Prueba del plan de recuperación ante desastres (DRP) para entidades supervisadas en Centroamérica

El Art. 34 de la JM-98-2025 pide un plan de recuperación ante desastres alineado con el plan de continuidad del negocio, con diez contenidos mínimos. Entre ellos: tiempos de recuperación y restauración de los procesos críticos después de un incidente cibernético, roles del personal clave, lista de proveedores críticos, convenios documentados con terceros y prioridades de recuperación. Si contrata con terceros servicios críticos de procesamiento o almacenamiento, el plan necesita escenarios específicos para esos servicios y mecanismos de salida para retomar la operación por cuenta propia o con otro proveedor. Cada modificación del plan se comunica a la Superintendencia de Bancos dentro de los diez días hábiles siguientes a su aprobación.

El Art. 35 pide un plan de pruebas con alcance, escenarios con diferentes niveles de severidad y un cronograma con actividades, responsables y fechas. Las pruebas se hacen como mínimo una vez al año o cuando la situación lo amerite. Los resultados se documentan y, cuando corresponde, el plan se ajusta. El Art. 36 pide mantener capacitado al personal clave para activar o probar el plan.

El Art. 50 dio doce meses desde la vigencia del reglamento, el 30 de octubre de 2025, para actualizar el plan y el Manual de Administración del Riesgo Tecnológico. Un plan recién actualizado es justo el que más conviene probar: es el que menos gente conoce.

En El Salvador, la NRP-24 del Banco Central de Reserva aplica a bancos, conglomerados, administradoras de fondos de pensiones, aseguradoras, bancos cooperativos, sociedades proveedoras de dinero electrónico y otras entidades del Art. 2. El Art. 17 pide un programa de pruebas, escenarios realistas con objetivos claros, pruebas que minimicen el riesgo de interrumpir la operación y un informe formal con resultados, recomendaciones y acuerdos de mejora. Las pruebas completas las aprueba antes la junta directiva. El Art. 18 pide avisar a la Superintendencia, con al menos 30 días de antelación, el tipo y la fecha de las pruebas no anunciadas y las completas. El Art. 10 pide comunicarle también los resultados.

La NRP-24 define cuatro tipos de prueba: de escritorio, simulaciones, de funciones y completas. Sirve como escalera. La NRP-23 (Art. 16 d) agrega que las pruebas del plan de continuidad simulen ataques cibernéticos.

En Honduras, la Circular CNBS 025/2022 incluye el DRP dentro del plan de continuidad (Art. 31). El Art. 32 pide pruebas periódicas y cuando hay cambios significativos, basadas en escenarios planificados, documentadas con resultados, recomendaciones y acciones. En Costa Rica, el Art. 10 del Acuerdo CONASSIF 5-24 pide al órgano de dirección asegurar que la resiliencia operativa digital esté en los planes de continuidad y que existan planes de respuesta y recuperación para incidentes que puedan interrumpir procesos críticos.

La prueba tiene cuatro partes. Su integrador o su equipo de TI operan la infraestructura en todas. Toukan diseña, observa, mide y escribe.

• Primero leemos el DRP, el análisis de impacto, los procedimientos y los contratos con proveedores críticos. Marcamos lo que falta frente a la norma de su país y lo que no se puede ejecutar como está escrito.
• Después proponemos uno o varios escenarios con distinta severidad, como la pérdida del centro de datos principal, un ransomware que cifra servidores o la caída de un proveedor crítico. Usted y su comité eligen.
• Según lo que se acuerde, el ejercicio es una sesión de escritorio con los responsables, una prueba de funciones de un área o una conmutación real al sitio alterno con regreso. Medimos cada paso contra el tiempo del plan.
• Al final entregamos el paquete de evidencia: alcance, escenario, participantes, línea de tiempo, tiempos medidos frente a los objetivos, hallazgos y cambios sugeridos al plan.

La JM-98-2025 pide escenarios con diferentes niveles de severidad. La NRP-24 pide escenarios realistas. En la práctica, conviene una escalera: empezar donde el plan es más débil y subir cada año.

Esta lista sirve para preparar la prueba o para saber si ya está listo para pedirla.

• El DRP tiene fecha de aprobación y la versión vigente es la que tienen las personas clave.
• Cada servicio crítico tiene RTO y RPO, y salen del análisis de impacto, no de la herramienta.
• Los procedimientos dicen quién hace cada paso, con nombre o cargo, y quién lo reemplaza.
• La lista de proveedores críticos tiene contactos de emergencia probados este año.
• Los contratos con proveedores críticos tienen tiempos de recuperación que calzan con su RTO.
• El sitio alterno recibe réplica de la información crítica y alguien revisa que esté al día.
• Existe un procedimiento escrito para regresar al sitio principal, no solo para salir de él.
• Hay un plan de comunicación con clientes, supervisor y medios para el día de la falla.
• En El Salvador, la prueba completa está aprobada por la junta y avisada a la Superintendencia 30 días antes.
• Los hallazgos de la última prueba tienen responsable y fecha de cierre.

De la firma al informe pasan entre 2 y 6 semanas, según el tipo de ejercicio. Un ejercicio de escritorio es corto. Una conmutación real requiere ventana, aprobaciones y, en El Salvador, el aviso de 30 días a la Superintendencia, así que conviene empezar a planificarla con dos meses de margen. El precio se fija después de la llamada de alcance.

Su integrador opera la replicación, el sitio alterno y la conmutación, igual que lo haría en un desastre real. Toukan no reemplaza ese trabajo ni recomienda cambiar de plataforma. Nuestro papel es el de un tercero que diseña la prueba, mide y documenta lo que pasó, incluido lo que salió bien. Esa separación le da al informe valor ante auditoría interna y ante el supervisor.

La persona que acuerda el alcance con usted dirige el ejercicio y firma el informe. Firmamos acuerdo de confidencialidad antes de recibir el plan y los diagramas.