Explica el BCP frente al DRP, y define el RTO y el RPO.
Respuesta breve
La continuidad del negocio (BCP) es la estrategia amplia para mantener las funciones críticas del negocio operando durante y después de una interrupción; la recuperación ante desastres (DRP) es el subconjunto centrado en TI que restaura sistemas y datos. El RTO es el tiempo máximo tolerable para restaurar una función; el RPO es la pérdida de datos máxima tolerable medida en tiempo.
La planificación de la continuidad y la recuperación es un área muy evaluada en el CISSP porque obliga a pensar en el negocio, no solo en la tecnología. Los entrevistadores quieren oír la diferencia de alcance y las dos métricas clave definidas con precisión.
BCP frente a DRP
El plan de continuidad del negocio (BCP) es la disciplina general: garantiza que las funciones críticas del negocio de la organización continúen durante y después de una interrupción — personas, procesos, instalaciones, comunicaciones y cadena de suministro, no solo los ordenadores. El plan de recuperación ante desastres (DRP) es un subconjunto del BCP centrado específicamente en restaurar los sistemas de TI, los datos y la infraestructura tras un incidente. Dicho de forma sencilla, el DRP vuelve a poner en marcha los servidores; el BCP mantiene la empresa operando.
Impulsado por el BIA
Ambos planes parten del análisis de impacto en el negocio (BIA), que identifica las funciones críticas y el coste de perderlas con el tiempo. El BIA produce los objetivos frente a los que se diseña todo lo demás.
RTO y RPO
- RTO (Recovery Time Objective) — el tiempo máximo aceptable que una función puede estar inactiva antes de un daño inaceptable. Impulsa la velocidad de recuperación: un RTO corto empuja hacia sitios calientes y conmutación automática.
- RPO (Recovery Point Objective) — la cantidad máxima aceptable de pérdida de datos medida en tiempo. Un RPO de 15 minutos significa copias de seguridad o replicación cada 15 minutos.
- MTD (Maximum Tolerable Downtime) — el techo absoluto; el RTO debe ser más corto que el MTD.
Una trampa habitual es intercambiar RTO y RPO. Para recordarlo: el RTO trata del tiempo para recuperarse, el RPO trata de cuántos datos.
Qué buscan los entrevistadores
Que plantees el DRP como un subconjunto técnico del BCP más amplio, que definas el RTO y el RPO sin confundirlos, y que conectes ambas métricas con el BIA y con decisiones concretas como la cadencia de las copias de seguridad y los niveles de sitio de recuperación.
Posibles preguntas de seguimiento
- ¿Qué es un análisis de impacto en el negocio (BIA) y por qué precede a ambos planes?
- ¿Cómo influyen el RTO y el RPO en la frecuencia de las copias de seguridad y en la estrategia de sitio (caliente/templado/frío)?
- ¿Qué es el MTD y cómo se relaciona con el RTO?