Escuela Universitaria de Informática Universidad Politécnica de Madrid

Guía de Desarrollo de un Plan de Continuidad de Negocio

Autora: Laura del Pino Jiménez Director de Tesis: Jorge Ramió Aguirre Fecha del trabajo original: julio 2007

BREVE CURRICULUM VITAE DE LA AUTORA (diciembre de 2008)

Laura del Pino es Ingeniero Técnico en Informática de Sistemas por la Universidad Politécnica de Madrid. Ha realizado el Curso Superior de Dirección de Seguridad de la Información del IADE de la Universidad Autónoma y es CISA por la ISACA. Comenzó a trabajar en Seguridad informática en KPMG como NITSO, National

Information Security Officer, pasando en el año 2000 a formar parte de AZERTIA como Consultor Senior de Seguridad. Actualmente desarrolla su carrera profesional en el departamento de Seguridad de INDRA.

NOTA DEL DIRECTOR DE TESIS

Laura realizó su Trabajo Fin de Carrera en la Escuela Universitaria de Informática EUI de la Universidad Politécnica de Madrid en este tema en el año 2007, ocasión en la que tuve la grata oportunidad de ser su tutor de tesis, como profesor del departamento de Lenguajes, Proyectos y Sistemas Informáticos LPSI. A mediados de 2008 le pedí que hiciese un breve resumen de esa tesis para publicarlo en Internet como documento de libre distribución, con el objeto de que fuese una guía práctica y de fácil entendimiento. Este es el feliz resultado de dicho trabajo. Agradezco a Laura en todo su valor el esfuerzo que ha realizado, conociendo el poco tiempo libre que le dejan sus actividades profesionales que desarrolla en esta importante área de la seguridad de la información. Madrid, marzo de 2009.

Guía de Desarrollo de Plan de Continuidad de Negocio Índice

ÍNDICE

......2.....................1.............................5  6. 16  EVALUAR VULNERABILIDADES .......................................................................................................................................2  6.........................................................1. 11  RELACIÓN DE DEPARTAMENTOS Y USUARIOS .1................... 26  EQUIPO DE RECUPERACIÓN ............. 14  FASE II........................................................................................1  6...................... 12  DETERMINAR LOS PROCESOS CRÍTICOS ..................... 31  8............2.........................................1  8.................................................................3  6..... 12  IDENTIFICAR ACTIVOS ........................... ESTRATEGIA DE RESPALDO .2  DESARROLLO DE PROCEDIMIENTOS ...................................1  8................................................5  6........... DESARROLLO DEL PLAN DE CONTINUIDAD.......4  6............ 28  .......................................... 18  EVALUAR CONTRAMEDIDAS .............................. 17  EVALUACIÓN DEL IMPACTO ..............................................1  8.................4  6..................................................................................2  6...................1.................................................1..................................................2..............................1........................................................................................................................................................... 5  POR DÓNDE EMPEZAMOS......................................  5... 10  RELACIÓN DE PROCESOS.. 1  OBJETO DE LA GUIA .... 11  RELACIÓN DE APLICACIONES....................2.................................................................................... 9  ANÁLISIS DE IMPACTO .  3......................... 7  FASE I..... 22  7..........................................................1  6...1....................  INTRODUCCIÓN ......1  6.............................................2............................................................................................................................................................................ 2  ANTECEDENTES .................................. 27  FASE DE ALERTA .........................1......................................................... 22  SELECCIÓN DE ESTRATEGIAS ..............2  6......................................... 26  EQUIPO DE RELACIONES PÚBLICAS Y ATENCIÓN A CLIENTES....................... ANÁLISIS DEL NEGOCIO Y EVALUACIÓN DE RIESGOS ........................................... 3  ¿QUÉ ES UN PLAN DE CONTINUIDAD DE NEGOCIO? .............. 27  EQUIPO DE LAS UNIDADES DE NEGOCIO ..............  FASE III..................................................................... 25  EQUIPO DIRECTOR O COMITÉ DE CRISIS .........................6  7....................................................................... 26  EQUIPO LOGÍSTICO .............................................................................................................  4...........2  8.........  ANÁLISIS DE RIESGOS ....................................2..................... 15  IDENTIFICAR AMENAZAS .........................................................2..............  6.1...........  2.....................................1............................................4  8.......................................3  6..............................3  8.................................................................................... 12  PERIODO MÁXIMO DE INTERRUPCIÓN .................. 29  FASE DE TRANSICIÓN ...........Guía de Desarrollo de Plan de Continuidad de Negocio Índice 1..........................5  8........ 18  EVALUACIÓN DEL RIESGO .................. 20  6.........2..............1  8....................................................... 25  ORGANIZACIÓN DE LOS EQUIPOS.............2  8......

..............3  MANTENIMIENTO DEL PLAN DE CONTINUIDAD ............................................................................................................ 35  TEST COMPLETO ....................................... 58  .... 35  9............. 55  RECOMENDACIONES .........................................................................................................................................................................2..................... PRUEBAS Y MANTENIMIENTO .................................. 53  LISTADO DE AMENAZAS .......................................................................................................................................................................LISTADO DE AMENAZAS ... 33  FASE IV.......................................... 54  EVALUACIÓN DE RIESGOS ..................................................................................................4  8.................... 57  EQUIPO DE RECUPERACIÓN ....  OBJETIVOS DEL PLAN DE PRUEBAS .............Guía de Desarrollo de Plan de Continuidad de Negocio Índice 8........................................................................................................ 34  9................................................................................................................................................................... 50  TIEMPO MÁXIMO DE RECUPERACIÓN DE LOS PROCESOS ..................CONTRAMEDIDAS ............... 57  COMITÉ DE CRISIS ...............................................1.. 47  ANTECEDENTES .................................. 34  TIPOS DE PRUEBAS ..................1.............2.................................................................2............................ 53  INVENTARIO DE ACTIVOS ...........3  8...... 34  EJERCICIOS TÉCNICOS ..... 55  ESTRATEGIA DE RECUPERACIÓN ..................................... 56  DESARROLLO DEL PLAN .................................................. 38  ANEXO II .............................................  9...................................................................................................................................................................... 44  ANEXO V – SITIOS DE INTERÉS........................................................................................ 32  FASE DE VUELTA A LA NORMALIDAD / FIN DE LA EMERGENCIA ........ 48  PROCESO PEDIDOS...........................1...........................................................2.............................  FASE DE RECUPERACIÓN ........................................................................... 52  ANÁLISIS DE RIESGOS .................................................... 48  PROCESO DE NÓMINAS ...... 48  COMPONENTES DE LOS PROCESOS ..................... 53  VULNERABILIDADES ..............................................................  9.......................... 45  CASO DE ESTUDIO .......................................................................2  9............................................................................................................ 47  ANÁLISIS DE IMPACTO .........................................................................................................................................................................................................................................1  9.........5  9.......................................................................... 37  ANEXO I – CUADROS DE RECOGIDA DE DATOS ANÁLISIS DE IMPACTO ............................................................................................................................................................................................................................................................................................................................................................................... 34  PRUEBAS ................................ 33  GENERACIÓN DE INFORMES Y EVALUACIÓN ........................2................................. 41  ANEXO III – EJEMPLOS DE VULNERABILIDADES .... 36  ANEXOS ......................................................................................................2..................................... 43  ANEXO IV – EJEMPLO ÁRBOL DE LLAMADAS..................................................................

.................................................... 68  .............................. 66  ANÁLISIS DEL IMPACTO .................. 66  CONCLUSIONES.................... 66  FIN DE LA CONTINGENCIA ...................................................... 64  PROCEDIMIENTO DE PUESTA EN MARCHA DEL CENTRO DE RECUPERACIÓN .................................................................................................................................................................................................................................................................................... 62  PROCEDIMIENTO DE NOTIFICACIÓN DE EJECUCIÓN DEL PLAN ................. 65  PROCEDIMIENTO DE SOPORTE Y GESTIÓN ................................... 60  EQUIPO DE LAS UNIDADES DE NEGOCIO ..............................................................................................................................................................................................................Guía de Desarrollo de Plan de Continuidad de Negocio Índice EQUIPO DE COORDINACIÓN LOGÍSTICA..................................................................................................................................................... 64  FASE DE RECUPERACIÓN ............................................ 67  BIBLIOGRAFÍA...................................................................................... 62  FASE DE TRANSICIÓN.................................................................................................................. 66  ADQUISICIÓN DE NUEVO MATERIAL ................................................... 62  PROCEDIMIENTO DE NOTIFICACIÓN DEL DESASTRE .......................... 65  PROCEDIMIENTO DE RESTAURACIÓN ..................................................................................................................... 59  EQUIPO DE RELACIONES PÚBLICAS .................................................... 64  PROCEDIMIENTO DE CONCENTRACIÓN Y TRASLADO DE MATERIAL Y PERSONAS .................................................................................................................................................................................. 65  FASE DE VUELTA A LA NORMALIDAD ....................... 62  PROCEDIMIENTO DE EJECUCIÓN DEL PLAN .. 61  FASE DE ALERTA ..........................................................................................................................................................................................................

dependiendo de la forma en que se gestione dicho incidente. Esta guía pretende desglosar las actividades necesarias para desarrollar un Plan de Continuidad de Negocio. están asociados a grandes compañías que necesitan reaccionar de forma inmediata ante cualquier evento que interrumpa sus servicios. Es importante destacar que la guía puede servir para desarrollar un Plan de Continuidad de Negocio tanto en una gran compañía como en una Pyme. INTRODUCCIÓN Dentro de la Gestión de la Seguridad de la Información en una compañía es importante contar con un plan alternativo que asegure la continuidad de la actividad del Negocio en caso de que ocurran incidentes graves. el esfuerzo y el presupuesto a emplear variarán sensiblemente. aunque consecuentemente el tiempo. denominados Planes de Contingencia en sus orígenes. Tradicionalmente. 1 .Guía de Desarrollo de Plan de Continuidad de Negocio Introducción 1. La realidad es que cualquier compañía puede sufrir un incidente que afecte a su continuidad y. las consecuencias pueden ser más o menos graves. los Planes de Continuidad. proporcionando plantillas y ejemplos que ayuden al lector a entender cada una de las fases y tareas que componen el Plan.

Por ello. los principales objetivos son: o Dar a conocer la importancia del Plan de Continuidad de Negocio para hacer frente a incidentes graves de seguridad en una compañía. Resumir de forma clara y sencilla cada una de las actividades a desarrollar dentro de las Fases del Plan de Continuidad. Establecer ejemplos ilustrativos que ayuden a confeccionar un Plan de Continuidad. OBJETO DE LA GUIA Una de las motivaciones que me ha llevado a desarrollar esta guía es la poca información que he encontrado que contenga una descripción detallada de las fases y tareas que componen un Plan de Continuidad.Guía de Desarrollo de Plan de Continuidad de Negocio Objeto de la Guía 2. o o o 2 . Desarrollar una Guía completa sobre Continuidad de Negocio. donde se muestren cada una de las fases que componen el Plan.

como los atentados del 11-S del año 2001. no siendo el tamaño una característica 3 . la pérdida de información crítica o. robos. incluyendo fallos en las fuentes de alimentación. en consecuencia. Sin embargo. en no pocas ocasiones no es necesario un desastre de dimensiones parecidas a las de los mencionados anteriormente para poner en peligro no sólo la buena marcha del negocio sino su misma supervivencia. Tipos de incidentes No sólo las catástrofes ambientales. Daños en las infraestructuras o en los servicios. ANTECEDENTES A la velocidad con la que operan los negocios actuales un incidente de unas pocas horas de duración puede tener un impacto catastrófico en los resultados y en la imagen de la organización que lo sufra. El incendio ocurrido en el Edificio Windsor en Madrid en el mes de febrero de 2005 o el Huracán Katrina en agosto de ese mismo año. fallos en los sistemas IT. huelgas. dependiendo de su tamaño y de su área de actividad. robo de información sensible o su distribución accidental. La íntima dependencia que existe entre el negocio y los sistemas de información exige que éstos estén preparados para afrontar las múltiples amenazas que ponen en riesgo su operatividad y.Guía de Desarrollo de Plan de Continuidad de Negocio Antecedentes 3. en los equipos de refrigeración. la continuidad del negocio. pueden tener impactos adversos para una compañía: • Incidentes serios de seguridad en los sistemas. tales como incendios o inundaciones. guerras. errores de operación en los sistemas. fallos en las comunicaciones. eventos como la irrupción de un virus o la instalación de un parche de seguridad pueden conducir a la inoperabilidad temporal de los sistemas. etc. como los que se detallan a continuación. la inutilización de las infraestructuras. en última instancia. como delitos cibernéticos. • • • Los accidentes afectan de forma diferente a cada organización. pueden causar daños adversos a una organización. huelgas en los servicios de limpieza. Fallos en los equipos o en los sistemas. fallos en el suministro eléctrico. Daños deliberados como actos de terrorismo o de sabotaje. pérdida de información. Otros tipos de incidentes. fallos en el suministro de agua. etc. son dos ejemplos que vienen a sumarse a sucesos.

• • • Fuente: Cámara de Comercio de Londres A pesar de que los efectos inmediatos de un desastre aparentemente son la pérdida de beneficios por la parada de actividad puntual y la incapacidad para proveer servicios críticos. Un 50% se verán forzadas a cerrar antes de cinco años después del desastre. Las consecuencias de estos accidentes sobre las organizaciones que no tienen un plan de continuidad de negocio pueden llegar a ocasionar incluso el cierre de las mismas. 4 . Tomemos como ejemplo las siguientes cifras: • Un 43% de las organizaciones después de un accidente no podrán continuar sus operaciones viéndose obligadas a cerrar. Un 53% de los clientes de estas organizaciones no recuperarán las pérdidas causadas por los daños derivados. o la pérdida de ventaja competitiva con otras compañías.Guía de Desarrollo de Plan de Continuidad de Negocio Antecedentes fundamental. no son éstos los efectos más perniciosos que un incidente de este tipo provoca. las pequeñas y medianas organizaciones también pueden verse seriamente afectadas. Otros efectos derivados que pueden causar un gran impacto en la compañía son la pérdida de reputación de cara a los clientes. Un 80% tendrán que hacerlo en menos de 13 meses.

5 • • • • . organizará y documentará los riesgos. con lo que priorizará las operaciones de negocio críticas necesarias para continuar en funcionamiento después de un incidente no planificado. Previene o minimiza las pérdidas para el negocio en caso de desastre.Guía de Desarrollo de Plan de Continuidad de Negocio ¿Qué es un Plan de Continuidad de Negocio? 4. responsabilidades. políticas y procedimientos. Por cada proceso se identifican los impactos potenciales que amenazan la organización. acuerdos con entidades internas y externas. BENEFICIOS • Identifica los diversos eventos que podrían impactar sobre la continuidad de las operaciones y su impacto financiero. está orientado al mantenimiento del negocio de la organización. Clasifica los activos para priorizar su protección en caso de desastre. La activación de un Plan de Continuidad debería producirse solamente en situaciones de emergencia y cuando las medidas de seguridad hayan fallado. Obliga a conocer los tiempos críticos de recuperación para volver a la situación anterior al desastre sin comprometer al negocio. Aporta una ventaja competitiva frente a la competencia. El Plan establecerá. humano y de reputación sobre la organización. estableciendo un plan que permita continuar con la actividad empresarial en caso de una interrupción. En el desarrollo de un Plan de Continuidad de Negocio existen dos preguntas clave: • ¿Cuáles son los recursos de información relacionados con los procesos críticos del negocio de la compañía? ¿Cuál es el período de tiempo de recuperación crítico para los recursos de información en el cual se debe establecer el procesamiento del negocio antes de que se experimenten pérdidas significativas o aceptables? • Un Plan de Continuidad reducirá el número y la magnitud de las decisiones que se toman durante un período en que los errores pueden resultar mayores. Un Plan de Continuidad de Negocio. a diferencia de una Plan de Contingencia. Este análisis servirá para priorizar qué procesos son críticos para el negocio y establecer una política de recuperación ante un desastre. ¿QUÉ ES UN PLAN DE CONTINUIDAD DE NEGOCIO? Un Plan de Continuidad de Negocio se compone de varias fases que comienzan con un análisis de los procesos que componen la organización.

6 . Si una organización es muy grande. ambos necesitan asegurar la disponibilidad de su negocio. Se puede responder a esta pregunta diciendo que NO. debido a los pocos recursos y a las pocas opciones de respuesta ante un desastre. en algunos casos sería más vital desarrollar un Plan de Recuperación de Negocio para los pequeños negocios que para las grandes corporaciones. De hecho. o si se trata de una persona trabajando en una pequeña oficina con 5 empleados. con grandes edificios y gran número de empleados. con beneficios millonarios.Guía de Desarrollo de Plan de Continuidad de Negocio ¿Qué es un Plan de Continuidad de Negocio? • Fomenta e implica a los recursos humanos de la compañía en las actividades de continuidad. ¿QUIEN DEBE TENER UN PLAN DE RECUPERACIÓN? Una pregunta que podemos hacernos es si el tamaño de una organización determina la necesidad o no de tener un Plan de Continuidad.

Guía de Desarrollo de Plan de Continuidad de Negocio ¿Por Dónde Empezamos? 5. El propósito general de un Plan de recuperación es obtener un mapa de acciones que reduzcan “la toma de decisiones” durante las operaciones de recuperación. No es lo mismo un Plan de Continuidad para una empresa de servicios de Internet que para una empresa fabricante de juguetes. Aunque en ambos casos el objetivo será el de seguir dando servicio a sus clientes. POR DÓNDE EMPEZAMOS Para desarrollar un Plan de Continuidad de Negocio tenemos que empezar por obtener un conocimiento de la compañía: sus productos/servicios. Diagrama de Fases del Plan de Continuidad 7 . sus objetivos empresariales. etc. Podemos dividir un Plan de Continuidad de Negocio en cuatro Fases: Figura 1. procesos internos. minimizando costes y aumentando la efectividad. restaure los servicios críticos rápidamente y permita un normal funcionamiento de los sistemas y procesos lo antes posible. las actividades y procesos sobre las que se soporta la empresa tendrán diferentes prioridades de recuperación ante una contingencia grave.

Una vez identificados los procesos críticos. para afinarlo según los resultados. corregir las vulnerabilidades detectadas en los procesos críticos de negocio identificadas en el Análisis de Riesgos. En esta fase se desarrollan los procedimientos y planes de actuación para las distintas áreas y equipos. 8 . Por otro lado.DESARROLLO DEL PLAN Una vez que se ha seleccionado la estrategia de respaldo hay que desarrollarla e implantarla dentro de la compañía. es conocer que realmente funciona y es efectivo. se analizarán cuáles son los riesgos asociados a dichos procesos para identificar cuáles son las causas potenciales que pueden llegar a interrumpir un negocio. Para ello se define la estrategia de pruebas y se realiza la prueba del Plan. • FASE III. FASE IV – PRUEBAS Y MANTENIMIENTO Una parte importante del Plan de Continuidad. Además.Guía de Desarrollo de Plan de Continuidad de Negocio ¿Por Dónde Empezamos? FASE I – ANÁLISIS DEL NEGOCIO Y EVALUACIÓN DE RIESGOS Se trata de obtener un conocimiento de los objetivos de negocio y de los procesos que se consideran críticos para el funcionamiento de la compañía. valorar las diferentes alternativas y estrategias de respaldo en función de los resultados obtenidos en la fase anterior. para seleccionar la más adecuada a las necesidades de la compañía. en esta última fase se definirán los procedimientos de mantenimiento del Plan. y se organizan los equipos que intervienen en cada fase del Plan. FASE II – SELECCIÓN DE ESTRATEGIAS Esta fase tiene dos objetivos: • Por un lado.

determinando el impacto en caso de interrupción. que estos procesos dependan de otros internos. Estos procesos interactúan directamente con los clientes o con otras organizaciones externas a la compañía (Dpto. Análisis de Riesgos: El Objetivo de un análisis de riesgos es identificar y analizar los diferentes factores de riesgo que potencialmente podrán afectar a las actividades que queremos proteger.). De esta forma se pueden priorizar los problemas y su coste potencial desarrollando un plan de acción adecuado. Se ha de tener en cuenta la probabilidad de que sucedan cada uno de los problemas posibles. Análisis del Negocio y Evaluación de Riesgos 6. de Ventas. Dpto. FASE I. 9 . Para conocer cuáles son las necesidades de la compañía en cuanto a estrategias de continuidad. lo primero es conocer y entender cuáles son los procesos de negocio que son esenciales dentro de la compañía en la que se va a desarrollar el Plan. etc. Para ello debemos empezar por responder a cuestiones tales como: • • • • ¿Cuáles son las actividades más importantes para la compañía? ¿Cómo afectaría económicamente una interrupción de los servicios a medida que va pasando el tiempo sin reanudar el servicio? ¿Cuál sería la capacidad operativa de la empresa a medida que pasa el tiempo? ¿Cuál es el plazo máximo para volver a la normalidad sin llegar a incurrir en graves pérdidas? Las actividades/procesos que se clasifican como esenciales dentro de una compañía suelen ser en su mayoría los Operacionales. vamos a utilizar dos mecanismos de análisis: Análisis de Impacto (BIA – Business Impact Analysis): Nos permitirá identificar la urgencia de recuperación de cada función de negocio. La evaluación de riesgos supone imaginarse lo que puede ir mal y a continuación estimar el impacto que supondría para la organización. Atención al Cliente. También es posible. Esta información nos permitirá seleccionar cuál es la estrategia más adecuada. ANÁLISIS DEL NEGOCIO Y EVALUACIÓN DE RIESGOS Para desarrollar un Plan de Continuidad con garantía de éxito.Guía de Desarrollo de Plan de Continuidad de Negocio FASE I. que también deben ser analizados. con el objetivo de asegurar la continuidad de la actividad en caso de contingencia.

las pérdidas sufren un aumento significativo y las funciones no podrían ser reasumidas. si es posible.Guía de Desarrollo de Plan de Continuidad de Negocio FASE I.1 ANÁLISIS DE IMPACTO El Análisis de Impacto es esencial para establecer una estrategia de recuperación. En términos económicos esta valoración sería responder a la pregunta de cuánto perdería la organización si la actividad/proceso no estuviera disponible. La otra. Análisis del Negocio y Evaluación de Riesgos 6. que es la organización y de lo que repercutiría su indisponibilidad. 10 . Relación de Departamentos y Usuarios: Se identifican los departamentos que hay en la empresa y el nombre de las personas que la componen y que intervienen en los procesos. No obstante. Dentro del Análisis de Impacto podemos distinguir las siguientes actividades: • • • Obtención de la Relación de Procesos: Establecer los procesos de negocio que se realizan en la compañía. será necesario establecer un alcance geográfico. Obtención de la Relación de Aplicaciones: Establecer la relación de aplicaciones que soportan los procesos de la compañía. En el Anexo I se incluye un ejemplo de recogida de datos para cada una de las partes que componen el Análisis de Impacto. a partir de un momento que denominaremos Período Máximo de Interrupción. se referiría a las pérdidas económicas por período debido a la ausencia de los procesos (valoración cuantitativa). por lo que es importante que la información sea lo más completa posible. que en principio dará continuidad a las actividades críticas y posteriormente al resto. • • En los casos en que la organización tenga varias sedes. La recogida de esta información permitirá evaluar las necesidades de la organización en materia de continuidad. Determinar cuáles son los Procesos Críticos: Pueden darse dos valoraciones. Período Máximo de Interrupción: El acumulado de pérdidas suele ir creciendo linealmente a medida que pasan los días y las actividades están interrumpidas. El nivel de criticidad de una actividad dentro de la compañía se mide en función de lo dependiente de ella. una basada en la importancia para la compañía de los procesos cuya ausencia tendría un impacto alto en la actividad de la compañía (valoración cualitativa).

). 11 . recogiendo todos aquellos componentes de software. Los procesos de soporte. almacenaje. etc. considerando aquellos elementos o componentes que sin disponer de una tecnología enfocada propiamente al tratamiento de la información sí son requeridos para garantizan la operatividad del servicio. Análisis del Negocio y Evaluación de Riesgos 6. facturación. etc. Podemos dividir los procesos en operativos y procesos de soporte. identificando cada uno de los elementos hardware que soportan los sistemas de información de la compañía. a fin de identificar aquellos que den soporte directo a los servicios críticos. • Sistemas de Infraestructura.1. Los tipos de recursos que se deben analizar son: • Hardware. es esencial la participación de las personas responsables de los mismos dentro de la compañía. Para ello pueden utilizarse entrevistas personales y cuestionarios que nos acercarán a los procesos críticos del negocio. gestión financiera. serían aquellos que facilitan los “recursos” para poder realizar los procesos operativos (recursos humanos. incluido todos los asociados al sistema operativo.1.2 RELACIÓN DE APLICACIONES En este apartado debe recogerse el inventario de los recursos tecnológicos que soportan los procesos de la compañía. • Software de Aplicaciones. Los procesos operativos son aquellos que guardan una relación directa con el cliente (comercial. y de aquellos trabajadores que conocen en profundidad los mismos. indispensables para el funcionamiento y optimización del Sistema de Información de la compañía. atención al cliente.) 6.1 RELACIÓN DE PROCESOS Para obtener la información sobre los procesos y las aplicaciones que los gestionan. • Software Base.Guía de Desarrollo de Plan de Continuidad de Negocio FASE I. inventariando las aplicaciones de gestión que son utilizadas en la empresa.

e. al no poder usar las aplicaciones que no tengan alternativa manual o cuyo tratamiento manual suponga una pérdida de eficiencia importante.) que lo componen.e. deben estimarse para cada uno de los 12 .1.Guía de Desarrollo de Plan de Continuidad de Negocio FASE I. tales como la imagen de la organización ante sus clientes. Sanciones administrativas por incumplimiento de leyes debido a la falta de control en situación de desastre (exposición de datos personales. incumplimiento de normativa internacional como la Ley Sarbanes Oxley. Ingresos dejados de percibir. ya que pueden concurrir aspectos intangibles. Algunos criterios que pueden ayudar a valorar las eventuales pérdidas pueden ser: • Coste de horas de trabajo perdidas. 6. Gastos financieros. asignando mayor prioridad (p.5 PERIODO MÁXIMO DE INTERRUPCIÓN Una vez que obtenemos la visión del negocio. • • • • Para simplificar esta valoración de los procesos podemos establecer una clasificación numérica.3 RELACIÓN DE DEPARTAMENTOS Y USUARIOS Los procesos de la compañía están gestionados por departamentos/usuarios.). La valoración de pérdidas no es una cuestión sencilla. debemos establecer los tiempos de recuperación. Análisis del Negocio y Evaluación de Riesgos 6.1. Dentro del inventario de procesos es necesario conocer el personal involucrado en los mismos. Penalizaciones por incumplimiento de contratos con clientes. Teniendo en cuenta que el objetivo del Plan es dar continuidad al negocio tras un incidente o contingencia grave con las menores pérdidas económicas posibles para la compañía.4 DETERMINAR LOS PROCESOS CRÍTICOS Esta tarea supone evaluar los impactos económicos y operacionales sobre el negocio en caso de no disponer de la función analizada. 6. de los procesos que lo componen y de la criticidad de cada uno de ellos. etc. 3) a aquellos que se consideren menos críticos. Esta información puede obtenerse en las mismas entrevistas donde se recoge la información de los procesos existentes y de los elementos (hardware. etc. software.1. 1) a aquellos procesos que se consideren más críticos y menor prioridad (p.

junto con los tiempos objetivo de puesta en marcha tras un incidente. pueden tener un periodo de recuperación mayor (días o semanas). TIEMPO MÁXIMO DE INTERRUPCIÓN MINUTOS HORAS DIAS SEMANAS MESES TIEMPO DE RECUPERACIÓN OBJETIVO Figura 2. Esta estimación es importante de cara a seleccionar la estrategia de respaldo adecuada a las necesidades de recuperación. 13 . por ejemplo el servicio de banca electrónica de un banco. el Análisis de Criticidad nos da una visión de los procesos. el tiempo a partir del cual las pérdidas económicas afectarían de forma grave a la compañía (Tiempo máximo de interrupción). actividades y recursos a proteger con la prioridad de recuperación de cada uno de ellos. Pueden existir procesos en los que el tiempo de recuperación es muy pequeño (horas). Análisis del Negocio y Evaluación de Riesgos procesos que se han considerado críticos. Tiempos de Recuperación PERDIDAS ECOÓMICAS GRAVES En definitiva. y otros procesos como la facturación a clientes en una empresa de servicios.Guía de Desarrollo de Plan de Continuidad de Negocio FASE I.

El Análisis de Riesgo debe centrarse en los procesos/actividades del negocio que se han considerado críticos. La evaluación de riesgos supone imaginarse lo que puede ir mal y a continuación estimar el coste que supondría. a las siguientes preguntas: ¿Qué se intenta proteger? ¿Cuál es su valor para uno o para la organización? ¿Frente a qué se intenta proteger? ¿Cuál es la probabilidad de un ataque? ESQUEMA DEL ANÁLISIS DE RIESGOS Figura 3. De esta forma se pueden priorizar los problemas y su coste potencial desarrollando un plan de acción adecuado. la evaluación de riesgos que se ha de llevar a cabo ha de contestar. En lo fundamental. antes de lo deseable. Análisis del Negocio y Evaluación de Riesgos 6. Se ha de tener en cuenta la probabilidad de que sucedan cada uno de los problemas posibles. Esquema Análisis de Riesgos 14 . el Plan de Recuperación de Negocio.2 ANÁLISIS DE RIESGOS El objetivo de un Análisis de Riesgos es poner de manifiesto aquellas debilidades actuales que por su situación o su importancia pueden poner en marcha.Guía de Desarrollo de Plan de Continuidad de Negocio FASE I. aunque también puede extenderse a aquellos que no lo son. con la mayor fiabilidad posible.

A continuación se incluye un esquema con la relación existente entre los diferentes elementos que intervienen en el Análisis de Riesgos. se ha obtenido gran parte de esta información.1 IDENTIFICAR ACTIVOS Para cada uno de los procesos críticos de la compañía es necesario realizar un inventario de los activos involucrados en el proceso. sobre los activos que componen los procesos críticos. Análisis del Negocio y Evaluación de Riesgos Existen diferentes metodologías de Análisis de Riesgos: • • • MARION OCTAVE MAGERIT Para el desarrollo de esta guía no se ha seleccionado ninguna metodología concreta. En este inventario se identificará claramente su propietario y su valor para la organización. 6. 15 . Cada activo de la compañía tendrá unos costes asociados.Guía de Desarrollo de Plan de Continuidad de Negocio FASE I. sino que se realiza una descripción general de los pasos que componen un Análisis de Riesgos. Los activos se definen como los recursos de una compañía que son necesarios para la consecución de sus objetivos de negocio. así como su localización actual. y en otros casos es más complicado cuantificar el activo con valores monetarios (activos intangibles) tales como el prestigio o la confianza de los clientes.2. En algunos casos estos costes pueden ser cuantificados con un valor económico (activos tangibles) como el software o el hardware. Ejemplos de activos de una compañía pueden ser: • • • • Información Equipamiento Conocimiento Sistemas Nota: en el apartado anterior. El proceso de elaborar un inventario de activos es uno de los aspectos fundamentales de un correcto análisis de riesgos.

Guía de Desarrollo de Plan de Continuidad de Negocio FASE I. A la hora de analizar los riesgos hay que evaluar las distintas amenazas que pueden provenir de las más diversas fuentes. produciendo daños materiales o pérdidas inmateriales en sus servicios. Figura 5. Clasificación General de Amenazas 16 . las amenazas no intencionadas y los desastres naturales. Análisis del Negocio y Evaluación de Riesgos Figura 4. Componentes del Análisis de Riesgos 6.2. La siguiente ilustración clasifica las distintas amenazas a los sistemas. Entre éstas se incluyen los agresores malintencionados.2 IDENTIFICAR AMENAZAS Una amenaza se define como un evento que puede desencadenar un incidente en la organización.

ex-empleados. A la hora de valorar la probabilidad de ocurrencia de una amenaza. que en España. Para identificar las vulnerabilidades que pueden afectar a una compañía debemos responder a la pregunta: ¿Cómo puede ocurrir una amenaza? Para responder a esta pregunta ponemos como objetivo la amenaza y definimos las distintas situaciones por las que puede ocurrir la misma. serán aplicables distintos tipos de amenazas. etc.Guía de Desarrollo de Plan de Continuidad de Negocio FASE I. para materializarse en un incidente. Por lo tanto. sino que es una condición o un conjunto de condiciones que pueden permitir a una amenaza afectar a un activo. Las amenazas tendrán una probabilidad de ocurrencia que dependerá de la existencia de una vulnerabilidad que pueda ser explotada. Las vulnerabilidades en sí mismas no causan daño alguno. Por ejemplo una amenaza del tipo de desastre natural como es un terremoto. Por ejemplo: si nuestra 17 . a priori podemos decir que el riesgo de daño por terremoto en una compañía situada en Japón es mayor que el de una compañía situada en España. En el componente humano existen dos factores a tener en cuenta: AMENAZA= CAPACIDAD X MOTIVACIÓN La motivación es una característica humana que es difícil de valorar. donde los terremotos ocurren con mayor frecuencia. es decir. evaluando si dentro de la compañía puede darse esa circunstancia. etc.2. robos de información. que las amenazas naturales. En el anexo III se recogen algunos ejemplos de vulnerabilidades. resulta más complicado valorar las amenazas humanas (ataques maliciosos. pero que sin embargo es un factor a considerar: empleados descontentos. 6. En el anexo II se recogen algunos ejemplos de posibles amenazas. Análisis del Negocio y Evaluación de Riesgos Dependiendo de la organización y el proceso analizado.3 EVALUAR VULNERABILIDADES Las vulnerabilidades son debilidades que pueden ser explotadas para convertir una amenaza en un riesgo real que puede causar daños graves en una compañía. tendrá una mayor probabilidad de ocurrencia en una empresa con oficinas en Japón. si el nivel de protección es suficiente para evitar que se materialice la amenaza.). Del listado de amenazas debemos tener en cuenta aquellas que pueden afectar a la organización de forma grave y valorar la probabilidad de que se conviertan en un incidente real.

Cuadro de Escenarios ¿Existen perfiles adecuados de acceso a los datos? Si no se responde afirmativamente a las preguntas de la columna derecha. estimando las pérdidas económicas. el robo de información confidencial de la compañía puede causar un impacto alto si ésta cae en malas manos. es que existen vulnerabilidades que podrían utilizarse de forma que la amenaza se convierta en un incidente real. podemos estimar las pérdidas económicas de equipos tangibles valorando el coste de reposición y puesta en marcha. 2. podemos establecer. 6. Por ejemplo. bajo). Análisis del Negocio y Evaluación de Riesgos Amenaza es que nos roben datos estratégicos de la compañía. y causar daños importantes en la compañía.5 EVALUACIÓN DEL RIESGO Riesgo es la posibilidad de que se produzca un impacto determinado en la organización. medio. Entrada no autorizada a los datos a través del sistema informático. 6. NIVEL DE PROTECCIÓN ¿Existe un control de acceso a los datos? ¿Están los dispositivos de almacenamiento protegidos y controlados de forma adecuada? 3.4 EVALUACIÓN DEL IMPACTO Los incidentes causan un impacto dentro de la organización. La valoración del impacto puede realizarse de forma cuantitativa. o de forma cualitativa. El riesgo calculado es simplemente un indicador ligado al par de 18 . los siguientes escenarios: ESCENARIOS 1. alto.2. que también deberá tomarse en cuenta a la hora de calcular los riesgos. Robo de datos de los dispositivos de almacenamiento magnético.Guía de Desarrollo de Plan de Continuidad de Negocio FASE I. Robo de datos mediante accesos no autorizados.e. entre otros.2. En otro caso. asignando un valor dentro de una escala (p. Figura 6.

Análisis del Negocio y Evaluación de Riesgos valores calculados de vulnerabilidad y el impacto. A continuación se muestra un ejemplo de una matriz de probabilidad/impacto: MEDIO ALTO RIESGO MEDIO RIESGO ALTO RIESGO ALTO BAJO Cuanto más baja sea la probabilidad de ocurrencia (no existan vulnerabilidades) y el impacto sobre la compañía sea también bajo. estaremos en unos niveles de riesgo medio-alto. ambos ligados a su vez de la relación entre el activo y la amenaza a la que el riesgo calculado se refiere. si existen vulnerabilidades que aumenten la probabilidad de ocurrencia o el impacto del incidente sea alto para la compañía. A modo de ejemplo se muestra la siguiente tabla: 19 PROBABILIDADD RIESGO BAJO RIESGO MEDIO RIESGO ALTO RIESGO BAJO BAJO RIESGO BAJO MEDIO RIESGO MEDIO ALTO IMPACTO Figura 7. estaremos en un nivel de riesgo bajo.Guía de Desarrollo de Plan de Continuidad de Negocio FASE I. Matriz de Riesgos . PROBABILIDAD DE INCIDENTES= AMENAZA X VULNERABILIDAD RIESGO= PROBABILIDAD DE INCIDENTES X IMPACTO El riesgo suele expresarse en términos cualitativos (Alto. Bajo). Sin embargo. Medio.

2. Eliminar el riesgo (eliminando la causa o el foco del riesgo).Guía de Desarrollo de Plan de Continuidad de Negocio FASE I.6 EVALUAR CONTRAMEDIDAS Para reducir riesgos se utilizan los denominados controles o medidas de seguridad. Análisis del Negocio y Evaluación de Riesgos DESCRIPCIÓN Terremoto en ciudades situadas fuera de fallas sísmicas Terremoto en ciudades situadas sobre fallas sísmicas Robo de información confidencial compañía con control de acceso lógico Robo de información confidencial compañía sin control de acceso lógico PROBAB BAJA ALTA BAJA ALTA IMPACTO MEDIO MEDIO ALTO ALTO RIESGO BAJO ALTO MEDIO ALTO Una vez que se han evaluado los riesgos. Podemos clasificar los controles en: • Controles preventivos o o Identifican potenciales problemas antes de que ocurran Previenen errores. 20 . Aceptar el riesgo (posicionamiento aprobado por la dirección de la compañía). Controles detectivos o Identifican y “reportan” la ocurrencia de un error. Se pueden tomar diferentes caminos: • • • • Transferir el riesgo a través de seguros o subcontratando la gestión del riesgo a terceras empresas. omisión o acto malicioso ocurrido. Establecer control de acceso físico. Establecer procedimientos / políticas de seguridad. Contratar seguros para los activos. Establecer control de acceso a la información. Ejemplos: • • • • • • Realizar copias de seguridad de los archivos. Reducir el riesgo con controles que los mitiguen. omisiones o actos maliciosos. 6. queda decidir qué hacemos con ellos.

Solucionan errores detectados por controles detectivos. • Corrección de daños por virus. Las medidas seleccionadas para mitigar riesgos deben mantener una proporción entre el esfuerzo y coste necesarios para su implantación y el riesgo que mitigan (evaluación del coste-beneficio). La evaluación de riesgos debe ser periódica y de acuerdo con el modelo de gestión de riesgos de la organización y en función de la evolución del negocio (crecimiento). Modifican los procedimientos para minimizar futuras ocurrencias del problema. de cambios importantes en la organización (procesos internos). nuevas obligaciones legales. Auditorías internas. Revisiones periódicas de procesos. es importante que la compañía conozca sus riesgos y ponga las medidas adecuadas para corregir el mayor número de vulnerabilidades que puedan provocar un incidente grave. Uno de los objetivos del Plan de Continuidad es evitar en la medida de lo posible que se produzcan incidentes que hagan necesaria su ejecución.Guía de Desarrollo de Plan de Continuidad de Negocio FASE I. Detección de virus (Antivirus). • Controles Correctivos o o o o Minimizan el impacto de una amenaza. Identifican la causa de los problemas con el objeto de corregir errores producidos. Sensores de humo. Ejemplos: • Parches de seguridad. Análisis del Negocio y Evaluación de Riesgos Ejemplos: • • • • • Monitorización de eventos. etc. 21 . • Recuperación de datos perdidos. Por ello.

Trabajo Remoto o Teletrabajo: Posibilidad de trabajar ubicaciones exteriores a la compañía mediante conexión remota.Guía de Desarrollo de Plan de Continuidad de Negocio FASE II. ESTRATEGIA DE RESPALDO En esta fase se seleccionarán los métodos operativos alternativos que se van a utilizar en el caso de que ocurra un incidente que provoque una interrupción en la organización. El método seleccionado deberá garantizar la restauración de los procesos afectados en los tiempos determinados por el Análisis de Impacto. FASE II. etc. En este caso se debe poner cuidado en convertir la función no urgente en urgente por ser desatendida durante demasiado tiempo. Reutilización de recursos: Reubicación de personal con funciones no urgentes en tareas que requieren una mayor prioridad. En este caso es importante definir las condiciones de uso y la realización de pruebas periódicas para asegurar las condiciones pactadas. Sitio alternativo subcontratado a terceros: Contratación con compañías especializadas de espacios alternativos para la recuperación de la actividad. 7. Este tipo de estrategia requiere una planificación minuciosa. Utilización de espacios propios: Espacios existentes en la compañía tales como salas de formación. En este tipo de estrategia se asume el riesgo. Cada una de estas estrategias tiene unos parámetros de tiempo. Estrategia de Respaldo 7. cafeterías.1 SELECCIÓN DE ESTRATEGIAS Existen diferentes estrategias para mitigar el impacto de una interrupción. disponibilidad y costes asociados que serán más o menos apropiados dependiendo de las funciones de negocio. A continuación se describen diferentes estrategias para reubicación funcional: • No hacer nada: Este tipo de actuación podría utilizarse en aquellas funciones o actividades que se han clasificado como “no urgentes” en el Análisis de Impacto. desde • • • • Acuerdos Recíprocos: Acuerdos entre dos organizaciones (o dos unidades de negocio de la propia compañía diferentes) con características de equipamiento/espacio similares que permitiría a cada una de las partes recuperar funciones en la otra localización. En este caso hay que asegurar que estas compañías pueden 22 • .

pero también la mejor solución en el caso de que se necesite una recuperación muy rápida de la operación. Esta solución es normalmente la más cara. Módulos prefabricados: Pueden tardar unos días en estar disponibles para su uso. Espacios móviles: Se pueden utilizar rápidamente. 23 .Guía de Desarrollo de Plan de Continuidad de Negocio FASE II. Centro replicado: Solución que permite trasladar de forma inmediata la operación y continuar la actividad de forma inmediata. • A continuación se muestra una tabla que recoge la relación entre el Tiempo Objetivo de recuperación y la solución de continuidad más adecuada a este Objetivo: TIEMPO OBJETIVO DE RECUPERACIÓN MESES INTERNAS CONTRATADO Reconstrucción / Realojamiento Edificios prefabricados OnSite Recuperación “in situ” Trabajo en casa ---- SEMANAS Contratación de unidades móviles o prefabricados Subcontratación de procesos en oficinas móviles Re-localización de un grupo de personas Cambio de funcionamiento a un centro de respaldo subcontratado DIAS HORAS Localizaciones diversas con empleados formados Localizaciones diversas para la misma función INMEDIATO Figura 8. También puede denominarse “centro espejo”. En contrapartida este servicio es más caro que otras alternativas. pero tienen un espacio limitado. Espacio compartido: Se comparte el espacio con otras compañías. Es más barato que un centro dedicado. Estrategia de Respaldo proporcionar unos tiempos de recuperación acordes con las necesidades de la organización. Tabla de Estrategias de Recuperación Fuente: Business Continuity Institute. o o o • Localizaciones diversas: Se traslada la operación pero no el personal. Este tipo de compañías pueden proporcionar diferentes de soluciones: o Espacio dedicado: Se garantiza la disponibilidad inmediata del espacio.

pasaremos a desarrollar todos los procedimientos. costes económicos. funciones y actividades que permitirán restablecer los procesos de negocio en unos plazos razonables. Además deberá considerarse otros factores como: • Ubicación y superficie requerida o o • Espacio suficiente Zonas acondicionadas para acoger a personal Recursos técnicos necesarios: o o o o Hardware Software Comunicaciones Datos de respaldo • Recursos humanos requeridos o o o o Recursos materiales y de infraestructura Servicios auxiliares necesarios Tiempos de activación Coste Suele ocurrir que cuanto menor sea el tiempo de recuperación objetivo. 24 . Una vez tomada la decisión sobre el tipo de estrategia que se utilizará como respaldo en caso de interrupción del negocio. Estrategia de Respaldo De todas las alternativas existentes hay que elegir la más adecuada en cada caso. en cuanto a tiempos de recuperación. etc. Por ello es conveniente realizar un análisis con tiempos de recuperación adecuados y adaptados a la realidad de la compañía. recursos. mayor será el coste de la solución.Guía de Desarrollo de Plan de Continuidad de Negocio FASE II. Dependerá de las necesidades de cada compañía.

Guía de Desarrollo de Plan de Continuidad de Negocio Fase III. Para ello definiremos: • • • • • • Los equipos necesarios para el desarrollo del Plan. etc. A partir de aquí desarrollaremos “nuestro Plan de Continuidad”. de dirigir las acciones durante la Equipo de Recuperación: Su función es restablecer todos los sistemas necesarios (voz. 8. Equipo Logístico: Responsable de toda la logística necesaria en el esfuerzo de recuperación. Valoración de los riesgos que pueden afectar al negocio y que pueden disparar el Plan de Continuidad de Negocio. FASE III. Desarrollo del Plan de Continuidad 8.). a continuación se muestran algunos ejemplos de los equipos que pueden formar parte del Plan: • • • • Comité de Crisis: Encargado contingencia y recuperación. Estrategia de Continuidad más adecuada para el negocio. comunicaciones. Equipo de las Unidades de Negocio: Encargados de la realización de pruebas que verifiquen la recuperación de los sistemas críticos.1 ORGANIZACIÓN DE LOS EQUIPOS Los equipos de emergencia están formados por el personal clave necesario en la activación y desarrollo del Plan de Continuidad. datos. La estrategia de vuelta a la normalidad. Los procedimientos de actuación ante incidentes. valorando cuáles son críticos para el funcionamiento del negocio. Cada equipo tiene unas funciones y procedimientos que tendrán que desarrollar en las distintas fases del Plan. Las dependencias orgánicas entre los diferentes equipos. 25 . Las responsabilidades y funciones de cada uno de los equipos. Aunque la composición y número de equipos puede variar según el tipo de estrategia de recuperación. El desarrollo de los procedimientos de alerta y actuación ante eventos que puedan activar el Plan. DESARROLLO DEL PLAN DE CONTINUIDAD Hasta este momento hemos obtenido: • • • Conocimiento de los procesos de la compañía.

Iniciar el proceso de notificación a los empleados a través de los diferentes responsables. 8. PC’s. Una persona puede pertenecer a más de un equipo. Desarrollo del Plan de Continuidad • Equipo de Relaciones Públicas: Encargado de las comunicaciones a los medios de comunicación y clientes.1 EQUIPO DIRECTOR O COMITÉ DE CRISIS El objetivo de este comité es reducir al máximo el riesgo y la incertidumbre en la dirección de la situación. 8. además de hacer de enlace con la dirección de la compañía.3 EQUIPO LOGÍSTICO Este equipo es responsable de todo lo relacionado con las necesidades logísticas en el marco de la recuperación. Las principales tareas y responsabilidades de este comité son: • • • • Análisis de la situación. Esto incluye todos los servidores. 8. con relación a los tiempos estimados de recuperación. Este Comité debe tomar las decisiones “clave” durante los incidentes. manteniéndoles informados de la situación regularmente.1. 26 .1. tales como: • Transporte de material y personas (si es necesario) al lugar de recuperación.2 EQUIPO DE RECUPERACIÓN El equipo de recuperación es responsable de establecer la infraestructura necesaria para la recuperación. comunicaciones de voz y datos y cualquier otro elemento necesario para la restauración de un servicio.1. Seguimiento del proceso de recuperación.Guía de Desarrollo de Plan de Continuidad de Negocio Fase III. Decisión de activar o no el Plan de Continuidad. siempre y cuando no existan incompatibilidades en las tareas a realizar. El personal asignado a cada uno de los equipos puede variar dependiendo del tamaño de la organización y de la estrategia de recuperación seleccionada.

Sus funciones principales son: • • Elaboración de comunicados para la prensa. para asegurar que todas las necesidades logísticas sean cubiertas. Este equipo debe trabajar conjuntamente con los demás. estableciendo canales de comunicación.4 EQUIPO DE RELACIONES PÚBLICAS Y ATENCIÓN A CLIENTES Se trata de canalizar la información que se realiza al exterior en un solo punto para que los datos sean referidos desde una sola fuente. y serán los encargados de realizar las pruebas de funcionamiento para verificar la operatividad de los sistemas y comenzar a funcionar. 8. 8. si son necesarias.Guía de Desarrollo de Plan de Continuidad de Negocio Fase III.1. Uno de los valores más importantes de una compañía son sus clientes. Reservas de hotel. Cada equipo deberá configurar las diferentes pruebas que deberán realizar para los sistemas. Comida. 27 . por lo que es importante mantener informados a los mismos. Contacto con los proveedores. Comunicación con los clientes.1.5 EQUIPO DE LAS UNIDADES DE NEGOCIO Estos equipos estarán formados por las personas que trabajan con las aplicaciones críticas. Desarrollo del Plan de Continuidad • • • • Suministros de oficina.

Guía de Desarrollo de Plan de Continuidad de Negocio Fase III. Desarrollo del Plan de Continuidad

8.2

DESARROLLO DE PROCEDIMIENTOS

Una vez que hemos definido los equipos y se han establecido las funciones que debe desempeñar cada equipo, tenemos que desarrollar los procedimientos que van a seguir, y su actuación en cada una de las fases de activación del Plan de Continuidad.

- FASE DE ALERTA
• • • Procedimiento de notificación del desastre. Procedimiento de lanzamiento del Plan Procedimiento de notificación de la puesta en marcha del Plan a los equipos implicados.

- FASE DE TRANSICIÓN • • Procedimiento de concentración de equipos. Procedimiento de traslado y puesta en marcha de la recuperación.

- FASE DE RECUPERACIÓN • • Procedimientos de restauración. Procedimientos de soporte y gestión.

- FASE DE VUELTA A LA NORMALIDAD • • Análisis del impacto. Procedimientos de vuelta a la normalidad.

En el siguiente esquema podemos ver las fases que componen el Plan de Continuidad de Negocio:

28

Guía de Desarrollo de Plan de Continuidad de Negocio Fase III. Desarrollo del Plan de Continuidad

Figura 9. Fases y Actividades del Plan de Continuidad

8.2.1 FASE DE ALERTA
La Fase de Alerta define los procedimientos de actuación ante las primeras etapas de un suceso que implique la pérdida parcial o total de uno o varios servicios críticos. Dividiremos esta fase en tres partes: Notificación: Define cómo y quién debe ser informado en primera instancia de lo ocurrido. Evaluación: Análisis de la situación y valoración inicial de los daños. Definición de estrategias. Ejecución del Plan: Decisión del equipo director de disparar el Plan debido al alcance de los daños.

Notificación Dado que no es posible confeccionar un Plan de Alerta que dé cabida a todos los casos que resultan de suponer que cualquier persona pueda dar aviso de un incidente, vamos a suponer que la persona que descubre la contingencia será un empleado o cualquier otra persona próxima al lugar donde ocurre el incidente. Como parte del Plan de Continuidad se debe establecer un programa de concienciación, en el que se informe debidamente al personal de cómo actuar ante estos casos y a quién comunicar lo ocurrido.
29

Guía de Desarrollo de Plan de Continuidad de Negocio Fase III. Desarrollo del Plan de Continuidad

EVENTO
1 Situación de contingencia/incidente detectado por algún empleado de la compañía. (Fuego, inundación, virus, etc.).

ACCIÓN
Aviso inmediato con el máximo detalle posible al Responsable de Personal de turno o a Seguridad. Aviso a la persona de contacto del Comité de Crisis. Aviso a los equipos de emergencia (si procede).

2 El responsable de turno o de seguridad conoce que ha sucedido una contingencia.

Figura 10. Cuadro Fase de Notificación

Evaluación Una vez que un miembro del Comité de Crisis es contactado e informado del incidente, procederá a evaluar la situación con la recopilación de la mayor información posible. El Comité informará a los responsables de los distintos equipos de lo ocurrido y de la situación en ese momento para que permanezcan en situación de espera, hasta que se tome la decisión de disparar el Plan o iniciar otro tipo de estrategia.

EVENTO
3 Conocimiento por algún miembro del Comité de incidente ocurrido.

ACCIÓN
El equipo del Comité se reunirá en un lugar acordado previamente y evaluará la situación. Este Comité deberá tomar la decisión de activar o no el Plan de Continuidad. Será necesario informar de la situación a los siguientes responsables: • • • • • Responsable de Seguridad. Comité de Dirección de la Empresa. Relaciones Públicas. Equipo de Recuperación. Responsable de los Equipos.

Figura 11. Cuadro Fase de Evaluación

Ejecución del Plan Una vez que el Comité de Crisis ha decidido poner en marcha el Plan de Recuperación, debe de iniciarse el árbol de llamadas (En el Anexo IV se incluye un ejemplo de un árbol de llamadas) para comunicar a los Responsables y
30

Realizaremos una descripción general de los procedimientos. A continuación pasamos a describir de manera detallada cada uno de los procedimientos y equipos que deben interactuar en esta fase de transición. Si el incidente ocurre fuera del horario de trabajo. ya que son éstos los encargados de que todo esté disponible para comenzar la recuperación en el menor tiempo posible. se tomará como punto de encuentro los lugares designados en el Plan de Emergencia. deberán acudir al centro de reunión. Paso a la Fase de Transición. este procedimiento puede variar. que podrá completarse una vez que se tome una solución definitiva. y por tanto el Plan de Continuidad fallará. Ambos procedimientos son la base del proceso de recuperación de los sistemas. no será posible comenzar la recuperación. Procedimientos de puesta en marcha del centro de recuperación.2 FASE DE TRANSICIÓN La Fase de Transición es la fase previa a la de recuperación de los sistemas. Es importante que en esta fase exista una coordinación entre los diferentes equipos y equipos de logística. Desarrollo del Plan de Continuidad componentes de cada equipo la situación de inicio de las actividades del Plan para comenzar los procedimientos de actuación de cada uno de ellos. el lugar de reunión será el designado como centro de respaldo. Procedimientos de concentración y traslado de material y personas Dependiendo de la solución final que se decida como estrategia de respaldo. Una vez avisados los equipos y puesto en marcha el Plan. ACCIÓN Iniciar el árbol de llamadas. Informar al Comité de Dirección. EVENTO 4 Consideración por parte del Comité de Crisis y ejecución del Plan.Guía de Desarrollo de Plan de Continuidad de Negocio Fase III. Deberá informarse también al Comité de Dirección. 5 Figura 10. Podemos dividir la fase de transición en dos partes principalmente: • • Procedimientos de concentración y traslado de personas y equipos. 31 .2. o cualquier otro designado por el Comité de Dirección de Crisis. Si esta parte falla. Cuadro Fase de Lanzamiento del Plan 8. En el caso de que la emergencia se declare en horas de trabajo.

tanto de software como de comunicaciones. Procedimientos de soporte y gestión Una vez restaurados los sistemas hay que comprobar su funcionamiento. Desarrollo del Plan de Continuidad Además del traslado de personas al centro de recuperación (si es necesario) hay que realizar una importante labor de coordinación para el traslado de todo el material necesario para poner en marcha el centro de recuperación (cintas de backup.Guía de Desarrollo de Plan de Continuidad de Negocio Fase III. Podemos dividir esta fase en dos: • • Procedimientos de Restauración Procedimientos de Gestión y Soporte Procedimientos de Restauración Estos procedimientos se refieren a las acciones que se llevan a cabo para restaurar los sistemas críticos. hay que poner en marcha este centro. . y con todos los elementos necesarios disponibles para comenzar la recuperación. etc. 32 .2..) Procedimientos de puesta en marcha del centro de recuperación Una vez concentrados los distintos equipos que van a intervenir en la recuperación. 8. documentación. realizar un mantenimiento sobre los mismos y protegerlos. se procederá a la carga de datos y a la restauración de los servicios críticos.3 FASE DE RECUPERACIÓN Una vez que hemos establecido las bases para comenzar la recuperación. material de oficina.. Este proceso y el anterior suele precisar los mayores esfuerzos e intervenciones para cumplir con los plazos fijados. Los integrantes del equipo de unidades de negocio serán los encargados de comprobar y verificar el correcto funcionamiento de los procesos. estableciendo la infraestructura necesaria. de manera que se reanude el negocio con las máximas garantías de éxito.

2. etc. etc. tenerlos en cuenta para la adecuación del mismo.2. mobiliario. 8. cada equipo deberá realizar un informe de las acciones llevadas a cabo y sobre el cumplimiento de los objetivos del Plan de Continuidad.5 GENERACIÓN DE INFORMES Y EVALUACIÓN Una vez solventado el incidente y vuelto a la normalidad. debemos plantearnos las diferentes estrategias y acciones para recuperar la normalidad total de funcionamiento. material. y en su caso. así como conocer los posibles fallos. Procedimientos de vuelta a la normalidad Una vez determinado el impacto deben establecerse los mecanismos que en la medida de lo posible lleven a recuperar la normalidad total de funcionamiento. Toda esta información servirá para valorar si el Plan ha funcionado según lo planeado. Procedimientos de vuelta a la normalidad Análisis del impacto El análisis de impacto pretende realizar una valoración detallada de los equipos e instalaciones dañadas para definir la estrategia de vuelta a la normalidad. dificultades con las que se encontraron. Estas acciones incluyen las necesidades de compra de nuevos equipos. 33 . Desarrollo del Plan de Continuidad 8. los tiempos empleados. Para ello vamos a dividir esta fase en diferentes procedimientos: • • Análisis del impacto.4 FASE DE VUELTA A LA NORMALIDAD / FIN DE LA EMERGENCIA Una vez con los procesos críticos en marcha y solventada la contingencia.Guía de Desarrollo de Plan de Continuidad de Negocio Fase III.

1. Por ello es importante reproducir escenarios que proporcionen un nivel de entrenamiento adecuado a las situaciones de riesgo. El Plan de Pruebas diseñado tiene como objetivos: • Evaluar la capacidad de respuesta ante una situación de desastre que afecte a los recursos de la compañía. FASE IV.2 TIPOS DE PRUEBAS Las pruebas de un Plan de Continuidad deben tener dos características principales: Realismo: La utilidad de las pruebas se reduce con la selección de escenarios irreales. OBJETIVOS DEL PLAN DE PRUEBAS El Plan de Continuidad no se considerará válido hasta que no se haya superado satisfactoriamente el Plan de Pruebas que asegure la viabilidad de las soluciones adoptadas. Probar la efectividad y los tiempos de respuesta del Plan para comprobar que están alineados con la definición realizada en el diseño. PRUEBAS Y MANTENIMIENTO 9.1 PRUEBAS 9.1. Exposición Mínima: Las pruebas deben diseñarse de forma que impacten lo menos posible en el negocio. Identificar las áreas de mejora en el diseño y ejecución del Plan. Comprobar si los procedimientos desarrollados son adecuados para soportar la recuperación de las operaciones de negocio. Evaluar si los participantes del ejercicio están suficientemente familiarizados con la operativa en situación de contingencia.Guía de Desarrollo de Plan de Continuidad de Negocio Fase IV. Pruebas y Mantenimiento 9. es decir. Concienciación y formación para los empleados a través de la realización de pruebas. que si se programa una prueba que 34 . • • • • • 9.

2. Ejemplos de elementos verificados durante un ejercicio de simulación son: Procedimientos de emergencia. pero puede planificarse su restauración y validación en el centro alternativo. Accesibilidad al centro de respaldo.1 EJERCICIOS TÉCNICOS Este tipo de ejercicio requerirá la ejecución de procedimientos de notificación y operativos. es necesario desarrollar un programa de pruebas planificado para garantizar que todos los aspectos de los planes y personal se han ensayado durante un período de tiempo. Normalmente. personal técnico y de operaciones. software y posibles centros y métodos alternativos para asegurar un rendimiento adecuado. Métodos alternativos. incluyendo usuarios. debe realizarse una ventana de tiempo que impacte lo menos posible para el negocio. Capacidad y rendimiento del hardware. los procesos en producción no son interrumpidos. 35 . este tipo de prueba requiere la participación de toda la organización de continuidad del negocio.2 TEST COMPLETO Los ejercicios de test son ejercicios planificados que implican la restauración real de la capacidad de proceso en un centro alternativo. Recuperación de datos. Portabilidad del software. Movilización de los equipos de trabajo. Generalmente. 9. Recuperación de ficheros y documentación almacenados en lugar externo. el uso de equipos de hardware. Líneas de telecomunicaciones de backup. 9.2. Por ello. Pruebas y Mantenimiento suponga una parada de los sistemas de información.Guía de Desarrollo de Plan de Continuidad de Negocio Fase IV. En algunos casos puede resultar complicado realizar una prueba completa del Plan de Continuidad de Negocio. Procedimientos de notificación Vendedores / Clientes.

Pruebas y Mantenimiento 9.3 MANTENIMIENTO DEL PLAN DE CONTINUIDAD Por la propia dinámica de negocio.Guía de Desarrollo de Plan de Continuidad de Negocio Fase IV. 36 . se van incorporando nuevas soluciones a los Sistemas de Información y los activos informáticos van evolucionando para dar respuesta a las necesidades planteadas. La correcta planificación del mantenimiento del Plan de Continuidad evitará que quede en poco tiempo obsoleto y que en caso de contingencia no pueda dar respuesta a las necesidades.

Guía de Desarrollo de Plan de Continuidad de Negocio ANEXOS ANEXOS 37 .

Nombre del Sistema Tipo de Sistema Descripción Criticidad (PC/Servidor/ Mainframe) Nº de Equipos con la aplicación Responsable Contacto Técnicos Rangos de Criticidad: 1 – La organización/departamento no puede funcionar sin el sistema 2 – La organización/departamento no puede funcionar parcialmente sin el sistema 3 . Frecuencia Proceso Subproceso Breve descripción (Diario/Semanal Mensual) Persona responsable o SISTEMAS QUE SOPORTAN EL PROCESO En este cuadro se recogen los sistemas que soportan el proceso analizado.Guía de Desarrollo de Plan de Continuidad de Negocio Anexo I – Cuadros de Recogida de Datos Análisis de Impacto ANEXO I – CUADROS DE RECOGIDA DE DATOS ANÁLISIS DE IMPACTO o CUADRO DE PROCESOS En este cuadro se recogen los procesos y subprocesos que componen la organización donde se va a desarrollar el Plan de Continuidad.La organización/departamento puede funcionar sin el sistema 38 .

Descripción Tipo Criticidad Localización Rangos de Criticidad: 1 – La organización/departamento no puede funcionar sin el activo 2 – La organización/departamento no puede funcionar parcialmente sin el activo 3 . datos. infraestructura.).Guía de Desarrollo de Plan de Continuidad de Negocio Anexo I – Cuadros de Recogida de Datos Análisis de Impacto o RECURSOS HARDWARE DEL PROCESO En este apartado se recogen los componentes hardware que soportan los procesos. Tipo de hardware Detalles del Modelo/Configuración Distribuidor Criticidad Localización Rangos de Criticidad: 1 – La organización/departamento no puede funcionar sin el hardware 2 – La organización/departamento no puede funcionar parcialmente sin el hardware 3 .La organización/departamento puede funcionar sin el activo 39 . etc.La organización/departamento puede funcionar sin el hardware o OTROS ACTIVOS En este apartado se recogen todos aquellos activos (comunicaciones. que forman parte del proceso y que son necesarios para dar continuidad al mismo en caso de interrupción.

se determinará el tiempo máximo de interrupción.Guía de Desarrollo de Plan de Continuidad de Negocio Anexo I – Cuadros de Recogida de Datos Análisis de Impacto o TIEMPO MÁXIMO DE INTERRUPCIÓN Para cada uno de los procesos. 40 . especificando cuántos días puede permanecer el proceso sin incurrir en pérdidas económicas graves. Día 7–30: El proceso debe ser recuperado después de la primera semana y antes de un mes. Más 30 días: El proceso pude esperar más de 30 días a ser recuperado. Proceso Necesidades de Recuperación Criticidad Necesidad de Recuperación: Día 0 : Recuperación inmediata Día 1-7: El proceso debe ser recuperado entre el primer y el quinto día después de un incidente.

Listado de Amenazas ANEXO II . gases tóxicos Subida de tensión Fallo de suministro eléctrico Fallo de la UPS Accidentes del personal Capacidad inadecuada de las comunicaciones Fallo/degradación del hardware Fallo/degradación de las comunicaciones Errores de operación Fallos en las copias de seguridad Fallos de los sistemas de autenticación/autorización Pérdida de confidencialidad Incumplimientos legales ATAQUES INTENCIONADOS Explosivos Fuego intencionado Accesos no autorizados al edificio Actos de vandalismo Radiaciones electromagnéticas Robos intencionados Manipulación de datos/software Manipulación de hardware Uso de software por personal no autorizado Acceso no autorizados a datos de la compañía Software malicioso Robo de equipos Robo de documentos 41 .LISTADO DE AMENAZAS AMENAZAS DESASTRES NATURALES Huracanes Inundaciones Incendios DAÑOS ACCIDENTALES Fuego fortuito Inundaciones Fallo del aire acondicionado Exceso de humedad Humo.Guía de Desarrollo de Plan de Continuidad de Negocio ANEXO II .

Guía de Desarrollo de Plan de Continuidad de Negocio ANEXO II .Listado de Amenazas Robo de software Descarga de software no controlada Interceptación de las líneas de comunicación Manipulación de las líneas de comunicación Abuso de privilegios de acceso Introducción de virus en los sistemas Troyanos Ataques por ingeniería social Bombas lógicas Ataques de denegación de servicio Errores intencionados Copias incontroladas de documentos/software/datos Errores en el mantenimiento Corrupción de datos Incumplimientos legales intencionados 42 .

etc. Ley Sarbanes Oxley.) Definición de privilegios de acceso inadecuada Ausencia de un Plan de recuperación de incidentes 43 .Guía de Desarrollo de Plan de Continuidad de Negocio ANEXO III – Ejemplos de Vulnerabilidades ANEXO III – EJEMPLOS DE VULNERABILIDADES VULNERABILIDADES Existencia de materiales inflamables como papel o cajas Cableado inapropiado Ancho de banda inapropiado Suministro eléctrico inapropiado Mantenimiento inapropiado del servicio técnico Ausencia de mantenimiento Educación inadecuada del personal en virus y malware Políticas de firewall inadecuadas Política de seguridad de la información inadecuada Ausencia de política de seguridad Derechos de acceso incorrectos Ausencia de un sistema de extinción automática de fuegos/humos Ausencia de backup Ausencia de control de cambios de configuración eficiente y efectiva Ausencia de mecanismos de identificación y autenticación Ausencia de política de restricción de personal para uso licencias de software Ubicación física en un área susceptible de desastres naturales Carencia de software antivirus Descarga incontrolada y uso de software de Internet Ausencia de mecanismos de cifrado de datos para la transmisión de datos confidenciales Protección física de equipos inadecuada Personal sin formación adecuada Incumplimientos legales (LOPD.

Guía de Desarrollo de Plan de Continuidad de Negocio Anexo IV – Ejemplo Árbol de Llamadas ANEXO IV – EJEMPLO ÁRBOL DE LLAMADAS Comité de Crisis Comité de Dirección Equipo de Recuperación Equipo de Coordinación Logística Equipo de Seguridad Equipo de Relaciones Públicas Equipo de Unidades de Negocio 44 .

nist.Mejores prácticas en Seguridad Informática http://www.Base de datos de vulnerabilidades http://www-5.com/ .thebci.securityfocus.Base de datos de vulnerabilidades X-Force http://nvd.com/services/cache/9270-0-0-197-470.html .Información y guías sobre Continuidad http://www.Revista de Continuidad de Negocio http://www.nist.com/ .www2.com/ .contingencyplanning.html Proveedor de Servicios de Continuidad de Negocio 45 .org/pas56.htm .org/ .iss.Portal de Business Continuity Plan http://www.Proveedor de Servicios de Continuidad de Negocio http://h20219.Business Continuity Institute http://www.disaster-recovery-guide.Base de datos de vulnerabilidades del NIST http://www.ibm.com/services/es/portfolios/recuperacion.globalcontinuity.hp.gov/ .net/ .Guía de Desarrollo de Plan de Continuidad de Negocio Anexo V – Sitios de Interés ANEXO V – SITIOS DE INTERÉS http://www.com/ .

Guía de Desarrollo de Plan de Continuidad de Negocio CASO DE ESTUDIO 46 .

A. nóminas.A. en otro no se ha instalado. el Director de Informática de Zapasol S. 47 . atención al cliente. ha propuesto la realización de un Plan de Continuidad de Negocio. A continuación se describe brevemente cuál es la situación actual en cuanto a seguridad de la compañía: • • • • • • No existe una política de seguridad en la compañía. Como parte de los proyectos a acometer durante el año 2007. repartidos en dos plantas de fabricación. para configurar una estrategia de recuperación ante cualquier evento grave que haga peligrar el negocio de la empresa. una en Valencia y otra en Albacete distante 200 kilómetros.Guía de Desarrollo de Plan de Continuidad de Negocio Caso de Estudio CASO DE ESTUDIO ANTECEDENTES Zapasol S. El rápido desarrollo y expansión de esta compañía ha resultado en un crecimiento tecnológico importante en los procesos de soporte. Sólo hay antivirus en algunos equipos. bases de datos. Este departamento y su centro de proceso de datos se encuentran en Valencia. Dentro de la propia fábrica cuentan con un pequeño departamento de informática formado por 4 empleados que se encargan de la gestión de todo lo relacionado con comunicaciones. software. hardware. pero los usuarios comparten contraseñas. El éxito de venta de este tipo de zapatos les ha llevado a mercados internacionales. …. importando a más de 20 países. Existe control de acceso a los equipos. es una compañía que fabrica zapatos con materiales reciclados. cuenta actualmente con 80 empleados. etc. No se realizan copias de seguridad de la información.A. las medidas de seguridad no han acompañado de igual forma a este crecimiento. Zapasol S. Los servidores se encuentran en una sala sin ninguna medida de protección física. tales como facturación. Sin embargo.

Guía de Desarrollo de Plan de Continuidad de Negocio Caso de Estudio ANÁLISIS DE IMPACTO Para desarrollar este Plan. Software. PROCESO PEDIDOS • Sistemas del proceso de Pedidos: 48 . Para ello. Luis se ha entrevistado con los responsables de los procesos obteniendo la siguiente información: Frecuencia Proceso Subproceso Breve descripción (Diario/Semanal Mensual) Pedidos -Se encarga de recibir todos los pedidos de los distintos clientes y de gestionar su envío en los plazos y condiciones establecidas Recogida y Gestión de incidentes Selección y formación del personal de la compañía Generación y Pago de las Nóminas de los empleados Control y Gestión del stock de zapatos en los almacenes Diario Inés Burgos Responsable Atención al Cliente Recursos Humanos Nóminas --- Diario Ángela Cano -- Según necesidad Mensual Marta Álvarez -- Laura Cuesta Stock --- Diario Antonio Romero Nota: Para el ejemplo sólo se toman dos procesos de muestra (Pedidos y Nóminas) COMPONENTES DE LOS PROCESOS A continuación se describen cada uno de los componentes Hardware.. etc. Comunicaciones. antes de incurrir en pérdidas graves. estableciendo los tiempos de recuperación de los mismos. el director de informática ha encargado a Luis (otro de los empleados del departamento de informática) que realice un inventario de los procesos críticos de la compañía.A. que conforman los procesos definidos en Zapasol S.

Guía de Desarrollo de Plan de Continuidad de Negocio Caso de Estudio Nombre del Sistema Correo Electrónico Gestión Pedidos Descripción Criticidad Tipo de Sistema (PC/Servidor/ Mainframe) Servidor de Correo Nº de Equipos con la aplicación 4 Responsable Contacto Técnicos ---- 2 --- Aplicación para la Gestión de pedidos 1 4 ---- • Hardware del proceso de Pedidos: Tipo de Hardware Servidor de Correo Detalles del Modelo/Configuración PowerEdgeTM 1900 Servidor en torre de núcleo cuádruple con 2 sockets Procesador Intel® CoreTM 2 Duo E6000 Chipset Q965 ICH8DO compatible con Active Management Technology (iAMT 2.1) de Intel® Solución LAN Gigabit Ethernet de Intel® Distribuidor Dell Criticidad 3 Localización Centro proceso datos Valencia PC’s Dell 2 Centros de Valencia y Albacete Servidor de Aplicaciones PowerEdgeTM 2900 Servidor en torre de núcleo cuádruple con 2 sockets Dell 1 Centro proceso datos Valencia • Otros Activos del proceso: Descripción Línea RDSI comunicaciones de Tipo Comunicaciones Criticidad 1 Localización Centros de trabajo 49 .

1) de Intel® Solución LAN Gigabit Ethernet de Intel® Distribuidor Dell Criticidad 2 Localización Centro proceso datos Valencia PC’s Dell 2 Centros de Valencia y Albacete 50 .Guía de Desarrollo de Plan de Continuidad de Negocio Caso de Estudio Impresoras Centralita de Comunicaciones Hardware Comunicaciones 2 3 Centros de trabajo Centros de trabajo PROCESO DE NÓMINAS • Sistemas del proceso de Nóminas: Nombre del Sistema Aplicación Nóminas Descripción Criticidad 3 Tipo de Sistema (PC/Servidor/ Mainframe) Servidor / PC’s Nº de Equipos con la aplicación 3 Responsable Laura Cuesta Contacto Técnicos ----- Programa que se encarga de realizar el cálculo de las nóminas Sistema Operativo Windows 2 PC’s 20 Angel Perez Soporte Windows • Hardware del proceso de Nóminas: Tipo de Hardware Servidor de aplicaciones Detalles del Modelo/Configuración PowerEdgeTM 1900 Servidor en torre de núcleo cuádruple con 2 sockets Procesador Intel® CoreTM 2 Duo E6000 Chipset Q965 ICH8DO compatible con Active Management Technology (iAMT 2.

Guía de Desarrollo de Plan de Continuidad de Negocio Caso de Estudio • Otros Activos del proceso Descripción Impresoras Tipo Hardware Criticidad 2 Localización Centros de trabajo 51 .

ya que si no se pueden gestionar los pedidos de los clientes la empresa no puede dar servicio y por lo tanto incurrirá rápidamente en pérdidas. la compañía puede esperar semanas a que se restablezca y crear procedimientos alternativos como por ejemplo. repetir el último pago de nómina a los trabajadores y realizar las compensaciones correspondientes. Por ello es importante que este proceso se recupere lo antes posible. cuando estén disponibles de nuevo los sistemas. Proceso NOMINAS Necesidades de Recuperación En 15-30 días Criticidad 3 Aunque el proceso de Nóminas es importante.Guía de Desarrollo de Plan de Continuidad de Negocio Caso de Estudio TIEMPO MÁXIMO DE RECUPERACIÓN DE LOS PROCESOS Necesidades de Recuperación En 2-3 días Proceso PEDIDOS Criticidad 1 El proceso de Pedidos es clave para la organización. 52 .

MAGERIT. etc. OCTAVE.Guía de Desarrollo de Plan de Continuidad de Negocio Caso de Estudio ANÁLISIS DE RIESGOS Una parte importante dentro del desarrollo del Plan de Continuidad es el Análisis de Riesgos. sin entrar en metodologías concretas ni valoraciones de los activos.) que pueden aplicarse para realizar el Análisis de Riesgos. Este análisis permitirá a la compañía conocer sus riesgos y gestionarlos de forma adecuada. elaboraremos el Análisis de Riesgos. 53 . Existen diferentes metodologías de riesgo (NIST. INVENTARIO DE ACTIVOS Activo/Descripción SERVIDOR DE APLICACIOMES Hardware Tipo Propietaro ---- Localización Centro de Proceso de datos Servidores y PC’s Base de datos Valor MEDIO APLICACIÓN DE PEDIDOS INFORMACIÓN CLIENTES IMPRESORAS Aplicación ---- MEDIO Información ---- ALTO Hardware ---- Centros de Albacete y Valencia Centros de Albacete y Valencia BAJO REDES DE COMUNICACIONES Comunicaciones ---- BAJO LISTADO DE AMENAZAS Del listado de Amenazas marcamos las que pueden afectar la compañía en su situación actual. Tomando como ejemplo el inventario de los procesos descritos y las premisas descritas en la presentación de la compañía. Para el ejemplo realizaremos un análisis con un enfoque general.

Guía de Desarrollo de Plan de Continuidad de Negocio Caso de Estudio AMENAZAS DESASTRES NATURALES Inundaciones Incendios DAÑOS ACCIDENTALES Fuego fortuito Inundaciones Fallo de suministro eléctrico Pérdida de confidencialidad Incumplimientos legales ATAQUES INTENCIONADOS Accesos no autorizados al edificio Accesos no autorizados a datos de la compañía Actos de vandalismo Robo de equipos Robo de datos / documentos POSIBLE x x x x x x x x x x x x VULNERABILIDADES Tomando como base los objetivos de seguridad de la ISO 17799 y en función de las Amenazas que hemos marcado como posibles. Inundación del Centro de Proceso de Datos 2. NIVEL DE PROTECCIÓN ¿El centro está situado en un terreno alto? ¿Existen Unidades de Suministro Eléctrico Alternativo (UPS)? RESPUESTA NO NO 54 . Fallos del Suministro Eléctrico. ESCENARIOS 1. establecemos los escenarios en que una amenaza puede convertirse en un incidente de seguridad.

se propone la puesta en marcha de las siguientes contramedidas: Realizar copias de seguridad periódicamente. 4. Pérdida de servicios por infección de virus NO EVALUACIÓN DE RIESGOS DESCRIPCIÓN Terremotos Pérdida del servicio por fallos en la alimentación eléctrica Accesos no autorizados al edificio Robo de información confidencial compañía Pérdida de información crítica de la compañía PROBAB BAJA ALTA BAJA ALTA ALTA IMPACTO MEDIO MEDIO ALTO ALTO ALTO RIESGO BAJO ALTO MEDIO ALTO ALTO RECOMENDACIONES . Establecer detectores de humo y alarmas de fuego. Pérdida de información clave de la compañía. Accesos no autorizados al edificio 5.Guía de Desarrollo de Plan de Continuidad de Negocio Caso de Estudio 3. Establecer un control de acceso físico al lugar donde se encuentran los equipos con información clave para la compañía. Instalar antivirus en todos los equipos de la compañía.CONTRAMEDIDAS Para gestionar los riesgos detectados y mitigarlos en la medida de lo posible. Controlar el acceso a la información estableciendo mecanismos de autenticación. o o o o o 55 . Robo de datos ¿Se realizan copias de seguridad de los datos periódicamente? ¿Existe un control de acceso físico a los edificios de la compañía? ¿Existe una clasificación de la información adecuada al nivel de confidencialidad de los datos? ¿Están los equipos protegidos por un antivirus? No periódicamente NO NO 6.

sin que el impacto de un incidente tuviera consecuencias catastróficas para la compañía. De esta forma Zapasol S. etc. 56 .).A. capacidad de disco. Para que estos equipos sean válidos será necesario equipar la infraestructura del centro de trabajo de Albacete con algunos elementos extras (incremento de memoria. podrán utilizarse en primera instancia los equipos que se utilizan en este centro.Guía de Desarrollo de Plan de Continuidad de Negocio Caso de Estudio ESTRATEGIA DE RECUPERACIÓN Una vez que se ha realizado la gestión de los riesgos detectados. Para ello. podría seguir dando servicio a sus clientes. de forma que se reaproveche la inversión. De las alternativas existentes y dado que la opción de subcontratar espacios y soporte a terceros resultaría muy cara para Zapasol S.. se debe seleccionar una estrategia de recuperación de negocio que asegure la continuidad de los procesos que hemos considerado críticos en el Análisis de Impacto. la solución más adecuada sería utilizar el centro de Albacete con alternativa en caso de incidencia grave.A.

que serán necesarios en caso de activación del Plan de Continuidad. el Comité de Crisis debe reunirse y tomar decisiones para afrontar la situación. COMITÉ DE CRISIS Listado de Integrantes del Comité. Una vez que se comunica un incidente.Guía de Desarrollo de Plan de Continuidad de Negocio Caso de Estudio DESARROLLO DEL PLAN Una vez que se ha seleccionado la estrategia de continuidad.A. se puede comenzar a construir el Plan de Continuidad definiendo la estructura y composición de los equipos y las acciones de cada uno de ellos. es una empresa de tamaño medio.. Deben estar continuamente informados de 57 . reduciremos el número de equipos y su composición. Responsable del Comité Nombre: Rodolfo Pérez Posición: Director General Teléfono Móvil: XXXXXXX Teléfono Casa: XXXXXXX Miembros del Comité Nombre: Arturo Cañas Posición: Director Fábrica Teléfono Móvil: XXXXXXX Teléfono Casa: XXXXXXX Nombre: Luis Jiménez Posición: Director Informática Teléfono Móvil: XXXXXXX Teléfono Casa: XXXXXXX Nombre: Marta Álvarez Posición: Directora de RRHH Teléfono Móvil: XXXXXXX Teléfono Casa: XXXXXXX Lugar de Reunión: Casa del Director General sita en calle Carmelo 25 de Valencia. Dado que Zapasol S.

se tomará como punto de reunión el polideportivo “Deporte y Salud”. situado a 500 metros del centro de trabajo y con quienes se ha firmado un acuerdo de colaboración. Nóminas.Guía de Desarrollo de Plan de Continuidad de Negocio Caso de Estudio la situación y determinar si es necesario iniciar el Plan de Continuidad. En este caso. o o o o o Punto de Reunión: Centro de Trabajo de Valencia. impresoras. se comunicará a los responsables de los equipos del comienzo de las actividades que llevarán a restablecer los servicios en el centro de Albacete. Se contactará con la persona responsable de logística para que solicite a los proveedores todos los equipos necesarios en los plazos acordados (durante el desarrollo del plan).) y que no se ha podido salvar del Centro de Valencia. EQUIPO DE RECUPERACIÓN El equipo de recuperación es el encargado de poner en marcha todo el proceso de recuperación para restaurar los servicios en el Centro de Albacete. se tomará la última copia de seguridad de los sistemas que semanalmente se manda desde el Centro de Valencia a Albacete. Para la puesta en marcha de los sistemas. etc. PC’s. Facturación. Si no es posible reunirse en el Centro de Valencia porque los daños sean cuantiosos. debe comprobarse su operatividad. Para ello realizarán las siguientes actividades: Se trasladarán en coche desde Valencia al Centro de Albacete. sirvan todo el material necesario (servidores. etc. En primera instancia se reutilizarán los equipos del centro de Albacete para iniciar los servicios. Pondrán en marcha por orden de criticidad los sistemas: Pedidos. 58 . Una vez que se vayan restaurando los servicios. Correo.

etc. En función del tipo de incidente se encargará de: Atender las necesidades logísticas de primera instancia tras contingencia. Reservar habitaciones de hotel en Albacete para las personas que se desplacen a este Centro. o o Listado de Proveedores 59 .) la o o Contactar con los proveedores para solicitar el material necesario que indiquen los responsables de la recuperación.Guía de Desarrollo de Plan de Continuidad de Negocio Caso de Estudio Listado de Integrantes del Equipo de Recuperación Integrantes del Equipo Nombre: Federico Alonso Posición: Responsable de Sistemas Teléfono Móvil: XXXXXXX Teléfono Casa: XXXXXXX Nombre: Alba González Posición: Técnico Informático Teléfono Móvil: XXXXXXX Teléfono Casa: XXXXXXX Nombre: Alberto Pérez Posición: Técnico Informático Teléfono Móvil: XXXXXXX Teléfono Casa: XXXXXXX EQUIPO DE COORDINACIÓN LOGÍSTICA El equipo de coordinación logística es responsable de todo lo relacionado con las necesidades logísticas. transporte de materiales. Gestionar el suministro de comida al personal involucrado. (Transporte de personas.

o o 60 . Las tareas a realizar serán: Si el tipo de incidente lo requiere.Guía de Desarrollo de Plan de Continuidad de Negocio Caso de Estudio DELL Persona de Contacto: Ángel Núñez Teléfono Contacto: xxxxxx HP Persona de Contacto: Felipe Méndez Teléfono Contacto: xxxxxxx FUJIJTSU Persona de Contacto: Laura Pérez Teléfono Contacto: xxxxxx Listado de Integrantes del Equipo de Coordinación Logística Integrantes del Equipo Nombre: Daniela Gómez Posición: Técnico de RRHH Teléfono Móvil: XXXXXXX Teléfono Casa: XXXXXXX Nombre: David López Posición: Administrativo Teléfono Móvil: XXXXXXX Teléfono Casa: XXXXXXX EQUIPO DE RELACIONES PÚBLICAS El equipo de Relaciones Públicas es responsable de “ser la voz” de la empresa en el contexto de la contingencia. Atender a los clientes para proporcionarles información sobre el incidente y tranquilizarles lo máximo posible. emitir un comunicado oficial a clientes y proveedores en el que se indique que se restablecerán los servicios lo antes posible.

61 . Integrantes del Equipo Nombre: Inés Burgos Posición: Responsable Pedidos Teléfono Móvil: XXXXXXX Teléfono Casa: XXXXXXX Nombre: Ángela Cano Posición: Atención al Cliente Teléfono Móvil: XXXXXXX Teléfono Casa: XXXXXXX Nombre: Marta Álvarez Posición: RRHH Teléfono Móvil: XXXXXXX Teléfono Casa: XXXXXXX …. y serán los encargados de realizar las pruebas de funcionamiento para verificar la operatividad de los sistemas..Guía de Desarrollo de Plan de Continuidad de Negocio Caso de Estudio Listado de Integrantes del Equipo de Relaciones Públicas Integrantes del Equipo Nombre: Juan Carlos Bono Posición: Técnico Comercial Teléfono Móvil: XXXXXXX Teléfono Casa: XXXXXXX Nombre: Ángela Cano Posición: Atención al Cliente Teléfono Móvil: XXXXXXX Teléfono Casa: XXXXXXX EQUIPO DE LAS UNIDADES DE NEGOCIO Estos equipos estarán formados por las personas que trabajan con las aplicaciones críticas.

se iniciará el procedimiento de ejecución del Plan.Guía de Desarrollo de Plan de Continuidad de Negocio Caso de Estudio FASE DE ALERTA PROCEDIMIENTO DE NOTIFICACIÓN DEL DESASTRE Cualquier empleado de Zapasol S. PROCEDIMIENTO DE NOTIFICACIÓN DE EJECUCIÓN DEL PLAN Activar el árbol de llamadas para avisar a los integrantes de los diferentes equipos que van a participar en el Plan. En el caso de que el Comité decidida no activar el Plan de Continuidad porque la gravedad del incidente no lo requiere. 62 . Con toda la información de detalle sobre el incidente. debe comunicarlo al Jefe de Seguridad de la Planta proporcionando el mayor detalle posible en la descripción de los hechos. que en este caso coincide con la figura del Director General. que sea consciente de un incidente grave que pueda afectar a la empresa. PROCEDIMIENTO DE EJECUCIÓN DEL PLAN El Comité de Crisis reunido en el punto de encuentro evaluará la situación. se decidirá si se activa o no el Plan de Continuidad de Negocio.A. sí será necesario gestionar el incidente para que no aumente su gravedad. En caso afirmativo. El Jefe de Seguridad debe evaluar la situación e informar al Responsable del Comité de Crisis.

Guía de Desarrollo de Plan de Continuidad de Negocio Caso de Estudio Comité de Crisis Equipo de Recuperación Equipo de Coordinación Logística Equipo de Relaciones Públicas Equipo de Unidades de Negocio 63 .

). material de oficina. Además del traslado de personas al Centro de Albacete hay que trasladar todo el material necesario para poner en marcha el centro de recuperación (cintas de backup. El equipo de recuperación solicitará al equipo de logística cualquier tipo de material extra que fuera necesario para la recuperación. PROCEDIMIENTO DE PUESTA EN MARCHA DEL CENTRO DE RECUPERACIÓN Una vez que el equipo de recuperación llegue al Centro de Albacete y que los materiales empiecen a llegar.. deberán acudir al centro de reunión indicado. Esta labor queda en manos del equipo logístico. 64 . .Guía de Desarrollo de Plan de Continuidad de Negocio Caso de Estudio FASE DE TRANSICIÓN PROCEDIMIENTO DE CONCENTRACIÓN Y TRASLADO DE MATERIAL Y PERSONAS Una vez avisados los equipos y puesto en marcha el Plan.. pueden comenzar a instalar las aplicaciones en los equipos que se encuentran en esta oficina. documentación.

el procedimiento concreto de PROCEDIMIENTO DE SOPORTE Y GESTIÓN Una vez recuperados los sistemas. Correo. Además el Equipo de Seguridad deberá comprobar que existen las garantías de seguridad necesarias (confidencialidad. Los dos primeros sistemas deben recuperarse lo antes posible. Nota: En este apartado deberá indicarse recuperación de cada uno de los sistemas.Guía de Desarrollo de Plan de Continuidad de Negocio Caso de Estudio FASE DE RECUPERACIÓN PROCEDIMIENTO DE RESTAURACIÓN El orden de recuperación de las funciones se realizará según la criticidad los sistemas: Pedidos. en las 48 horas siguientes. Facturación. integridad. Comité de Crisis Equipo de Recuperación Equipo de Unidades de Negocio 65 . Nóminas. se avisará a los equipos de los departamentos que gestionan los sistemas (listado del equipo de Unidades de Negocio) para que realicen las comprobaciones necesarias que certifiquen que funcionen de manera correcta y pueda continuarse dando el servicio. disponibilidad) antes de dar por terminada la fase de recuperación. Los demás sistemas pueden esperar a recuperarse después de Pedidos y Facturación.

Contactar con los proveedores para que en el menor tiempo posible repongan todos los elementos dañados. El Comité de Crisis contactará con el seguro de la compañía para conocer qué parte cubre el seguro (dependiendo del tipo de póliza contratada por Zapasol S. la vuelta a la normalidad de operación puede variar entre unos días (si no hay elementos clave afectados) e incluso meses (si hay elementos clave afectados). Lo importante es que durante el transcurso de este tiempo de vuelta a la normalidad. Esta evaluación deberá ser comunicada lo antes posible al equipo director para que determinen las acciones necesarias que lleven a la operación habitual lo antes posible. realizarán un listado de los elementos que han sido dañados gravemente y son irrecuperables. se siga dando servicio a los clientes y trabajadores por parte de la compañía y que la incidencia afecte lo menos posible al negocio. FIN DE LA CONTINGENCIA Dependiendo de la gravedad del incidente. el equipo de recuperación junto con el equipo de seguridad. así como de todo el material que se puede volver a utilizar. 66 . ADQUISICIÓN DE NUEVO MATERIAL Una vez realizada la evaluación del impacto. ANÁLISIS DEL IMPACTO Es el momento de realizar una valoración detallada de los equipos e instalaciones dañadas para definir la estrategia de vuelta a la normalidad. se determinará la necesidad de nuevo material.A. Para ello. hay que plantearse las diferentes estrategias y acciones para recuperar la normalidad total de funcionamiento.Guía de Desarrollo de Plan de Continuidad de Negocio Caso de Estudio FASE DE VUELTA A LA NORMALIDAD Una vez con los procesos críticos en marcha y solventada la contingencia.) y qué inversión tendrá que hacer la compañía en el material que no se pueda recuperar.

67 .A. ha considerado como prioritario desarrollar un Plan de Continuidad para estar preparados ante cualquier incidente. Por ello.A.Guía de Desarrollo de Plan de Continuidad de Negocio Caso de Estudio CONCLUSIONES La diferencia para Zapasol S. entre tener y no tener un Plan de Continuidad. como parte de la gestión de seguridad. puede suponer que la compañía pueda desaparecer en caso de un incidente grave que perjudique sus principales procesos. Zapasol S.

contingencyplanning.'Specification for Business Continuity Management' • • • • 68 .nfpa.www.es/csi/pdf/magerit.Guía de Desarrollo de Plan de Continuidad de Negocio Bibliografía BIBLIOGRAFÍA “Good Practice Guidelines” – The Business Continuity Institute http://www.com http://www.ccep.globalcontinuity.businesscontinuityjournal.com/ http://www.ca/ http://www.com/ http://www.cert.com/ http://www.nist.disaster-recovery-guide.thebci.org/ • • • • • • http://www.com/ BS 25999 .gartner.http://www.com/ http://www.co.drii.org/ http://www.Centers for Disease Control and Prevention • • • • • http://www.map.org/octave/ Metodología de Análisis de Riesgos MAGERITwww.uk/ http://www.org Revista de Seguridad SIC Norma Internacional ISO/IEC 17799:2002 NIST .pdf • Business Continuity Plan (BCP) Format Guide .csi.contingency-planning-disaster-recovery-guide.org/ -SP 800-30 “Risk Management Guide for IT Systems” • • Metodología de Análisis de Riesgos OCTAVE .businesscontingency.

Sign up to vote on this title
UsefulNot useful