Apuntes sobre continuidad del negocio

La continuidad operativa en instituciones de salud cobra vital importancia, de cara a la protección de la prestación de los servicios médicos y la disponibilidad de los datos críticos cuando más se necesitan, ante la ocurrencia de una interrupción severa o un desastre. A continuación, les dejo los enlaces a los posts de la serie  #BusinessContinuity en servicios de salud #Healthcare , publicadas en este blog entre septiembre de 2015 y abril de 2016: Enfoque para la planificación de continuidad ¿Un plan aparte para la gripe aviar? Programa de pruebas y ejercicios Desde dónde supervisar el plan de continuidad La dependencia de los sistemas de información Indisponibilidad de TI Falta de historias clínicas en situaciones de emergencia Cuán crítica es la interrupción de la atención de emergencias

La preparación ante desastres es más compleja en el rubro de salud que en otras industrias, ya que implica la planificación de la continuidad y la recuperación, además de la gestión tradicional de la respuesta a emergencias. La Joint Commission on Accreditation of Healthcare Organizations ( JCAHO ) define una emergencia como "un evento natural o de origen humano que súbita o significativamente interrumpe el entorno de la atención; interrumpe el cuidado y tratamiento; o cambia o aumenta la demanda de servicios de las instituciones de salud". Durante años, estas instituciones han sido conscientes de la necesidad de planificar y poner a prueba su capacidad para continuar con la atención médica en casos de emergencia. Esta planificación se debe enfocar en la restauración de los servicios críticos de inmediato, incluyendo los sistemas de comunicación y el acceso a la información del paciente. Se esperaría que las "operaciones de rutina" se interrumpan; sin embargo,...

Tener acceso a las historias clínicas puede ser crítico en una situación de emergencia (por ejemplo, para conocer posibles alergias a medicamentos y/o alimentos, medicaciones actuales que podrían restringir ciertas medidas de emergencia, solicitudes de testamento vital , etc.). Tener acceso a la información en una situación de emergencia puede ser una cuestión de vida o muerte. Las organizaciones deben tener mecanismos para poder acceder a la información histórica sobre un paciente, ya sea a través de familiares, centros médicos o consultorios médicos, registros en papel u otros medios. Otras opciones pueden ser el uso de medidas de emergencia menos propensas a contravenir con otros medicamentos o tratamientos que el paciente esté usando en ese momento. Las instituciones de salud también deben contar con protocolos para el envío de pedidos a farmacia y de muestras al laboratorio. Un medio alternativo de comunicación será fundamental, ya sea interno o externa. Ver los demás  ...

En las instituciones de salud la dependencia de la tecnología aumenta el riesgo drásticamente. La disponibilidad de información implica mucho más que poder seguir procesando datos en caso de un desastre. Estas organizaciones tienen que asegurar sus operaciones, y considerar el impacto en su capacidad para brindar una atención de calidad al paciente. Para mitigar el riesgo, estas deben tener en cuenta: tener personas disponibles para operar en un entorno totalmente manual, sin dejar el cuidado del paciente; cómo la institución puede aprovechar la existencia de aplicaciones empresariales para crear procedimientos manuales estandarizados y controlados; desarrollar procesos y procedimientos para guiar las operaciones en contingencia ante la indisponibilidad de la TI; desarrollar controles generales de TI adecuados para garantizar que los cambios en los sistemas no causen interrupciones; y cómo el cumplimiento de las regulaciones y los requisitos de facturación podría ve...

La automatización de procesos a través de las tecnologías de la información, en el rubro de la asistencia sanitaria, hoy en día, va más allá de la facturación, las compras, la nómina y la contabilidad. El enfoque de la contingencia tecnológica ahora también incluye, por ejemplo, la administración de los registros e historias clínicas, la programación del mantenimiento de los equipos y la infraestructura, la dispensación de medicamentos, así como las soluciones de digitalización de imágenes  — todos estos aspectos con impacto directo en la atención del paciente — . Una planificación inadecuada de la disponibilidad de información genera gastos y pérdidas asociadas a la facturación, la cobranza o incluso la reputación de la organización. A medida que las instituciones de salud se vuelven más dependientes de los sistemas automatizados para las tareas del día a día, se vuelven también menos conscientes (y menos preparados para utilizar) procedimientos manuales e información de los ...

El especialista en Tecnologías de la Información,  Brian Vandegrift , nos habla durante 4 minutos acerca de la relación entre las variables (umbrales) relacionadas con el plan de recuperación del negocio, el  Tiempo de Recuperación Objetivo (RTO) y el  Punto Objetivo de Recuperación (RPO), y su efecto en el desarrollo del plan. Podemos añadir que, para establecer el RPO también tenemos que considerar el tiempo que se requiere para que las copias de seguridad puedan ser restauradas. Por su parte, para determinar el RTO se puede incluir el tiempo para introducir manualmente los datos perdidos desde la última copia de seguridad una vez que los sistemas ya están disponibles. Fuente : Vandegrift, B. (2010). RTO vs RPO . Recuperado de  https://www.youtube.com/watch?v=SeS6ke3B4Tg

Dado que la pérdida de datos está estrechamente ligada a la continuidad del negocio, Ignacio José Hernández en su texto escrito en 2005 brinda una explicación detallada de, por un lado, el concepto de plan de contingencia , y por otro de las políticas de copias de seguridad ( backups ), uno de los requisitos clave dentro del proceso de continuidad de los sistemas de información ( disaster recovery plan ). Hernández indica que todo plan de contingencia debe contemplar una política de  backup , en la se debe establecer lo que se debe respaldar, cómo y dónde hacerlo, y cómo recuperar la información. Mientras mayor sea el volumen de datos a respaldar, el proceso presentará mayores dificultades; en ese sentido, se deberá tener claro aspectos como:   • Riesgos a los que se enfrenta la integridad y conservación de la información a respaldar.   • Importancia de la información a respaldar.   • Tipos de backup : copias de todo lo que hay en el origen ( full backups ), co...

Históricamente, el patrocinador ( sponsor ) del plan de continuidad de negocio normalmente estaba en el área de Tecnología de la Información (TI); la razón era que los antiguos programas de recuperación ante desastres se centraban en las copias de seguridad ( backups ) y restauración de datos de mainframes y servidores. Las empresas de salud están adoptando poco a poco las buenas prácticas de trasladar la propiedad de la continuidad de negocios a las propias unidades de negocio. Este cambio ya se ha producido, en gran medida, en los servicios financieros, retail y manufactura. Otras organizaciones sitúan al gerente de continuidad de negocios dentro del área de Mantenimiento, Servicios Generales o Infraestructura , donde la preocupación está dirigida principalmente hacia los edificios y el equipamiento; o lo sitúan en Finanzas , donde es visto como una extensión del programa de gestión de riesgos y seguros. Ver los demás  posts  de la serie: * Parte I:  Enfoque ...

Según la JCAHO ( Joint Commission on the Accreditation of Healthcare Organizations ), se requiere que los proveedores de salud realicen simulacros de desastres internos y externos centrados en la atención de los pacientes. Estas pruebas forman parte de la respuesta ante emergencias dentro del plan de continuidad, e incluyen ejercicios para departamentos o unidades específicas (tales como la Sala de Emergencias, la Sala de Operaciones o los consultorios clínicos), el uso de energía eléctrica de contingencia y las luces de emergencia, pruebas del árbol de llamadas, y la adquisición de alimentos y agua. Una prueba aparte debe hacerse sobre los sistemas de tecnología de la información (TI), es decir, una prueba de recuperación de desastres de TI ( disaster recovery plan ). Esta incluye los procedimientos de copias de seguridad ( backups ), los servicios móviles (datos/voz) y la habilitación de servidores y equipamiento de la infraestructura informática. Durante la prueba, los usuarios...

Ha habido mucha discusión en torno a lo que las organizaciones, en particular, de la salud, deben hacer al respecto a la gripe aviar, como parte de su plan de continuidad del negocio. Los proveedores de salud están en la primera línea para el tratamiento de pacientes durante una pandemia y son, por tanto, susceptibles de ser afectados operativamente por el absentismo y la enfermedad entre sus propios trabajadores. Aun así, la mayoría de las organizaciones no desarrollan planes de pandemia "separados", sino más bien crean apéndices/anexos conteniendo: los planes estratégicos de gestión de crisis (utilizados por los ejecutivos) y los planes de continuidad tácticos (para los procesos de negocio). Recomiendo revisar las guías de preparación ante la influenza, para los profesionales de la salud, que publica la agencia FLU.gov: http://espanol.flu.gov/preparaci%C3%B3n/hospital/txv/%C3%ADndice.html Ver los demás  posts  de la serie: * Parte I:  Enfoque para la plani...

La mayoría de proveedores de servicios de salud comienzan a gestionar la continuidad de negocios a partir del estándar de asistencia sanitaria JCAHO  ( Joint Commission on Accreditation of Healthcare Organizations ), el cual se enfoca primero en la atención y la seguridad del paciente. Los planes de continuidad se desarrollan aisladamente, razón por la cual los recursos no son coordinados a través de todos los departamentos. Por ejemplo, los planes pueden establecer que los pacientes puedan ser reubicados temporalmente a otra instalación de atención primaria, pero podrían no cubrir la continuidad de la atención, la administración de los registros médicos durante la reubicación, el acceso a los datos electrónicos del paciente durante el período de transferencia o cómo el proveedor debería retornar a la normalidad, con un censo diario que vaya de cero por ciento hasta la capacidad máxima en un período de tiempo muy corto. El plan de continuidad del negocio deberá enfocarse en e...

La duplicación de datos es una tecnología clave en la recuperación ante desastres y consiste en copiar datos de un lugar a otro —entre una ubicación primaria y una segunda ubicación externa— a través de una red de almacenamiento (SAN, storage area network ), una red LAN o una red WAN local para tener varias copias actualizadas de los datos. Existen dos tipos de productos de duplicación de datos: síncronos o asíncronos. La duplicación síncrona escribe datos en los sitios primario y secundario a la vez —es la opción más eficaz pero la más costosa—, mientras que con la duplicación asíncrona hay un retraso antes de que los datos se escriban en el sitio secundario —está diseñada para funcionar en largas distancias y necesita un ancho de banda menor—. La virtualización de servidores, integrada con la tecnología de duplicación de datos, eleva la eficiencia de la recuperación ante desastres ya que la virtualización reduce el número de servidores necesarios en el sitio secundario. Asimis...

Nuevamente, el especialista en mantenimiento industrial , Francisco Guzmán Cárdenas, nos explica las implicancias de la noticia recientemente publicada en el diario Gestión: Las centrales hidroeléctricas usualmente son reparadas en el primer trimestre de cada año, después del periodo fuerte de lluvias que se generan en la sierra del Perú. Después de un semestre de funcionamiento, las turbinas (Pelton) resultan seriamente desgastadas en las cucharas del sistema de impulsión , afectando su rendimiento y eficiencia de generación de energía. Los trabajos de reparación son manuales, mediante soldadura eléctrica, y el proceso de reparación demanda hasta 4 meses por rueda. El desgaste es originado por la presencia de arena en el fluido a turbinar, el cual erosiona. Así mismo, la velocidad con la que el agua impacta a la salida de los tubos de pique produce cavitación en las cucharas de la turbina. Estos trabajos de mantenimiento generalmente producen cortes de fluido eléctrico, hasta q...

Hace unos meses, Dejan Kosutic enfatizó en la importancia de determinar la frecuencia de las copias de respaldo ( backups ) en el artículo " Backup policy – How to determine backup frequency " que escribió para su blog . En resumen, el análisis que se requiere para determinar esta frecuencia debe basarse en el valor que los datos en cuestión aportan al negocio. Para responder a la pregunta "¿Cuánta información se puede tolerar perder?", se debe determinar la variable denominada Máxima Pérdida de Datos o RPO (Recovery Point Objetive) , definida por la ISO 22301 como “ the point to which information used by an activity must be restored to enable the activity to operate on resumption ”. El mejor momento para hacerlo es durante el Análisis de Impacto al Negocio o BIA (Business Impact Analysis) . Se deberá pedir a los usuarios que listen todas sus bases de datos, aplicaciones y archivos, así como sus servicios (como el correo electrónico), etc., y para cada uno ...

El almacenamiento externo de datos ( offsite data storage ) permite garantizar la viabilidad del negocio tras un incidente mayor que pueda destruir total o parcialmente la información crítica. Las opciones disponibles (más comunes) son: Almacenamiento externo ( offsite ) de cintas de respaldo (backup tapes) o discos duros —utilizando técnicas de "rotación" de medios de respaldo. Respaldo de datos en-línea ( online data backup ) —incluso a través de Internet. Replicación de servidores —respaldo casi contínuo desde el servidor/sitio principal a un sitio externo. Almacenamiento en la nube. Fuente : Forrester, I. (2012, julio). Don’t be left at cordon – Ensuring business continuity with Plan-B . Recuperado de  https://www-304.ibm.com/connections/blogs/businessinsight/entry/don_t_be_left_at_cordon_ensuring_business_continuity_with_plan_b100?lang=en_us

A partir de la interesante infrografía elaborada por eWeek y Symantec , sobre algunos de los problemas y soluciones para la dificil tarea de mantener la continuidad del negocio en un ambiente de TI heterogéneo, he rescatado algunas ideas que vale la pena revisar: En primer lugar, se debe tener en cuenta que la continuidad es tan importante como cualquier otro componente de la infraestructura de TI. Si los sistemas de TI no están debidamente protegidos, la información debidamente respaldada, las aplicaciones y repositorios de datos replicados, y los sistemas de recuperación regularmente probados, un evento de interrupción medianamente grande podría dejar al negocio fuera de funcionamiento. Por otro lado, las empresas —sin importar su tamaño— deberían contar con un sistema de recuperación centralizado y fácil de desplegar, tanto para sus servidores virtuales como físicos. En caso que ocurra un desastre, no será nada bueno que se tenga que escribir (improvisar) el código o los sc...

Vito Mangialardi, especialista en temas de business continuity , publicó hace poco para expertIP un artículo titulado " Protecting Your Business against ‘Power Outages’ (Batteries Included) ", sobre cómo protegernos antes fallas eléctricas, inicialmente enfocado en el equipamiento informático (computadoras, servidores y datos). Los cortes de energía y las sobrecargas o picos del fluido eléctrico son la causa más frecuente (45%) de pérdida de datos en sistemas de información (TI). Hoy en día es posible proteger nuestras instituciones mitigando los impactos originados por disrupciones de energía, a través del planeamiento proactivo y la implementación de estrategias costo-eficientes: 1. Hacer un inventario del equipamiento electrónico a proteger —un Análisis de Impacto (BIA) puede resultar muy útil—, tomando en cuenta las sedes/ubicaciones, y la potencia/vataje requerido para cada equipo a ser conectado al sistema de alimentación ininterrumpida (UPS), así como los tipo...

“Las pruebas de verificación son siempre lo último en lo que se piensa”, comentó Jon Toigo en su artículo " Estrategias para comprobar el correcto funcionamiento del sistema de recuperación de desastres ", para SearchDataCenter . Respecto del mantenimiento de un plan de recuperación ante desastres de TI ( disaster recovery plan ), la planificación de cada prueba debe incluir la gestión de datos, la sustitución de infraestructuras y el reabastecimiento logístico. En otras palabras, la prueba debe permitirnos validar y confirmar: que se están protegiendo los datos correctos y que estos están disponibles, en la forma que sea, para poder ser recuperados;  que se cuenta con la infraestructura correcta (o que puede restablecerse rápidamente) para realojar las aplicaciones y los datos; y  que las personas y procesos para las labores de recuperación se han identificado, y que todos saben lo que tienen que hacer. Fuente : Toigo, J. (2009, julio). Estrategias para c...

Casi 1,000 vuelos cancelados y otro tanto de retrasados fue el resultado de un problema en el sistema central de reservas de American Airlines , el pasado martes 16. El tercer operador aéreo más grande de los Estados Unidos vio interrumpido su servicio entre las 10:30 a. m. y las 3:30 p. m. (5 horas). La aerolínea indicó que sí tenían sistemas de respaldo redundantes; sin embargo, el incidente fue originado por un error de software que afectó tanto el sistema principal como el de contingencia. El miércoles, American Airlines comenzó a operar casi normalmente. Decenas de miles de pasajeros se habían quedado varados debido a la citada falla tecnológica. Fuentes : El Comercio.pe. (2013, 17 de abril). Un error de computadora hizo que American Airlines cancele sus vuelos ayer . Recuperado de http://elcomercio.pe/actualidad/1565054/noticia-error-computadora-hizo-que-american-airlines-cancele-sus-vuelos-ayer Miller, R. (2013, 16 de abril). IT Woes Ground American Airlines Flights . ...

Según Gestión (25/03/2013), el Comité de Operación Económica del SEIN  ( COES ) ha programado la suspensión del servicio eléctrico en varias localidades del sur del país (Cusco y Apurímac), la que afectará a diversas empresas mineras ( Ares , Catalina Huanca , entre otras), así como a industrias (como Cervesur ). Esto se debe a que la generadora eléctrica Egemsa realizará trabajos de ampliación de la capacidad de la Central Hidroeléctrica de Machupicchu entre el 13 y el 27 de abril.