¿Qué es un plan de recuperación ante desastres (DRP) y cómo crearlo?

Un ciberataque paraliza tu ERP a las 10 de la mañana. Un sismo daña tu centro de datos. Un incendio destruye los servidores de tu empresa. Estos escenarios no son ciencia ficción — pasan todos los años en México. La pregunta no es si ocurrirá, sino cuánto tiempo tardará tu empresa en recuperarse. Eso es exactamente lo que define un plan de recuperación ante desastres (DRP).

Qué es un DRP (Disaster Recovery Plan)

Un DRP o Disaster Recovery Plan (plan de recuperación ante desastres) es un documento que establece los procedimientos, recursos y responsabilidades para restaurar los sistemas de tecnología de la información después de una interrupción mayor.

En términos simples: si tus sistemas se caen, el DRP te dice exactamente qué hacer, en qué orden, quién es responsable y con qué recursos cuentas para volver a operar.

Un DRP bien diseñado cubre:

• Qué sistemas son críticos y en qué orden deben recuperarse.
• Cuánto tiempo tienes antes de que la interrupción cause daño irreversible al negocio.
• Dónde están los respaldos y cómo restaurarlos.
• Quién hace qué durante la crisis (roles, contactos, cadena de comunicación).
• Cómo verificar que la recuperación fue exitosa antes de declarar "vuelta a la normalidad".

Diferencia entre DRP y BCP

Esta es la confusión más común. El DRP es un componente del BCP, no un sinónimo:

Si solo tienes un DRP pero no un BCP, puedes recuperar tus servidores pero no saber cómo comunicarte con clientes, reubicar empleados o manejar la relación con proveedores durante la crisis. Necesitas ambos, y aquí explicamos a detalle cómo se complementan.

Las métricas fundamentales: RTO y RPO

Todo DRP gira alrededor de dos métricas que debes definir para cada sistema crítico:

RTO (Recovery Time Objective)

El RTO es el tiempo máximo aceptable que un sistema puede estar fuera de servicio antes de que el impacto al negocio sea inaceptable.

Ejemplo: si tu sistema de facturación tiene un RTO de 4 horas, significa que tu negocio puede sobrevivir hasta 4 horas sin facturar. Después de eso, los daños (pérdida de ventas, incumplimiento regulatorio, penalizaciones contractuales) superan lo tolerable.

RPO (Recovery Point Objective)

El RPO es la cantidad máxima de datos que puedes perder, medida en tiempo. Indica cuánto tiempo atrás deben llegar tus respaldos.

Ejemplo: si tu base de datos tiene un RPO de 1 hora, necesitas respaldos al menos cada hora. Si el desastre ocurre a las 3:00 PM y tu último respaldo fue a las 2:00 PM, pierdes como máximo 1 hora de datos — y eso es aceptable para el negocio.

Los RTO y RPO no los define TI en solitario. Son decisiones de negocio que deben validarse con la dirección, porque impactan directamente el presupuesto: a menor RTO y RPO, mayor inversión en infraestructura de recuperación.

Tipos de sitios de recuperación

Un sitio de recuperación es la ubicación alternativa donde operarán tus sistemas si tu centro de datos principal queda inutilizable. Hay tres tipos:

Hot site (sitio caliente)

Una réplica completa de tu infraestructura, lista para operar en minutos. Los datos se sincronizan en tiempo real.

• RTO: minutos a pocas horas.
• Costo: alto (duplicas infraestructura).
• Ideal para: sistemas críticos de misión (banca, e-commerce, sistemas de salud).

Warm site (sitio tibio)

Infraestructura parcialmente configurada. Tiene hardware y conectividad, pero requiere restaurar datos desde respaldos y realizar configuraciones antes de operar.

• RTO: horas a 1-2 días.
• Costo: medio.
• Ideal para: sistemas importantes pero que toleran algunas horas de inactividad.

Cold site (sitio frío)

Un espacio físico con alimentación eléctrica y conectividad básica, pero sin hardware preinstalado. Todo debe llevarse, instalarse y configurarse desde cero.

• RTO: días a semanas.
• Costo: bajo.
• Ideal para: sistemas no críticos o como respaldo de último recurso.

La tendencia actual es usar DRaaS (Disaster Recovery as a Service) en la nube, que ofrece las ventajas de un hot site sin la inversión en infraestructura física. AWS, Azure y Google Cloud tienen servicios específicos para esto.

Cómo crear un DRP paso a paso

1. Realiza un análisis de impacto al negocio (BIA): identifica qué sistemas son críticos, cuánto cuesta cada hora de inactividad y define RTO y RPO para cada uno.
2. Evalúa riesgos: ¿qué amenazas son más probables en tu contexto? En México, los escenarios más comunes son:
   • Ciberataques: ransomware, phishing, denegación de servicio.
   • Desastres naturales: sismos, huracanes, inundaciones.
   • Fallas de infraestructura: cortes de energía prolongados, fallas de hardware.
   • Errores humanos: borrado accidental de datos, configuraciones incorrectas.
3. Define estrategias de recuperación: para cada sistema crítico, determina el tipo de respaldo (completo, incremental, diferencial), la frecuencia, el sitio de recuperación y los procedimientos de restauración.
4. Documenta los procedimientos: paso a paso detallado para recuperar cada sistema. Incluye:
   • Contactos del equipo de respuesta (nombres, teléfonos, roles).
   • Ubicación de respaldos y credenciales de acceso.
   • Secuencia de recuperación (qué se levanta primero).
   • Criterios de verificación (cómo confirmar que el sistema funciona correctamente).
5. Prueba el plan: un DRP sin probar es solo un documento. Tipos de prueba:
   • Tabletop: el equipo simula el escenario en una sala de juntas, paso por paso.
   • Walkthrough: se ejecutan los procedimientos sin activar los sistemas reales.
   • Simulacro parcial: se recuperan sistemas no críticos en el sitio alterno.
   • Simulacro completo: se activa el DRP como si fuera real. Es la prueba definitiva.
6. Actualiza regularmente: cada cambio en infraestructura, aplicaciones o personal debe reflejarse en el DRP. Revisa como mínimo cada 6 meses.

DRP e ISO 22301

ISO 22301 es la norma internacional de sistemas de gestión de continuidad del negocio. El DRP encaja dentro de ISO 22301 como parte de las estrategias y soluciones de continuidad (cláusula 8.3).

La norma no te dice exactamente cómo hacer tu DRP, pero te da el marco para:

• Realizar el análisis de impacto al negocio (BIA) de forma estructurada.
• Evaluar riesgos con metodología consistente.
• Definir estrategias de continuidad (de las cuales el DRP es una).
• Probar y mejorar continuamente tus planes.
• Demostrar a clientes y reguladores que tu organización está preparada.

Si tu empresa depende de la tecnología para operar (y hoy casi todas lo hacen), certificarte en ISO 22301 te da un marco robusto para gestionar el DRP y todos los demás aspectos de la continuidad del negocio.

Escenarios comunes de desastre en México

México tiene un perfil de riesgo particular que tu DRP debe considerar:

• Actividad sísmica: México está en una de las zonas sísmicas más activas del mundo. Los sismos de 2017 y 2025 demostraron que las empresas sin plan de recuperación pueden tardar semanas en volver a operar.
• Huracanes e inundaciones: las costas del Pacífico y del Golfo son vulnerables durante la temporada de huracanes (junio-noviembre). Las inundaciones afectan infraestructura eléctrica y de telecomunicaciones.
• Ransomware: México es uno de los países más afectados por ransomware en Latinoamérica. Los ataques a empresas mexicanas se han multiplicado en los últimos años.
• Cortes de energía: las interrupciones eléctricas pueden durar horas en algunas regiones. Sin UPS y generador, tus sistemas se apagan sin aviso.
• Fallas de proveedores de nube: aunque los grandes proveedores tienen alta disponibilidad, las fallas regionales ocurren. Si todos tus servicios están en una sola región de nube, un fallo regional te deja sin operar.