Un sistema de gestión sobre ISO 22301 para seguir operando cuando algo se cae, y poder demostrarlo.
Casi todas las organizaciones que nos llaman ya tienen un plan de continuidad. Está escrito, aprobado y guardado. Lo que no tienen es la certeza de que funcione: nadie lo ha ejecutado nunca, los teléfonos que trae están desactualizados y la persona que sabía hacerlo se fue hace dos años.
ISO 22301 hace esa distinción explícita: su cláusula 8.5 exige un programa de ejercicios, y la 8.6, evaluar las capacidades de continuidad. No basta con documentar; hay que probar y dejar constancia de que se probó.
Y todo empieza en el análisis de impacto en el negocio: qué procesos no pueden parar, cuánto tiempo aguantan y cuántos datos se puede permitir perder. Sin esas cifras acordadas con el negocio —no con TI—, cualquier plan es una suposición cara.
La norma
NCh-ISO 22301:2020 — norma chilena del INN, adopción de la ISO 22301:2019
Metodología que aportamos
ISO 22317 — análisis de impacto en el negocio
ISO 22313 — orientación para implementar
ISO 31000 — gestión de riesgo
Se integra con ISO 27001: la continuidad de la seguridad de la información es un control del anexo A, y quien ya tiene un SGSI reaprovecha contexto, roles y auditoría interna.
Recorren las cláusulas 4 a 10 de la norma. Duración estimada de 4 a 7 meses según la cantidad de procesos críticos y de sedes.
GAP contra ISO 22301 y alcance del sistema definido: qué sedes, qué procesos y qué servicios entran. Informe ejecutivo para la dirección.
Política de continuidad, roles del equipo de continuidad y de crisis, y objetivos medibles aprobados por la dirección.
El BIA: procesos priorizados con su tiempo máximo de interrupción tolerable, y los objetivos de recuperación de tiempo y de datos acordados con cada área del negocio.
Evaluación de riesgos de continuidad y las estrategias elegidas para cada proceso crítico, con su costo y sus requisitos de recursos.
Planes de continuidad y de recuperación, procedimientos de activación, árbol de llamadas y protocolo de comunicación de crisis, incluida la comunicación a clientes y a la autoridad.
Programa de ejercicios con al menos uno ejecutado de verdad —de escritorio o de campo— con su informe de resultados y las correcciones aplicadas a los planes.
Evaluación de las capacidades, auditoría interna, revisión por la dirección y preparación para la certificación.
La fase 6 termina con un ejercicio ejecutado y su informe, no con un procedimiento que describe cómo se haría. Es donde aparecen los teléfonos que ya no existen y los respaldos que nadie había intentado restaurar — y es más barato descubrirlo en un simulacro.
Valores netos en UF, de referencia para una empresa mediana. El GAP Análisis se puede contratar suelto o descontado dentro del programa completo.
ISO 22301
El precio se ajusta al tamaño de su organización
Los valores de arriba son la referencia para una empresa mediana (51–200 empleados). Una organización más pequeña paga menos y una corporación más, porque el trabajo real —procesos, sedes, sistemas y personas a entrevistar— escala con ella. El ajuste va desde −25% hasta 10 empleados hasta +60% sobre 1.000. Se confirma en la propuesta.
Una llamada de 30 minutos, sin costo. La primera pregunta es siempre la misma: si mañana se cae su sistema principal, ¿cuántas horas puede seguir operando sin él?
Tu carrito está vacío
Agrega packs o planes de documentación normativa