La tecnología de una pyme sostiene más de lo que parece: facturación, cobros, pedidos, correo y el histórico de clientes. Cuando falla, no falla un ordenador: falla el negocio entero. Un plan de contingencia no es un tocho de consultora; es un documento de tres páginas que responde quién hace qué cuando todo se para.
Paso 1: inventario de lo crítico
No puedes proteger lo que no has listado. Enumera los sistemas de los que depende la operativa diaria y ordénalos por daño si desaparecen una semana:
- Facturación y contabilidad: documentos que la ley te obliga a conservar.
- Correo y comunicaciones con clientes.
- Pedidos, stock y tienda online si la tienes.
- Datos de clientes y proveedores: contratos, condiciones, histórico.
- Accesos y contraseñas: quién tiene las llaves de cada servicio.
Para cada sistema anota tres datos: dónde vive (proveedor, servidor, nube), quién es el contacto de soporte y cuánto tiempo puede el negocio funcionar sin él. Ese último número prioriza todo lo demás.
Paso 2: copias de seguridad que de verdad restauran
La regla clásica sigue vigente: tres copias, en dos soportes distintos, con una fuera de la oficina. En la práctica actual: copia automática diaria en la nube, copia local desconectada de la red (el ransomware que cifra tu equipo también cifra el disco enchufado) y verificación.
- Automatiza: la copia que depende de que alguien se acuerde no existe.
- Prueba la restauración cada trimestre: una copia no probada es una esperanza, no un respaldo.
- Cubre también los servicios cloud: tu correo o tu CRM no se respaldan solos por estar en la nube.
Define tu RTO y tu RPO en lenguaje llano: cuánto tiempo puedes estar parado (RTO) y cuántos datos puedes permitirte perder (RPO). Esas dos cifras deciden cuánto gastar en continuidad, ni más ni menos.
Paso 3: el protocolo del día que todo falla
Escribe el guion antes de necesitarlo. Quién declara la incidencia y quién toma las decisiones. A quién se llama primero: soporte del proveedor, empresa de informática, aseguradora si tienes ciberseguro. Cómo se opera mientras tanto: pedidos en papel y bolígrafo, facturación manual con serie aparte, comunicación a clientes afectados. Y cómo se documenta todo lo hecho durante la incidencia para reconstruirlo después.
Si la incidencia afecta a datos personales —fuga, ransomware con exfiltración— entra en juego la obligación de notificar a la autoridad de protección de datos en 72 horas. Incluye ese reloj en el protocolo: en mitad de la crisis, nadie se acuerda de los plazos legales.
Paso 4: ensayar y actualizar
Un plan sin ensayo es ficción. Una vez al año, simula el escenario más probable: restaura la copia, comprueba que los accesos funcionan y cronometra cuánto tardas en volver a operar. Revisa el documento cuando cambie algo relevante: nuevo software, nuevo proveedor, nueva persona responsable. Y guarda una copia del plan fuera del sistema que protege: el plan de contingencia cifrado por el ransomware no sirve de mucho.
Preguntas frecuentes
¿Merece la pena un ciberseguro?
Cada vez más. Además de cubrir daños, suele incluir el equipo de respuesta a incidentes: forense, legal y comunicación, justo lo que una pyme no tiene en plantilla.
¿Cuánto cuesta montar un plan básico?
Menos de lo que cuesta un día cerrado: copias automáticas en la nube, un protocolo escrito y un ensayo anual. Lo caro es no tenerlo.
¿Quién debe conocer el plan?
Todo el equipo, al menos su parte: cómo operar sin sistemas y a quién avisar. Los accesos críticos, dos personas de confianza, nunca una sola.