Tema: Plan de Contingencias

Universidad Técnica Nacional
Sede Central
Ingeniería del Software
Auditoria de Sistemas
Tema: Plan de Contingencias
Profesor:
Wilmer Vindas Acuña
Estudiantes:
Josué Castro Molina
Edson Vargas Segura
Carlos Zamora Murillo
2015
Plan de contingencias
Un Plan de Contingencia es un conjunto de procedimientos alternativos a la operativa normal
de cada empresa, cuya finalidad es la de permitir el funcionamiento de ésta, aun cuando alguna
de sus funciones deje de hacerlo por culpa de algún incidente tanto interno como ajeno a la
empresa.
Dicho plan contiene las medidas técnicas, humanas y organizativas necesarias para garantizar
la continuidad del negocio y las operaciones de una compañía.
Componentes
El plan de contingencia debe contener los siguientes elementos como mínimo.
●
Objetivo del plan: Se debe indicar aquellos componentes de la función crítica que se
pretenden ser cubiertos antes una eventualidad.
●
Criterio para la ejecución del plan: Son las condiciones sobre las cuales se considera
que debe comenzar a aplicarse el plan de contingencia.
●
Tiempo esperado máximo de duración del plan: Se refiere al tiempo que puede la
organización continuar operando bajo estas condiciones de contingencia.
●
Roles, responsabilidad y autoridad: Se debe determinar cada uno de los roles para cada
sector de la organización ante la contingencia y como se alteran los procedimientos
habituales para dar lugar a los procedimientos de contingencia.
●
Requerimiento de recursos: Define los recursos esenciales que deben que deben
operar en el modo contingencia.
Etapas
Su elaboración la podemos dividir en cuatro etapas:
1. Evaluación.
2. Planificación.
3. Pruebas de viabilidad.
4. Ejecución.
5. Recuperación
Evaluación
1. Constitución del grupo de desarrollo del plan: Debe ser liderado por un responsable y
conformar los líderes de áreas que van a cubrir dicho plan. La elaboración y/o
ejecución, deberán comprometerse recursos y aprobarse procedimientos especiales
que requieran un nivel de autorización superior.
2. Identificación de las funciones críticas: Identificar aquellos elementos/funciones que
puedan ser críticas para nuestra empresa ante cualquier eventualidad o desastre y
catalogarlos por nivel de importancia dentro de la organización.
3. Definición y documentación de los posibles escenarios de cada función crítica: Se
definen los posibles problemas que pueden tratarse antes una eventualidad, por
ejemplo fallo de hardware, software, telecomunicaciones o imprevisto de terceros.
También posibles daños provocados por incendios, mal manejo de discos magnéticos
de respaldo o fallos producidos antes pérdida de energía.
4. Análisis del impacto del desastre ante cada función crítica: Consiste en realizar una
correcta cuantificación del impacto de cada posible problema entre ellos teniendo en
cuenta las siguientes prioridades:
a. Evitar pérdidas humanas.
b. Satisfacer las necesidades básicas.
c. Reanudar las operaciones en el breve tiempo posible.
d. Proteger el medio ambiente
e. Lograr las conexiones con los principales clientes y proveedores.
f. Mantener la confianza de la empresa.
5. Definición de los niveles mínimos de servicio: Se trata de definir los niveles mínimos de
servicio aceptados para cada problema que se puedan presentar.
6. Identificación de las alternativas de solución: En esta subfase deberán identificarse las
soluciones alternativas para cada uno de los problemas previsibles, entre las cuales se
debe considerar:
a. Implementación de procesos manuales
b. Contratar las tareas críticas con terceros
c. Definir la tarea crítica por un tiempo determinado
7. Evaluación de la relación coste/beneficio de cada alternativa: Se identifica el impacto
económico de cada problema y solución desde la perspectiva de costo/beneficio para
cada proceso crítico y su tiempo de puesta en marcha que satisfaga el nivel de servicio
mínimo.
Planificación
Dicha planificación incluye los siguientes dos puntos:
1. Documentación del plan de contingencia: Es necesario elaborar el plan con el siguiente
contenido mínimo:
a. Objetivo del plan
b.
c.
d.
e.
f.
g.
Modo de ejecución
Tiempo de duración
Costes estimados
Recursos necesarios
Punto o evento del cual se pondrá en marcha el plan
Personas encargadas de llevar a cabo el plan y sus respectivas
responsabilidades
2. Validación del plan de contingencia: Es necesario que el plan sea validado por los
responsables de las áreas involucradas, además de tener en cuenta las posibles
consecuencias jurídicas.
Pruebas de Viabilidad
1. Definir y documentar las pruebas del plan: Es prioritario definir las pruebas del plan y el
personal/recursos necesarios para su realización.
2. Obtener los recursos necesarios para las pruebas: Contar con los recursos para realizar
las pruebas, ya sean recursos físicos o de mano de obra para llevar a cabo las pruebas
necesarias.
3. Ejecutar las pruebas y documentarlas: Consiste en realizar las pruebas pertinentes para
intentar valorar el impacto real de un posible problema dentro de los escenarios
establecidos como posibles. La capacitación del equipo de contingencia y su
participación en pruebas son fundamentales para poner en evidencia posibles carencias
del plan.
4. Actualizar el plan de contingencia de acuerdo a los resultados obtenidos en las pruebas:
Se debe actualizar el plan de pruebas y retroalimentarlo con los resultados obtenidos.
Ejecución
En esta fase hay que tener muy presente que el plan no busca resolver la causa del problema,
sino asegurar la continuidad de las tareas críticas de la empresa.
Recuperación
Debido al siniestro los datos pudieron haber quedado desactualizados o corruptos, por lo cual
deben corregirse usando los procedimientos ya definidos previamente.
Una vez finalizado el plan, es conveniente elaborar un informe final con los resultados de su
ejecución cuyas conclusiones pueden servir para mejorar éste ante futuras nuevas
eventualidades.
Ejemplos
Amenaza: Amenaza Física a la organización
Impacto: Información inaccesible o que no sea fiable.
●
●
●
●
Daños en discos duros
Daño en los procesadores
Errores de funcionamiento de la memoria
Pérdida de Información
Descripción:
Hay que tener en cuenta que cuando existe acceso físico a un recurso ya no existe seguridad
sobre él. Supone entonces un gran riesgo y probablemente con un impacto muy alto.
Medidas técnicas:
● Verificación de puertos sin uso en un edificio
● Restricción de Acceso a cuarto de equipo
● Codificar/verificar radiaciones electromagnéticas dado que los datos podrían ser
escuchados
● Controlar, evaluar y controlar la seguridad física del edificio.
Acciones:
●
●
●
●
Contar con un Servicio de Recuperación para hacer que los datos inaccesibles vuelvan
a ser visibles.
Contar con respaldos diarios de la información.
Contar con aplicación de rastreo de equipos que no pertenezcan a la organización.
Minimizar el acceso físico al edificio y cuarto de equipo (Solo personas autorizadas).