Tema VI : parte III
Seguridad Física y Ambiental
Continuidad y Recuperación de
Desastres
Lic. Angel Baspineiro V.
Introducción: Objetivos del tema
• Conocer los riesgos asociados a amenazas físicas y
ambientales a centros de cómputo o sala de servidores
• Precisar las posibles contramedidas contra amenazas físicas
o de acceso físico.
• Precisar las posibles contramedidas contra amenazas
ambientales
• Conocer el proceso para la conformación de un plan de
continuidad del negocio(BCP) y recuperación de desastres
(DRP)
• Precisar las variables que intervienen en la elección de
alternativas para BCP/DRP
• Conocer la importancia de hacer BCP & DRP.
2
Tema VI:Angel Baspineiro V. 2008
Cuáles son los riesgos de la falta de seguridad física y
ambiental ?
Areas Inseguras
• Acceso no
autorizado
• Daños e
interferencias a
instalaciones e
información
Equipamiento no
protegido
Peligros del
entorno
• Pérdidas
• Daños
• Interrupción de
las actividades
• Acceso no
autorizado a los
datos
• Robo
• Incendio
• Explosivos
• Humo
• Agua
• Polvo
• Vibraciones
• Efectos químicos
• Interferencia del
suministro de
energía eléctrica
• EMI
3
Tema VI:Angel Baspineiro V. 2008
Controles para exposiciones ambientales
•
•
•
•
•
•
•
•
•
•
•
•
•
Detectores de agua
Pisos falsos
Techos falsos
Extintores manuales de incendios
Alarmas de incendios
Detectores de humo
Sistemas de supresión de incendios
Ubicación estratégica de la sala de
servidores
Paredes a prueba de incendios
Estabilizadores, UPSs, UBSs
Orden en la sala de computo
Instalación eléctrica dedicada
Actividades no permitidas dentro
4
Tema VI:Angel Baspineiro V. 2008
Controles de acceso físico
• Posibles autores que podrían aprovechar la falta de control del acceso
físico
Empleados
Descontentos
•Con acceso
•Sin acceso
Personas ajenas
informadas
•Competencia
•Ladrones
•Crimen
organizado
•Hackers
Ignorante
accidental
•Empleado
•Persona ajena
Ex - empleados
5
Tema VI:Angel Baspineiro V. 2008
Controles de acceso físico
•
•
•
•
•
•
•
•
•
•
•
•
•
Cerraduras electrónicas
Cerraduras típicas
Cerraduras biométricas
Bitácoras o registros
manuales
Bitácoras electrónicas
Identificación (Ids con foto)
Guardias
Sistemas de vigilancia
3as. Personas con fianzas
Puertas esclusa
Acceso controlado de
terceros
Bloqueo de terminales
Punto único de entrada
controlado
Tema VI:Angel Baspineiro V. 2008
6
Que ambientes proteger desde una perspectiva de
Sistemas ?
•
•
•
•
•
•
•
•
•
•
•
•
•
Sala de Servidores
Area de desarrollo de software
Terminales de administración
Mediotecas
Sitios de almacenamiento de archivos
Sitios de almacenamiento de insumos y
suministros
Armarios de conexiones
Equipos de red intermedios
Fuentes de energía
Sitios de eliminación de basura
Portátiles
Impresoras corporativas (copiadoras)
entre otros ..
7
Tema VI:Angel Baspineiro V. 2008
Introducción: Cuáles son los riesgos de no hacer BCP /DRP?
Incapacidad
de competir
Pérdidas
financieras
Sanciones
monetarias
Pérdida de
oportunidades
de negocio
Procesos
legales por
incumplimiento
de contratos
Pérdida de
credibilidad
Imposibilidad
de dar
servicio
Salida del
Negocio
8
Tema VI:Angel Baspineiro V. 2008
Introducción: Conceptos previos
“La continuidad del negocio es la
definición de los controles necesarios
para prevenir, detectar, actuar y
corregirse de un desastre o evento que
podría interrumpir las operaciones
críticas del negocio” ISACA.
BCP (planificación de la
continuidad) es un término
utilizado para referirse a las
actividades preventivas antes del
desastre.
DPR (Plan de recuperación de
desastres) es un término que se
asocia mas a las actividades
reactivas una vez ocurrido el
desastre.
9
Tema VI:Angel Baspineiro V. 2008
BCP en términos genéricos
• Considera:
– Procesos u operaciones
clave para la
supervivencia de la
organización
– RRHH y materiales que
soportan los anteriores
– Funciones y activos
para seguir siendo una
organización viable
– Instalaciones alternas
equipadas
debidamente (Relación
costo vs beneficio)
BCP
Corporativo
BCP / DRP
para sistemas
de
información
Amenazas
Análisis de
Riesgos
Posibilidad de
ocurrencia
Impacto
Activos
Valor del
activo
10
Tema VI:Angel Baspineiro V. 2008
Taxonomía de un desastre?
Horas a días
Son
interrupciones
Impacto
negativo
Clasificación
en base a
riesgos
Eventos
naturales
desastre
Causas
artificiales
Servicios ya no
proporcionados
premeditados
11
Tema VI:Angel Baspineiro V. 2008
Proceso de BCP
Crear la política de BCP / DRP
Análisis de impacto sobre el negocio
Clasificación de las operaciones y nivel de criticidad
Estrategia de recuperación
Desarrollo BCP /DRP
LOGROS
•Plan probado,
documentado, bien
diseñado, financiado y
auditado
• Adecuada administración
de incidentes y copias de
respaldo
•Personal capacitado
Entrenamiento y concientización
Prueba e implementación del plan
Mantenimiento
12
Tema VI:Angel Baspineiro V. 2008
Proceso BCP
• No todo incidente o desastre amerita iniciar BCP:
• Clasificación:
– Sin importancia
– Eventos menores
– Incidentes mayores
– Crisis
• Los dos primeros no siempre ameritan BCP
• Todo incidente debe ser clasificado, seguido y
documentado.
13
Tema VI:Angel Baspineiro V. 2008
Proceso BCP : Análisis de impacto sobre el negocio
• Determinación de
procesos críticos
• Determinación de los
recursos de TI
asociados a estos
procesos Recursos
críticos
• Determinación del
período crítico de
tiempo de recuperación
– Costo improductivo vs.
Costo de estrategia de
corrección
14
Tema VI:Angel Baspineiro V. 2008
Proceso BCP: Clasificación de criticidad de las
operaciones
Crítico
No reemplazables
por métodos
manuales
Costo de
interrupción muy
alto
Se requiere
reemplazar la
aplicación por
capacidades
idénticas
Vital
Reemplazables
manualmente por
un corto tiempo
Costo de
interrupción un
poco mas bajo
Restaurables en 5
días o menos
Sensitivo
Reemplazables
manualmente por
períodos largos
Costo de
interrupción
tolerable
Requiere mas
trabajo y personal
No
crítico:
Pueden ser
interrumpidos por
largo tiempo
Costo nulo o
pequeño
Poco esfuerzo para
ponerse al día
15
Tema VI:Angel Baspineiro V. 2008
Estrategias de recuperación
Objetivo de punto
de recuperación
(DATA)
Objetivo de tiempo
de recuperación
Desastre
(Tiempo
improductivo)
tiempo
Mejor estrategia = Combinación de tiempo aceptable de recuperación e impacto posible
Soluciones
Hot sites
Backups
Warm sites
Mirroring
Cold Sites
Clustering
Instalaciones duplicadas
Redundancia de canales
Sitios móviles
RAID
Acuerdos recíprocos
Seguros
Tema VI:Angel Baspineiro V. 2008
16
Proceso BCP : Pruebas y Mantenimiento
• Prueba del plan
– Que se probará
– Ejecutar la prueba
• Prueba de papel
• Prueba Piloto : Simulacro parcial
• Prueba a gran escala : Simulacro del desastre
– Documentar resultados
– Tomar métricas
• Mantenimiento
– Mejora continua y adecuación a cambios del entorno de
los procesos críticos considerados.
17
Tema VI:Angel Baspineiro V. 2008
0
