Continuidad de Negocio (UNE 71599 / BS 25999)

Continuidad de NegocioUNE 71599 / BS 25999 Manuel Benet Consultor de Seguridad. S2 Grupo 12 de Mayo, 2011

Prólogo PrólogoExisten varios caminos a la Continuidad de Negocio: a. El directo. b. El indirecto. c. El doloroso. 2

Prólogo a. El directo o “momento revelación”“Hoy podría morir calcinado en este salón de actos.¿Sobreviviría mi organización a tan trágica pérdida?“ I. No. Tienen (tenemos) un problema. II. Sí. ¿A qué coste? 3

Prólogob. El indirecto o “momento certificación ISO 27001” 4

Prólogoc. El dolorosoSuele llegar demasiado tarde y quizá no hayanegocio que continuar.Puede conllevar no sólo pérdidas económicassino también humanas. 5

PrólogoLos tres caminos suelen compartir lasmismas fases, aunque su duración esvariable. 6

Acto I“Eso no me puede pasar a mí” 7

“Eso no me puede pasar a mí” 1. PoloniaEl 10 de abril de 2010 el avión Tupolev 154 en el queviajaba el presidente de Polonia, Lech Kaczynski, seestrelló en la ciudad rusa de Smolensk.Además del presidente y su esposa fallecieron elgobernador del Banco Central, el jefe de Estado Mayor, elviceministro de Exteriores y decenas de diputados. 8

“Eso no me puede pasar a mí”2. Edificio Windsor 9

“Eso no me puede pasar a mí” 3. Fukushima 10

Acto II“Quizá sí, pero es poco probable” 11

“Quizá sí, pero es poco probable” Ejemplos más “mundanos”1. Manolo, su excavadora y las líneas de datos.2. Los grupos electrógenos: a veces funcionan, a veces no.3. Esa afición por colocar tuberías en los CPDs.4. La diversión de abrir adjuntos ejecutables.5. ¿La clave del fichero de claves? Sólo la sabía Pepe.6. ¿Copias? ¿Qué copias?7. Los AACC se van de vacaciones en agosto. 12

Acto III“De acuerdo, hagámoslo” 13

“De acuerdo, hagámoslo” 14

“De acuerdo, hagámoslo” El camino fácil (que no el correcto)Una vez planteada la necesidad/obligatoriedaddel proyecto, es habitual optar por un enfoque“simplificado” que... 15

“De acuerdo, hagámoslo”… se limita a las copias de seguridad y poco más.… ignora la problemática asociada a las personas.… ignora las necesidades del negocio.… ignora las capacidades reales de TI.… no es mantenido regularmente.… no es probado en condiciones.… no incluye los planes operativos correspondientes. 16

“De acuerdo, hagámoslo”Ese planteamiento, menos exhaustivo y costoso,puede ser parcialmente válido, pero debemos serconscientes de sus limitaciones y de que no es unSistema de Gestión de Continuidad de Negocio. Lo que fácil viene, fácil se va 17

“De acuerdo, hagámoslo” El camino correcto (que no el fácil)1. Implica un proceso de a) desarrollo, b) implantación, c) mantenimiento y d) posible certificación.2. Requiere pruebas periódicas.3. Necesita tiempo, recursos económicos y humanos.4. Exige implicación de la Dirección.5. Es un Sistema de Gestión.6. Sigue un estándar probado: UNE 71599 / BS 25999. 18

La Continuidad de Negocio según UNE 71599 / BS 25999 19

UNE 71599 / BS 25999La Continuidad de Negocio es un sistema deGestión que identifica las amenazas quepueden poner en riesgo la continuidad de laorganización y proporciona los medios parahacerles frente y proteger el negocio. 20

UNE 71599 / BS 25999 Seis pasos básicos1. Colocar los cimientos.2. Entender la Organización.3. Determinar la Estrategia de Continuidad de Negocio.4. Desarrollar e implantar la Continuidad de Negocio.5. Probar, mantener, revisar y auditar.6. Asentar la Continuidad de Negocio en la cultura de la organización. 21

UNE 71599 / BS 25999Seis pasos básicos 22

1. Asegurar los cimientos1. Colocar los cimientos• Definición del alcance• Asignar recursos.• Implicar a la Dirección y a la organización.• Asignar las responsabilidades. 23

1. Asegurar los cimientosErrores típicos• El alcance no está claramente definido.• Hay proyecto, pero no hay recursos.• No hay implicación (“es un proyecto de TI”).• ¿Responsabilidades? ¿Qué responsabilidades? (también conocido como “TI se lo guisa, TI se lo come.”) 24

2. Entender la organización2. Entender la organización• El Análisis de Impacto sobre el Negocio.• El Análisis de Riesgos. 25

2. Entender la organizaciónEl Análisis de Impacto sobre el Negocio (AIN o BIA): I. Procesos del negocio. • Activos y personal implicado. • Dependencias (proveedores, servicios internos, etc.). • Periodos críticos. • Impactos. • Tiempo máximo de interrupción tolerable. • Niveles mínimos de calidad de servicio aceptables tras la recuperación del proceso. • Tiempo máximo para volver a la operación normalizada. 26

2. Entender la organizaciónEl Análisis de Riesgos: I. Amenazas. II. Impactos. III. Probabilidades. IV. Riesgos inherentes y residuales. V. Política de gestión de riesgos (aceptar / mitigar / transferir / eliminar).El resultado proporciona los riesgos noaceptables para las necesidades del negocio ylos procesos más vulnerables a los riesgosdetectados. 27

2. Entender la organizaciónErrores comunes• Tener una visión demasiado “aérea”.• Obtener tiempos no “razonables”.• Omitir dependencias internas.• Omitir personal crítico.• Basarse únicamente en la visión de TI.• No consensuar/contrastar los resultados obtenidos con el resto de la organización. 28

3. La estrategia3. La estrategiaPara cada potencial incidente, debendesarrollarse alternativas a adoptar encada uno de los aspectos controlables.Recursos necesarios para cada alternativapropuesta. 29

3. La estrategiaPosibles alternativas y factores• Personal. Necesidades de formación, externalización, gestión del conocimiento…• Ubicaciones físicas. Alquiler, compra, teletrabajo…• Tecnología. Sedes alternativas, replicación, acceso remoto, virtualización, copias de seguridad,…• Información. Ubicación digital, papel, datos de carácter personal, registros críticos,…• Suministros. Proveedores críticos y tiempos de respuesta, contratos de servicio, almacenes y proveedores alternativos…• Terceras partes. Aspectos legales (p.ej. LOPD, presentación de tributos), comunicación con clientes, partners,… 30

3. La estrategiaErrores comunes• Las estrategias no están en línea con el risk appettite (o nivel de riesgo aceptable por la organización).• No tener en cuenta las actividades críticas.• No tener en cuenta los periodos críticos.• Proponer estrategias “a futuro” o irreales por coste o ejecución. No ser realista.• No tener el apoyo y visto bueno de Dirección. 31

4. Desarrollo e implantación4. Desarrollo e ImplantaciónTomando como base la información del BIA, el AR ylas estrategias seleccionadas, determina:• El plan de respuesta a incidentes (o Plan de Crisis).• Planes de gestión de incidentes. 32

4. Desarrollo e implantaciónEl plan de respuesta a incidentes: • Gestiona el momento inicial de la incidencia. • Garantiza una respuesta rápida al incidente. • Simplifica la toma de decisiones. • Identifica al personal responsable de la gestión del incidente. • Especifica las condiciones de disparo de los planes específicos.Si algo puede salir mal, saldrá mal, y lo hará en el peor momento posible. 33

4. Desarrollo e implantaciónLos planes de gestión de incidentes: • Documentos que permiten la recuperación de las diferentes actividades afectadas por un incidente. • Identifican al personal responsable del plan. • Contienen los recursos necesarios afectados por el plan (personal, locales, tecnología, información, suministros y terceras partes). • Contienen los procedimientos de toma de decisiones (quién, cómo, y a quién informar). • Identifican procedimientos operativos concretos. 34

4. Desarrollo e implantaciónErrores comunes• La documentación está obsoleta.• La documentación está ilocalizable.• ¿Documentación? ¿Qué documentación?• Las responsabilidades no están definidas.• No se contemplan dependencias.• El escalado de incidencias no está claramente definido.• No existen planes operativos. 35

5. Pruebas5. Pruebas• Verificar que el sistema “no olvida nada”.• Comprobar que TI puede soportar al negocio.• Anticipar problemas concretos en situacionescontroladas.• Mejorar la capacidad de la organización paraenfrentarse a situaciones de crisis.• Propagar la cultura de la continuidad de negocioentre los participantes.• Generar confianza entre los participantes de laspruebas. 36

5. PruebasErrores comunes• No se realizan pruebas.• Las pruebas olvidan al usuario final u omiten personal relevante.• Las pruebas no son comunicadas a la organización.• Las pruebas no son realistas.• El resultado de las pruebas se “maquilla”.• El resultado de las pruebas no tiene continuidad (¿planes de acción?). 37

6. Cultura de la organización6. Cultura de la organizaciónComo todo Sistema de Gestión, debedesarrollarse un programa de concienciación que:• Mejore la eficacia del sistema.• Prepare al personal implicado.• Difunda entre clientes y proveedores lasventajas del sistema implantado.• Mejore la receptividad de la organización hacialas pruebas. 38

6. Cultura de la organizaciónAlgunas medidas• Utilización de los medios internos: Intranet, e-mail, circulares internas.• Sesiones de formación entre el personal.• Encuestas y grupos de trabajo.• Incluir la Continuidad de Negocio en lasreuniones de los departamentos. 39

6. Cultura de la organizaciónErrores comunes• No desarrollar un programa de concienciación.• Incluir en el programa únicamente a personal técnico.• Tener un programa demasiado disperso en el tiempo. 40

ConclusionesUn Sistema de Gestión de la Continuidad deNegocio es como una rueda de repuesto:Se ve poco, no se usa, pero hay que revisarlade vez en cuando. Ojalá no tengamos queutilizarla nunca, pero… …mejor que esté ahí, por si acaso. 41

ConclusionesPrincipales problemas• No tener el apoyo de Dirección.• No dedicar recursos, tiempo y personal asignado.• Olvidar las necesidades del negocio.• No desarrollar o mantener la documentación.• Obviar las pruebas y la comunicación a usuarios. 42

ConclusionesPrimero llegó ISO 9001.Luego vino ISO 27001.La Continuidad de Negocio es el próximo hito. 43

http://www.securityartwork.es	520
http://blog.segu-info.com.ar	346
http://albinogoncalves.wordpress.com	109
http://seguinfo.wordpress.com	22
http://www.slideshare.net	7
url_unknown	4
http://static.slidesharecdn.com	1
http://translate.googleusercontent.com	1

Continuidad de Negocio (UNE 71599 / BS 25999)

by secatwork on May 27, 2011

Accessibility

Categories

Tags

Upload Details

Usage Rights

8 Embeds 1,010

Statistics

Continuidad de Negocio (UNE 71599 / BS 25999) — Presentation Transcript