Las necesarias hacen funcionar el sitio. Las demás miden qué páginas ayudan y qué anuncios traen a quien necesita a DM11. Tú eliges, y puedes revisarlo desde el pie de página.
Continuidad de negocio
Qué hace parar, con qué probabilidad y por cuánto tiempo.
Esta es la evaluación de riesgos de la disciplina de continuidad, y responde a una pregunta distinta de la evaluación de riesgos de TI: no qué puede ser invadido, sino qué hace que la operación se detenga, con qué probabilidad y por cuánto tiempo. Levantamos los escenarios que interrumpen cada proceso crítico, los puntos únicos de falla y las dependencias de proveedores y de personas.
El trabajo empieza cerrando el alcance por escrito y mapeando los procesos, y avanza en entrevistas: el documento dice lo que debería pasar, la conversación dice lo que pasa y dónde vive la dependencia de una sola persona. El resultado es la matriz priorizada por probabilidad e impacto, acompañada de un plan de acción con responsables y secuencia, que señala las mitigaciones que de verdad mueven el riesgo.
De tu lado, necesitamos agenda con quien responde por los procesos y acceso a quien conoce a los proveedores y los contratos. El formato en ciclo agrega el seguimiento del tratamiento y la reevaluación periódica, porque la matriz envejece rápido: un proveedor nuevo o una migración cambia el panorama entero. Es el insumo que hace que el BIA y los planes de recuperación nazcan apuntando al riesgo correcto.
Las etapas y los entregables de abajo describen la modalidad Evaluación con tratamiento acompañado. Las demás modalidades aparecen cuando pides la propuesta.
Definición de alcance
Cerramos por escrito qué entra y qué queda afuera, y por qué. Un alcance mal definido es la causa más común de un proyecto que revienta el plazo.
Mapeo de los procesos
Levantamos qué procesos existen, quién responde por cada uno y de qué depende para funcionar: sistemas, personas, proveedores y otros procesos. Ese retrato define dónde vale la pena profundizar y qué puede quedar fuera.
Entrevistas
Conversamos con TI, seguridad y las áreas de negocio. El documento dice lo que debería pasar; la entrevista dice lo que pasa.
Informe
Consolidamos los hallazgos en un informe donde cada punto viene con gravedad, evidencia y el camino de corrección. Escribimos para que lo lea quien va a actuar, no para engordar páginas.
Acompañamiento de la corrección
Perseguimos la fila hasta que cada ítem cierre, con plazo y responsable. Encontrar es la parte fácil.
Reevaluación periódica
Los críticos vuelven a la mesa por calendario, y el proveedor nuevo entra evaluado en vez de entrar y ser evaluado después del incidente.
Suele venir junto
No es paquete y no cambia lo que ya elegiste. Es lo que suele aparecer justo después, en la experiencia de quien ya pasó por esto.