Plan de contingencia informática en una pyme

Una caída inesperada del sistema dejó a la empresa sin poder emitir facturas electrónicas y generó multas de SUNAT. En este artículo verás paso a paso cómo se estructuró y ejecutó su plan de contingencia informática, qué decisiones marcaron la diferencia y qué resultados obtuvo el equipo operativo.

El punto de partida

Tipo de empresa: Distribuidora de insumos médicos, 45 empleados, con 3 sucursales en Lima y Arequipa.

Sector: Salud, con alta dependencia de la facturación electrónica y del historial de inventario en tiempo real.

Problema concreto: En marzo de 2025 la base de datos principal sufrió una corrupción tras una actualización de Windows Server. La empresa quedó sin acceso a la información de clientes y a los procesos de facturación durante 8 horas, lo que provocó la pérdida de 12 facturas y una multa del 5 % sobre el IGV, según la normativa de SUNAT.

Objetivo: Definir un plan de contingencia informática que garantice la continuidad operativa, reduzca el tiempo de recuperación (RTO) a menos de 2 horas y limite la pérdida de datos (RPO) a 15 minutos.

Qué se hizo y por qué

1. Evaluación de alternativas

   • Backup tradicional en sitio: descartado porque la infraestructura local no soportaba la carga de replicación continua y el riesgo de daño físico era alto.
   • Copias de seguridad fuera de sitio con proveedor local: seleccionado por su cumplimiento con la Ley de Protección de Datos Personales (Ley 29733) y por la disponibilidad de centros de datos en Callao con certificación ISO 27001.
   • Solución híbrida en la nube: considerada, pero se decidió no adoptarla inmediatamente por la política de la junta que prioriza el control de datos críticos en territorio peruano.

2. Diseño del plan

   • Frecuencia: backup incremental cada 15 min y snapshot completo cada 6 horas.
   • Retención: 30 días de backups diarios, 90 días de weekly snapshots, 1 año de monthly backups.
   • Cifrado: AES‑256 en tránsito y en reposo, cumpliendo con la normativa de seguridad informática para pymes.
   • Automatización: se implementó un motor de orquestación con scripts de PowerShell y Python que verifica la integridad de cada backup y genera alertas en Microsoft Teams.
   • Procedimientos de recuperación: se documentó paso a paso la restauración de la base de datos y la reactivación de los servicios críticos, con pruebas de tabla de contenidos y pruebas de restauración completa.

3. Recursos humanos

   • Responsable: el jefe de operaciones asumió la coordinación del plan, apoyado por un analista de sistemas.
   • Capacitación: se realizaron dos sesiones de 2 horas cada una para el personal de TI y una breve charla de 30 min para los usuarios clave sobre cómo reportar incidentes.

Qué cambió en el día a día

Antes

• Incidentes frecuentes: pérdida de datos menores cada semana, tiempo de inactividad promedio de 3 horas.
• Gestión manual: los backups se iniciaban manualmente al final del día, con poca trazabilidad.
• Ansiedad operativa: el equipo de ventas temía no poder emitir facturas en tiempo real, lo que afectaba la relación con hospitales.

Después

• RTO de 1 h 30 min: en la simulación de marzo‑2026, la restauración completa se completó en 85 min, cumpliendo el objetivo.
• RPO de 15 min: la pérdida potencial de datos quedó limitada a la última ventana de backup incremental.
• Visibilidad: el dashboard de monitoreo muestra en tiempo real el estado de cada copia, con indicadores verdes/rojos y notificaciones automáticas.
• Confianza del equipo: los usuarios reportan que el proceso de facturación electrónica nunca se detiene, y el área de finanzas ya no recibe sanciones por demoras.

El plan de contingencia redujo el tiempo de inactividad en un 78 % y eliminó las multas por facturación tardía.

Qué es replicable y qué no

Replicable a otras pymes del sector salud

• La arquitectura de backup fuera de sitio con retención escalonada es aplicable a cualquier empresa que maneje datos sensibles y requiera cumplimiento normativo.
• La frecuencia de 15 min para backups incrementales es viable cuando se cuenta con una red de al menos 1 Gbps entre sucursales y el centro de datos.
• El uso de scripts de orquestación y alertas en Teams funciona con herramientas estándar y no requiere licencias costosas.

No replicable sin ajustes

• La decisión de mantener los datos exclusivamente en territorio peruano depende de la política de la empresa; otras organizaciones pueden preferir una solución multicloud.
• El número de sucursales y la carga de transacciones (≈ 200 operaciones/hora) influyó en la elección de snapshots cada 6 horas; empresas con mayor volumen podrían requerir snapshots cada hora.
• La participación directa del jefe de operaciones como coordinador funcionó porque la estructura organizacional era plana; en compañías con jerarquías más complejas, podría ser necesario un comité de continuidad.

Conclusión

Implementar un plan de contingencia informática no es solo adquirir tecnología; es alinear procesos, definir responsabilidades y probar continuamente. En el caso de la distribuidora de insumos médicos, la combinación de copias de seguridad fuera de sitio, automatización y pruebas regulares transformó una situación de riesgo constante en una operación estable y conforme a la normativa peruana. Si tu empresa enfrenta interrupciones frecuentes, revisa tus RTO y RPO, evalúa la opción de backup fuera de sitio y establece un calendario de pruebas: esos pasos son la base para que la recuperación sea una certeza, no una suposición.