Plan de Continuidad del Negocio y del Trabajo

Este plan establece cómo PRONETSYS S.A.S. (Pronetsys) se prepara, responde y se recupera ante eventos que puedan interrumpir los servicios que presta a sus clientes o el trabajo de su equipo. Su prioridad es, en este orden, proteger a las personas, preservar la información de los clientes y restablecer los servicios críticos dentro de tiempos aceptables.

El plan está alineado con los principios de la norma ISO 22301:2019 (con su Enmienda 1:2024) y con la guía ISO 22313:2020, sin que ello implique una certificación. Los tiempos de recuperación aquí indicados son objetivos de diseño que la empresa valida mediante pruebas y ajusta según los compromisos de cada contrato.

1. Objetivos

• Proteger la vida y la integridad de los colaboradores, clientes y visitantes durante cualquier emergencia.
• Mantener o restablecer los servicios críticos dentro de los tiempos objetivo de recuperación (RTO) y con una pérdida de datos no mayor a los puntos objetivo de recuperación (RPO) definidos en el análisis de impacto.
• Proteger la confidencialidad, integridad y disponibilidad de la información de los clientes, en especial de los datos sensibles, también durante la contingencia.
• Comunicar de forma oportuna, veraz y coordinada a clientes, colaboradores, proveedores y autoridades.
• Garantizar la continuidad del trabajo del equipo, aun ante fallas de energía o de conectividad en el lugar de trabajo remoto de un colaborador o con personal clave ausente.
• Aprender de cada incidente, prueba o ejercicio para mejorar la capacidad de respuesta.

2. Alcance

El plan cubre los servicios de soporte técnico y mesa de servicio, hosting y dominios, correo electrónico alojado, backup en la nube (en infraestructura propia y administrado sobre plataformas del cliente), telefonía IP virtual, chatbots con inteligencia artificial, pantallas informativas, streaming, proyectos de desarrollo y consultoría, y los procesos internos que los soportan. Incluye el trabajo remoto del equipo (la empresa no tiene oficina física y atiende a sus clientes por canales virtuales), las visitas técnicas en el Valle de Aburrá y la infraestructura propia, alojada en centros de datos y proveedores de nube, o contratada a proveedores de nube, centros de datos, conectividad y troncales telefónicas.

3. Marco de referencia y definiciones

El plan forma parte del proceso de gestión de riesgos y cumplimiento descrito en el Mapa de Procesos y se coordina con la Política de Seguridad de la Información y con la Política de Seguridad y Salud en el Trabajo, que rige la preparación y respuesta ante emergencias que afecten a las personas.

Análisis de impacto en el negocio (BIA)

Evaluación de cómo afecta, a lo largo del tiempo, la interrupción de cada servicio o proceso, para definir prioridades y tiempos de recuperación.

RTO (tiempo objetivo de recuperación)

Tiempo máximo deseado entre la interrupción de un servicio y su restablecimiento a un nivel aceptable.

RPO (punto objetivo de recuperación)

Cantidad máxima de datos, expresada en tiempo, que se acepta perder; por ejemplo, un RPO de 24 horas implica restaurar como máximo desde la copia del día anterior.

Incidente, contingencia y crisis

Niveles crecientes de gravedad de un evento, que determinan quién dirige la respuesta; sus criterios se definen en la sección 8.

Sitio o ruta alterna

Infraestructura, proveedor, conexión o lugar de trabajo distinto del habitual, preparado para asumir la operación.

4. Roles y responsabilidades

Los roles se asignan nominalmente en un registro interno, con su respectivo suplente. En un equipo pequeño, una persona puede ejercer más de un rol, pero el Comité de continuidad debe tener siempre al menos dos personas disponibles con capacidad de decisión.

5. Análisis de impacto en el negocio (BIA)

El BIA se elabora y actualiza siguiendo estos pasos: identificar los servicios y procesos; estimar el impacto de su interrupción a las 4, 8, 24 y 72 horas (operativo, contractual, legal, reputacional, financiero y sobre la operación de los clientes, incluida la atención a pacientes en el caso de IPS); establecer prioridades, RTO y RPO; e identificar las dependencias de personas, tecnología, información y proveedores. El resultado es validado por la Gerencia General.

Prioridad 1: crítica, se recupera primero. Prioridad 2: alta. Prioridad 3: media, se recupera una vez estabilizados los servicios de mayor prioridad.

6. Estrategia de respaldo: regla 3-2-1 + 1

La capacidad de recuperación depende de contar con copias íntegras, recientes y fuera del alcance de un atacante. Por eso, la información crítica de Pronetsys y de los servicios que presta a sus clientes se respalda con la regla 3-2-1, reforzada con una copia inmutable o desconectada:

• Las copias se cifran en tránsito y en reposo, y las llaves de cifrado se custodian en el gestor de contraseñas con acceso de emergencia controlado.
• Los sistemas de respaldo usan credenciales distintas de las de producción, con autenticación multifactor, de modo que el compromiso de un servidor no permita borrar sus copias.
• La ejecución diaria, la verificación y las pruebas periódicas de restauración siguen el procedimiento de gestión de backups del Mapa de Procesos. Una copia solo se considera válida si se ha verificado y si su restauración se ha probado.
• En los backups administrados sobre plataforma del cliente, Pronetsys recomienda aplicar esta misma regla. Si el cliente decide no hacerlo, la decisión y el riesgo asociado quedan documentados.

7. Escenarios de riesgo y estrategias

Los siguientes escenarios son los de mayor relevancia para la operación. Para cada uno se definen medidas de preparación y una estrategia de respuesta, que se ejecuta con los procedimientos de la sección 8.

7.1 Caída de energía eléctrica

Preparación: sistema de alimentación ininterrumpida (UPS) o batería de respaldo para el equipo de trabajo y el enrutador de quien está de turno, con autonomía suficiente para cerrar o traspasar los casos en curso; servicios a clientes alojados en centros de datos o nubes con respaldo eléctrico propio (criterio de selección de proveedores); portátiles con batería en buen estado y cargados al terminar la jornada.

Respuesta: verificar que los servicios alojados en centros de datos y nubes sigan operando; si la interrupción en el lugar de trabajo de un colaborador se prolonga, reasignar sus casos a otro colaborador con energía o continuar desde otra ubicación con energía; revisar los equipos al restablecerse el servicio.

7.2 Caída de internet

Preparación: conectividad de respaldo para cada colaborador (plan de datos móviles o segundo proveedor de internet en casa); plan de datos móviles para los técnicos; servicios de clientes alojados en centros de datos y nubes, de modo que una falla de conectividad en el lugar de trabajo de un colaborador no los afecte.

Respuesta: conmutar a la conexión alterna; si no es suficiente, reasignar los casos a otro colaborador con conectividad o continuar desde otra ubicación con conexión segura; mantener la recepción de casos por los canales disponibles; reportar la falla al proveedor y registrar los tiempos.

7.3 Ataque de ransomware

Preparación: autenticación multifactor, parches según los plazos de la Política de Seguridad de la Información, protección de equipos con detección de comportamiento malicioso, mínimo privilegio, segmentación de redes, filtrado de correo, concienciación del equipo y copias inmutables o desconectadas.

Respuesta: aislar de inmediato los equipos y servidores afectados de la red; revocar sesiones y cambiar credenciales potencialmente comprometidas; preservar evidencias; determinar el alcance y si hay datos personales involucrados; restaurar desde copias limpias verificadas, anteriores al compromiso, sobre sistemas reconstruidos y actualizados. La estrategia de recuperación se basa en las copias de respaldo y no en el pago de rescates; cualquier decisión excepcional corresponde a la Gerencia General con asesoría legal. Se realizan las notificaciones a clientes y autoridades previstas en la Política de Seguridad de la Información.

7.4 Falla de servidor o de proveedor de nube

Preparación: monitoreo de disponibilidad; redundancia de discos e instantáneas; respaldos replicados con otro proveedor o en otra región; documentación y scripts para reconstruir servidores (paneles de hosting, PHP, bases de datos, correo) en infraestructura alterna; registros DNS con tiempos de vida (TTL) que permitan cambios ágiles; contratos con proveedores que definan su disponibilidad y soporte.

Respuesta: confirmar la falla con el proveedor y estimar su duración; si se prevé superar el RTO, restaurar los servicios en la infraestructura alterna en el orden de prioridad del BIA, actualizar los registros DNS y validar con los clientes; volver a la infraestructura principal de manera planificada cuando se restablezca.

7.5 Indisponibilidad de personal clave

Preparación: matriz de suplencias por rol (sección 9.5), formación cruzada, documentación técnica actualizada por cliente y servicio, y acceso de emergencia a credenciales críticas para que ninguna persona sea la única que conoce un acceso o un procedimiento.

Respuesta: activar al suplente; redistribuir los tickets priorizando los casos P1 y P2; informar a los clientes sobre posibles ajustes en tiempos no críticos; si la ausencia se prolonga, reforzar con personal o aliados externos bajo acuerdos de confidencialidad.

7.6 Pérdida o robo de equipos

Preparación: cifrado completo de disco, bloqueo automático de pantalla, autenticación multifactor, posibilidad de bloqueo y borrado remoto, información de trabajo sincronizada en repositorios corporativos (no solo en el equipo) e inventario actualizado.

Respuesta: el colaborador reporta la pérdida al Responsable de seguridad de la información de inmediato, el mismo día; se bloquea o borra el equipo de forma remota, se cierran sesiones y se rotan las credenciales almacenadas o usadas en él; se evalúa si hubo exposición de datos personales para decidir notificaciones; se entrega un equipo de respaldo y, en caso de hurto, se presenta la denuncia.

7.7 Sismo u otro desastre natural en Medellín

El Valle de Aburrá está expuesto a sismos y, en temporadas de lluvia, a inundaciones y movimientos en masa que pueden afectar los lugares de residencia y de trabajo de los colaboradores, la movilidad y la infraestructura de los clientes.

Preparación: plan de emergencias y brigada según la Política de Seguridad y Salud en el Trabajo, con orientación a cada colaborador sobre las amenazas de su lugar de trabajo remoto; recomendación de fijar racks y equipos en la infraestructura de clientes que se administra; copias de respaldo y servicios alternos en ubicaciones geográficas distintas del Valle de Aburrá; lista de contactos accesible sin conexión.

Respuesta: primero, la seguridad de las personas: evacuación, verificación del estado de cada colaborador y apoyo a quienes lo necesiten (línea de emergencias 123). Después, evaluación de daños, redistribución del trabajo entre los colaboradores no afectados y recuperación de servicios desde la infraestructura alterna. No se ingresa a instalaciones con daños hasta su inspección por personal competente.

7.8 Pandemia o restricciones de movilidad

Preparación: todo el equipo trabaja de forma remota con equipo corporativo, acceso VPN con autenticación multifactor y herramientas de soporte remoto; los procesos se operan sin presencia física, salvo las visitas técnicas.

Respuesta: mantener el trabajo a distancia bajo la modalidad pactada con cada colaborador según la legislación laboral vigente (trabajo remoto, teletrabajo o trabajo en casa); priorizar el soporte remoto; limitar las visitas en sitio a casos que no puedan resolverse a distancia, con los protocolos de bioseguridad que dispongan las autoridades; vigilar la carga de trabajo y la salud del equipo.

7.9 Falla del proveedor de troncales de telefonía IP

Preparación: respaldo de la configuración de la central virtual (troncales, extensiones, menús, grabaciones); enrutamiento de desborde o troncal secundaria con otro proveedor cuando el cliente lo contrate; procedimiento documentado de desvío de llamadas a números móviles; contactos de escalamiento del proveedor.

Respuesta: confirmar la falla y abrir un caso con el proveedor; activar la troncal secundaria o el desvío de llamadas acordado con cada cliente; informar a los clientes afectados y darles seguimiento; restablecer la configuración normal y verificar llamadas entrantes y salientes al superarse la falla.

8. Procedimientos de respuesta

La respuesta se escala según la gravedad del evento:

8.1 Detección y activación

1. Detección. El evento puede detectarse por monitoreo, por el reporte de un cliente, de un colaborador o de un proveedor.
2. Reporte inmediato. Quien lo detecta informa sin demora al Líder técnico o al Coordinador(a) de mesa de servicio, por el canal principal o, si no funciona, por el alterno.
3. Registro. Se abre un ticket y una bitácora con la hora de detección, los síntomas y las acciones iniciales. La bitácora se mantiene durante todo el evento.
4. Clasificación inicial. Se asigna el nivel (incidente, contingencia o crisis) según la tabla anterior. Ante la duda, se clasifica en el nivel superior.
5. Activación. El Líder de continuidad activa el plan en nivel 2; la Gerencia General lo hace en nivel 3. La activación se comunica al equipo por el árbol de comunicaciones.
6. Convocatoria del equipo de respuesta. El equipo se reúne en la sala virtual predefinida (o por puente telefónico si no hay internet) y se confirman los roles: dirección, recuperación técnica, comunicaciones, seguridad y bitácora.

8.2 Evaluación

1. Seguridad de las personas. Se confirma que no hay personas en riesgo; si lo hay, prevalece el plan de emergencias.
2. Alcance. Se determinan los servicios, clientes, sistemas e información afectados, apoyándose en el BIA y en el inventario de servicios.
3. Naturaleza del evento. El Responsable de seguridad de la información determina si se trata de un incidente de seguridad; en ese caso se preservan las evidencias antes de realizar cambios que puedan destruirlas.
4. Estimación. Se estima el tiempo de restablecimiento con la ruta normal y se compara con el RTO objetivo.
5. Decisión de estrategia. Se decide si se recupera en la infraestructura habitual o en la alterna, y en qué orden, según las prioridades del BIA. La decisión y su fundamento quedan en la bitácora.

8.3 Comunicación a clientes

1. Identificación de afectados. Con el inventario de servicios se elabora la lista de clientes afectados y sus contactos autorizados, empezando por los servicios de prioridad 1.
2. Primer aviso. Se envía un aviso inicial lo antes posible, con el objetivo de hacerlo dentro de la primera hora desde la activación en nivel 2 o 3. Indica qué ocurre, qué servicios están afectados, qué puede hacer el cliente mientras tanto y cuándo recibirá la siguiente actualización.
3. Actualizaciones periódicas. Se informa el avance en los intervalos anunciados, aunque no haya novedades, para evitar incertidumbre. Los mensajes son veraces, sin especulaciones sobre causas no confirmadas, y los aprueba el Líder de continuidad o la Gerencia General.
4. Canales alternos. Si el correo o el portal de soporte están afectados, se usan los canales alternos de la sección 10 (teléfono, mensajería, aviso en el sitio web).
5. Datos personales. Si el evento compromete datos personales, se aplican las reglas de notificación de la Política de Seguridad de la Información: aviso al cliente que actúa como responsable del tratamiento y reporte a la Superintendencia de Industria y Comercio en los términos exigidos.
6. Aviso de restablecimiento. Se confirma a cada cliente el restablecimiento del servicio y se le pide validar que su operación es normal.
7. Informe posterior. Para eventos de nivel 2 o 3, los clientes afectados reciben un informe con la cronología, la causa, el impacto y las medidas para evitar que se repita.

8.4 Recuperación

1. Contención. Si hay un incidente de seguridad, se contiene antes de restaurar, para no reinfectar los sistemas recuperados.
2. Ejecución de la estrategia. El Líder técnico de recuperación ejecuta los procedimientos documentados (runbooks) del servicio: conmutación a rutas alternas, reconstrucción de servidores o restauración desde copias.
3. Verificación de copias. Antes de restaurar, se confirma que la copia elegida es íntegra y anterior a cualquier compromiso.
4. Restauración por prioridad. Los servicios se recuperan en el orden del BIA; cada cambio de configuración relevante se registra en la bitácora.
5. Validación. Se prueban las funciones críticas y se solicita a los clientes confirmar el funcionamiento.
6. Monitoreo reforzado. Los servicios recuperados se vigilan con mayor frecuencia durante las horas o días siguientes.
7. Registro de tiempos. Se registran el tiempo real de recuperación y la pérdida real de datos, para compararlos con el RTO y el RPO objetivo.

8.5 Retorno a la normalidad

1. Criterios de cierre. El Comité confirma que los servicios están estables, que no hay amenazas activas y que los clientes validaron su operación.
2. Retorno planificado. El regreso desde la infraestructura o el sitio alterno a la operación habitual se ejecuta como un cambio planificado, con respaldo previo y sincronización de datos.
3. Retiro de soluciones temporales. Se eliminan desvíos, accesos temporales y configuraciones provisionales, y se rotan las credenciales usadas en la emergencia.
4. Desactivación del plan. El Líder de continuidad (o la Gerencia General en nivel 3) declara el fin de la contingencia y lo comunica a todos los involucrados.
5. Cierre documental. Se completa la bitácora y se programa la sesión de lecciones aprendidas (sección 13).

9. Continuidad del trabajo

La continuidad del negocio depende de que el equipo pueda seguir trabajando de manera segura y saludable aunque falle la energía o la conectividad en el lugar de trabajo de un colaborador, falte una persona clave o falle un equipo.

9.1 Trabajo remoto

• Todos los roles trabajan de forma remota con equipos corporativos; solo las visitas técnicas en sitio requieren presencia física.
• El trabajo remoto exige conexión segura, VPN o acceso equivalente con autenticación multifactor para los sistemas administrativos, y evitar redes públicas sin protección.
• Las conversaciones con clientes y la manipulación de información confidencial se realizan en espacios que preserven la privacidad.
• Las condiciones de ergonomía, jornada y desconexión laboral se rigen por la Política de Bienestar y Cargas de Trabajo y la Política de SST, en armonía con la Ley 2191 de 2022 sobre desconexión laboral.

9.2 Equipos de respaldo

• Se mantiene al menos un equipo portátil de respaldo preconfigurado, cifrado y actualizado, listo para entregar el mismo día ante daño, pérdida o robo.
• Cada colaborador dispone de un medio de conectividad alterno (plan de datos móviles o segundo proveedor de internet en casa); quien está de turno, de una UPS o batería de respaldo para su equipo de trabajo; y los técnicos, de herramientas de diagnóstico portátiles.
• Cuando un contrato lo prevé, se mantienen repuestos críticos o equipos de préstamo para la infraestructura del cliente.

9.3 Accesos VPN y rutas de administración

• El acceso a las redes y consolas de administración se hace mediante VPN o mecanismos equivalentes con autenticación multifactor y cuentas nominativas.
• La capacidad de la VPN se dimensiona para que todo el equipo pueda trabajar en remoto al mismo tiempo.
• Existe una ruta de acceso alterna documentada y restringida a los servidores críticos, para el caso en que la VPN principal falle.
• Los accesos se revocan inmediatamente en los retiros, según el procedimiento de alta y baja de accesos del Mapa de Procesos.

9.4 Documentación y conocimiento compartido

• Cada servicio y cada cliente gestionado tienen documentación técnica actualizada: diagramas, inventario, configuraciones, contactos de proveedores y procedimientos de recuperación (runbooks).
• La documentación se guarda en repositorios corporativos accesibles de forma remota y respaldados según la regla 3-2-1 + 1, nunca solo en el equipo de una persona.
• Las soluciones a incidentes se registran en la base de conocimiento de la mesa de servicio.
• Una copia de este plan y de la lista de contactos de emergencia se conserva disponible sin conexión, de forma protegida, en poder de los miembros del Comité.

9.5 Suplencias por rol

9.6 Gestor de contraseñas y segregación de credenciales

• Todas las credenciales corporativas y de clientes se custodian en un gestor de contraseñas corporativo, organizado en bóvedas separadas por cliente y por nivel de criticidad.
• Cada persona accede solo a las bóvedas que su rol requiere; el acceso a las bóvedas críticas (registradores de dominios, nube, paneles de hosting, sistemas de respaldo, central telefónica) se limita a los roles técnicos y a sus suplentes.
• Ninguna credencial crítica depende de una sola persona. Existe un mecanismo de acceso de emergencia bajo control dual, cuyo uso genera una alerta y obliga a rotar las credenciales afectadas al terminar la contingencia.
• Los códigos de recuperación de autenticación multifactor de las cuentas críticas y el mecanismo de recuperación del propio gestor de contraseñas se custodian de forma segura, separados de los equipos de uso diario.

9.7 Cuidado del equipo durante la contingencia

Las contingencias prolongadas se gestionan por turnos, con descansos y relevos explícitos, para evitar jornadas sostenidas que afecten la salud y la calidad de las decisiones. El Responsable de talento humano y SST hace seguimiento a la carga de trabajo durante y después del evento.

10. Árbol de comunicaciones

El flujo de comunicación durante una contingencia es el siguiente. La lista de contactos con nombres, teléfonos y suplentes se mantiene en un registro interno y se verifica trimestralmente.

• Quien detecta el evento (colaborador, cliente, monitoreo o proveedor) informa a:
  • Coordinador(a) de mesa de servicio o Líder técnico (primera respuesta), quien informa a:
    • Líder de continuidad (evalúa y activa el plan), quien informa a la Gerencia General y convoca al Comité de continuidad. A partir de allí:
      • Líder técnico de recuperación: equipo técnico y proveedores (nube, centros de datos, conectividad, troncales, fabricantes).
      • Responsable de comunicaciones: clientes afectados (por prioridad del servicio), colaboradores y demás proveedores.
      • Responsable de seguridad de la información: clientes responsables de datos personales afectados, Superintendencia de Industria y Comercio y autoridades judiciales cuando corresponda.
      • Responsable de talento humano y SST: verificación del estado de las personas y organismos de emergencia (línea 123).

Se mantienen plantillas preaprobadas para el aviso inicial, las actualizaciones, el aviso de restablecimiento y el informe posterior, de modo que los mensajes puedan enviarse rápidamente y con información consistente.

11. Pruebas y ejercicios

Un plan que no se prueba no es confiable. El siguiente calendario es una propuesta mínima que el Comité de continuidad valida al inicio de cada año, según los recursos disponibles y los compromisos contractuales.

Cada prueba deja registro de su alcance, participantes, resultados, tiempos medidos y oportunidades de mejora. Las pruebas que puedan afectar servicios de clientes se coordinan con ellos y se ejecutan como cambios planificados.

12. Mantenimiento del plan

• El Líder de continuidad es el responsable de mantener el plan actualizado y de su control de versiones.
• El plan se revisa al menos una vez al año y, además, después de cada activación real, de pruebas con resultados insatisfactorios, de cambios en servicios, proveedores críticos o personal clave, y de cambios legales o contractuales relevantes.
• Las actualizaciones son aprobadas por el Comité de continuidad y comunicadas al equipo; los nuevos colaboradores conocen el plan durante su inducción.
• La versión vigente se publica en este sitio y se conserva una copia accesible sin conexión para los miembros del Comité.

13. Lecciones aprendidas

Cada activación del plan y cada ejercicio es una oportunidad de mejora. La revisión se realiza con un enfoque sin búsqueda de culpables, centrado en los hechos y en las causas.

1. Sesión de revisión. El equipo que participó se reúne con el Líder de continuidad, con el objetivo de hacerlo dentro de los cinco días hábiles siguientes al cierre, mientras los hechos están frescos.
2. Cronología. Se reconstruye la secuencia de hechos con base en la bitácora, los tickets y los registros técnicos.
3. Análisis. Se identifica qué funcionó, qué no, por qué, y cuáles fueron las causas de fondo; se comparan los tiempos reales con el RTO y el RPO objetivo.
4. Acciones. Se definen acciones concretas con responsable y fecha, que se gestionan en el proceso de mejora continua del Mapa de Procesos.
5. Actualización. Se actualizan este plan, los procedimientos de recuperación, la base de conocimiento y, si es necesario, el BIA.
6. Difusión. Las lecciones se comparten con el equipo y, cuando corresponda, con los clientes afectados mediante el informe posterior al evento.