En el mundo interconectado de hoy, las organizaciones enfrentan numerosos desafíos para salvaguardar sus activos digitales y protegerse contra las amenazas cibernéticas. Las organizaciones latinoamericanas, en particular, se enfrentan a obstáculos únicos en el manejo de la ciberseguridad. Este blog explora la importancia de construir resiliencia contra los ataques cibernéticos y el cibercrimen para las organizaciones con sede en América Latina, basándose en las ideas del libro electrónico “La Investigación Detrás de la Resiliencia”.
Principales Desafíos de Ciberseguridad en América Latina
Según el Informe CISO LATAM 2023, “la región del Caribe y América Latina recibe más de 1,600 ciberataques por segundo”. Los profesionales encuestados para este informe indicaron que el phishing, el ransomware y los ataques de malware se encuentran entre los más comunes.
Desafortunadamente, estos ataques no disminuyen. Más del 70% de los encuestados afirmaron que el número de ataques a su organización ha aumentado desde el año pasado. Por ejemplo, el Informe sobre el Costo de una Brecha de Datos 2022 de IBM identificó a Brasil como el país con el mayor aumento relativo en costos, con un aumento del 27.8% respecto al año anterior.
Además de los ciberataques, las organizaciones latinoamericanas han enfrentado otros eventos críticos importantes como fenómenos meteorológicos severos, ataques activos e interrupciones en la cadena de suministro. Estos eventos causaron interrupciones significativas y expusieron vulnerabilidades. Si bien las organizaciones no pueden prevenir todos los eventos críticos, pueden adoptar medidas proactivas para reducir su impacto y fortalecer la resiliencia.
Oportunidad para Construir Resiliencia Organizativa
Investigaciones realizadas por Candid Counsel en mercados clave de América Latina arrojan resultados sobre las tendencias actuales en torno a la resiliencia. Se descubrió que América Latina ha experimentado un mayor número de eventos críticos en comparación con otras regiones, lo que enfatiza la importancia de priorizar e invertir en la resiliencia.
El estudio reveló que si bien muchos líderes reconocen la creciente importancia de la resiliencia, a menudo existe una falta de disposición para invertir en medidas preventivas. Surgieron seis hallazgos clave:
1. Fortalecer la resiliencia se está volviendo más imperativo.
2. La falta de resiliencia tiene un impacto significativo en las operaciones.
3. Hablar sobre la resiliencia es más fácil que llevarla a cabo.
4. La resiliencia requiere el apoyo de todos los departamentos y la alta dirección.
5. Los esfuerzos y la inversión en resiliencia no están alineados.
6. Las organizaciones necesitan aprovechar la digitalización y la automatización.
Más datos sobre cada hallazgo se incluyen en el libro electrónico “La Investigación Detrás de la Resiliencia”.
El Camino a Seguir
Las organizaciones latinoamericanas tienen una gran oportunidad para mejorar su resiliencia. Al revisar los planes de gestión de riesgos y preparación, las organizaciones pueden asegurarse de estar adecuadamente equipadas para manejar eventos críticos y fortalecer sus esfuerzos de ciberseguridad. Adoptar la digitalización y la automatización puede acelerar los tiempos de respuesta y recuperación, mejorando la resiliencia en general. Específicamente, aprovechar las soluciones de gestión de eventos críticos y los sistemas de notificación masiva puede reducir el impacto de los ciberataques y otras crisis.
Conclusión
Los desafíos de la ciberseguridad y la construcción de la resiliencia son fundamentales para las organizaciones latinoamericanas. Al reconocer la importancia de la resiliencia, invertir en medidas preventivas, alinear esfuerzos e inversiones, y aprovechar la digitalización, las organizaciones pueden mitigar el impacto de los ciberataques y los eventos críticos. La construcción de resiliencia es un proceso continuo, y las organizaciones deben adaptarse al panorama de amenazas en constante evolución. Incluir la tecnología y la automatización será crucial para que las organizaciones puedan navegar con éxito en el mundo cada vez más complejo de la ciberseguridad.
Si bien la mayoría de las empresas cuentan con un plan de preparación para emergencias, conviene que las organizaciones lo revisen periódicamente para asegurarse de estar listas para protegerse contra la creciente lista de incidentes mayores y eventos críticos que afectan a las empresas. Según el informe de gestión de incidentes mayores 2020-21, un plan de preparación para emergencias no basta para combatir el creciente panorama de amenazas. Para combatir el aumento de los eventos críticos, las organizaciones deben maximizar la resiliencia operativa.
La resiliencia operativa puede describirse mejor como un conjunto de iniciativas y técnicas que una organización adopta para proporcionar continuidad del negocio frente a la interrupción. Cuanta más resiliencia operativa tenga una organización, más probable es que se enfrente a menos interrupciones y que esté completamente preparada para las que pueda sufrir. Los tiempos de respuesta y resolución serán más cortos, y la empresa, más madura. Crear y mantener una empresa madura no es una tarea fácil y requiere un enfoque múltiple que comienza por comprender y evaluar la resiliencia operativa.
El valor de la resiliencia operativa: proteger a los empleados y las funciones empresariales esenciales
Seguridad de los empleados
Toda organización tiene un deber de cuidado para con sus empleados. No es solo un requisito legal, sino también moral, y mantener la seguridad de los empleados debe estar entre las máximas prioridades de todas ellas. Como tal, las organizaciones deben tener la resiliencia operativa necesaria para garantizar la seguridad de los empleados, especialmente cuando eventos críticos pueden poner en riesgo sus vidas. Tomemos por ejemplo los terremotos. Si su empresa está en una zona propensa a terremotos, es probable que conozca muy bien el peligro que estos traen consigo, que puede surgir inesperadamente en cualquier momento del día. Cuando se produce un terremoto, las organizaciones deben asegurarse de que sus empleados estén protegidos contra la caída de objetos o las réplicas y de que puedan comunicarse rápidamente con la empresa si hay daños o peligro adicional.
Protección de las funciones empresariales esenciales
Si bien la resiliencia operativa puede ayudar a garantizar la seguridad de los empleados dentro y fuera del lugar de trabajo, también es necesaria para ayudar a proteger los activos, procesos y datos del negocio ante cualquier interrupción, ya que esta puede costar millones de dólares. Considere la tristemente célebre interrupción de Amazon Prime Day en 2018: una interrupción de 63 minutos le costó a la empresa un total de 72 millones de dólares, y eso por no mencionar la vergüenza pública que pasó.
A pesar de la importancia de la resiliencia operativa para los empleados y los activos, puede ser difícil para las organizaciones identificar dónde necesitan mejorar su estrategia de resiliencia. Para identificar las áreas problemáticas, las empresas deben medir regularmente su resiliencia como organización y trabajar para obtener una certificación de resiliencia empresarial.
Cómo medir la resiliencia de la organización para eventos críticos
La resiliencia de la organización es la capacidad de identificar, preparar y resolver las interrupciones y los riesgos que ponen en peligro a una organización con el menor impacto posible sobre la vida, la seguridad, la reputación y las operaciones. Al medir la resiliencia de la organización, los líderes de continuidad del negocio pueden optimizar mejor sus estrategias de respuesta a eventos críticos, tales como:
Las empresas pueden examinar la resiliencia de su organización para eventos críticos evaluando e identificando su capacidad para:
- Mantener a salvo a las personas
- Mantener la continuidad del negocio y el tiempo de actividad operativa
- Optimizar la cadena y las rutas de suministro
- Garantizar la eficiencia y la seguridad de los edificios inteligentes y la Internet de las Cosas (IoT)
- Proteger la reputación a través de sistemas de TI resilientes y receptivos
Si bien estas evaluaciones se pueden realizar internamente, las organizaciones pueden examinar mejor la resiliencia de su organización a eventos críticos a través de una certificación de resiliencia organizacional y empresarial.
El programa Everbridge Critical Event Management (CEM) Certification™ proporciona un marco de estándares único para evaluar la resiliencia empresarial general de una organización, ya que aprovecha 20 años de compromisos de servicios profesionales a través de decenas de miles de proyectos en más de 150 países y facilita decenas de miles de millones de interacciones críticas.
Una vez que se han identificado las áreas de mejora, las empresas pueden dar el primer paso para mejorar la resiliencia organizacional con la gestión de eventos críticos.
El primer paso para la gestión eficaz de eventos críticos: sistemas de notificaciones en masa
Cuando uno se enfrenta a eventos críticos, la velocidad y la capacidad de respuesta son clave. Un sistema de notificaciones en masa permite a las organizaciones enviar fácilmente comunicaciones de emergencia con facilidad, fiabilidad y de manera sistemática, todo lo cual es vital en tiempos de crisis. Por ejemplo, Everbridge Mass Notification with Incident Communications prioriza la facilidad de uso a la vez que maximiza la velocidad y la fiabilidad, lo que permite que las organizaciones y los organismos gubernamentales lleguen a su público antes, durante y después de un evento crítico.
Si bien los sistemas de notificaciones en masa a menudo son una primera opción para las empresas que buscan mejorar su estrategia de gestión de eventos críticos, una solución de emergencia independiente ya no basta para combatir el panorama de amenazas crecientes. De hecho, muchos creen que se necesita un sistema de gestión de eventos críticos (CEM) para crear resiliencia operativa a largo plazo.
¿Qué es un sistema de gestión de eventos críticos?
Los sistemas de gestión de eventos críticos (CEM) utilizan la tecnología para automatizar los procesos manuales y transformar digitalmente la gestión de eventos críticos. Por ejemplo, la solución de CEM de Everbridge permite que las organizaciones aceleren sus respuestas ante eventos críticos y mejoren sus resultados al mitigar o eliminar el impacto de una amenaza. Los sistemas de gestión de eventos críticos amplifican los datos ad hoc para proporcionar más inteligencia sobre las amenazas al tiempo que proporcionan información detallada sobre las ubicaciones de las personas y los activos de la empresa, lo que genera que se evalúen y se ponga remedio a incidentes de forma rápida y completa.
Ventajas de un sistema de gestión de eventos críticos
Un sistema de CEM puede ayudar a las organizaciones a garantizar la resiliencia operativa, la continuidad del negocio, la gestión de emergencias y la recuperación ante desastres. Por ejemplo, el estudio The Total Economic Impact™ de la plataforma de gestión de eventos críticos de Everbridge reveló que la plataforma de Everbridge ayudó a proporcionar lugares de trabajo más seguros, a reducir los daños a la propiedad, a disminuir el tiempo de inactividad de TI y a aumentar la productividad, aparte de proporcionar otros beneficios para quienes la utilizaron. Sin embargo, para comprender mejor cómo un sistema de gestión de eventos críticos puede ayudar a las organizaciones a garantizar la resiliencia, es mejor examinar cómo el CEM puede beneficiar las cinco facetas principales de una organización durante un evento crítico.
- Personas: en 2019, se registraron 820 desastres naturales que causaron pérdidas cubiertas por aseguradoras, un número que se ha triplicado en los últimos 30 años. Con un sistema de CEM, las organizaciones pueden detectar eventos como huracanes y desencadenar una respuesta automatizada, como el envío de instrucciones de preparación para tormentas a aquellos que se encuentren en su trayectoria.
- Edificios: durante desastres naturales como huracanes o terremotos, los edificios comerciales pueden ser propensos a sufrir daños. Los sistemas de CEM ayudan a avisar a las organizaciones sobre las amenazas en o cerca de un edificio antes de que la amenaza se materialice al ilustrar los posibles riesgos para las operaciones y las infraestructuras y permitir la protección proactiva de las instalaciones y activos.
- Operaciones e infraestructura digitales: la pandemia de la COVID-19 dificultó el funcionamiento de las operaciones comerciales, lo que dio lugar a 200 000 cierres de negocios adicionales en 2020. Con las capacidades de transformación digital de la CEM, las empresas pueden prepararse para la escalabilidad durante una crisis, lo que permite a las organizaciones actuar de manera rápida y eficaz frente a las interrupciones.
- Cadenas de suministro: con una solución general de CEM, se puede lograr la gestión y la optimización adecuadas de las rutas y cadenas de suministro. La CEM introduce automatización, lo que permite a las organizaciones identificar los riesgos para los proveedores y las paradas con facilidad, velocidad y precisión.
- Departamento de TI y ciberseguridad: los ciberataques van en aumento y más de una cuarta parte de los objetivos está experimentando cinco ataques o más. Implementar un sistema de CEM puede ayudar a agilizar los procesos cuando se producen incidentes de TI, ya que agiliza el tiempo necesario para validar los fallos del sistema e identifica a aquellos que pueden ayudar a proporcionar soluciones procesables.
¿Quiere llevar su empresa al siguiente nivel? Más información:
Creación de una empresa madura: resiliencia operativa y gestión de eventos críticos
Garantizar la resiliencia operativa de cualquier organización es una tarea difícil que requiere compromiso, monitorización y evolución constantes. Sin embargo, asegurar la resiliencia operativa es algo que se puede lograr de manera eficaz a través de las evaluaciones, la planificación y la tecnología apropiadas.
Para obtener más información sobre la creación de una empresa resiliente desde el punto de vista operativo, descargue nuestro libro blanco Evolución de la notificación en masa en la gestión de eventos críticos. En su interior, descubra cómo crear y mantener una empresa madura a través de un enfoque holístico de la gestión de eventos críticos y obtenga información detallada sobre las tecnologías que combaten el complejo panorama de amenazas actual.
Qué:
La gestión de la información de seguridad física (PSIM) es una categoría de software diseñada para integrar varias aplicaciones de seguridad no conectadas, permitir la automatización de flujos de trabajo y procesos y proporcionar control sobre los dispositivos a través de una experiencia de usuario unificada.
Puede funcionar como una plataforma dedicada a la seguridad física o como parte de una capacidad más amplia de gestión de eventos críticos (CEM, por sus siglas en inglés).
Cómo:
Recopila y correlaciona eventos de sistemas de seguridad y sistemas de información independientes (vídeo, control de acceso, sensores, análisis, redes, sistemas de edificios, cibernética, etc.) para capacitar al personal de seguridad de manera que pueda identificar y resolver de forma proactiva y precisa los eventos críticos.
Por qué:
La PSIM ofrece numerosos beneficios a nivel organizativo, incluidos un mayor control, una mejor conciencia situacional y la generación de informes de gestión. En última instancia, estas soluciones permiten reducir costes a las organizaciones, gracias a su mayor eficacia y a la mejora de la postura de seguridad de la organización, lo que mejora su cumplimiento normativo e inteligencia de riesgos.
Características de las plataformas de PSIM:
Un sistema de software PSIM completo ofrece seis capacidades clave que permiten distinguirlo de otras formas de gestión de la seguridad física:
- Integración: un sistema de PSIM proporciona una arquitectura abierta para integrar datos de cualquier cantidad de dispositivos o sistemas de seguridad independientes, sin importar el proveedor.
- Análisis: un sistema de PSIM proporciona un motor de flujo de trabajo que analiza y correlaciona los datos, eventos y alertas para identificar y priorizar las situaciones reales.
- Verificación: un sistema de PSIM presenta información relevante sobre la situación y los procedimientos operativos estándar (SOP, por sus siglas en inglés), en función de las distintas políticas de la organización.
- Resolución: un sistema de PSIM permite accionar y controlar los dispositivos para que los usuarios puedan tomar medidas y resolver situaciones sin necesidad de cambiar a otros sistemas de software.
- Informes: un software de PSIM estructura los datos de los sistemas integrados para proporcionar una única fuente fiable en materia de cumplimiento normativo, generación de informes y formación del personal.
- Auditoría: un sistema de PSIM también realiza un seguimiento de toda la información recibida y captura tanto las interacciones de los operadores, como los cambios del sistema, lo que permite un análisis en profundidad para futuras investigaciones.
Qué hace la PSIM:
Aparte de las ventajas en cuanto al ahorro de tiempo y mejora de la eficacia, la PSIM también reduce los riesgos gracias a la automatización y la garantía de cumplimiento de las políticas, la aceleración de los tiempos de respuesta, la generación de informes precisos entre distintos sistemas y la prevención de bloqueos tecnológicos.
La PSIM permite implementar procesos de negocio fundamentales para cualquier departamento de seguridad moderno, como iniciativas de mejora continua de procesos, simulacros de formación o controles de salud del sistema.
Verificación de amenazas:
Muchas de las alertas que llegan al entorno de seguridad no son realmente amenazas. Las alertas deben priorizarse según el riesgo y la relevancia, con criterios como la hora del día, la ubicación del personal y una amplia variedad de factores críticos. La «gestión dinámica de alarmas» es necesaria para encontrar las de «alto riesgo», que indican que puede ser necesario tomar alguna medida. Los sistemas conectados y la automatización de procesos como las alertas al personal clave, la verificación por vídeo y los acuerdos de nivel de servicio (SLA, por sus siglas en inglés) permitirán implantar la conciencia situacional y garantizar que se realiza un seguimiento rápido de las alertas y que se toman decisiones lo más fundamentadas posible.
Unificación de la seguridad:
La PSIM permite hoy que organizaciones como la suya fijen una postura de seguridad conjuntada y unificada. Dicha unificación tiene, entre otras, las siguientes ventajas:
- Conciencia situacional completa en todos los aspectos de la seguridad
- Niveles coherentes de seguridad en todas las ubicaciones (sin puntos débiles)
- Reducción de costes por la mejora de la eficacia de los guardias de seguridad
- Reducción de costes por la disminución del número de salas de control y del espacio necesario
- Habilitación de la monitorización remota con mando y control distribuidos
- Informes y paneles de control automatizados que cubren todo el estado de seguridad
![](https://www.everbridge.com/wp-content/uploads/2021/11/Control-Center-prevent-info-overload.jpg")
Obtención del retorno de la inversión (ROI) en seguridad:
Las operaciones de seguridad actuales deben aprovechar el poder de la automatización para tomar decisiones rápidas y precisas basadas en políticas y procedimientos específicos de la organización. Con el paso de los años, muchas operaciones de seguridad han crecido y han ido introduciendo gradualmente soluciones puntuales.
Desde una perspectiva estratégica, las organizaciones líderes del mercado se centran en mejorar su postura de seguridad para que la resiliencia operativa sea mayor, en lugar de limitarse a reducir los costes de seguridad. La seguridad y la protección ya no tienen que ver con guardias, puertas, vigilancia y reacción, sino con automatización, análisis y control proactivo.
La PSIM se ha convertido en el catalizador perfecto para esta transición, es decir, partir de soluciones puntuales dependientes de la monitorización e intervención constantes por parte del personal de seguridad para llegar a una plataforma impulsada por la propia información y que gestiona de forma proactiva el creciente volumen de información que llega a la sala de control.
Cuando se trata de comunicaciones de crisis, a menudo menos es más. Para transmitir mensajes es necesario equilibrar varios canales de entrega con la frecuencia adecuada y el tipo de mensaje que se envía. En realidad, demasiada comunicación puede tener el efecto contrario de lo que se pretende. Everbridge tiene muchos años de experiencia trabajando con clientes en crisis. A continuación, detallamos algunas de las cosas que hemos aprendido.
Hacer coincidir el mensaje con el medio
Existen seis herramientas que suelen utilizarse para las comunicaciones de emergencia. Cada una tiene una utilidad diferente:
- Alertas inalámbricas, que por lo general implican una alarma audible
- Llamadas telefónicas a números fijos
- Llamadas telefónicas a números de móvil
- Servicio de mensajes cortos (mensajes de texto)
- Correo electrónico
- Sitio web
Alertas inalámbricas
Las alertas inalámbricas son altamente disruptivas y deben usarse solo cuando hay información crítica que compartir, como la necesidad de refugiarse o evacuar. El uso excesivo de alertas inalámbricas puede crear «fatiga de mensajes», lo que provocará que los destinatarios se desconecten.
Llamadas telefónicas
Las llamadas telefónicas y los mensajes de texto se encuentran entre las formas de comunicación más fiables. Conviene usarlas para alertas que sean ligeramente menos urgentes pero que sigan requiriendo algún tipo de acción, como refugiarse en un lugar o hacerse alguna prueba. Una vez más, hay que ser consciente de la fatiga de mensajes.
Correo electrónico
El correo electrónico es un buen medio para entregar actualizaciones periódicas, tal vez de forma diaria o semanal. Debe utilizarse para comunicaciones menos urgentes que puedan requerir información auxiliar, como enlaces o imágenes. Especifique la frecuencia con la que las personas pueden esperar las comunicaciones para que el correo electrónico se convierta en algo que esperan en lugar de en algo que acaban ignorando.
Sitio web
El sitio web es el ancla de las comunicaciones de una crisis en curso. Proporciona una base de información actualizada con frecuencia que las personas pueden consultar cuando tienen tiempo.
Cualquier buen plan de crisis debería utilizar todas estas herramientas de manera adecuada. En todos los casos, es importante no comunicar en exceso, ya que todos estos canales están sujetos a la fatiga de mensajes.
Coordinación con municipios locales y regionales
Como líder durante una crisis que afecte a una región grande, es muy probable que la gente reciba mensajes de múltiples entidades, incluidos el estado, la comunidad autónoma, la ciudad y el distrito. Esto puede provocar fatiga de mensajes si las comunicaciones son repetitivas o llegan con demasiada frecuencia. Las organizaciones deben mantenerse en contacto entre sí y suscribirse a las alertas de los demás para evitar esto. Es posible que a las regiones vecinas les interese escalonar las notificaciones para evitar consecuencias no deseadas, como atascos de tráfico o compra por pánico.
En el mejor de los casos, las agencias de una región deberían estandarizar los procesos en una única plataforma de gestión de eventos críticos (CEM) para simplificar las comunicaciones cruzadas. Por ejemplo, los suscriptores de Everbridge pueden optar por compartir automáticamente el contenido y la frecuencia de las comunicaciones entre sí para minimizar la sobrecarga administrativa.
Actúe de forma directa y prescriptiva en sus comunicaciones
«El coeficiente intelectual de las personas tiende a disminuir durante una situación en la que hay un alto nivel de ansiedad», dice Imad Mouline, director de tecnología de Everbridge. En otras palabras, no hay lugar para matices en una crisis.
Mantenga los mensajes simples, prescriptivos y breves. Mouline recomienda que cada mensaje tenga tres partes. Por ejemplo:
- ¿A qué situación pertenece este mensaje?
- ¿Cómo afecta al destinatario?
- ¿Qué debe hacer exactamente el destinatario en respuesta a la situación?
Evite instrucciones ambiguas como «actúe según su mejor criterio». Puede que la gente no piense con claridad. En caso de emergencia, quieren instrucciones explícitas.
Mantenga los mensajes urgentes breves, idealmente con menos de 30 palabras, recomienda Mouline. Los mensajes grabados entregados por teléfono deben durar menos de 30 segundos y seguir las mismas tres pautas mencionadas anteriormente. En las comunicaciones por voz, se llamará la atención de la gente de manera más eficaz si se elige una voz conocida por la comunidad, como un alto funcionario público, un superintendente escolar o un jefe de policía.
Utilice todas las herramientas que tenga a su alcance
Un punto clave es dar a los destinatarios control sobre los mensajes. Si está controlando el bienestar, por ejemplo, asegúrese de que una persona que responda no vuelva a recibir el mismo mensaje, ni siquiera a través de otros canales. Póngase en la piel de la persona al otro extremo de la línea. Considere qué tipo de información necesitaría, con qué frecuencia y cómo desearía que se le entregara. Con toda la maravillosa tecnología que tenemos para comunicarnos hoy, los eslabones finales son, en última instancia, personas.
Protege mejor a las personas, ahorra tiempo y dinero a las empresas
La seguridad cibernética y la seguridad física crecieron en tiempos diferentes y mundos distintos. De hecho, mucho antes de que la transformación digital fuera ni siquiera un concepto, la seguridad física ya había marcado territorio en el mundo corporativo y cumplía su misión: proteger a personas, edificios y otros activos de las empresas. Luego, a medida que el mundo de los negocios empezó a depender cada vez más de la tecnología de la información (TI), la seguridad digital comenzó a marcar músculo en su propio territorio.
Hoy por hoy, los eventos críticos son cada vez más graves: desastres naturales, clima extremo, violencia en el lugar de trabajo, disturbios sociales, terrorismo, ciberdelincuencia, etc. Algunos son una amenaza para la seguridad de las personas: empleados, contratistas, clientes y visitantes. Otros lo son para los activos físicos: edificios y parques empresariales, equipos e inventario. Otros amenazan las operaciones corporativas externas: proveedores, socios comerciales y logística. Y otros amenazan la infraestructura digital: hardware, software, datos confidenciales y propiedad intelectual. E inevitablemente, habrá muchos eventos críticos que pongan en riesgo todo lo anterior a la vez.
El enfoque actual que trata la seguridad cibernética por un lado y la seguridad física por otro ha puesto en jaque a muchas empresas de cara a prepararse y responder a eventos que amenazan tanto los activos físicos como los digitales. Las empresas vienen tomando iniciativas de transformación para superar esa compartimentación que se refleja en los repositorios de datos, los sistemas de TI, las unidades de negocio, las oficinas regionales, etc. De la misma forma, los líderes visionarios se están dando cuenta de que necesitan adoptar un enfoque unificado para gestionar los eventos críticos, independientemente de si el evento supone una amenaza física, digital o ambas.
La seguridad digital y la seguridad física van de la mano
Hoy en día, las amenazas son cada vez más difíciles de categorizar bajo un único perfil. Muchas amenazas físicas, como el clima extremo y los desastres naturales, pueden resultar tan catastróficas para los activos físicos como para los sistemas digitales. Muchas amenazas cibernéticas, como el phishing (suplantación de identidad) o los ataques de ransomware (cibersecuestro), comprometen las redes digitales, lo que, a su vez, puede otorgar a los atacantes cibernéticos el control de los sistemas físicos de la empresa. Por tanto, hoy por hoy, ya no se trata de seguridad física O digital, sino de seguridad física Y digital.
Cada evento crítico es único. No obstante, hay una máxima que se aplica siempre: cuanto más tiempo pase sin una respuesta rápida, contundente y ordenada, mayor será el impacto en su personal, sus activos y sus operaciones comerciales, y menos opciones tendrá para responder. Las empresas resilientes y con visión de futuro están integrando la seguridad cibernética y física para facilitar una respuesta contundente, ordenada y rápida a los eventos críticos.
¿Cómo mejora la eficiencia fusionar la seguridad cibernética y la física?
Cuando se produce un evento crítico, independientemente de la causa o de los impactos potenciales, las empresas tienen un deber de cuidado para con la seguridad de su personal y de la organización, tanto desde la perspectiva física como de la infraestructura digital. El personal de seguridad debe poder responder a cualquier evento crítico aplicando un conjunto coherente de procedimientos operativos.
Durante una crisis, el personal de seguridad debe:
- Comprender lo que está pasando
- Determinar quién o qué puede verse afectado
- Evaluar la relevancia y la magnitud relativa de la amenaza
- Responder en consecuencia
- Comunicarse claramente
Una vez que el evento crítico haya pasado, el personal de seguridad debe:
- Analizar sus acciones
- Aprender de su respuesta para mejorar su preparación de cara al próximo evento crítico
Es imperativo tener plena visibilidad de la amenaza y de sus impactos. Ser capaces de integrar los marcos de riesgo, los procesos empresariales y la respuesta a las crisis permite a los equipos ver tanto la seguridad física como la digital con la mayor claridad posible. La integración y la centralización permiten una gestión ágil de los incidentes conforme surgen y cimentan la resiliencia operativa continua.
Al adoptar un enfoque unificado para la seguridad digital y física, se reservan recursos valiosos, se centraliza el análisis de datos y se aceleran los tiempos de respuesta, lo que puede salvar vidas, proteger la infraestructura y preservar la continuidad del negocio. Si las empresas responden rápidamente a cualquier tipo de amenaza con medidas e instrucciones contundentes y obligatorias, protegerán mejor a su personal y minimizarán los daños a sus instalaciones. Además, reducirán su responsabilidad corporativa por daños y minimizarán los esfuerzos de recuperación necesarios tras el desastre. al salvar vidas mientras se ahorra dinero, todos salen ganando.
Software del centro de fusión: cómo integrar la seguridad digital y física
Los equipos de seguridad deben atender a tres aspectos clave:
- Seguridad del personal
- Seguridad física
- Protección de la infraestructura digital
Las empresas que están en vanguardia en lo tocante a seguridad integrada ya están construyendo centros de fusión para unir las capacidades de seguridad física y digital y mejorar así su postura de seguridad general en torno a los tres aspectos indicados arriba.
Pero ¿qué es un centro de fusión? Según StateTech Magazine, los centros de fusión o centros de ciberfusión son espacios de trabajo centralizados que «integran múltiples fuentes de datos en una única imagen coherente, lo que permite que los usuarios evalúen las situaciones en tiempo real y tomen decisiones rápidamente». StateTech también diceque los centros de fusión «reúnen personas y datos para coordinar mejor las respuestas a las amenazas».
Si bien inicialmente los centros de fusión se afianzaron en el sector público (según el Departamento de Seguridad Nacional de EE. UU., actualmente hay en funcionamiento al menos un centro de fusión cibernética en cada uno de los 50 estados de EE. UU.), las empresas privadas están reconociendo el valor de adoptar un enfoque centralizado y unificado para la gestión de eventos críticos y están invirtiendo en poner en línea sus propios centros de fusión.
Los datos son clave para integrar la seguridad digital y física. Los centros de fusión centralizan todas las fuentes de datos que su empresa sea capaz de suministrar. Esto incluye sistemas de RR. HH. y ERP, dispositivos de IoT, videovigilancia, escáneres locales, aplicaciones de rastreo de contactos, registros de visitantes, etc. Al centralizar todas las fuentes de datos en un centro de fusión, los equipos de seguridad integrada pueden evaluar rápidamente el evento crítico en cuestión, calcular su impacto potencial y actuar en consecuencia para maximizar la seguridad, minimizar los daños y revisar la eficacia de la respuesta.
Everbridge: su socio para la gestión de eventos críticos a través de la automatización inteligente
La gestión manual de la respuesta a las crisis siempre es inadecuada, independientemente de si se implementa un centro de fusión o se mantiene un enfoque más tradicional con la seguridad física por un lado y la digital por otro. Las organizaciones necesitan herramientas automatizadas, diseñadas para aumentar la resiliencia empresarial. Para aprovechar los datos disponibles, dispares pero relevantes, de manera que den forma a acciones rápidas y contundentes frente a eventos críticos, Everbridge le permite crear un centro de fusión para empresas mediante su plataforma de gestión de eventos críticos (CEM). La CEM aprovecha la automatización inteligente y permite que las empresas protejan lo que más importa.
La gestión de eventos críticos (CEM) de Everbridge agrupa y analiza datos pertinentes y automatiza innumerables procesos de respuesta a crisis para evaluar el riesgo y localizar a las personas y activos afectados, de manera que se pueda actuar con mayor rapidez y confianza. Los componentes de la plataforma de CEM impulsan la optimización continua de su organización y de sus operaciones:
 | Control Center: (centro de control) integrar y mantener el control de sus activos físicos. |
 | IT Alerting: (alerta informática) clasificar y arreglar más rápidamente los incidentes de TI mediante la automatización del flujo de trabajo y la gestión de la programación de guardias. |
 | Risk Center: (centro de riesgos) proporcionar información procesable que ayude a reducir los riesgos para su personal tanto en sus lugares de residencia o de trabajo como durante sus desplazamientos. |
 | Visual Command Center (VCC): (centro de mando visual) obtener una imagen operativa común con potentes capacidades de visualización y orquestación. |
La gestión de eventos críticos (CEM) de Everbridge es el software de centros de fusión para preparación y respuesta a emergencias en el que confían miles de empresas del sector privado y entidades públicas para mantener la seguridad de su personal y la continuidad de sus actividades.
Para obtener más información sobre los beneficios de un enfoque integrado de la seguridad física y cibernética, consulte el webinar Adoptar un enfoque unificado de la seguridad física y cibernética.
Hay eventos críticos que pueden resultar familiares para una organización, que suceden con frecuencia o que incluso siguen una programación establecida. Otros pueden suponer nuevos desafíos que los equipos de respuesta no hayan visto ni experimentado antes. En el peor de los casos, los eventos podrían incluso ocurrir simultáneamente, obligando al personal de respuesta a dividir su atención a la vez que intentan anticiparse y tener en cuenta los efectos combinados. Sea como fuere, todos los eventos críticos requieren un liderazgo firme para minimizar el impacto sobre las personas y las operaciones de una organización.
Cuando se discute sobre el estado de preparación de una organización para hacer frente a eventos críticos nos solemos centrar en las capacidades y la planificación de la empresa. No obstante, hasta el mejor plan de respuesta a emergencias tiene pocas probabilidades de éxito si los miembros del equipo de liderazgo encargados de organizarla no están bien equipados para gestionar una respuesta coordinada.
Vamos a examinar detenidamente las habilidades esenciales que los líderes deben poseer y poner en práctica cuando tiene lugar una crisis. Así estarán mejor preparados para anticiparse a los eventos críticos, mucho antes de que ocurran.
Comprender los tres tipos de eventos críticos
Hay tres categorías de eventos críticos que las organizaciones pueden sufrir y deben ser capaces de gestionar. Las emergencias de rutina, como los desastres naturales, son eventos que no resultan nuevos y que podemos planificar en función de la experiencia acumulada. Las emergencias de crisis, como los ataques terroristas, son acontecimientos novedosos casi imposibles de prever, por lo que la planificación previa es poco común. En tercer lugar, hay crisis de emergencia que inicialmente se presentan como emergencias de rutina, y generan en el personal de respuesta una falsa sensación de seguridad, dado que creen haber experimentado ya este tipo de evento crítico, cuando en realidad no es así (la reciente pandemia global es un buen ejemplo).
Puesto que, en parte, el alcance, la gravedad y la novedad de los eventos críticos determinarán la utilidad real de los planes de respuesta a emergencias de una organización, es importante tener en cuenta los dos componentes de la preparación que entran en juego al afrontar eventos críticos: operar en un estado constante de preparación y disponer de una amplia gama de planes de contingencia. La planificación de la respuesta a emergencias es crucial, pero incluso el plan más sólido no puede cubrir todas las situaciones posibles. Todos los eventos críticos implican tomar decisiones en tiempo real y actuar en medio de una tremenda presión.
Contrariamente a la creencia común, las organizaciones no se preparan para todos los posibles eventos críticos. Los peores escenarios son demasiado amplios, graves e impredecibles, por lo que no resulta práctico ni rentable incorporar estos escenarios a un plan de respuesta o de formación para emergencias. Por el contrario, los planes de respuesta a emergencias se diseñan para abordar emergencias de rutina, que son razonablemente predecibles y las organizaciones ya saben cómo gestionar.
Entonces, ¿cómo puede una organización estar preparada para emergencias y eventos críticos? Aquí es donde entran en juego las habilidades de liderazgo de los gerentes de emergencias.
Siete habilidades esenciales para una gestión de crisis eficaz
Según Regina Phelps, reconocida experta en el campo de la gestión de emergencias y la planificación de continuidad, y una de las más destacadas expertas en la materia de Everbridge, hay siete habilidades esenciales que los miembros del equipo de liderazgo de una organización deben poseer y desarrollar para gestionar los eventos críticos de forma eficaz, proteger a su personal y mantener la continuidad del negocio:
- Conciencia situacional
- Improvisación
- Creatividad y adaptabilidad
- Decisión
- Acción
- Comunicación
- Reevaluación
En un reciente webinar de Everbridge, la Sra. Phelps destacó la importancia de cada una de estas habilidades e ilustró cómo la interacción entre ellas puede ayudar a los líderes a minimizar el impacto de los eventos críticos en sus organizaciones. A continuación, ofrecemos un breve resumen de los principales puntos que abordó la Sra. Phelps.
La primera habilidad es la conciencia situacional, entendida como la capacidad del equipo de liderazgo para tener en cuenta el contexto que rodea a un evento crítico mientras este tiene lugar, evaluar la relevancia y la integridad de la información disponible, anticipar las consecuencias probables y tomar decisiones apropiadas. Cuando un equipo de liderazgo es incapaz de extraer la información crucial ignorando los datos irrelevantes, o de comprender las implicaciones de ciertas medidas de respuesta, es poco probable que sea capaz de minimizar el impacto de la crisis.
La siguiente habilidad que los líderes deben desarrollar es la improvisación, la capacidad de cambiar rápidamente los planes en función de la información obtenida mediante la conciencia situacional. En una verdadera emergencia de crisis, lo más probable es que el plan A (probado, comprobado y verdadero) no funcione. En vez de ese plan A, los líderes de respuesta a emergencias tendrán que recurrir al plan B. Por desgracia, cuanto más novedoso sea un evento, mayor será la probabilidad de que ni siquiera exista un plan B. Por improvisación se entiende la capacidad del equipo de liderazgo para ajustarse sobre la marcha y trazar un nuevo plan.
La improvisación va de la mano de la creatividad y la adaptabilidad. Si bien entendemos la improvisación como la capacidad de idear un plan B sobre la marcha usando solo las conclusiones alcanzadas mediante la conciencia situacional, la creatividad y la adaptabilidad se definen como la capacidad del equipo de liderazgo para poner en práctica dicho plan y reaccionar en consecuencia a medida que cambian las condiciones. La respuesta de emergencia nunca es estática. En situaciones de crisis, los líderes no pueden casarse con una sola estrategia. Deben seguir recibiendo nueva información, escuchar atentamente y consultar con el personal de emergencia de primera línea, que comprende qué está sucediendo. Y, según lo aconsejen las condiciones, deben tener la disposición y la capacidad de pivotar.
Lo que hasta el momento estaba implícito necesita explicitarse: la decisión es otra habilidad esencial. Los líderes deben ser capaces de hacer avanzar a sus organizaciones aun con información confusa, incoherente y cambiante. Si hemos entendido la necesidad de improvisación, creatividad y adaptabilidad, entenderemos que la decisión no implica rigidez. Pero sí que implica la necesidad de pasar a la acción rápidamente, incluso cuando la conciencia situacional continúe evolucionando. Si, durante la respuesta, se hace evidente que la decisión que se ha tomado es equivocada, los líderes deben reevaluar la situación.
Tenga en cuenta el siguiente principio para la respuesta a eventos críticos: No se puede controlar el desastre, pero se puede controlar la respuesta al desastre, y ello requiere asumir el bastón de mando del liderazgo. La acción es una habilidad de liderazgo que, al igual que la decisión, casi nunca se menciona. No obstante, la acción no puede darse por sentada. Quien haya sufrido una situación en la que la persona en posición de liderazgo sea reacia a liderar sabe de qué hablamos. Los líderes deben demostrar la capacidad de llevar a cabo los planes previstos, para que otros sigan su ejemplo.
La capacidad de liderazgo del equipo directivo depende en gran medida de una comunicación eficaz. Cada organización debe contar con una plataforma de comunicación de eventos críticos y emergencias que, en caso de crisis, permita al equipo de respuesta a emergencias:
- Comprender dónde está el personal de la organización en relación con la crisis
- Enviar mensajes automatizados y contextualizados a todo el personal, incluidos, entre otros, quienes están directamente en peligro
- Comunicarse con el personal de la organización para comprender cómo les afecta la crisis y garantizar su seguridad
Dicho esto, la plataforma de comunicaciones es solo el medio para enviar y recibir mensajes. Los mensajes en sí requieren un enfoque completamente diferente. Para evitar confusiones, los mensajes deben ser claros, nítidos, concisos y oportunos. Es importante que estas comunicaciones no alarmen al personal, pero deben transmitir claramente la magnitud de la situación. Es crucial que el equipo de liderazgo haga uso de todos los canales de comunicación, incluidas las redes sociales.
La última habilidad que los equipos de liderazgo necesitan para minimizar el impacto de los eventos críticos es la reevaluación. Sin la voluntad de analizar la gestión de la respuesta a emergencias y preguntarse una y otra vez: «¿cómo lo estamos haciendo?» y «¿qué estamos pasando por alto?», todas las habilidades comentadas pierden su efecto. Sin poder aplicar una reevaluación cuidadosa, los equipos de liderazgo corren el riesgo de conducir a sus organizaciones por un camino que amplificará el alcance y el impacto de los eventos críticos en sus organizaciones, en lugar de minimizarlos.
Le invitamos a ver el webinar para conocer en detalle estas habilidades esenciales de liderazgo. Si desea obtener más información, póngase en contacto con nosotros.
Los sistemas de notificaciones en masa son una forma de enviar notificaciones a individuos o grupos utilizando listas, ubicaciones e inteligencia visual con vistas a mantener a su personal a salvo en cualquier lugar del mundo en que se encuentren. Si bien es cierto que las soluciones de notificación de emergencias más tradicionales, como las sirenas y las transmisiones de radio, funcionaron bien en un momento dado, dejan de ser efectivas cuando se trata de responder a las exigencias de la fuerza laboral móvil y remota moderna. Y cuando se produzca un evento crítico, ya va a tener suficientes preocupaciones. Le interesa asegurarse de que sus comunicaciones de emergencia sean efectivas a la hora de hacer llegar el mensaje correcto a las personas adecuadas en el momento oportuno. Pero ¿cómo saber que su solución particular tiene todo lo que necesita para cumplir esa misión?
DESCARGAR LA GUÍA DEL COMPRADOR DE MASS NOTIFICATION
Aspectos básicos de las notificaciones en masa
Es importante que los usuarios de todos los niveles puedan enviar rápida y fácilmente comunicaciones de emergencia para que todos estén informados antes, durante y después de que se produzcan eventos críticos. Sin un sistema de notificaciones en masa integral y fácil de usar, los eventos críticos pueden afectar gravemente a la productividad y los ingresos, frenando la producción, impidiendo las llamadas del equipo, retrasando las respuestas a problemas urgentes y ralentizando la llegada a los afectados.
Mensaje: recibido
Puede sonar sencillo, pero durante un evento crítico las notificaciones de emergencia pueden suponer un esfuerzo mayúsculo. He aquí algunos factores que servirán para robustecer su sistema de notificaciones en masa:
- Tener como objetivo al individuo y no al dispositivo
- Escalar para garantizar que la notificación llegue a la siguiente persona o grupo
- Difundir el aviso a prácticamente cualquier dispositivo de comunicación, incluidas alertas de escritorio
- Configurar plantillas con contactos y mensajes predeterminados
- Proteger la capacidad de infraestructura con control de llamadas flexible
- Publicar automáticamente en sitios web, sistemas internos y redes sociales
Un sistema de notificaciones en masa debe ser accesible desde cualquier dispositivo móvil, en cualquier lugar. El teletrabajo es cada vez más frecuente en el mundo de hoy en día, por lo que ahora es más importante que nunca ser capaz de iniciar sesión rápidamente y enviar un mensaje a través de un dispositivo móvil. Y aquellos que podrían estar en el escenario o en el área donde se esté desarrollando el evento crítico deben tener la capacidad de enviar y recibir mensajes desde cualquier lugar cuando se dé la voz de alarma, ayudando con los esfuerzos de respuesta al proporcionar actualizaciones de estado y comentarios de gran valor.
Cuando algo sucede, las organizaciones no deberían tener que perder el tiempo husmeando a través de múltiples herramientas de software y consolidando respuestas manuales. La comunicación debe ser rápida, sencilla y específica a través de un sistema de comunicaciones de emergencia moderno y específico.
Aumente el valor de sus mensajes
Los modos de comunicar los mensajes no hacen más que evolucionar. Ello hace imprescindible sentarse a considerar todas las posibilidades. Las notificaciones automáticas, por voz y por SMS son solo algunos ejemplos de los tipos de comunicaciones que conviene buscar en sus sistemas de comunicación masiva.
No solo eso, sino que su sistema debe proporcionar comunicación bidireccional para que, una vez que su destinatario haya recibido la información, este pueda confirmar, solicitar más información o proporcionar información adicional. A medida que los eventos siguen su curso, puede resultar muy útil tener actualizaciones bidireccionales para seguir dando instrucciones. En el caso de comunicaciones de emergencia, los mensajes deben requerir confirmación y respuesta, como “«¿Necesita ayuda?»”, “«Pulse 1 para Sí, pulse 2 para No»”. Esta funcionalidad puede ayudar a su departamento a saber quién necesita asistencia de forma rápida y fácil.
Y no nos olvidemos de las redes sociales: su sistema de comunicación de emergencia debe poder publicar mensajes directamente en las cuentas de Facebook y Twitter de su departamento u organización para ahorrar tiempo y ampliar el alcance de su mensaje.
Reduzca el error humano
Durante un evento crítico, interesa minimizar las oportunidades de que se produzcan errores como la falta de información, el envío del mensaje equivocado o el que no se envíe ningún mensaje en absoluto. ¿La clave para hacer eso? Utilizar un sistema de notificaciones en masa que le proporcione las herramientas necesarias para crear y ejecutar planes sólidos. Busque un sistema de comunicaciones de emergencia que se automatice para reducir el error:
• Separando planes por ubicación, departamento o instalación
• Automatizando los destinatarios y el contenido en función de la ubicación, la gravedad y el tipo de mensaje
• Detectando errores de forma temprana con las indicaciones del usuario para los detalles críticos requeridos
• Aprovechando los permisos de usuario granulares para evitar que los usuarios realicen cambios
…pero asegúrese de que cualquier persona pueda usarlo
Sabemos que la facilidad de uso es importante porque los altos niveles de estrés pueden reducir las capacidades cognitivas de una persona durante una crisis, y un sistema que parecía fácil de usar durante un simulacro puede parecer demasiado complejo cuando una persona está bajo presión durante una emergencia.
Está claro que cada proveedor afirmará que su solución es fácil de usar, pero algunos siempre superarán a la competencia. Entonces, ¿cómo saber cuál es la más fácil de usar? Le interesa un sistema de notificaciones en masa que permita a sus usuarios:
• Gestionar la configuración, los límites y los valores predeterminados a través de un administrador fácil de usar
• Importar y organizar los datos de contacto de una manera que resulte significativa para su organización
• Definir controles de acceso basados en roles para gestionar usuarios y contactos por separado
• Personalizar los portales para permitir que los contactos actualicen y administren sus cuentas
Puede medir la facilidad de uso aprovechando una serie de criterios estándar. Si bien todos los sistemas pueden llevar la facilidad de uso por bandera, algunos serán más llamativos y estarán más orientados hacia un usuario con elevados conocimientos técnicos. En una demostración de productos algo así puede quedar genial, pero al final, lo que interesa es algo simple donde el usuario no tenga que preocuparse por si se pierde entre los menús para mantener la seguridad y la tranquilidad de todos cuando se produce un evento crítico.
Una solución para hoy y mañana
Lo que interesa, a fin de cuentas, es un sistema de notificaciones en masa que simplemente funcione no solo para nuestro mundo actual, sino también en el futuro. No puede equivocarse trabajando con un líder referente en el sector con una experiencia ampliamente demostrada en gestión de eventos críticos. Y un proveedor de prestigio no solo reacciona a los avances del sector, sino que lo moldea y le da forma con un pensamiento progresista, soluciones innovadoras y participación en eventos y foros comunitarios interactivos.
Si quiere tener la opción de aprovechar sus capacidades de notificaciones en masa en el futuro, necesitará un proveedor que ofrezca más que un solo producto sin formas adicionales de ampliar la funcionalidad. De esta manera, solo tendrá que acceder a una aplicación, sin los costes extra y los quebraderos de cabeza que supone el integrar varias soluciones. Incluso si un sistema de notificaciones en masa satisface sus necesidades ahora, es bueno tener opciones si estas necesidades se amplían con el tiempo.
Puede ser difícil tratar de averiguar qué es importante cuando se busca un gran sistema de notificaciones en masa. Para obtener más información, asegúrese de ver la Guía del comprador de Mass Notification para obtener información adicional.
Las organizaciones con un alcance global suelen necesitar que los empleados viajen tanto cerca como lejos. Ahora más que nunca, las empresas tienen el deber de velar por la seguridad, el bienestar y la protección de su personal, independientemente del destino al que acudan. Para garantizar la seguridad de los empleados que están de viaje de negocios, las organizaciones deben preparar a sus empleados ante posibles riesgos y mantenerlos informados durante todo el viaje, brindándoles más asistencia y atención si es necesario.
La importancia de una solución de gestión de riesgos en los viajes (TRM) exitosa
Los riesgos de viajar evolucionan constantemente, por lo que mantener la seguridad de los viajeros resulta cada vez más complicado. Ahora, para ser una organización verdaderamente resiliente y cumplir los estándares de deber de cuidado, las empresas deben contar con una solución de gestión de riesgos en los viajes capaz de lograr una visión holística de los posibles riesgos para los viajeros a la vez que se adaptan a las circunstancias cambiantes.
Los principales componentes de una solución de gestión de riesgos en los viajes exitosa
Una solución de TRM de éxito debe tener en cuenta tres componentes principales: antes del viaje, el viaje en sí y después del viaje. Sin cualquiera de esos componentes, la seguridad de los viajeros de negocios puede verse comprometida, lo que puede dar lugar a posibles litigios y multas por incumplimiento.
Antes del viaje
Los trabajos preliminares para cualquier solución TRM de éxito comienzan en el nivel previo al viaje. Las organizaciones deben confirmar que se han implementado las políticas y los procedimientos adecuados antes de comenzar a viajar. Una vez confirmados, las organizaciones deben asegurarse de disponer de datos claros y precisos en tiempo real de los riesgos de viaje actuales o potenciales y un plan para hacerles frente si se desarrollan.
Durante el viaje
Durante el viaje, las organizaciones deben tener la capacidad de localizar, comunicar y prestar apoyo a los viajeros de negocios en caso de que surjan o se desarrollen posibles riesgos. La implementación con éxito de una estrategia de gestión de riesgos antes del viaje es clave para el éxito durante el viaje en sí. Y es en este nivel donde la destreza técnica de una solución de TRM puede significar la diferencia entre la vida y la muerte.
Después del viaje
Y el trabajo no termina una vez que se vuelve de un viaje. Una solución de TRM exitosa debe medir las áreas de éxito y mejora, para así permitir que las organizaciones se adapten a las amenazas actuales o en desarrollo y escalen según sea necesario. Con los datos posteriores al viaje, las organizaciones pueden cuantificar mejor lo que está funcionando al tiempo que mantienen los niveles de cumplimiento.
«Hoy día nos encontramos con una nueva realidad, las plantillas híbridas. Si a ello le unimos el auge de los viajes de negocios, las funciones y los servicios avanzados de gestión de riesgos en los viajes, disponibles ahora a través de Everbridge, cobran mayor importancia si cabe a la hora de cumplir con el deber de cuidado y desarrollar la resiliencia empresarial», afirmó Julie Deppe, responsable de gestión de productos de Everbridge. «Los clientes buscan un único panel de control para ver y gestionar eventos críticos, notificaciones en masa y servicios de asistencia y riesgos en los viajes. Everbridge aborda de forma única esta necesidad apremiante del cliente».
Everbridge para la gestión de riesgos en los viajes
Everbridge aumenta su compromiso de ayudar a las organizaciones a cumplir con su deber de cuidado al mejorar la resiliencia de la empresa. No hay mejor modo de demostrar la materialización de este compromiso que con la nueva (y completa) integración de la solución de gestión de riesgos en los viajes (TRM) y la la gestión de eventos críticos (CEM).
Al combinar TRM y CEM en una única solución SaaS, Everbridge ayuda a empresas y a organizaciones gubernamentales y sanitarias a mejorar la funcionalidad al aumentar la unificación de datos de viajes, avisos previos al viaje, alertas automatizadas granulares de viajeros y localización dinámica. Estas capacidades, combinadas con la asistencia médica y de seguridad global a través de un centro de respuesta 24/7, ayudan a las organizaciones a crear nuevos estándares que cumplen o superan la guía ISO 31030 publicada recientemente.
Contacte con nosotros para obtener más información sobre cómo Everbridge puede ayudar a su organización a pulir sus procedimientos de gestión de riesgos en los viajes.
Después de una crisis, un desastre natural o provocado por el hombre, o cualquier otro tipo de emergencia, las organizaciones tienen que reanudar sus operaciones cotidianas con la mayor rapidez y fluidez posible.
La capacidad de una organización para recuperarse de un desastre requiere una planificación cuidadosa, procesos comprobables y la tecnología adecuada. Según un estudio de Ponemon Institute, el coste promedio del tiempo de inactividad de los centros de datos es de casi 9000 $ por minuto. Un estudio realizado por Gartner estimó el coste del tiempo de inactividad de la red en una cifra más modesta, de unos 5600 $ por minuto. Sea cual sea la cifra real, si hay algo claro es que el tiempo realmente es oro, por lo que las organizaciones deben ser proactivas y tenerlo todo preparado para recuperarse con éxito en caso de desastre.
¿Qué es la recuperación ante desastres?
La recuperación ante desastres es el proceso de restauración de las operaciones comerciales después de una interrupción. La recuperación ante desastres comprende un conjunto de políticas o procedimientos concebidos para garantizar una comunicación eficaz durante el evento y facilitar el retorno a las operaciones normales, la recuperación de los sistemas de tecnología de la información y el restablecimiento del tiempo de actividad de las aplicaciones esenciales para la misión.
Aunque suele combinarse con la continuidad del negocio (BC, por sus siglas en inglés), la recuperación ante desastres difiere en que es un componente del programa de BC. Un programa de BC abarca múltiples planes para mantener las operaciones comerciales antes, durante y después de un evento. El objetivo de la recuperación ante desastres es mantener las operaciones funcionando lo mejor posible mientras se produce un evento y reanudarlas con un tiempo de inactividad mínimo después de que se produzca una interrupción.
Cómo crear un plan de recuperación ante desastres
Un plan eficaz de recuperación ante desastres es un documento que requiere una planificación, una preparación y una prueba meticulosas y detalladas. Contiene una descripción general y las versiones detalladas de las políticas y los procedimientos para remediar un desastre a medida que transcurre, minimizar el impacto de las interrupciones y garantizar que las operaciones se reanuden lo antes posible después del tiempo de inactividad.
Desarrollar un plan de recuperación ante desastres al mismo tiempo que el plan general de BC supone emplear el tiempo y los recursos de una organización de manera esencial y eficiente. Ambas tareas requieren una evaluación del impacto en el negocio y análisis de riesgos. Los análisis identificarán los componentes críticos del plan de recuperación ante desastres, como el tiempo de recuperación de TI y los objetivos del punto de recuperación.
Más allá del hardware, las aplicaciones y los activos digitales de TI, un plan de recuperación ante desastres debe incluir las instalaciones físicas y la ubicación del personal dentro de las instalaciones. El plan debe identificar lo que debe protegerse durante un desastre, incluido el personal, los activos y las instalaciones afectados. También debe especificar qué recursos serán responsables de qué procedimientos, por ejemplo:
- Cuándo y cómo mantendrán los gerentes de las instalaciones las operaciones en línea o las cerrarán
- Qué personal de TI restaurará las copias de seguridad, después de cuánto tiempo de inactividad las restaurarán y cuándo resulta esencial restaurarlas
- Qué recursos protegerán a las personas, las operaciones y el hardware del peligro
- Quién integra el equipo de gestión de crisis
- Quién está a cargo de la recuperación ante desastres / gestión de eventos críticos
- Quién aprueba y quién entrega las comunicaciones a través de los medios de comunicación
El plan de recuperación ante desastres también debe contener un plan de contingencia: ¿Cuál es el plan B en caso de interrupción? ¿Quién guiará al personal a través del plan B y cómo se formará a los empleados? Después de todo, un plan solo funciona si la plantilla puede seguirlo.
Hay más requisitos para un plan completo de recuperación ante desastres. Entre ellos se incluyen información sobre los seguros disponibles para los cargos y los activos comerciales relevantes, las partes interesadas que deberán firmar todos los procedimientos de recuperación ante desastres y un programa de pruebas.
Cualquier plan se queda en mera hipótesis hasta que los equipos de gestión de crisis o los miembros apropiados de los equipos de gestión de crisis y respuesta a incidentes lo hayan probado. Y las pruebas no son una tarea única; conviene definir y cumplir todo un programa de pruebas. Probar el plan de recuperación ante desastres es la forma más segura de identificar brechas, necesidades o errores en los procedimientos planificados. Las pruebas del plan de recuperación ante desastres incluyen la realización de simulacros utilizando el sistema de comunicación de la organización para emergencias, crisis y desastres.
Comunicación eficaz de recuperación ante desastres
La comunicación durante un desastre y los esfuerzos de recuperación posteriores constituyen la piedra angular del plan. Es esencial que quede meridianamente claro quién habla con quién, cuándo, cómo y qué se comunica. La comunicación eficaz exige vías rápidas y flexibles y se basa en la confianza. La falta de comunicación clara y oportuna puede tener consecuencias para la seguridad y, dependiendo de la naturaleza del desastre, también puede conllevar daños para la reputación de la marca.
Las comunicaciones eficaces durante y después de un desastre se rigen por los siguientes principios:
• Mando y control: la claridad sobre quién está al mando y quién tiene el control resulta esencial.
• Coherencia: cada departamento y grupo debe comunicar la misma información y los datos fundamentales según un guion.
• Colaboración: los pensamientos, procesos y prácticas preidentificados resultan esenciales para la colaboración productiva.
• Coordinación: debe coordinarse la mensajería entre los distintos cargos.
• Comunicación clara a través de canales óptimos: todas las comunicaciones deben compartirse claramente a través de los canales correspondientes.
Las comunicaciones durante y después de un desastre incluyen notificaciones y alertas escritas previamente y que se entregan a la audiencia interna o externa apropiada por correo electrónico o mensaje de texto, e instrucciones que se comparten a través de sistemas de megafonía o llamadas telefónicas. Estas comunicaciones deben incluir mensajes sobre seguridad, lugares de reunión y actualizaciones de estado. Algunos desastres requerirán comunicaciones externas. Las partes externas abarcan a las partes interesadas, los medios de comunicación y los contactos de emergencia.
El enfoque óptimo de la comunicación para la recuperación ante desastres consiste en utilizar una plataforma de comunicación de masas integrada y unificada. Dicha solución consolida las comunicaciones de gestión de crisis, recuperación ante desastres y continuidad del negocio. También proporciona capacidades de respuesta en tiempo real y reglas y políticas preestablecidas. Las plataformas de comunicación masiva con capacidades avanzadas como Everbridge tienen soluciones para automatizar los procesos de gestión de eventos a fin de reducir los errores humanos (como los errores causados por el síndrome del dedo tembloroso), disminuir la carga de las tareas manuales y reducir la latencia entre los desencadenantes de eventos y la respuesta de eventos de la empresa.
¿Cuáles son los pasos en un esfuerzo de recuperación ante desastres?
Dado que los escenarios de crisis repercuten de manera distinta sobre las organizaciones, los componentes de un plan de recuperación ante desastres de éxito deben tener en cuenta varios escenarios de crisis. La clave es documentar los pasos apropiados para mantener al personal protegido y reanudar las operaciones comerciales normales antes de que un evento crítico afecte negativamente a su organización. Para conocer las consideraciones implicadas en el desarrollo de planes de recuperación ante desastres que aborden los diferentes tipos de eventos críticos que las organizaciones deben estar preparadas para afrontar, lea nuestro post complementario,: Qué tener en cuenta en la planificación para la recuperación ante desastres.
Tom Crane, Gerente del Programa de Certificación, Everbridge
A medida que aumentan la frecuencia y la magnitud de los eventos críticos, las organizaciones deben asegurarse de que la creación y el mantenimiento de la resiliencia operativa se incorporen en su estrategia a largo plazo. La resiliencia operativa no es solo tener un plan para responder a los eventos críticos a medida que suceden, es un paso crítico que se debe incorporar en cada estrategia para garantizar que las empresas estén preparadas para enfrentar lo inesperado.
Muy pocas personas lo saben mejor que el experto en resiliencia empresarial de Everbridge, Tom Crane, que ayuda a liderar el programa Best in Enterprise Resilience (BER). Tom sabe lo que significa demostrar una resiliencia integral. Recientemente, ha abordado algunas preguntas clave sobre cómo las principales empresas están desarrollando la resiliencia operativa de manera diferente a otras.
P: ¿Por qué le apasiona hacer que las empresas se mantengan resilientes y en funcionamiento?
Tom Crane: Desde que era un niño, he aspirado a tener una carrera que ayude y sirva a quienes lo necesiten, y no hay mayor momento de necesidad que durante una crisis o un desastre. Comencé mi carrera en el ámbito de la seguridad pública y al haber sido testigo del impacto que pueden tener los acontecimientos mundiales como los desastres naturales y el terrorismo, me sentí inspirado para hacer más y luchar por conseguir un impacto más amplio. He tenido la suerte de trabajar con la seguridad nacional, con equipos de gestión de emergencias y de continuidad del negocio, y es gratificante poder ayudar a las personas y servirlas cuando más lo necesitan.
P: ¿A qué se refiere Everbridge cuando habla de resiliencia empresarial?
Tom Crane: Cuando Everbridge habla de resiliencia empresarial, estamos hablando de un enfoque integral para que las organizaciones trabajen juntas en todos los departamentos y divisiones para gestionar eventos críticos de todas las formas y tamaños, ya sea un incidente informático, una amenaza cibernética, un evento de seguridad vital, algo que afecte a su marca o ingresos, a su reputación o a sus operaciones generales. Las organizaciones quieren estar preparadas para el futuro frente a cualquier impacto importante, y la resiliencia empresarial adopta un enfoque integral para trabajar con todo el ecosistema de una organización para gestionar y resolver incidentes. Por último, la resiliencia consiste en ser capaz de resistir los acontecimientos y prosperar. Si puede adaptarse y vencer, por supuesto que es genial, pero quiere ser capaz de prosperar durante las situaciones adversas. En eso es en lo que realmente se centra la resiliencia empresarial.
P: ¿Cuáles son algunos de los pasos clave para crear una organización resiliente?
Tom Crane: Hay tres cosas clave que todas las organizaciones deben tener en cuenta cuando se trata de resiliencia. Lo primero que deben saber es cuál es su situación actual. ¿Pueden prosperar ante la adversidad? A menudo, eso significa comprender los riesgos a los que se enfrentan con un alto nivel de impacto; ¿se trata de un evento que es probable que suceda o de un evento del tipo cisne negro que no se ve venir? Segundo, una organización tiene que saber dónde se necesitan mejoras. Una cosa es saber dónde se encuentra hoy, pero lo siguiente que debe hacer es realmente saber dónde necesita hacer mejoras. Todas las organizaciones con las que he trabajado tienen una larga lista de cosas que pueden mejorar. Lo tercero es darle prioridad a esa lista de mejoras y comenzar a desarrollar sus habilidades y su capacidad para mitigar, prevenir, responder y recuperarse de los riesgos que son más devastadores y disruptivos para su organización.
P: Su trabajo implica evaluar a las organizaciones para identificar su nivel de preparación y resiliencia. ¿Qué hacen las organizaciones resilientes de primer nivel de manera diferente a las demás?
Tom Crane: Tengo la suerte de trabajar con organizaciones de primer nivel, como las de Fortune 50 y Fortune 500, para entender cómo gestionan los eventos críticos y veo temas comunes en las organizaciones que son resilientes de primer nivel. Las organizaciones de primer nivel aplican tecnologías, políticas y procedimientos para automatizar procesos, hacer las cosas de manera eficiente, evaluar riesgos, localizar e identificar el impacto en su organización. Las organizaciones que tienen activos en todo el mundo, diferentes oficinas, socios de la cadena de suministro y almacenes, tienen mucho que gestionar y necesitan supervisar la seguridad, la protección y la resiliencia de esos activos. Ser capaz de centralizar y reunir el conocimiento de la situación sobre las amenazas y los riesgos que se ciernen sobre las diferentes instalaciones, activos u operaciones es una parte importante de lo que las organizaciones verdaderamente resilientes hacen hoy en día. Además, automatizan y simplifican la gestión de la resolución de eventos y las comunicaciones durante todo el proceso. Tienen la tecnología, el personal y los procesos necesarios, y se forman y ejercitan para asegurarse de que son competentes y mejoran continuamente. Siempre se puede mejorar, y vemos que las organizaciones de primer nivel están haciendo mejoras constantemente para estar mejor preparadas y ser más resilientes.
P: ¿Cómo se aseguran las empresas de que su estrategia de resiliencia sea escalable a medida que su negocio crece o cambia?
Tom Crane: Muchas de las organizaciones con las que trabajamos están en continuo crecimiento y cambio, ya sea porque amplían sus productos y servicios, o porque aumentan su presencia a través de la adquisición de empresas o el crecimiento de equipos internos. Si hay una cosa que es constante, es el cambio, y por eso no hay una sola manera de garantizar que la empresa sea resiliente.En cuando a la resiliencia de las personas, una pieza importante del rompecabezas es asegurarse de que los socios, los proveedores e incluso la comunidad a la que se presta servicio se tengan en cuenta a la hora de incorporar nuevas personas a la red de seguridad de la empresa. La integración de nuevas personas en una plataforma de gestión de eventos críticos (CEM), por ejemplo, garantiza que se puede protegerlas, contabilizarlas y comunicar con esas personas durante incidentes importantes. Vemos que la tecnología se habilita y se centraliza de manera que apoya a toda la empresa.
P: ¿Cómo fomentan las empresas la resiliencia operativa dentro de su organización?
Tom Crane: Las empresas fomentan la resiliencia operativa dentro de su organización siendo colaborativas. Llegar a los diferentes departamentos y divisiones, reunirse, hablar sobre estrategias de riesgo y mitigación y de cómo responder y recuperarse crea un proceso de planificación sólido y colaborativo. El liderazgo de arriba hacia abajo también es fundamental para poder instituir políticas que realmente apoyen la gestión eficaz y eficiente de eventos críticos. Reunir a las personas y darles canales de responsabilidad para que sepan claramente de qué son responsables, e incluir ciertos objetivos en su plan de trabajo, ayuda a motivar a la gente y se asegura de que la resiliencia siga siendo una prioridad. Pocas personas dentro de una organización tienen asignada la resiliencia como su único objetivo. Se trata de trabajar en equipo y reunir a las personas que hacen muchas cosas diferentes y empoderarles para apoyar la resiliencia en toda la organización simplemente haciendo su parte.
P: Ha estado trabajando en un programa que Everbridge lanzó el año pasado llamado Best In Enterprise Resilience. ¿Puede hablarnos un poco sobre lo que es el programa y lo que representa para las organizaciones que forman parte de él?
Tom Crane: El programa BER premia a las organizaciones resilientes de primer nivel que han pasado por una evaluación rigurosa basada en un conjunto de prácticas recomendadas. Se les evalúa, certifica y provee con una instantánea de dónde se encuentran en su viaje de resiliencia. En el mundo actual, celebramos muchas cosas, pero la resiliencia no suele ser una de ellas. Hay que premiar la resiliencia. Las organizaciones que obtienen esta designación están orgullosas porque demuestra a su organización, sus clientes y el público que son fiables, dignas de confianza y el tipo de lugar en el que una persona quiere trabajar.
P: ¿Puede hablarnos un poco sobre la mentalidad del CSO de hoy en día? ¿Cuáles son algunos de los desafíos a los que se enfrentan y cómo puede la transformación digital y, más específicamente, la gestión de eventos críticos ayudarles a cumplir con sus obligaciones con una organización?
Tom Crane: El papel de un jefe de seguridad ha cambiado mucho en las últimas dos décadas. Antes eran armas, portones y guardias, y ahora es la transformación digital, la automatización de los procesos y la integración y modernización de tecnologías. Una plataforma de CEM proporciona el entorno operativo común donde un CSO puede estar seguro de que su organización está monitorizando de manera eficaz los riesgos y comunicándose con su personal. Realmente simplifica el papel y ayuda a cumplir la misión del jefe de seguridad de una manera que es francamente necesaria.
P: ¿Qué pueden hacer las empresas actualmente para comenzar su viaje hacia la resiliencia empresarial?
Tom Crane: Si una organización quiere comenzar su viaje hacia la resiliencia y aspira a que toda la empresa sea resiliente, sugiero que mire a las organizaciones de primer nivel que han obtenido la certificación Best in Enterprise Resilience. Estas organizaciones destacan en cuatro áreas de competencia: datos y análisis, automatización inteligente de procesos, transformación digital y comunicación y colaboración. Las organizaciones que destacan con datos y análisis pueden rastrear amenazas y riesgos para su personal, lugares y operaciones y tener conocimiento de la situación en tiempo real. En cuanto a la automatización inteligente de procesos, las organizaciones de primer nivel automatizan procesos para ahorrar tiempo y cosas de manera más eficaz, especialmente mediante la monitorización de la información y la identificación de amenazas para su negocio o su organización. Tienen plantillas preparadas para diferentes eventos que incluyen la información correcta, que se entregará de la manera correcta y se enviará a las personas adecuadas en función de las circunstancias. También se trata de colaborar con la gente de manera eficiente, ya sea lanzando instantáneamente una conferencia telefónica cuando ocurre un evento crítico, comunicándose a través de diferentes medios, no solo por correo electrónico estándar o una llamada telefónica, sino por mensaje de texto, correo electrónico, llamada telefónica, aplicación móvil, alertas de escritorio.