1. @
FIST Conference September/Madrid 2005
Continuidad de Negocio
Manuel Ballester
Manuel Ballester IEEE,MBA,CISA,CISM

2. Reflexión Inicial
“El tiempo de la reflexión es una
economía de tiempo”
Siro , Publius (Siglo I A.C.)
Manuel Ballester IEEE,MBA,CISA,CISM

3. Contenido
 Proceso de planificación de la continuidad del
negocio /recuperación frente a desastres
 Análisis de Impacto en el negocio (BIA)
 Clasificación de Operaciones, Análisis Criticidad
 Objetivo Punto Recuperación (RPO) y
Objetivo Tiempo de Recuperación (RTO)
 Estrategias de Recuperación
Manuel Ballester IEEE,MBA,CISA,CISM

4. Contenido
 Alternativas de Recuperación
 Desarrollo de (BCP y DRP)
 Organización y Asignación de Responsables
 Otros aspectos del Desarrollo del Plan
 Componentes Claves de un BCP
 Pruebas del Plan
 Resumen
Manuel Ballester IEEE,MBA,CISA,CISM

5. Antecedentes
A pesar de los efectos negativos en las organizaciones, muchas empresas aún no toman
medidas para contar con planes que les permitan lograr la Continuidad del Negocio.
• 72% de todos los negocios tienen alguna de estas condiciones:
– No tienen Plan de Continuidad del Negocio.
– Si lo tienen, nunca lo han probado.
– Su Plan falló cuándo lo probaron.
• Solamente 18% de los datos de usuario final están protegidos. *
*VERITAS Disaster Recovery Survey 2004.
Manuel Ballester IEEE,MBA,CISA,CISM

6. Proceso de planificación de la continuidad del
negocio /recuperación frente a desastres
 Los desastres:
 Impactan adversamente las operaciones del negocio
 Interrumpen la operación de procesamiento de
información crítica

No todas las interrupciones son desastres

Tipos de desastres e interrupciones
 Causas de interrupción del servicio
Manuel Ballester IEEE,MBA,CISA,CISM

7. Análisis del Impacto sobre el Negocio (BIA)
 Criticidad de los recursos de información
 Participación del personal de SI y los usuarios finales
 Análisis de todos los tipos de recursos de información
 Tres aspectos claves para el análisis:

Criticidad de los recursos de información relacionados con los
procesos críticos del negocio

Período de tiempo de recuperación crítico antes de incurrir en
pérdidas significativas

Sistema de clasificación de riesgos
Manuel Ballester IEEE,MBA,CISA,CISM

8. Análisis del Impacto sobre el Negocio (BIA)
Manuel Ballester IEEE,MBA,CISA,CISM

9. Clasificación de Operaciones, Análisis Criticidad
Manuel Ballester IEEE,MBA,CISA,CISM

10. Objetivo Punto Recuperación (RPO) y
Objetivo Tiempo de Recuperación (RTO)
Manuel Ballester IEEE,MBA,CISA,CISM

11. Estrategias de Recuperación
Una estrategia de Recuperación es una
combinación de medidas preventivas,
detectivas y correctivas
- Eliminar la amenaza completamente
- Minimizar la probabilidad de que ocurra
- Minimizar el efecto
Manuel Ballester IEEE,MBA,CISA,CISM

12. Estrategias de Recuperación
Identificar las estrategias de recuperación

La criticidad de los procesos del negocio y
aplicaciones que soportan los procesos

Coste
 Tiempo requerido para la recuperación
 Seguridad
Manuel Ballester IEEE,MBA,CISA,CISM

13. Estrategias de Recuperación
Manuel Ballester IEEE,MBA,CISA,CISM

14. Alternativas de Recuperación
Las interrupciones más prolongadas y más
costosas, en particular los desastres que
afectan a las instalaciones, requieren
recuperación (offsite)
Manuel Ballester IEEE,MBA,CISA,CISM

15. Alternativas de Recuperación
Tipos de instalaciones de respaldo Hardware alternativos
 Hot Sites
 Warm Sites

Cold Sites

Instalaciones de procesamiento duplicados
 Sitios Móviles
 Acuerdos recíprocos con otras organizaciones
Manuel Ballester IEEE,MBA,CISA,CISM

16. Alternativas de Recuperación
Manuel Ballester IEEE,MBA,CISA,CISM

17. Desarrollo de (BCP y DRP)
 Basado en en BIA y la estrategia de
recuperación seleccionada por la gerencia
 Debería abarcar todos los temas
involucrados en la recuperación de un
desastre
 Debería resolver todos los problemas
involucrados en la interrupción del
negocio
Manuel Ballester IEEE,MBA,CISA,CISM

18. Desarrollo de (BCP y DRP)
Factores que se deben considerar:
 Estar preparados antes de un desastre cubriendo todas las
incidencias
 Procedimientos de evacuación
 Procedimientos para declarar desastres
 Circunstancias en que se debe declarar desastre
 Clara identificación de responsabilidades en el plan
Manuel Ballester IEEE,MBA,CISA,CISM

19. Desarrollo de (BCP y DRP)
Factores que se deben considerar:
 Clara identificación de personas y funciones en el plan
 Clara identificación de información de los contratos
 Explicación paso a paso de la recuperación
 Clara identificación de recursos necesarios
 Aplicación paso por paso de la etapa de recuperación
Manuel Ballester IEEE,MBA,CISA,CISM

20. Organización y asignación de
responsabilidades
 Equipo de respuesta a incidentes
 Equipo de atención de emergencias

Equipo de determinación de los daños
 Equipo de administración de la
emergencia
Manuel Ballester IEEE,MBA,CISA,CISM

21. Organización y asignación de
responsabilidades

Equipo de almacenamiento externo
 Equipo de software
 Equipo de aplicaciones

Equipo de seguridad
 Equipo de operaciones de emergencia
Manuel Ballester IEEE,MBA,CISA,CISM

22. Organización y asignación de
responsabilidades
 Equipo de recuperación de red
 Equipo de Comunicaciones

Equipo de Transporte
 Equipo de Hardware de Usuario
 Equipo de preparación de datos y registros
 Equipo de soporte administrativo
Manuel Ballester IEEE,MBA,CISA,CISM

23. Organización y asignación de
responsabilidades

Equipo de suministros
 Equipo de salvamento
 Equipo de reubicación

Equipo de Coordinación
 Equipo de Asuntos Legales
 Equipo de prueba de recuperación
 Equipo de Entrenamiento
Manuel Ballester IEEE,MBA,CISA,CISM

24. Otros aspectos del Desarrollo del Plan
 Los componentes de este plan incluyen:

Personal clave para toma de decisiones
 Información de contacto
 Respaldo de los suministros requeridos
 Configuración de las instalaciones
 Mesas, sillas, teléfonos…
 Métodos de recuperación de desastres para redes
de telecomunicaciones
Manuel Ballester IEEE,MBA,CISA,CISM

25. Componentes de un Plan Efectivo
de Continuidad del Negocio (BCP)
Incluyen:
 Plan de Continuidad de negocio (BCP)
 Plan de Recuperación de Negocio (BRP)
 Plan de Continuidad de Operaciones (COOP)
 Plan de Soporte de Continuidad
Manuel Ballester IEEE,MBA,CISA,CISM

26. Componentes de un Plan Efectivo
de Continuidad del Negocio (BCP)
Incluyen:
 Plan de Contingencia T.I.
 Plan de Comunicación de Crísis
 Plan de Respuestas a incidentes
 Plan de Recuperación del desastre (DRP)
 Plan de Emergencia de ocupantes (OEP)
Manuel Ballester IEEE,MBA,CISA,CISM

27. Componentes de un Plan Efectivo
de Continuidad del Negocio (BCP)
Para las fases de planificación, implementación
y evaluación se debe acordar:
 Metas/requerimientos/productos de cada fase
 Instalaciones alternativas para las tareas y operaciones
 Recursos de información crítica a instalar
 Personas responsables de su ejecución
 Recursos disponibles para Plan de ejecución
 Cronograma de actividades y prioridades
Manuel Ballester IEEE,MBA,CISA,CISM

28. Componentes de un Plan Efectivo
de Continuidad del Negocio (BCP)
Personal Clave para la toma de decisiones
 Lista de prioridades de contactos
 Teléfonos y direcciones de personas críticas a contactar
 Teléfonos y direcciones de representantes de los
equipos y software
 Teléfonos de suministradores de equipos y servicios
Manuel Ballester IEEE,MBA,CISA,CISM

29. Componentes de un Plan Efectivo
de Continuidad del Negocio (BCP)
Personal Clave para la toma de decisiones
 Teléfonos de personas en sitio de recuperación
 Teléfonos de personas instalaciones de
almacenamiento externo
 Teléfonos de agentes de seguros
 Teléfonos de personas de empresas contratadas
 Teléfonos de agencias legales
Manuel Ballester IEEE,MBA,CISA,CISM

30. Componentes de un Plan Efectivo
de Continuidad del Negocio (BCP)
Respaldo de los suministros Requeridos
 Procedimientos escritos, detallados y actualizados
 Formularios requeridos

Pedidos

Albaranes
 Facturas
 Considerar conexiones con otros sistemas
Manuel Ballester IEEE,MBA,CISA,CISM

31. Componentes de un Plan Efectivo
de Continuidad del Negocio (BCP)
 Métodos de prevención para redes:
Redundancia
Enrutamiento alternativo
Diversidad de red de largo alcance
Protección del circuito de "Último Kilómetro"
Recuperación de voz
Manuel Ballester IEEE,MBA,CISA,CISM

32. Componentes de un Plan Efectivo
de Continuidad del Negocio (BCP)
 Métodos de recuperación frente a desastres
para servidores
- Suministro de dos proveedores de energía
- Uso de generadores eléctricos (gasoleo)
- Uso de Sistemas ininterumpidos (SAI)
Manuel Ballester IEEE,MBA,CISA,CISM

33. Componentes de un Plan Efectivo
de Continuidad del Negocio (BCP)
 Servidores tolerantes a fallos
 Redundantes

Cluster

Balanceo de carga
Manuel Ballester IEEE,MBA,CISA,CISM

34. Componentes de un Plan Efectivo
de Continuidad del Negocio (BCP)
 Seguros
 Equipo de SI e instalaciones
 Reconstrucción de medios (software)
 Gastos adicionales
 Interrupción del negocio
Manuel Ballester IEEE,MBA,CISA,CISM

35. Componentes de un Plan Efectivo de
Continuidad del Negocio (BCP)
Manuel Ballester IEEE,MBA,CISA,CISM

36. Componentes de un Plan Efectivo de
Continuidad del Negocio (BCP)
Manuel Ballester IEEE,MBA,CISA,CISM

37. Pruebas del Plan
 Especificaciones

Medir la habilidad y capacidad del lugar de respaldo
 Evaluar la capacidad de recuperación de registros vitales

Evaluar estado y cantidad de equipos y suministros en el lugar
de recuperación

Medir el desempeño general de actividades operativas y de
sistemas relacionados con el negocio
Manuel Ballester IEEE,MBA,CISA,CISM

38. Pruebas del Plan
 Especificaciones
 Verificar si el plan es completo y preciso
 Evaluar el desempeño del personal involucrado
 Evaluar el entrenamiento y conocimiento del personal que no
pertenece al negocio
 Evaluar la coordinación entre equipo continuidad y proveedores
externos
Manuel Ballester IEEE,MBA,CISA,CISM

39. Pruebas del Plan
 Realización de Pruebas
 Etapas

Pre-Prueba

Prueba

Post-Prueba
 Tipos de Prueba

Prueba sobre papel

Prueba del estado de preparación

Prueba operativa completa
Manuel Ballester IEEE,MBA,CISA,CISM

40. Pruebas del Plan
 Documentación de los resultados
 Análisis de resultados

Tiempo
 Cantidad
 Conteo

Exactitud
Manuel Ballester IEEE,MBA,CISA,CISM

41. Pruebas del Plan
 Mantenimiento del plan
Factores que impactan
- Cambios en la organización
- Nuevos recursos/aplicaciones
- Cambios en la estrategia del negocio
- Cambios en software o hardware
Manuel Ballester IEEE,MBA,CISA,CISM

42. Pruebas del Plan
 Mantenimiento del plan
Responsabilidades del plan incluyen
- Desarrollar un plan para revisión y mantenimiento periódico
- Exigir revisiones no programadas ante cambios significativos
- Examinar las revisiones y actualizarlas después de las revisiones
- Coordinar pruebas programadas y no programadas evaluar suficiencia
- Participar en las pruebas anuales
Manuel Ballester IEEE,MBA,CISA,CISM

43. Pruebas del Plan
 Mantenimiento del plan
Responsabilidades del plan incluyen
Desarrollar un programa de entrenamiento
- Mantener registro de las actividades de
- Mantenimiento
- Pruebas
- Entrenamiento
- Revisiones
- Actualizar, por lo menos trimestralmente, lista de contactos
Manuel Ballester IEEE,MBA,CISA,CISM

44. Pruebas del Plan
Manuel Ballester IEEE,MBA,CISA,CISM

45. RESUMEN
- Preparar análisis de impacto del negocio
- Identificar y clasificar sistemas y recursos (críticos)
- Escoger estrategias apropiadas para la recuperación
- Desarrollar un plan detallado para recuperar instalaciones (TIC)
- Desarrollar un plan detallado para las funciones críticas
- Probar los planes
- Mantener actualizados los planes
Manuel Ballester IEEE,MBA,CISA,CISM

46. Reflexión Final
“Lo que no es útil para la colmena no
es útil para la abeja”
Marco Aurelio (121-180 D.C.)
Manuel Ballester IEEE,MBA,CISA,CISM

47. Creative Commons
Attribution-NoDerivs 2.0
You are free:
•to copy, distribute, display, and perform this work
•to make commercial use of this work
Under the following conditions:
Attribution. You must give the original author
credit.
No Derivative Works. You may not alter, transform, or
build upon this work.
For any reuse or distribution, you must make the license terms of this work
clear to others.
Any of these conditions can be waived if you get permission from the author.
Your fair use and other rights are in no way affected by the above.
This work is licensed under the Creative Commons Attribution-NoDerivs
License. To view a copy of this license, visit
http://creativecommons.org/licenses/by-nd/2.0/ or send a letter to Creative
Commons, 559 Nathan Abbott Way, Stanford, California 94305, USA.
Manuel Ballester IEEE,MBA,CISA,CISM

48. @
Muchas Gracias
FIST Conference www.fistconference.org
Manuel Ballester
Madrid, September 2005
mballester@borrmart.es
Manuel Ballester IEEE,MBA,CISA,CISM