BIA: Consideraciones sobre los tiempos de recuperación #BusinessContinuity #DisasterRecovery

El especialista en seguridad de información y continuidad del negocio, Manuel Benet, escribió un par de post enfocados a aspectos clave del Análisis de Impacto al Negocio (BIA), específicamente sobre la determinación del tiempo de recuperación de las actividades críticas —aquel a partir del cual la interrupción de una actividad tiene un impacto grave para la continuidad del negocio—.

La evolución de una actividad interrumpida vendrá determinada por dos características: una fase inicial en la que la relación se mantiene cercana a un modelo lineal, seguida de un modelo más similar a una curva exponencial que representa la aceleración del impacto, seguida por una fase final de estabilización. Este modelo corresponde a la curva logística.

Como primera conclusión, de acuerdo con Benet, "es de vital importancia conocer no sólo el punto crítico, sino en qué medida evoluciona un proceso o actividad tras una contingencia", lo que puede determinar el margen de error tolerable al determinar los tiempos (que están determinados por el impacto máximo tolerable) y la irreversibilidad del incidente una vez superado el tiempo límite de recuperación (sin que ésta se produzca).

Evolución del impacto de diferentes actividades en un horizonte de tiempo

Por otro lado, el tiempo de recuperación no tiene porqué necesariamente ser el tiempo que transcurre desde la interrupción de la actividad hasta la recuperación total, sino que debe tomarse como el tiempo que transcurre desde la interrupción hasta que la actividad se recupera en los niveles establecidos por la organización, que en ocasiones será menos exigente para la organización y los recursos en los que descansa la actividad.

Ejemplo n.° 1

Ejemplo n.° 2

Como segunda conclusión, para cada actividad podríamos tener no solamente un único par  <tiempo de recuperación, nivel mínimo de funcionamiento de la actividad> cuyo incumplimiento tenga un impacto grave sobre la continuidad de la organización, sino también un conjunto de pares que recorrerán el nivel de funcionamiento de la actividad desde la tasa de actividad mínima imprescindible (40% por ejemplo) hasta el 100%, estableciendo para cada uno de ellos en cuánto tiempo como máximo debemos alcanzar dicho nivel de funcionamiento de la actividad.


Fuentes:
Benet, M. (2012, junio). Continuidad de Negocio: Análisis de Impacto sobre el Negocio: tiempos (I)
. Security Art Work. Recuperado de http://www.securityartwork.es/2012/06/20/continuidad-de-negocio-analisis-de-impacto-sobre-el-negocio-tiempos-i/
Benet, M. (2012, junio). Continuidad de Negocio: Análisis de Impacto sobre el Negocio: tiempos (II)
. Security Art Work. Recuperado de http://www.securityartwork.es/2012/06/22/continuidad-de-negocio-analisis-de-impacto-sobre-el-negocio-tiempos-ii/