Gobernar la dependencia. Capacidades mínimas para operar con nubes ajenas
Las dos primeras entregas describieron el problema y la relación con los proveedores. Esta última se centra en la parte que depende de cada organización, es decir, en las capacidades que permiten convertir una dependencia invisible en un riesgo gobernado sin frenar la digitalización y sin presupuestos extraordinarios. Son cinco, se construyen en cuestión de meses y ninguna requiere tecnología nueva, solo método.
Primera capacidad. Un inventario que hable de producción
Todo empieza por saber de qué se depende, y lo determinante es cómo se cataloga. Un listado de contratos ordenado por proveedor sirve a compras, mientras que el inventario que sirve a la continuidad se ordena por función productiva e incorpora el tiempo que cada proceso puede sostenerse sin ese servicio.
Para cada servicio externo conviene registrar qué proceso soporta, qué ocurre si no está disponible durante cuatro horas, durante veinticuatro y durante una semana, y si esa indisponibilidad detiene la producción, la ralentiza o resulta simplemente molesta. El ejercicio, que una planta mediana completa en unas pocas sesiones cruzando a operaciones, sistemas y compras, produce la lista corta de dependencias críticas, que rara vez supera la decena.
Segunda capacidad. El modo degradado, decidido de antemano
Cuando el ransomware detuvo los sistemas de Norsk Hydro en 2019, varias de sus plantas siguieron produciendo porque los equipos recuperaron procedimientos manuales y quedaba personal con experiencia suficiente para operar sin las pantallas. La propia compañía reconoció después que aquella continuidad debió más a la veteranía de sus operarios que a una previsión documentada.
El modo degradado existe casi siempre, aunque solo salva la producción si se ha decidido, documentado y ensayado antes del incidente. Para cada proceso crítico del inventario conviene dejar escrito si admite operación manual o local temporal, durante cuánto tiempo, con qué mermas de ritmo o de trazabilidad, quién autoriza la entrada en ese modo y cómo se vuelve al funcionamiento normal sin corromper datos.
Un proceso que no admita modo degradado tampoco invalida el ejercicio, porque señala dónde la dependencia externa merece redundancia, contrato reforzado o rediseño.
Tercera capacidad. Evidencias verificables
La relación con el proveedor crítico madura cuando las conversaciones dejan de girar en torno a la confianza y pasan a apoyarse en evidencias.
Hay un conjunto mínimo que cualquier organización industrial puede solicitar sin resultar exótica, empezando por el plazo y el canal comprometidos de notificación de incidentes, siguiendo por los objetivos de recuperación del propio proveedor y la fecha de su última prueba, la relación de subencargados y ubicaciones de tratamiento, el formato de exportación de datos para el caso de salida y el alcance real de sus certificaciones vigentes, que no siempre coincide con lo que sugiere el logotipo.
La reacción del proveedor ante la petición aporta información por sí misma, porque quien opera con seriedad tiene estas respuestas preparadas para sus mejores clientes.
Cuarta capacidad. Ensayar con la nube apagada
Los ejercicios de continuidad industrial ensayan el incendio, el fallo eléctrico y, cada vez más, el ransomware interno. El escenario que esta serie propone añadir resulta sencillo de simular y consiste en dar por buenos los sistemas propios y declarar indisponible el servicio externo. Un ejercicio de mesa de medio día en el que se retira la plataforma de trazabilidad o el acceso de soporte remoto del fabricante y se recorre la respuesta hora a hora suele producir más hallazgos accionables que una auditoría completa, porque aflora quién detecta la caída y cuánto tarda, si los teléfonos del contrato responden, si el modo degradado funciona en la práctica y si la vuelta a la normalidad estaba prevista.
La versión avanzada incluye una prueba real de restauración de los datos custodiados por el tercero, que es la única forma de saber si la copia de seguridad cumple su función.
Quinta capacidad. Un dueño para el riesgo
La primera entrega señalaba que este riesgo se pierde en la frontera entre OT, IT y compras, de modo que la capacidad final es organizativa y consiste en cerrar esa grieta sin crear estructuras nuevas.
Basta con asignar la propiedad del riesgo a un rol concreto con mandato transversal, incorporar el inventario y sus métricas al comité que ya revisa los riesgos operacionales y dotarlo de un cuadro de indicadores corto, con el número de dependencias críticas identificadas, el porcentaje con modo degradado documentado y ensayado, el porcentaje con prueba de restauración en los últimos doce meses y el tiempo máximo tolerable de indisponibilidad por proceso frente a lo que el contrato garantiza.
A modo de cierre
La digitalización industrial no va a revertirse y sería un error plantearla como una amenaza, porque las capacidades que ha traído a la planta española son reales y competitivamente necesarias.
Lo que esta serie ha querido argumentar es que la madurez digital de una organización se refleja tanto en lo que ha desplegado como en lo que sabe de aquello de lo que depende y en cuántas veces ha ensayado su respuesta antes de necesitarla.
Hacer visible la dependencia es el paso que permite gestionarla, y a partir de ahí se convierte en trabajo ordinario de gestión, que es el terreno donde la industria de este país lleva décadas demostrando que sabe competir.
