View
216
Download
0
Category
Preview:
Citation preview
Continuidad de Servicios
Eduardo Lobos
La Continuidad de Servicios
BCP – El Plan de Continuidad del Negocio es una metodología usada para crear planes de cómo una organización debe recuperar y restaurar sus funciones críticas, que han sido interrumpidas, dentro de un tiempo predeterminado
El establecimiento de procedimientos y medidas de seguridad están destinados a salvaguardar las unidades administrativa y operacional
DRP – Plan de recuperación ante desastres es un proceso de recuperación que cubre los datos, el hardware y el software crítico, para que un negocio pueda comenzar de nuevo sus operaciones en caso de un desastre natural o causado por humanos.
Planificar la continuidad
Restablecer las operaciones de TI y de negocio, ante eventos que pudieran interrumpir la habilidad de lograr sus objetivos estratégicos
Planes de continuidad
Para implementar el Plan de Continuidad es necesario identificar aquellos procesos que han sido definidos como críticos para el negocio; los recursos que facilitan su operación, entender los riesgos e impactos por eventuales interrupciones, definir estrategias y planes de recuperación, entrenar a las personas involucradas, realizar ejercicios de prueba y mantener actualizados los planes y procedimientos
• Líneas de Negocio• Productos y Servicios críticos
Conocer y entender el
negocio• Recursos críticos – Amenazas – Vulnerabilidades
Análisis de Impacto
(identificando riesgos)
• Planes a largo y corto plazo para asegurar consistencia
Estrategia de mitigación de
riesgos• Procedimientos y guías para minimizar los requerimientos de continuidad
Desarrollo de respuestas
• Evaluación de resultado de las pruebas, implementar un plan de acción de acuerdo con los resultados
Pruebas y simulación
• Sesiones de entrenamiento sobre procedimientos y roles que participan en caso de un desastre
Entrenamiento
Etapas de Planificación para la recuperación
Conocer y entender el negocio
Entender el contexto en el que opera el negocio
Entender los productos y servicios críticos que genera y proporciona la organización (sus objetivos)
Entender con que barreras o interrupciones se puede encontrar el negocio a la hora de generar y ofrecer esos productos y servicios críticos
Entender como la organización continuará con su actividad (objetivos) una vez ha ocurrido la interrupción
Recursos Críticos de TI
Durante el diseño del plan de continuidad se identifican los aplicativos, servicios de terceros, sistemas operativos, personal, insumos, archivos de datos que resultan críticos así como los tiempos necesarios para la recuperación después de que se presenta un desastre
Los datos y las operaciones críticas deben ser identificadas, documentadas, priorizadas y aprobadas por los dueños de los procesos del negocio, en cooperación con la Gerencia de Sistemas
Los costos se deben mantener en niveles aceptables, considerando requerimientos regulatorios y contractuales
Considerar requerimientos para lapsos diferentes: 1 a 4 horas, 4 a 24 horas, más de 24 horas y períodos operacionales críticos
Análisis de impacto al negocio (BIA)
El análisis de impacto al negocio tiene como objetivo identificar, cuantificar y calificar como se ve afectado el negocio por pérdida o interrupción de las operaciones y provee la información con base en la cual se determinan las estrategias de recuperación mas apropiadas
Evaluación de riesgos e identificación de controles
Identificar y evaluar riesgos relacionados a la continuidad de las operaciones; esto es, la probabilidad y el impacto de una variedad de amenazas que pudieran ocasionar interrupciones a dichos servicios
Posteriormente se priorizan los riesgos y se determinan medidas a implementar para mitigarlos
Almacenamiento de respaldo en sitio alterno
El almacenamiento externo de copias de respaldo, documentación y otros recursos de TI, catalogados como críticos, debe ser establecido para soportar los planes de recuperación y continuidad de negocio.
La instalación de almacenamiento externo debe contar con medidas ambientales apropiadas para los medios y otros recursos almacenados; y debe tener un nivel de seguridad suficiente, que permita proteger los recursos de respaldo contra accesos no autorizados, robo o daño.
Los acuerdos/contratos del sitio alterno deben ser periódicamente analizados, al menos una vez al año, para garantizar que ofrezca seguridad y protección ambiental
Desarrollo de estrategias de recuperación
Se establecen y seleccionan los métodos de operación alternativos a ser utilizados después de una interrupción para mantener los procesos y servicios críticos del negocio y sus dependencias, tanto internas como externas, con base en las prioridades y tiempos establecidos en el BIA
Desarrollo de planes con los procedimientos a seguir para la recuperación de las operaciones críticas posterior a un evento de desastre que interrumpa la continuidad del negocio. Los planes a desarrollar deben soportar las estrategias de recuperación seleccionadas
También contempla el desarrollo de planes de restauración (regreso a la operación normal) una vez restablecidos el sitio y los recursos de operación primarios
Recuperación y reanudación de servicios
Planear las acciones a tomar para el período en el que TI recupera y reanuda servicios, incluyendo:
– Activación de contingencia– Inicio de procesamiento alternativo– Comunicación con clientes e interesados– Procedimientos de reanudación
Asegurar que la compañía entiende los tiempos de recuperación de TI y las inversiones de tecnología necesarias para soportar las necesidades de recuperación y reanudación
Pruebas y simulación
Desarrollo del plan de pruebas y ejercicios de los planes de recuperación considerando los diferentes tipos:
– Pruebas simuladas
– Pruebas en producción (parciales o completas)
Procedimiento de afinamiento del Plan deContinuidad
Dada una exitosa reanudación de la función de TI después de un desastre, la gerencia de TI deberá establecer procedimientos para evaluar lo adecuado del plan y actualizarlo de acuerdo con los resultados de dicha evaluación
Distribución del Plan de Continuidad de TI
Dada la naturaleza sensitiva de la información del plan de continuidad, dicha información deberá ser distribuida solo a personal autorizado y mantenerse bajo adecuadas medidas de seguridad para evitar su divulgación no autorizada. Consecuentemente, algunas secciones del plan deberán ser distribuidas solo a las personas cuyas actividades hagan necesario conocerlas
Se debe generar un crecimiento que permita contar con planes disponibles bajo todos los escenarios de desastre en un mediano plazo
Entrenamiento
Definición y ejecución de un programa de concientización y entrenamiento dirigido al personal involucrado en la recuperación y restauración de las operaciones
Mantenimiento
Desarrollo del plan de mantenimiento del BCP/DRP para asegurar que las áreas permanezcan preparadas para el manejo de incidentes relacionados a la continuidad del negocio a pesar de los cambios a las personas, los procesos y la tecnología
Control de Resultados
Indicadores de objetivosCantidad de Procesos Críticos de Negocio
que tienen planes adecuados de continuidad
Pruebas regulares y formales sobre los planes con el fin de asegurar su consistencia
Reducción del tiempo improductivo
Cantidad de servicios TI con monitoreo automático de disponibilidad
Efectos desfavorables
Si el Seguridad Vecinal suspende sus servicios debido a un evento no previsto:
– ¿Qué harían sus clientes?
– ¿Qué harían sus competidores?
– ¿Qué harían sus bancos y/o sociedades financieras?
¡MUCHAS GRACIAS!Proyecto: “Implantación de un BCP”
Recommended