Parte 2/2 - Sistema de Gestión de la Seguridad de la Información – ESTRUCTURA DE UN PLAN DE CONTINUIDAD DEL NEGOCIO

Retomando la primera parte de este post Parte ½, hoy me gustaría comentar como se puede afrontar a nivel de estructura un PCN general y sus PCN específicos.

Comentaros que esta información que expongo me la enseñaron en un postgrado que realice en la UPC de dirección de sistemas de información, no es cosecha propia, sino que es un conocimiento aprendido ;D

Bueno, una vez realizada la aclaración entramos en materia.

Un PCN normalmente se divide en un padre y “n” hijos, tenemos un plan general de donde cuelgan todos los planes específicos de las acciones definidas.

Las Áreas que se deben tener presente en un PCN general deben ser:

Alcance y Objetivo
Ámbito de la empresa (servicio, situación, departamento) al que es aplicable
Qué persigue la empresa con la definición de estos planes
Situaciones a controlar
Selección de situaciones recogida en el Análisis de Riesgos( se entrar en detalle en otro post)
Descripción clara de cada caso a controlar
Aprobación por la dirección

Este proyecto de solución queda aprobado por el comité de seguridad

Una vez finalizado el proceso de desarrollo y probado, se recogerá la aprobación definitiva de los planes

Listado de Planes a realizar: su relación

Los planes deben responder a cada situación detectada

En ocasiones, tendrán partes en común: activos, servicios, amenazas, etc.

Asignación de responsables

El comité de seguridad selecciona los responsables

Éstos seleccionan el equipo de trabajo

Revisión del esquema de los PCN

Es necesario un procedimiento formal para realizar las revisiones y actualizaciones del plan: cambios en el sistema, en los servicios, estructura, etc.

Una vez hemos dado un paseo por las áreas importantes de un PCN General, es hora de entrar a las áreas importantes de los PCN Específicos, ya podréis observar que tiene mas áreas que el plan general, son las siguientes:

• Objetivo: descripción del objetivo del Plan concreto
• Alcance: ámbito de aplicación
• Descripción de la situación a controlar: datos de la situación y los parámetros
• Situación de riesgo: amenazas
• Activos involucrados: listado y consecuencias
• Niveles exigidos y Tiempos de respuesta
• Recursos necesarios para los planes de respuesta:
• Controles existentes
• Controles necesarios para conseguir los niveles exigidos
• Procedimientos para asegurar la disponibilidad y operatividad de los recursos

Planes desarrollados y sus responsables

Listado de los planes con los responsables asociados especificando versión, fecha aprobación persona responsable de su implantación y mantenimiento.

Disparo de la alarma

Listado de las situaciones o indicadores que pueden hacer poner en marcha un plan y quien es el responsable de dicha detección.

Plan de Respuesta

Procedimiento que describe las acciones a realizar tras el disparo

Listado de responsables y forma de contactar

Evacuación del personal

Servicios de emergencia

Contactos externos

Avisos a dirección

Registro de los pasos realizados y su resultado para un posterior análisis

Plan de Respaldo

Procedimiento donde se describen las acciones a llevar a cabo para mantener el servicio mientras se resuelve la situación de emergencia.

Recursos necesarios y su mantenimiento

Método para la gestión de la contingencia

Procedimiento y secuencia

Registro de las acciones

Plan de Recuperación

Pasos a realizar para devolver el servicio a los niveles iniciales

Arranque de los equipos, sistemas, servicios, etc

Pruebas de comprobación

Retirada de los Planes de Respaldo

Registro de las acciones

Plan de Análisis y mejora

Procedimiento donde se describe qué datos analizar una vez restaurados los sistemas y finalizada la emergencia.

Establecer procedimiento que:

Determine qué datos deben analizarse

A quién deben presentarse los informes de conclusiones

Causa de la emergencia

Fallos en los planes y sus mejoras

Como podéis imaginar no es tan sencillo realizar y estimar un Plan de continuidad de negocio PCN, pero espero que con estos poquitos datos que os en plasmado os hayan ayudado a haceros una idea.

Si creéis que os puede ayudar me lo comentáis y os cuelgo los ejercicios prácticos que realice.