Plan de Continuidad para el Negocio

Ing Rodrigo Ferrer V. rodrigo.ferrer@sisteseg.com CISSP, CISA, ABCP, CSSA, CST, COBIT f.c

ITGI, Board Briefing on IT Governance, 2nd Edition, USA.

Copyright: Rodrigo Ferrer

AGENDA
1. 2. 3. 4. 5. 6. 7.

Introduccin Continuidad y recuperacin del plan Descripcin metodologa utilizada Gestin del riesgo Roles y responsabilidades Mantenimiento del Plan Conclusiones

Copyright: Rodrigo Ferrer

Introducci Introduccin

Qu servicio? Qu es Continuidad del servicio?

La continuidad del servicio involucra capacidades tcticas y estratgicas preaprobadas por la direccin de una entidad para responder a incidentes e interrupciones del servicio con el fin de poder continuar con sus operaciones a un nivel aceptable previamente definido.

Business continuity strategic and tactical capability, pre-approved by management, of an organization to plan for and respond to incidents and business interruptions in order to continue business operations at an acceptable pre-defined level (BSI, BS25999,p.6.)

Copyright: Rodrigo Ferrer

Gesti Gestin de la continuidad del servicio

Copyright: Rodrigo Ferrer

Productos que lo componen

Business Impact Analysis (Impacto de Anlisis del Negocio). Risk Assesment (Evaluacin o Valoracin de Riesgos). Estrategias de Continuidad. Estructura Organizacional para la Continuidad (Roles, responsabilidades y procedimientos). Procesos de Continuidad. Plan de Pruebas del Plan de Continuidad.

Copyright: Rodrigo Ferrer

Recuperaci Continuidad y Recuperacin ante desastres

recuperaci Continuidad y recuperacin ante desastres.

Fuente: Syngress

Copyright: Rodrigo Ferrer

Integraci Integracin

BCP

DRP

SGSI

Mejores Prcticas: ITIL V3, COBIT, ISO 27001

Copyright: Rodrigo Ferrer

Razones para un BCP

Es mejor tener un plan para evitar la confusin durante el evento

Proactivo Vs Reactivo Tomar las acciones correctivas cuando sea necesario Se deben establecer controles que mitiguen el riesgo Continuidad del servicio Respuesta ordenada ante un desastre

Copyright: Rodrigo Ferrer

Descripci Metodolog Descripcin de la Metodologa Utilizada

DRI

Copyright: Rodrigo Ferrer

Metodolog Metodologa

Inicio del Proyecto

Anlisis de Impacto al Servicio

Evaluacin de Riesgos

Desarrollo de Estrategias de Mitigacin

Desarrollo del Plan de Continuidad del Servicio

Entrenamiento, Pruebas, Auditora

Mantenimiento del Plan de Continuidad del Servicio

Copyright: Rodrigo Ferrer

BIA

Copyright: Rodrigo Ferrer

BIA

COSTO

PERDIDAS INTERRUPCION COSTO ESTRATEGIA

TIEMPO

Copyright: Rodrigo Ferrer

Gesti Gestin del riesgo

El Riesgo
La falta de una gestin del riesgo en cualquier entidad puede tener como consecuencia:

Perdida de tiempo. Perdida de productividad Perdida de informacin confidencial. Prdida de clientes. Prdida de imagen. Prdida de ingresos por beneficios. Prdida de ingresos por ventas y cobros. Prdida de ingresos por produccin. Prdida de competitividad en el mercado. Prdida de credibilidad en el sector.

Copyright: Rodrigo Ferrer

Atributos del riesgo

Fuente: Webber

Copyright: Rodrigo Ferrer

Gesti Gestin del riesgo

Copyright: Rodrigo Ferrer

Las amenazas
Amenazas Naturales & Ambientales Fuego Tormenta Elctrica Terremoto Inundacin Tornado Sequa Huracn, Tifn, Cicln Volcn Tsunami Pandmica Accidentales Omisin Error Humanas Intencionales Omisin Error Fuego Robo Sabotaje Vandalismo Huelga Terrorismo Amenaza qumica o biolgica Guerra Ciber-amenaza De Infraestructura Dao estructural Comunicaciones Sistemas de Seguridad Potencia elctrica Calefaccin / Aire Paro de transporte Prdida de utilidades Contaminacin de comida o agua 21 Cambio legal o regulatorio

Copyright: Rodrigo Ferrer

Tipo de controles en el manejo del riesgo

Tcnicos o tecnolgicos

Fsicos

Administrativos

Objetivos del Manejo del riesgo

Copyright: Rodrigo Ferrer

Gesti Gestin del Riesgo

ACEPTAR o ASUMIR EL RIESGO

EVITAR EL RIESGO

Estrategias de Continuidad

TRANSFERIR EL RIESGO

MITIGAR EL RIESGO (mitigar el impacto o reducir la probabilidad)

ATOMIZAR EL RIESGO

Gesti Gestin del Riesgo

Tecnolgicas

Centros de Procesamiento Servidores Comunicaciones Suministro Elctrico Datos, Backups & Recuperacin

Estrategas de mitigacin
Equipos y Roles Procesos de Continuidad

No tecnolgicas

Recurso Humano Capacitacin Suministros

Gesti Gestin del riesgo

Copyright: Rodrigo Ferrer

Pr Mejores Prcticas

Best Practices and Standards Help Enable Effective Governance of IT Activities Increasingly, the use of standards and best practices, such as ITIL, Cobi T and ISO/IEC 27002, is being driven by business requirements for improved performance, value transparency and increased control over IT activities.

IT Governance Institute
Copyright: Rodrigo Ferrer

Informaci Seguridad de la Informacin

Copyright: Rodrigo Ferrer

An Anlisis de Brecha ISO 27001

Dominio
Poltica de Seguridad Seguridad en la Organizacin. Control y Clasificacin de Activos. Aspectos humano. de Seguridad relacionados con el recurso

Cumplimiento
0% 20% 33% 40% 60%

Seguridad Fsica Administracin de comunicaciones. Control de Acceso la operacin de cmputo y

28% 40% 45% 30% 20%

Desarrollo y mantenimiento de Sistemas Continuidad del Negocio Cumplimiento de Leyes

Promedio

31.6%

Copyright: Rodrigo Ferrer

Vulnerabilidades en la red

Ejemplo informe
Copyright: Rodrigo Ferrer

ITIL V3

Personas

Procesos

Productos

Proveedores

Copyright: Rodrigo Ferrer

ITIL V3

Copyright: Rodrigo Ferrer

Evoluci Evolucin del Servicio

Copyright: Rodrigo Ferrer

Roles y Responsabilidades

Mitigaci Estrategias de Mitigacin

Copyright: Rodrigo Ferrer

Mantenimiento del Plan

Capacitaci Auditor Pruebas, Capacitacin, Auditora y Mantenimiento.

Copyright: Rodrigo Ferrer

Entrenamiento
Seminarios Cursos Procesos de certificacin Slogans DVD Emails Campaas Afiches

Copyright: Rodrigo Ferrer

Conclusiones

Conclusiones
Metodologa probada internacionalmente (DRII) Estrategias de mitigacin concertadas

Antes Durante Despus Herramienta automatizada Plan de accin

Gestin de riesgos

Copyright: Rodrigo Ferrer

FIN