Plan de recuperacion de desastres metodologia

RISK MANAGEMENT FOR YOUR BUSINESS

METODOLOGÍA PARA EL DISEÑO DE UN PLAN DE RECUPERACIÓN ANTE DESASTRES O DRP
La metodología recomendada en este documento para el desarrollo de un plan de recuperación ante desastres o DRP para los sistemas de información críticos de TI, propone un proceso comprendido desde el inicio del proyecto hasta la realización de las pruebas1. Se considera tambiénrealizar un análisis de riesgo, estrategias de recuperación y la definición de roles y responsabilidades. La figura 1, presenta las fases de esta metodología, basada en las recomendaciones del NIST, DRII y el BCI, también apoyada en la experiencia de casos prácticos realizados en nuestro país: 1. 2. 3. 4. 5. 6. Inicio del proyecto Plan de Recuperación ante desastres Análisis de impacto sobre el negocio(BIA) Análisis de riesgo Desarrollo estrategias de recuperación para el DRP Roles y responsabilidades Pruebas del DRP

Figura 1. Metodología para un DRP

INICIO DEL PROYECTO
Se realiza en esta fase un conocimiento de la organización. Se evalúa, en esta fase, la documentación existente. Se documentan los beneficios y se deben definir también las personas que tendrán alguna responsabilidad enel proyecto. Otras actividades, de esta fase, se presentan a continuación:

En algunas metodologías se incluye actividades como entrenamiento y mantenimiento del Plan, que no fueron aquí consideradas por razones de prioridad.

1

SISTESEG

RISK MANAGEMENT FOR YOUR BUSINESS 1. 2. 3. 4. Revisión de los procesos críticos a considerar en el DRP. Entendimiento de TI Valoración de los riesgosEvaluación del nivel en el que se encuentra la organización y propuestas de acciones a seguir para mejorar los niveles de respuesta ante eventos que afecten la entrega de servicios.

A continuación, se describen cada una de las actividades de esta fase. 1. Validar el objetivo de continuidad del proyecto: se establece el objetivo de continuidad (comunicación de crisis, evacuación, respuesta aciber-incidentes, contingencia, recuperación de desastres y/o continuidad) que tendrá el proyecto DRP y los conceptos que serán utilizados para el mismo. 2. Acordar el compromiso con las directivas: se confirma la aprobación de las Directivas de la empresa para la realización del proyecto y la existencia de los recursos financieros, humanos y logísticos requeridos. 3. Conformar el equipo del DRP: seasignan responsables para la ejecución del proyecto, identificando al gerente y a las personas que desarrollarán las diferentes actividades. 4. Refinar el alcance del proyecto: se revisa y aprueba el alcance del proyecto, para lo cual se considera el objetivo de continuidad establecido, los procesos del servicio que deben incluirse y las dependencias interesadas en el Plan de recuperación antedesastres.

IMPACTO SOBRE EL NEGOCIO (BIA)2
El análisis del impacto sobre el negocio (BIA) es uno de los aspectos más importantes a considerar en el desarrollo de un plan de recuperación ante desastres o DRP. Se trata pues, de identificar los diversos eventos que pudieran afectar la continuidad de sistemas críticos de la información. A continuación la descripción de estas actividades: 1. Identificarsitios físicos: se valida la lista de instalaciones físicas o entidades en donde opera los servicio de TI de la empresa. 2. Identificar sistemas de información: se obtiene la lista de los sistemas de información que se poseen en cada instalación y se determina cuáles de ellos están relacionados de manera directa o indirecta con el servicio de TI. 3. Evaluar la criticidad de los sistemas deinformación: se califica la criticidad de cada uno de los procesos relacionados con la Empresa, haciendo uso de la tabla de criticidad previamente definida3.
2

Business impact analysis

SISTESEG

RISK MANAGEMENT FOR YOUR BUSINESS 4. Determinar el RTO, RPO y MTD de cada sistema: se estima, mediante encuestas o entrevistas, el tiempo de recuperación objetivo, el punto de recuperación objetivo y...