Guia Desarrollo Plan Continuidad Negocio

Escuela Universitaria de Informtica Universidad Politcnica de Madrid
Gua de Desarrollo de un Plan de Continuidad de Negocio
Autora: Laura del Pino Jimnez Director de Tesis: Jorge Rami Aguirre Fecha del trabajo original: julio 2007
BREVE CURRICULUM VITAE DE LA AUTORA (diciembre de 2008)
Laura del Pino es Ingeniero Tcnico en Informtica de Sistemas por la Universidad Politcnica de Madrid. Ha realizado el Curso Superior de Direccin de Seguridad de la Informacin del IADE de la Universidad Autnoma y es CISA por la ISACA. Comenz a trabajar en Seguridad informtica en KPMG como NITSO, National
Information Security Officer, pasando en el ao 2000 a formar parte de AZERTIA como Consultor Senior de Seguridad. Actualmente desarrolla su carrera profesional en el departamento de Seguridad de INDRA.
NOTA DEL DIRECTOR DE TESIS
Laura realiz su Trabajo Fin de Carrera en la Escuela Universitaria de Informtica EUI de la Universidad Politcnica de Madrid en este tema en el ao 2007, ocasin en la que tuve la grata oportunidad de ser su tutor de tesis, como profesor del departamento de Lenguajes, Proyectos y Sistemas Informticos LPSI. A mediados de 2008 le ped que hiciese un breve resumen de esa tesis para publicarlo en Internet como documento de libre distribucin, con el objeto de que fuese una gua prctica y de fcil entendimiento. Este es el feliz resultado de dicho trabajo. Agradezco a Laura en todo su valor el esfuerzo que ha realizado, conociendo el poco tiempo libre que le dejan sus actividades profesionales que desarrolla en esta importante rea de la seguridad de la informacin. Madrid, marzo de 2009.
Gua de Desarrollo de Plan de Continuidad de Negocio ndice
NDICE
1. 2. 3. 4. 5. 6.
INTRODUCCIN ....................................................................................................................... 1 OBJETO DE LA GUIA ............................................................................................................... 2 ANTECEDENTES ........................................................................................................................ 3 QU ES UN PLAN DE CONTINUIDAD DE NEGOCIO? ................................................ 5 POR DNDE EMPEZAMOS ..................................................................................................... 7 FASE I. ANLISIS DEL NEGOCIO Y EVALUACIN DE RIESGOS ............................ 9 ANLISIS DE IMPACTO ................................................................................................... 10 RELACIN DE PROCESOS.................................................................................................... 11 RELACIN DE APLICACIONES............................................................................................... 11 RELACIN DE DEPARTAMENTOS Y USUARIOS ....................................................................... 12 DETERMINAR LOS PROCESOS CRTICOS ............................................................................... 12 PERIODO MXIMO DE INTERRUPCIN ................................................................................... 12 IDENTIFICAR ACTIVOS ......................................................................................................... 15 IDENTIFICAR AMENAZAS ...................................................................................................... 16 EVALUAR VULNERABILIDADES ............................................................................................. 17 EVALUACIN DEL IMPACTO ................................................................................................. 18 EVALUACIN DEL RIESGO ................................................................................................... 18 EVALUAR CONTRAMEDIDAS ................................................................................................. 20
6.1
6.1.1 6.1.2 6.1.3 6.1.4 6.1.5 6.2 6.2.1 6.2.2 6.2.3 6.2.4 6.2.5 6.2.6 7.
ANLISIS DE RIESGOS ................................................................................................... 14
FASE II. ESTRATEGIA DE RESPALDO ............................................................................ 22 SELECCIN DE ESTRATEGIAS ........................................................................................ 22
7.1 8.
FASE III. DESARROLLO DEL PLAN DE CONTINUIDAD............................................ 25 ORGANIZACIN DE LOS EQUIPOS.................................................................................. 25 EQUIPO DIRECTOR O COMIT DE CRISIS ............................................................................... 26 EQUIPO DE RECUPERACIN ................................................................................................ 26 EQUIPO LOGSTICO ............................................................................................................. 26 EQUIPO DE RELACIONES PBLICAS Y ATENCIN A CLIENTES.................................................. 27 EQUIPO DE LAS UNIDADES DE NEGOCIO ............................................................................... 27 FASE DE ALERTA ................................................................................................................ 29 FASE DE TRANSICIN ......................................................................................................... 31
8.1
8.1.1 8.1.2 8.1.3 8.1.4 8.1.5 8.2 8.2.1 8.2.2
DESARROLLO DE PROCEDIMIENTOS ............................................................................ 28
8.2.3 8.2.4 8.2.5 9.
FASE DE RECUPERACIN .................................................................................................... 32 FASE DE VUELTA A LA NORMALIDAD / FIN DE LA EMERGENCIA ................................................ 33 GENERACIN DE INFORMES Y EVALUACIN .......................................................................... 33
FASE IV. PRUEBAS Y MANTENIMIENTO ....................................................................... 34 PRUEBAS ............................................................................................................................ 34 TIPOS DE PRUEBAS ......................................................................................................... 34 EJERCICIOS TCNICOS ................................................................................................... 35 TEST COMPLETO ............................................................................................................ 35
9.1 9.2
9.1.1. OBJETIVOS DEL PLAN DE PRUEBAS ...................................................................................... 34 9.2.1. 9.2.2. 9.3
MANTENIMIENTO DEL PLAN DE CONTINUIDAD ............................................................ 36
ANEXOS ............................................................................................................................................... 37 ANEXO I CUADROS DE RECOGIDA DE DATOS ANLISIS DE IMPACTO ................................. 38 ANEXO II - LISTADO DE AMENAZAS ................................................................................................ 41 ANEXO III EJEMPLOS DE VULNERABILIDADES .......................................................................... 43 ANEXO IV EJEMPLO RBOL DE LLAMADAS............................................................................... 44 ANEXO V SITIOS DE INTERS........................................................................................................ 45 CASO DE ESTUDIO ............................................................................................................................. 47 ANTECEDENTES ............................................................................................................................. 47 ANLISIS DE IMPACTO ................................................................................................................ 48 COMPONENTES DE LOS PROCESOS ...................................................................................... 48 PROCESO PEDIDOS................................................................................................................... 48 PROCESO DE NMINAS ............................................................................................................ 50 TIEMPO MXIMO DE RECUPERACIN DE LOS PROCESOS .................................................. 52 ANLISIS DE RIESGOS ................................................................................................................ 53 INVENTARIO DE ACTIVOS ......................................................................................................... 53 LISTADO DE AMENAZAS ............................................................................................................ 53 VULNERABILIDADES .................................................................................................................. 54 EVALUACIN DE RIESGOS ....................................................................................................... 55 RECOMENDACIONES - CONTRAMEDIDAS .............................................................................. 55 ESTRATEGIA DE RECUPERACIN .............................................................................................. 56 DESARROLLO DEL PLAN .............................................................................................................. 57 COMIT DE CRISIS ..................................................................................................................... 57 EQUIPO DE RECUPERACIN .................................................................................................... 58
EQUIPO DE COORDINACIN LOGSTICA................................................................................. 59 EQUIPO DE RELACIONES PBLICAS ....................................................................................... 60 EQUIPO DE LAS UNIDADES DE NEGOCIO ............................................................................... 61 FASE DE ALERTA ........................................................................................................................... 62 PROCEDIMIENTO DE NOTIFICACIN DEL DESASTRE ............................................................................ 62 PROCEDIMIENTO DE EJECUCIN DEL PLAN ........................................................................................ 62 PROCEDIMIENTO DE NOTIFICACIN DE EJECUCIN DEL PLAN ............................................................. 62 FASE DE TRANSICIN .................................................................................................................. 64 PROCEDIMIENTO DE CONCENTRACIN Y TRASLADO DE MATERIAL Y PERSONAS ................................... 64 PROCEDIMIENTO DE PUESTA EN MARCHA DEL CENTRO DE RECUPERACIN ......................................... 64 FASE DE RECUPERACIN ............................................................................................................ 65 PROCEDIMIENTO DE RESTAURACIN ................................................................................................ 65 PROCEDIMIENTO DE SOPORTE Y GESTIN ......................................................................................... 65 FASE DE VUELTA A LA NORMALIDAD ....................................................................................... 66 ANLISIS DEL IMPACTO .................................................................................................................... 66 ADQUISICIN DE NUEVO MATERIAL ................................................................................................... 66 FIN DE LA CONTINGENCIA ................................................................................................................. 66 CONCLUSIONES ............................................................................................................................. 67 BIBLIOGRAFA..................................................................................................................................... 68
Gua de Desarrollo de Plan de Continuidad de Negocio Introduccin
1. INTRODUCCIN
Dentro de la Gestin de la Seguridad de la Informacin en una compaa es importante contar con un plan alternativo que asegure la continuidad de la actividad del Negocio en caso de que ocurran incidentes graves. Tradicionalmente, los Planes de Continuidad, denominados Planes de Contingencia en sus orgenes, estn asociados a grandes compaas que necesitan reaccionar de forma inmediata ante cualquier evento que interrumpa sus servicios. La realidad es que cualquier compaa puede sufrir un incidente que afecte a su continuidad y, dependiendo de la forma en que se gestione dicho incidente, las consecuencias pueden ser ms o menos graves. Esta gua pretende desglosar las actividades necesarias para desarrollar un Plan de Continuidad de Negocio, proporcionando plantillas y ejemplos que ayuden al lector a entender cada una de las fases y tareas que componen el Plan.
Es importante destacar que la gua puede servir para desarrollar un Plan de Continuidad de Negocio tanto en una gran compaa como en una Pyme, aunque consecuentemente el tiempo, el esfuerzo y el presupuesto a emplear variarn sensiblemente.
Gua de Desarrollo de Plan de Continuidad de Negocio Objeto de la Gua
2. OBJETO DE LA GUIA
Una de las motivaciones que me ha llevado a desarrollar esta gua es la poca informacin que he encontrado que contenga una descripcin detallada de las fases y tareas que componen un Plan de Continuidad. Por ello, los principales objetivos son:
Dar a conocer la importancia del Plan de Continuidad de Negocio para hacer frente a incidentes graves de seguridad en una compaa. Desarrollar una Gua completa sobre Continuidad de Negocio, donde se muestren cada una de las fases que componen el Plan. Resumir de forma clara y sencilla cada una de las actividades a desarrollar dentro de las Fases del Plan de Continuidad. Establecer ejemplos ilustrativos que ayuden a confeccionar un Plan de Continuidad.
Gua de Desarrollo de Plan de Continuidad de Negocio Antecedentes
3. ANTECEDENTES
A la velocidad con la que operan los negocios actuales un incidente de unas pocas horas de duracin puede tener un impacto catastrfico en los resultados y en la imagen de la organizacin que lo sufra. La ntima dependencia que existe entre el negocio y los sistemas de informacin exige que stos estn preparados para afrontar las mltiples amenazas que ponen en riesgo su operatividad y, en consecuencia, la continuidad del negocio. El incendio ocurrido en el Edificio Windsor en Madrid en el mes de febrero de 2005 o el Huracn Katrina en agosto de ese mismo ao, son dos ejemplos que vienen a sumarse a sucesos, como los atentados del 11-S del ao 2001. Sin embargo, en no pocas ocasiones no es necesario un desastre de dimensiones parecidas a las de los mencionados anteriormente para poner en peligro no slo la buena marcha del negocio sino su misma supervivencia; eventos como la irrupcin de un virus o la instalacin de un parche de seguridad pueden conducir a la inoperabilidad temporal de los sistemas, la prdida de informacin crtica o, en ltima instancia, la inutilizacin de las infraestructuras.
Tipos de incidentes No slo las catstrofes ambientales, tales como incendios o inundaciones, pueden causar daos adversos a una organizacin. Otros tipos de incidentes, como los que se detallan a continuacin, pueden tener impactos adversos para una compaa:
Incidentes serios de seguridad en los sistemas, como delitos cibernticos, prdida de informacin, robo de informacin sensible o su distribucin accidental, fallos en los sistemas IT, errores de operacin en los sistemas, etc. Daos en las infraestructuras o en los servicios, fallos en el suministro elctrico, fallos en el suministro de agua, fallos en las comunicaciones, huelgas en los servicios de limpieza. Fallos en los equipos o en los sistemas, incluyendo fallos en las fuentes de alimentacin, en los equipos de refrigeracin. Daos deliberados como actos de terrorismo o de sabotaje, guerras, robos, huelgas, etc.
Los accidentes afectan de forma diferente a cada organizacin, dependiendo de su tamao y de su rea de actividad, no siendo el tamao una caracterstica
3
Gua de Desarrollo de Plan de Continuidad de Negocio Antecedentes
fundamental; las pequeas y medianas organizaciones tambin pueden verse seriamente afectadas. Las consecuencias de estos accidentes sobre las organizaciones que no tienen un plan de continuidad de negocio pueden llegar a ocasionar incluso el cierre de las mismas. Tomemos como ejemplo las siguientes cifras:
Un 43% de las organizaciones despus de un accidente no podrn continuar sus operaciones vindose obligadas a cerrar. Un 80% tendrn que hacerlo en menos de 13 meses. Un 53% de los clientes de estas organizaciones no recuperarn las prdidas causadas por los daos derivados. Un 50% se vern forzadas a cerrar antes de cinco aos despus del desastre.
Fuente: Cmara de Comercio de Londres
A pesar de que los efectos inmediatos de un desastre aparentemente son la prdida de beneficios por la parada de actividad puntual y la incapacidad para proveer servicios crticos, no son stos los efectos ms perniciosos que un incidente de este tipo provoca. Otros efectos derivados que pueden causar un gran impacto en la compaa son la prdida de reputacin de cara a los clientes, o la prdida de ventaja competitiva con otras compaas.
Gua de Desarrollo de Plan de Continuidad de Negocio Qu es un Plan de Continuidad de Negocio?
4. QU ES UN PLAN DE CONTINUIDAD DE NEGOCIO?

Un Plan de Continuidad de Negocio se compone de varias fases que comienzan con un anlisis de los procesos que componen la organizacin. Este anlisis servir para priorizar qu procesos son crticos para el negocio y establecer una poltica de recuperacin ante un desastre. Por cada proceso se identifican los impactos potenciales que amenazan la organizacin, estableciendo un plan que permita continuar con la actividad empresarial en caso de una interrupcin. Un Plan de Continuidad de Negocio, a diferencia de una Plan de Contingencia, est orientado al mantenimiento del negocio de la organizacin, con lo que priorizar las operaciones de negocio crticas necesarias para continuar en funcionamiento despus de un incidente no planificado. En el desarrollo de un Plan de Continuidad de Negocio existen dos preguntas clave:
Cules son los recursos de informacin relacionados con los procesos crticos del negocio de la compaa? Cul es el perodo de tiempo de recuperacin crtico para los recursos de informacin en el cual se debe establecer el procesamiento del negocio antes de que se experimenten prdidas significativas o aceptables?
Un Plan de Continuidad reducir el nmero y la magnitud de las decisiones que se toman durante un perodo en que los errores pueden resultar mayores. El Plan establecer, organizar y documentar los riesgos, responsabilidades, polticas y procedimientos, acuerdos con entidades internas y externas. La activacin de un Plan de Continuidad debera producirse solamente en situaciones de emergencia y cuando las medidas de seguridad hayan fallado.
BENEFICIOS
Identifica los diversos eventos que podran impactar sobre la continuidad de las operaciones y su impacto financiero, humano y de reputacin sobre la organizacin. Obliga a conocer los tiempos crticos de recuperacin para volver a la situacin anterior al desastre sin comprometer al negocio. Previene o minimiza las prdidas para el negocio en caso de desastre. Clasifica los activos para priorizar su proteccin en caso de desastre. Aporta una ventaja competitiva frente a la competencia.
5
Gua de Desarrollo de Plan de Continuidad de Negocio Qu es un Plan de Continuidad de Negocio?
Fomenta e implica a los recursos humanos de la compaa en las actividades de continuidad.
QUIEN DEBE TENER UN PLAN DE RECUPERACIN? Una pregunta que podemos hacernos es si el tamao de una organizacin determina la necesidad o no de tener un Plan de Continuidad. Se puede responder a esta pregunta diciendo que NO. Si una organizacin es muy grande, con beneficios millonarios, con grandes edificios y gran nmero de empleados, o si se trata de una persona trabajando en una pequea oficina con 5 empleados, ambos necesitan asegurar la disponibilidad de su negocio. De hecho, debido a los pocos recursos y a las pocas opciones de respuesta ante un desastre, en algunos casos sera ms vital desarrollar un Plan de Recuperacin de Negocio para los pequeos negocios que para las grandes corporaciones.
Gua de Desarrollo de Plan de Continuidad de Negocio Por Dnde Empezamos?
5. POR DNDE EMPEZAMOS

Para desarrollar un Plan de Continuidad de Negocio tenemos que empezar por obtener un conocimiento de la compaa: sus productos/servicios, sus objetivos empresariales, procesos internos, etc. No es lo mismo un Plan de Continuidad para una empresa de servicios de Internet que para una empresa fabricante de juguetes. Aunque en ambos casos el objetivo ser el de seguir dando servicio a sus clientes, las actividades y procesos sobre las que se soporta la empresa tendrn diferentes prioridades de recuperacin ante una contingencia grave.
El propsito general de un Plan de recuperacin es obtener un mapa de acciones que reduzcan la toma de decisiones durante las operaciones de recuperacin, restaure los servicios crticos rpidamente y permita un normal funcionamiento de los sistemas y procesos lo antes posible, minimizando costes y aumentando la efectividad. Podemos dividir un Plan de Continuidad de Negocio en cuatro Fases:
Figura 1. Diagrama de Fases del Plan de Continuidad
Gua de Desarrollo de Plan de Continuidad de Negocio Por Dnde Empezamos?
FASE I ANLISIS DEL NEGOCIO Y EVALUACIN DE RIESGOS Se trata de obtener un conocimiento de los objetivos de negocio y de los procesos que se consideran crticos para el funcionamiento de la compaa. Una vez identificados los procesos crticos, se analizarn cules son los riesgos asociados a dichos procesos para identificar cules son las causas potenciales que pueden llegar a interrumpir un negocio.
FASE II SELECCIN DE ESTRATEGIAS Esta fase tiene dos objetivos: Por un lado, valorar las diferentes alternativas y estrategias de respaldo en funcin de los resultados obtenidos en la fase anterior, para seleccionar la ms adecuada a las necesidades de la compaa. Por otro lado, corregir las vulnerabilidades detectadas en los procesos crticos de negocio identificadas en el Anlisis de Riesgos.
FASE III- DESARROLLO DEL PLAN Una vez que se ha seleccionado la estrategia de respaldo hay que desarrollarla e implantarla dentro de la compaa. En esta fase se desarrollan los procedimientos y planes de actuacin para las distintas reas y equipos, y se organizan los equipos que intervienen en cada fase del Plan.
FASE IV PRUEBAS Y MANTENIMIENTO Una parte importante del Plan de Continuidad, es conocer que realmente funciona y es efectivo. Para ello se define la estrategia de pruebas y se realiza la prueba del Plan, para afinarlo segn los resultados. Adems, en esta ltima fase se definirn los procedimientos de mantenimiento del Plan.
Gua de Desarrollo de Plan de Continuidad de Negocio FASE I. Anlisis del Negocio y Evaluacin de Riesgos
6. FASE I. ANLISIS DEL NEGOCIO Y EVALUACIN DE RIESGOS

Para desarrollar un Plan de Continuidad con garanta de xito, lo primero es conocer y entender cules son los procesos de negocio que son esenciales dentro de la compaa en la que se va a desarrollar el Plan, con el objetivo de asegurar la continuidad de la actividad en caso de contingencia. Para ello debemos empezar por responder a cuestiones tales como:
Cules son las actividades ms importantes para la compaa? Cmo afectara econmicamente una interrupcin de los servicios a medida que va pasando el tiempo sin reanudar el servicio? Cul sera la capacidad operativa de la empresa a medida que pasa el tiempo? Cul es el plazo mximo para volver a la normalidad sin llegar a incurrir en graves prdidas?
Las actividades/procesos que se clasifican como esenciales dentro de una compaa suelen ser en su mayora los Operacionales. Estos procesos interactan directamente con los clientes o con otras organizaciones externas a la compaa (Dpto. de Ventas, Dpto. Atencin al Cliente, etc.). Tambin es posible, que estos procesos dependan de otros internos, que tambin deben ser analizados. Para conocer cules son las necesidades de la compaa en cuanto a estrategias de continuidad, vamos a utilizar dos mecanismos de anlisis: Anlisis de Impacto (BIA Business Impact Analysis): Nos permitir identificar la urgencia de recuperacin de cada funcin de negocio, determinando el impacto en caso de interrupcin. Esta informacin nos permitir seleccionar cul es la estrategia ms adecuada.
Anlisis de Riesgos: El Objetivo de un anlisis de riesgos es identificar y analizar los diferentes factores de riesgo que potencialmente podrn afectar a las actividades que queremos proteger. La evaluacin de riesgos supone imaginarse lo que puede ir mal y a continuacin estimar el impacto que supondra para la organizacin. Se ha de tener en cuenta la probabilidad de que sucedan cada uno de los problemas posibles. De esta forma se pueden priorizar los problemas y su coste potencial desarrollando un plan de accin adecuado.
6.1 ANLISIS DE IMPACTO

El Anlisis de Impacto es esencial para establecer una estrategia de recuperacin, que en principio dar continuidad a las actividades crticas y posteriormente al resto, si es posible. El nivel de criticidad de una actividad dentro de la compaa se mide en funcin de lo dependiente de ella, que es la organizacin y de lo que repercutira su indisponibilidad. En trminos econmicos esta valoracin sera responder a la pregunta de cunto perdera la organizacin si la actividad/proceso no estuviera disponible. Dentro del Anlisis de Impacto podemos distinguir las siguientes actividades:
Obtencin de la Relacin de Procesos: Establecer los procesos de negocio que se realizan en la compaa. Obtencin de la Relacin de Aplicaciones: Establecer la relacin de aplicaciones que soportan los procesos de la compaa. Relacin de Departamentos y Usuarios: Se identifican los departamentos que hay en la empresa y el nombre de las personas que la componen y que intervienen en los procesos. Determinar cules son los Procesos Crticos: Pueden darse dos valoraciones, una basada en la importancia para la compaa de los procesos cuya ausencia tendra un impacto alto en la actividad de la compaa (valoracin cualitativa). La otra, se referira a las prdidas econmicas por perodo debido a la ausencia de los procesos (valoracin cuantitativa). Perodo Mximo de Interrupcin: El acumulado de prdidas suele ir creciendo linealmente a medida que pasan los das y las actividades estn interrumpidas. No obstante, a partir de un momento que denominaremos Perodo Mximo de Interrupcin, las prdidas sufren un aumento significativo y las funciones no podran ser reasumidas.
En los casos en que la organizacin tenga varias sedes, ser necesario establecer un alcance geogrfico.
En el Anexo I se incluye un ejemplo de recogida de datos para cada una de las partes que componen el Anlisis de Impacto. La recogida de esta informacin permitir evaluar las necesidades de la organizacin en materia de continuidad, por lo que es importante que la informacin sea lo ms completa posible.
10
6.1.1 RELACIN DE PROCESOS

Para obtener la informacin sobre los procesos y las aplicaciones que los gestionan, es esencial la participacin de las personas responsables de los mismos dentro de la compaa, y de aquellos trabajadores que conocen en profundidad los mismos. Para ello pueden utilizarse entrevistas personales y cuestionarios que nos acercarn a los procesos crticos del negocio. Podemos dividir los procesos en operativos y procesos de soporte. Los procesos operativos son aquellos que guardan una relacin directa con el cliente (comercial, facturacin, almacenaje, atencin al cliente, etc.). Los procesos de soporte, seran aquellos que facilitan los recursos para poder realizar los procesos operativos (recursos humanos, gestin financiera, etc.)
6.1.2 RELACIN DE APLICACIONES

En este apartado debe recogerse el inventario de los recursos tecnolgicos que soportan los procesos de la compaa, a fin de identificar aquellos que den soporte directo a los servicios crticos. Los tipos de recursos que se deben analizar son:
Hardware, identificando cada uno de los elementos hardware que soportan los sistemas de informacin de la compaa.
Software Base, recogiendo todos aquellos componentes de software, incluido todos los asociados al sistema operativo, indispensables para el funcionamiento y optimizacin del Sistema de Informacin de la compaa.
Software de Aplicaciones, inventariando las aplicaciones de gestin que son utilizadas en la empresa.
Sistemas
de Infraestructura, considerando aquellos elementos o componentes que sin disponer de una tecnologa enfocada propiamente al tratamiento de la informacin s son requeridos para garantizan la operatividad del servicio.
11
6.1.3 RELACIN DE DEPARTAMENTOS Y USUARIOS

Los procesos de la compaa estn gestionados por departamentos/usuarios. Dentro del inventario de procesos es necesario conocer el personal involucrado en los mismos. Esta informacin puede obtenerse en las mismas entrevistas donde se recoge la informacin de los procesos existentes y de los elementos (hardware, software, etc.) que lo componen.
6.1.4 DETERMINAR LOS PROCESOS CRTICOS

Esta tarea supone evaluar los impactos econmicos y operacionales sobre el negocio en caso de no disponer de la funcin analizada. La valoracin de prdidas no es una cuestin sencilla, ya que pueden concurrir aspectos intangibles, tales como la imagen de la organizacin ante sus clientes. Algunos criterios que pueden ayudar a valorar las eventuales prdidas pueden ser:
Coste de horas de trabajo perdidas, al no poder usar las aplicaciones que no tengan alternativa manual o cuyo tratamiento manual suponga una prdida de eficiencia importante. Ingresos dejados de percibir. Penalizaciones por incumplimiento de contratos con clientes. Sanciones administrativas por incumplimiento de leyes debido a la falta de control en situacin de desastre (exposicin de datos personales, incumplimiento de normativa internacional como la Ley Sarbanes Oxley, etc.). Gastos financieros.
Para simplificar esta valoracin de los procesos podemos establecer una clasificacin numrica, asignando mayor prioridad (p.e. 1) a aquellos procesos que se consideren ms crticos y menor prioridad (p.e. 3) a aquellos que se consideren menos crticos.
6.1.5 PERIODO MXIMO DE INTERRUPCIN

Una vez que obtenemos la visin del negocio, de los procesos que lo componen y de la criticidad de cada uno de ellos, debemos establecer los tiempos de recuperacin. Teniendo en cuenta que el objetivo del Plan es dar continuidad al negocio tras un incidente o contingencia grave con las menores prdidas econmicas posibles para la compaa, deben estimarse para cada uno de los
12
procesos que se han considerado crticos, el tiempo a partir del cual las prdidas econmicas afectaran de forma grave a la compaa (Tiempo mximo de interrupcin). Esta estimacin es importante de cara a seleccionar la estrategia de respaldo adecuada a las necesidades de recuperacin. Pueden existir procesos en los que el tiempo de recuperacin es muy pequeo (horas), por ejemplo el servicio de banca electrnica de un banco, y otros procesos como la facturacin a clientes en una empresa de servicios, pueden tener un periodo de recuperacin mayor (das o semanas).
TIEMPO MXIMO DE INTERRUPCIN

MINUTOS HORAS DIAS SEMANAS MESES
TIEMPO DE RECUPERACIN OBJETIVO Figura 2. Tiempos de Recuperacin
PERDIDAS ECOMICAS GRAVES
En definitiva, el Anlisis de Criticidad nos da una visin de los procesos, actividades y recursos a proteger con la prioridad de recuperacin de cada uno de ellos, junto con los tiempos objetivo de puesta en marcha tras un incidente.
13
6.2
ANLISIS DE RIESGOS
El objetivo de un Anlisis de Riesgos es poner de manifiesto aquellas debilidades actuales que por su situacin o su importancia pueden poner en marcha, antes de lo deseable, el Plan de Recuperacin de Negocio. El Anlisis de Riesgo debe centrarse en los procesos/actividades del negocio que se han considerado crticos, aunque tambin puede extenderse a aquellos que no lo son. La evaluacin de riesgos supone imaginarse lo que puede ir mal y a continuacin estimar el coste que supondra. Se ha de tener en cuenta la probabilidad de que sucedan cada uno de los problemas posibles. De esta forma se pueden priorizar los problemas y su coste potencial desarrollando un plan de accin adecuado. En lo fundamental, la evaluacin de riesgos que se ha de llevar a cabo ha de contestar, con la mayor fiabilidad posible, a las siguientes preguntas:
Qu se intenta proteger? Cul es su valor para uno o para la organizacin? Frente a qu se intenta proteger? Cul es la probabilidad de un ataque?
ESQUEMA DEL ANLISIS DE RIESGOS
Figura 3. Esquema Anlisis de Riesgos
14
Existen diferentes metodologas de Anlisis de Riesgos:
MARION OCTAVE MAGERIT
Para el desarrollo de esta gua no se ha seleccionado ninguna metodologa concreta, sino que se realiza una descripcin general de los pasos que componen un Anlisis de Riesgos.
6.2.1 IDENTIFICAR ACTIVOS

Para cada uno de los procesos crticos de la compaa es necesario realizar un inventario de los activos involucrados en el proceso. Los activos se definen como los recursos de una compaa que son necesarios para la consecucin de sus objetivos de negocio. Ejemplos de activos de una compaa pueden ser: Informacin Equipamiento Conocimiento Sistemas
Nota: en el apartado anterior, se ha obtenido gran parte de esta informacin, sobre los activos que componen los procesos crticos. Cada activo de la compaa tendr unos costes asociados. En algunos casos estos costes pueden ser cuantificados con un valor econmico (activos tangibles) como el software o el hardware, y en otros casos es ms complicado cuantificar el activo con valores monetarios (activos intangibles) tales como el prestigio o la confianza de los clientes.
El proceso de elaborar un inventario de activos es uno de los aspectos fundamentales de un correcto anlisis de riesgos. En este inventario se identificar claramente su propietario y su valor para la organizacin, as como su localizacin actual.
A continuacin se incluye un esquema con la relacin existente entre los diferentes elementos que intervienen en el Anlisis de Riesgos.
15
Figura 4. Componentes del Anlisis de Riesgos
6.2.2 IDENTIFICAR AMENAZAS

Una amenaza se define como un evento que puede desencadenar un incidente en la organizacin, produciendo daos materiales o prdidas inmateriales en sus servicios. A la hora de analizar los riesgos hay que evaluar las distintas amenazas que pueden provenir de las ms diversas fuentes. Entre stas se incluyen los agresores malintencionados, las amenazas no intencionadas y los desastres naturales. La siguiente ilustracin clasifica las distintas amenazas a los sistemas.
Figura 5. Clasificacin General de Amenazas
16
Dependiendo de la organizacin y el proceso analizado, sern aplicables distintos tipos de amenazas. Las amenazas tendrn una probabilidad de ocurrencia que depender de la existencia de una vulnerabilidad que pueda ser explotada, para materializarse en un incidente. Por ejemplo una amenaza del tipo de desastre natural como es un terremoto, tendr una mayor probabilidad de ocurrencia en una empresa con oficinas en Japn, donde los terremotos ocurren con mayor frecuencia, que en Espaa. Por lo tanto, a priori podemos decir que el riesgo de dao por terremoto en una compaa situada en Japn es mayor que el de una compaa situada en Espaa. A la hora de valorar la probabilidad de ocurrencia de una amenaza, resulta ms complicado valorar las amenazas humanas (ataques maliciosos, robos de informacin, etc.), que las amenazas naturales. En el componente humano existen dos factores a tener en cuenta: AMENAZA= CAPACIDAD X MOTIVACIN La motivacin es una caracterstica humana que es difcil de valorar, pero que sin embargo es un factor a considerar: empleados descontentos, ex-empleados, etc. En el anexo II se recogen algunos ejemplos de posibles amenazas. Del listado de amenazas debemos tener en cuenta aquellas que pueden afectar a la organizacin de forma grave y valorar la probabilidad de que se conviertan en un incidente real.
6.2.3 EVALUAR VULNERABILIDADES

Las vulnerabilidades son debilidades que pueden ser explotadas para convertir una amenaza en un riesgo real que puede causar daos graves en una compaa. Las vulnerabilidades en s mismas no causan dao alguno, sino que es una condicin o un conjunto de condiciones que pueden permitir a una amenaza afectar a un activo. En el anexo III se recogen algunos ejemplos de vulnerabilidades. Para identificar las vulnerabilidades que pueden afectar a una compaa debemos responder a la pregunta: Cmo puede ocurrir una amenaza? Para responder a esta pregunta ponemos como objetivo la amenaza y definimos las distintas situaciones por las que puede ocurrir la misma, evaluando si dentro de la compaa puede darse esa circunstancia; es decir, si el nivel de proteccin es suficiente para evitar que se materialice la amenaza. Por ejemplo: si nuestra
17
Amenaza es que nos roben datos estratgicos de la compaa, podemos establecer, entre otros, los siguientes escenarios:
ESCENARIOS
1. Entrada no autorizada a los datos a travs del sistema informtico. 2. Robo de datos de los dispositivos de almacenamiento magntico.
NIVEL DE PROTECCIN
Existe un control de acceso a los datos?
Estn los dispositivos de almacenamiento protegidos y controlados de forma adecuada?
3. Robo de datos mediante accesos no autorizados.

Figura 6. Cuadro de Escenarios
Existen perfiles adecuados de acceso a los datos?
Si no se responde afirmativamente a las preguntas de la columna derecha, es que existen vulnerabilidades que podran utilizarse de forma que la amenaza se convierta en un incidente real, y causar daos importantes en la compaa.
6.2.4 EVALUACIN DEL IMPACTO

Los incidentes causan un impacto dentro de la organizacin, que tambin deber tomarse en cuenta a la hora de calcular los riesgos. La valoracin del impacto puede realizarse de forma cuantitativa, estimando las prdidas econmicas, o de forma cualitativa, asignando un valor dentro de una escala (p.e. alto, medio, bajo). Por ejemplo, el robo de informacin confidencial de la compaa puede causar un impacto alto si sta cae en malas manos. En otro caso, podemos estimar las prdidas econmicas de equipos tangibles valorando el coste de reposicin y puesta en marcha.
6.2.5 EVALUACIN DEL RIESGO

Riesgo es la posibilidad de que se produzca un impacto determinado en la organizacin. El riesgo calculado es simplemente un indicador ligado al par de
18
valores calculados de vulnerabilidad y el impacto, ambos ligados a su vez de la relacin entre el activo y la amenaza a la que el riesgo calculado se refiere. PROBABILIDAD DE INCIDENTES= AMENAZA X VULNERABILIDAD RIESGO= PROBABILIDAD DE INCIDENTES X IMPACTO
El riesgo suele expresarse en trminos cualitativos (Alto, Medio, Bajo). A continuacin se muestra un ejemplo de una matriz de probabilidad/impacto:
MEDIO
ALTO
RIESGO MEDIO
RIESGO ALTO
RIESGO ALTO
BAJO
Cuanto ms baja sea la probabilidad de ocurrencia (no existan vulnerabilidades) y el impacto sobre la compaa sea tambin bajo, estaremos en un nivel de riesgo bajo. Sin embargo, si existen vulnerabilidades que aumenten la probabilidad de ocurrencia o el impacto del incidente sea alto para la compaa, estaremos en unos niveles de riesgo medio-alto.
A modo de ejemplo se muestra la siguiente tabla:

19
PROBABILIDADD
RIESGO BAJO
RIESGO MEDIO
RIESGO ALTO
RIESGO BAJO BAJO
RIESGO BAJO MEDIO
RIESGO MEDIO ALTO
IMPACTO
Figura 7. Matriz de Riesgos
DESCRIPCIN Terremoto en ciudades situadas fuera de fallas ssmicas Terremoto en ciudades situadas sobre fallas ssmicas Robo de informacin confidencial compaa con control de acceso lgico Robo de informacin confidencial compaa sin control de acceso lgico
PROBAB BAJA ALTA BAJA ALTA
IMPACTO MEDIO MEDIO ALTO ALTO
RIESGO BAJO ALTO MEDIO ALTO
Una vez que se han evaluado los riesgos, queda decidir qu hacemos con ellos. Se pueden tomar diferentes caminos: Transferir el riesgo a travs de seguros o subcontratando la gestin del riesgo a terceras empresas. Aceptar el riesgo (posicionamiento aprobado por la direccin de la compaa). Reducir el riesgo con controles que los mitiguen. Eliminar el riesgo (eliminando la causa o el foco del riesgo).
6.2.6 EVALUAR CONTRAMEDIDAS

Para reducir riesgos se utilizan los denominados controles o medidas de seguridad. Podemos clasificar los controles en: Controles preventivos o o Identifican potenciales problemas antes de que ocurran Previenen errores, omisiones o actos maliciosos.
Ejemplos:
Realizar copias de seguridad de los archivos. Contratar seguros para los activos. Establecer procedimientos / polticas de seguridad. Establecer control de acceso a la informacin. Establecer control de acceso fsico.
Controles detectivos o Identifican y reportan la ocurrencia de un error, omisin o acto malicioso ocurrido.
20
Ejemplos: Monitorizacin de eventos. Auditoras internas. Revisiones peridicas de procesos. Sensores de humo. Deteccin de virus (Antivirus).
Controles Correctivos o o o o Minimizan el impacto de una amenaza. Solucionan errores detectados por controles detectivos. Identifican la causa de los problemas con el objeto de corregir errores producidos. Modifican los procedimientos para minimizar futuras ocurrencias del problema.
Ejemplos: Parches de seguridad. Correccin de daos por virus. Recuperacin de datos perdidos. Las medidas seleccionadas para mitigar riesgos deben mantener una proporcin entre el esfuerzo y coste necesarios para su implantacin y el riesgo que mitigan (evaluacin del coste-beneficio). Uno de los objetivos del Plan de Continuidad es evitar en la medida de lo posible que se produzcan incidentes que hagan necesaria su ejecucin. Por ello, es importante que la compaa conozca sus riesgos y ponga las medidas adecuadas para corregir el mayor nmero de vulnerabilidades que puedan provocar un incidente grave. La evaluacin de riesgos debe ser peridica y de acuerdo con el modelo de gestin de riesgos de la organizacin y en funcin de la evolucin del negocio (crecimiento), de cambios importantes en la organizacin (procesos internos), nuevas obligaciones legales, etc.
21
Gua de Desarrollo de Plan de Continuidad de Negocio FASE II. Estrategia de Respaldo
7. FASE II. ESTRATEGIA DE RESPALDO

En esta fase se seleccionarn los mtodos operativos alternativos que se van a utilizar en el caso de que ocurra un incidente que provoque una interrupcin en la organizacin. El mtodo seleccionado deber garantizar la restauracin de los procesos afectados en los tiempos determinados por el Anlisis de Impacto.
7.1
SELECCIN DE ESTRATEGIAS
Existen diferentes estrategias para mitigar el impacto de una interrupcin. Cada una de estas estrategias tiene unos parmetros de tiempo, disponibilidad y costes asociados que sern ms o menos apropiados dependiendo de las funciones de negocio. A continuacin se describen diferentes estrategias para reubicacin funcional: No hacer nada: Este tipo de actuacin podra utilizarse en aquellas funciones o actividades que se han clasificado como no urgentes en el Anlisis de Impacto. En este tipo de estrategia se asume el riesgo. Utilizacin de espacios propios: Espacios existentes en la compaa tales como salas de formacin, cafeteras, etc. Este tipo de estrategia requiere una planificacin minuciosa. Reutilizacin de recursos: Reubicacin de personal con funciones no urgentes en tareas que requieren una mayor prioridad. En este caso se debe poner cuidado en convertir la funcin no urgente en urgente por ser desatendida durante demasiado tiempo. Trabajo Remoto o Teletrabajo: Posibilidad de trabajar ubicaciones exteriores a la compaa mediante conexin remota. desde
Acuerdos Recprocos: Acuerdos entre dos organizaciones (o dos unidades de negocio de la propia compaa diferentes) con caractersticas de equipamiento/espacio similares que permitira a cada una de las partes recuperar funciones en la otra localizacin. En este caso es importante definir las condiciones de uso y la realizacin de pruebas peridicas para asegurar las condiciones pactadas. Sitio alternativo subcontratado a terceros: Contratacin con compaas especializadas de espacios alternativos para la recuperacin de la actividad. En este caso hay que asegurar que estas compaas pueden
22
proporcionar unos tiempos de recuperacin acordes con las necesidades de la organizacin. Este tipo de compaas pueden proporcionar diferentes de soluciones: o Espacio dedicado: Se garantiza la disponibilidad inmediata del espacio. En contrapartida este servicio es ms caro que otras alternativas. Espacio compartido: Se comparte el espacio con otras compaas. Es ms barato que un centro dedicado. Espacios mviles: Se pueden utilizar rpidamente, pero tienen un espacio limitado. Mdulos prefabricados: Pueden tardar unos das en estar disponibles para su uso.
o o o
Localizaciones diversas: Se traslada la operacin pero no el personal. Centro replicado: Solucin que permite trasladar de forma inmediata la operacin y continuar la actividad de forma inmediata. Tambin puede denominarse centro espejo. Esta solucin es normalmente la ms cara, pero tambin la mejor solucin en el caso de que se necesite una recuperacin muy rpida de la operacin.
A continuacin se muestra una tabla que recoge la relacin entre el Tiempo Objetivo de recuperacin y la solucin de continuidad ms adecuada a este Objetivo:
TIEMPO OBJETIVO DE RECUPERACIN MESES
INTERNAS
CONTRATADO
Reconstruccin / Realojamiento Edificios prefabricados OnSite Recuperacin in situ Trabajo en casa
----
SEMANAS
Contratacin de unidades mviles o prefabricados Subcontratacin de procesos en oficinas mviles Re-localizacin de un grupo de personas Cambio de funcionamiento a un centro de respaldo subcontratado
DIAS
HORAS
Localizaciones diversas con empleados formados Localizaciones diversas para la misma funcin
INMEDIATO
Figura 8. Tabla de Estrategias de Recuperacin Fuente: Business Continuity Institute.
23
De todas las alternativas existentes hay que elegir la ms adecuada en cada caso. Depender de las necesidades de cada compaa, en cuanto a tiempos de recuperacin, costes econmicos, recursos, etc. Adems deber considerarse otros factores como: Ubicacin y superficie requerida o o Espacio suficiente Zonas acondicionadas para acoger a personal
Recursos tcnicos necesarios: o o o o Hardware Software Comunicaciones Datos de respaldo
Recursos humanos requeridos o o o o Recursos materiales y de infraestructura Servicios auxiliares necesarios Tiempos de activacin Coste
Suele ocurrir que cuanto menor sea el tiempo de recuperacin objetivo, mayor ser el coste de la solucin. Por ello es conveniente realizar un anlisis con tiempos de recuperacin adecuados y adaptados a la realidad de la compaa.
Una vez tomada la decisin sobre el tipo de estrategia que se utilizar como respaldo en caso de interrupcin del negocio, pasaremos a desarrollar todos los procedimientos, funciones y actividades que permitirn restablecer los procesos de negocio en unos plazos razonables.
24
Gua de Desarrollo de Plan de Continuidad de Negocio Fase III. Desarrollo del Plan de Continuidad
8. FASE III. DESARROLLO DEL PLAN DE CONTINUIDAD

Hasta este momento hemos obtenido: Conocimiento de los procesos de la compaa, valorando cules son crticos para el funcionamiento del negocio. Valoracin de los riesgos que pueden afectar al negocio y que pueden disparar el Plan de Continuidad de Negocio. Estrategia de Continuidad ms adecuada para el negocio.
A partir de aqu desarrollaremos nuestro Plan de Continuidad. Para ello definiremos: Los equipos necesarios para el desarrollo del Plan. Las responsabilidades y funciones de cada uno de los equipos. Las dependencias orgnicas entre los diferentes equipos. El desarrollo de los procedimientos de alerta y actuacin ante eventos que puedan activar el Plan. Los procedimientos de actuacin ante incidentes. La estrategia de vuelta a la normalidad.
8.1
ORGANIZACIN DE LOS EQUIPOS
Los equipos de emergencia estn formados por el personal clave necesario en la activacin y desarrollo del Plan de Continuidad. Cada equipo tiene unas funciones y procedimientos que tendrn que desarrollar en las distintas fases del Plan. Aunque la composicin y nmero de equipos puede variar segn el tipo de estrategia de recuperacin, a continuacin se muestran algunos ejemplos de los equipos que pueden formar parte del Plan:
Comit de Crisis: Encargado contingencia y recuperacin.
de
dirigir
las
acciones
durante
la
Equipo de Recuperacin: Su funcin es restablecer todos los sistemas necesarios (voz, datos, comunicaciones, etc.). Equipo Logstico: Responsable de toda la logstica necesaria en el esfuerzo de recuperacin. Equipo de las Unidades de Negocio: Encargados de la realizacin de pruebas que verifiquen la recuperacin de los sistemas crticos.
25
Equipo de Relaciones Pblicas: Encargado de las comunicaciones a los medios de comunicacin y clientes.
El personal asignado a cada uno de los equipos puede variar dependiendo del tamao de la organizacin y de la estrategia de recuperacin seleccionada. Una persona puede pertenecer a ms de un equipo, siempre y cuando no existan incompatibilidades en las tareas a realizar.
8.1.1 EQUIPO DIRECTOR O COMIT DE CRISIS

El objetivo de este comit es reducir al mximo el riesgo y la incertidumbre en la direccin de la situacin. Este Comit debe tomar las decisiones clave durante los incidentes, adems de hacer de enlace con la direccin de la compaa, mantenindoles informados de la situacin regularmente. Las principales tareas y responsabilidades de este comit son:
Anlisis de la situacin. Decisin de activar o no el Plan de Continuidad. Iniciar el proceso de notificacin a los empleados a travs de los diferentes responsables. Seguimiento del proceso de recuperacin, con relacin a los tiempos estimados de recuperacin.
8.1.2 EQUIPO DE RECUPERACIN

El equipo de recuperacin es responsable de establecer la infraestructura necesaria para la recuperacin. Esto incluye todos los servidores, PCs, comunicaciones de voz y datos y cualquier otro elemento necesario para la restauracin de un servicio.
8.1.3
EQUIPO LOGSTICO
Este equipo es responsable de todo lo relacionado con las necesidades logsticas en el marco de la recuperacin, tales como: Transporte de material y personas (si es necesario) al lugar de recuperacin.
26
Suministros de oficina. Comida. Reservas de hotel, si son necesarias. Contacto con los proveedores.
Este equipo debe trabajar conjuntamente con los dems, para asegurar que todas las necesidades logsticas sean cubiertas.
8.1.4 EQUIPO DE RELACIONES PBLICAS Y ATENCIN A CLIENTES

Se trata de canalizar la informacin que se realiza al exterior en un solo punto para que los datos sean referidos desde una sola fuente. Sus funciones principales son: Elaboracin de comunicados para la prensa. Comunicacin con los clientes.
Uno de los valores ms importantes de una compaa son sus clientes, por lo que es importante mantener informados a los mismos, estableciendo canales de comunicacin.
8.1.5 EQUIPO DE LAS UNIDADES DE NEGOCIO

Estos equipos estarn formados por las personas que trabajan con las aplicaciones crticas, y sern los encargados de realizar las pruebas de funcionamiento para verificar la operatividad de los sistemas y comenzar a funcionar. Cada equipo deber configurar las diferentes pruebas que debern realizar para los sistemas.
27
8.2
DESARROLLO DE PROCEDIMIENTOS
Una vez que hemos definido los equipos y se han establecido las funciones que debe desempear cada equipo, tenemos que desarrollar los procedimientos que van a seguir, y su actuacin en cada una de las fases de activacin del Plan de Continuidad.
- FASE DE ALERTA
Procedimiento de notificacin del desastre. Procedimiento de lanzamiento del Plan Procedimiento de notificacin de la puesta en marcha del Plan a los equipos implicados.
- FASE DE TRANSICIN Procedimiento de concentracin de equipos. Procedimiento de traslado y puesta en marcha de la recuperacin.
- FASE DE RECUPERACIN Procedimientos de restauracin. Procedimientos de soporte y gestin.
- FASE DE VUELTA A LA NORMALIDAD Anlisis del impacto. Procedimientos de vuelta a la normalidad.
En el siguiente esquema podemos ver las fases que componen el Plan de Continuidad de Negocio:
28
Figura 9. Fases y Actividades del Plan de Continuidad
8.2.1 FASE DE ALERTA

La Fase de Alerta define los procedimientos de actuacin ante las primeras etapas de un suceso que implique la prdida parcial o total de uno o varios servicios crticos. Dividiremos esta fase en tres partes: Notificacin: Define cmo y quin debe ser informado en primera instancia de lo ocurrido. Evaluacin: Anlisis de la situacin y valoracin inicial de los daos. Definicin de estrategias. Ejecucin del Plan: Decisin del equipo director de disparar el Plan debido al alcance de los daos.
Notificacin Dado que no es posible confeccionar un Plan de Alerta que d cabida a todos los casos que resultan de suponer que cualquier persona pueda dar aviso de un incidente, vamos a suponer que la persona que descubre la contingencia ser un empleado o cualquier otra persona prxima al lugar donde ocurre el incidente. Como parte del Plan de Continuidad se debe establecer un programa de concienciacin, en el que se informe debidamente al personal de cmo actuar ante estos casos y a quin comunicar lo ocurrido.
29
EVENTO
1 Situacin de contingencia/incidente detectado por algn empleado de la compaa. (Fuego, inundacin, virus, etc.).
ACCIN
Aviso inmediato con el mximo detalle posible al Responsable de Personal de turno o a Seguridad. Aviso a la persona de contacto del Comit de Crisis. Aviso a los equipos de emergencia (si procede).
2 El responsable de turno o de seguridad conoce que ha sucedido una contingencia.
Figura 10. Cuadro Fase de Notificacin
Evaluacin Una vez que un miembro del Comit de Crisis es contactado e informado del incidente, proceder a evaluar la situacin con la recopilacin de la mayor informacin posible. El Comit informar a los responsables de los distintos equipos de lo ocurrido y de la situacin en ese momento para que permanezcan en situacin de espera, hasta que se tome la decisin de disparar el Plan o iniciar otro tipo de estrategia.
EVENTO
3 Conocimiento por algn miembro del Comit de incidente ocurrido.
ACCIN
El equipo del Comit se reunir en un lugar acordado previamente y evaluar la situacin. Este Comit deber tomar la decisin de activar o no el Plan de Continuidad. Ser necesario informar de la situacin a los siguientes responsables: Responsable de Seguridad. Comit de Direccin de la Empresa. Relaciones Pblicas. Equipo de Recuperacin. Responsable de los Equipos.
Figura 11. Cuadro Fase de Evaluacin
Ejecucin del Plan Una vez que el Comit de Crisis ha decidido poner en marcha el Plan de Recuperacin, debe de iniciarse el rbol de llamadas (En el Anexo IV se incluye un ejemplo de un rbol de llamadas) para comunicar a los Responsables y
30
componentes de cada equipo la situacin de inicio de las actividades del Plan para comenzar los procedimientos de actuacin de cada uno de ellos. Deber informarse tambin al Comit de Direccin.
EVENTO
4 Consideracin por parte del Comit de Crisis y ejecucin del Plan. Paso a la Fase de Transicin.
ACCIN
Iniciar el rbol de llamadas. Informar al Comit de Direccin.
Figura 10. Cuadro Fase de Lanzamiento del Plan
8.2.2 FASE DE TRANSICIN

La Fase de Transicin es la fase previa a la de recuperacin de los sistemas. Es importante que en esta fase exista una coordinacin entre los diferentes equipos y equipos de logstica, ya que son stos los encargados de que todo est disponible para comenzar la recuperacin en el menor tiempo posible. Podemos dividir la fase de transicin en dos partes principalmente: Procedimientos de concentracin y traslado de personas y equipos. Procedimientos de puesta en marcha del centro de recuperacin.
Ambos procedimientos son la base del proceso de recuperacin de los sistemas. Si esta parte falla, no ser posible comenzar la recuperacin, y por tanto el Plan de Continuidad fallar. A continuacin pasamos a describir de manera detallada cada uno de los procedimientos y equipos que deben interactuar en esta fase de transicin. Procedimientos de concentracin y traslado de material y personas Dependiendo de la solucin final que se decida como estrategia de respaldo, este procedimiento puede variar. Realizaremos una descripcin general de los procedimientos, que podr completarse una vez que se tome una solucin definitiva. Una vez avisados los equipos y puesto en marcha el Plan, debern acudir al centro de reunin. En el caso de que la emergencia se declare en horas de trabajo, se tomar como punto de encuentro los lugares designados en el Plan de Emergencia. Si el incidente ocurre fuera del horario de trabajo, el lugar de reunin ser el designado como centro de respaldo, o cualquier otro designado por el Comit de Direccin de Crisis.
31
Adems del traslado de personas al centro de recuperacin (si es necesario) hay que realizar una importante labor de coordinacin para el traslado de todo el material necesario para poner en marcha el centro de recuperacin (cintas de backup, material de oficina, documentacin, ...)
Procedimientos de puesta en marcha del centro de recuperacin Una vez concentrados los distintos equipos que van a intervenir en la recuperacin, y con todos los elementos necesarios disponibles para comenzar la recuperacin, hay que poner en marcha este centro, estableciendo la infraestructura necesaria, tanto de software como de comunicaciones, etc.
8.2.3 FASE DE RECUPERACIN

Una vez que hemos establecido las bases para comenzar la recuperacin, se proceder a la carga de datos y a la restauracin de los servicios crticos. Este proceso y el anterior suele precisar los mayores esfuerzos e intervenciones para cumplir con los plazos fijados. Podemos dividir esta fase en dos: Procedimientos de Restauracin Procedimientos de Gestin y Soporte
Procedimientos de Restauracin Estos procedimientos se refieren a las acciones que se llevan a cabo para restaurar los sistemas crticos.
Procedimientos de soporte y gestin Una vez restaurados los sistemas hay que comprobar su funcionamiento, realizar un mantenimiento sobre los mismos y protegerlos, de manera que se reanude el negocio con las mximas garantas de xito. Los integrantes del equipo de unidades de negocio sern los encargados de comprobar y verificar el correcto funcionamiento de los procesos.
32
8.2.4 FASE DE VUELTA A LA NORMALIDAD / FIN DE LA EMERGENCIA

Una vez con los procesos crticos en marcha y solventada la contingencia, debemos plantearnos las diferentes estrategias y acciones para recuperar la normalidad total de funcionamiento. Para ello vamos a dividir esta fase en diferentes procedimientos: Anlisis del impacto. Procedimientos de vuelta a la normalidad
Anlisis del impacto El anlisis de impacto pretende realizar una valoracin detallada de los equipos e instalaciones daadas para definir la estrategia de vuelta a la normalidad.
Procedimientos de vuelta a la normalidad Una vez determinado el impacto deben establecerse los mecanismos que en la medida de lo posible lleven a recuperar la normalidad total de funcionamiento. Estas acciones incluyen las necesidades de compra de nuevos equipos, mobiliario, material, etc.
8.2.5 GENERACIN DE INFORMES Y EVALUACIN

Una vez solventado el incidente y vuelto a la normalidad, cada equipo deber realizar un informe de las acciones llevadas a cabo y sobre el cumplimiento de los objetivos del Plan de Continuidad, los tiempos empleados, dificultades con las que se encontraron, etc. Toda esta informacin servir para valorar si el Plan ha funcionado segn lo planeado, as como conocer los posibles fallos, y en su caso, tenerlos en cuenta para la adecuacin del mismo.
33
Gua de Desarrollo de Plan de Continuidad de Negocio Fase IV. Pruebas y Mantenimiento
9. FASE IV. PRUEBAS Y MANTENIMIENTO 9.1 PRUEBAS
9.1.1. OBJETIVOS DEL PLAN DE PRUEBAS

El Plan de Continuidad no se considerar vlido hasta que no se haya superado satisfactoriamente el Plan de Pruebas que asegure la viabilidad de las soluciones adoptadas.
El Plan de Pruebas diseado tiene como objetivos: Evaluar la capacidad de respuesta ante una situacin de desastre que afecte a los recursos de la compaa. Probar la efectividad y los tiempos de respuesta del Plan para comprobar que estn alineados con la definicin realizada en el diseo. Identificar las reas de mejora en el diseo y ejecucin del Plan. Comprobar si los procedimientos desarrollados son adecuados para soportar la recuperacin de las operaciones de negocio. Evaluar si los participantes del ejercicio estn suficientemente familiarizados con la operativa en situacin de contingencia. Concienciacin y formacin para los empleados a travs de la realizacin de pruebas.
9.2 TIPOS DE PRUEBAS Las pruebas de un Plan de Continuidad deben tener dos caractersticas principales: Realismo: La utilidad de las pruebas se reduce con la seleccin de escenarios irreales. Por ello es importante reproducir escenarios que proporcionen un nivel de entrenamiento adecuado a las situaciones de riesgo. Exposicin Mnima: Las pruebas deben disearse de forma que impacten lo menos posible en el negocio, es decir, que si se programa una prueba que
34
suponga una parada de los sistemas de informacin, debe realizarse una ventana de tiempo que impacte lo menos posible para el negocio. En algunos casos puede resultar complicado realizar una prueba completa del Plan de Continuidad de Negocio. Por ello, es necesario desarrollar un programa de pruebas planificado para garantizar que todos los aspectos de los planes y personal se han ensayado durante un perodo de tiempo.
9.2.1 EJERCICIOS TCNICOS

Este tipo de ejercicio requerir la ejecucin de procedimientos de notificacin y operativos, el uso de equipos de hardware, software y posibles centros y mtodos alternativos para asegurar un rendimiento adecuado. Ejemplos de elementos verificados durante un ejercicio de simulacin son: Procedimientos de emergencia. Mtodos alternativos. Lneas de telecomunicaciones de backup. Procedimientos de notificacin Vendedores / Clientes. Capacidad y rendimiento del hardware. Portabilidad del software. Accesibilidad al centro de respaldo. Movilizacin de los equipos de trabajo. Recuperacin de ficheros y documentacin almacenados en lugar externo. Recuperacin de datos.
9.2.2 TEST COMPLETO

Los ejercicios de test son ejercicios planificados que implican la restauracin real de la capacidad de proceso en un centro alternativo. Generalmente, los procesos en produccin no son interrumpidos, pero puede planificarse su restauracin y validacin en el centro alternativo. Normalmente, este tipo de prueba requiere la participacin de toda la organizacin de continuidad del negocio, incluyendo usuarios, personal tcnico y de operaciones.
35
9.3
MANTENIMIENTO DEL PLAN DE CONTINUIDAD
Por la propia dinmica de negocio, se van incorporando nuevas soluciones a los Sistemas de Informacin y los activos informticos van evolucionando para dar respuesta a las necesidades planteadas. La correcta planificacin del mantenimiento del Plan de Continuidad evitar que quede en poco tiempo obsoleto y que en caso de contingencia no pueda dar respuesta a las necesidades.
36
Gua de Desarrollo de Plan de Continuidad de Negocio ANEXOS
ANEXOS
37
Gua de Desarrollo de Plan de Continuidad de Negocio Anexo I Cuadros de Recogida de Datos Anlisis de Impacto
ANEXO I CUADROS DE RECOGIDA DE DATOS ANLISIS DE IMPACTO
CUADRO DE PROCESOS
En este cuadro se recogen los procesos y subprocesos que componen la organizacin donde se va a desarrollar el Plan de Continuidad.
Frecuencia Proceso Subproceso Breve descripcin (Diario/Semanal Mensual) Persona responsable
SISTEMAS QUE SOPORTAN EL PROCESO
En este cuadro se recogen los sistemas que soportan el proceso analizado.
Nombre del Sistema
Tipo de Sistema Descripcin Criticidad (PC/Servidor/ Mainframe)
N de Equipos con la aplicacin
Responsable
Contacto Tcnicos
Rangos de Criticidad:
1 La organizacin/departamento no puede funcionar sin el sistema 2 La organizacin/departamento no puede funcionar parcialmente sin el sistema 3 - La organizacin/departamento puede funcionar sin el sistema
38
RECURSOS HARDWARE DEL PROCESO
En este apartado se recogen los componentes hardware que soportan los procesos.
Tipo de hardware
Detalles del Modelo/Configuracin
Distribuidor
Criticidad
Localizacin
1 La organizacin/departamento no puede funcionar sin el hardware 2 La organizacin/departamento no puede funcionar parcialmente sin el hardware 3 - La organizacin/departamento puede funcionar sin el hardware
OTROS ACTIVOS
En este apartado se recogen todos aquellos activos (comunicaciones, datos, infraestructura, etc.), que forman parte del proceso y que son necesarios para dar continuidad al mismo en caso de interrupcin.
Descripcin
Tipo
Criticidad
Localizacin
1 La organizacin/departamento no puede funcionar sin el activo 2 La organizacin/departamento no puede funcionar parcialmente sin el activo 3 - La organizacin/departamento puede funcionar sin el activo
39
TIEMPO MXIMO DE INTERRUPCIN
Para cada uno de los procesos, se determinar el tiempo mximo de interrupcin, especificando cuntos das puede permanecer el proceso sin incurrir en prdidas econmicas graves.
Proceso
Necesidades de Recuperacin
Criticidad
Necesidad de Recuperacin: Da 0 : Recuperacin inmediata Da 1-7: El proceso debe ser recuperado entre el primer y el quinto da despus de un incidente. Da 730: El proceso debe ser recuperado despus de la primera semana y antes de un mes. Ms 30 das: El proceso pude esperar ms de 30 das a ser recuperado.
40
Gua de Desarrollo de Plan de Continuidad de Negocio ANEXO II - Listado de Amenazas
ANEXO II - LISTADO DE AMENAZAS
AMENAZAS
DESASTRES NATURALES Huracanes Inundaciones Incendios DAOS ACCIDENTALES Fuego fortuito Inundaciones Fallo del aire acondicionado Exceso de humedad Humo, gases txicos Subida de tensin Fallo de suministro elctrico Fallo de la UPS Accidentes del personal Capacidad inadecuada de las comunicaciones Fallo/degradacin del hardware Fallo/degradacin de las comunicaciones Errores de operacin Fallos en las copias de seguridad Fallos de los sistemas de autenticacin/autorizacin Prdida de confidencialidad Incumplimientos legales ATAQUES INTENCIONADOS Explosivos Fuego intencionado Accesos no autorizados al edificio Actos de vandalismo Radiaciones electromagnticas Robos intencionados Manipulacin de datos/software Manipulacin de hardware Uso de software por personal no autorizado Acceso no autorizados a datos de la compaa Software malicioso Robo de equipos Robo de documentos
41
Gua de Desarrollo de Plan de Continuidad de Negocio ANEXO II - Listado de Amenazas
Robo de software Descarga de software no controlada Interceptacin de las lneas de comunicacin Manipulacin de las lneas de comunicacin Abuso de privilegios de acceso Introduccin de virus en los sistemas Troyanos Ataques por ingeniera social Bombas lgicas Ataques de denegacin de servicio Errores intencionados Copias incontroladas de documentos/software/datos Errores en el mantenimiento Corrupcin de datos Incumplimientos legales intencionados
42
Gua de Desarrollo de Plan de Continuidad de Negocio ANEXO III Ejemplos de Vulnerabilidades
ANEXO III EJEMPLOS DE VULNERABILIDADES
VULNERABILIDADES
Existencia de materiales inflamables como papel o cajas Cableado inapropiado Ancho de banda inapropiado Suministro elctrico inapropiado Mantenimiento inapropiado del servicio tcnico Ausencia de mantenimiento Educacin inadecuada del personal en virus y malware Polticas de firewall inadecuadas Poltica de seguridad de la informacin inadecuada Ausencia de poltica de seguridad Derechos de acceso incorrectos Ausencia de un sistema de extincin automtica de fuegos/humos Ausencia de backup Ausencia de control de cambios de configuracin eficiente y efectiva Ausencia de mecanismos de identificacin y autenticacin Ausencia de poltica de restriccin de personal para uso licencias de software Ubicacin fsica en un rea susceptible de desastres naturales Carencia de software antivirus Descarga incontrolada y uso de software de Internet Ausencia de mecanismos de cifrado de datos para la transmisin de datos confidenciales Proteccin fsica de equipos inadecuada Personal sin formacin adecuada Incumplimientos legales (LOPD, Ley Sarbanes Oxley, etc.) Definicin de privilegios de acceso inadecuada Ausencia de un Plan de recuperacin de incidentes
43
Gua de Desarrollo de Plan de Continuidad de Negocio Anexo IV Ejemplo rbol de Llamadas
ANEXO IV EJEMPLO RBOL DE LLAMADAS
Comit de Crisis
Comit de Direccin
Equipo de Recuperacin
Equipo de Coordinacin Logstica
Equipo de Seguridad
Equipo de Relaciones Pblicas
Equipo de Unidades de Negocio
44
Gua de Desarrollo de Plan de Continuidad de Negocio Anexo V Sitios de Inters
ANEXO V SITIOS DE INTERS
http://www.contingencyplanning.com/ - Revista de Continuidad de Negocio http://www.globalcontinuity.com/ - Portal de Business Continuity Plan http://www.thebci.org/pas56.htm - Business Continuity Institute http://www.disaster-recovery-guide.com/ - Informacin y guas sobre Continuidad http://www.nist.org/ - Mejores prcticas en Seguridad Informtica http://www.iss.net/ - Base de datos de vulnerabilidades X-Force http://nvd.nist.gov/ - Base de datos de vulnerabilidades del NIST http://www.securityfocus.com/ - Base de datos de vulnerabilidades http://www-5.ibm.com/services/es/portfolios/recuperacion.html - Proveedor de Servicios de Continuidad de Negocio http://h20219.www2.hp.com/services/cache/9270-0-0-197-470.html Proveedor de Servicios de Continuidad de Negocio
45
Gua de Desarrollo de Plan de Continuidad de Negocio
CASO DE ESTUDIO
46
Gua de Desarrollo de Plan de Continuidad de Negocio Caso de Estudio
CASO DE ESTUDIO ANTECEDENTES

Zapasol S.A. es una compaa que fabrica zapatos con materiales reciclados. Zapasol S.A. cuenta actualmente con 80 empleados, repartidos en dos plantas de fabricacin, una en Valencia y otra en Albacete distante 200 kilmetros. El xito de venta de este tipo de zapatos les ha llevado a mercados internacionales, importando a ms de 20 pases. Dentro de la propia fbrica cuentan con un pequeo departamento de informtica formado por 4 empleados que se encargan de la gestin de todo lo relacionado con comunicaciones, software, hardware, bases de datos. Este departamento y su centro de proceso de datos se encuentran en Valencia.
El rpido desarrollo y expansin de esta compaa ha resultado en un crecimiento tecnolgico importante en los procesos de soporte, tales como facturacin, nminas, atencin al cliente, etc. Sin embargo, las medidas de seguridad no han acompaado de igual forma a este crecimiento. A continuacin se describe brevemente cul es la situacin actual en cuanto a seguridad de la compaa: No existe una poltica de seguridad en la compaa. Slo hay antivirus en algunos equipos, en otro no se ha instalado. No se realizan copias de seguridad de la informacin. Existe control de acceso a los equipos, pero los usuarios comparten contraseas. Los servidores se encuentran en una sala sin ninguna medida de proteccin fsica. .
Como parte de los proyectos a acometer durante el ao 2007, el Director de Informtica de Zapasol S.A. ha propuesto la realizacin de un Plan de Continuidad de Negocio, para configurar una estrategia de recuperacin ante cualquier evento grave que haga peligrar el negocio de la empresa.
47
ANLISIS DE IMPACTO
Para desarrollar este Plan, el director de informtica ha encargado a Luis (otro de los empleados del departamento de informtica) que realice un inventario de los procesos crticos de la compaa, estableciendo los tiempos de recuperacin de los mismos, antes de incurrir en prdidas graves. Para ello, Luis se ha entrevistado con los responsables de los procesos obteniendo la siguiente informacin:
Frecuencia Proceso Subproceso Breve descripcin (Diario/Semanal Mensual)

Pedidos -Se encarga de recibir todos los pedidos de los distintos clientes y de gestionar su envo en los plazos y condiciones establecidas Recogida y Gestin de incidentes Seleccin y formacin del personal de la compaa Generacin y Pago de las Nminas de los empleados Control y Gestin del stock de zapatos en los almacenes Diario Ins Burgos
Responsable
Atencin al Cliente Recursos Humanos Nminas
---
Diario
ngela Cano
--
Segn necesidad Mensual
Marta lvarez
--
Laura Cuesta
Stock
---
Diario
Antonio Romero
Nota: Para el ejemplo slo se toman dos procesos de muestra (Pedidos y Nminas)
COMPONENTES DE LOS PROCESOS

A continuacin se describen cada uno de los componentes Hardware, Software, Comunicaciones, etc., que conforman los procesos definidos en Zapasol S.A.
PROCESO PEDIDOS
Sistemas del proceso de Pedidos:
48
Nombre del Sistema

Correo Electrnico Gestin Pedidos
Descripcin
Criticidad
Tipo de Sistema (PC/Servidor/ Mainframe)

Servidor de Correo

4
Responsable
Contacto Tcnicos
----
---
Aplicacin para la Gestin de pedidos
----
Hardware del proceso de Pedidos:
Tipo de Hardware
Servidor de Correo

PowerEdgeTM 1900 Servidor en torre de ncleo cudruple con 2 sockets Procesador Intel CoreTM 2 Duo E6000 Chipset Q965 ICH8DO compatible con Active Management Technology (iAMT 2.1) de Intel Solucin LAN Gigabit Ethernet de Intel
Distribuidor
Dell
Criticidad
3
Localizacin
Centro proceso datos Valencia
PCs
Dell
Centros de Valencia y Albacete
Servidor de Aplicaciones
PowerEdgeTM 2900 Servidor en torre de ncleo cudruple con 2 sockets
Dell
Otros Activos del proceso:
Descripcin
Lnea RDSI comunicaciones de
Tipo
Comunicaciones
Criticidad
1
Localizacin
Centros de trabajo
49
Impresoras Centralita de Comunicaciones
Hardware Comunicaciones
2 3
Centros de trabajo Centros de trabajo
PROCESO DE NMINAS
Sistemas del proceso de Nminas:
Nombre del Sistema

Aplicacin Nminas
Descripcin
Criticidad
3
Tipo de Sistema (PC/Servidor/ Mainframe)

Servidor / PCs

3
Responsable
Laura Cuesta
Contacto Tcnicos
-----
Programa que se encarga de realizar el clculo de las nminas Sistema Operativo
Windows
PCs
20
Angel Perez
Soporte Windows
Hardware del proceso de Nminas:
Tipo de Hardware
Servidor de aplicaciones

PowerEdgeTM 1900 Servidor en torre de ncleo cudruple con 2 sockets Procesador Intel CoreTM 2 Duo E6000 Chipset Q965 ICH8DO compatible con Active Management Technology (iAMT 2.1) de Intel Solucin LAN Gigabit Ethernet de Intel
Distribuidor
Dell
Criticidad
2
Localizacin
PCs
Dell
Centros de Valencia y Albacete
50
Otros Activos del proceso
Descripcin
Impresoras
Tipo
Hardware
Criticidad
2
Localizacin
Centros de trabajo
51
TIEMPO MXIMO DE RECUPERACIN DE LOS PROCESOS

En 2-3 das
Proceso
PEDIDOS
Criticidad
1
El proceso de Pedidos es clave para la organizacin, ya que si no se pueden gestionar los pedidos de los clientes la empresa no puede dar servicio y por lo tanto incurrir rpidamente en prdidas. Por ello es importante que este proceso se recupere lo antes posible.
Proceso
NOMINAS
En 15-30 das
Criticidad
3
Aunque el proceso de Nminas es importante, la compaa puede esperar semanas a que se restablezca y crear procedimientos alternativos como por ejemplo, repetir el ltimo pago de nmina a los trabajadores y realizar las compensaciones correspondientes, cuando estn disponibles de nuevo los sistemas.
52
ANLISIS DE RIESGOS
Una parte importante dentro del desarrollo del Plan de Continuidad es el Anlisis de Riesgos. Este anlisis permitir a la compaa conocer sus riesgos y gestionarlos de forma adecuada.
Existen diferentes metodologas de riesgo (NIST, MAGERIT, OCTAVE, etc.) que pueden aplicarse para realizar el Anlisis de Riesgos. Para el ejemplo realizaremos un anlisis con un enfoque general, sin entrar en metodologas concretas ni valoraciones de los activos.
Tomando como ejemplo el inventario de los procesos descritos y las premisas descritas en la presentacin de la compaa, elaboraremos el Anlisis de Riesgos.
INVENTARIO DE ACTIVOS
Activo/Descripcin
SERVIDOR DE APLICACIOMES Hardware
Tipo
Propietaro
----
Localizacin
Centro de Proceso de datos Servidores y PCs Base de datos
Valor
MEDIO
APLICACIN DE PEDIDOS INFORMACIN CLIENTES IMPRESORAS
Aplicacin
----
MEDIO
Informacin
----
ALTO
Hardware
----
Centros de Albacete y Valencia Centros de Albacete y Valencia
BAJO
REDES DE COMUNICACIONES
Comunicaciones
----
BAJO
LISTADO DE AMENAZAS
Del listado de Amenazas marcamos las que pueden afectar la compaa en su situacin actual.
53
AMENAZAS
DESASTRES NATURALES Inundaciones Incendios DAOS ACCIDENTALES Fuego fortuito Inundaciones Fallo de suministro elctrico Prdida de confidencialidad Incumplimientos legales ATAQUES INTENCIONADOS Accesos no autorizados al edificio Accesos no autorizados a datos de la compaa Actos de vandalismo Robo de equipos Robo de datos / documentos
POSIBLE
x x
x x x x x
x x x x x
VULNERABILIDADES
Tomando como base los objetivos de seguridad de la ISO 17799 y en funcin de las Amenazas que hemos marcado como posibles, establecemos los escenarios en que una amenaza puede convertirse en un incidente de seguridad.
ESCENARIOS
1. Inundacin del Centro de Proceso de Datos 2. Fallos del Suministro Elctrico.
NIVEL DE PROTECCIN
El centro est situado en un terreno alto? Existen Unidades de Suministro Elctrico Alternativo (UPS)?
RESPUESTA
NO
NO
54
3. Prdida de informacin clave de la compaa. 4. Accesos no autorizados al edificio 5. Robo de datos
Se realizan copias de seguridad de los datos peridicamente? Existe un control de acceso fsico a los edificios de la compaa? Existe una clasificacin de la informacin adecuada al nivel de confidencialidad de los datos? Estn los equipos protegidos por un antivirus?
No peridicamente
NO
NO
6. Prdida de servicios por infeccin de virus
NO
EVALUACIN DE RIESGOS
DESCRIPCIN
Terremotos Prdida del servicio por fallos en la alimentacin elctrica Accesos no autorizados al edificio Robo de informacin confidencial compaa Prdida de informacin crtica de la compaa
PROBAB
BAJA ALTA BAJA ALTA ALTA
IMPACTO
MEDIO MEDIO ALTO ALTO ALTO
RIESGO
BAJO ALTO MEDIO ALTO ALTO
RECOMENDACIONES - CONTRAMEDIDAS
Para gestionar los riesgos detectados y mitigarlos en la medida de lo posible, se propone la puesta en marcha de las siguientes contramedidas: Realizar copias de seguridad peridicamente. Controlar el acceso a la informacin estableciendo mecanismos de autenticacin. Establecer un control de acceso fsico al lugar donde se encuentran los equipos con informacin clave para la compaa. Establecer detectores de humo y alarmas de fuego. Instalar antivirus en todos los equipos de la compaa.
o o o o o
55
ESTRATEGIA DE RECUPERACIN
Una vez que se ha realizado la gestin de los riesgos detectados, se debe seleccionar una estrategia de recuperacin de negocio que asegure la continuidad de los procesos que hemos considerado crticos en el Anlisis de Impacto. De las alternativas existentes y dado que la opcin de subcontratar espacios y soporte a terceros resultara muy cara para Zapasol S.A., la solucin ms adecuada sera utilizar el centro de Albacete con alternativa en caso de incidencia grave. De esta forma Zapasol S.A. podra seguir dando servicio a sus clientes, sin que el impacto de un incidente tuviera consecuencias catastrficas para la compaa. Para ello, podrn utilizarse en primera instancia los equipos que se utilizan en este centro, de forma que se reaproveche la inversin. Para que estos equipos sean vlidos ser necesario equipar la infraestructura del centro de trabajo de Albacete con algunos elementos extras (incremento de memoria, capacidad de disco, etc.).
56
DESARROLLO DEL PLAN

Una vez que se ha seleccionado la estrategia de continuidad, se puede comenzar a construir el Plan de Continuidad definiendo la estructura y composicin de los equipos y las acciones de cada uno de ellos. Dado que Zapasol S.A., es una empresa de tamao medio, reduciremos el nmero de equipos y su composicin, que sern necesarios en caso de activacin del Plan de Continuidad.
COMIT DE CRISIS
Listado de Integrantes del Comit.
Responsable del Comit
Nombre: Rodolfo Prez Posicin: Director General Telfono Mvil: XXXXXXX Telfono Casa: XXXXXXX
Miembros del Comit
Nombre: Arturo Caas Posicin: Director Fbrica Telfono Mvil: XXXXXXX Telfono Casa: XXXXXXX
Nombre: Luis Jimnez Posicin: Director Informtica Telfono Mvil: XXXXXXX Telfono Casa: XXXXXXX
Nombre: Marta lvarez Posicin: Directora de RRHH Telfono Mvil: XXXXXXX Telfono Casa: XXXXXXX
Lugar de Reunin: Casa del Director General sita en calle Carmelo 25 de Valencia.
Una vez que se comunica un incidente, el Comit de Crisis debe reunirse y tomar decisiones para afrontar la situacin. Deben estar continuamente informados de
57
la situacin y determinar si es necesario iniciar el Plan de Continuidad. En este caso, se comunicar a los responsables de los equipos del comienzo de las actividades que llevarn a restablecer los servicios en el centro de Albacete.
EQUIPO DE RECUPERACIN
El equipo de recuperacin es el encargado de poner en marcha todo el proceso de recuperacin para restaurar los servicios en el Centro de Albacete. Para ello realizarn las siguientes actividades: Se trasladarn en coche desde Valencia al Centro de Albacete. Pondrn en marcha por orden de criticidad los sistemas: Pedidos, Facturacin, Correo, Nminas, etc. Para la puesta en marcha de los sistemas, se tomar la ltima copia de seguridad de los sistemas que semanalmente se manda desde el Centro de Valencia a Albacete. En primera instancia se reutilizarn los equipos del centro de Albacete para iniciar los servicios. Se contactar con la persona responsable de logstica para que solicite a los proveedores todos los equipos necesarios en los plazos acordados (durante el desarrollo del plan), sirvan todo el material necesario (servidores, PCs, impresoras, etc.) y que no se ha podido salvar del Centro de Valencia. Una vez que se vayan restaurando los servicios, debe comprobarse su operatividad.
Punto de Reunin: Centro de Trabajo de Valencia. Si no es posible reunirse en el Centro de Valencia porque los daos sean cuantiosos, se tomar como punto de reunin el polideportivo Deporte y Salud, situado a 500 metros del centro de trabajo y con quienes se ha firmado un acuerdo de colaboracin.
58
Listado de Integrantes del Equipo de Recuperacin
Integrantes del Equipo
Nombre: Federico Alonso Posicin: Responsable de Sistemas Telfono Mvil: XXXXXXX Telfono Casa: XXXXXXX
Nombre: Alba Gonzlez Posicin: Tcnico Informtico Telfono Mvil: XXXXXXX Telfono Casa: XXXXXXX
Nombre: Alberto Prez Posicin: Tcnico Informtico Telfono Mvil: XXXXXXX Telfono Casa: XXXXXXX
EQUIPO DE COORDINACIN LOGSTICA

El equipo de coordinacin logstica es responsable de todo lo relacionado con las necesidades logsticas. En funcin del tipo de incidente se encargar de: Atender las necesidades logsticas de primera instancia tras contingencia. (Transporte de personas, transporte de materiales, etc.) la
Contactar con los proveedores para solicitar el material necesario que indiquen los responsables de la recuperacin. Reservar habitaciones de hotel en Albacete para las personas que se desplacen a este Centro. Gestionar el suministro de comida al personal involucrado.
Listado de Proveedores
59
DELL
Persona de Contacto: ngel Nez Telfono Contacto: xxxxxx
HP
Persona de Contacto: Felipe Mndez Telfono Contacto: xxxxxxx
FUJIJTSU
Persona de Contacto: Laura Prez Telfono Contacto: xxxxxx
Listado de Integrantes del Equipo de Coordinacin Logstica
Nombre: Daniela Gmez Posicin: Tcnico de RRHH Telfono Mvil: XXXXXXX Telfono Casa: XXXXXXX
Nombre: David Lpez Posicin: Administrativo Telfono Mvil: XXXXXXX Telfono Casa: XXXXXXX
EQUIPO DE RELACIONES PBLICAS

El equipo de Relaciones Pblicas es responsable de ser la voz de la empresa en el contexto de la contingencia. Las tareas a realizar sern: Si el tipo de incidente lo requiere, emitir un comunicado oficial a clientes y proveedores en el que se indique que se restablecern los servicios lo antes posible. Atender a los clientes para proporcionarles informacin sobre el incidente y tranquilizarles lo mximo posible.
60
Listado de Integrantes del Equipo de Relaciones Pblicas
Nombre: Juan Carlos Bono Posicin: Tcnico Comercial Telfono Mvil: XXXXXXX Telfono Casa: XXXXXXX
Nombre: ngela Cano Posicin: Atencin al Cliente Telfono Mvil: XXXXXXX Telfono Casa: XXXXXXX
EQUIPO DE LAS UNIDADES DE NEGOCIO

Estos equipos estarn formados por las personas que trabajan con las aplicaciones crticas, y sern los encargados de realizar las pruebas de funcionamiento para verificar la operatividad de los sistemas.
Nombre: Ins Burgos Posicin: Responsable Pedidos Telfono Mvil: XXXXXXX Telfono Casa: XXXXXXX
Nombre: ngela Cano Posicin: Atencin al Cliente Telfono Mvil: XXXXXXX Telfono Casa: XXXXXXX
Nombre: Marta lvarez Posicin: RRHH Telfono Mvil: XXXXXXX Telfono Casa: XXXXXXX ..
61
FASE DE ALERTA PROCEDIMIENTO DE NOTIFICACIN DEL DESASTRE

Cualquier empleado de Zapasol S.A. que sea consciente de un incidente grave que pueda afectar a la empresa, debe comunicarlo al Jefe de Seguridad de la Planta proporcionando el mayor detalle posible en la descripcin de los hechos. El Jefe de Seguridad debe evaluar la situacin e informar al Responsable del Comit de Crisis, que en este caso coincide con la figura del Director General.
PROCEDIMIENTO DE EJECUCIN DEL PLAN

El Comit de Crisis reunido en el punto de encuentro evaluar la situacin. Con toda la informacin de detalle sobre el incidente, se decidir si se activa o no el Plan de Continuidad de Negocio. En caso afirmativo, se iniciar el procedimiento de ejecucin del Plan. En el caso de que el Comit decidida no activar el Plan de Continuidad porque la gravedad del incidente no lo requiere, s ser necesario gestionar el incidente para que no aumente su gravedad.
PROCEDIMIENTO DE NOTIFICACIN DE EJECUCIN DEL PLAN

Activar el rbol de llamadas para avisar a los integrantes de los diferentes equipos que van a participar en el Plan.
62
Comit de Crisis
Equipo de Coordinacin Logstica
Equipo de Relaciones Pblicas
63
FASE DE TRANSICIN PROCEDIMIENTO DE CONCENTRACIN Y TRASLADO DE MATERIAL Y PERSONAS

Una vez avisados los equipos y puesto en marcha el Plan, debern acudir al centro de reunin indicado. Adems del traslado de personas al Centro de Albacete hay que trasladar todo el material necesario para poner en marcha el centro de recuperacin (cintas de backup, material de oficina, documentacin, ...). Esta labor queda en manos del equipo logstico.
PROCEDIMIENTO DE PUESTA EN MARCHA DEL CENTRO DE RECUPERACIN

Una vez que el equipo de recuperacin llegue al Centro de Albacete y que los materiales empiecen a llegar, pueden comenzar a instalar las aplicaciones en los equipos que se encuentran en esta oficina. El equipo de recuperacin solicitar al equipo de logstica cualquier tipo de material extra que fuera necesario para la recuperacin.
64
FASE DE RECUPERACIN PROCEDIMIENTO DE RESTAURACIN

El orden de recuperacin de las funciones se realizar segn la criticidad los sistemas: Pedidos, Facturacin, Correo, Nminas. Los dos primeros sistemas deben recuperarse lo antes posible, en las 48 horas siguientes. Los dems sistemas pueden esperar a recuperarse despus de Pedidos y Facturacin. Nota: En este apartado deber indicarse recuperacin de cada uno de los sistemas. el procedimiento concreto de
PROCEDIMIENTO DE SOPORTE Y GESTIN

Una vez recuperados los sistemas, se avisar a los equipos de los departamentos que gestionan los sistemas (listado del equipo de Unidades de Negocio) para que realicen las comprobaciones necesarias que certifiquen que funcionen de manera correcta y pueda continuarse dando el servicio. Adems el Equipo de Seguridad deber comprobar que existen las garantas de seguridad necesarias (confidencialidad, integridad, disponibilidad) antes de dar por terminada la fase de recuperacin.
Comit de Crisis
65
FASE DE VUELTA A LA NORMALIDAD

Una vez con los procesos crticos en marcha y solventada la contingencia, hay que plantearse las diferentes estrategias y acciones para recuperar la normalidad total de funcionamiento.
ANLISIS DEL IMPACTO

Es el momento de realizar una valoracin detallada de los equipos e instalaciones daadas para definir la estrategia de vuelta a la normalidad. Para ello, el equipo de recuperacin junto con el equipo de seguridad, realizarn un listado de los elementos que han sido daados gravemente y son irrecuperables, as como de todo el material que se puede volver a utilizar. Esta evaluacin deber ser comunicada lo antes posible al equipo director para que determinen las acciones necesarias que lleven a la operacin habitual lo antes posible.
ADQUISICIN DE NUEVO MATERIAL

Una vez realizada la evaluacin del impacto, se determinar la necesidad de nuevo material. El Comit de Crisis contactar con el seguro de la compaa para conocer qu parte cubre el seguro (dependiendo del tipo de pliza contratada por Zapasol S.A.) y qu inversin tendr que hacer la compaa en el material que no se pueda recuperar. Contactar con los proveedores para que en el menor tiempo posible repongan todos los elementos daados.
FIN DE LA CONTINGENCIA
Dependiendo de la gravedad del incidente, la vuelta a la normalidad de operacin puede variar entre unos das (si no hay elementos clave afectados) e incluso meses (si hay elementos clave afectados). Lo importante es que durante el transcurso de este tiempo de vuelta a la normalidad, se siga dando servicio a los clientes y trabajadores por parte de la compaa y que la incidencia afecte lo menos posible al negocio.
66
CONCLUSIONES
La diferencia para Zapasol S.A. entre tener y no tener un Plan de Continuidad, puede suponer que la compaa pueda desaparecer en caso de un incidente grave que perjudique sus principales procesos. Por ello, como parte de la gestin de seguridad, Zapasol S.A. ha considerado como prioritario desarrollar un Plan de Continuidad para estar preparados ante cualquier incidente.
67
Gua de Desarrollo de Plan de Continuidad de Negocio Bibliografa
BIBLIOGRAFA
Good Practice Guidelines The Business Continuity Institute http://www.thebci.org/ http://www.contingencyplanning.com/ http://www.globalcontinuity.com/ http://www.nfpa.org Revista de Seguridad SIC Norma Internacional ISO/IEC 17799:2002 NIST - http://www.nist.org/ -SP 800-30 Risk Management Guide for IT Systems Metodologa de Anlisis de Riesgos OCTAVE - www.cert.org/octave/ Metodologa de Anlisis de Riesgos MAGERITwww.csi.map.es/csi/pdf/magerit.pdf Business Continuity Plan (BCP) Format Guide - Centers for Disease Control and Prevention http://www.disaster-recovery-guide.com/ http://www.businesscontinuityjournal.com http://www.ccep.ca/ http://www.businesscontingency.com/ http://www.contingency-planning-disaster-recovery-guide.co.uk/ http://www.drii.org/ http://www.gartner.com/ BS 25999 - 'Specification for Business Continuity Management'
68

Guia Desarrollo Plan Continuidad Negocio

Cargado por

Información del documento

Título original

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Guia Desarrollo Plan Continuidad Negocio

Cargado por

Copyright:

Formatos disponibles

Escuela Universitaria de Informtica Universidad Politcnica de Madrid

Gua de Desarrollo de un Plan de Continuidad de Negocio

BREVE CURRICULUM VITAE DE LA AUTORA (diciembre de 2008)

NOTA DEL DIRECTOR DE TESIS

Gua de Desarrollo de Plan de Continuidad de Negocio ndice

Gua de Desarrollo de Plan de Continuidad de Negocio ndice

ANLISIS DE RIESGOS ................................................................................................... 14

FASE II. ESTRATEGIA DE RESPALDO ............................................................................ 22 SELECCIN DE ESTRATEGIAS ........................................................................................ 22

8.1.1 8.1.2 8.1.3 8.1.4 8.1.5 8.2 8.2.1 8.2.2

DESARROLLO DE PROCEDIMIENTOS ............................................................................ 28

Gua de Desarrollo de Plan de Continuidad de Negocio ndice

8.2.3 8.2.4 8.2.5 9.

9.1.1. OBJETIVOS DEL PLAN DE PRUEBAS ...................................................................................... 34 9.2.1. 9.2.2. 9.3

MANTENIMIENTO DEL PLAN DE CONTINUIDAD ............................................................ 36

Gua de Desarrollo de Plan de Continuidad de Negocio ndice

Gua de Desarrollo de Plan de Continuidad de Negocio Introduccin

Gua de Desarrollo de Plan de Continuidad de Negocio Objeto de la Gua

Gua de Desarrollo de Plan de Continuidad de Negocio Antecedentes

Gua de Desarrollo de Plan de Continuidad de Negocio Antecedentes

Fuente: Cmara de Comercio de Londres

Gua de Desarrollo de Plan de Continuidad de Negocio Qu es un Plan de Continuidad de Negocio?

4. QU ES UN PLAN DE CONTINUIDAD DE NEGOCIO?

Gua de Desarrollo de Plan de Continuidad de Negocio Qu es un Plan de Continuidad de Negocio?

Fomenta e implica a los recursos humanos de la compaa en las actividades de continuidad.

Gua de Desarrollo de Plan de Continuidad de Negocio Por Dnde Empezamos?

5. POR DNDE EMPEZAMOS

Figura 1. Diagrama de Fases del Plan de Continuidad

Gua de Desarrollo de Plan de Continuidad de Negocio Por Dnde Empezamos?

6. FASE I. ANLISIS DEL NEGOCIO Y EVALUACIN DE RIESGOS

6.1 ANLISIS DE IMPACTO

6.1.1 RELACIN DE PROCESOS

6.1.2 RELACIN DE APLICACIONES

6.1.3 RELACIN DE DEPARTAMENTOS Y USUARIOS

6.1.4 DETERMINAR LOS PROCESOS CRTICOS

6.1.5 PERIODO MXIMO DE INTERRUPCIN

TIEMPO MXIMO DE INTERRUPCIN

TIEMPO DE RECUPERACIN OBJETIVO Figura 2. Tiempos de Recuperacin

PERDIDAS ECOMICAS GRAVES

ESQUEMA DEL ANLISIS DE RIESGOS

Figura 3. Esquema Anlisis de Riesgos

Existen diferentes metodologas de Anlisis de Riesgos:

MARION OCTAVE MAGERIT

6.2.1 IDENTIFICAR ACTIVOS

Figura 4. Componentes del Anlisis de Riesgos

6.2.2 IDENTIFICAR AMENAZAS

Figura 5. Clasificacin General de Amenazas

6.2.3 EVALUAR VULNERABILIDADES

Estn los dispositivos de almacenamiento protegidos y controlados de forma adecuada?

3. Robo de datos mediante accesos no autorizados.

Existen perfiles adecuados de acceso a los datos?

6.2.4 EVALUACIN DEL IMPACTO

6.2.5 EVALUACIN DEL RIESGO

A modo de ejemplo se muestra la siguiente tabla:

RIESGO BAJO BAJO

RIESGO BAJO MEDIO

RIESGO MEDIO ALTO

PROBAB BAJA ALTA BAJA ALTA

IMPACTO MEDIO MEDIO ALTO ALTO

RIESGO BAJO ALTO MEDIO ALTO

6.2.6 EVALUAR CONTRAMEDIDAS

Gua de Desarrollo de Plan de Continuidad de Negocio FASE II. Estrategia de Respaldo

7. FASE II. ESTRATEGIA DE RESPALDO

Gua de Desarrollo de Plan de Continuidad de Negocio FASE II. Estrategia de Respaldo