Apuntes sobre continuidad del negocio

APM Terminals Callao (APMTC) es el concesionario del Terminal Norte Multipropósito del Puerto del Callao (conocido como el Muelle Norte del Callao), para carga marítima general, que opera en el país desde el año 2016. El antepuerto de contenedores tiene 18,281 metros cuadrados y cuenta con un espacio de estacionamiento para 168 camiones en la entrada, y para 72 camiones en la salida. El ataque El pasado 27 de junio, el operador portuario fue víctima del ataque cibernético mundial que sufrió la casa matriz del grupo Maersk (Dinamarca), a la que pertenece. El ataque global de ransomware denominado "Petya" llegó a los servidores en Europa e India, afectando a todas las unidades de negocio de Maersk, incluyendo el transporte de contenedores, las operaciones portuarias y remolcadoras, la producción de petróleo y gas, los servicios de perforación y los petroleros, a nivel mundial. El malware se extendió a través de las operaciones globales de la compañía, llegando a impac...

El año pasado (2016) tuve la oportunidad de conocer de cerca la iniciativa del Ministerio de Salud y la OPS/OMS  (Organización Panamericana de la Salud) para elaborar el documento técnico de trabajo denominado Plan de Contingencia del Sector Salud ante un Sismo de Gran Magnitud en Lima Metropolitana y en las Regiones del Callao y Lima  2016 . Esta iniciativa responde a la necesidad de contar con un instrumento operativo para organizar la respuesta de los diferentes componentes del sector salud y de sus establecimientos, dentro de las primeras 72 horas posteriores a la ocurrencia de un gran sismo y tsunami que afecte en forma directa a Lima Metropolitana y a las regiones de Lima y Callao. El plan determina las responsabilidades y acciones que se deben implementar para la alerta, coordinación, respuesta, movilización de recursos y asegurar la continuidad operativa de las organizaciones de salud responsables de la primera respuesta. Las acciones previstas en el plan se debe...

Un interesante artículo en el blog IBM Business Insight  explicaba una estrategia preventiva de continuidad de negocios, con el título de " Un enfoque de monitoreo remoto y mantenimiento automatizado es mejor que una póliza de seguro ". Hoy en día, proveedores de servicios como IBM ya ofrecen la posibilidad de monitorear y dar mantenimiento a los servidores, las PCs y otros componentes de la infraestructura de las empresas, e intervenir para reparar cualquier falla antes de que interrumpan la operativa del negocio. Si bien los fundamentos tecnológicos en los que esta estrategia se soporta no son nuevos —desde hace más de una década, las PCs, servidores y otros dispositivos de hardware ofrecen la opción de acceso remoto y pueden ser configurados de forma segura para permitir la administración remota—, su aplicación es cada vez más utilizada y valorada a fin de garantizar la continuidad operativa como parte de la gestión de la continuidad del negocio. Fuente : Busine...

Dado que la pérdida de datos está estrechamente ligada a la continuidad del negocio, Ignacio José Hernández en su texto escrito en 2005 brinda una explicación detallada de, por un lado, el concepto de plan de contingencia , y por otro de las políticas de copias de seguridad ( backups ), uno de los requisitos clave dentro del proceso de continuidad de los sistemas de información ( disaster recovery plan ). Hernández indica que todo plan de contingencia debe contemplar una política de  backup , en la se debe establecer lo que se debe respaldar, cómo y dónde hacerlo, y cómo recuperar la información. Mientras mayor sea el volumen de datos a respaldar, el proceso presentará mayores dificultades; en ese sentido, se deberá tener claro aspectos como:   • Riesgos a los que se enfrenta la integridad y conservación de la información a respaldar.   • Importancia de la información a respaldar.   • Tipos de backup : copias de todo lo que hay en el origen ( full backups ), co...

Tim Worstall escribió hace un tiempo un artículo para la sección de Tecnología de la conocida revista de finanzas  Forbes , acerca de la peor interrupción de servicios informáticos en el sistema financiero del Reino Unido, ocurrida entre junio y julio de 2012, en la que fueron afectados el NatWest Bank y el Ulster Bank , así como su grupo financiero, el  Royal Bank of Scotland  ( RBS ). El National Westminster Bank ( NatWest ) es el mayor banco minorista y comercial en el Reino Unido, y uno de los 10 bancos más grandes del mundo (por activos), con una red de 1,400 sucursales y 3,400 cajeros automáticos en toda Gran Bretaña; con más de 7.5 millones de clientes personales y 850,000 cuentas de pequeñas empresas. Por su parte, el Ulster Bank tiene 146 sucursales en la República de Irlanda y 90 en Irlanda del Norte y más de 1,200 cajeros automáticos, más de 3,000 empleados y más de 1.9 millones de clientes. De acuerdo con el informe hecho público por RBS en marz...

La reflexión de Jim Mitchell  en su artículo  Business Continuity and Disaster Recovery: Big Tent, or Separate Umbrellas , es en realidad una crónica del origen y evolución de ambos términos, así como una crítica a las concepciones separatistas de estos dos componentes que en realidad tienen que hacer sinergia y buscar ser complementos, uno del otro, para asegurar la resiliencia organizacional. El término disaster recovery o 'recuperación ante desastres' comúnmente se utiliza para definir "los procesos, políticas y procedimientos relacionados con la preparación para la recuperación de la infraestructura tecnológica crítica para una organización después de un desastre natural o provocado por el hombre". Por otro lado, el término business continuity  define la continuidad del negocio como la "capacidad de la organización para continuar la entrega de productos o servicios en los niveles predefinidos aceptables después de un incidente de interrupción". ...

A partir de una investigación de  Forrester Research  del 2011, la especialista Rachel A. Dines planteó 10 consejos para mejorar el programa de ejercicios de recuperación ante desastres (TI): Defina por adelantado los objetivos específicos de los ejercicios Incluya a los dueños y/o alta dirección Rote las responsabilidades del personal técnico Desarrolle situaciones de riesgo más específicas para sus ejercicios Realice ejercicios conjuntos entre los equipos de DR (TI) y los equipos de BC (negocio) Varíe los tipos de ejercicios: desde pruebas técnicas hasta tutoriales Asegúrese de probar toda la infraestructura de TI simultáneamente al menos una vez por año Seleccione cuidadosamente a los miembros del equipo de respuesta principal Aprenda de sus errores Informe los resultados a los dueños y/o alta dirección Fuente : Dines, Rachel. (2011). Con los ejercicios de recuperación  ante desastres, no se alcanza  la línea de llegada . Forrester. Recuperado de h...

Hace casi dos años, Jorge Garcia Carnicero escribía sobre sus primeras apreciaciones acerca del Disaster Recovery as a Service (DRaaS), las que podríamos resumir en: Se trata de una variante de los servicios en la nube Debido a la tecnología subyacente de virtualización , los servicios se prestan de forma agnóstica a la infraestructura Sus beneficios son: ahorro de costos, simplicidad en las pruebas y flexibilidad Al igual que ocurre con los servicios de cloud , es posible implementar una combinación de soluciones en la nube con soluciones de respaldo tradicionales ( cloud híbrida) Fuentes : García, J. (2012, diciembre). DRaaS ¿solución real o cuatro letras de moda? Recuperado de http://continuidadnoesseguridad.blogspot.com.es/2012/12/draas-solucion-real-o-cuatro-letras-de.html

Disaster Recovery as a Service (DRaaS) o cloud disaster recovery es la estrategia de recuperación de los servicios de TI que sobrepasa las limitaciones de las opciones tradicionales, aprovechando las ventajas de la  computación en la nube  ( cloud computing ). El acrónimo "as a Service" ( X aaS)  se refiere a cualquier servicio prestado a través de Internet —y facturado según su demanda o consumo— que tradicionalmente había sido implementado de forma "local" o in-house ; es decir, es la esencia de la computación en la nube. La tecnología adoptada por los proveedores de servicios "en la nube", que facilitó su desarrollo y actualmente soporta su funcionamiento, se llama virtualización  —la abstracción de un recurso físico de una computadora, permitiendo dividir dicho recurso en uno o más entornos "virtuales" de ejecución—. Mientras que la virtualización es " software que manipula el hardware " para lograr eficiencias y economías en e...

La Asociación de la Industria de Valores y Mercados Financieros ( SIFMA ) representa a las sociedades comerciales de valores, bancos y empresas de gestión de activos de los Estados Unidos, y cuenta con oficinas en Nueva York y Washington, DC. Acorde con su propósito, SIFMA promueve y coordina la preparación de sus representadas ante posibles desastres; en este sentido, mantiene una sección de su sitio web , con información, material y directivas para la respuesta a emergencias a nivel sector, así como diversas modalidades de ejercicios y pruebas de los planes de continuidad. Fuente : Sifma. (2014). Business Continuity Planning . Recuperado de http://www.sifma.org/services/bcp/business-continuity-planning/

En un artículo para Forrester Research , Stephanie Balaouras  compartió aspectos clave para determinar el nivel de madurez de la planificación de la recuperación ante desastres para la infraestructura de TI. En general, lo que todos los estándares y guías de buenas prácticas recomiendan asegurar es: • Patrocinio y compromiso de la alta dirección • Personal que apoye el proceso • Un análisis de impacto al negocio (BIA) actualizado regularmente • Una evaluación de riesgos actualizada regularmente • Estrategias para mitigar los riesgos más probables y de alto impacto • Que estas estrategias estén documentadas en planes operativos • Que estos planes sean probados bajo una determinada frecuencia • Que estos planes sea actualizados continuamente • Entrenamiento y sensibilización • Coordinación con las iniciativas y lineamientos de Continuidad del Negocio Algunos indicadores clave que comúnmente se utilizan para medir el desempeño y predecir la efectividad del Plan de Re...

A partir de la publicación SP 800-34 :2010 del Instituto Nacional de Estándares y Tecnología ( NIST ), a continuación se resumen las actividades requeridas para el desarrollo del Plan de Recuperación de TI (o IT Disaster Recovery Plan ): El equipo de desarrollo del plan se debe reunir con el equipo interno a cargo de la infraestructura de TI, el equipo de aplicaciones (servidores y bases de datos), y los administradores de redes, y establecer el alcance de la contingencia tecnológica —por ejemplo, los componentes y recursos internos a considerar, así como los activos externos, los recursos de terceros, los enlaces a oficinas/clientes/proveedores, etc.—. Es importante mantener informada a la dirección del departamento de TI sobre los acuerdos y avances de estas reuniones. Recopilar todos los documentos relevantes de la infraestructura de TI, como los diagramas de las redes, la configuración de los servidores, equipos de comunicaciones y bases de datos. Obtener copias de ...

La selección de un sitio de contingencia para el data center (centro de cómputo) es una de las decisiones más importantes del proceso de planificación de la recuperación ante desastres . Se debe considerar cuidadosamente las necesidades específicas del negocio, así como los costos y capacidades que cada opción provee: a mayor inversión, mayor será la capacidad de reanudar más rápidamente las operaciones. Los planificadores deben considerar los objetivos del negocio y la necesidad real de una reanudación inmediata o casi inmediata de las operaciones, a partir de una evaluación de riesgos específica a las amenazas de interrupción a las que está expuesta la organización. Por ejemplo, las instituciones financieras, las prestadoras de servicios de salud y otras organizaciones altamente dependientes de la tecnología de la información pueden estar dispuestas a hacer fuertes inversiones para evitar tiempos de inactividad que podrían parecer exagerados para otro tipo de negocios. Entre las ...

En noviembre del 2013, IBM publicó un estudio acerca de los impactos financieros y reputacionales del riesgo de interrupción y fallas de la Tecnología de Información (TI). Como parte de la semana de la Continuidad del Negocio , el BCI la incluyó en su página de infografías recomendadas: Fuente : Business Continuity Institute [BCI]. (2014). Business continuity related infographics . Recuperado de  http://www.thebci.org/index.php/business-continuity-related-infographics

Ya vio la luz la publicación del  Disaster Recovery Institute International  (DRII): la  revista "Thrive! Iberoamérica" . En esta  última edición (volumen 2, número 4) , nos entregan tres interesantes artículos con el balance perfecto entre metodología y lecciones aprendidas en la práctica de  business continuity : La importancia de reaccionar oportunamente en cada etapa de una crisis (por Manuel Quesada, de México) La continuidad de mi negocio y de mis proveedores críticos (por Héctor Opazo, de Chile) Continuidad de los servicios TI — clave para la sobrevivencia de las organizaciones (por Sandra Camacho, de Colombia)

La duplicación de datos es una tecnología clave en la recuperación ante desastres y consiste en copiar datos de un lugar a otro —entre una ubicación primaria y una segunda ubicación externa— a través de una red de almacenamiento (SAN, storage area network ), una red LAN o una red WAN local para tener varias copias actualizadas de los datos. Existen dos tipos de productos de duplicación de datos: síncronos o asíncronos. La duplicación síncrona escribe datos en los sitios primario y secundario a la vez —es la opción más eficaz pero la más costosa—, mientras que con la duplicación asíncrona hay un retraso antes de que los datos se escriban en el sitio secundario —está diseñada para funcionar en largas distancias y necesita un ancho de banda menor—. La virtualización de servidores, integrada con la tecnología de duplicación de datos, eleva la eficiencia de la recuperación ante desastres ya que la virtualización reduce el número de servidores necesarios en el sitio secundario. Asimis...

Otra de Dilbert : esta vez, acerca del almacenamiento externo de datos ( offisite ).

IBM publicó hace unos meses un paper acerca de los riesgos de implementar y mantener una estrategia de recuperación ante desastres (TIC, DRP) por parte de las propias empresas, planteando o comparando la opción de tercerizarla. A partir de este estudio, desarrolló una infografía que resume los hallazgos, los cuales parecen concluir en que una mixtura de ambas formas de abordar la estrategia de recuperación de servicios de TI podría ser la más apropiada. Fuente : IBM. (2013). Disaster recovery strategy: Do-it-yourself or outsource?  IBM Continuity Services. Recuperado de http://www-935.ibm.com/services/us/gbs/bus/html/diy-disaster-recovery-infographic-drj.html

El almacenamiento externo de datos ( offsite data storage ) permite garantizar la viabilidad del negocio tras un incidente mayor que pueda destruir total o parcialmente la información crítica. Las opciones disponibles (más comunes) son: Almacenamiento externo ( offsite ) de cintas de respaldo (backup tapes) o discos duros —utilizando técnicas de "rotación" de medios de respaldo. Respaldo de datos en-línea ( online data backup ) —incluso a través de Internet. Replicación de servidores —respaldo casi contínuo desde el servidor/sitio principal a un sitio externo. Almacenamiento en la nube. Fuente : Forrester, I. (2012, julio). Don’t be left at cordon – Ensuring business continuity with Plan-B . Recuperado de  https://www-304.ibm.com/connections/blogs/businessinsight/entry/don_t_be_left_at_cordon_ensuring_business_continuity_with_plan_b100?lang=en_us