CONTINUIDAD DE LAS OPERACIONES PARTE 2

El Objetivo de Punto de Recuperación (OPR), conforme a la Figura 5, se define como: El punto en el tiempo en que un proceso o función crítica debe recuperar sus datos después de un desastre. El tiempo máximo que puede tardar el equipo de gestión de incidentes en reunirse en el Centro de Control. El periodo de garantía otorgado por el proveedor del centro de datos alterno.

Además del OTR y el OPR, para la creación de un marco de estrategias los responsables de seguridad de la información deben determinar también: Las dependencias con terceros, el impacto financiero por interrupciones prolongadas y el impacto de leyes, reglamentos, estrategias y programas del Gobierno Federal. El escalafón y antigüedad de cada integrante del equipo de planeación. El número de patentes de invención registradas por la Institución.

Las estrategias mínimas consideradas para la continuidad, detalladas en los Anexos D y E, son cinco. ¿Cuál de las siguientes secuencias las enumera correctamente conforme al documento?. Métodos de respaldo (backup), sites alternos, Centro de Control, centro de datos alterno y comunicaciones alternas. Plan de refugio, Plan de comunicaciones, Plan de protección interna, respaldo externo y centro móvil. Análisis de impacto, administración del riesgo, desarrollo del plan, prueba del plan y mantenimiento del plan.

Respecto a los métodos de respaldo (backup), el documento señala que los datos más críticos del sistema de TI deben respaldarse: Solo una vez al año, coincidiendo con el cierre del ejercicio fiscal. Con mayor frecuencia que el resto de los datos, siendo deseable que el almacenamiento se ubique fuera de las instalaciones. Únicamente dentro del mismo edificio sede, para facilitar su resguardo físico.

Al elegir una ubicación de almacenamiento fuera de las instalaciones para los respaldos, el documento recomienda considerar, entre otros factores, el ámbito geográfico, la accesibilidad, la seguridad, las condiciones ambientales y: El costo de operación de las nuevas instalaciones y del traslado de los respaldos. La cercanía con instalaciones de recreación para el personal. El color institucional del inmueble seleccionado.

Respecto a los "sites alternos", el documento señala que existen tres opciones básicas, siendo estas: Sitio propio operado por la Institución, sitio no propiedad de la Institución pero operado por personal interno, y sitio propiedad y operado por un tercero. Centro frío, centro caliente y centro espejo únicamente, sin otras variantes. Sitio militar, sitio civil y sitio mixto binacional.

El Centro de Control se define en el Anexo E como el lugar donde: Se almacenan exclusivamente los respaldos de información en frío. Tienen lugar las actividades de valoración inicial, coordinación y toma de decisiones ante una contingencia o desastre. Se ubica de manera permanente el Alto Mando durante tiempos de paz.

Dentro de las variantes de centro alternativo descritas en el Anexo E, el denominado "centro caliente" se caracteriza por: Ser una sala vacía sin ningún tipo de configuración previa de equipos. Ser una instalación con un C.P.D. totalmente configurado, recomendado para umbrales de recuperación que no superan las 24/48 horas. Consistir en dos instalaciones idénticas que operan simultáneamente en todo momento.

El "centro espejo", conforme al Anexo E, se recomienda cuando: Las necesidades de respuesta son inmediatas, ya que consiste en dos instalaciones idénticas y actualizadas permanentemente para que una asuma el trabajo si la otra falla. Se dispone de un plazo de una semana o más para restablecer operaciones. No existe presupuesto disponible para instalaciones adicionales.

El "centro móvil" descrito en el Anexo E consiste en: Trasladar las facilidades informáticas de respaldo al lugar determinado en el Plan de Contingencia, mediante una sala acondicionada y equipada en un contenedor. Una oficina virtual sin infraestructura física de ningún tipo. El traslado permanente de todo el personal de la unidad afectada a otra entidad federativa.

Una variante del servicio de centro móvil, indicada para los casos en que el incidente afectó solo a equipos y no a instalaciones, es el denominado: Servicio "off load". Servicio de mensajería especializada. Plan de Emergencia a Ocupantes.

El "centro frío", según el Anexo E, corresponde a: Una sala vacía preparada con las condiciones ambientales necesarias para albergar equipos informáticos (potencia, climatización, falso suelo y estructura básica de comunicaciones). Una instalación totalmente configurada con la misma información en tiempo real que el sitio principal. Un vehículo especializado equipado con equipo de cómputo listo para operar en menos de una hora.

Respecto a las comunicaciones alternas, el documento señala que estas son necesarias cuando: La solución de respaldo requiere el uso de un centro alternativo remoto y los usuarios críticos no ubicados ahí necesitan conectarse a él. El personal decide trabajar exclusivamente desde su domicilio particular sin autorización previa. Se requiere sustituir de manera definitiva la red de telefonía institucional por telefonía celular.

En la Figura 6 (Esquema de estrategias de recuperación), las "Estrategias de recuperación" conectan, entre otros elementos, con: Centro de Control, Centro Alterno Móvil, Servicio Off Load, Respaldo (backup) Externo y Centro Alterno Fijo. Únicamente con el Plan Nacional de Protección Civil. Solo con las Unidades Operativas, excluyendo al Mando Naval y a los usuarios finales.

El producto entregable de la fase de Estrategias para la Continuidad de las Operaciones consiste en: El Informe donde se detallan las opciones viables para la recuperación de los recursos y/o servicios de los procesos críticos. El acta administrativa de responsabilidad del funcionario que gestionó la crisis. El presupuesto anual autorizado por la Secretaría de Hacienda.

La Figura 7 (Desarrollo de la Estrategia de Continuidad), tomada de Alberto G. Alexander, describe el proceso en tres grandes bloques secuenciales, siendo el primero de ellos: Evaluar disponibilidad de opciones. Identificar requerimientos de recuperación. Seleccionar opciones de recuperación.

Dentro de "Identificar requerimientos de recuperación" (Figura 7), se contemplan cuatro elementos; uno de ellos es: Requerimientos de datos vitales, documentos y registros. El organigrama completo de la Institución. El escalafón militar de los integrantes del equipo.

En la segunda etapa de la Figura 7, "Identificar opciones de recuperación", se consideran áreas de trabajo, sistemas de TI, producción y: Documentos. Presupuesto. Proveedores extranjeros.

La fase D, Desarrollo del Plan de Seguridad de la Información para la Continuidad, tiene como propósito: Desarrollar el Plan para mantener la continuidad de las operaciones del Mando, Unidad o Establecimiento Naval. Sustituir a la Administración del Riesgo, haciéndola innecesaria. Elaborar exclusivamente el organigrama de contingencia sin documentar procedimientos.

Al final de la etapa de Desarrollo del Plan se debe entregar: Un informe que contiene los procedimientos y lineamientos concretos para la recuperación y el restablecimiento de los recursos dañados. El acta de baja del personal que no participó en la contingencia. El reporte final de riesgos residuales sin controles asociados.

La fase E, Prueba del Plan de Seguridad de la Información para Continuidad, tiene como finalidad: Efectuar pruebas o prácticas del plan a fin de determinar su grado de precisión y efectividad. Sustituir de manera definitiva al Análisis de Impacto realizado previamente. Evaluar exclusivamente el desempeño individual del funcionario responsable de gestionar la crisis.

Al término de la etapa de Prueba del Plan, se deben entregar: Los registros donde conste que se realizaron las pruebas del plan y se asienten las acciones de mejora correspondientes. Los contratos de arrendamiento firmados con proveedores de sites alternos. El presupuesto ejercido durante todo el año fiscal en curso.

La fase F, Mantenimiento del Plan de Continuidad de las Operaciones, busca: Mantener el plan en un estado de preparación constante para que, en caso de un desastre, se pueda ejecutar de manera eficiente. Congelar el plan sin posibilidad de actualización una vez aprobado por la Oficialía Mayor. Delegar el mantenimiento exclusivamente a proveedores externos sin supervisión institucional.

El documento señala que el mantenimiento del plan es una actividad constante que monitorea;. Al personal, los recursos y los cambios tecnológicos. Únicamente el presupuesto asignado a telecomunicaciones. Solo los cambios en la normatividad de protección civil, excluyendo al personal y la tecnología.

Al final de la etapa de Mantenimiento del Plan se debe entregar: Los registros y procedimientos que aseguran que el plan está listo para ejecutarse si se presentara algún evento. El informe final de baja definitiva del Plan de Continuidad de las Operaciones. El acta constitutiva de un nuevo Centro de Control permanente.