Plan de re cup e ra ci¶ o n de desa stre sinform ¶ a ticos(DR P) A lm a E .Mart¶ ³ne zLicona De p to.de Ing.E l¶ e ctrica ¶ A re a de C om p utaci¶ o n y Siste m a s,UA M-Izta p alap a. R e ci bi d o : 30 de o ctubre de 2 003. A ce p tad o : 19 de noviem bre de 2 003. La ste cnolog¶ ³a sde i nform aci o n ha n detona do e lde¶ sa rr ollo de m uchas otras ¶ a re a sy se ha n conve rti do e n un p ilar i ndi scutible de la op e ra ci¶ o n de m ucha s e m p re sa sfa cilita ndo la r e a liza ci o n de m uchosp ro ce ¶ sos,dism i nuye ndo costose incre m e nta ndo la p r o ductivi dade ntre otra scosa s,p e ro e stosbe ne ¯ci ostam bi ¶ e n tiene n un r i e sgo y e sq ue la dep e ndenci a q ue se ha ge ne ra do con re sp e cto de lossi ste m asde i nform aci o n p one e n un grave p e li ¶ gro a lasorga ni zaci one se n ca so de alguna conti nge nci a. To r r e sge m e las >Q u¶ e suce der¶ ³a con a lguna instituci¶ o n ba nca ria,de se guros,a lguna i nsti tuci¶ o n gube r na m e ntalo bolsa s de va lor e sde cua lq ui e r p a¶ ³se n donde la op e ra ci on ¶ diar i a dep e nda fue rte m e nte de lossi ste m asde i nform aci o n? ¶ E je m p los p a lp ables de DR P's bien p lane a dos,dise n~ a dosy e je cuta dosson la re cup e ra ci¶ o n de lossi ste m a sde i nform aci o n de J.P.Morga n C ha se C o., ¶ A m e rica n Stock E xchange y la C ¶ a m a ra de com e r cio de E sta dosUni dosq ui e ne sa ra¶ ³zde losate nta dosdel11 de Se p ti e m bre a lasTorre sGe m e lastuvi e r on q ue r e cup e ra r sussi ste m a sde inform a ci¶ on e n ti e m p osr¶ e cor d. La sp ¶ e rdidasq ue se p ue den o casi ona r p or una continge ncia p ue den se r de va rios tip os: e con¶ om i cos con p ¶ e r di das de hasta va ri os m i llone s de d¶ o lar e s, p¶ e r di da de i m a ge n y cre di bi li dada nte sus cliente sy,e n ca sose xtre m os,la desap a rici¶ o n de la p rop ia e m p re sa,p or lo q ue conta r con una gra n ca p a cidadp a ra re cup e ra rse de una conti nge ncia se convi e rte e n un a sunto de sup e rvi ve ncia p ar a la organi zaci o n. ¶ De a q u¶ ³la i m p orta ncia e n tom a r e n cue nta losDR P y se leccionar y a decua rlosde a cue rdo a lasne ce sidadesy p riori dadesde la e m p re sa. La m ayor¶ ³a de losp lane sde conti nuidadde losne go ci osse cre a n com o p ro ce di m i e ntosq ue a com o dan lase strate gi a sde r e cup e ra ci o n delsi ¶ ste m a ,delusua ri o,e tc¶ e te ra .Se debe conse r va r cop i a sdelp lan e n otro lugar ,p osiblem e nte e n lasca sa sdelp e rsona l re sp onsa ble clave de la tom a de deci si one sy la p e ri o dicidadcon la q ue se r e fre sca n e stosre sp a ldosdebe r ¶ a se r e va lua da e n funci o n de q u¶ ¶ e ta n di sp ue sto se e st¶ a a p e rder la i nform aci on m ¶ ¶ a sre ci e nte . Una form a de e li m i na r o p or lo m e nosm i tigar e lr i e sgo q ue se corr e ante una p osi ble continge ncia infor m ¶ a tica e sdesar rollar p lane sde re cup e ra ci¶ o n de desa stre sDR P (p or sussiglase n ingl ¶ e sDisa ste r R e cove ry Planning).Un DR P junto con un B R P (B usine ssR e cove ry Planning)form a n un B C P (B usinne ssC onti nuity Planning) un B C P e sun p lan de m ayor alca nce e n donde no s¶ o lo se e valu¶a la m a ne ra e n la q ue lossi ste m a sse re cup e ra r¶ a n si no tam bi ¶ e n los p ro ce sos delne go ci o p ar a q ue la conti nui daddelne go ci o no se ve a a fe cta da de m ane ra se nsible. A lgunost¶ e r m inosq ue se utiliza n con fre cue ncia e n e ste tip o de p roye ctosson: 30 Plan de re cup e ra ci¶ o n de desa stre si nform ¶ a ticos(DR P). A lm a E .Mart¶ ³ne zLicona . 31 C o nti nge nci a: C ua lquier e ve nto na tura l,t¶ e cnico o hum a no (i nte nciona lo a cci denta l) q ue p ue de inte rrum p ir de m a ne r a signīca ti va e luso a decua do de lossi ste m a sde inform a ci¶ o n. A lgunosti p osde desastre sson: N a tura les: ² Ince ndios ² Te rre m otos ² E rup cione sV olc¶ a nica s ² Hura cane s ² Inundacione s Hum anos: ² Hue lga s ² Plantone s ² Di sturbiosSo ciales ² Te rrorism o T¶ e cni cos: ² Fallase n a lg¶ u n com p one nte de i nfra e structura te cnol¶ o gi ca ² Infe cci¶ o n p or virusinfor m ¶ a ticos C o nti nui d ad : C a p a cidadde la e m p re sa p a ra se guir ofr e ci e ndo e lse rvi ci o p or m e dio de p r o ce di m i e ntos a lte rnos. E tap asp ar a e ld e sa r r o l l o d e un DR P 1.A n¶ a li sisde ri e sgo. Una de lasp rim e ra se ta p a sde un DR P e se labora r un a n¶ a lisi sde riesgose n donde se dete rm i na r¶ a la p roba bi lidadde una conti nge ncia e n lossi ste m a sde i nform a ci o n y la m e di ¶ da e n q ue e sta p ue da afe cta r la continui daddelne go cio.Se debe r¶ a n identi¯ca r loscom p one nte sinform ¶ a ti cosq ue p a rticip an e n losp ro ce sosdelne go cio y asi gna rlesun ni ve lde criti ci dad, e s deci r ,identi¯ca r lasa p li ca cione sq ue debe n r e cup e ra rse e n un p e r¶ ³o do cr¶ ³tico de tiem p o,identi¯ca r losr i e sgosq ue p ue dan a fe cta r a loscom p one nte sclasi¯ca doscom o cr¶ ³ticos,do cum e nta r lasm e di dasde se gur i dadcon re laci o n a lasa m e na za sy vul¶ ne r abili dade ncontra das. De sa stre sna tur a les 2 .Identi¯ca r p e rsona lclave . Identi¯ca r a lp e rsona lop e ra ti vo y de siste m a scon e lconoci m iento ne ce sa rio p a ra tom a r decisione sp a ra iniciar y lleva r a ca bo lose sfue rzosde re cup e ra ci¶ o n.De be r¶ a cre a r se un dire ctorio q ue conte nga los nom bre s,dire ccione sy te l¶ e fonosde e ste p e rsona le nlist¶ a ndolosp or p rior i dadde conta cto ta m bi ¶ e n se debe r¶ ai ncluir losdatosde contactosdentro de lascom p a n~¶ ³a sq ue haya n si do desi gna dosp a ra p rove e r sum ini strosy e q uip oso se rvi ci os,r e p re se ntante sde e q uip o y ve ndedor e s de softw a re ,a ge nte s de la com p a n~¶ ³a de se guros,e tc.dep e ndiendo delgiro de la e m p re sa . 3.E valua r lasa lte rna tiva sde re cup e ra ci¶ o n. E n e sta e ta p a se debe n consider ar op ci one sq ue p ue den i r desde la cre a ci o n de un clon de to da la i ¶ nfra e structura ,siste m a sy datose n un luga r a lte rno,se re com ienda q ue e ste luga r se lo ca li ce ge ogr ¶ a ¯ca m e nte di sta nte delsi te origi na lcon la ¯na lidadde te ne r una m ayor cobe rtura de e sce na rios de desastre s(e n e le ve nto del11 de se p tiem bre hubo com p a n~¶ ³a sq ue te n¶ ³a n su site e n una de lastorr e sy e la lte rno e n la otra.obviam e nte no lessirvi o de m u¶ cho) otra a lte rna tiva e s m a nte ne r re sp a ldos guar dados e n luga re s se guros y a lejados de la fue nte donde se ge ne ra la inform a ci¶ o n (b¶ o ve das ba nca rias sue len se r luga re sde a lm a ce na m iento r e curre nte s)la decisi¶ o n e ntre una y otra a lte r nati va va e n funci o n de los r e sulta dos dela n¶ ¶ a li sis de riesgos,la dife re ncia e n costose ntre una y otra e sm uy i m p orta nte . 32 4.Pr ue ba s. E sim p or ta nte q ue se haga n sim ulacrosde continge nci a ba jo condi ci one sy a m bi e nte scontroladosy e n base a losre sulta dosobte ni dose n e llosm odi¯ca r losp ro ce di m ientos 5.A ctua liza cione sp e ri¶ o di casalp lan Los si ste m a s i nform ¶ a ticos p or su natura leza sue len se r m uy di n¶ am i cos,di na m i sm o q ue debe r¶ a ve rse re °e ja do e n re vi si one sy a ctua li za ci one sp e ri¶ o di ca se n losp ro ce dim ientosdo cum e nta dose n ve rsi one s a nte riore s. Cl asīcaci on d ¶ e ri e sgosd e l o ssi ste m a s La clasi¯ca ci¶ o n de ri e sgo consi ste e n e sta blece r p ri oridadesde lossiste m a scr¶ ³ti cose n conform idadcon e lgra do e n q ue e ltiem p o losa fe cta o e scr¶ ³ti co p a ra losm ism osy con e lti e m p o q ue ¶ e stosne ce sita n p a ra q ue se p ue da r e a nudar la e m p re sa a conti nua ci¶ o n de una inte r rup ci o n e n e lse rvi ¶ ci o.La identi¯ca ci¶ o n de lossi ste m a scr¶ ³ticosy la tolera ncia a lossiste m a s(ca p a cidadde e nfre nta r la inte rr up ci¶ o n a los siste m a s)e sconse cue nci a de la p rim e r e ta p a de un DR P.La tolera ncia p ue de e xp re sa rse com o un va lor m one ta rio o com o la p ¶ e r di da de ingr e sos.La ba ja toler anci a se e xp r e sa com o un costo m one ta rio a lto.N i ve lesva ri a blesde tolera ncia conduce n a la clasi¯ca ci o n de lossiste m a s.E lp ro ce dim iento de clasi¯¶ ca r losr i e sgosp or su im p orta ncia debe lleva rse a ca bo e n co ordina ci¶ o n ta nto con e lp e rsonalde p ro ce - C o nta cto S 50,30{33 (2 003) sa m iento de si ste m a sde inform a ci¶ o n com o e lp e r sonalusua rio. Un si ste m a t¶ ³p ico de clasi¯ca ci¶ o n de riesgos p ue de conte ne r las clasi¯ca ci one s q ue se m ue stra n e n la Tabla 1. E s im p or tante nota r q ue ,a m e dida q ue los p roce sosse a utom ati zan y se inte gra n cada ve z m ¶ a s, la ca p a cidadp a ra dete rm i na r la p rior i dadde los siste m a s se ha ce m ¶ a s di¯cultosa y a ve ce s p ue de se r i m p osible. A l te r nati vasd e r e cup e r aci on ¶ Lo sHo t-Si te s E st¶ a n tota lm e nte con¯gura dosy listosp a ra op e r ar dentro de a lguna shora s.E le q ui p o y softw a re de si ste m a sdebe n se r com p ati blescon la i nsta laci¶ o n p rim a ria q ue e st¶ a siendo re sp aldada.La u¶ni ca sne ce sidadesa di ci ona lesson e lp e r sonal,losp rogra m as,ar chi vosde datosy la do cum e nta ci¶ o n.Loscostosson p or lo ge ne ra la ltos p e ro a m e nudo las a p lica cione scr¶ ³ti casjustīca n su costo.C uando son p lane a dosdebidam e nte ,la cobe rtura de se guro p or lo ge ne ra lcom p e nsa r¶ a loscostosincur ri dos. Lo sW a r m -Si te s E st¶ a n con¯gura dosp a rci a lm e nte ,p or lo ge ne ra lcon cone xione sde r e dy e q ui p o p eri f¶ e rico se lecciona do, com o p or e je m p lo unidadesde disco,uni dadesde cintasy controladore s,p e ro sin la com p uta dora p rincip al.A ve ce sun siti o c¶ a li do (war m {site )e st¶ a e q ui- Plan de re cup e ra ci¶ o n de desa stre si nform ¶ a ticos(DR P). A lm a E .Mart¶ ³ne zLicona . Cl asīcaci on ¶ C r¶ ³ti ca V ita l Se nsi ti va N o C r¶ ³ti ca 33 De scr i p ci on ¶ E sta sfunci one sno p ue den r e a liza rse a m e nosq ue se an r e m p laza dasp or cap aci dades i d¶ e nti cas.La sa p lica ci one scr¶ ³tica sno p ue den se r re m p lazadasp or m ¶ e to dosm a nua les. La tolera nci a a la inte r rup ci o n e sm uy ba ja,p or lo ta nto e lcosto e sm uy a lto ¶ E sta sfunci one sp ue den re a li zar se m a nualm e nte p e ro solo p or un p e r¶ ³o do bre ve de ti e m p o.Hay m ayor tolera ncia a la inte r rup ci¶ o n q ue con lossi ste m a scr¶ ³ticos,p or lo ta nto,loscostosson un p o co m ¶ a sba josa condici¶ o n q ue lasfunci one sse a n re sta ura dasdentro de un m a rco de ti e m p o dete rm i nado (p or lo ge ne ra l5 d ¶ ³aso m e nos) E sta sfunci one sse p ue den r e a liza r m anua lm e nte ,a un costo toler able,p or un p e r¶ ³o do p rolonga do de ti e m p o.Mi e ntra sq ue se p ue dan re a liza r m anua lm e nte ,p or lo ge ne r al e sun p r oce so dif¶ ³ci ly r e q ui e re de p e r sona la di ci ona l E sta sfunci one sp ue den se r i nte rrum p i dasp or un p e r¶ ³o do p r olongado de tiem p o, a un costo m uy p e q ue n~ o o nulo p a ra la com p a n~¶ ³a y re q uiere de p o co o ni ng¶ u n e sfue rzo de p one r se a ld ¶ ³a cua ndo e sr e staur ado Siste m a t¶ ³p i co de clasīca ci¶ o n de r iesgo s p a do con una C PU m e nos p ote nte q ue la q ue se usa ge ne ra lm e nte .E lsup ue sto detr¶ a s delconce p to de siti o c¶ a li do e sq ue la com p uta dora p ue da se r p or lo ge ne ra lobte ni da r ¶ a p idam e nte p a ra la i nsta laci¶ o n de e m e r ge ncia y com o la com p uta dora e sla uni dadm ¶ a scostosa dicho a rr e glo e sm e noscostosa q ue e lante rior. LosC o l dSi ti es S¶ o lo tiene n e la m biente b¶ a si co,(ca bleado e l ¶ e ctri co,a i r e acondi ci ona do,e tc.) p a ra op e ra r una insta laci o n de ¶ p ro ce sam i e nto de i nform a ci¶ o n. La a cti va ci¶ o n del siti o p ue de dem ora r va rias se m a na s Instal a ci o ne sd e Pr o ce sam i e nto d e Info r m aci o n Dup l ¶ i cad a Son si tios a uto desa rrollados de r e cup e r aci o n q ue ¶ p ue den re sp a ldar a p lica ci one scr¶ ³ti ca s.Pue den a ba rca r la form a de un si ti o cali e nte di sp oni ble ha sta un a cue rdo re c¶ ³p r oco con la insta laci o n de otra ¶ com p a n~¶ ³a .De be n e xistir var i osp r i nci p iosp a ra a se gura r la vi a lidadde e ste m ¶ e to do: e lsiti o e scogi do no debe e sta r suje to a losm ism osdesa stre sna tura lesq ue e lsiti o origina l,debe habe r una co ordi naci o n de e stra te gias de ha rdw a re /softw a re ,de¶ be gar antiza rse la di sp oni bilidadde losre cursos,e tc. Losacue r dosre c¶ ³p r o cosdebe n ce lebra rse e ntre dos o m ¶ a sorganiza ci one sq ue ti e ne n e q ui p oso a p lica cione s sim ilare s.E sta op ci¶ o n p or lo ge ne r a le sde ba jo costo R e fe r e nci as 1. Manua lde Inform aci on T¶ ¶ e cni ca p a ra la Pre p a ra ci¶ o n alE xa m e n C ISA 2 001.Publica do p or Inform a ti on Syste m sA udita ndC ontrolA sso ciati on Inc. 2 . E xp e r i e nciasde p e rsona ldentro de e m p re sa s cs