plan para la recuperacin de desastres (RD) TI

Los planes de recuperacin de desastres (RD) en tecnologas de la informacin (TI) proporcionan un enfoque estructurado para responder a los incidentes no previstos que ponen en peligro la infraestructura de TI, compuesta por hardware, software, redes, procesos y personas. Proteger las inversiones realizadas por su firma en la infraestructura tecnolgica y garantizar la capacidad empresarial para ejecutar sus operaciones corporativas son las principales razones para poner en marcha un plan de recuperacin de desastres en TI.

En esta gua conoceremos todo lo necesario acerca de la elaboracin del plan. Aprenderemos a desarrollar paso por paso el plan de RD de TI y los aspectos ms importantes a tener en cuenta durante su elaboracin.

NDICE DE LA PLANTILLA DEL PLAN DE RECUPERACIN DE DESASTRES TI

Qu es un plan de recuperacin de desastres TI? Desarrollo paso a paso del plan de recuperacin de desastres TI Aspectos clave a considerar al planificar la recuperacin de desastres TI Anlisis de la plantilla del plan de RD de TI ===============================================================

Qu es un plan de recuperacin de desastres TI? Los planes de recuperacin de desastres TI proporcionan unos procedimientos detallados a seguir, paso a paso, para recuperar los sistemas y redes que han sufrido disrupciones y ayudar a resumir la normalidad en las operaciones. El objetivo de estos procesos es minimizar cualquier impacto negativo en las operaciones de la compaa. El proceso de recuperacin de desastres identifica los sistemas y redes crticos de TI; fija las prioridades para su recuperacin y dibuja los pasos necesarios para reiniciar, reconfigurar y recuperar dichos sistemas y redes. Todo plan integral de recuperacin de desastres debera incluir tambin a todos los proveedores relevantes, las fuentes de experiencia para recuperar los sistemas afectados y una secuencia lgica de los pasos a seguir hasta alcanzar una recuperacin ptima.

Asumiendo que hemos completado una evaluacin de riesgos e identificado amenazas potenciales a nuestra infraestructura de TI, el siguiente paso ser determinar qu elementos de dicha infraestructura son los ms importantes para las operaciones corporativas. Adems, asumiendo que todos los sistemas y redes TI funcionan con normalidad, nuestra empresa debera ser plenamente viable, competitiva y slida desde el punto de vista financiero. Cuando un incidente interno o externo afecta negativamente a la infraestructura de TI, las operaciones corporativas pueden verse amenazadas.

Segn la Publicacin Especial 800-34, Contingency Planning for Information Technology Systems (Planificacin de contingencias para los sistemas de tecnologas de la informacin), del National Institute for Standards and Technology (NIST, o Instituto Nacional de Estndares y Tecnologa) de los Estados Unidos, lo que viene a continuacin resume la estructura ideal de un plan de recuperacin de desastres TI.

1. Elaboracin de la declaracin de polticas para el plan de contingencia. Contar con unas directivas formales proporciona la autoridad y orientacin necesaria para elaborar un plan de contingencia efectivo.

2. Realizacin del anlisis de impacto sobre el negocio (BIA). El anlisis del impacto sobre el negocio ayuda a identificar y priorizar los sistemas y componentes crticos de TI. 3. Identificacin de controles preventivos. Medidas que reducen los efectos de las disrupciones al sistema y pueden aumentar su disponibilidad y reducir los costos de contingencia del ciclo de vida.

4. Desarrollo de estrategias de recuperacin. Tener una estrategia integral garantiza que el sistema se recuperar de manera rpida y efectiva despus de una disrupcin. 5. Desarrollo de un plan de contingencia TI. El plan de contingencia debera contener orientaciones y procedimientos detallados para la restauracin del sistema daado. 6. Prueba, formacin y ejecucin del plan. La prueba del plan identifica lagunas en la planificacin, mientras que la formacin prepara al personal de recuperacin para la activacin del plan; ambas actividades mejoran la eficacia del plan y la preparacin general de la entidad. 7. Mantenimiento del plan. El plan debera ser un documento vivo que se actualiza regularmente para mantenerlo al da con mejoras al sistema. Desarrollo paso a paso del plan de recuperacin de desastres TI Utilizando la estructura apuntada en la publicacin SP 800-34 del NIST, podemos ampliar esas actividades a la siguiente secuencia estructurada de actividades. 1. El equipo de desarrollo del plan debera reunirse con el equipo interno de tecnologa, el equipo de aplicacin y los administradores de redes, y establecer el alcance de la accin, como por ejemplo, elementos internos, activos externos, recursos de terceros y enlaces a oficinas/clientes/proveedores; debemos asegurarnos de informar a la direccin del departamento de TI sobre dichas reuniones para que estn bien informados.

2. Recopilar todos los documentos relevantes de la infraestructura de redes, como los diagramas de las redes, la configuracin de los equipos y bases de datos.

3. Obtener copias de los planes de recuperacin de redes y de TI existentes; si no los hay, proceder con los siguientes pasos.

4. Identificar las amenazas contra la infraestructura de TI que la direccin considere ms preocupantes: por ejemplo, incendios, errores humanos, apagones de energa, fallo de los sistemas.

5. Identificar aquello que la direccin considera que son las principales vulnerabilidades de la infraestructura: por ejemplo, inexistencia de sistemas de respaldo en caso de apagn elctrico, copias de bases de datos obsoletas.

6. Examinar el historial previo de apagones y disrupciones, y cmo fueron gestionados por la empresa.

7. Identificar los activos TI que la direccin considera de importancia crtica. Por ejemplo: centro de llamadas, granjas de servidores, acceso a internet.

8. Determinar el tiempo mximo de apagn elctrico que est dispuesta a aceptar la direccin en caso de indisponibilidad de los equipos TI.

9. Identificar los procedimientos operativos que se utilizan actualmente para responder a los apagones crticos.

10. Determinar cundo se probaron estos procedimientos para validar si siguen siendo adecuados o no.

11. Identificar el/los equipo/s de respuesta de emergencia para todas las disrupciones de la infraestructura crtica de TI; determinar su nivel de conocimientos y preparacin para manejar los sistemas crticos, especialmente en casos de emergencia.

12. Identificar las capacidades de respuesta de los proveedores en casos de emergencia; si se han utilizado alguna vez; si funcionaron correctamente; cunto paga la compaa por estos servicios; el estado del contrato de servicio; la existencia del acuerdo de nivel de servicio (SLA) y si se usa alguna vez.

13. Recopilar los resultados de todas las evaluaciones en un reporte de anlisis de carencias que identifique lo que se est haciendo frente a lo que debera hacerse, con recomendaciones sobre cmo lograr el nivel requerido de preparacin y las inversiones necesarias para ello.

14. Lograr que la direccin lea el repote y acuerde tomar las acciones recomendadas.

15. Preparar un plan de recuperacin de desastres IT que cubra los sistemas y las redes esenciales de TI.

16. Realizar pruebas de los planes y activos de recuperacin de sistemas para validar su operatividad.

17. Actualizar la documentacin del plan de RD para que recoja los cambios efectuados.

18. Programar la prxima revisin/auditora de capacidades de recuperacin de desastres TI (Fuente: NIST SP 800-34).

Aspectos clave a considerar al planificar la recuperacin de desastres TI

Apoyo de la alta gerencia. Asegrese de tener el apoyo de la alta gerencia a fin de lograr alcanzar los objetivos del plan. Tomarse en serio el proceso de planificacin de RD de TI. Aunque la recopilacin y anlisis de los datos para el plan de RD de TI puede llevar mucho tiempo, no es necesario que tenga docenas de pginas. Los plantes simplemente necesitan la informacin correcta, y esa informacin debera ser actual y precisa.

Disponibilidad de estndares. Entre los estndares relevantes que podemos usar a la hora de desarrollar los planes de RD de TI estn los siguientes: NIST SP 800-34, ISO/IEC 24762 y BS 25777. La sencillez es un grado. Es esencial reunir y organizar la informacin correcta. Estudiar los resultados con las unidades de negocio. Una vez finalizado el plan de recuperacin de desastres, debemos cotejar sus conclusiones con los lderes de las unidades de negocio para comprobar que nuestras premisas son correctas. Flexibilidad. La plantilla sugerida en este artculo puede ser modificada en lo que sea necesario para conseguir nuestros objetivos.

Anlisis de la plantilla del plan de RD de TI A continuacin, examinaremos el ndice de la plantilla, sealando las cuestiones clave a tratar y las actividades a desarrollar.

1. Declaracin de intenciones del departamento de TI Marca la pauta y direccin del plan.

2. Declaracin de polticas Es muy importante incluir una declaracin aprobada con las polticas relativas a la provisin de servicios de recuperacin de desastres.

3. Objetivos Principales metas del plan.

4. Informacin de contacto del personal clave Muy importante tener la informacin clave de contacto cerca del comienzo del plan. Es la informacin ms susceptible de ser utilizada de inmediato y debera ser fcil de ubicar.

5. Visin general del plan Describe los aspectos bsicos del plan, como la actualizacin.

6. Respuesta de emergencia Describe lo que hay que hacer inmediatamente en caso de incidente.

7. Equipo de recuperacin de desastres Miembros y datos de contacto del equipo de RD.

8. Alerta de emergencia, escalada y activacin del PRD Pasos a seguir en las primeras fases del incidente hasta que se activa el plan de RD.

9. Medios Consejos para tratar con los medios de comunicacin.

10. Seguro Resume la cobertura de seguros asociada con el entorno TI y otras polticas relevantes.

11. Cuestiones legales y financieras Acciones a tomar para administrar las cuestiones legales y financieras.

12. Ejecucin del PRD Subraya la importancia de ejecutar el plan de recuperacin de desastres.

13. Apndice A Plantillas del plan de recuperacin de desastres tecnolgicos Plantillas modelo para una variedad de recuperaciones por incidentes tecnolgicos; es til tener disponible la documentacin tcnica de algunos proveedores selectos.

14. Apndice B Formularios recomendados Formularios listos para usar que ayudarn a facilitar la finalizacin del plan. Teniendo en cuenta las inversiones que las empresas realizan en infraestructuras TI, sera conveniente que inviertan tambin tiempo y recursos para proteger dichas inversiones de acontecimientos no previstos y potencialmente destructivos.