AFI IIII Unidad Unidad 3 M.C.A. Rosalinda Cisneros Preciado.
Unidad III “Plan general de recuperación ante desastres” Contenido. 1. Plan de Prevención. 2. Plan de Contención. 3. Plan de Recuperación. 4. Plan de Contingencia.
1. PLAN DE PREVENCION. En este plan se analizan los riesgos y fallas de seguridad a los que se expone la institución; se elabora un resumen por medio de una tabla de riesgos y las recomendaciones de acuerdo a las fallas de seguridad, para así prevenir cualquier desastre. La evaluación de riesgos supone imaginarse lo que puede ir mal y a continuación estimar el costo que supondría. El análisis de riesgos supone responder a preguntas como: que puede ir mal? Con que frecuencia puede ocurrir? Cuáles podrían ser sus consecuencias? Que fiabilidad tienen las respuestas a las tres primeras preguntas? Para cada riesgo, se debe determinar la probabilidad del factor de riesgo: factor de riesgo bajo, factor de riesgo muy bajo, factor de riesgo alto, factor de riesgo muy alto y, factor de riesgo medio. Luego se efectuara un resumen de los riesgos ordenados por el factor de riesgo de cada uno, ejemplo:
TIPOS DE RIESGOS Robo Vandalismo Fallas en los equipos Acción de virus Equivocaciones Terremotos Accesos Accesos no autorizado autorizadoss Robo de datos Fuego Inundaciones Fraude
FACTOR DE DE RIESGO Alto Medio Medio Medio Bajo Bajo Bajo Bajo Bajo Bajo Muy Bajo
2. PLAN PLAN DE CONTENCIÓN (SEGURIDAD). Análisis de fallas de seguridad. seguridad. Esto supone estudiar las computadoras, su software, localización y utilización con el objetivo de identificar los puntos de seguridad que pudieran suponer un peligro. Ejemplo de algunos tipos de riesgos de una empresa dada: GENERALES: se hace una copia diaria de los archivos que son vitales para la institución. ROBO COMUN: Se cierran las puertas de entrada. VANDALISMO: se cierra la puerta de entrada. DAÑO POR VIRUS: todo el software nuevo se analiza antes de instalarlo utilizando un antivirus. Los programas de dominio publico y de uso compartido, solo se utilizan si proceden de una fuente confiable. EQUIVOCACIONES: los empleados tienen buena formación. Cuando son necesarios, se intenta conseguir buenos trabajadores temporales. TERREMOTO: Nada. ACCESO NO AUTIRIZADO AUTIRIZADO;; se cierra cierra la puerta puerta de entrada. entrada. Varias computadoras computadoras disponen disponen de llave de bloqueo bloqueo de teclado. teclado. FUEGO: se encuentra instalado un sistema contra incendios, extinguidores en sitios estratégicos y se brinda entrenamiento periódico en el manejo de extinguidores al personal. ROBO DE DATOS: Nada.
1
AFI II Unidad 3 M.C.A. Rosalinda Cisneros Preciado.
3. PLAN DE RECUPERACIÓN DE DESASTRES Este plan tiene como objetivo que el negocio alcance una recuperación sistemática y ordenada. El plan debe poder restaurar a la empresa como estaba antes, por medio de un planteamiento para la recuperación ante el desastre. Es importante definir los procedimientos y planes de acción para el caso de una posible falla, siniestro o desastre en el área de informática, considerando como tal todas las áreas de los usuarios a que procesan información por medio de la computadora. Cuando ocurra una contingencia, es esencia que se conozca al detalle el motivo que la originó y el daño producido, lo que permitirá recuperar en el menor tiempo posible el proceso perdido. La elaboración de los procedimientos que se determinen como adecuados para un caso de emergencia, deben ser planeados y probados fehacientemente. Los procedimientos deberán ser de ejecución obligatoria y bajo la responsabilidad de los encargados de la realización de los mismos, debiendo haber procesos de verificación de su cumplimiento. En estos procedimientos esta involucrado todo el personal e la institución. Los procedimientos de planes de recuperación de desastres deben de emanar de la máxima autoridad institucional, para garantizar su difusión y estricto cumplimiento. Las actividades a realizar en un plan de recuperación de desastres se clasifican en tres etapas: 1. Actividades previas al desastre. 2. Actividades durante el desastre. 3. Actividades después del desastre. ACTIVIDADES PREVIAS AL DESASTRE. Son todas las actividades de planeamiento, preparación, entrenamiento y ejecución de las actividades de resguardo de la información, que nos aseguran un proceso de recuperación con el menor costo posible a nuestra institución por medio de las siguientes actividades generales: Establecimiento del plan de acción. b. Formación de equipos operativos. c. Formación de equipos de evaluación (auditoria de cumplimiento de los procedimientos de seguridad). a.
a. Establecimiento del plan de acción. En esta fase se debe establecer los procedimientos relativos a sistemas de información, equipos de cómputo, obtención y almacenamiento de los respaldos de información (backups) y, políticas (normas y procedimientos de backups). Sistemas de información.
La institución deberá tener una relación de los sistemas de información con los que cuenta, tanto los realizados por los sistemas de cómputo como los hechos por las áreas usuarias. Debiendo identificar toda la información sistematizada o no, que sea necesaria para la buena marcha institucional. La relación de los sistemas de información deberá detallar los siguientes datos: Nombre del sistema. o o Lenguaje .Programas que lo conforman. o La dirección (gerencia, departamento, etc.) que genera la información base (el dueño del sistema). o Las unidades o departamentos (internos/externos) que usan la información del sistema. El volumen de los archivos y transacciones diarias, semanales y mensuales que trabaja el sistema. o o El equipo necesario para el manejo optimo del sistema. o La(s) fecha(s) en las que la información es necesitada con carácter de urgencia. Y nivel de importancia. o Actividades a realizarse para volver a contar con el sistema de información (actividades de restore). Lista priorizada (un ranking) de los sistemas de información necesarios para que la institución pueda recuperar su o operatividad perdida en el desastre (contingencia). Equipos de cómputo.
Hay que tener en cuanta lo siguiente: o Inventario actualizado del equipo, especificando su contenido (software que se usa, principales archivos que contiene), su ubicación y nivel de uso institucional. o Póliza de seguros comerciales. o Señalización o etiquetado de las computadoras de acuerdo a la importancia de su contenido, para ser priorizados en caso de valuación. Ej. Etiquetar los servidos con color rojo, amarillo las PC’s con información importante o estratégica y color verde las PC’s de contenidos normales. 2
AFI II Unidad 3 M.C.A. Rosalinda Cisneros Preciado. o
Tener siempre actualizada una relación de PC’s requeridas como mínimo para cada sistema permanente de la institución, las funciones que realizaría y su posible uso en dos o tres turnos de trabajo, para cubrir las funciones básicas y prioritarias de cada uno de estos sistemas.
Obtención y almacenamiento de los respaldos de información (backups).
Se deberá establecer los procedimientos para la obtención de copias de seguridad de todos los elementos de software necesarios para asegurar la correcta ejecución de los sistemas o aplicativos de la institución. Para lo cual se debe contar con: a. Backups del sistema operativo (en caso de tener varios sistemas operativos o versiones, se contara con una copia de ellos). b. Backups del software base (paquetes y/o lenguajes de programación con los cuales han sido desarrollados o interactúan nuestros aplicativos institucionales. c. Backups de software aplicativo (Considerando tanto los programas fuentes, como los programas objetos correspondientes, y cualquier otro software o procedimiento que también trabaje con la data, para producir los resultados con los cuales trabaja el usuario final). Se debe considerar también las copias de los listados fuentes de los programas definitivos, para casos de problemas. d. Backups de los Datos (Bases de Datos, Índices, tablas de validación, passwords, y todo archivo necesario para la correcta ejecución del software Aplicativo de nuestra Institución) e. Backups del Hardware. Se puede implementar bajo dos modalidades: Externa (convenios con otra institución); Interna (si se tienen varios locales) a. Formación de equipos operativos. En cada unidad operativa de la institución, que almacene información y sirva para la operatividad institucional, se deberá asignar un responsable de la seguridad de información de su unidad. Pudiendo ser el jefe de dicha área operativa, planificando, coordinando, supervisando, organizando, ejecutando, participando en: pruebas, procedimientos y trabajos de ejecución, recuperación, seguridad y, restauración de: carga y manejo de información, equipo y simulacros de desastres. c. Formación de equipos de evaluación (auditoria de cumplimiento de los procedimientos de seguridad). Esta función debe ser realizada de preferencia por personal de inspectoría, de no ser posible, la realizara el personal de informática, debiendo establecerse claramente sus funciones, responsabilidades y objetivos ya que deberá revisar normas y procedimientos, supervisar realización de backups y cumplimientos e incumplimientos de normas y acciones respectivas. ACTIVIDADES DURANTE EL DESASTRE. Una vez presentada la contingencia o siniestro, se deberá ejecutar las siguientes actividades planificadas previamente: a. Plan de emergencias. b. Formación de equipos. c. Entrenamiento. a. Plan de emergencias.
En este plan se establecen las acciones que deben realizarse cuando se presenta un siniestro, así como la difusión de las mismas. Es conveniente prever los posibles escenarios de ocurrencia del siniestro: o Durante el día. Durante la noche o madrugada. o Este plan deberá incluir la participación y actividades a realizar por todas y cada una de las personas que se pueden encontrar presentes en el área donde ocurra el siniestro, debiendo detallar: Vías de salidas o escape. o Plan de evacuación del personal. o o Plan de puesta a buen recaudo de los activos (incluyendo los de información) de la institución (si es posible). o Ubicación y señalización de los elementos contra el siniestro, tener a la mano: elementos de señalización, listas de teléfonos de bomberos/ambulancias, jefatura de seguridad y de su personal (equipos de seguridad) nombrados para estos casos. b. Formación de equipos de siniestro.
Establecer claramente cada equipo (nombres, puestos, ubicación, etc.) con funciones claramente definidas a ejecutar durante el siniestro. Si bien la premisa básica en la protección del personal, en caso de que el siniestro lo permita (por estar en un inicio o en una área cercana, etc.), deberá de existir dos equipos de personas que actúan directamente durante el siniestro, un equipo para combatir el siniestro y otro para el salvamento de los recursos informáticos, de acuerdo a los lineamientos o clasificación de prioridades. c. Entrenamiento. 3
AFI II Unidad 3 M.C.A. Rosalinda Cisneros Preciado.
Aquí se establece un programa de practicas periódicas de todo el personal en la lucha contra los diferentes tipos de siniestros, de acuerdo a los roles que se les hayan asignado en los planes de evacuación del personal o equipos, para minimizar costos se puede aprovechar fechas de recarga de extinguidotes, charlas de los proveedores, etc. Un aspecto importante es que el personal tome conciencia de que los siniestros (incendios, inundaciones, terremotos, apagones, etc.) pueden realmente ocurrir, y tomen con seriedad y responsabilidad estos entrenamientos, para estos efectos en conveniente que participen los elementos directivos, dando el ejemplo de la importancia que la alta dirección otorga. ACTIVIDADES DESPUÉS DEL DESASTRE. Después de ocurrido el desastre o siniestro, es necesario realizar las actividades que se detallan, las cuales deben estar especificadas en el plan de emergencias ya mencionado. a.
Evaluación de daños.
Inmediatamente después que el siniestro ha concluido, se deberá evaluar la magnitud del daño que se ha producido, que sistemas se han afectado, que equipos han quedado operativos, cuales se pueden recuperar, y en cuanto tiempo, etc. b.
Priorizacion de actividades del plan de acción.
Toda vez que el plan de acción es general y contempla un a pérdida total, la valuación de daños reales y su comparación contra el plan, nos dará la lista de las actividades que debemos realizar, siempre priorizándola en vista a las actividades estratégicas y urgentes de nuestra institución. Es importante evaluar la dedicación del personal a actividades que pueden haberse no afectado, para ver su asignamiento temporal a las actividades afectadas, en apoyo al personal de los sistemas afectados y soporte técnico. c.
Ejecución de actividades.
d.
Evaluación de resultados.
Implica la creación de los equipos de trabajo para realizar las actividades previamente planificadas en el plan de acción. Cada uno de estos equipos deberá contar con un coordinador que deberá reportar diariamente el avance de los trabajos de recuperación y, en caso de producirse algún problema, reportarlo de inmediato a la jefatura a cargo del plan de contingencias. Los trabajos de recuperación tendrán dos etapas, la primera, la restauración del servicio usando los recursos de la institución o local de respaldo, y la segunda etapa es la volver a contar con los recursos en las cantidades y lugares propios del sistemas de información, debiendo ser esta ultima etapa lo suficientemente rápida para no perjudicar la operatividad de la institución o local de respaldo. Una vez concluidas las labores de recuperación de los sistemas que fueron afectados por el siniestro, debemos evaluar objetivamente, todas las actividades realizadas, que tan bien se hicieron, que tiempo tomaron, que circunstancias modificaron (aceleraron o entorpecieron) las actividades del plan de acción, como se comportaron lo equipos de trabajo, etc. De la evaluación de resultados y del siniestro en si, debería de salir dos tipos de recomendaciones, un ala retroalimentación del plan de contingencias y otra una lista de recomendaciones para minimizar los riesgos y la perdida que ocasiona el siniestro. e.
Retroalimentación del plan de acción.
Con la evaluación de resultados, debemos de optimizar el plan de acción original, mejorando las actividades que tuvieron algún tipo de dificultad y reforzando los elementos que funcionaron adecuadamente. El otro elemento es evaluar cual hubiera sido el costo de no haber tenido nuestra institución el plan de contingencias llevado a cabo.
4. PLAN DE CONTINGENCIAS Es un documento formal, por escrito, que detalla las acciones que deben emprenderse en caso de haber una perturbación, o una amenaza de perturbación, en cualquier parte de la operación de una empresa. Se ha constatado que, en vez de confiar en un solo plan amplio para contingencias, la mejor estrategia es crear varios subplanes que contemplan contingencias específicas. Entre los subplanes mas comunes están: 1. Plan de emergencia: Especifica las medidas que garantizaran la seguridad de los empleados cuando ocurre un desastre. (sistemas de alarma, procedimientos de evacuación y sistemas de supervisión de incendios) 2. Plan de respaldo: La compañía debe tomar medidas para contar con instalaciones de cómputo de respaldo en caso de que las instalaciones normales se destruyan o dañen tanto que no puedan usarse. (combinación de redundancia, diversidad y movilidad) 4
AFI II Unidad 3 M.C.A. Rosalinda Cisneros Preciado.
3. Plan de registros vitales: Específica como se protegerán los documentos en papel, micro formas y medios de almacenamiento magnéticos y ópticos que son necesarios para que la empresa pueda funcionar. (sitio remoto, transmitir electrónicamente). Servicios de transmisión electrónica: Bóvedas electrónicas. Esto implica la transmisión electrónica de los archivos de respaldo por lotes al final del día. o Diarios remotos. Esto implica la transmisión de datos en el momento en el que ocurren las transacciones. Los datos o se utilizan luego para actualizar por lotes las bases de datos del sitio remoto. Sombras en las bases de datos. Esto implica la actualización de la base de datos duplicadas en el sitio remoto en o el momento en el que ocurren las transacciones. Al preparar planes distintos para cada tipo de contingencia, el gerente de la compañía se asegura de que un desastre solo causara una interrupción temporal y que la compañía podrá continuar sus operaciones. Determinación de las funciones vitales y necesarias. El primer caso al diseñar un plan de contingencia consiste en identificar las funciones necesarias para mantener funcionando la compañía. Un esquema de clasificación de estas funciones puede ser: vitales (el proceso de transacciones y pedidos, cuentas por cobrar, cuentas por pagar, control de inventarios, asignación de precios y facturación, y la nomina. Se deberán mantener en un lugar seguro, copias de todas estas aplicaciones incluyendo programas, datos y documentación, fuera de las instalaciones., necesarias, deseables o triviales. Estrategias alternativas de contingencias. Una estrategia sencilla es regresar a los métodos manuales. O bien la función puedes ser realizada por un servicio externo. 1. Instalaciones de respaldo propiedad de la compañía. El sistema total se duplica en algún lugar distante de donde se encuentra el sistema actual. Esta opción es de bajo riesgo y alto costo. 2. acuerdo reciproco. Esta opción implica un arreglo o contrato realizado entre dos compañas de sistemas de computo compatibles para darse servicio entre si en caso de desastre. Esto dueña como una opción viable, pero generalmente no funciona por dos razones. En primer lugar, la mayoría de los sistemas no tienen suficiente tiempo para sus propias necesidades de procesamiento, y mucho menos para las necesidades de procesamiento de otra organización. En segundo lugar, debido a los cambios en una o en ambas compañías al pasar el tiempo, los sistemas de cómputo pueden llegar a ser incompatibles, y ninguno de ellos podría darse cuenta de la situación hasta que fuera demasiado tarde. 3. Servicio de emergencia. Esta es una instalación de respaldo ofrecida por un vendedor con base en una cuota para los usuarios de una familia determinada de computadoras. Esta opción es de bajo riesgo si el desastre no cubre un área grande, demás de que se ofrece a un costo razonable. 4. consorcio. Mediante esta opción, varias compañías se unen y construyen su propia instalación de respaldo. Esta opción incluye características de las primeras operaciones. 5. despacho de servicio comercial. La contratación de un procesamiento de emergencia con un despacho de servicio comercial es una opción viable bajo ciertas circunstancias. El sistema debe de ser compatible y estar disponible cuando se necesite. El riesgo, el costo y la eficiencia son moderados para esta opción. 6. cápsula. Es un edificio con todas las tomas y conexiones necesarias pero sin el equipo de computación pueden ser construidas por la organización para su propio uso o se puede uno suscribir a un propietario comercial de cápsulas. El riego es moderablemente alto, los costos son bajos y la eficiencia tiene grado de bajo moderado. 7. Centro móvil de datos. Es un enfoque único de planeación de recuperación ante desastres. Esta listo para dar servicio a cualquiera de sus instalaciones de sistemas que se encuentran distantes.
5
