Agosto 2012 - Universidad Anáhuac México Sur

dimientos para la
restauración de
la empresa al estado
previo del desastre.
La principal diferencia es que
el DRP es comúnmente asociado
con la recuperación del sistema de
Tecnología de Información (TI) por sí
sola, mientras que el BCP tiene un contexto
de negocios más amplio. El backup
o respaldo de la información solo es
una parte de un DRP. El back-up es la
copia de archivos que facilita la restauración
de los activos de TI. Los archivos
de copia de seguridad pueden contener
información vital para la empresa,
como datos, información financiera y
operativa, aplicaciones, sistemas operativos
y documentación,
entre otros.
Muchas pequeñas
y medianas
empresas piensan
erróneamente
que el back-up es un
Plan de Continuidad de recuperación.
No es así. El simple
back-up o la copia de datos, en
sí mismo, no garantiza que un negocio
será capaz de desarrollar sus
operaciones de manera normal, ni siquiera
la recuperación mínima necesaria
de su información, después de
que ocurren los desastres.
También es importante definir qué se
entiende por un BIA. Su propósito es
crear un documento que ayude a entender
el costo y el impacto que un desastre
pueda tener sobre un negocio en
particular. Considera principalmente:
a) Priorizar procesos críticos del
negocio.
b) Calcular el Maximum Tolerable
Downtime (MTD), es decir, el tiempo
máximo sin servicio que una organización
puede soportar y seguir cumpliendo
con sus objetivos de negocio.
Por lo tanto, la continuidad del negocio
es un concepto que abarca la planeación
para recuperación de desastres,
principalmente en sus datos (DRP) y la
planeación para el restablecimiento del
negocio (BCP).
código de mejores
prácticas corporativas
Conforme a la Práctica 7 del Código de
Mejores Prácticas Corporativas, el BCP/
DRP está relacionado con las siguientes
funciones del Consejo de Administración:
➔ XV. Asegurar el establecimiento de
planes de contingencia y de recuperación
de la información. Esto es lo más
importante
➔ VI. Asegurar la creación de valor para
los accionistas y la permanencia en el
tiempo de la sociedad. De no tener un
BCP/DRP se puede poner en peligro la
continuidad de las operaciones y de la
información de la organización.
➔ VIII. Asegurar el establecimiento
de mecanismos de control interno y
de calidad de la información.
➔ X. Asegurar el establecimiento de
mecanismos para la identificación,
análisis, administración, control y la
adecuada revelación de los riesgos,
por la posible falta de establecer, probar
y actualizar el Plan de BCP/DRP.
POLÍTICA GENERAL
Debido a que cualquier interrupción en
los procesos de negocio afecta la operación
y su continuidad, es responsabilidad
de la Dirección General aprobar,
poner en marcha y probar formalmente
un Plan de Continuidad de Negocio,
que cubra las actividades y críticas necesarias.
En la definición de esta política,
por lo menos, se deben considerar:
a) Respaldos o back-ups de la información;
se deben definir los procedimientos
formales para la validación.
b) Elementos de seguridad física
necesarios.
c) Integración y enlace formal del
BCP con el DRP.
d) Mantenimiento continuo del Plan
BCP/DRP.
e) Pruebas del plan, las cuales deben
incluir las simulaciones e intentos de
restauración necesarios.
f) Establecer políticas necesarias de
seguridad física.
g) Crear un centro de operación de
emergencia en caso de que se presente
una contingencia que imposibilite
continuar operando en las instalaciones
de la empresa (plantas, fábricas,
almacenes, centros de servicio,
tiendas, etcétera). Este deberá contar
con la infraestructura tecnológica
adecuada y suficiente para soportar
las aplicaciones clave del negocio, tanto
operativas como financieras.
h) Los roles y responsabilidades de
las diferentes áreas y procesos dentro
de la organización, que incluyen
el entrenamiento necesario al personal
aplicable.
i) La revisión de la política. Esta política
debe ser modificada, si existieran
cambios en los procesos operativos y
financieros de negocio de la organización,
o en su infraestructura tecnológica.
En caso de no haber cambios, se
debe realizar su revisión anualmente
para identificar los riesgos y desviaciones
resultantes.
INICIO DEL PLAN
La Dirección General y los diferentes
ejecutivos principales de primer nivel
de una empresa (los Directores de
Operaciones, Sistemas, Administración,
Finanzas y Recursos Humanos)
son los responsables de iniciar el Plan
de Continuidad del Negocio.
Este Plan es esencial y debe ser preventivo
y no correctivo para continuar
con las actividades críticas del negocio
de la organización, en caso de una
falla o desastre inesperado, que pudiera
seriamente interrumpir los procesos
y actividades importantes de la
operación de la compañía.
agosto 2012 • Veritas 13