CONTINUIDAD DE LAS OPERACIONES PARTE 1

De acuerdo con el Capítulo III, el Plan de Seguridad de la Información para la Continuidad de las Operaciones se define como una estrategia que se lleva a cabo para: Sustituir de forma permanente al PCOOP en todas las unidades administrativas. Establecer planes, procedimientos y controles técnicos con el fin de mantener los procesos de la misión de una Institución durante y después de una interrupción. Elaborar únicamente el inventario de equipos de cómputo dañados tras un desastre.

El Plan de Seguridad de la Información para la Continuidad de las Operaciones debe ser diseñado para: Crear una situación de preparación que proporcione a los mandos una respuesta inmediata diseñada en función de una serie de posibles escenarios previamente definidos. Eliminar la necesidad de un análisis de riesgos institucional previo. Delegar exclusivamente en la Oficialía Mayor la totalidad de la ejecución del plan sin participación de las unidades administrativas.

El modelo presentado en el Capítulo III está dirigido, según el propio texto, a: Los establecimientos, mandos navales y unidades operativas. Únicamente al personal civil contratado por la SEMAR. Exclusivamente a la Dirección General de Protección Civil de la SEGOB.

El Modelo del Plan de Continuidad de las Operaciones (Figura 3) se representa como un ciclo que inicia con: El Desarrollo del Plan. El Análisis de Impacto. La Prueba del Plan.

Según la Figura 3, después de la etapa de Mantenimiento del Plan, el ciclo continúa retroalimentando al proceso mediante: Adecuaciones y mejoras al Plan, que regresan al Análisis de Impacto. La cancelación definitiva del ciclo, dando por concluida la planeación. La notificación directa a la Secretaría de Gobernación sin pasar por otra fase.

El orden correcto y completo de las seis fases del Modelo del Plan de Continuidad de las Operaciones (Figura 3) es: Análisis de Impacto, Desarrollo del Plan, Administración de Riesgo, Prueba del Plan, Estrategias de Continuidad, Mantenimiento del Plan. Análisis de Impacto, Administración de Riesgo, Estrategias de Continuidad, Desarrollo del Plan, Prueba del Plan, Mantenimiento del Plan. Administración de Riesgo, Análisis de Impacto, Mantenimiento del Plan, Estrategias de Continuidad, Prueba del Plan, Desarrollo del Plan.

El Análisis de Impacto, según el Capítulo III, consiste en: Identificar los procesos relacionados con apoyar la misión del Mando, Unidad o Establecimiento y establecer los tiempos de recuperación. Determinar exclusivamente el presupuesto anual destinado a ciberseguridad. Elaborar el organigrama completo de la Secretaría de Marina.

El primer punto a realizar dentro del Análisis de Impacto establece que se deben identificar: Los proveedores externos autorizados para la venta de equipo de cómputo. Las funciones y procesos esenciales para la supervivencia del Mando, Unidad o Establecimiento (procesos críticos). Los convenios de colaboración con instituciones académicas extranjeras.

Al evaluar las funciones críticas en el Análisis de Impacto, es importante considerar: Solamente los procesos que reciben datos de un sistema, sin importar los que dan soporte a ellos. Los procesos que proveen o reciben datos de un sistema, así como los demás procesos que dan soporte a ellos. Únicamente los procesos administrativos de recursos humanos, excluyendo los sistemas de información.

El análisis de los diferentes sistemas utilizados por el Mando, Unidad o Establecimiento en la fase de Análisis de Impacto permite identificar, entre otros, requerimientos de: Energía eléctrica, telecomunicaciones y controles del entorno. Antigüedad del personal y escalafón militar. Presupuesto destinado a uniformes y equipo individual.

El segundo punto del Análisis de Impacto consiste en calcular las consecuencias operacionales y/o financieras que tendría una interrupción en un proceso crítico, con el fin de: Determinar el punto óptimo de recuperación, equilibrando el costo de que el sistema no esté operando y el costo de los recursos necesarios para restaurarlo. Justificar el cese de funciones del personal involucrado en el proceso afectado. Calcular exclusivamente el valor de reventa de los equipos dañados.

En la Figura 4 (Balance de costos de recuperación), el punto de intersección entre la curva de costo de interrupción y la curva de costo de recuperación permite determinar: El monto exacto de la indemnización a otorgar al personal afectado. Cuánto tiempo se puede soportar que el proceso crítico esté fuera de operación. El número de servidores que deben adquirirse de manera inmediata.

La Figura 4, "Balance de costos de recuperación", tiene como fuente: NIST SP800-34. El Reglamento General de Deberes Navales. El Programa Nacional de Protección Civil 2014-2018.

El tercer punto del Análisis de Impacto se refiere a determinar las prioridades para recuperación, lo cual permite: Adoptar decisiones mejor fundamentadas considerando recursos, gastos, ahorro de tiempo, esfuerzo y costo. Eliminar por completo la necesidad de una Administración del Riesgo posterior. Transferir la responsabilidad de recuperación a un tercero contratista de forma automática.

El producto entregable de la fase de Análisis de Impacto es: Un informe que contiene las áreas críticas, la magnitud potencial del impacto operativo y/o financiero, y los requerimientos de tiempo para la recuperación de una interrupción. El Plan de Comunicación de Crisis debidamente firmado por el Secretario de Marina. El acta de baja definitiva de los equipos siniestrados.

El producto entregable del Análisis de Impacto corresponde, dentro de los anexos del documento, a: Anexo A. Anexo B. Anexo H.

En la fase de Administración del Riesgo del Capítulo III se evalúan: Las amenazas de un desastre y su posible impacto, puntualizando las vulnerabilidades existentes y definiendo los controles necesarios para prevenir o reducir los riesgos. Únicamente los antecedentes penales del personal de la unidad administrativa. Los convenios de arrendamiento de inmuebles alternos, sin considerar amenazas ni vulnerabilidades.

Para el desarrollo de la fase de Administración del Riesgo dentro del Modelo de Continuidad, el documento señala que se deberá aplicar: El DAM 1.9.6 Modelo Doctrinario de Respuesta a Incidentes y Recuperación de Desastres. El DAM 1.9.2 Modelo Doctrinario de Administración de Riesgos de Seguridad de la Información. El DAM 1.3.4.6 relativo a seguridad física.

El producto entregable de la fase de Administración del Riesgo consiste en: Un Reporte de riesgos y la propuesta de controles para su tratamiento, considerando el riesgo residual. El listado de teléfonos particulares de todo el personal de la Secretaría de Marina. El presupuesto autorizado para la reconstrucción total del edificio sede.

El producto entregable de la Administración del Riesgo se documenta en: Anexo D. Anexo E. Anexo C.

En el Anexo C (Reporte de Análisis de Riesgos), las siglas P, I y R corresponden, respectivamente, a: Prioridad, Impacto y Recuperación. Probabilidad, Impacto y Riesgo. Proceso, Institución y Responsable.

De acuerdo con el Capítulo III, tras el Análisis de Impacto y el Análisis de Riesgos, la fase de Estrategias para la Continuidad de las Operaciones requiere que, para cada proceso crítico, se: Determine el riesgo y se implementen los controles mínimos para tratarlo. Elimine cualquier referencia a los sistemas de información involucrados. Suspenda de forma indefinida la función crítica hasta nueva orden del Alto Mando.

Para el diseño de las estrategias de continuidad se recomienda simular: Únicamente escenarios de riesgo bajo, descartando los de mayor gravedad. El mejor de los casos posibles, minimizando la necesidad de controles. El peor de los casos, donde los riesgos aceptables se elevan a emergencia o desastre, para definir las estrategias que podrían aplicarse.

El documento señala que no puede definirse un método estricto para crear un marco de estrategias de continuidad, por lo que los responsables de seguridad de la información deben emplear: El "arte operacional", aplicando sus habilidades, conocimientos y experiencia conforme a las características del establecimiento. Un algoritmo matemático certificado por el NIST de aplicación obligatoria. Exclusivamente los formatos del Anexo H sin posibilidad de adecuación.

En la Figura 5 (Tiempos para recuperación), el OTR se define como: El punto en el tiempo en que un proceso o función crítica debe recuperar sus datos después de un desastre. El tiempo máximo admisible en el que un proceso o función crítica debe ser restaurado después de una interrupción, para evitar consecuencias negativas de un desastre. El costo total estimado de la reconstrucción de la infraestructura crítica.