Apuntes sobre continuidad del negocio

En un post anterior , hablábamos acerca de la utilidad de contar, dentro de un plan de continuidad, con la declaración de cuál es nuestro “propósito” como equipo de recuperación o área crítica ante la ocurrencia de un evento severo de interrupción de operaciones. Aquí dejaré algunos ejemplos que pueden ayudar a comprender mejor la potencia de esta declaración de propósito, y dar algunas luces a quienes necesitan definirlo: [Propósito del área de Seguridad de Información en el sector salud]: Debemos garantizar que la seguridad de la información y la infraestructura de la empresa se mantengan en los niveles previos al evento. Si perdemos la confianza de nuestros clientes, lo perdemos todo. [Propósito del área Legal en el sector de energía]: Brindamos el soporte legal a las áreas estratégicas de la empresa en todo momento, controlando y mitigando riesgos; y generando valor, siempre. [Propósito del equipo de sectoristas y ejecutivos de atención en una compañía de seguros]: Asegurar la ate...

Uno de los retos más difíciles de alcanzar para el profesional de la continuidad del negocio es mantener en el tiempo un alto compromiso por parte de los equipos a cargo de la operación. Lamentablemente, es fácil perder ese compromiso —si es que alguna vez se tuvo—, entre otras razones, por un enfoque equivocado acerca de lo que es un plan de continuidad (y para qué sirve), qué debe contener, quiénes lo tienen que conocer (y cuánto), quién lo debe actualizar (y cada cuánto tiempo)— y finalmente, cómo se pone a prueba.  Cuando hablo de tener un enfoque equivocado, en primer lugar, me estoy refiriendo a un mal enfoque por parte del propio profesional de la continuidad del negocio; quien obviamente lo va a trasladar y proyectar en los líderes de las áreas críticas del negocio, y por lo tanto, en el personal clave a cargo de la recuperación de los procesos críticos. Un enfoque equivocado muy común, por ejemplo, es considerar que el plan de continuidad es solo un documento que debemos t...

El año pasado (2016) tuve la oportunidad de conocer de cerca la iniciativa del Ministerio de Salud y la OPS/OMS  (Organización Panamericana de la Salud) para elaborar el documento técnico de trabajo denominado Plan de Contingencia del Sector Salud ante un Sismo de Gran Magnitud en Lima Metropolitana y en las Regiones del Callao y Lima  2016 . Esta iniciativa responde a la necesidad de contar con un instrumento operativo para organizar la respuesta de los diferentes componentes del sector salud y de sus establecimientos, dentro de las primeras 72 horas posteriores a la ocurrencia de un gran sismo y tsunami que afecte en forma directa a Lima Metropolitana y a las regiones de Lima y Callao. El plan determina las responsabilidades y acciones que se deben implementar para la alerta, coordinación, respuesta, movilización de recursos y asegurar la continuidad operativa de las organizaciones de salud responsables de la primera respuesta. Las acciones previstas en el plan se debe...

Hace unas semanas, tuve el placer de colaborar con JuanMa ; reconocido consultor y especialista en gestión de servicios, tecnologías de la información, manejo de riesgos y estrategia empresarial, peruano-español de nacionalidad; que dirige y conduce un espacio en la red llamado " Café con JuanMa ", en el que trata y desarrolla, de manera informal, diversos aspectos de interés junto a sus invitados. En dicha oportunidad, el tema fue "La Gestión de Riesgos y los Planes de Contingencia en los negocios", entrevista que fue publicada en cuatro bloques, los que aquí les dejo: Bloque I Bloque II Bloque III Bloque IV

Mi abuela solía decir: " ante tanta insistencia, poca resistencia "; y así, después de varios meses, logré obtener la entrevista que tanto anhelaba; en esta oportunidad, a  Dejan Košutić , fundador y colaborador de 27001Academy . El Sr. Košutić cuenta con amplia experiencia laboral en todo Europa, como instructor y consultor en temas de seguridad de la información y continuidad de negocios, y a nivel mundial a través de cursos en línea y webinars . En su carrera como consultor ha trabajado para clientes del sector financiero, gobierno, y pequeñas y medianas empresas, incluidas empresas de TI. Tiene un MBA de Henley Management College , y está certificado como: Certified Management Consultant , ISO/IEC 27001 Lead Auditor , Associate Business Continuity Professional , e  ISO 9001 Lead Auditor . Nombre:   Dejan Košutić Lugar de nacimiento :  Croacia ¿Cómo llegaste al mundo de la  Continuidad del Negocio ? R: De hecho, empecé como consul...

De acuerdo con la BCMpedia , un sitio alterno de trabajo es "un lugar de trabajo, que no es la ubicación principal, que se utiliza cuando dicha ubicación principal no es accesible". A esta estrategia de continuidad del negocio tan básica también se le denomina Recovery Work Area  (o área de trabajo de recuperación ); es decir, se trata de una oficina alternativa (re-localizada) para los miembros del personal, para operar sus funciones críticas del negocio durante un desastre. Hace un par de semanas, asistí a una charla que se llevó a cabo en una sala de reuniones  — bastante bien equipada —  que evidentemente no era de la empresa organizadora del evento. Luego de la reunión me acerqué a la recepción y me explicaron que las oficinas donde nos encontrábamos se brindaban como parte del servicio de Regus , una empresa especializada en ofrecer espacios de trabajo temporales a otras empresas. En ese momento, "se me prendió" el foco y les hice la consulta de rigor, a ...

El artículo de Constance Gustke para New York Times enfatiza en la necesidad de preparación ante desastres por parte de las pequeñas empresas, ante eventos como huracanes o incendios forestales que ocurren con cierta frecuencia en los Estados Unidos. Por lo general las pequeñas empresas operan en un solo sitio, lo que las hace especialmente vulnerables. Sus dueños asumen muchos roles (administrativos y/o operativos) y suelen estar más centrados en la generación de ingresos que en la anticipación ante próximos desastres. También existe la creencia de que estos planes son demasiado costosos y que requieren mucho tiempo. Sin embargo, perder una semana de ingresos puede provocar no poder pagar deudas o las nóminas de los empleados. Incluso contando con la cobertura de seguro para reemplazar la pérdida de ingresos (cobertura de lucro cesante), no se puede sustituir a los clientes o restituir su confianza. Incluso algunas grandes compañías están requiriendo que las empresas pequeña...

"Donald's Fire Survival Plan" es un corto animado educativo (Les Clark, 1965) protagonizado por el Pato Donald que se centra en la seguridad contra incendios. Este corto contó con una introducción del propio Walt Disney sobre la importancia de la preparación ante emergencias. Aquí se los comparto:

En este post , retomamos las conversaciones con los profesionales y gurús en la disciplina del  business continuity ; y en esta oportunidad contamos con la colaboración de Mario Ureña , reconocido consultor internacional en temas de gestión de riesgos, presidente de Secure Information Technologies , y especialista en auditoria, control y seguridad de TI. Nombre:   Mario Ureña Edad : 39 años Lugar de nacimiento :  Ciudad de México Profesión :  Ciencias de la Informática Hobbies :  Escuchar música y leer (ciencia ficción, mayormente) ¿Cómo llegaste al mundo de la  Continuidad del Negocio ? Mi interés hacia los temas de Continuidad del Negocio y Recuperación ante Desastres nació el 19 de septiembre de 1985 a las 7:19, cuando un terremoto de 8 grados en escala de Richter sacudió la Ciudad de México para cambiar para siempre su historia. En esa época, yo tenía diez años de edad; y aún cuando ya había escuchado información sobre grandes...

La Asociación de la Industria de Valores y Mercados Financieros ( SIFMA ) representa a las sociedades comerciales de valores, bancos y empresas de gestión de activos de los Estados Unidos, y cuenta con oficinas en Nueva York y Washington, DC. Acorde con su propósito, SIFMA promueve y coordina la preparación de sus representadas ante posibles desastres; en este sentido, mantiene una sección de su sitio web , con información, material y directivas para la respuesta a emergencias a nivel sector, así como diversas modalidades de ejercicios y pruebas de los planes de continuidad. Fuente : Sifma. (2014). Business Continuity Planning . Recuperado de http://www.sifma.org/services/bcp/business-continuity-planning/

Hace unos días, estuve en una charla organizada por Pricewaterhouse Perú , en la que la especialista uruguaya en  Continuidad del Negocio , Graciela Ricci , habló sobre uno de los aspectos quizás menos valorados de nuestra disciplina: el mantenimiento del programa. Ricci mencionó dos aspectos que obstaculizan este proceso. Por una parte, la falta de una "cultura de la prevención" o la falta de compromiso ( accountability ) por parte de los responsables de las áreas de negocio o de soporte al negocio, acerca del programa de continuidad. Y por otra parte, el nivel de integración del programa en la gestión estratégica y operativa de la organización (adaptación a los cambios en el negocio, inclusión de las iniciativas de continuidad en el planeamiento y el presupuesto de las áreas, coordinación interdepartamental, etc.). En resumen, mantener actualizado el programa de continuidad es el factor clave para asegurar el éxito de la recuperación del negocio en caso que el plan...

FINRA es una autoridad regulatoria en la industria financiera norteamericana, que a diferencia de la Security Exchange Comission ( SEC ) no es parte del gobierno, sino que es una organización independiente, sin fines de lucro, y autorizada por el Congreso para proteger a los inversores de los Estados Unidos supervisando la actividad de más de 600,000 agentes de bolsa ( brokers ), haciendo que la industria de valores opere de manera justa y honesta. A fines del 2009, FINRA publicó la última actualización a la directriz que obliga a que sus miembros implementen y mantengan planes de continuidad del negocio , a través de la  regla 4370: Business Continuity Plans and Emergency Contact Information . En el siguiente enlace:  http://www.finra.org/industry/issues/businesscontinuity/  se puede encontrar material didáctico y de ayuda para elaborar y/o mejorar los planes de continuidad —plantillas, FAQs, casos de estudio, papers , enlaces de interés, etc.—, que puede ser útil p...

A partir de la publicación SP 800-34 :2010 del Instituto Nacional de Estándares y Tecnología ( NIST ), a continuación se resumen las actividades requeridas para el desarrollo del Plan de Recuperación de TI (o IT Disaster Recovery Plan ): El equipo de desarrollo del plan se debe reunir con el equipo interno a cargo de la infraestructura de TI, el equipo de aplicaciones (servidores y bases de datos), y los administradores de redes, y establecer el alcance de la contingencia tecnológica —por ejemplo, los componentes y recursos internos a considerar, así como los activos externos, los recursos de terceros, los enlaces a oficinas/clientes/proveedores, etc.—. Es importante mantener informada a la dirección del departamento de TI sobre los acuerdos y avances de estas reuniones. Recopilar todos los documentos relevantes de la infraestructura de TI, como los diagramas de las redes, la configuración de los servidores, equipos de comunicaciones y bases de datos. Obtener copias de ...

Encontré esta interesante discusión sobre una de las preguntas existenciales de nuestra disciplina: ¿primero se prueba o primero se implementa (un plan de continuidad del negocio)? Aquí os comparto las conclusiones que pude rescatar: El plan de continuidad tiene que ser implementado a un cierto nivel para poder ser probado.  Durante el proceso de pruebas se identifican brechas que deberán resolverse antes de implementar el plan de continuidad.  Una vez implementado, podrían surgir más brechas, por lo que es necesario ejercitarlo también luego de su implementación, de manera iterativa, añadiéndole poco a poco la complejidad e interdependencia de un entorno real.  Fuente : Chibba, B & Tompong, W. (2013, septiembre). BCM Development Milestone - Cascade/Implementation & Testing . Groupsite - BC and DR Discusions. Recuperado de http://bcmi.groupsite.com/beta/discussion/topics/609343/messages?page=1

Tras los atentados terroristas del 11 de septiembre del 2001 (11-S), m uchas pequeñas empresas tuvieron dificultades para recuperarse, pero una de ellas estuvo  operando en 1 semana. Childs Capital LLC , una empresa especializada en  servicios de consultoría en gestión administrativa,  estaba localizada muy cerca del lugar del atentado. La gerente general de la empresa se encontraba en el World Trade Center cuando chocó el primer avión: "Llamé inmediatamente a la oficina y les dije que la situación no era segura; ordené una evacuación de las oficinas e iniciamos nuestro plan de emergencia ", explica la también fundadora de Childs Capital, Donna Childs. "Habíamos practicado con antelación, y sabíamos qué debíamos hacer." Cuando se asentó el polvo, Childs Capital tuvo que enfrentar interrupciones eléctricas severas, de la telefonía, agua y otros servicios públicos. "Nuestro edificio tenía un generador eléctrico de emergencia que nos permitió hacer funciona...

En el reciente artículo de Tucker Bailey y Josh Brandley para la Harvard Business Review , " Ten Steps to Planning an Effective Cyber-Incident Response ", se resumen los 10 principios básicos para crear, implementar y mantener un plan de respuesta a incidentes: Asignar un ejecutivo que se responsabilice del plan y que integre los esfuerzos para la respuesta a incidentes de todas las unidades de negocio (y las geografías). Desarrollar una taxonomía de riesgos, amenazas y fallas potenciales. Actualizarlas continuamente, a partir de los cambios en las condiciones del entorno (externo e interno). Desarrollar guías sencillas y accesibles para responder rápidamente a los escenarios más probables. Establecer procesos para tomar decisiones importantes, tales como aislar áreas de la red (en caso de ciberataques) o el mensaje que se dará a los medios de prensa (gestión de la crisis). Mantener relaciones con los grupos de interés clave —como por ejemplo, los reguladores—, así co...

Hace unas semanas, en el último piso del The Westin Lima Hotel & Convention Center , tuve la oportunidad de entrevistar a Roberto Zegarra, líder de la unidad de Consultoría Estratégica de Riesgos para Latinoamérica y el Caribe de  Marsh , con más de 25 años de experiencia en el ramo de business continuity y crisis management . Nombre:   Roberto Zegarra Edad : 47 años Lugar de nacimiento :  Brasil Profesión :  Ingeniero Mecánico Hobbies :  Tennis, ajedrez y póker ¿Cómo llegaste al mundo de la  Continuidad del Negocio ? Empecé en el rubro de petroleras, en una refinería, en el área de riesgos. En eso, me contrata FM Global  (Factory Mutual Insurance Company), me voy a Londres por varios meses —casi un año— y empiezo a trabajar en análisis de riesgos. A principios de los noventa, dentro de FM, entro al área de Business Interruption , donde teníamos que pensar en planes de continuidad, es decir, qué hacer para que una empr...

" Un mal plan es mejor que no tener ningún plan. " Frank Marshall "Estar preparado es ya media victoria." Miguel de Cervantes "Durante una crisis, siempre encontré que los planes son inútiles; pero la planificación y el ejercicio son indispensables. " Dwight D. Eisenhower " La verdadera crisis es la crisis de la incompetencia. Quien supera la crisis se supera a sí mismo. " Albert Einstein

Continuando con las conversaciones con profesionales y gurús en la disciplina del  business continuity , aquí los dejo con Tony Gonzalez, director del Business Continuity Service Center de Virtual Corporation, los creadores del modelo de madurez BCMM . Nombre:   Tony Gonzalez Edad : 59 años Lugar de nacimiento :  Nueva York, EEUU Profesión :  Management Consultant - Business Continuity Hobbies : Viajar, pescar y cazar ¿Cómo llegaste al mundo de la  Continuidad del Negocio ? En 1989, yo era supervisor del servicio al cliente interno de TI (Tecnología de la Información) en Warner Lambert Pharamceuticals , una de las grandes corporaciones farmacéuticas en los EEUU, con sucursales en 53 paises y responsable de la elaboración de productos como Benadryl, Listerine, Lubraderm, Dentine y Neosporin. Me ofrecieron el puesto de Gerente Recuperacion de Desastres para el Centro de Cómputo  ( data center ) de la corporacion. Así fue como ll...

El consultor argentino en Seguridad,  Miguel Daruich , habló para el programa de TV online "Seguridad, Prevención y Servicios (SPS)", allá por el año 2009, acerca de la gestión de la continuidad del negocio, en particular, para el sector industrial. Aquí les comparto el video en YouTube :