Mi seguro de resiliencia

1. Un seguro, en el sentido de una precaución

La palabra «seguro» es una imagen. No es un contrato de seguro, ni una garantía de resultado, y no se prevé ninguna indemnización. Es un conjunto de disposiciones concretas que usted mismo puede comprobar:

• sus datos siguen siendo suyos, y varias aplicaciones los exportan en un archivo ZIP que se lee sin nuestras herramientas (CSV, JSON, Markdown);
• para la mayoría de estas aplicaciones, una versión de escritorio funciona sin conexión en Windows, Linux y Android, con los datos en el dispositivo;
• herramientas de ayuda a la salida (Migration, DataVirt, Contracts) le ayudan a dejar un sistema actual sin interrumpir la explotación;
• registros y evaluaciones (Process, Arquitectura y procesos, Policies) llevan la documentación que exige una estrategia de salida.

2. Qué pide DORA, y dónde ayudamos

El Reglamento (UE) 2022/2554, conocido como DORA, se dirige a la resiliencia operativa digital de las entidades financieras. Entre sus requisitos, cuatro afectan directamente al tema de esta página:

• artículo 28, apartado 8: para los servicios de TIC que apoyan funciones esenciales o importantes, la entidad financiera establece estrategias de salida, completas, documentadas, suficientemente probadas y revisadas periódicamente;
• artículo 30, apartado 3, letra f): el contrato con el proveedor prevé esas estrategias de salida, en particular un período transitorio obligatorio y adecuado;
• artículo 12: políticas de copia de seguridad y procedimientos de restauración documentados, cuyos procedimientos se prueban periódicamente;
• artículo 11: una política de continuidad de la actividad de TIC, con sus planes de respuesta y de recuperación.

Etrebil ayuda a preparar estos puntos. No certificamos nada: la evaluación de su situación, la elección de sus funciones críticas y la decisión sobre el cumplimiento siguen siendo suyas, con su asesor jurídico y su autoridad de supervisión. Los requisitos de referencia que se facilitan en Policies son ejemplos reformulados, en pequeño número, sin pretensión de exhaustividad.

Vale en ambos sentidos. Sus propios proveedores de TIC están sujetos a sus requisitos de salida; Etrebil es uno de ellos si nos confía servicios que cuentan. Preferimos, por tanto, darle los medios para dejarnos que pedirle que se fíe de nuestra palabra.

3. Dejar con facilidad sus sistemas actuales

Una estrategia de salida solo vale algo si existe una alternativa y se ha ensayado el paso. Esto es lo que le ayuda.

Migration: trasladar por oleadas

• Migration recupera el correo desde un servidor IMAP, Microsoft 365 o Google Workspace hacia un servidor IMAP o Microsoft 365, por oleadas que se inician, se suspenden y se reanudan; una sincronización de los últimos cambios precede al traspaso final.
• Lee Active Directory, LDAP, Entra ID o un archivo CSV o LDIF, y hace corresponder las identidades de origen y destino.
• Sincroniza recursos compartidos de archivos (carpeta local, recurso compartido de Windows, WebDAV) con sus derechos de acceso de Windows, tras una vista previa de lo que se haría.
• Lo que todavía no hace: migrar calendarios y contactos, escribir en el directorio de destino, usar Google Workspace como destino. Está en preparación y aún no se ha probado con buzones ni directorios reales.

Odoo: recuperar sus datos en Business

• Business sabe recibir desde Odoo 17, 18 o 19 presupuestos, pedidos, facturas y contabilidad, con totales conciliados con los de Odoo; las reglas automáticas llegan desactivadas, para revisarlas.
• Esta recuperación se ha probado en un banco de pruebas, no con sus datos: prevea un ensayo antes de fiarse de ella.

DataVirt: ensayar sin tocar la producción

• DataVirt crea en unos segundos una base de datos virtual sobre su producción, con los datos personales enmascarados. Todo lo que se escribe allí se queda en la base virtual.
• El análisis de impacto vuelve a ejecutar sus consultas antes y después de un cambio: consultas rotas, resultados cambiados, índices perdidos y todo lo que depende de una columna eliminada.
• Así puede probar una migración o un traspaso de principio a fin, varias veces, sin riesgo para la explotación.

Contracts: saber cuándo y a qué precio marcharse

• Contracts lleva el registro de sus contratos: fechas, renovación tácita o expresa, preavisos, vencimientos calculados, fin lo más pronto posible y compromiso firme restante.
• Marca a un tercero como proveedor crítico cuando una actividad importante depende de él, y produce un calendario de vencimientos para importar en su agenda.

4. No encerrarse tampoco con nosotros

La salida vale también para Etrebil. Es la razón de ser de la versión de escritorio y de la exportación.

• Exportación legible sin nuestras herramientas: Business (para sus marcas), Contracts, CRM (campañas incluidas), Payroll, Policies y HR (para sus gastos) exportan la organización en un archivo ZIP (registros en CSV, objetos en JSON, textos en Markdown, adjuntos originales). Connect exporta sus conversaciones de la misma manera, y SOC exporta sus eventos en CSV o NDJSON y su configuración en JSON.
• Importación verificada: Contracts y Policies comprueban el archivo al importar, con las huellas verificadas, y aplican todo en una sola transacción.
• Versión sin conexión: Business (para sus marcas), Contracts, CRM, Payroll y HR (para sus gastos) funcionan en Windows, Linux y Android, sin servidor, con los datos en el dispositivo; Policies funciona en Windows y Linux, y se puede leer en Android.
• El modelo de arquitectura de Arquitectura y procesos cabe en un archivo, con su carpeta de documentos, en un equipo Windows, sin servidor.

Esta lista no abarca todo el catálogo. Otras aplicaciones, como CMDB, Business, Family o Polls, no tienen por ahora exportación de la organización. Antes de basar una estrategia de salida en una aplicación, compruebe en su ficha que exporta, y qué exporta.

Quedan por fijar dos puntos y preferimos decírselos: cuánto tiempo funciona una versión de escritorio sin contactar con el servidor, y qué ocurre con la exportación cuando termina la suscripción. Mientras tanto, exporte antes de cancelar, no después, y no cuente con un trabajo sin conexión de duración ilimitada.

5. Un plan de continuidad fácil y demostrable

Un plan que nunca se ha ensayado es solo una intención. Este es un ejercicio que usted mismo realiza, con pasos que funcionan hoy en las aplicaciones citadas arriba:

• exporte la organización de una aplicación en un archivo ZIP, y anote la fecha y la aplicación;
• abra el archivo con una simple hoja de cálculo y un editor de texto: si puede leer sus datos, no nos necesita para leerlos;
• corte la red de un equipo y abra la versión de escritorio: el registro sigue siendo consultable y modificable;
• importe el archivo en una organización vacía y compare: en Contracts y Policies, la importación verifica las huellas de los archivos;
• deje constancia del resultado: en Arquitectura y procesos, la evaluación de un proveedor incluye un campo «plan de continuidad probado»; en Contracts, marca al proveedor como proveedor crítico; Process lleva los registros DORA (proveedores de TIC, incidentes, riesgos), con una pista de auditoría en la que cada entrada lleva una huella SHA-256.

Los productos no generan un informe del ejercicio: el acta es suya, y es la que mostrará. Lo que aporta Etrebil es que el ejercicio es corto, que se hace con archivos legibles y que deja una huella que puede conservar.

Para la vigilancia y el inventario que rodean este plan, CMDB lleva el inventario de los activos informáticos, SOC centraliza los registros y lanza alertas, y Auditoría de seguridad revisa el directorio, los equipos, la red y las aplicaciones.

6. Lo que esta página no dice

• No es una garantía, ni un contrato de seguro, ni un asesoramiento jurídico. Ninguna aplicación de Etrebil certifica el cumplimiento de DORA ni de otro texto.
• El registro de información DORA de Process se exporta en XML con un formato propio de Process, no en el formato oficial de presentación, que está en preparación.
• Varias aplicaciones siguen en preparación. El estado de cada una, sus plataformas y sus límites figuran en su ficha: léala antes de contar con ella.
• Backup, la copia de seguridad del equipo, todavía no lanza copias: no la contamos en este plan.
• Nada de lo anterior sustituye una prueba con sus propios datos.

7. Para empezar

• Elija una función que cuente para usted y la aplicación que la sostiene.
• Realice el ejercicio de la sección anterior, con datos de prueba.
• Anote el resultado y vuelva a hacerlo cuando cambie de herramienta o de proveedor.