Seguridad Informática y Continuidad del Negocio
Erika Zenteno Savín, CBCP.
Auditor Líder BCM
Agenda
• Evolución de la Continuidad del Negocio en México
• Relación entre Seguridad Informática y Continuidad del Negocio
• Responsables del Plan de Continuidad
• Retos de la Gestión de la Continuidad del Negocio
Seguridad y Continuidad
• Sismo 1985 Ciudad de México
• Jueves 19 de septiembre de 1985, a las 7:19 horas.
• Magnitud de 8.1 grados Richter.
• Réplica más significativa al día siguiente 7.3 grados en la escala de Richter.
• El registro de 10 mil muertos aproximadamente.
• Mas de 4 mil personas rescatadas con vida de los escombros, hasta 10 días después del primer sismo.
• Más de un millón usuarios quedaron sin servicio eléctrico.
• Estructuras destruidas en su totalidad: 30 mil .
• Edificaciones con daños parciales: 68 mil.http://www.excelsior.com.mx/comunidad/2013/09/19/919241
• Enfoque cutural en México
… a mi no me va a pasar !
… si algo pasa, ya veremos en ese momento que podemos hacer
Seguridad y Continuidad
• 1985 - 1995
Seguridad y Continuidad
• Desastres informáticos
• Respaldos
• Sitio alterno
• Sistemas disponibles
Seguridad y Continuidad
• Tipos de Desastre
• Naturales Terremoto Incendio Inundación
• HumanosSabotaje Negligencia Huelga
• TécnicosDescompostura Eléctrico Instalaciones
Seguridad y Continuidad
• Disaster Recovery Plan - DRP
• Orientado a Informática
• Datos
• Servicios
• Aplicaciones
• Sistema Operativo
• Con frecuencia se ve simplemente como un SITE Alterno
Seguridad y Continuidad
• Director de Sistemas
• Seguridad Informática
Seguridad y Continuidad
• Responsables DRP
• 1995 - 1998
• Reducción presupuesto TI
• Centros de Soporte Alterno
• Proveedores de hardware
Seguridad y Continuidad
• Respaldo y restauración de Información
• Alta disponiblidad y replicación
Seguridad y Continuidad
• Respaldos totales
• Respaldos incrementales
• Respaldos diferenciales
• Recovery Point Objective - RPO
• Tiempo en el que el proceso de
negocio tiene que estar restaurado
después de un incidente grave para
evitar consecuencias inaceptables
Seguridad y Continuidad
• Fecha o momento de los archivos
que se deben restaurar después de
un incidente grave.
(pérdida de datos aceptable)
• Recovery Time Objective - RTO
Ultimo respaldo oPunto en que los datos
Son utilizables
Ocurrenciadel Desastre
Restauraciónde servicios
6 horas 2 horas
RPO
Tiempo
RTO
Cada vez más empresas, conscientes de los riesgos que enfrentan, dirigen sus esfuerzos a la Planeación de Continuidad de Negocio.
Esto es, no solo la continuidad de la operación de sistemas, sino de todo el negocio.
“Es la capacidad que tiene la organización para continuar la entrega de productos o servicios a niveles predefinidos aceptables después de que haya sucedido un incidente perjudicial. “
Seguridad y Continuidad
ISO 22301, Párrafo 3.3
• Plan de Continuidad de Negocio (Business Continuity Plan – BCP)
• 1999
• “Y2K”
Seguridad y Continuidad
• Posibles fallas en:
Sistemas bancarios
Líneas de producción
Suministro de energía y agua
Comunicaciones
• Disaster Recovery Plan
Seguridad y Continuidad
BCP
• Es un plan de toda la empresa
• Contempla la reanudación de funciones
DRP
• Es un plan de Sistemas
• Contempla la recuperación de aplicaciones
• Business Continuity Plan
• Los planes buscan minimizar:
Seguridad y Continuidad
• Las decisiones que se toman durante una contingencia.
• Los efectos negativos ocasionados por el caos.
• La dependencia sobre una persona en el proceso de recuperación.
• La necesidad de desarrollar nuevos procedimientos durante la recuperación.
Ataque al WTC en Nueva York
Seguridad y Continuidad
• 2002
• Respuesta de cuerpos de emergencia
• Sitios alternos en el mismo edificio
• Marco legal resguardo de información y continuidad de sistemas
Seguridad y Continuidad
• La Ley Sabarnes&Oaxley (sección 404) requiere a las organizaciones seleccionar un marco de control para asegurar la disponibilidad, integridad y confidencialidad de los sistemas de información.
• En México, la CNBV, requiere a las instituciones financieras contar con un Plan de Recuperación de los Sistemas de Información.
• 2005
Seguridad y Continuidad
Huracán Wilma Quintana Roo, México
• Participantes:
Sistemas
Seguridad
Responsabilidad Social
• 2010
Epidemia de Influenza
• Participantes:
Sistemas
Seguridad
Recursos Humanos
Seguridad y Continuidad
Seguridad y Continuidad
• Instalaciones
• Comunicaciones (ATMs y POS)
• Virus informático
• Internet
• Amenaza de terrorismo
• Marchas y bloqueos
• Epidemia
• Cambio climático
• Ingeniería Social
• Enfoques DRP y BCP en México
• DRII –Disaster Recovery Institute International
• BSI 25999
• ISO 22301
• COBIT
• ITIL
• NIST …
Seguridad y Continuidad
• Metodología y estándares
• Prácticas del DRII
1 Inicio y Administración del Proyecto
2 Evaluación y Control de Riesgos
3 Análisis de Impactos al Negocio
4 Desarrollo de Estrategias de Continuidad de Negocios
5 Respuesta de Emergencia / Operaciones
6 Desarrollo e implementación de Planes de Continuidad de Negocios
7 Programas de Capacitación y Concientización
8 Prueba y Mantenimiento de Planes de Continuidad de Negocios
9 Relaciones Públicas y Comunicación de Crisis
10 Coordinación con Autoridades Públicas
Seguridad y Continuidad
• Metodología y estándares
• BSI 25999
Entender la organización
Determinar la estrategia de continuidad
Desarrollar e implementar la respuesta
Ejercitar, mantener y revisar
Seguridad y Continuidad
• Metodología y estándares
Stage 4Plan Trainning,
Plan
Manteinance,
Exercising,
Mantaining
/Embedding
BCM
Práctica 7
y 8
Mantenimiento, capacitación y
concientización
Stage 1, 3
y 4
Project
Preparation /
Ensure IT
Continuity
BCM Programme
ManagementPráctica 1,
6 y 8
Administración del presupuesto
BCM
Stage 3 y
4
TestingExercising and
MantainingPráctica 8Pruebas de Planes, estrategias,
etc
Stage 3IT Continuity
Plans
Developing and
Implementing BCM
response
Práctica 5
y 6
Documentación BCM (planes,
programas, reportes,
escalamiento, notificaciones, etc)
Stage 2 y
3
Continuity
Framework
Determine
BCM StrategyPráctica 4
y 6
Crear estructura BCM
Stage 2Assess and
Management
Risk / Critical IT
Resources
Understanding
the
Organization
Práctica 2
y 3
Realizar análisis del impacto y
riesgo del negocio
Stage 4Plan
Trainning
Exercising,
Manteining and
Review
Práctica 7Permear el proceso BCM en la
organización
Stage 1Project
Preparation
Embedding BCM
Organizatión´s
Culture
Práctica 1Involucrar a la Alta Dirección
ITILCobitBS 25999DRII
Stage 4Plan Trainning,
Plan
Manteinance,
Exercising,
Mantaining
/Embedding
BCM
Práctica 7
y 8
Mantenimiento, capacitación y
concientización
Stage 1, 3
y 4
Project
Preparation /
Ensure IT
Continuity
BCM Programme
ManagementPráctica 1,
6 y 8
Administración del presupuesto
BCM
Stage 3 y
4
TestingExercising and
MantainingPráctica 8Pruebas de Planes, estrategias,
etc
Stage 3IT Continuity
Plans
Developing and
Implementing BCM
response
Práctica 5
y 6
Documentación BCM (planes,
programas, reportes,
escalamiento, notificaciones, etc)
Stage 2 y
3
Continuity
Framework
Determine
BCM StrategyPráctica 4
y 6
Crear estructura BCM
Stage 2Assess and
Management
Risk / Critical IT
Resources
Understanding
the
Organization
Práctica 2
y 3
Realizar análisis del impacto y
riesgo del negocio
Stage 4Plan
Trainning
Exercising,
Manteining and
Review
Práctica 7Permear el proceso BCM en la
organización
Stage 1Project
Preparation
Embedding BCM
Organizatión´s
Culture
Práctica 1Involucrar a la Alta Dirección
ITILCobitBS 25999DRII
• Metodología y estándares
Seguridad y Continuidad
Es el proceso integral de gestión que identifica las amenazas potenciales para
una organización, así como los impactos que dichas amenazas pueden causar
(en caso de realizarse) en las operaciones comerciales, y proporcionan un marco
para la resilencia organizacional con la capacidad de dar una respuesta eficaz
que salvaguarde los intereses de sus colaboradores clave, su reputación, la
marca y las actividades que crean valor.
Seguridad y Continuidad
• Gestión de la Continuidad del Negocio
ISO 22301, Párrafo 3.4
Seguridad y Continuidad
• Modelo de Madurez de Gestión de la Continuidad
Leadership VL L M H H H
BC Awareness
BC Program Structure
Program Pervasiveness
Metrics
Resource Commitment
External Coordination
VL L L M H H
VL L L M H H
VL L L M H H
VL L M H H H
VL L M M H H
VL L L L M H
Corporate Competencies General Attributes of an Organization at Each Maturity Level
BC Program Content VL L M H H H
Maturity Model LevelsLevel 1
Self-Governed
Level 6Synergistic
Level 5Planned
Growth
Level 4Enterprise
Awakening
Level 3Centrally
Governed
Level 2Supported
Self-Governed
Athlete Analogy
Comparative Model
Able to Crawl Competitive Runner Olympic Runner“Fit” Runner”Able to RunAble to Walk
Organization “At Risk” “Competent” Performer “Best of Breed”
Increasing Business Continuity Competency Maturity
Seguridad y Continuidad
• Retos BCM
• Concientización
• Acceso a Alta Dirección
• Capacitación y experiencia
• Definición de responsabilidades
• Coordinación y participación de las áreas
• Integración de los planes
• Difusión y prueba del plan
• Mantenimiento y mejora
Seguridad y Continuidad
• Principales problemas
• Definición de alcance
• Términos
• Experiencia
• Metodología
• Costo - tiempo
Seguridad y Continuidad
• Apoyo a BCM
• Cursos
• Talleres
• Consultoría
• Eventos
• Auditoría
SEAMOS RESPONSABLES DE BCM
Top Related