Gestión de riesgos: plan de contingencia

Fases del Riesgo y técnicas utilizadas (Resumen)

Área Proceso Grupo Herramientas

Riesgos

Identificación Planificación - Listas de Comprobación de Riesgos

Análisis cuantitativo Planificación - Tablas de estimación de riesgos- Priorización de Riesgos

Planificación de Respuestas

Planificación - Planes de Contingencia

Supervisión y Control Control - Supervisión, control y resolución de riesgos en proyectos

Control:• Control:– Es responder a amenazas y oportunidades y revisar

los objetivos de desempeño donde sea apropiado. La identificación y valoración de los riesgos permite:1. Prevenir su ocurrencia, y cuando esto no es posible,

desarrollar un plan de respaldo, “back-up”o de contingencia(Control proactivo)

2. Modificar o minimizar la probabilidad de ocurrencia del riesgo, la calidad de las amenazas y, de ser posible, el impacto en el desempeño del proyecto(Control reactivo).

Ocurrencia de accidentes

Planificación de respuestas• Es aquí donde se construye un plan de contingencia para cada uno de los

riesgos significativos identificados anteriormente.• La colección de todos los planes de contingencia se suele agrupar en el

llamado Plan de Respuestas a Riesgos. Este plan suele incluir:- Riesgos identificados, sus descripciones, aspectos del proyecto afectados

(elementos del alcance), sus causas, efectos en los objetivos del proyecto.- Responsabilidades asignadas en cuanto a cada riesgo.- Resultados del análisis de riesgos (probabilidad, impacto, exposición),

incluyendo su priorización.- Planes de contingencia - Respuestas previstas para aquellos riesgos que se han considerado

prioritarios y que serán planificados.- Nivel de riesgo residual esperado después de que aplique la respuesta

prevista.- Acciones específicas para implementar la estrategia de respuesta a cambios.- Presupuesto y tiempos para las respuestas.

Plan de contingencia: Definición

• General: – Conjunto de procedimientos alternativos a la operativa normal

de cada empresa objetivo es permitir el funcionamiento de ésta, aún cuando alguna de sus funciones deje de hacerlo por culpa de algún incidente tanto interno como ajeno a la organización.

• Especifica (por ejemplo en sistemas software): – Es la identificación de aquellos sistemas de información y/o

recursos informáticos aplicados que son susceptibles de deterioro, violación o pérdida y que pueden ocasionar graves trastornos para el desempeño normal de la organización, con el propósito de estructurar y ejecutar aquellos procedimientos y asignar responsabilidades que salvaguarden la información y permitan su recuperación garantizando la confidencialidad, integridad y disponibilidad de ésta en el menor tiempo posible y a unos costos razonables.

Plan de contingencia : Definición• El plan de contingencia debe cubrir todos los

aspectos que se van a adoptar tras una interrupción:– Esto implica suministrar un servicio alternativo– Se deben revisar las operaciones cotidianas además de

analizar a los principales distribuidores, clientes, negocios y socios, así como la infraestructura en riesgo.

– Esto incluye cubrir los siguientes elementos: hardware, software, documentación, talento humano y soporte logístico

– Debe ser lo más detallado posible y fácil de comprender.

Funciones de un plan de contingencia

1. Determinar acciones preventivas, reduciendo el grado de vulnerabilidad y exposición al riesgo.

2. Reducir el tiempo de reacción ante la emergencia. 3. Dimensionar el riesgo potencial. 4. Tomar decisiones rápidas ante anormalidades o falla. 5. Generar cultura de seguridad en la organización. 6. Asegurar la estabilidad de la organización. 7. Hacer sistemático, ordenado y eficiente lo que, sin

un plan debidamente concebido y ensayado, sería arbitrario, caótico e ineficiente.

8. Cumplir con las normativas legales.

Objetivos del plan de contingencia• Reanudar con la mayor brevedad posible las funciones empresariales más

críticas – Minimizar el impacto– Garantizar la correcta recuperación de los sistemas y procesos– Conservar los objetivos estratégicos de la empresa.

• Proteger el personal, minimizar el daño a operaciones y equipo de procesamiento de datos, reducir la magnitud de la interrupción en el servicio.

• Evaluar los riesgos así como los costos de los procedimientos de contingencia requeridos cuando se presenta una interrupción de las operaciones, de forma que sólo se inviertan los recursos necesarios.

• Optimizar los esfuerzos y recursos necesarios para atender cualquier contingencia de manera oportuna y eficiente, definiendo las personas responsables de las actividades a desarrollar antes y durante la emergencia. el aspecto clave es proteger al personal y la información vital para la organización.

• Esta protección conduce a realizar un análisis de los riesgos a que está sometida dicha información y la forma de minimizar el efecto de esos riesgos.

Contenido de un plan de contingencia

• 3 subplanes Cada plan contiene las medidas necesarias en cada momento a la materialización de cualquier amenaza:

1. Plan de respaldo• Contempla las contramedidas preventivas antes

de que se materialice una amenaza. Su finalidad es evitar dicha materialización.

• El nivel adecuado de seguridad física, o grado de seguridad, es un conjunto de acciones utilizadas para evitar el fallo o, en su caso, aminorar las consecuencias que de el se puedan derivar.

• Es un concepto aplicable a cualquier actividad, no sólo a la informática, en la que las personas hagan uso particular o profesional de entornos físicos.

2. Plan de emergencia• Contempla las contramedidas necesarias durante la

materialización de una amenaza, o inmediatamente después. Su finalidad es paliar los efectos adversos de la amenaza. – La probabilidad de que ocurra un desastre es muy baja, aunque se

diera, el impacto podría ser tan grande que resultaría fatal para la organización.

– Por otra parte, no es corriente que un negocio responda por sí mismo ante un acontecimiento como el que se comenta, se deduce la necesidad de contar con los medios necesarios para afrontarlo.

– Estos medios quedan definidos en el Plan de Recuperación de Desastres que junto con el Centro Alternativo de Proceso de Datos, constituye el plan de contingencia que coordina las necesidades del negocio y las operaciones de recuperación del mismo.

3. Plan de recuperación• Contempla las medidas necesarias después de materializada y

controlada la amenaza Su finalidad es restaurar el estado de las cosas tal y como se encontraban antes de la materialización de la amenaza.

• Después de ocurrido el Siniestro o Desastre es necesario realizar las actividades que se detallan, las cuales deben estar especificadas en el Plan de Acción. – Evaluación de Daños. – Priorización de Actividades del Plan de Acción.– Ejecución de Actividades.– Evaluación de Resultados.– Retroalimentación del Plan de Acción.

• La magnitud, de un plan de contingencia será proporcional a la complejidad, importancia, costo del servicio al cual está destinado a proteger y el riesgo asociado a la misma.

Importancia de un plan de contingencia

• La necesidad de un plan de contingencia esta relacionada con el impacto potencial que provocaría una interrupción parcial o total de los servicios de información, sobre el desarrollo de las actividades de la organización.

• Conforme las organizaciones aumentan la automatización de sus operaciones, éstas son más dependientes de la tecnología que capta, almacena y procesa la información vital para su funcionamiento.

• Su importancia radica en que: – Permitirá una respuesta rápida en caso de incidentes, accidentes o

estados de emergencia. – Permitirá ejecutar un conjunto de normas, procedimientos y acciones

básicas de respuesta que se debería tomar para afrontar de manera oportuna, adecuada y efectiva, ante la eventualidad de incidentes, accidentes y/o estados de emergencias que pudieran ocurrir tanto en las instalaciones como fuera de ellas.

Áreas de aplicación• Puede darse tanto para empresas (comerciales o

industriales) a nivel gubernamental (como en el caso de emergencias regionales), para casos muy específicos como derrame de petróleo, incendios, escasez de alimentos, administración de proyectos de cualquier índole como: construcciones y desarrollo de software u otros.

• En cuanto a los Sistemas de información se pueden aplicar en: Datos, Aplicaciones, Tecnología Hardware y Software, instalaciones y personal.

¿Quiénes diseñan un plan de contingencia?

• Uno de los más graves errores que se cometen a la hora de elaborar un plan de contingencia es creer que el plan debe ser elaborado por los “expertos” de los organismos oficiales de prevención (Defensa Civil, Bomberos, Gerencia de Seguridad de una empresa u otros organismos).

• Los planes de contingencia deben ser preparados por la población hacia la cual van dirigidos: las comunidades, los barrios, las ciudades, los municipios, los estados, la nación, los departamentos afectados.

• Se debe declarar una estructura formal, que se integrará de acuerdo a las necesidades y el tamaño de la institución. Debe definirse claramente sus responsabilidades y funciones, además debe tener la autoridad suficiente para establecer los lineamientos correspondientes.

Requiere la participación de:– Personal del área de informática(Sistemas de

Información, Soporte Técnico, Operaciones, Redes) como conocedores del ambiente y sus características

– Los usuarios como dueños de los sistemas– La alta administración como agentes de apoyo en

las decisiones a tomar. • Este personal es responsable de la definición de

objetivos y las etapas necesarias para alcanzarlos, lo que conlleva a la puesta en marcha del plan.

Metodología de desarrollo de un plan de contingencia

• El diseñar e implementar un plan de contingencia para recuperación de desastres no es una tarea fácil; puede implicar esfuerzos y gastos considerables, sobre todo si se está partiendo de cero.

• Una solución comprende las siguientes actividades: – Debe ser diseñada y elaborada de acuerdo con las necesidades de la empresa. – Puede requerir la construcción o adaptación de un sitio para los equipos

computacionales. – Requerirá del desarrollo y prueba de muchos procedimientos nuevos, y éstos

deben ser compatibles con las operaciones existentes. – Se hará participar a personal de muchos departamentos diferentes, el cual debe

trabajar en conjunto cuando se desarrolle e implemente la solución. – Implicará un compromiso entre costo, velocidad de recuperación, medida de la

recuperación y alcance de los desastres cubiertos. – Como con cualquier proyecto de diseño, un método estructurado ayuda a

asegurar de que se toman en cuenta todos estos factores y de que se les trata adecuadamente.

Desarrollo: etapas

1. Análisis de riesgos. 2. Evaluación de riesgos.3. Jerarquización de las aplicaciones. 4. Establecimientos de requerimientos de

recuperación. 5. Ejecución. 6. Pruebas. 7. Documentación. 8. Difusión y capacitación. 9. Mantenimiento.

1. Análisis de riesgos• Durante esta etapa se identifican los procesos críticos o esenciales y sus repercusiones

en caso de no estar en funcionamiento. 1. El primer componente del plan de contingencia debe ser una descripción del servicio

y el riesgo para ese servicio. 2. Cuando ocurra una contingencia, es esencial que se conozca el motivo que la originó

y el daño producido mediante la evaluación y análisis del problema , lo que permitirá recuperar en el menor tiempo posible el proceso perdido.

3. Un diagrama de la arquitectura de todos los componentes del sistema facilitará la realización de un inventario de los elementos que pueden necesitar ser restituidos tras un desastre. – No hay que olvidar que también el software necesita ser reemplazado, y que todos los

productos software relevantes han de ser identificados. – Una omisión en el inventario fácilmente puede dar lugar a una recuperación fallida tras un

desastre. El sistema de aplicación puede no encontrarse preparado para su uso si alguno de sus componentes no está disponible; en tal caso, es aconsejable estar constantemente a la expectativa de los nuevos elementos que pueden haberse olvidado.

– Uno de los aspectos menos agradables a tener en cuenta, y que a menudo se pasa por alto, es que las personas esenciales se vean afectadas por el desastre y sea necesario recurrir a otras para realizar sus labores. Una formación diversificada en los sistemas dentro de la organización pude ayudar a reducir el impacto de la indisponibilidad de uno de los colaboradores.

2. Evaluación de riesgos

• Igualmente se debe determinar el costo que representa para la organización el experimentar un desastre que afecte a la actividad empresarial. En el caso de los sistemas informáticos, la preocupación principal es comprender la cantidad de pérdida financiera que puede provocar la interrupción de los servicios, incluyendo los que se basan en las redes.

• Se debe evaluar el nivel de riesgo de la información para hacer: – Un adecuado estudio costo/beneficio entre el costo por pérdida de

información y el costo de un sistema de seguridad. – Clasificar la instalación en términos de riesgo (alto, mediano, bajo) e

identificar las aplicaciones que representen mayor riesgo. – Cuantificar el impacto en el caso de suspensión del servicio. – Determinar la información que pueda representar cuantiosas pérdidas para la

organización o bien que pueda ocasionar un gran efecto en la toma de decisiones.

2. Evaluación de riesgos (2)

• Los costos de un desastre pueden clasificarse en las siguientes categorías: – Costos reales de reemplazar el sistema informático: El costo real de

los equipos y el software es fácil de calcular, y depende de si se dispone de un buen inventario de todos los componentes de la red necesarios.

– Costos por falta de producción. La empresa tiene una correcta valoración de la cantidad de trabajo realizado diariamente y su valor relativo.

– Costos por negocio perdido – Costos de reputación: Son los más difíciles de evaluar. Estos costos se

producen cuando los clientes pierden la confianza en la empresa y se llevan su negocio a otro sitio. Los costos de reputación crecen cuando los retardos en el servicio a los clientes son más prolongados o frecuentes.

3. Jerarquización de las aplicaciones• Es necesario definir anticipadamente cuales son las aplicaciones primordiales para

la organización. Para la determinación de las aplicaciones preponderantes, el plan debe estar asesorado y respaldado por los directivos, de tal forma que permita minimizar las desavenencias entre los distintos departamentos y/o divisiones.

• El plan debe incluir una lista de los sistemas, aplicaciones y prioridades, igualmente debe identificar aquellos elementos o procedimientos informáticos como el hardware, software básico, de telecomunicaciones y el software de aplicación, que puedan ser críticos ante cualquier eventualidad o desastre y jerarquizarlos por orden de importancia dentro de la organización. También se deben incluir en esta categoría los problemas asociados por la carencia de fuentes de energía, utilización indebida de medios magnéticos de resguardo o back up o cualquier otro daño de origen físico que pudiera provocar la pérdida masiva de información. – Por ejemplo: el departamento de recursos humanos afirmará que el sistema de nóminas es

el más importante, el departamento de ventas dirá que es su sistema de entrada de pedidos, el departamento de producción insistirá en su control de inventario y el departamento de compras asignará el papel de más importante a su sistema de facturación. Desgraciadamente, no todos estos sistemas pueden ser el más importante; por lo tanto, es fundamental que la dirección ayude a determinar el orden en que los sistemas serán recuperados.

3. Jerarquización de las aplicaciones (2)

• Esta sección del plan debería ser firmada por la dirección para minimizar las desavenencias. – Es mucho mejor intentar lograr que un sistema pequeño

funcione, que no uno más grande, y de esta manera se ahorrará gran cantidad de tiempo en el proceso.

– De hecho, cuando se está asignando las prioridades a las aplicaciones junto con la dirección, también es posible beneficiarse de la determinación del número mínimo de estaciones de trabajo necesarias para tener el sistema accesible.

– El tamaño de la red siempre puede incrementarse a posteriori una vez el sistema esté en funcionamiento.

4. Establecimiento de requerimientos de recuperación

• Determinar lo que se debe hacer para lograr una óptima solución, especificando las funciones con base en el estado actual de la organización.

• De esta forma es necesario adelantar las siguientes actividades: profundizar y ampliar la definición del problema, analizar áreas problema, documentos utilizados, esquema organizacional y funcional, las comunicaciones y sus flujos, el sistema de control y evaluación, formulación de las medidas de seguridad necesarias dependiendo del nivel de seguridad requerido, justificación del costo de implantar las medidas de seguridad, análisis y evaluación del plan actual, determinar los recursos humanos, técnicos y económicos necesarios para desarrollar el plan, definir un tiempo prudente y viable para lograr que el sistema esté nuevamente en operación.

5. Ejecución• Una vez finalizado el plan, es conveniente elaborar un

informe final con los resultados de su ejecución cuyas conclusiones pueden servir para mejorar éste ante futuras nuevas eventualidades. En esta fase hay que tener muy presente que el plan no busca resolver la causa del problema, sino asegurar la continuidad de las tareas críticas de la empresa.

• En la elaboración del plan de contingencias deben de intervenir los niveles ejecutivos de la organización, personal técnico de los procesos y usuarios, para así garantizar su éxito, ya que los recursos necesarios para la puesta en marcha del plan de contingencia, necesariamente demandan mucho esfuerzo técnico, económico y organizacional.

6. Pruebas• Es necesario definir las pruebas del plan, el personal y los recursos

necesarios para su realización. • Luego se realizan las pruebas pertinentes para intentar valorar el

impacto real de un posible problema dentro de los escenarios establecidos como posibles.

• En caso de que los resultados obtenidos difieran de los esperados, se analiza si la falla proviene de un problema en el ambiente de ejecución, con lo cual la prueba volverá a realizarse una vez solucionados los problemas, o si se trata de un error introducido en la fase de conversión; – en este último caso pasará nuevamente a la fase de conversión para la

solución de los problemas detectados. • Una correcta documentación ayudará a la hora de realizar las

pruebas. La capacitación del equipo de contingencia y su participación en pruebas son fundamentales para poner en evidencia posibles carencias del plan.

7. Documentación

• Esta fase puede implicar un esfuerzo significativo para algunas personas, pero ayudará a comprender otros aspectos del sistema y puede ser primordial para la empresa en caso de ocurrir un desastre. Deben incluirse, detalladamente, los procedimientos que muestren las labores de instalación y recuperación necesarias, procurando que sean entendibles y fáciles de seguir.

• Es importante tener presente que la documentación del plan de contingencia se debe desarrollar desde el mismo momento que nace, pasando por todas sus etapas y no dejando esta labor de lado, para cuando se concluyan las pruebas y su difusión.

7. Documentación (2)• Como puntos importantes que debe de incluir

esta documentación podremos citar las siguientes: – Cuadro de descripción de los equipos y las tareas

para ubicar las soluciones a las contingencias. – La documentación de los riesgos, opciones y

soluciones por escrito y en detalle. – La identificación y documentación de listas de

contacto de emergencia, la identificación de responsables de las funciones con el fin de garantizar que siempre haya alguien a cargo, y que pueda ser contactada si falla un proceso de importancia.

8. Difusión y capacitación

• Cuando se disponga del plan definitivo y aprobado, es necesario hacer su difusión y capacitación entre las personas encargadas de llevarlo a cargo. Es necesario asegurar la disponibilidad de copias extra del plan para su depósito en la instalación exterior en cualquier otro lugar además del lugar de trabajo. Manténgase una lista de todas las personas y ubicaciones que tienen una copia del plan. Cuando se actualice el plan, sustituya todas las copias y recoja las versiones previas.

• No debe olvidarse que el éxito del Plan en alto grado depende de la disponibilidad y participación de personal bien capacitado, quienes hayan estudiado el plan, recibido el entrenamiento e incluso participado en las modificaciones, si hubo, de tal manera que se sientan que son parte del plan, los motivará a trabajar en situaciones de contingencia.

• Además, es necesario que como parte de la capacitación se dé entrenamiento en la seguridad personal, ya que el recurso humano es el más valioso para cualquier organización.

9. Mantenimiento• El mantenimiento del plan comienza con una revisión del plan

existente y se examina en su totalidad realizando los cambios en la información que pudo haber ocasionado una variación en el sistema y realizando los cambios que sean necesarios.

• En ese instante, se debe volver a evaluar los sistemas de aplicación y determinar cuáles son los más importantes para la organización.

• Las modificaciones a esta parte del plan causarán modificaciones consecutivas a los procedimientos de recuperación.

• Sin embargo, esto no debería verse como un problema porque probablemente la sección de procedimientos tenga que actualizarse de todas formas debido a otros cambios. Si se han realizado modificaciones al sistema de copias de seguridad, hay que cerciorarse de incluir la información sobre el funcionamiento del nuevo o actualizado sistema.

Características de un plan de contingencias

El plan de contingencias debe presentar los siguientes atributos: 1. Responder a las necesidades particulares de la organización (autentico) 2. Factible 3. Interdepartamental: que involucre a los departamentos requeridos. 4. Escrito. 5. Suscrito, legitimado: debe tener el apoyo por escrito autorizado por los mandos

superiores del a administración. 6. Conocido - divulgado. 7. Actualizado. 8. Probado. Se debe presentar de forma: 9. Clara y concisa. 10. Esquemática. 11. De vocabulario sencillo.12. Adaptable - flexible.13. Modular: que facilite su elaboración, evaluación y actualización.14. Con cubiertas de material de color llamativo, preferiblemente, para que se pueda

distinguir del resto de los manuales.

Ejemplo práctico 1:

Plan de contingencia en un área de TIC

Introducción• Cuando se habla de una contingencia, se debe

fundamentalmente al a falta de prevención o a la poca o mala planeación. – Lo primero es hacer un análisis de los riesgos y la

probabilidad de ocurrencia. – Esta información puede ser tomada de datos

históricos o de estimaciones cualitativas.

Análisis y selección de operaciones críticas

En esta etapa hay que definir cuales serán nuestras operaciones críticas y tienen que ser definidas en función a los componentes de los sistemas de información los cuales son:

– Datos, Aplicaciones, Tecnología Hardware y Software, instalaciones y personal.

Dentro de las cuales podemos identificar las siguientes, las cuales pueden variar de sistema a sistema :

– Reportes Impresos de Informes del Sistema. – Consultas a las Bases de Datos vía Internet. – Consultas a las Bases de Datos vía LAN. – Sistema de Backup y Recuperación de Datos. – Sistema de ingreso y modificación en la Base de Datos de

documentos que llegan y salen al exterior.

Operaciones críticas del SI

Operaciones críticas del SI

• Se ha listado los procesos críticos de manera genérica y evaluado su grado de importancia en función a la magnitud del impacto si los procesos pueden detenerse, y luego clasificados en niveles:– H (Alta), R (Regular) y L (Bajo)

• Se debe de investigar que recursos administrativos (equipamiento, herramientas, sistemas, etc.) son usados en cada proceso, se ha descrito y codificado cada recurso, como: sistema eléctrico, tarjetas, transporte, red de datos, PC's.

• A su vez también se ha determinado su nivel de riesgo, como críticos y no críticos.

Tareas críticas del SI

Medidas preventivas

Medidas preventivas

Funciones por departamento

Cuando el problema está en el servidor

• Por supuesto, una red deja de ser eficiente si se convierte en una fortaleza inaccesible. El administrador de la red tal vez tenga que clasificar a los usuarios de la red con el objeto de adjudicarles el nivel de seguridad adecuado. A continuación se sugiere un sistema en tres niveles: – Nivel de administración. Aquellos que diseñan, mantienen o ponen en marcha

la red. Este debe estar constituido sólo por el administrador o por un pequeño grupo de personal de soporte y administración.

– Usuarios fiables. Aquellos usuarios que cumplen las normas y cuyo trabajo se pueda beneficiar de una mayor libertad de acceso a la red.

– Usuarios vulnerables. Aquellos que muestran falta de competencia, son excesivamente curiosos o beligerantes, o los que por alguna razón no se puede confiar.

• Estos niveles pueden tener un reflejo en el número de barreras que se establecen para el acceso al sistema y el tipo de derechos de acceso que se conceden, para cuando se ha obtenido la conexión, así como el nivel de supervisión y la frecuencia de las comprobaciones.

Protección del servidor

• La parte más importante de la red es el servidor. La concentración de los datos en el servidor, en términos de cantidad e importancia, hace que sea necesario protegerlo de todas las eventualidades. – La dependencia en que esté el servidor no debe ser accesible para nadie,

excepto para el administrador de la red. No se debe permitir que personas que no han de utilizar el servidor estén cerca de él. Las impresoras y otros periféricos deben mantenerse alejados de ojos fisgones.

– Dada la importancia del servidor y la cantidad de datos que pasan por él, es necesario efectuar copias de seguridad, del servidor.

– Cabe recordar que las copias de seguridad del servidor de archivos son un elemento especialmente valioso, debiéndose quedar guardados en un lugar cerrado, seguro y con las condiciones ambientales necesarias.

– Un conjunto de copias de seguridad se debe trasladar regularmente a otro lugar seguro (de preferencia otro local).

Tolerancia a fallas

• La tolerancia a fallas es la capacidad de la red de continuar funcionando, en el caso que se produzca un problema importante o una caída catastrófica, sin daño para los datos y sin que el funcionamiento cambie perceptiblemente.

• La tolerancia a fallas, se refiere no sólo a la redundancia, sino a la detección de errores. – Por lo general, la tolerancia a fallas conduce a un elemento hardware

redundante, que entra en funcionamiento de forma automática en el caso que el componente primario falle.

– Sin embargo la tolerancia a fallas puede ser algo como duplicar la FAT (tabla de localización de archivos) y las entradas de directorio en áreas distintas de un mismo disco, o una simple verificación de lectura tras escritura, con lo que se asegura que los datos nunca se escriben en un sector dañado del disco.

– No todas las redes requieren el mismo grado de tolerancia a fallas.

Protegiendo la red

• Estaciones de trabajo sin floppy disk:– Una posible solución para poder impedir la copia

de programas y datos fuera de la red en disquetes, y que a través de los disquetes ingresen virus y otros programas dañinos a la red, es dotar a los usuarios vulnerables con estaciones de trabajo sin floppy disk.

Conclusiones• La reanudación de las actividades ante una calamidad puede ser una de las

situaciones más difíciles con las que una organización deba enfrentarse. Tras un desastre, es probable que no haya posibilidades de regresar al lugar de trabajo o que no se disponga de ninguna de los recursos acostumbrados. Incluso, es posible que no se pueda contar con todo el personal. La preparación es la clave del éxito para enfrentar los problemas. No existe un plan único para todas las organizaciones, esto depende mucho de la capacidad de la infraestructura física como de las funciones que realiza.

• Adicionalmente al plan de contingencias se debe desarrollar pruebas para verificar la efectividad de las acciones en caso de la ocurrencia de los problemas y tener la seguridad de que se cuenta con un método seguro.

• El desarrollo de un plan de este tipo es costoso, involucra tiempo y una total disposición de la administración de la organización. Es justificable desde el punto de vista de costo en que se incurre si sucede una contingencia que afecte significativamente las operaciones vitales y no se está preparado para hacerle frente a esa situación.

• El plan debe ser revisado periódicamente. Generalmente, la revisión será consecuencia de un nuevo análisis de riesgo.

Ejemplo práctico 2:

Prevención y plan de contingencias sobre la gripe A (2009)

Prevención y plan

• Aquí estudiaremos el plan que se abordó desde el Sistema Nacional de salud para evitar una pandemia de gripe A en España

• Se elaboró a través de preguntas y respuestas

Medidas concretas en la empresa para evitar contagio en los centros de trabajo

• Iguales que para la gripe común:– Informar a los trabajadores sobre las medidas preventivas de higiene personal

recomendadas por las Autoridades sanitarias y promover y facilitar que sean cumplidas en la empresa

– Informar sobre la conveniencia del uso o no, de equipos de protección individual – Identificar qué puestos conllevan mayor riesgo de contagio de gripe – Establecer reglas para modificar la frecuencia y tipo de contacto persona a

persona: frecuencia de reuniones, viajes, visitas a clientes – Valorar, en coordinación con los órganos de representación de los trabajadores,

la posibilidad de ofrecer procedimientos de trabajo desde el domicilio para aquellos puestos en los que sea una opción factible

– Mantener limpios los lugares de trabajo. Las superficies de trabajo deben limpiarse con mayor regularidad con los productos usados habitualmente y ventilar periódicamente abriendo ventanas si es posible

– Disponer de material de protección respiratorio y equipos de protección individual si fuera necesario por las características de la empresa (por ejemplo en hospitales)

FAQ: Centros de trabajo1. ¿Puede una empresa prohibir el acceso de un trabajador al centro de trabajo porque se sospecha que puede ser portador del virus de gripe A?• La empresa no puede impedir el acceso al centro de trabajo de sus empleados por el mero

hecho de sospechar que están enfermos o contagiados. • Si el trabajador presenta síntomas o se observa que no está en condiciones de trabajar el

empresario informará al trabajador para que éste pueda actuar según los procedimientos establecidos por la Autoridad sanitaria en su Comunidad Autónoma para gripe A.

2. ¿Qué ocurre si el trabajador que presenta síntomas se niega a observar las medidas acordadas por el empresario, o en su caso a someterse a un reconocimiento médico? • El reconocimiento médico es voluntario para el trabajador aunque si se detecta que el

trabajador presenta síntomas de gripe o no está en condiciones de trabajar, el empresario puede solicitar que acuda al médico con objeto de que se valore la situación de enfermedad.

• Se debe verificar si el estado de salud del trabajador puede constituir un peligro para los demás trabajadores o para otras personas relacionadas con la empresa.

• Hay que tener en cuenta además las previsiones legales en cuanto a las facultades de dirección y control de la actividad laboral que tiene el empresario, y los deberes de diligencia y colaboración en el trabajo del trabajador, que marquen las disposiciones legales, convenios colectivos y las órdenes e instrucciones adoptadas por el empresario.

FAQ: Centros de trabajo3. ¿Puede la empresa requerir que los trabajadores adopten hábitos de higiene como medida para prevenir contagios? • Sí. La empresa puede requerir a los trabajadores que adopten las medidas de

higiene necesarias, tales como el lavado frecuente de manos, taparse la boca al toser o estornudar, o similares en la línea de los hábitos recomendados en la Guía para la elaboración del Plan de Actuación de las empresas frente a emergencias - Pandemia de gripe.

4. ¿Podría la empresa clausurar comedores colectivos o salas de reunión y descanso de los trabajadores como medida coadyuvante de la evitación de los contagios?

• Este tipo de medidas, dado que no van dirigidas al aseguramiento de la actividad de la empresa, sino que son formas de prevenir la difusión de la enfermedad han de ser adoptadas, en todo caso, siempre que exista orden al respecto de la Autoridad sanitaria y habiendo informado previamente a la representación de los trabajadores en la empresa o centro de trabajo, nunca unilateralmente por el empresario.

FAQ: Centros de trabajo

5. ¿Puede la empresa solicitar a los trabajadores que empleen equipos de protección individual (mascarillas, guantes o batas) diseñados para reducir el riesgo de contagio del virus? • La empresa puede solicitar de los trabajadores el empleo de

los equipos de protección individual que haya valorado como necesarios. La “Guía para la Elaboración del Plan de Actuación de las empresas o centros de trabajo frente a emergencias - Pandemia de gripe” da pautas sobre la conveniencia de utilizar estos equipos. En todo caso, la empresa habrá de facilitar dichos equipos a los trabajadores, enseñar el modo correcto de utilizarlos y reponerlos cuando sea necesario.

FAQ: Centros de trabajo

6. En mi empresa hay trabajadores que atienden al público ¿se deben lavar las manos con más frecuencia?

• Está demostrado que la higiene personal, en especial el lavado frecuente de manos con agua y jabón (al menos unas 10 veces al día y con una duración de 40 segundos a 1 minuto) es medida preventiva muy buena frente al contagio del virus de la gripe. Como alternativa se pueden instalar dispensadores de solución hidroalcohólica (que no requiere agua, ni secado posterior) o toallitas impregnadas en alcohol.

7. ¿Debe la empresa proporcionar a los trabajadores pañuelos de papel?

• No tiene obligación, puesto que no se considera equipo de protección individual. No obstante, sí debe dotar de suficientes productos de limpieza para la higiene de manos y toallas desechables, así como de contenedores para la recogida de dichos pañuelos y toallas una vez que sean utilizados y desechados. Debe tener previsto en su plan de actuación frente a la pandemia de gripe la retirada regular de dichos contenedores (papeleras, recipientes…)

FAQ: población en general

1. ¿Es recomendable el uso generalizado de mascarillas?

• Ningún organismo nacional ni internacional (OMS, CDC, ECDC entre otros) recomienda en el momento actual el uso de mascarillas a la población general, ya que: – No existe evidencia científica sobre su efectividad en población general – Pueden proporcionar una falsa sensación de seguridad y hacer que se abandonen las

medidas higiénicas de protección personal recomendadas – Su eficacia potencial depende de que se utilicen correctamente. Si no se utilizan

correctamente pueden ser una fuente de contagio.

2. ¿Cuándo se debe utilizar la mascarilla?

• Actualmente no se recomienda el uso de mascarillas ni para personas enfermas ni para cuidadores, sólo deben utilizarlas los trabajadores sanitarios en contacto directo y frecuente con pacientes con gripe

Cuando hay alguien enfermo• Las Autoridades sanitarias:1. El profesional sanitario valorará la situación clínica del trabajador y actuará según

su criterio profesional y los medios de que disponga. En todo caso se informará al trabajador de los protocolos establecidos en su Comunidad Autónoma para la gripe A y se le recordarán las medidas higiénicas que debe adoptar para evitar la diseminación del virus entre las personas de su entorno (familiar, laboral…)

2. Los médicos de los servicios de prevención tienen que comunicar a la Autoridad sanitaria los casos que detecten de enfermedades de declaración obligatoria (EDO), entre ellas la gripe A y común.

3. En el supuesto de que los profesionales sanitarios del Servicio de Prevención tuvieran conocimiento de agrupación de casos (tres o más personas que presentan simultáneamente una enfermedad respiratoria aguda con fiebre de más de 38 ºC) en un centro de trabajo deberán: – Notificar a la Autoridad sanitaria de su Comunidad Autónoma– Informar al resto de los trabajadores de las medidas que se puedan a adoptar en el centro

de trabajo según las recomendaciones de la Autoridad sanitaria – Informar de las recomendaciones a seguir ante la aparición de síntomas sospechosos en

otros trabajadores – Reforzar la vigilancia en la empresa para detectar la aparición de nuevos casos.

Caso práctico 3

Plan de contingencias para un terremoto

Plan de contingencia de evacuación

• Vamos a diseñar un plan para saber que hacer ante un terremoto fuerte.

• Para ello estructuramos el plan en 3 etapas:1. Antes del terremoto2. Durante el terremoto3. Después del terremoto

1. Antes del terremoto• Preparar botiquín de primeros auxilios, linternas, radio a pilas, pilas,

etc. y algunas provisiones en sitio conocido por todos. • Aprender cómo desconectar la luz, el gas y el agua. • Fijar de antemano un lugar seguro para el reagrupamiento de la familia• Confeccione un directorio telefónico para, en caso de necesidad, poder

llamar a Protección Civil, Bomberos, Asistencia Sanitaria o Policía. • Si es una zona de riesgo de terremotos, no colocar objetos muy

pesados encima de muebles altos, asegúrelos en el suelo. • Fije bien a las paredes muebles como armarios, estanterías, etc. y

sujete aquellos objetos que pueden provocar daños al caerse, como cuadros, espejos, lámparas, productos tóxicos o inflamables, etc.

• Revise la estructura de su vivienda y, sobre todo, asegúrese que chimeneas, aleros, revestimientos, balcones, etc. tengan una buena fijación a los elementos estructurales. Si fuera necesario, consulte a un técnico en construcción.

2. Durante el terremoto• Si el terremoto no es fuerte, tranquilícese, acabará pronto. • Si el terremoto es fuerte, mantenga y transmita la calma. Agudice

la atención para evitar riesgos y recuerde las siguientes instrucciones:

a) Dentro de un edificio:– Quédese dentro; si está fuera, permanezca fuera. El entrar o salir de los

edificios sólo puede causarle accidentes. – Busque estructuras fuertes: bajo una mesa o cama, bajo el dintel de una

puerta, junto a un pilar, pared maestra o en un rincón y proteja su cabeza. – Apague todo fuego. No utilice ningún tipo de llama (cerilla, encendedor,

vela, etc.) durante o inmediatamente después del temblor. b) Fuera de un edificio:– Aléjese de cables eléctricos, cornisas, cristales, pretiles, etc.– No se acerque ni penetre en los edificios para evitar ser alcanzado por la

caída de objetos peligrosos (cristales, cornisas, etc.). Vaya hacia lugares abiertos, no corra y cuidado con el tráfico.

– Si va en coche cuando ocurra el temblor, párelo donde le permita el permanezca dentro del mismo, retirado de puentes y zanjas.

3. Después del terremoto

1. Guarde la calma y haga que los demás la guarden. Impida cualquier situación de pánico.

2. Compruebe si alguien está herido, préstele los auxilios necesarios. Los heridos graves no deben moverse, salvo que tenga conocimientos de cómo hacerlo; en caso de empeoramiento de la situación (fuego, derrumbamiento, etc.) muévalo con precaución.

3. Compruebe el estado de las conducciones de agua, gas y electricidad, hágalo visualmente y por el olor, nunca ponga en funcionamiento algún aparato. Ante cualquier anomalía o duda, cierre las llaves de paso generales y comuníquelo a los técnicos o autoridades.

4. No utilice el teléfono. Hágalo solo en caso de extrema urgencia. Conecte la radio para recibir información o instrucciones de las autoridades.

5. Tenga precaución al abrir armarios, algunos objetos pueden haber quedado en posición inestable.

6. Utilice botas o zapatos de suela gruesa para protegerse de los objetos cortantes o punzantes.

3. Después del terremoto7. No repare de inmediato los desperfectos, excepto si hay vidrios rotos o botellas

con sustancias tóxicas o inflamables. 8. Apague cualquier incendio, si no pudiera dominarlo contacte inmediatamente

con los bomberos. 9. Después de una sacudida muy violenta salgan ordenada y paulatinamente del

edificio que ocupen, sobre todo si éste tiene daños. 10. Aléjese de las construcciones dañadas. Vaya hacia áreas abiertas. 11. Después de un terremoto fuerte siguen otros pequeños, réplicas que pueden ser

causa de destrozos adicionales, especialmente en construcciones dañadas. Permanezca alejado de éstas.

12. Si fuera urgente entrar en edificios dañados hágalo rápidamente y no permanezca dentro. En construcciones con daños graves no entre hasta que sea autorizado.

13. Tenga cuidado al utilizar agua de la red ya que puede estar contaminada. Consuma agua embotellada o hervida.

14. Si el epicentro de un gran terremoto es marino puede producirse un maremoto. Esto puede ser importante en la zona del Golfo de Cádiz. Permanezca alejado de la playa.

3. Después del terremotoColaborar con Protección civil:• Actúe según las normas o recomendaciones ante Emergencias Sísmicas y las

directrices de Protección Civil. • Conecte la radio y siga las instrucciones que dicten las autoridades. No se deje

influenciar por rumores, tampoco los propague. • Informe a las autoridades de los destrozos graves en edificaciones, sobre todo de

aquellas que amenacen con derrumbarse en zonas de tránsito. Comunique la existencia de material peligroso (productos radioactivos, tóxicos, etc.) o cualquier hecho (incendio, explosiones, etc.) que amenace con aumentar o desencadenar más daños.

• Trabaje junto a Protección Civil y bajo sus órdenes. La coordinación es imprescindible. Colabore en la ayuda a heridos, enfermos, niños y ancianos. Protección Civil somos todos.

• Atienda las llamadas que hagan las autoridades. No acuda a las zonas afectadas si no se le solicita. Curiosear es peligroso y dificulta las labores de socorro.

• No utilice el coche ya que hay peligro de accidentes e impide las ayudas externas. • Utilice el teléfono sólo en casos extremos.• Economice sus recursos (agua, alimentos, etc.). • Colabore con sus vecinos.