¿Para qué me sirve esta actividad? 📚
Esta actividad te servirá para poner a prueba tus estrategias de respuesta y de recuperación en un entorno controlado, evaluando si tu empresa realmente es capaz de sobrevivir y recuperarse ante un desastre, permitiendo encontrar y corregir las fallas de los planes en un momento de calma.
El documento de Prueba de Continuidad tiene como objetivo principal registrar los resultados de tus ejercicios prácticos. Sirve para garantizar la efectividad de los procedimientos, validar que las métricas RPO y RTO se pueden cumplir en la realidad e identificar oportunidades de mejora.
¿Qué tengo que hacer? 🚀
💡Este documento es la bitácora oficial de tu simulacro, por ende debes llenarlo con los datos 100% reales obtenidos durante el ejercicio, involucrando a los responsables técnicos y operativos.
Al trabajar en el template, te recomendamos primero leerlo en su totalidad para así comprender la información que deberás documentar posteriormente. Y para completarlo de forma adecuada, te recomendamos considerar lo siguiente:
Definición del escenario y alcance.
Selecciona por lo menos un escenario de crisis asociado a las estrategias de recuperación que definiste en tu Plan de Recuperación ante Desastres y/o en tu Plan de Continuidad.
Ya con el escenario seleccionado, debes coordinar el día, lugar y hora para realizar el ejercicio, preferentemente en un momento donde no afecte las operaciones de la empresa. Posteriormente, debes registrar esos datos en el documento.
Ademas, debes listar qué procesos, tecnología, proveedores y personas están participando en esta prueba.
Verificación de tiempos (RTO y RPO planificado vs. real).
Con base en los escenarios que seleccionaste para poner a prueba, debes colocar el RTO y RPO que habías estimado cumplir, y los tiempos reales obtenidos durante la prueba. Con esto, podrás analizar las posibles diferencias entre una métrica y otra, identificar oportunidades de mejora a tus procedimientos de recuperación si es necesario, y hacer los ajustes pertinentes.
Cronología de actividades.
Registra minuciosamente el paso a paso de lo que ocurrió. En la medida de lo posible, indica a qué hora inició cada actividad, a qué hora finalizó, quién fue el responsable y si la ejecución fue exitosa. Esto calculará tu porcentaje de efectividad.
Incluye capturas, imágenes, pantallazos, correos, tickets, links o cualquier otro elemento que pueda fungir como evidencia de la aplicación de la prueba y sus resultados. Todo esto aportará mucho valor durante auditorías.
Conclusiones y lecciones aprendidas.
Evalúa si el personal estaba preparado y si la comunicación fluyó correctamente. Destaca las fortalezas, debilidades y oportunidades encontradas, tanto en los procedimientos documentados como en el desempeño del equipo involucrado.
Es importante recodar que este tipo de simulacros están diseñados para estresar el sistema, romper el flujo usual de trabajo, actuar bajo presión; documentar debilidades, errores o fallas, así como su plan de corrección o registro de lecciones aprendidas, puede demostrar madurez dentro de tu SGCN.
Planes de acción.
Toda anomalía importante detectada en esta prueba es directamente un insumo para alimentar tu Plan de Tratamiento de Acciones Correctivas y de Mejora. Esto permite tener un registro adecuado para dar trazabilidad y seguimiento, y asegurar que se corrija antes del próximo simulacro, o incluso antes de que un desastre real ocurra.
Completa el versionado.
Al finalizar, completa la tabla de versionado indicando quién elaboró el procedimiento, quién lo aprobó, la fecha de aprobación y la clasificación de la información.
Nuestro template está estructurado con el formato adecuado para dar cumplimiento y para facilitar su llenado, pero recuerda que debes ajustarlo al contexto y necesidades reales de tu organización.
💡Los pasos a seguir para terminar la actividad dentro de la plataforma son los siguientes:
Una vez que nuestro equipo haya aprobado la actividad, debes subir el documento final en versión PDF (no editable).
Posteriormente, debes subir la evidencia de su aprobación.
Recomendamos que esta evidencia sea a través de una minuta de sesión de comité (en ese caso, debes subir el documento en PDF de la minuta), o con una captura de pantalla de la respuesta explícita de quién o quiénes lo aprobaron.
Esto debe realizarse por algún medio de comunicación interno de la empresa, como Slack, Teams o el correo electrónico organizacional.
O también puedes utilizar la funcionalidad de aprobación que tiene la plataforma Hackmetrix.
Y por último, debes subir la evidencia de su comunicación.
Al igual que la aprobación, la comunicación del documento puede ser por cualquier medio formal interno de la empresa. Y para esto, debes subir una captura de pantalla donde se muestre que el documento fue comunicado a todos los colaboradores interesados.
O también puedes utilizar la funcionalidad de comunicación que tiene la plataforma Hackmetrix.
Recomendaciones ✅
No intentes probar todos los escenarios de la empresa el mismo día. Es válido hacer pruebas más pequeñas, acotadas a un solo servicio crítico, pero medirlas de forma profunda y rigurosa.
Asegúrate que la ejecución de la prueba no impacte en las operaciones de la organización.
Documenta toda la información que consideres relevante, de la forma más detallada posible, ya que este reporte funge como evidencia importante de cumplimiento durante auditorías.
Utiliza directamente este documento, o genera un reporte a partir de él, para notificar a la Alta Dirección y/o al Comité de Continuidad sobre las acciones realizadas y los resultados obtenidos. Es muy importante que estén enterados de esto.
Si realizas cambios en tu Plan de Recuperación ante Desastres o en tu Plan de Continuidad, te recomendamos ejecutar una nueva prueba, aunque no se haya cumplido el año de la periodicidad sugerida, para asegurar que dichos cambios realmente son efectivos.
¡Califica este artículo 👇, esto nos ayudará a mejorar nuestro contenido para ti! También puedes contactarnos por correo electrónico o a través de la plataforma, y te brindaremos la atención que necesites.