Un servidor que deja de responder, un ransomware que bloquea archivos, un corte eléctrico prolongado o el robo de un equipo pueden detener ventas, pagos, atención a clientes y facturación. El problema no es únicamente la falla: es descubrir, bajo presión, que nadie sabe qué restaurar primero ni quién toma las decisiones. Esta guía de recuperación ante desastres ayuda a las pymes a convertir esa incertidumbre en un plan de acción concreto.

No se trata de anticipar cada posible incidente ni de comprar tecnología sin diagnóstico. Se trata de proteger los procesos que sostienen la operación, definir prioridades realistas y practicar una respuesta que permita retomar el trabajo con orden.

Esta guía funciona como una lista de preparación. Para profundizar en análisis de impacto, niveles de recuperación y ejecución técnica, consulta recuperación ante desastres de TI para pymes.

¿Qué es un plan de recuperación ante desastres?

Un plan de recuperación ante desastres es un conjunto documentado de decisiones, responsables y procedimientos para restaurar sistemas, información y capacidades de trabajo después de una interrupción relevante. Puede aplicar ante fallas de hardware, errores humanos, ataques informáticos, problemas con proveedores, daños físicos en una oficina o indisponibilidad de servicios en la nube.

Su propósito no es prometer que una empresa nunca se detendrá. Ayuda a reducir la improvisación, proteger la información disponible y establecer una ruta para recuperar la operación según lo que más impacto tiene en el negocio.

Conviene distinguirlo de un respaldo. El respaldo es una copia de datos. La recuperación ante desastres también contempla cómo acceder a esa copia, con qué equipos se trabajará, qué aplicaciones deben estar disponibles, quién autoriza cambios y cómo se informa a colaboradores y clientes. Una copia que no puede localizarse, validarse o restaurarse a tiempo no resuelve por sí sola una contingencia.

Empiece por los procesos, no por la tecnología

El error más frecuente es comenzar con una lista de servidores o licencias. Antes de hacerlo, dirección, administración, operaciones y TI deben responder una pregunta más útil: ¿qué actividades no pueden detenerse sin afectar de forma seria a clientes, ingresos, obligaciones o seguridad?

En una empresa comercial, la prioridad puede ser tomar pedidos, consultar inventario, emitir comprobantes y comunicarse con proveedores. En un despacho, puede ser acceder a expedientes, documentos de clientes, correo y plataformas de trabajo. Para una empresa de logística, la coordinación de rutas y el acceso a información de entregas suelen ir primero.

Una forma práctica de ordenar la conversación es clasificar los recursos en cuatro niveles:

  • Procesos críticos que requieren recuperación prioritaria, como correo empresarial, archivos operativos, ERP, punto de venta o sistemas de facturación.
  • Procesos importantes que pueden esperar algunas horas o un día sin detener por completo el negocio.
  • Herramientas de apoyo cuya ausencia incomoda, pero permite continuar con alternativas temporales.
  • Información histórica o archivos que deben conservarse, aunque no sean necesarios para reanudar la operación inmediata.

Esta clasificación debe reflejar la realidad de cada área. El sistema más costoso no siempre es el más urgente. A veces, una carpeta compartida con órdenes de compra, contratos o datos de contacto tiene un impacto operativo mayor que una aplicación poco utilizada.

Defina tiempos y pérdida de información aceptables

Después de establecer prioridades, determine dos criterios por cada proceso crítico. El primero es el tiempo objetivo de recuperación: cuánto puede permanecer interrumpido antes de generar un daño operativo difícil de manejar. El segundo es el punto objetivo de recuperación: cuánta información reciente sería aceptable perder si hubiera que volver a una copia anterior.

Por ejemplo, una pyme puede decidir que el correo debe volver a operar el mismo día y que los archivos administrativos no deben perder más de una jornada de trabajo. En cambio, un archivo histórico podría restaurarse con menor urgencia. No hay una cifra universal: depende de los compromisos con clientes, del volumen de transacciones y de la capacidad de trabajar temporalmente por otros medios.

Definir estos criterios permite diseñar respaldos y alternativas con sentido. También evita esperar una restauración inmediata cuando el servicio contratado, el volumen de datos o la infraestructura disponible no lo hacen viable.

Diseñe respaldos que realmente se puedan recuperar

Una estrategia de respaldo útil combina frecuencia, separación y verificación. Si todos los respaldos permanecen en el mismo equipo o red que sufrió el incidente, el riesgo sigue concentrado. Si se hacen copias frecuentes pero nadie revisa su integridad, la empresa puede enterarse de un problema cuando ya necesita recuperar información.

Para cada sistema prioritario, documente qué se respalda, dónde queda la copia, quién revisa el resultado y cuánto tiempo se conserva. Considere datos de servidores, equipos de usuarios clave, archivos compartidos, correo, configuraciones relevantes y documentación operativa. Los servicios en la nube requieren la misma revisión: que una plataforma esté disponible en línea no elimina la necesidad de conocer sus opciones de conservación, exportación y restauración.

También proteja las credenciales de administración y recuperación. Deben mantenerse bajo controles adecuados, con acceso definido para las personas autorizadas. Perder una contraseña crítica durante un incidente puede retrasar más la recuperación que una falla técnica menor.

Pruebe una restauración, no solo el respaldo

La prueba es el punto donde el plan deja de ser un documento optimista. No es necesario provocar una interrupción general para empezar. Puede elegirse una carpeta, una cuenta de correo, una base de datos de prueba o un equipo no crítico y comprobar que la información se recupera, se abre correctamente y conserva lo necesario para trabajar.

Registra cuánto tardó la restauración, qué pasos causaron confusión y qué permisos o recursos faltaron. Después ajusta el procedimiento. La frecuencia de prueba debe definirse según criticidad, ritmo de cambios, sensibilidad de la información y capacidad operativa; no existe un calendario universal.

Asigne responsables y defina la comunicación

Durante una contingencia, una cadena de llamadas informal suele generar decisiones duplicadas. El plan debe indicar quién declara el incidente, quién coordina la recuperación técnica, quién valida que cada área pueda volver a trabajar y quién comunica avances a colaboradores, clientes o proveedores cuando sea necesario.

No hace falta crear una estructura compleja. En una pyme, dirección puede autorizar decisiones de negocio, administración coordinar comunicación y un responsable interno o proveedor de TI ejecutar las tareas técnicas. Lo esencial es que los datos de contacto estén actualizados y disponibles fuera de los sistemas afectados.

Incluya mensajes modelo sencillos para situaciones previsibles. Por ejemplo, un aviso interno que indique qué herramientas están disponibles, qué tareas deben pausarse y cuándo habrá una nueva actualización. Si la atención a clientes se ve afectada, un mensaje claro y honesto ayuda a ordenar expectativas sin compartir información sensible sobre el incidente.

Contemple el trabajo temporal y los recursos alternos

Recuperar una aplicación no siempre basta. Si la oficina no tiene conectividad, si varios equipos quedaron inutilizables o si el acceso a un inmueble está restringido, la empresa necesita una forma temporal de operar.

Defina qué colaboradores pueden trabajar desde otra ubicación, qué equipos de reemplazo serían necesarios y qué procesos podrían llevarse de forma controlada mientras se restablecen los sistemas. El objetivo no es mantener todo igual durante una contingencia, sino sostener las actividades prioritarias con el menor desorden posible.

Esto también exige revisar dependencias externas. Proveedores de internet, plataformas de correo, hospedaje, sistemas administrativos y bancos pueden formar parte de la recuperación. Mantenga sus canales de soporte, datos de contrato y procedimientos de escalamiento en un lugar accesible para las personas responsables.

Mantenga el plan vigente cuando cambie la operación

Un plan de hace dos años puede ser poco útil si la empresa adoptó nuevas plataformas, cambió de proveedor, abrió una sucursal o incorporó personal remoto. La recuperación ante desastres debe revisarse después de cambios relevantes y, como mínimo, en un ciclo periódico acordado por la organización.

Actualice inventarios de equipos, aplicaciones, responsables, contactos y procedimientos. Revise también si existen cuentas de excolaboradores, accesos compartidos o dispositivos sin administración clara. Estas tareas parecen administrativas, pero reducen fricciones cuando cada minuto cuenta.

Para las organizaciones que emiten CFDI, conviene incluir los procesos fiscales dentro de las prioridades operativas. La continuidad de la Plataforma Fiscal de Facturación Electrónica CFDI 4.0 debe evaluarse junto con el acceso a información administrativa, usuarios autorizados y mecanismos internos de resguardo documental. Los detalles funcionales de SOATI E-Factura® Plataforma Fiscal pueden revisarse directamente con el equipo especializado cuando formen parte de la operación.

Caso práctico común: existe respaldo, pero no una ruta de regreso

Una pyme respalda archivos cada noche. Después de una falla del servidor descubre que la persona que conoce la restauración no está disponible, la contraseña administrativa no se encuentra en el lugar previsto y los equipos de reemplazo no tienen configuradas las aplicaciones necesarias.

La empresa define procesos prioritarios, responsables y contactos alternos; documenta dónde están las copias y credenciales protegidas; prepara un equipo de prueba y realiza una restauración controlada. Los hallazgos se convierten en tareas con responsable y fecha de revisión.

Es una situación ilustrativa, no un caso de cliente. El plan reduce improvisación, pero los tiempos y resultados dependen del volumen de información, infraestructura, conectividad, estado de los respaldos y alcance contratado.

Señales de alerta en un plan de recuperación

  • Existe una copia, pero nadie ha probado que los archivos o sistemas puedan abrirse.
  • Los procesos críticos no tienen un orden de recuperación acordado con dirección.
  • Las credenciales o contactos dependen de una sola persona.
  • El plan no contempla proveedores de internet, nube, correo o aplicaciones.
  • Las bajas y cambios de personal no actualizan responsables ni accesos de emergencia.
  • No existe una alternativa temporal para trabajar si la oficina o los equipos no están disponibles.
  • Cada prueba termina sin registrar tiempos, fallas y acciones pendientes.

Qué puede prepararse a distancia y qué requiere presencia física

A distancia pueden revisarse inventarios, dependencias, accesos, respaldos, documentación, contactos, configuraciones y pruebas de restauración en entornos autorizados. También puede coordinarse la comunicación y el trabajo alterno.

La visita puede ser necesaria para daños físicos, energía, cableado, conectividad local, sustitución de equipos o acceso controlado a instalaciones. La cobertura, horarios, materiales y responsabilidades deben definirse antes de una contingencia.

Cómo ayuda SOATI a preparar una recuperación realista

SOATI puede acompañar el diagnóstico de procesos y dependencias, la revisión de respaldos y la preparación de procedimientos y pruebas. El objetivo es acordar una ruta proporcional a la operación, no prometer pérdida cero ni recuperación inmediata para todos los escenarios.

  • Identificación de procesos y sistemas prioritarios.
  • Inventario de equipos, aplicaciones, cuentas y proveedores involucrados.
  • Revisión de cobertura, retención y acceso a respaldos.
  • Definición de responsables, contactos y criterios de escalamiento.
  • Procedimientos de recuperación y validación por etapas.
  • Pruebas controladas y registro de hallazgos.
  • Seguimiento de cambios que requieren actualizar el plan.

Conoce los servicios administrados de TI de SOATI y confirma procesos, infraestructura, objetivos, pruebas, cobertura y responsabilidades antes de definir un alcance.

Siguiente paso: prueba un proceso, no todo el negocio

Elige una actividad prioritaria, identifica sus datos, cuentas, equipos, red y terceros, y realiza una prueba controlada. Documenta qué faltó para que un usuario autorizado volviera a trabajar. Esa evidencia es la base de un plan que puede mejorarse por etapas.