente es aquella capaz de resistir fallos o interrupciones y recuperar su operación en el menor tiempo posible.
Esto requiere redundancia, tolerancia a fallos y mecanismos que permitan que, ante la caída de un componente, otro pueda asumir su función sin interrumpir el servicio.
En sectores críticos, como el financiero o el de las telecomunicaciones, los tiempos de recuperación deben ser mínimos y la pérdida de información debería acercarse a cero. Para conseguirlo, las organizaciones necesitan trabajar sobre diferentes capas:
- Conexiones provistas por operadores distintos.
- Rutas de comunicación alternativas.
- Equipamiento y fuentes de alimentación redundantes.
- Sistemas de energía ininterrumpida.
- Centros de datos principales y de contingencia.
- Copias de seguridad almacenadas en distintas ubicaciones.
- Procesos automáticos de recuperación.
La resiliencia no depende de una única solución. Es el resultado de diseñar una estructura en la que los diferentes componentes puedan respaldarse entre sí.
Tener un backup no es lo mismo que poder recuperarse
Uno de los errores más frecuentes es considerar que una copia de archivos constituye, por sí sola, una estrategia de backup.
Un verdadero sistema de respaldo debe permitir recuperar la información y restaurar la operación dentro de los tiempos que necesita el negocio. Por eso, no alcanza con crear copias: también es necesario probarlas periódicamente.
Muchas organizaciones descubren que su backup no funciona recién cuando necesitan utilizarlo. En ese momento, el problema tecnológico se convierte rápidamente en un problema operativo.
Una estrategia sólida puede incluir copias en diferentes ubicaciones, información inmutable que no pueda ser modificada por un atacante y sistemas capaces de levantar nuevamente una máquina o un entorno de trabajo en pocos minutos.
La pregunta central no debería ser únicamente “¿tenemos backup?”, sino también:
¿Cuánto tiempo necesitamos para volver a operar y cuánta información podemos permitirnos perder?
Documentar también es construir resiliencia
La dependencia de una sola persona es otro riesgo habitual.
Cuando los procedimientos no están documentados, la salida de un colaborador puede dejar a la organización sin el conocimiento necesario para administrar sus sistemas, resolver una incidencia o activar un plan de contingencia.
La documentación, la automatización y las pruebas periódicas reducen esa dependencia y permiten que la respuesta no quede atada exclusivamente a quienes conocen históricamente la infraestructura.
También es fundamental revisar el ciclo de vida del equipamiento. Mantener servidores o dispositivos que ya no cuentan con soporte del fabricante puede dificultar el acceso a repuestos, actualizaciones y asistencia técnica justamente cuando más se necesitan.
La solución debe responder a la realidad de cada empresa
No todas las organizaciones necesitan —ni pueden sostener— el mismo nivel de infraestructura.
Una empresa que opera un mercado financiero no enfrenta la misma criticidad que una pequeña o mediana compañía. Por eso, la resiliencia debe diseñarse en función del tamaño, la operación, los riesgos y los tiempos de recuperación que necesita cada negocio.
Para una empresa pequeña, mantener una infraestructura propia puede resultar más costoso y complejo que utilizar servicios en la nube que ya incorporen almacenamiento, disponibilidad y respaldo.
Sin embargo, migrar a la nube tampoco elimina automáticamente los riesgos. Sigue siendo necesario evaluar proveedores, acuerdos de nivel de servicio, tiempos de respuesta, configuraciones de seguridad y alternativas disponibles ante una interrupción.
La inversión correcta no siempre es la solución más sofisticada, sino aquella que responde adecuadamente al nivel de criticidad de la organización.
Las amenazas que más preocupan a las organizaciones
La infraestructura y la ciberseguridad ya no pueden abordarse como áreas separadas. Un incidente de seguridad puede paralizar la operación de la misma manera que una falla física o un corte de energía.
Entre los principales riesgos identificados se encuentran:
Ransomware y extorsión
Los atacantes cifran información crítica, bloquean el acceso a los sistemas y exigen un rescate. Además del posible robo de datos, el verdadero impacto aparece cuando la empresa deja de producir, cobrar, vender o prestar sus servicios.
Contar con backups probados puede permitir que la organización recupere su información sin depender del atacante.
Fraude financiero
El compromiso de cuentas bancarias, el desvío de transferencias y la suplantación de directivos o responsables con capacidad de autorizar pagos pueden generar pérdidas directas.
Los atacantes suelen concentrarse en las personas con mayores niveles de autorización para maximizar el impacto de la operación fraudulenta.
Robo de información e identidades
La filtración de datos sensibles y el compromiso de credenciales pueden utilizarse para ingresar a plataformas, hacerse pasar por otras personas o habilitar nuevos fraudes.
Por eso, proteger la identidad digital se volvió tan importante como proteger físicamente los activos de una compañía.
Las buenas prácticas no dependen de una certificación
Marcos como ISO 27001 o PCI DSS ofrecen prácticas para ordenar la gestión de la seguridad, proteger la información y reducir riesgos.
Certificar una norma puede representar una inversión considerable de dinero, tiempo, procesos y capacitación. Sin embargo, una organización puede comenzar aplicando sus principios incluso cuando no tenga la necesidad o los recursos para completar una certificación.
Entre esas prácticas se encuentran la creación de un plan de recuperación ante desastres, un plan de continuidad de negocio y protocolos que definan:
- Quién debe actuar ante un incidente.
- Qué sistemas deben recuperarse primero.
- Cuál es el tiempo máximo aceptable de interrupción.
- Cómo se comunicará el incidente a clientes y colaboradores.
- Qué información pudo haber sido comprometida.
- Cómo se protegerá la reputación de la organización.
El objetivo es evitar que las decisiones comiencen a tomarse recién cuando la operación ya está paralizada.
La inteligencia artificial también potencia la ingeniería social
Los ataques de ingeniería social continúan siendo efectivos porque explotan un elemento que ninguna solución tecnológica puede eliminar por completo: el comportamiento humano.
La inteligencia artificial permite crear mensajes, imágenes, audios y comunicaciones cada vez más realistas y personalizados. Los intentos de fraude ya no necesariamente llegan mediante correos mal redactados o fácilmente reconocibles. Pueden imitar el tono de un directivo, incorporar información sobre la empresa y construir situaciones que parecen legítimas.
Por eso, la capacitación debe ser una parte central de cualquier estrategia de seguridad.
Los colaboradores necesitan desarrollar el hábito de cuestionar solicitudes inusuales, verificar instrucciones sensibles y realizar una segunda comprobación antes de abrir un archivo, entregar información o aprobar una operación.
Tener la mejor herramienta de seguridad no sirve si se encuentra mal configurada o si las personas dejan abierta la puerta que esa herramienta busca proteger.
La resiliencia es una construcción continua
Una organización resiliente no es aquella que nunca enfrenta un incidente. Es aquella que conoce sus riesgos, se prepara antes de que ocurran y cuenta con los procesos necesarios para responder y recuperarse.
Infraestructura, ciberseguridad, documentación, capacitación y continuidad de negocio deben formar parte de una misma estrategia.
Porque, cuando la tecnología sostiene la operación, protegerla deja de ser solamente una responsabilidad del área de IT. Se convierte en una decisión estratégica para toda la organización.
En TRIBU seguimos generando espacios para que líderes y referentes de la industria compartan experiencias, aprendizajes y herramientas que permitan construir empresas más preparadas para los desafíos actuales.
