Agosto 2012 - Universidad Anáhuac México Sur

Ambiente
de Negocios
El proyecto del BCP/DRP requiere ser
iniciado y formalmente aprobado por
la Dirección General, someterse a la
aprobación del Comité de Auditoría y
ser sujeto a la revisión independiente
del área de Auditoría Interna en forma
anual, o por lo menos cada dos años,
en caso de estar capacitada esta área,
o bien, contratar a una consultoría especializada
para su revisión.
DESARROLLO
Y ADMINISTRACIÓN
La Dirección General debe desarrollar
un Plan de Continuidad del Negocio
que cubra los aspectos críticos y esenciales
de la actividad de la compañía.
Este Plan es esencial para poder continuar
con las actividades críticas del
negocio, en el caso de una falla inesperada,
o bien por un evento catastrófico.
Como recomendaciones adicionales
al desarrollo y administración del
Plan de Continuidad del Negocio, podemos
enunciar, entre otras:
a) Entender plenamente los riesgos
que está enfrentado la empresa, incluyendo
e identificando formalmente
los procesos críticos del negocio.
b) Entender el posible impacto en costo
y duración que una interrupción a
la operación normal pueda tener.
c) Asignar un presupuesto autorizado
suficiente al BCP/DRP por la Dirección
General y ratificado por el
Comité de Auditoría.
d) Considerar la adquisición y renovación
de una póliza de seguros de protección
de activos como parte del Plan de
Continuidad de Negocio.
e) Formular y documentar una estrategia
de continuidad del negocio
de acuerdo con los objetivos y las
prioridades.
f) Contar con la infraestructura informática
alterna para el restablecimiento
de la denominada Configuración
Mínima Aceptable de Recuperación
(MARC, por sus siglas en inglés).
EVALUACIÓN DE RIESGO
Se debe realizar una evaluación formal
de riesgo o análisis de impacto sobre
el negocio (BIA), para determinar
los requerimientos del Plan e identificar
todos los eventos reales y potenciales
que puedan causar interrupciones
a los procesos de negocio. Sin embargo,
no se debe limitar exclusivamente
a los recursos e infraestructura tecnológica
asociado a los sistemas de información.
Los pasos involucrados en el
análisis comprenden, entre otros:
a) Técnicas para obtener información.
b) Seleccionar los funcionarios y empleados
clave a entrevistar.
c) Adecuar los cuestionarios a realizar.
d) Analizar e interpretar la información
operativa y financiera.
e) Identificar los procesos críticos
por área.
f) Definir los tiempos críticos de las
diferentes funciones del negocio.
g) Determinar los tiempos máximos
tolerables de caída por proceso
(MTD).
h) Priorizar la recuperación de las
funciones críticas del negocio.
i) Documentar y preparar reportes de
recomendaciones a la Dirección General
y unidades de negocio aplicables.
CARACTERÍSTICAS
Con el fin de garantizar su consistencia
a lo largo de las diferentes unidades
de negocio, el Plan debe considerar
Si el Plan de
Continuidad
del Negocio
no se actualiza
periódicamente,
su éxito puede
ser cuestionable
y parcial.
por lo menos los siguientes elementos:
a) Establecer grupos de recuperación.
b) Definir los escenarios de contingencia
posibles.
c) Condiciones para la activación del
plan de continuidad.
d) Una estrategia de recuperación de
desastres, teniendo en cuenta aspectos
como:
d.1) Esquemas de recuperación de
respaldos, evitando o disminuyendo
la pérdida de datos críticos.
d.2) Prioridades y tiempos de
recuperación.
d.3) Procesos, usuarios, servicios,
aspectos técnicos e información mínimos
indispensables a restaurar
para reiniciar la operación.
e) Identificar e implementar las responsabilidades
y procedimientos de
emergencia para permitir la recuperación
en un tiempo limitado.
f) Procedimiento que incluya las actividades
antes y durante el evento de la
contingencia.
g) Procedimientos de regreso a la operación
normal.
h) Documentación de procedimientos
y procesos acordados.
i) Entrenamiento apropiado sobre
manejo de emergencias al personal
involucrado.
j) Cronograma de pruebas del Plan de
Continuidad del Negocio.
k) Responsabilidades individuales de
ejecución y propietarios de cada Plan
de continuidad.
INVOLUCRAMIENTO
DEL PERSONAL
Entre los aspectos de la seguridad de
la información a considerar, cuando
se implementan estas políticas, están
las siguientes:
a) Aun cuando el BCP/DRP haya sido
probado, aun este puede fallar si
el personal no está lo suficientemente
familiarizado y convencido con
sus contenidos y su responsabilidad
correspondiente.
14 Veritas • agosto 2012