Este documento presenta una introducción al concepto de continuidad de negocios. Explica que la continuidad de negocios involucra procesos operativos bien estructurados para asegurar la disponibilidad de los procesos críticos de una empresa en diferentes escenarios que minimicen el impacto. También describe los principios de confidencialidad, integridad y disponibilidad, así como el análisis de riesgos, planes de continuidad y recuperación de desastres que son componentes clave de un programa de continuidad de negocios exitoso

1. Alberto Ramírez Ayón, CISM, CISA, CRISC, CBCP

2. 2

3.  Mi red es segura
 Mis datos están seguros
 No tengo ningún riesgo
 Tengo copia de la información
 La continuidad de negocios no es sólo
tecnología; involucra procesos operativos
bien estructurados para saber actuar también
3

4.  ¿Qué es? ¿Para qué sirve?
 Confidencialidad, Integridad,
Disponibilidad
 Políticas
 Análisis de Riesgos, BCP, DRP, BIA
 Árbol de llamadas (Call Tree)
 Pruebas de contingencia
 Estándares
 Resiliencia
4

5.  Asegurar que los procesos críticos de una
empresa, estarán disponibles en diferentes
escenarios, minimizando el impacto en
clientes, proveedores, empleados y otras
entidades
5

6.  Terremotos (Chile, Haití, México 85)
 Inundaciones, Tsunamis (Japón)
 Cortes de energía
 Bloqueos a instalaciones (Barzón, Reforma 2006)
 Amenazas de bomba (Torre Mayor)
 WTC 9/11
 Errores humanos, actos criminales
 Dependerán de la ubicación
6

7.  Proceso de identificación de exposiciones en
organizaciones.
 Define controles ya implementados para
reducir exposición
 Evalúa costo y probabilidades de que ocurra
un evento en particular
Expect the unexpected…
7

8.  Estratégico
 Financiero/Crédito/Mercado
 Organizacional
 Tecnológico
 Operacional/Gente/Eventos/Cadena de
suministro
 Legal/Regulatorio
 Reputacional
8

9. 9

10. RIESGO / Falla Acceso Incendi Falla en Pérdida Sistemas SEVERIDA
AMENAZ Eléctri a o telecom de no D
disponibl acontecimien
A ca edificio datos to
es
Tornado x x x x x x 6
Tormenta x x x x x x 6
Avión x x x x x x 6
Agua x x x x x 5
Corte x x x x 4
Cable
Hackeo x x x 3
Vulnerabilidad 5 4 3 6 6 6
10

11. Ubicación Riesgo/Probabiliad Control
Oficina principal Huracán/Baja Plan de continuidad de
negocio
Oficina principal Falla eléctrica /Alta Generador
respaldo/UPS para
sistemas críticos
Oficina Regional Tornado / Media Refugio contra
tornados
Simulacros
Seguro de daños
Radio monitoreo clima
Oficina Regional Terremoto Asegurar equipos a
pared
Asegurar equipo
peligroso
Oficina Regional Paros, manifestación BCP
11

12.  Determinar criticidad de funciones y procesos
 Determinar periodos críticos
 Identificar interdependencias
 Evaluar impacto de interrupciones
 Identificar recursos críticos
 Determinar objetivos de recuperación para
cada función
 Requerimientos legales o regulatorios
 Registros vitales
12

13. 13

14.  Recovery Time  Recovery Point
Objective Objective
 Cantidad de tiempo  Punto de la última
entre el impacto y copia de respaldo en el
cuando el proceso está momento del desastre
operando al mínimo  Cantidad aceptable de
nivel aceptable pérdida de datos
RTO RPO
14

15. 15

16. 16

17.  Seguridad Física
 Seguridad Lógica
 Protegiendo información
 Proteger personal y lugares de trabajo
 Sistemas de respaldo
 Simulacros
 Planes de comunicación
 Contramedidas efectivas
 Seguros
17

18.  Manual
 Automático
18

19.  Redundancia
◦ Telecomunicaciones, Carriers, Servers, Respaldos,
UPS, AA, qué otros?
 Cold, Warm, Hot
◦  ¿Cuál se requiere?
 RTO / RPO
 ¿Cuánto invertir? $$$
 Distancia y localidad (Torres gemelas NY – 9/11)
19

20.  Home office
◦ La desventaja es que si la infraestructura no está
disponible, no habrá a dónde conectarse
 Cold
◦ Armazón o espacio vacio listo para ocuparse pero sin
tecnología
 Warm
◦ Parcialmente configurados. Redes, cable, AA, servidores
pueden ser entregados on demand
 Hot
◦ Infraestrutura capaz de iniciar operación sin mucha
intervención. Requieren mayor inversión.
20

21.  Probar los procedimientos de contingencia,
ya sean manuales o automáticos; la
infraestructura, los sistemas, los sitios
alternos, los famosísimos respaldos
 “Si compras un paraguas para taparte
de la lluvia, es buena idea abrirlo
antes y probar que si funcionará.”
21

22.  Capacidad humana de asumir con flexibilidad
situaciones límite y sobreponerse a ellas
 Capacidad de un material elástico para
absorber y almacenar energía de deformación
22

23.  Paradójicamente termino enfatizando el 1er
paso en BCM:
 Require planeación, inversion, tiempo,
esfuerzo, pero sobre todo, compromiso de
todos los involucrados empezando por la alta
dirección.
23

24. Email: alberto.ayon@gmail.com
http://www.bsecure.com.mx/securitygap/
Mind the Security Gap!
¡Gracias!
24