{"id":650,"date":"2008-03-09T22:43:40","date_gmt":"2008-03-09T21:43:40","guid":{"rendered":"http:\/\/www.marblestation.com\/blog\/?p=650"},"modified":"2012-04-26T16:29:33","modified_gmt":"2012-04-26T14:29:33","slug":"bs-25999-1-gestion-de-la-continuidad-del-negocio","status":"publish","type":"post","link":"https:\/\/www.marblestation.com\/?p=650","title":{"rendered":"BS 25999-1: Gesti\u00f3n de la Continuidad del Negocio"},"content":{"rendered":"<p>El est\u00e1ndar <a href=\"http:\/\/en.wikipedia.org\/wiki\/BS_25999\">BS 25999-1<\/a> presenta los procesos y principios necesarios para una adecuada gesti\u00f3n de la continuidad del negocio que permita cubrir las necesidades de clientes y organizaciones.<\/p>\n<p>La gesti\u00f3n de la continuidad del negocio (Business continuity management &#8211; BCM) consiste en la mejora proactiva de la resistencia (resilience) de la organizaci\u00f3n frente a contingencias. Por otra parte, proporciona mecanismos para restaurar los productos y servicios clave a un nivel aceptable y dentro de un marco temporal limitado, protegiendo la reputaci\u00f3n corporativa.<\/p>\n<p>La implantaci\u00f3n de un programa de gesti\u00f3n de la continuidad ofrece los siguientes beneficios:<\/p>\n<ul>\n<li>Identificaci\u00f3n proactiva de los impactos derivados de la interrupci\u00f3n operativa.<\/li>\n<li>Respuesta efectiva a interrupciones.<\/li>\n<li>Gesti\u00f3n de riesgos no aceptados por las compa\u00f1\u00edas de seguros.<\/li>\n<li>Mejora de la reputaci\u00f3n corporativa.<\/li>\n<li>Ventaja competitiva debido a la demostrada capacidad de mantener la entrega de servicios.<\/li>\n<\/ul>\n<p>El ciclo de vida de la gesti\u00f3n de la continuidad consta de 5 etapas:<br \/>\n<!--more--><\/p>\n<p><center><br \/>\n<a href=\"http:\/\/farm3.static.flickr.com\/2256\/2310180757_24bdd61fe6_o.png\"><img decoding=\"async\" src=\"http:\/\/farm3.static.flickr.com\/2256\/2310180757_05ae307fe5.jpg?v=0\"\/><\/a><br \/>\n<\/center><\/p>\n<h3>Programa de gesti\u00f3n de la continuidad del negocio<\/h3>\n<p>Como primer paso se requiere la definici\u00f3n de una pol\u00edtica general que garantice que todas las actividades ser\u00e1n dise\u00f1adas e implementadas bajo unos criterios comunes. La pol\u00edtica debe definir el alcance, los principios y los recursos dedicados a la gesti\u00f3n de la continuidad.<\/p>\n<p>Una vez definidas las l\u00edneas generales, se requiere proceder a la elaboraci\u00f3n del programa de gesti\u00f3n de la continuidad. Este deber\u00e1 asignar responsabilidades (p.ej. encargados de la comunicaci\u00f3n a stakeholders, formaci\u00f3n, prueba, etc.), dise\u00f1ar procesos para la implementaci\u00f3n de la continuidad y gestionar su actualizaci\u00f3n, promoci\u00f3n y monitorizaci\u00f3n.<\/p>\n<p>En definitiva, como resultado se debe obtener la siguiente documentaci\u00f3n actualizada:<\/p>\n<ul>\n<li>Pol\u00edtica de gesti\u00f3n de la continuidad del negocio: alcance, recursos, principios y est\u00e1ndares generales.<\/li>\n<li>An\u00e1lisis del impacto en el negocio (BIA)<\/li>\n<li>Planes de emergencia: gesti\u00f3n de la fase inicial de un incidente.<\/li>\n<li>Planes de continuidad del negocio: mantener el funcionamiento de los procesos de negocio.<\/li>\n<li>Planes de recuperaci\u00f3n del negocio: recuperar el estado inicial.<\/li>\n<li>Plan de pruebas e informes relacionados<\/li>\n<li>Contratos y acuerdos de nivel de servicio<\/li>\n<li>Plan de formaci\u00f3n para las partes implicadas<\/li>\n<\/ul>\n<p>Tal y como se ha mostrado en el diagrama inicial, el programa de gesti\u00f3n de la continuidad se encuentra en el centro del ciclo de vida. Esto es debido a que los documentos listados son el resultado de los diferentes an\u00e1lisis realizados en las etapas que comentaremos a continuaci\u00f3n.<\/p>\n<h3>Comprensi\u00f3n de la organizaci\u00f3n<\/h3>\n<p>El objeto de esta etapa es la identificaci\u00f3n de productos y servicios que forman parte de las actividades cr\u00edticas de la organizaci\u00f3n. Para ellos es necesario:<\/p>\n<ul>\n<li>Identificar los objetivos de la organizaci\u00f3n y las obligaciones hacia los <a href=\"http:\/\/en.wikipedia.org\/wiki\/Stakeholder_%28corporate%29\">stakeholders<\/a>.<\/li>\n<li>Identificar las actividades, activos y recursos que soportan la entrega de productos y servicios.<\/li>\n<li>An\u00e1lisis del impacto en el negocio (BIA): documentar el impacto (econ\u00f3mico, reputacional, perdida de informaci\u00f3n, etc.) de la discontinuidad de los diferentes procesos de negocio, determinando:\n<ul>\n<li>Periodo m\u00e1ximo de tiempo que los procesos pueden encontrarse inoperativos.<\/li>\n<li>Nivel m\u00ednimo que los procesos deben alcanzar para ser operativos.<\/li>\n<li>Relaciones e interdependencias de los procesos y recursos.<\/li>\n<\/ul>\n<\/li>\n<li>Identificar y evaluar las potenciales amenazas que podr\u00edan causar interrupciones.<\/li>\n<\/ul>\n<p>A partir de estos an\u00e1lisis, se identificaran las actividades cr\u00edticas de la organizaci\u00f3n: actividades que tengan un impacto m\u00e1s grande en un periodo de tiempo m\u00e1s corto y que, por las necesidades del negocio, deben ser recuperadas r\u00e1pidamente en caso de interrupci\u00f3n.<\/p>\n<p>Por otra parte, el an\u00e1lisis del impacto en el negocio (BIA) debe facilitar a la organizaci\u00f3n el dise\u00f1o de medidas que permitan reducir la probabilidad, acortar el periodo o limitar el impacto de potenciales interrupciones. No obstante, la implantaci\u00f3n de mecanismos de mitigaci\u00f3n del riesgo no es la \u00fanica opci\u00f3n y la organizaci\u00f3n podr\u00eda decantarse por otras alternativas:<\/p>\n<ul>\n<li>Aceptaci\u00f3n del riesgo: La organizaci\u00f3n puede asumir el riesgo y sus potenciales consecuencias sin llevar a cabo ninguna acci\u00f3n.<\/li>\n<li>Transferencia del riesgo: Mediante la contrataci\u00f3n de seguros o acuerdos contractuales es posible traspasar el riesgo a una entidad externa (aunque hay riesgos que no pueden ser transferidos, como el reputacional).<\/li>\n<li>Finalizaci\u00f3n de la actividad: En determinadas circunstancias puede ser apropiado el cambio, la suspensi\u00f3n o finalizaci\u00f3n de la actividad.<\/li>\n<\/ul>\n<h3>Determinar la estrategia de continuidad o recuperaci\u00f3n<\/h3>\n<p>Para cada actividad, la estrategia para la continuidad o recuperaci\u00f3n de las actividades depender\u00e1 del periodo m\u00e1ximo tolerable de interrupci\u00f3n, el coste de implementar medidas y las consecuencias de no llevar a cabo ninguna acci\u00f3n.<\/p>\n<p>Las estrategias deber\u00e1n definirse a nivel de los diferentes recursos necesarios:<\/p>\n<h4>Personas<\/h4>\n<p>La organizaci\u00f3n debe identificar las estrategias apropiadas para mantener las habilidades y el conocimiento clave, como por ejemplo:<\/p>\n<ul>\n<li>Documentar como se llevan a cabo las actividades cr\u00edticas.<\/li>\n<li>Formar al personal en habilidades diversas y no exclusivas de su actividades asignadas.<\/li>\n<li>Segregaci\u00f3n de habilidades clave con tal de evitar la concentraci\u00f3n y dependencia de personas.<\/li>\n<\/ul>\n<h4>Locales<\/h4>\n<p>La reducci\u00f3n del impacto de la inaccesibilidad a los lugares habituales de trabajo puede llevarse a cabo mediante medidas como las siguientes:<\/p>\n<ul>\n<li>Contratar locales alternativos.<\/li>\n<li>Facilitar el trabajo remoto.<\/li>\n<li>Uso de personal alternativo disponibles en ubicaciones alternativas.<\/li>\n<\/ul>\n<h4>Tecnolog\u00eda<\/h4>\n<p>En funci\u00f3n de la relaci\u00f3n y dependencia entre las actividades cr\u00edticas y la tecnolog\u00eda, se deber\u00e1 definir las estrategias de continuidad como por ejemplo la distribuci\u00f3n geogr\u00e1fica de los sistemas de informaci\u00f3n o el mantenimiento de equipos viejos como material de reemplazo.<\/p>\n<p>En general, las medidas a tomar referentes a la tecnolog\u00eda suelen ser complejas y deben considerar los siguientes aspectos:<\/p>\n<ul>\n<li>Tiempo y nivel de recuperaci\u00f3n objetivo (<a href=\"http:\/\/en.wikipedia.org\/wiki\/Recovery_Time_Objective\">RTO &#8211; Recovery Time objective<\/a> y <a href=\"http:\/\/en.wikipedia.org\/wiki\/Recovery_Point_Objective\">RPO &#8211; Recovery Point objective<\/a>) para los sistemas y aplicaciones que dan soporte a las actividades clave identificadas en el an\u00e1lisis BIA.<\/li>\n<li>Localizaci\u00f3n y distancia entre los centros de proceso de datos.<\/li>\n<li>Conectividad y redundancia.<\/li>\n<li>Sistemas de Alimentaci\u00f3n Ininterrumpida &#8211; SAI (Uninterruptible Power Supply &#8211; UPS)<\/li>\n<li>Controles medioambientales (p.ej. medidas anti incendios)<\/li>\n<li>Etc.<\/li>\n<\/ul>\n<h4>Informaci\u00f3n<\/h4>\n<p>Resulta fundamental garantizar que la informaci\u00f3n vital de la organizaci\u00f3n se encuentra protegida y puede ser recuperada dentro de los tiempos definidos por el an\u00e1lisis BIA.<\/p>\n<p>En definitiva, se trata de garantizar la confidencialidad, integridad y disponibilidad de la informaci\u00f3n mediante la ejecuci\u00f3n de copias de seguridad lo suficientemente frecuentes. Por otra parte, estas copias deben ser protegidas f\u00edsicamente de potenciales amenazas (p.ej. robos, inundaciones, deterioro del soporte, etc.).<\/p>\n<h4>Suministros<\/h4>\n<p>La organizaci\u00f3n deber\u00eda identificar y mantener un inventario con los suministros que dan soporte a las actividades cr\u00edticas, con objeto de definir una estrategia:<\/p>\n<ul>\n<li>Almacenaje de suministros adicionales en una local alternativo.<\/li>\n<li>Acuerdos con terceros para la entrega de material en periodos cortos de tiempo.<\/li>\n<li>Mantener stock en almacenes.<\/li>\n<li>Identificaci\u00f3n de suministros alternativos o substitutos.<\/li>\n<li>Incrementar el n\u00famero de proveedores (p.ej. diversos proveedores de Internet)<\/li>\n<\/ul>\n<h3>Desarrollo e implementaci\u00f3n de la respuestas BCM<\/h3>\n<p>En esta etapa tiene lugar el desarrollo y la implantaci\u00f3n de planes para garantizar la continuidad de actividades cr\u00edticas y la gesti\u00f3n de incidentes.<\/p>\n<p>Este proceso parte de la informaci\u00f3n identificada previamente relativa a las actividades cr\u00edticas, amenazas, medidas de mitigaci\u00f3n y estrategias para la continuidad o recuperaci\u00f3n.<\/p>\n<p>La organizaci\u00f3n debe definir una estructura de respuesta a incidentes (en ocasiones denominada Incident Management Team IMT o Crisis Management Team CMT) que permita confirmar la naturaleza del incidente, tomar el control de la situaci\u00f3n y comunicar a los stakeholders. Estos equipos deben disponer de planes, procesos y procedimientos para la gesti\u00f3n de incidentes.<\/p>\n<p><center><br \/>\n<a href=\"http:\/\/farm4.static.flickr.com\/3012\/2310986240_6eee2f0c23_o.png\"><img decoding=\"async\" src=\"http:\/\/farm4.static.flickr.com\/3012\/2310986240_055c92c183.jpg?v=0\"\/><\/a><br \/>\n<\/center><\/p>\n<p>En la imagen se observan 3 periodos bien delimitados que corresponden a la respuesta al incidente, la continuidad del negocio y la recuperaci\u00f3n del estado normal. Para cada una de estas etapas se debe definir un plan distinto.<\/p>\n<p>Cabe destacar que para todos los planes deben contener al menos:<\/p>\n<ul>\n<li>Que actividades cr\u00edticas deben ser recuperadas y bajo que situaciones debe aplicarse el plan<\/li>\n<li>Actividades cr\u00edticas priorizadas y enmarcadas por los periodos de tiempo, y niveles de recuperaci\u00f3n necesarios.<\/li>\n<li>Roles y responsabilidades durante el incidente<\/li>\n<li>Procedimientos para la activaci\u00f3n de la gesti\u00f3n de incidentes, continuidad del negocio o recuperaci\u00f3n.<\/li>\n<li>Responsable de la actualizaci\u00f3n de cada plan.<\/li>\n<li>Datos de contacto de las personas clave implicadas en cada plan.<\/li>\n<\/ul>\n<h4>Plan de gesti\u00f3n de incidentes<\/h4>\n<p>Los planes de emergencia deben cubrir los siguientes aspectos:<\/p>\n<ul>\n<li>Lista de tareas y acciones: gesti\u00f3n de las consecuencias inmediatas de la interrupci\u00f3n del negocio.<\/li>\n<li>Informaci\u00f3n de contacto: mediante que mecanismos (p.ej. tel\u00e9fono) y bajo que circunstancias la organizaci\u00f3n deber\u00e1 contactar con empleados, proveedores, personas externas, etc.<\/li>\n<li>Actividades del personal: coordinador de evacuaci\u00f3n, primeros auxilios, comunicaciones con empleados\/clientes, etc.<\/li>\n<li>Respuesta a los medios de comunicaci\u00f3n: estrategia de comunicaci\u00f3n, canales preferidos, personal responsable para la comunicaci\u00f3n.<\/li>\n<li>Gesti\u00f3n de los stakeholders: comunicaci\u00f3n con personas interesadas directa o indirectamente en la organizaci\u00f3n.<\/li>\n<li>Plantillas o formularios para registrar aspectos como el desarrollo en el tiempo del incidente, las decisiones tomadas, las inversiones realizadas, verificaciones de los da\u00f1os, comunicaciones realizadas y cualquier otro tipo de informaci\u00f3n de utilidad para revisiones posteriores.<\/li>\n<\/ul>\n<h4>Plan de continuidad del negocio<\/h4>\n<p>Los planes de continuidad deben contener los siguientes puntos:<\/p>\n<ul>\n<li>Listado de tareas o acciones: mecanismos de activaci\u00f3n del plan, que personas pueden tomar la decisi\u00f3n y que personas deben ser informadas de la misma, momento y lugar para la activaci\u00f3n de servicios, gu\u00edas para la recuperaci\u00f3n de los sistemas.<\/li>\n<li>Recursos requeridos: personas, lugares, elementos tecnol\u00f3gicos o de comunicaci\u00f3n, informaci\u00f3n y suministros.<\/li>\n<li>Responsabilidades<\/li>\n<li>Informaci\u00f3n de contacto: mediante que mecanismos (p.ej. tel\u00e9fono) y bajo que circunstancias la organizaci\u00f3n deber\u00e1 contactar con empleados, proveedores, personas externas, etc.<\/li>\n<li>Plantillas o formularios para registrar aspectos como las decisiones tomadas y cualquier otro tipo de informaci\u00f3n de utilidad para revisiones posteriores.<\/li>\n<\/ul>\n<p>Cabe destacar que, en el caso espec\u00edfico de los sistemas de informaci\u00f3n, se suele utilizar el t\u00e9rmino <a href=\"http:\/\/es.wikipedia.org\/wiki\/Plan_de_Contingencias\">plan de contingencias<\/a> o <a href=\"http:\/\/en.wikipedia.org\/wiki\/Disaster_recovery\">recuperaci\u00f3n de desastres<\/a>.<\/p>\n<h4>Plan de recuperaci\u00f3n<\/h4>\n<p>El plan de recuperaci\u00f3n depender\u00e1 de las caracter\u00edsticas de la organizaci\u00f3n y de los incidentes sufridos, siendo uno de los puntos m\u00e1s dif\u00edciles de definir con anterioridad. En general ser\u00e1 necesario llevar a cabo acciones a medida en funci\u00f3n de las necesidades del momento concreto.<\/p>\n<h3>Validaci\u00f3n, mantenimiento y revisi\u00f3n<\/h3>\n<p>La prueba de los planes de incidencias, continuidad y recuperaci\u00f3n son esenciales para la validaci\u00f3n de los mismos. Paralelamente permite desarrollar las competencias, el conocimiento y la confianza necesaria para afrontar las situaciones de contingencias.<\/p>\n<p>Las pruebas pueden variar en su complejidad:<\/p>\n<table>\n<tr>\n<th align=\"center\"><b>Complejidad<\/b><\/th>\n<th align=\"center\"><b>Tipo<\/b><\/th>\n<th align=\"center\"><b>Descripci\u00f3n<\/b><\/th>\n<\/tr>\n<tr>\n<td>Baja<\/td>\n<td>Comprobaci\u00f3n sobre el papel<\/td>\n<td>Revisar el contenido del BCP<\/td>\n<\/tr>\n<tr>\n<td rowspan=3>Mediana<\/td>\n<td>Ensayo<\/td>\n<td>Validar el contenido del BCP a partir de entrevistas<\/td>\n<\/tr>\n<tr>\n<td>Simulaci\u00f3n<\/td>\n<td>Usar situaciones artificiales para validar que el BCP contiene la informaci\u00f3n necesaria para una recuperaci\u00f3n exitosa.<\/td>\n<\/tr>\n<tr>\n<td>Prueba de las actividades cr\u00edticas<\/td>\n<td>Invocar los planes en una situaci\u00f3n que no haga peligrar el negocio<\/td>\n<\/tr>\n<tr>\n<td>Alta<\/td>\n<td>Prueba completa, incluyendo la gesti\u00f3n de incidentes<\/td>\n<td>Prueba real de abandono de edificios, campus, etc.<\/td>\n<\/tr>\n<\/table>\n<p>Las pruebas, especialmente de nivel medio-alto, deben ser realistas, planificadas y acordadas con los stakeholders. En definitiva, el riesgo de provocar un incidente derivado de la prueba del plan debe ser minimizado.<\/p>\n<p>Por otra parte, resulta necesario realizar un an\u00e1lisis a posteriori para identificar aspectos de mejora o puntos desactualizados, acompa\u00f1ado por sistemas de control de versiones y mecanismos para la difusi\u00f3n de los aspectos modificados. Tan importante es la prueba de los planes, como la concienciaci\u00f3n de los empleados y la definici\u00f3n de planes de formaci\u00f3n para los mismos.<\/p>\n<h3>Conclusi\u00f3n<\/h3>\n<p>El est\u00e1ndar BS 25999-1 proporciona unos c\u00f3digos de buenas pr\u00e1cticas en forma de gu\u00edas generales, las cuales establecen los procesos, principios y la terminolog\u00eda expuesta en el presente art\u00edculo. Es posible ampliar la informaci\u00f3n con las <a href=\"http:\/\/www.thebci.org\/gpg.htm\">gu\u00edas de buenas pr\u00e1cticas<\/a> del <a href=\"http:\/\/www.thebci.org\/\">Business Continuity Institute<\/a>, las cuales se pueden descargar gratuitamente.<\/p>\n<p>Cabe destacar que, el est\u00e1ndar dispone de una segunda parte BS 25999-2 que especifica los requisitos auditables para la implementaci\u00f3n de un sistema para la gesti\u00f3n continua del negocio.<\/p>\n<p>En relaci\u00f3n a art\u00edculos pasados, con BS 25999 podemos cubrir el proceso de &#8220;Gesti\u00f3n de la continuidad de los servicios IT&#8221; (IT Service Continuity Management) correspondiente a la etapa de &#8220;Dise\u00f1o del servicio&#8221; de <a href=\"http:\/\/www.marblestation.com\/blog\/?p=646\">ITIL<\/a> o el proceso &#8220;DS4 &#8211; Asegurar la continuidad del servicio&#8221; del dominio &#8220;Entrega y soporte&#8221; del est\u00e1ndar <a href=\"http:\/\/www.marblestation.com\/blog\/?p=645\">Cobit<\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>El est\u00e1ndar BS 25999-1 presenta los procesos y principios necesarios para una adecuada gesti\u00f3n de la continuidad del negocio que permita cubrir las necesidades de clientes y organizaciones. La gesti\u00f3n de la continuidad del negocio (Business continuity management &#8211; BCM) consiste en la mejora proactiva de la resistencia (resilience) de la organizaci\u00f3n frente a contingencias. &hellip; <a href=\"https:\/\/www.marblestation.com\/?p=650\" class=\"more-link\">Continue reading <span class=\"screen-reader-text\">BS 25999-1: Gesti\u00f3n de la Continuidad del Negocio<\/span> <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1,9],"tags":[],"class_list":["post-650","post","type-post","status-publish","format-standard","hentry","category-espanyol","category-negocios"],"_links":{"self":[{"href":"https:\/\/www.marblestation.com\/index.php?rest_route=\/wp\/v2\/posts\/650","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.marblestation.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.marblestation.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.marblestation.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.marblestation.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=650"}],"version-history":[{"count":3,"href":"https:\/\/www.marblestation.com\/index.php?rest_route=\/wp\/v2\/posts\/650\/revisions"}],"predecessor-version":[{"id":1268,"href":"https:\/\/www.marblestation.com\/index.php?rest_route=\/wp\/v2\/posts\/650\/revisions\/1268"}],"wp:attachment":[{"href":"https:\/\/www.marblestation.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=650"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.marblestation.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=650"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.marblestation.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=650"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}