microsoft powerpoint - seminario bcp.ppt...

l. Objetivos del Seminario2. Antecedentes3. Conceptos Generales4. Metodología (Practicas Profesionales

DRil)

5. Conclusiones

M&M Auditores de Colombia Ltda

• Comprender la importancia para las organizaciones de poseer un Plan deContinuidad del Negocio

• Conocer la metodología para el desarrollo profesional de un plan de continuidad del negocio

• Aprender a elaborar y desarrollar un Análisis de Impacto al Negocio (BIA)

• Aprender como se identifican los requerimientos mínimos para la recuperación ante desastres

• Entender los fundamentos para seleccionar una estrategia de recuperación eficiente

• Aprender a construir los planes de continuidad del negocio

• Comprender la importancia del mantenimiento de los planes

• Identificar los aspectos funcionales que deben tener las herramientas informáticas de apoyo en la construcción y mantenimiento de los planes de continuidad


• Ramiro Merchán Patarroyo: Ingeniero de Sistemas, Especialista en Software para Redes, Auditor de Sistemas Certificado CISA (ISACA), Profesor Universitario, Consultor Independiente en BCP, Seguridad Informática y Auditoría de Sistemas, mas de 15 años de Experiencia Profesional, Socio de M&M Auditores de Colombia, Examen de Certificación CBCP del DRI Aprobado.

• Plinio Esteban Palomino: Ingeniero de Sistemas, Estudios de Maestría en Administración de Empresas (MBA), Consultor Independiente, Socio de M&M Auditores, Consultor en BCP, Seguridad Informática, Administración de Proyectos, Experiencia Profesional de mas de 15 años, PMP, Examen de Certificación CBCP del DRI Aprobado.


11de Septiembre de 2001 Apagón en el norte de US -Agosto 2003


Incendio del Hotel Windsor Madrid- Feb 2005 Bodegas de Almacenar en Cali - Mayo de 2005


• Política de la Dirección Q• Reacción a un desastre• Requerimiento regulatorio• Observaciones de auditoria• Buena práctica de negocios• Orientación a la planificación Q• Reconocimiento del negocio Q• Concientización personal Q• Personalmente motivado Q


• Plan de Contingencias: Es un documento desarrollado en forma preventiva, con el objetivo de servir de guía de acción antes, durante y después de la ocurrencia de un imprevisto


• Plan de Recuperación de Desastres (DRP): Es el conjunto de procedimientos y estrategias definidos para asegurar la reanudación oportuna y ordenada de los servicios informáticos críticos en caso de contingencia.

• Responsable:,

- Area de Sistemas


• Plan de Continuidad del Negocio (BCP): Es el conjunto de procedimientos y estrategias definidos para asegurar la reanudación oportuna y ordenada de los procesos del negocio generando un impacto mínimo o nulo ante una contingencia.

• Responsable:- Unidades de Negocio


• Administración de la Continuidad del Negocio (BCM): Proceso administrativo completo que identifica impactos potenciales que pueden afectar la organización y provee la estructura para dar flexibilidad y respuestas efectivas para salvaguardar los intereses de los accionistas, la reputación, la marca y actividades de valor agregado.

• Responsable:- Alta Gerencia


PlanDe

Contingencias - CP

Plan de Recuperación de desastres - DRP

Plan de Continuidad del Negocio - BCP

Administración de la Continuidad delNegocio - BCM


BRP

BRS

,', '

=o o o o==

" a a a a

RESILIENCY

r----

DRP

RespaldosDe -1-

Información

'80 1994 1998 1999 2004


• Proteger al personal y los activos corporativos

• Asegurar la continuidad de las operaciones

• Garantizar la reanudación de los procesos críticos dentro de los margenes de tiempo tolerables

• Minimizar el proceso de toma de decisiones durante una contingencia

• Reducir los efectos negativos ocasionados por el caos

• Mantener el servicio al cliente

• Responder a los Inversionistas


• Cumplir con requerimientos Legales 1 Contractuales 1Gubernamentales

• Reducir al máximo los niveles de dependencia sobre personas o grupos específicos en el proceso de continuidad.

• Eliminar la necesidad de desarrollar nuevos procedimientos durante la contingencia.

• Minimizar la posibilidad de pérdida de información crítica para el negocio.

• Cumplir con requerimientos de auditoria


''El objetivo de un BCP es establecer las estrategias y procedimientos que deben ser implementados por un equipo de individuos

que provee direccionamiento, soporte, equipamiento, metodologías y estándares para

garantizar la continuidad de las operaciones del negocio''


Fases de la Continuidad deNegocios

• Prevención/Reducción/Mitigación- Pasos para identificar y mitigar el riesgo

• Respuesta y Manejo- Reacción planificada y manejo de un evento adverso

• Recuperación- Recuperación y reanudación planificada de los

servicios y operaciones después de una interrupción• Restauración

- Reparación o reemplazo del sitio primario de operaciones normales de la organización.


Programa de Continuidad deNegocios

Respuesta a Emergencias

Evaluación de Riesgos Concientización y Capacitación

Análisis de Impacto al Negocio Pruebas y EjerciciosEstrategias de Recuperación

Comunicaciones de CrisisDesarrollo y Actualización del Plan

Coordinación con Autoridades Externas

Por donde Empiezo?


• DRI (Disarter Recovery Institute Intemational)• (ISC)2 Intemational Systems Security

Certification Consortium (Certificación CISSP).• ISO 17799• BCI (Business Continuity Institute)• ISACA


l. Inicio y Administración del Proyecto2. Evaluación y Control de Riesgos3. Análisis de Impacto al Negocio (BIA)4. Selección y Desarrollo de Estrategias de

Continuidad5. Respuesta y Operaciones de Emergencia6. Desarrollo e Implementación Planes de

Continuidad7. Programas de Concientización y Entrenamiento8. Prueba, Ejercitación y Mantenimiento de los Planes

de Continuidad9. Comunicación de Crisis1O. Coordinación con Autoridades Públicas


Planificación del Análisis y Análisis de

Proyecto evaluación de Impacto al

Riesgos Negocio (BIA)

Proceso de Planificación

Mantenimiento y de Continuidad de Desarrollo deActualización Negocios Estrategias

Prueba yEjercitación

Desarrollo delPlan Plan

f-f-

....._ Concientizacióny Capacitación


Programa de Continuidad deNegocios

• Programa funcional determinado por los requerimientos del negocio- Dirigido por un equipo directivo con autoridad

para responder a las interrupciones- Modifica las consecuencias de una interrupción

a un nivel aceptable por la Dirección- Proporciona un medio probado para enfrentar

las crisis


Qué es un Problema deContinuidad de Negocios?

• Evento interno o externo que interrumpe uno o mas de los procesos de negocio

• El Tiempo (duración) de la interrupción determina que una situación sea un incidente o un desastre


• Que es un desastre?• Cuando empiezan los impactos?• Cuanta perdida puede ser tolerada?• Cuales son las alternativas?• Como restablecer las funciones del negocio?• Cuanto costará un plan de recuperación?• Cuanto es suficiente?


• El comité directivo revisa anualmente el programa• La alta gerencia es responsable del BCM• Personal de BC con presupuesto• La función de BCM abarca todos los aspectos de

la empresa• BCM es un proceso continuo• Política comprensible de respaldo de registros

vitales.


• Existencia de estrategias de recuperación basadas en prioridades, momento e impacto en la empresa (BIA)

• Existencia de un programa de concientización, capacitación, pruebas y ejercicios

• El plan de continuidad está actualizado y disponible• Un programa de continuidad de negocios NO es un

proyecto, NO es una tarea de una sola vez, NO es por un periodo fijo de tiempo.

Debe ser un programa permanente, vivo, consistente en varios proyectos interdependientes y reiterativos


• Debe recuperar aquello que se posee• Debe tener alternativas• Debe concentrarse en la sobrevivencia• Lo mas importante debe ser la gente• Debe ser probado y ejercitado• Debe distinguir entre estrategia y recomendaciones• No debe permitir que los planes envejezcan• No debe envidiar el plan voluminoso del vecino• No debe volverse complaciente• Debe evitar un alcance pobre y discreto


• Los clientes conocen sus problemas de IT y de Negocio al mismo tiempo que usted

• Antes - Protección del centro de computo - Ahora Protección de los procesos críticos del negocio

• Múltiples causas de interrupciones (operacionales, técnicas, ...)

• Surgimiento de nuevas tecnologías- Exigen mayor disponibilidad- Tiempo sin servicio reducido- Múltiples proveedores externos- Todos los procesos de negocio involucran tecnología


• Documentar un alto nivel de ROl• Mostrar casos de éxito de BCP• Demostrar vulnerabilidades• Construir un ''Business Case''


l. Inicio y Administración del Proyecto2. Evaluación y Control de Riesgos3. Análisis de Impacto al Negocio (BIA)4. Selección y Desarrollo de Estrategias de

Continuidad5. Respuesta y Operaciones de Emergencia6. Desarrollo e Implementación Planes de

Continuidad7. Programas de Concientización y Entrenamiento8. Prueba, Ejercitación y Mantenimiento de los Planes

de Continuidad9. Comunicación de Crisis1O. Coordinación con Autoridades Públicas









f-f-



Iniciación y Manejo del Proyecto -pp

• Establecer la necesidad de la continuidad del negocio

• Comunicar la necesidad de un BCP

• Comprometer la Alta Gerencia en los procesos de BCP

• Establecer el Comité de Proyecto

• Identificar y ejecutar los requerimientos presupuestales

• Identificar los equipos de planificación y sus responsabilidades

• Desarrollar y coordinar las actividades de implementación del BCP

• Dar respuesta a los requerimientos de la Gerencia y de documentación de los procesos de BCP

• Reportar y obtener aprobación del avance del proyecto









f-f-



Objetivos

• Entender las pérdidas potenciales• Identificar la exposición de la organización a pérdidas potenciales• Identificar controles y medidas para prevenir o mitigar el efecto de las pérdidas potenciales

- Protección física- Protección lógica- Localización de activos

• Evaluar, seleccionar y utilizar apropiadas metodologías y herramientas de análisis de riesgos• Identificar e implementar las actividades de recolección de información• Evaluar la efectividad de los controles y medidas• Evaluación de riesgos y controles

- Escenarios de riesgo• Seguridad• Administración de registros vitales


-., r.

l.r -¡j()

-

-

.,

Proceso de Administración deRiesgos

Etapas de la administración de riesgos

l 1

Establecimiento delContextoContexto estratégico

Contexto Organizacional Desarrollo de Criterios Decidir la estructura

CD

()o3e::::::¡

Identificación de Riesgos ::::0Qué puede suceder? <

¡¡;·

Q..), - - '<

e=;· Análisis de RiesgosQ..),

1 Probabilidad 1 1 Impacto 1

'< S:Nivelde Riesgo oo ::::::¡

::::::¡

eC/)

Q..),Evaluación de Riesgos r.

;:::¡:o..,

CD..,

Establecer Prioridades Q)

- -Tratamiento de Riesgos

Evaluar Opciones de Tratamiento

Seleccionar Opciones de Tratamiento Preparar planes de

tratamiento Implementar planes de tratamiento

1 t


Tabla de probabilidad de ocurrencia

Calificación Cualidad Descripción

1 Raro Puede ocurrir sólo en circunstancias excepcionales

2 Improbable Pudo ocurrir en algún momento

3 Posible Podría ocurrir en algún momento

4 Probable Probablemente ocurra en la mayoría de circunstancias

5 Casi certeza Se espera que ocurra en la mayoría de circunstancias


Tabla de impacto potencial

Calificación Descriptor Detalle

1 Insignificante Sin perjuicios, baja perdida financiera

2 MenorTratamiento de primeros auxilios, liberado localmente, se contuvo inmediatamente,

perdida financiera media

3 ModeradoRequiere tratamiento medico, liberado localmente, contenido con asistencia

externa, perdida financiera alta

4 MayorPerjuicios extensivos, perdida de capacidad de producción, liberación externa, sin

efectos nocivos, perdida financiera mayor

5 Catastrófico Muerte, liberación tóxica externa con efectos nocivos, enorme perdida financiera


Matriz de Nivel de Riesgo

Impacto Potencial

Probabilidad de Ocurrencia1 2 3 4 5

1 L L M H H

2 L L

3 L M

4 M H

5 H H









f-f-



Análisis de Impacto al Negocio(BIA)- PP

Consiste en identificar los impactos de las interrupciones y escenarios de desastre que pueden afectar la organización.

- Establecer el proyecto- Evaluar los efectos de las interrupciones, daños e impactos al negocio- Establezca la metodología BIA (cuestionarios, talleres, entrevistas..)- Defina y categorice las funciones y registros críticos- Determine las franjas de tiempo de recuperación y requerimientos de

recursos mínimos- Identifique y categorice procesos del negocio- Determine tiempos de reemplazo- Administre los registros vitales


Análisis de Impacto al Negocio(BIA)

Consiste en realizar una evaluación de los procesos y sistemas del negocio, con el objetivo de identificar:

Áreas, funciones y/o procesos sensibles a interrupciones Interdependencia entre procesos internos y externos Impactos financieros de las interrupcionesImpactos Operacionales de las interrupciones Sistemas de información críticos para la operación Tiempos objetivo de recuperación (RTO)Puntos Objetivo de recuperación (RPO)Clientes y proveedores críticos de la organizaciónRecursos necesarios para la recuperación de operaciones,Epocas críticas para la operación del negocio


Análisis de Impacto al Negocio(BIA)

Resultados

Inventario de los procesos críticos del negocio.Secuencia de recuperación de procesos y sistemas críticosEstimación del impacto financiero de una interrupción en los procesos críticos del negocio.Estimación del impacto operacional de una interrupción en los procesos críticos del negocio.Identificación de los tiempos de recuperación para cada proceso crítico del negocio.Identificación de los requerimientos mínimos de los procesos o aplicaciones críticas del negocio durante las operaciones de

.,recuperacton.


• Datos básicos del proceso y de su dueño• Frecuencia del proceso• Períodos de tiempo críticos• Tiempo máximo de interrupción• Volumen de trabajo del proceso• Indicadores y medidas de desempeño existentes• Impactos: Financiero, cliente interno, cliente externo, eficiencia operativa, aspectos

legales, imagen - reputación y en general para la organización como negocio.• Dependencias internas y externas• Aplicaciones informáticas que lo soportan• Procedimientos alternos existentes o sugeridos• Efectividad de los procedimientos alternos• Registros vitales de cada proceso• Complejidad de recuperación de las dependencias evaluadas• Recursos mínimos para la recuperación de cada dependencia.


Desarrollo de Estrategias deContinuidad








f-f-



Selección de la Estrategia deContinuidad - PP

Consiste en identificar las alternativas de recuperación de las operaciones en los marcos de tiempo dados por los RTO's identificados.

- Identificar los requerimientos de continuidad de la organización

- Evaluar la compatibilidad de las estrategias contra los resultados del BIA

- Presentar el análisis costo 1 beneficio de las estrategias de continuidad

- Seleccionar los sitios alternos y de almacenamiento externo

- Entender los términos contractuales de los servicios de continuidad del negoc1o


Centro de procesamiento de datos• Hardware

• Software

• Redes

• Backup y recuperación de la información

Telecomunicaciones (voz y datos),

Areas de trabajo• Espacio

• Muebles

• Equipos

Personal

Seguros


Recuperación del Centro deProcesamiento de Datos

• Alternativas de recuperación• Contratación de sitios de recuperación externos (Ej. Hotsite,

coldsite, etc.)

• Recuperación interna

• Acuerdos recíprocos

• Procedimientos manuales

• Reducción de servicios

• Suspensión de servicios

• Combinación de estrategias.


Alta Disponibilidad o "High Availability"- Implementación de controles preventivos, detectivos y correctivos

para procurar la disponibilidad continua de los sistemas críticos de la organización.

Fault Tolerance- Un sistema "fault-tolerant" puede continuar brindado servicios a

pesar de fallas de software o hardware.

Load Balancing- Sistemas que comparten la carga de trabajo para evitar recursos

ociosos y bajo desempeño (performance).


• Redundancia en los SPF 'S (Single Point ofFailure)

• ¿ Cuánto tiempo de ''downtime'' estamos dispuestos a aceptar ?

QoS Porcentaje de disponibilidad

Tiempo de "downtime"

Clase 1 90% 52.560 minutos/año= 36,5 días/año

Clase 2 99% 5.256 minutos/año= 3,65 días/año

Clase 3 99.9% 525,6 minutos/año= 8,76 días/año

Clase 4 99.99% 52,56 minutos/año

Clase 5 99.999% 5,26 minutos/año


l. Se desarrollan alternativas de estrategias para:• Refinar los requerimientos mínimos para la recuperación.

• Incluyendo consideraciones para:RTO's

Capacidad del Sitio de Recuperación Requerimientos de

comunicaciones (voz y datos) Viabilidad de recuperación

de acuerdo al planteo del peorescenano

Requerimientos de áreas de trabajo (espacio, equipos, insumos, archivos vitales, etc.)

Requerimientos de recursos humanos

Situación geográfica y de transporte.


2. Identificar las alternativas viables para la recuperación:• Contratación de sitios de recuperación externos (Ej. Hotsite,

coldsite, etc.)

• Recuperación interna

• Acuerdos recíprocos

• Procedimientos manuales

• Respuesta de reducción de servicios

• Suspensión de servicios

• Combinación de estrategias.

3. Seleccionar una estrategia de recuperación eficiente.


• Hacer un análisis inicial de los proveedores existentes.

• Preseleccionar los más viables para el proyecto de acuerdo a: ImportanciaExperiencia Clientes actuales Referencias Respaldo financiero.

• Confeccionar un RFP/RFQ para enviar a los proveedores preseleccionados.


RFP/RFQ• Lineamientos básicos de la propuesta

- Consideraciones Generales- Consideraciones de Seguridad Informática

• Alternativas a Cotizar- por ejemplo:- Alternativa 1: Cold Site- Alternativa 2: Hot Site- Alternativa 3: Warm Site

• Detalle de equipos y dispositivos a cotizar


l. Iniciación y manejo del proyecto

2. Evaluación de Riesgos

3. Análisis de Impacto al Negocio (BIA)

4. Selección de Estrategias de Continuidad

5. Respuesta a Emergencias

6. Desarrollo de los Planes de Continuidad

7. Ejercicios y Mantenimiento de los Planes de Continuidad

8. Conciencia y Programas de Entrenamiento


Desarrollar e implementar procedimientos para responder y estabilizar la situación después de un incidente y administar el centro de operaciones de emergencia a ser utilizado como "centro de mando".

Identifique componentes de los procedimientos de respuesta a emergencia

Especifique los procedimientos de respuesta a emergencia

Identifique requerimientos de control y autoridad

Procedimientos de control y autoridad

Respuesta a emergencia y recuperación de heridos

Salvamento y restauración


• Podemos dividir la respuesta ante unaemergencia en 4 fases:

-Fase de Planeamiento- Fase de Alerta-Fase de Producción-Fase de Restauración


Desarrollo de Planes deContinuidad








f-f-



Diseñar, desanollar e implementar planes de continuidad del negocio para proveer continuidad en los marcos establecidos por los RTO'S y RPO'S.

Identifique requerimientos para el desarrollo de los planesDefinir requerimientos de control y administración de la continuidadIdentifique y defina un formato y la estructura principal de los componentes de los planesElabore un borrador de los planesDefina procedimientos de manejo de crisis y continuidad del negocio Defina las estrategias de evaluación de daños y reanudación Desarrolle una introducción general a los planesDesarrolle la documentación de los equipos de operación del negocioDesarrolle la documentación de los equipos de recuperación de tecnología informáticaDesarrolle el sistema de comunicacionesDesarrolle los planes de los usuarios finales de aplicacionesImplemente los planesEstablezca los procedimientos de control y distribución de los planes


¿Qué es un el plan de recuperación?• Un conjunto integrado de procedimientos que se utilizarán

para la recuperación ante un evento que cause la interrupción de las operaciones del negocio.

• Fundamentalmente debe responder a:- Quién

- Qué

- Cuándo

- Dónde

- Cómo.


Componentes de los Planes deContinuidad

Prevención

( )1 Respuesta

( Reanudación

( )a

isión

Recupera ión

( )a

Rest uración


Estructura tipo

Tasf Force Task ForceComunicaciones oporte de Sistem

Task ForceContabilidad

Task ForceRRHH

Task ForceInstalaciones

Task Force Task ForceServicio al Client elaciones Pública


Emergency Management Team (EMT)

• Es el más importante de la estructura de recuperación.

• Normalmente formado por el CEO y el SeniorManagement.

• Su principal función es decidir cuándo un evento es un desastre que requiere la activación del plan de

. ,recuperacton.


Emergency Management Team (EMT) Principales funciones:

- Tornar la decisión de declarar el desastre.- Mantener al personal operativo motivado y enfocado en brindar el

serv1c1o.- Asegurar el aislamiento de la escena del crimen y la apropiada

recopilación de pruebas.- Reportar las causas ilegales de la contingencia (ej. hacking) a las

autoridades apropiadas.- Trabajar con los proveedores de los servicios de recuperación para

asegurar la correcta ejecución del plan de recuperación.- Notificar a los clientes de una potencial demora en el cumplimiento del

serv1c1o.- Evaluación de daños.- Monitorear el progreso del plan.


Business Continuity Coordinator (BCC)• Es el responsable de:

- Coordinar las tareas en el desarrollo del plan- Guiar los esfuerzos de respuesta ante una emergencia y de

.,recuperacton- Revisar los reportes de evaluación de daños- Iniciar los procedimientos de recuperación- Mantener informado al EMT del estado de la recuperación- Actuar de nexo entre el EMT y los lideres de los equipos de

.,recuperacton.


Los equipos de recuperación y sus correspondientes "Task Forces" son los responsables de:

- Realizar una profunda evaluación de los daños- Restaurar los distintos componentes de la

infraestructura informática que resultaron inoperables debido a la ocurrencia del desastre.


• Este es un elemento que debe ser tenido en cuenta a lo largo de todas las etapas del desarrollo del plan, pues asegura la integridad de los mismos. Como parte del proceso de aseguramiento de la calidad están:

- Entrenamiento- Mantenimiento- Pruebas


Ejercicios y Mantenimiento de losPlanes








f-f-



Ejercicios y Mantenimiento de losPlanes de Continuidad - PP

Planificar y coordinar el plan de ejercicios y evaluar y documentar los resultados de los mismos.

Establecer un programa de ejercicios (pruebas) Determinar requerimientos de los ejercicios Definir escenarios de desastreEstablecer criterios de evaluación y documentar los hallazgosCrear un cronograma de ejerciciosCrear un plan de control y reporte de los ejerciciosFacilitar la realización de los ejerciciosReporte post-ejerciciosRetroalimentar y monitorear los resultados de los ejercicios Definir un cronograma de mantenimiento de los planes Formular los procedimientos de control de cambiosEstablecer procedimientos para informar el estado de los planesObjetivos de auditoría


Objetivos

- Definición de un Plan de Pruebas- Definición de los Procedimientos de Prueba- Planificación de las Pruebas- Ejecución de las Pruebas- Evaluación de los resultados- Ejecución de las modificaciones necesarias.


• Tiempo

• Falta de presupuestos (costos de la prueba)

• Suspensión del servicio


Objetivos

- Desarrollo de los procedimientos de mantenimiento delPlan de Recuperación.

- Diseño de la estrategia de mantenimiento (Ej.Periodicidad, disparadores, etc.)


Disparadores de actualizaciónCambios en el personal claveCambios en el organigrama (Ej. Creación de nuevas posiciones); Cambios de dirección 1 teléfono de algún componente del equipo de recuperaciónCambios en cualquier equipo o dispositivo informático incluido dentro del esquema de recuperaciónCambio en algún procedimientoReubicación de instalacionesNuevos proveedores para los recursos críticosCambios en la configuración de los sistemas o los dispositivos de almacenamiento (Storage)Cambios en la configuración de comunicaciones o de las redes.


Elementos mínimos a tener en cuenta en las revisiones del plan:

- Requerimientos operacionales- Requerimientos de seguridad- Procedimientos técnicos- Hardware, software y otros equipos (tipos, especificaciones

y cantidad)- Nombres e información de contacto de los miembros de los

equipos de recuperación- Nombres e información de contacto de los proveedores- Archivos vitales (impresos y electrónicos).









f-f-



Conciencia y Programas deEntrenamiento - PP

Preparar un programa para crear y mantener conciencia corporativa y ampliar las habilidades requeridas para desarrollar e implementar el programa de Administración de la continuidad del negocio y sus procesos de soporte.

- Definir objetivos de concientización y entrenamiento- Desarrollar e implementar varios tipos de programas de

entrenamiento- Desarrollar programas de concientización- Identificar otras oportunidades de educación


• El plan debe ser desarrollado para cubrir el peor escenario, de manera que escenarios menores queden cubiertos también.

• El planteo de escenarios de desastre servirá de base al momento de determinar las alternativas viables para la recuperación.


• Metas y Objetivos de la organización

• Políticas de la organización sobre planificación de la continuidad del negocio

• Escenarios de interrupción del negocio para cada área funcional yo localización

• Definición de interrupción menor y de desastre en términos del impacto sobre el negocio y la duración de la misma

• Cuales operaciones deben ser recuperadas en forma inmediata.

• Cuales operaciones no requieren ser recuperadas en forma inmediata y cuando deben estar disponibles

• Cuales operaciones del negocio pueden ser prescindibles

• Las estrate de reanudación eración a utilizar así como sus ridades


• El peor escenario ocurre sin aviso o advertencia

• No ocurrirá mas de un evento en forma simultanea

• El sitio de almacenamiento externo está lo suficientemente lejos como para no ser afectado por la interrupción o contingencia

• La recuperación puede realizarse usando únicamente los datos y registros vitales ubicados en el almacenamiento externo

• El equipo designado y otros recursos asignados están disponibles

• Las operaciones de reanudación/recuperación requieren del uso de recursos/capacidades alternas inferiores a las de operación normal

• Se cuenta con suficientes miembros del equipo de recuperación para realizar las tareas planeadas.

• La alta dirección está disponible para decidir la activación del plan y tomar las decisiones no previstas

• Existen instalaciones apropiadas para el centro de control, reuniones y necesidades de almacenamiento.


• Que áreas/departamentos/procesos de negocio están incluidos en el plan

• Cada ubicación distinta debería tener un plan separado

• Que aplicativos/datos/servicios están cubiertos en el plan (portátiles, agendas digitales, aplicaciones de uso individual?)


• Clarificar los lineamientos sobre los cuales se debe actuar en caso de un incidente, pues las políticasde la organización siguen siendo vigentes aún ensituaciones de crisis

- Recursos humanos (beneficios, asistencia familiar, confidencialidad)

- Relaciones públicas (confidencialidad, declaraciones a los medios)

- Relaciones con los clientes- Salud y seguridad industrial- Relaciones con proveedores


• Debe estar incluido claramente en la introducción del plan

- Protección de la vida y seguridad de los funcionarios- Cumplir con requerimientos legales- Protección de los intereses de los accionistas- Asegurar el cumplimiento de los compromisos con los

clientes


Entrenamiento MantenimientoAse uramiento de la Calidad

Planes TareasBIA

Alcance Políticas Pro ósitoOb etivos Su uestos

Com romiso orte de la Alta Gerencia


• Revista de Seguridad Informáticam/

• Disaster Recovery Journal

• Portal de BCP y DRPL' •...._ com/

• Listados de desastres ocurridos1

• Sitio de información sobre desastres

• Revista de Contingencia y Continuidad del Negocio

• Information Systems Audit And Control Association - ISACA

• TAMP Disaster Recovery System (DRSTM)


• Business Continuity: Best Practices- Editorial: Rothstein Associates; 2000 edition (June 1O,

2000)- Autor: Andrew Hiles

• A Guide to Business Continuity Planning- Editorial: John Wiley & Sons; 1st edition (May 2001)- Autor: James C. Bames


microsoft powerpoint - seminario bcp.ppt...

Documents