Apuntes sobre continuidad del negocio

Hace tan solo unos días, la comunidad de profesionales de la continuidad del negocio y la resiliencia organizacional en Latinoamérica fue testigo de un congreso sin precedentes —y no exagero— por tres razones: fue desarrollado 100% en línea, fue totalmente gratuito, y fue la primera vez que en un foro latinoamericano se habló acerca del nuevo enfoque para la gestión de la continuidad del negocio, Adaptive Business Continuity. Todas las conferencias están disponibles en el canal de YouTube del hombre detrás de esta iniciativa, Timothé Graziani , quien accedió además a darme una breve entrevista. Las conferencias grabadas están disponibles aquí:  https://www.youtube.com/channel/UCTeh22vDn6i9PmCauknQLzQ/videos Tim, ¿qué significó para ti haber llevado a cabo RESILIENCIA LATAM 2020 este año, en lo profesional y en lo personal? Creamos esta iniciativa en 2018 con el primer evento dedicado al tema de resiliencia organizacional en América Latina: “Resiliencia RD” (República Dominicana). ...

Acorde con la práctica estándar, las organizaciones determinan sus prioridades y requerimientos para el programa de continuidad del negocio, como parte del proceso de análisis de impacto o business impact analysis (BIA). Desde 2006 se introdujo un concepto para ayudar a determinar cómo debían priorizarse las actividades de las empresas ante un evento de interrupción y bajo qué condiciones estas debían ser recuperadas: el período máximo tolerable de interrupción o maximum tolerable period of disruption (MTPD). Image:  https://www.nbcnews.com/news/us-news/ditch-switch-call-go-permanent-daylight-saving-time-grows-n1043051 Según la norma internacional ISO 22301:2019, el MTPD es el período de tiempo dentro del cual, si no se pudieran reanudar las actividades, los impactos llegarían a ser inaceptables para la organización ; amenazando su supervivencia o haciendo que sus objetivos ya no sean alcanzables. Para poder identificar el MTPD para cada actividad, la organización debe decid...

Aquí les comparto el escaneado del  borrador de la especificación técnica ISO 22317:2015   Seguridad de la Sociedad - Sistemas de gestión de continuidad de negocios - Análisis de Impacto al Negocio (BIA) . En la primera página se menciona que corresponde a una propuesta para la primera versión, fechada en diciembre de 2014. Fuente : International Organization for Standardization [ISO]. (2015).  ISO/DIS 22317:2015 Societal security — Business continuity management systems  —  Business Impact Analysis (Draft) .  Ginebra, Suiza: Autor.  Recuperado de  http://www.iso.org/iso/catalogue_detail.htm?csnumber=50054  

El especialista en seguridad de información y continuidad del negocio, Manuel Benet , escribió un par de post enfocados a aspectos clave del Análisis de Impacto al Negocio (BIA), específicamente sobre la determinación del tiempo de recuperación de las actividades críticas  — aquel a partir del cual la interrupción de una actividad tiene un impacto grave para la continuidad del negocio — . La evolución de una actividad interrumpida vendrá determinada por dos características: una fase inicial en la que la relación se mantiene cercana a un modelo lineal, seguida de un modelo más similar a una curva exponencial que representa la aceleración del impacto, seguida por una fase final de estabilización. Este modelo corresponde a la curva logística. Como primera conclusión, de acuerdo con Benet, "es de vital importancia conocer no sólo el punto crítico, sino en qué medida evoluciona un proceso o actividad tras una contingencia", lo que puede determinar el margen de error tolerable ...

Aquí les comparto el escaneado del  borrador de la norma ISO 22398:2011   Seguridad de la Sociedad - Lineamientos y guías para ejercicios y pruebas . En la primera página se menciona que corresponde a una propuesta para la primera versión, fechada en diciembre de 2011. Fuentes : International Organization for Standardization [ISO]. (2011). ISO/DIS 22398: Societal security — Guidelines for exercises and testing (Draft) . Ginebra, Suiza: Autor. EPS. (2011). Exercising Guidance is about to go Global (ISO 22398) . Recuperado de  http://emergencyplanningsolutions.com/e-zine/146-exercising-guidance-is-about-to-go-global-iso-22398

El sitio web 27001Academy publicó hace un tiempo este diagrama que muestra los pasos para la implementación y la certificación en ISO 22301: Fuente : 27001Academy. (2012).  Diagrama del proceso de implementación de ISO 22301 . Recuperado de http://advisera.com/27001academy/es/descargas-gratuitas/

En un post anterior , habíamos comentado acerca de la documentación propia de la gestión de continuidad del negocio que debe mantenerse, permitiendo así (a) gestionar el programa de continuidad de manera efectiva; (b) demostrar y evidenciar dicha efectividad; y (c) permitir una respuesta oportuna y eficaz ante un incidente de interrupción. El especialista en continuidad de negocios y seguridad de la información,  Dejan Kosutic , preparó una compilación de los documentos (registros) a mantener siguiendo estrictamente los lineamientos de la norma ISO 22301, a fin de gestionar adecuadamente el SGCN (sistema de gestión de continuidad del negocio): Procedimiento para la identificación de los requisitos legales y regulatorios aplicables (cláusula 4.2.2) - define quién es responsable de su cumplimiento. Lista de requisitos legales, regulatorios y otros similares (cláusula 4.2.2) - enumera todo lo que debe cumplirse. Alcance del SGCN y sustento de las exclusiones (cláusula ...

La resiliencia como capacidad física y social que se estudia interdisciplinariamente y que permite a las personas, familias, organizaciones y sociedades reducir la probabilidad de pérdida de la funcionalidad, responder de manera adecuada a los daños y recuperar de oportunamente la operatividad; es el último estadío evolutivo en la disciplina del business continuity . El artículo de César Cárdenas para la edición de agosto de la revista "G" de Gestión nos ilustra más allá de la resiliencia organizacional; nos encara con una necesidad global cada vez más crítica no solo para las empresas, sino para los gobiernos y la sociedad misma: ir más allá de la prevención, garantizando la adaptabilidad, la recuperabilidad de la normalidad y la continuidad de las operaciones. Fuente : Cárdenas, C. (2014, agosto). La organización resiliente . Revista "G" de Gestión. N.° 45, pp. 58-60.

A diferencia del estándar británico BS 25999:2007 , su sucesor ISO 22301:2012  establece que una organización debe contar con procedimientos documentados para restaurar y volver a las operaciones normales después de una interrupción del negocio (cláusula 8.4.5). ¿Es posible documentar —por adelantado— estos procedimientos considerando que el retorno a la normalidad dependerá de la severidad de los daños ocasionados por el incidente y que podría requerirse reconstruir parte de (o toda) la infraestructura? El proceso de retorno a condiciones normales es la parte de la planificación de continuidad de negocios que la mayoría de las organizaciones tienden a subestimar. Podría ser tan simple como enviar un comunicado y redirigir / redireccionar los recursos críticos del plan de continuidad de nuevo a la localización regular, o tan complicado como la reconstrucción de la infraestructura regular. Por ejemplo, en lo que respecta al Plan de Recuperación Tecnológica o IT Disaster R...

Ya se encuentra disponible el material de la edición del 2013 de la "BCM World Conference & Exhibition", uno de los eventos anuales más importantes de la comunidad internacional de profesionales en continuidad de negocios y disaster recovery . Los papers y presentaciones pueden ser descargadas desde el enlace:  http://www.bcm2013.com/index.php?option=com_content&view=article&id=175&Itemid=234

La cláusula 5.2 del estándar ISO 22301 establece que  “the BCMS is compatible with the strategic direction of the organization” . En un reciente artículo de Dejan Kosutic, se concluye que uno de los mecanismos que nos permiten lograrlo es contar con una  política o directiva  que —formalmente documentada y aprobada— sirva de enlace entre la alta dirección y el programa de continuidad del negocio. ¿Para qué? En primer lugar, la alta dirección deberá definir lo que quiere lograr con la continuidad del negocio — nadie le toma importancia a aquello que no desea—. En muchos casos, los altos ejecutivos no tienen idea de cómo la continuidad del negocio puede ayudar a sus empresas, por lo que no encuentran ninguna razón (motivación) para dar soporte —ni muchos menos para auspiciar— las iniciativas y esfuerzos relacionados con el programa de continuidad. En segundo término, la alta dirección necesita un documento fácil de entender, y que le permita controlar todo lo que su...

Hace unos meses, Dejan Kosutic enfatizó en la importancia de determinar la frecuencia de las copias de respaldo ( backups ) en el artículo " Backup policy – How to determine backup frequency " que escribió para su blog . En resumen, el análisis que se requiere para determinar esta frecuencia debe basarse en el valor que los datos en cuestión aportan al negocio. Para responder a la pregunta "¿Cuánta información se puede tolerar perder?", se debe determinar la variable denominada Máxima Pérdida de Datos o RPO (Recovery Point Objetive) , definida por la ISO 22301 como “ the point to which information used by an activity must be restored to enable the activity to operate on resumption ”. El mejor momento para hacerlo es durante el Análisis de Impacto al Negocio o BIA (Business Impact Analysis) . Se deberá pedir a los usuarios que listen todas sus bases de datos, aplicaciones y archivos, así como sus servicios (como el correo electrónico), etc., y para cada uno ...

El argentino Julio César Balderrama , consultor senior en Continuidad del Negocio y Seguridad de la Información, publicó la conferencia que dio para ADACSI / ISACA Buenos Aires Chapter, acerca del Sistema de Gestión de la Continuidad del Negocio (SGCN), en mayo de 2012:

No podía ser de otra forma. En la semana de la Continuidad del Negocio , el  Business Continuity Institute  (BCI) publicó  la  edición correspondiente al primer trimestre del año  de la  revista  Continuity . Aquí, un extracto del índice: A scientific approach to disaster response Continuity conversó con Sir John Beddington, asesor en jefe del gobierno británico , acerca de las estrategias de respuesta a eventos de desastre. BCM Bureau ¿Estarán invirtiendo, las organizaciones, suficiente tiempo y esfuerzo para evaluar la competencia general de sus equipos de gestión de continuidad del negocio? Identifying key suppliers – a risky business Steve Wicks insta a las empresas no solo a identificar a sus proveedores críticos, sino también a conocer cuáles son sus perfiles de riesgo. Bridging the gap Nigel Allen revisó los hallazgos de un estudio reciente acerca de la cobertura de seguros de la cadena de suministro conducido por Airmi...

Aquí les comparto el escaneado del  borrador de la norma ISO 22301:2012   Seguridad de la Sociedad: Sistemas de Continuidad del Negocio - Requisitos . En la primera página menciona corresponder a la primera edición, con fecha 15 de mayo de 2012.

Vodafone, compañía multinacional con sede en Reino Unido, es un operador de telefonía móvil, fija y de ADSL que opera en más de 28 países del mundo. Roger McLoughlin, Gestor de Continuidad del Negocio de la gigante de las telecomunicaciones, compartió hace poco su experiencia en el proceso de certificación en el estándar ISO 22301. Según comentó, el proyecto tuvo una duración de nueves meses, desde la primera revisión del FDIS ( Final Draft International Standard ) hasta la realización de la auditoría formal, más otros dos meses hasta obtener la confirmación de que ya estaban certificados. Vodafone ya contaba con la certificación BS 25999, desde el año 2008, así que la auditoría fue conducida para migrar al nuevo ISO 22301, específicamente. Los principales aspectos que tuvieron que ser cambiados, corregidos o vueltos a hacer fueron:  Integración entre la gestión de riesgos y la gestión de la continuidad del negocio (con vínculos a...

A todos nos gustan las infografías, ¿cierto? Pues aquí comparto la publicada en el sitio web ISO 27001 & ISO 22301 , que explica de manera muy ilustrativa las semejanzas y diferencias entre la norma ISO 22301 y su predecesora, la BS 25999-2. Fuente : Kosutic, D. (2012). ISO 22301 vs. BS 25999-2 – Infografía . ISO 27001 & ISO 22301. Recuperado de http://blog.iso27001standard.com/es/2012/05/22/iso-22301-vs-bs-25999-2-infografia/

Dejan Kosutic (2012) respondió a la pregunta "¿Cómo encaja la continuidad del negocio en la gestión corporativa?", indicando que la continuidad del negocio es parte de la gestión integral de riesgos en una compañía y que tiene áreas superpuestas con la gestión de seguridad y tecnologías de la información. El diagrama habla por sí solo. Fuente : Kosutic, D. (2012). Conceptos básicos sobre ISO 22301 . Recuperado de http://www.iso27001standard.com/index.php?option=com_content&view=article&id=421:sto-je-iso-22301&catid=9

Jorge García Carnicero   compartió en el ISO 22301 Spanish Group , hace unos días, un interesante artículo acerca del apetito de riesgo ( risk appetite ) en el contexto de la continuidad del negocio, bajo el nuevo marco normativo de la ISO 22301. Desde la perspectiva del riesgo operacional , según mi colega Renzo Vásquez, el apetito es la cantidad de riesgo tratado que la organización está dispuesta y preparada a asumir o retener. Dicho apetito va a responder a varias métricas —las que sean importantes para la alta dirección—; no siendo todas, necesariamente, cuantitativas, sino que también pueden considerarse las de medición cualitativa. Por otro lado, estos niveles de aceptabilidad de riesgo deben ser revisados periódicamente. Zawada y Rupert (2012) opinaban que la integración de este concepto en el sistema de gestión de la continuidad del negocio era necesaria por dos razones: La organización debe establecer su apetito para todos los tipos de riesgos a los que es...

Este mes, Andrew MacLeod, consultor de Needhams 1834 (Inglaterra) —un proveedor independiente líder en gestión de riesgos y consultoría en continuidad de negocios, planeamiento y servicios de entrenamiento— compartió las experiencias vividas como parte del proceso de certificación de Needhams al estándar publicado en el mes de mayo, ISO 22301:2012 Societal security – Business continuity management systems – Requirements . MacLeod enfatizó la importancia de contar con acompañamiento de auditores independientes experimentados no necesariamente en certificaciones ISO 22301 —dada su reciente publicación—, sino en procesos de certificación ISO en general. Para Needhams, el proceso se desarrolló en dos etapas: (1) revisión de la documentación del sistema de gestión de continuidad del negocio (BCMS - business continuity management system ); y (2) confirmación de cómo este sistema de gestión se encontraba articulado y cómo estaba siendo implementado. Algunos de los...