Apuntes sobre continuidad del negocio

La práctica de la continuidad del negocio, hoy por hoy, está estrechamente conectada con una amplia gama de disciplinas o áreas de especialización, entre las que destacan la recuperación ante desastres de TI, la gestión de crisis, la respuesta a ciberataques, la respuesta a emergencias, la seguridad ocupacional, la gestión de riesgos, la resiliencia organizacional, la auditoría de continuidad del negocio, entre otros. Si bien aún no hay un consenso total en cómo unas dependen de las otras, intentaré compilar las definiciones mayormente aceptadas. ¡Se vale discrepar! Continuidad del negocio |  Business Continuity Capacidad de una organización para continuar entregando sus productos y servicios durante una interrupción operativa, dentro de plazos aceptables, a una capacidad predefinida. Referencia : ISO 22301:2019 Recuperación ante desastres de TI |  IT Disaster Recovery Conjunto de recursos y actividades para restablecer los servicios de tecnología de la información (incluyendo...

Si de todos los partnerships que debe tener el programa de continuidad del negocio, me pidieran que me quede con uno, escogería siempre a TI. En realidad, para que la planificación de la continuidad del negocio sea efectiva, debe involucrar a toda la organización, lo que implica la colaboración de todas las funciones y departamentos de la empresa. No obstante, en la mayoría de las organizaciones hoy en día, es el área de TI la que tiene la clave para el éxito del programa. Pero, ¿cómo lograr y mantener un partnership saludable y sostenible con TI? ¿Cómo hacer clic con ellos? Un partnership  muy necesario El especialista en continuidad del negocio y tecnología de la información,  Alex Janković , publicó un artículo en el que analiza la dependencia que existe entre la gestión de la continuidad del negocio y las áreas de tecnología de la información (TI), y también por qué es tan difícil hacer que TI se comprometa con las iniciativas del programa de continuidad.  En muc...

Hace tan solo unos días, la comunidad de profesionales de la continuidad del negocio y la resiliencia organizacional en Latinoamérica fue testigo de un congreso sin precedentes —y no exagero— por tres razones: fue desarrollado 100% en línea, fue totalmente gratuito, y fue la primera vez que en un foro latinoamericano se habló acerca del nuevo enfoque para la gestión de la continuidad del negocio, Adaptive Business Continuity. Todas las conferencias están disponibles en el canal de YouTube del hombre detrás de esta iniciativa, Timothé Graziani , quien accedió además a darme una breve entrevista. Las conferencias grabadas están disponibles aquí:  https://www.youtube.com/channel/UCTeh22vDn6i9PmCauknQLzQ/videos Tim, ¿qué significó para ti haber llevado a cabo RESILIENCIA LATAM 2020 este año, en lo profesional y en lo personal? Creamos esta iniciativa en 2018 con el primer evento dedicado al tema de resiliencia organizacional en América Latina: “Resiliencia RD” (República Dominicana). ...

Extraído del Atlas de Peligros del Perú articulado por el Instituto Nacional de Defensa Civil (Indeci), en el mapa se muestran los resultados del estudio de microzonificación sísmica y tsunami realizado en 2010. Cada color indica una zona la cual corresponde un tipo de calidad de suelo: Peligro bajo (verde) : Está conformada por los afloramientos rocosos, los estratos de grava-aluvial de los pies de las laderas. Este suelo tiene un comportamiento rígido, con periodos de vibración natural. Peligro bajo Peligro relativamente bajo (amarillo) : Se incluyen las áreas de terreno conformado por un estrato superficial de suelo granulado fino y suelos arcillosos. Peligro relativamente bajo. Peligro alto (anaranjado) : Conformada en su mayor parte por los depósitos de suelos finos y arenas de gran espesor que se encuentran en estado suelto. Peligro alto. Peligro muy alto (rojo) : Conformada por los depósitos de arena eólicas de gran espesor y sueltas, depósitos fluviales, depósitos marin...

APM Terminals Callao (APMTC) es el concesionario del Terminal Norte Multipropósito del Puerto del Callao (conocido como el Muelle Norte del Callao), para carga marítima general, que opera en el país desde el año 2016. El antepuerto de contenedores tiene 18,281 metros cuadrados y cuenta con un espacio de estacionamiento para 168 camiones en la entrada, y para 72 camiones en la salida. El ataque El pasado 27 de junio, el operador portuario fue víctima del ataque cibernético mundial que sufrió la casa matriz del grupo Maersk (Dinamarca), a la que pertenece. El ataque global de ransomware denominado "Petya" llegó a los servidores en Europa e India, afectando a todas las unidades de negocio de Maersk, incluyendo el transporte de contenedores, las operaciones portuarias y remolcadoras, la producción de petróleo y gas, los servicios de perforación y los petroleros, a nivel mundial. El malware se extendió a través de las operaciones globales de la compañía, llegando a impac...

El año pasado (2016) tuve la oportunidad de conocer de cerca la iniciativa del Ministerio de Salud y la OPS/OMS  (Organización Panamericana de la Salud) para elaborar el documento técnico de trabajo denominado Plan de Contingencia del Sector Salud ante un Sismo de Gran Magnitud en Lima Metropolitana y en las Regiones del Callao y Lima  2016 . Esta iniciativa responde a la necesidad de contar con un instrumento operativo para organizar la respuesta de los diferentes componentes del sector salud y de sus establecimientos, dentro de las primeras 72 horas posteriores a la ocurrencia de un gran sismo y tsunami que afecte en forma directa a Lima Metropolitana y a las regiones de Lima y Callao. El plan determina las responsabilidades y acciones que se deben implementar para la alerta, coordinación, respuesta, movilización de recursos y asegurar la continuidad operativa de las organizaciones de salud responsables de la primera respuesta. Las acciones previstas en el plan se debe...

Hace poco la reconocida compañía de seguridad informática Kaspersky Lab analizó la oferta de servicios de denegación de servicio (DDoS) disponibles en el mercado negro. Como comentamos en un post anterior , un ataque de denegación de servicio ocurre cuando se lanzan múltiples ciberataques a un objetivo único, normalmente dirigidos a los servidores de una compañía, a fín de que la víctima pierda conectividad a la red por un período indefinido de tiempo. El promedio es de 18 dólares por cada hora de ataque, pero puede costar desde cinco dólares por 300 segundos hasta 400 dólares en caso de bloquear un servidor durante 24 horas. Si bien estos costos pueden parecer insignificantes, lo más preocupante es que para la víctima puede suponer pérdidas de miles o hasta millones de dólares. Fuente : Cromo - El Observador (2017, abril). Descubre cuánto cobra un cibercriminal por un ataque DDOS . Recuperado de http://tecno.americaeconomia.com/articulos/descubre-cuanto-cobra-un-cibercriminal-...

Los daños patrimoniales que ocasionan los fenómenos naturales pueden ser cubiertos, en mayor o menor medida, por una póliza de seguros . Específicamente, el producto que cubre daños por incendios, inundaciones y otros fenómenos de la naturaleza es el denominado seguro multirriesgo . En el artículo de María Medina se explica cómo se activa el seguro en caso de ocurrencia de un siniestro: Fuente : Medina, M. (2016, marzo). Como activar el seguro de su negocio en una emergencia . Diario Correo, p. 13. Lima, Perú.

Hace unos meses, varios medios locales dedicaron algunas páginas para recordar el terremoto más devastador ocurrido en Lima, del que tenemos registro: sucedió un viernes 28 de octubre de 1746 y destruyó tanto la capital como el Callao. En su artículo, Gastón Gaviola narra: A las 10.30 de la noche, la ciudad de Lima se preparaba para dormir. Por esos días la capital del virreinato era una villa no más grande que un distrito pequeño de hoy (digamos como Pueblo Libre, San Borja o Miraflores). Sesenta mil vecinos apagaban los quinqués de kerosene o las velas de sebo que espantaban a la oscuridad. Cinco minutos después, uno de cada tres habitantes estaba muerto. Fue el mayor terremoto que nuestro país haya registrado. Un cataclismo de 9 grados en la escala de Ritcher según las estimaciones modernas, que arrasó con la ciudad jardín, convirtiéndola en un páramo sin vida: “Era un horror tener a la vista como espectáculo de la tragedia los cadáveres de los nobles y plebeyos, de los gran...

La Universidad Nacional de Ingeniería, a través del Centro Peruano-Japonés de Investigaciones Sísmicas y Mitigación de Desastres ( Cismid ), de la Facultad de Ingeniería Civil, viene implementado desde 1988 una red de acelerógrafos a nivel nacional, con el fin de registrar mediciones de los sismos que ocurren en el país. Los datos recopilados se encuentran disponibles al público en la plataforma REDACIS (Red acelerografica del Cismid), a través del siguiente enlace: http://sig.cismid-uni.org/redacis/ Este sistema de acelerógrafos presenta además los siguientes beneficios potenciales: Estimar el valor máximo de aceleración del suelo durante un terremoto. Este valor se usa para diseñar estructuras sismo-resistentes. Calcular la duración de movimiento fuerte en el sitio donde se ubica. Por lo general, la duración aumenta conforme aumenta la distancia desde el epicentro. Crear mapas de intensidad instrumental que reflejan los sitios donde la sacudida es más fuerte o más débi...

Disaster Recovery Journal ( DRJ ) es el medio líder a nivel mundial dedicado exclusivamente a temas de continuidad del negocio y recuperación ante desastres , por casi 30 años. En 2011 inició con el proyecto DRJ en Español con el propósito de alcanzar al mercado iberoamericano, ofreciendo permanentemente contenido especializado para los profesionales de la continuidad en forma de artículos, seminarios web en tiempo real, publicación de noticias, realización y publicación de encuestas y estudios, y eventos presenciales locales y regionales. Uno de estos eventos presenciales es la Conferencia Iberoamericana de Continuidad del Negocio DRJ en Español , que anualmente se realiza en alguna ciudad de la región. Este año 2016 la conferencia será celebrada en la capital de nuestro país, del 29 de septiembre al 1 de octubre. Este evento reúne a líderes de la práctica de continuidad del negocio y recuperación ante desastres, seguridad, riesgos, tecnología, auditoría, operaciones, comunica...

La continuidad operativa en instituciones de salud cobra vital importancia, de cara a la protección de la prestación de los servicios médicos y la disponibilidad de los datos críticos cuando más se necesitan, ante la ocurrencia de una interrupción severa o un desastre. A continuación, les dejo los enlaces a los posts de la serie  #BusinessContinuity en servicios de salud #Healthcare , publicadas en este blog entre septiembre de 2015 y abril de 2016: Enfoque para la planificación de continuidad ¿Un plan aparte para la gripe aviar? Programa de pruebas y ejercicios Desde dónde supervisar el plan de continuidad La dependencia de los sistemas de información Indisponibilidad de TI Falta de historias clínicas en situaciones de emergencia Cuán crítica es la interrupción de la atención de emergencias

La preparación ante desastres es más compleja en el rubro de salud que en otras industrias, ya que implica la planificación de la continuidad y la recuperación, además de la gestión tradicional de la respuesta a emergencias. La Joint Commission on Accreditation of Healthcare Organizations ( JCAHO ) define una emergencia como "un evento natural o de origen humano que súbita o significativamente interrumpe el entorno de la atención; interrumpe el cuidado y tratamiento; o cambia o aumenta la demanda de servicios de las instituciones de salud". Durante años, estas instituciones han sido conscientes de la necesidad de planificar y poner a prueba su capacidad para continuar con la atención médica en casos de emergencia. Esta planificación se debe enfocar en la restauración de los servicios críticos de inmediato, incluyendo los sistemas de comunicación y el acceso a la información del paciente. Se esperaría que las "operaciones de rutina" se interrumpan; sin embargo,...

Tener acceso a las historias clínicas puede ser crítico en una situación de emergencia (por ejemplo, para conocer posibles alergias a medicamentos y/o alimentos, medicaciones actuales que podrían restringir ciertas medidas de emergencia, solicitudes de testamento vital , etc.). Tener acceso a la información en una situación de emergencia puede ser una cuestión de vida o muerte. Las organizaciones deben tener mecanismos para poder acceder a la información histórica sobre un paciente, ya sea a través de familiares, centros médicos o consultorios médicos, registros en papel u otros medios. Otras opciones pueden ser el uso de medidas de emergencia menos propensas a contravenir con otros medicamentos o tratamientos que el paciente esté usando en ese momento. Las instituciones de salud también deben contar con protocolos para el envío de pedidos a farmacia y de muestras al laboratorio. Un medio alternativo de comunicación será fundamental, ya sea interno o externa. Ver los demás  ...

En las instituciones de salud la dependencia de la tecnología aumenta el riesgo drásticamente. La disponibilidad de información implica mucho más que poder seguir procesando datos en caso de un desastre. Estas organizaciones tienen que asegurar sus operaciones, y considerar el impacto en su capacidad para brindar una atención de calidad al paciente. Para mitigar el riesgo, estas deben tener en cuenta: tener personas disponibles para operar en un entorno totalmente manual, sin dejar el cuidado del paciente; cómo la institución puede aprovechar la existencia de aplicaciones empresariales para crear procedimientos manuales estandarizados y controlados; desarrollar procesos y procedimientos para guiar las operaciones en contingencia ante la indisponibilidad de la TI; desarrollar controles generales de TI adecuados para garantizar que los cambios en los sistemas no causen interrupciones; y cómo el cumplimiento de las regulaciones y los requisitos de facturación podría ve...

Tal como comentábamos en un post anterior el año pasado , para el primer trimestre de 2016 se esperaba la publicación de la actualización de la Guía de Respuesta en Caso de Emergencia con materiales o mercancía peligrosa ( hazard materials ) (GRE2016). La guía proporciona a los primeros en responder ("respondedores") un instructivo práctico para ayudar a determinar rápidamente los procedimientos de respuesta a emergencias para hacer frente a accidentes con materiales peligrosos durante los primeros críticos 30 minutos. La versión en PDF de la guía se puede descargar libremente aquí: http://www.ciquime.org.ar/pluginAppObj_11522/download.php?action=download La versión original (en inglés) de la GRE2016 también está disponible como una aplicación para los celulares  smartphone , tanto para los sistemas basados en Android e iOS. Fuentes : Centro de Información Química para Emergencias [CIQUIME]. (2016).  Guía de Respuesta a Emergencias 2016 . Argentin...

La automatización de procesos a través de las tecnologías de la información, en el rubro de la asistencia sanitaria, hoy en día, va más allá de la facturación, las compras, la nómina y la contabilidad. El enfoque de la contingencia tecnológica ahora también incluye, por ejemplo, la administración de los registros e historias clínicas, la programación del mantenimiento de los equipos y la infraestructura, la dispensación de medicamentos, así como las soluciones de digitalización de imágenes  — todos estos aspectos con impacto directo en la atención del paciente — . Una planificación inadecuada de la disponibilidad de información genera gastos y pérdidas asociadas a la facturación, la cobranza o incluso la reputación de la organización. A medida que las instituciones de salud se vuelven más dependientes de los sistemas automatizados para las tareas del día a día, se vuelven también menos conscientes (y menos preparados para utilizar) procedimientos manuales e información de los ...

El pasado sábado 16 de abril, el país vecino de Ecuador sintió un fuerte movimiento telúrico que alcanzó los 7.8 grados en la escala de Richter y tuvo 55 réplicas. El epicentro estuvo ubicado a 0.372º Norte, 79.940 Oeste; a 27.0 km al sureste de Muisne, en la costa de Ecuador, a una profundidad 19.2 km. Las cifras a la fecha del presente post superan las 570 víctimas fatales y se contabilizan más de 4,600 heridos; el número de fallecidos aumenta ya que muchas personas continúan atrapadas entre los escombros. El mayor riesgo de daños en infraestructura se concentra en Esmeraldas, una importante ciudad portuaria que cuenta con instalaciones para el comercio internacional marítimo y donde se encuentra la principal refinería de petróleo del país, con una capacidad de 110,000 barriles por día; afortunadamente, la producción de petróleo no se vio afectada y la industria energética del país sigue estando en gran parte intacta. A la fecha se registran más de 1,100 edificios destruido...

Un interesante artículo en el blog IBM Business Insight  explicaba una estrategia preventiva de continuidad de negocios, con el título de " Un enfoque de monitoreo remoto y mantenimiento automatizado es mejor que una póliza de seguro ". Hoy en día, proveedores de servicios como IBM ya ofrecen la posibilidad de monitorear y dar mantenimiento a los servidores, las PCs y otros componentes de la infraestructura de las empresas, e intervenir para reparar cualquier falla antes de que interrumpan la operativa del negocio. Si bien los fundamentos tecnológicos en los que esta estrategia se soporta no son nuevos —desde hace más de una década, las PCs, servidores y otros dispositivos de hardware ofrecen la opción de acceso remoto y pueden ser configurados de forma segura para permitir la administración remota—, su aplicación es cada vez más utilizada y valorada a fin de garantizar la continuidad operativa como parte de la gestión de la continuidad del negocio. Fuente : Busine...

El especialista en Tecnologías de la Información,  Brian Vandegrift , nos habla durante 4 minutos acerca de la relación entre las variables (umbrales) relacionadas con el plan de recuperación del negocio, el  Tiempo de Recuperación Objetivo (RTO) y el  Punto Objetivo de Recuperación (RPO), y su efecto en el desarrollo del plan. Podemos añadir que, para establecer el RPO también tenemos que considerar el tiempo que se requiere para que las copias de seguridad puedan ser restauradas. Por su parte, para determinar el RTO se puede incluir el tiempo para introducir manualmente los datos perdidos desde la última copia de seguridad una vez que los sistemas ya están disponibles. Fuente : Vandegrift, B. (2010). RTO vs RPO . Recuperado de  https://www.youtube.com/watch?v=SeS6ke3B4Tg