Apuntes sobre continuidad del negocio

Hace tan solo unos días, la comunidad de profesionales de la continuidad del negocio y la resiliencia organizacional en Latinoamérica fue testigo de un congreso sin precedentes —y no exagero— por tres razones: fue desarrollado 100% en línea, fue totalmente gratuito, y fue la primera vez que en un foro latinoamericano se habló acerca del nuevo enfoque para la gestión de la continuidad del negocio, Adaptive Business Continuity. Todas las conferencias están disponibles en el canal de YouTube del hombre detrás de esta iniciativa, Timothé Graziani , quien accedió además a darme una breve entrevista. Las conferencias grabadas están disponibles aquí:  https://www.youtube.com/channel/UCTeh22vDn6i9PmCauknQLzQ/videos Tim, ¿qué significó para ti haber llevado a cabo RESILIENCIA LATAM 2020 este año, en lo profesional y en lo personal? Creamos esta iniciativa en 2018 con el primer evento dedicado al tema de resiliencia organizacional en América Latina: “Resiliencia RD” (República Dominicana). ...

Regina Phelps es una consultora experta en continuidad del negocio, gestión de crisis, respuesta a emergencias y diseño de ejercicios; quien desde hace más de 30 años viene prestando servicios a empresas multinacionales en los cinco continentes. Es fundadora de la firma de consultoría Emergency Management & Safety Solutions , una empresa 100% de propiedad de mujeres.  Además de tener la gentileza de autografiarme su libro Emergency Management Exercises  en su última visita al Perú el año pasado, Regina accedió sin titubear a darme esta entrevista. Haga clic aquí para acceder a la entrevista original en inglés . Regina Phelps • 67 años de edad • Nacida en Visalia, California (Estados Unidos) • Profesional de la salud durante 7 años, como enfermera y luego administradora de un hospital • Pasatiempos: Avistar aves, viajar (ya ha visitado más de 90 países), leer e investigar cualquier tema que llame su atención. 1. ¿Cómo fue que llegaste a la práctica de la continuidad del neg...

APM Terminals Callao (APMTC) es el concesionario del Terminal Norte Multipropósito del Puerto del Callao (conocido como el Muelle Norte del Callao), para carga marítima general, que opera en el país desde el año 2016. El antepuerto de contenedores tiene 18,281 metros cuadrados y cuenta con un espacio de estacionamiento para 168 camiones en la entrada, y para 72 camiones en la salida. El ataque El pasado 27 de junio, el operador portuario fue víctima del ataque cibernético mundial que sufrió la casa matriz del grupo Maersk (Dinamarca), a la que pertenece. El ataque global de ransomware denominado "Petya" llegó a los servidores en Europa e India, afectando a todas las unidades de negocio de Maersk, incluyendo el transporte de contenedores, las operaciones portuarias y remolcadoras, la producción de petróleo y gas, los servicios de perforación y los petroleros, a nivel mundial. El malware se extendió a través de las operaciones globales de la compañía, llegando a impac...

Hace poco la reconocida compañía de seguridad informática Kaspersky Lab analizó la oferta de servicios de denegación de servicio (DDoS) disponibles en el mercado negro. Como comentamos en un post anterior , un ataque de denegación de servicio ocurre cuando se lanzan múltiples ciberataques a un objetivo único, normalmente dirigidos a los servidores de una compañía, a fín de que la víctima pierda conectividad a la red por un período indefinido de tiempo. El promedio es de 18 dólares por cada hora de ataque, pero puede costar desde cinco dólares por 300 segundos hasta 400 dólares en caso de bloquear un servidor durante 24 horas. Si bien estos costos pueden parecer insignificantes, lo más preocupante es que para la víctima puede suponer pérdidas de miles o hasta millones de dólares. Fuente : Cromo - El Observador (2017, abril). Descubre cuánto cobra un cibercriminal por un ataque DDOS . Recuperado de http://tecno.americaeconomia.com/articulos/descubre-cuanto-cobra-un-cibercriminal-...

El reciente  Cyber Resilience Report  muestra los resultados de la encuesta global sobre continuidad y resiliencia, llevada a cabo por el BCI y patrocinada por el Crises Control , en la que participaron 369 profesionales de negocios de todo el mundo. Las principales causas de interrupciones relacionadas con actividad cibernética fueron: Phishing (general) e ingeniería social Malware (código malicioso) Ataques de phishing específicos, para acceder a información confidencial Denegación de servicios Aprovechamiento de software obsoleto (vulnerabilidades) Aquí les comparto la infografía que resume los principales hallazgos: Fuente : Business Continuity Institute. [BCI]. (2016, junio). Faster response times needed to combat cyber threat . Recuperado de http://www.thebci.org/index.php/about/news-room#/news/faster-response-times-needed-to-combat-cyber-threat-171949

La continuidad operativa en instituciones de salud cobra vital importancia, de cara a la protección de la prestación de los servicios médicos y la disponibilidad de los datos críticos cuando más se necesitan, ante la ocurrencia de una interrupción severa o un desastre. A continuación, les dejo los enlaces a los posts de la serie  #BusinessContinuity en servicios de salud #Healthcare , publicadas en este blog entre septiembre de 2015 y abril de 2016: Enfoque para la planificación de continuidad ¿Un plan aparte para la gripe aviar? Programa de pruebas y ejercicios Desde dónde supervisar el plan de continuidad La dependencia de los sistemas de información Indisponibilidad de TI Falta de historias clínicas en situaciones de emergencia Cuán crítica es la interrupción de la atención de emergencias

La iniciativa  IBM Center for Applied Insights   — cuyo propósito es descubrir nuevas formas de pensar, trabajar y guiar a través de la investigación y el análisis de datos —  encuestó a 310 profesionales de las disciplinas de recuperación ante desastres y continuidad de negocios en Estados Unidos y Canadá, para conocer cuáles son las estrategias de resiliencia organizacional más efectivas hoy en día. La base de encuestados consistió principalmente en profesionales a cargo de funciones de gestión de la recuperación ante desastres y la continuidad del negocio de niveles ejecutivos y gerenciales, en la que más del 60% eran directores de TI o CIO (gerentes de Sistemas o gerentes de Tecnología). Los encuestados trabajaban para empresas en 19 sectores, que variaban en tamaños desde menos de 100 empleados a más de 10,000. A partir de los resultados obtenidos, IBM concluye que las organizaciones altamente resilientes se caracterizan porque: anticipan y planifican: forjan una...

La preparación ante desastres es más compleja en el rubro de salud que en otras industrias, ya que implica la planificación de la continuidad y la recuperación, además de la gestión tradicional de la respuesta a emergencias. La Joint Commission on Accreditation of Healthcare Organizations ( JCAHO ) define una emergencia como "un evento natural o de origen humano que súbita o significativamente interrumpe el entorno de la atención; interrumpe el cuidado y tratamiento; o cambia o aumenta la demanda de servicios de las instituciones de salud". Durante años, estas instituciones han sido conscientes de la necesidad de planificar y poner a prueba su capacidad para continuar con la atención médica en casos de emergencia. Esta planificación se debe enfocar en la restauración de los servicios críticos de inmediato, incluyendo los sistemas de comunicación y el acceso a la información del paciente. Se esperaría que las "operaciones de rutina" se interrumpan; sin embargo,...

De acuerdo a las leyes peruanas, la gestión del riesgo de desastres  es un proceso social cuyo fin es la prevención, la reducción y el control permanente de los factores de riesgo de desastre en la sociedad, así como la adecuada preparación y respuesta ante este tipo de situaciones. En ese sentido, la resolución ministerial n.° 080-2016-PCM dispuso el cronograma para la realización de los ejercicios (simulacros y simulaciones) durante el presente año , con la finalidad de preparar a la población para reaccionar ante diversos escenarios (por bajas temperaturas; sismos seguido de tsunami; sismos seguido de fenómenos de geodinámica externa y por intensas precipitaciones pluviales), poniendo a prueba los planes de gestión reactiva de los sectores, gobiernos regionales y locales, entidades públicas y privadas; y asimismo, sensibilizar a las autoridades y a la población. Este jueves 16 de junio a las 4 p. m. se desarrollará en todo el territorio nacional el simulacro por sismo, para l...

Tener acceso a las historias clínicas puede ser crítico en una situación de emergencia (por ejemplo, para conocer posibles alergias a medicamentos y/o alimentos, medicaciones actuales que podrían restringir ciertas medidas de emergencia, solicitudes de testamento vital , etc.). Tener acceso a la información en una situación de emergencia puede ser una cuestión de vida o muerte. Las organizaciones deben tener mecanismos para poder acceder a la información histórica sobre un paciente, ya sea a través de familiares, centros médicos o consultorios médicos, registros en papel u otros medios. Otras opciones pueden ser el uso de medidas de emergencia menos propensas a contravenir con otros medicamentos o tratamientos que el paciente esté usando en ese momento. Las instituciones de salud también deben contar con protocolos para el envío de pedidos a farmacia y de muestras al laboratorio. Un medio alternativo de comunicación será fundamental, ya sea interno o externa. Ver los demás  ...

En las instituciones de salud la dependencia de la tecnología aumenta el riesgo drásticamente. La disponibilidad de información implica mucho más que poder seguir procesando datos en caso de un desastre. Estas organizaciones tienen que asegurar sus operaciones, y considerar el impacto en su capacidad para brindar una atención de calidad al paciente. Para mitigar el riesgo, estas deben tener en cuenta: tener personas disponibles para operar en un entorno totalmente manual, sin dejar el cuidado del paciente; cómo la institución puede aprovechar la existencia de aplicaciones empresariales para crear procedimientos manuales estandarizados y controlados; desarrollar procesos y procedimientos para guiar las operaciones en contingencia ante la indisponibilidad de la TI; desarrollar controles generales de TI adecuados para garantizar que los cambios en los sistemas no causen interrupciones; y cómo el cumplimiento de las regulaciones y los requisitos de facturación podría ve...

Tal como comentábamos en un post anterior el año pasado , para el primer trimestre de 2016 se esperaba la publicación de la actualización de la Guía de Respuesta en Caso de Emergencia con materiales o mercancía peligrosa ( hazard materials ) (GRE2016). La guía proporciona a los primeros en responder ("respondedores") un instructivo práctico para ayudar a determinar rápidamente los procedimientos de respuesta a emergencias para hacer frente a accidentes con materiales peligrosos durante los primeros críticos 30 minutos. La versión en PDF de la guía se puede descargar libremente aquí: http://www.ciquime.org.ar/pluginAppObj_11522/download.php?action=download La versión original (en inglés) de la GRE2016 también está disponible como una aplicación para los celulares  smartphone , tanto para los sistemas basados en Android e iOS. Fuentes : Centro de Información Química para Emergencias [CIQUIME]. (2016).  Guía de Respuesta a Emergencias 2016 . Argentin...

La automatización de procesos a través de las tecnologías de la información, en el rubro de la asistencia sanitaria, hoy en día, va más allá de la facturación, las compras, la nómina y la contabilidad. El enfoque de la contingencia tecnológica ahora también incluye, por ejemplo, la administración de los registros e historias clínicas, la programación del mantenimiento de los equipos y la infraestructura, la dispensación de medicamentos, así como las soluciones de digitalización de imágenes  — todos estos aspectos con impacto directo en la atención del paciente — . Una planificación inadecuada de la disponibilidad de información genera gastos y pérdidas asociadas a la facturación, la cobranza o incluso la reputación de la organización. A medida que las instituciones de salud se vuelven más dependientes de los sistemas automatizados para las tareas del día a día, se vuelven también menos conscientes (y menos preparados para utilizar) procedimientos manuales e información de los ...

Un interesante artículo en el blog IBM Business Insight  explicaba una estrategia preventiva de continuidad de negocios, con el título de " Un enfoque de monitoreo remoto y mantenimiento automatizado es mejor que una póliza de seguro ". Hoy en día, proveedores de servicios como IBM ya ofrecen la posibilidad de monitorear y dar mantenimiento a los servidores, las PCs y otros componentes de la infraestructura de las empresas, e intervenir para reparar cualquier falla antes de que interrumpan la operativa del negocio. Si bien los fundamentos tecnológicos en los que esta estrategia se soporta no son nuevos —desde hace más de una década, las PCs, servidores y otros dispositivos de hardware ofrecen la opción de acceso remoto y pueden ser configurados de forma segura para permitir la administración remota—, su aplicación es cada vez más utilizada y valorada a fin de garantizar la continuidad operativa como parte de la gestión de la continuidad del negocio. Fuente : Busine...

Históricamente, el patrocinador ( sponsor ) del plan de continuidad de negocio normalmente estaba en el área de Tecnología de la Información (TI); la razón era que los antiguos programas de recuperación ante desastres se centraban en las copias de seguridad ( backups ) y restauración de datos de mainframes y servidores. Las empresas de salud están adoptando poco a poco las buenas prácticas de trasladar la propiedad de la continuidad de negocios a las propias unidades de negocio. Este cambio ya se ha producido, en gran medida, en los servicios financieros, retail y manufactura. Otras organizaciones sitúan al gerente de continuidad de negocios dentro del área de Mantenimiento, Servicios Generales o Infraestructura , donde la preocupación está dirigida principalmente hacia los edificios y el equipamiento; o lo sitúan en Finanzas , donde es visto como una extensión del programa de gestión de riesgos y seguros. Ver los demás  posts  de la serie: * Parte I:  Enfoque ...

Según la JCAHO ( Joint Commission on the Accreditation of Healthcare Organizations ), se requiere que los proveedores de salud realicen simulacros de desastres internos y externos centrados en la atención de los pacientes. Estas pruebas forman parte de la respuesta ante emergencias dentro del plan de continuidad, e incluyen ejercicios para departamentos o unidades específicas (tales como la Sala de Emergencias, la Sala de Operaciones o los consultorios clínicos), el uso de energía eléctrica de contingencia y las luces de emergencia, pruebas del árbol de llamadas, y la adquisición de alimentos y agua. Una prueba aparte debe hacerse sobre los sistemas de tecnología de la información (TI), es decir, una prueba de recuperación de desastres de TI ( disaster recovery plan ). Esta incluye los procedimientos de copias de seguridad ( backups ), los servicios móviles (datos/voz) y la habilitación de servidores y equipamiento de la infraestructura informática. Durante la prueba, los usuarios...

Ha habido mucha discusión en torno a lo que las organizaciones, en particular, de la salud, deben hacer al respecto a la gripe aviar, como parte de su plan de continuidad del negocio. Los proveedores de salud están en la primera línea para el tratamiento de pacientes durante una pandemia y son, por tanto, susceptibles de ser afectados operativamente por el absentismo y la enfermedad entre sus propios trabajadores. Aun así, la mayoría de las organizaciones no desarrollan planes de pandemia "separados", sino más bien crean apéndices/anexos conteniendo: los planes estratégicos de gestión de crisis (utilizados por los ejecutivos) y los planes de continuidad tácticos (para los procesos de negocio). Recomiendo revisar las guías de preparación ante la influenza, para los profesionales de la salud, que publica la agencia FLU.gov: http://espanol.flu.gov/preparaci%C3%B3n/hospital/txv/%C3%ADndice.html Ver los demás  posts  de la serie: * Parte I:  Enfoque para la plani...

De acuerdo con la CNE (Costa Rica) , una emergencia con materiales peligrosos (MAT-PEL) o accidente químico, es un evento repentino no-deseado resultante de la liberación o potencial liberación de sustancias peligrosas (gas, líquido o sólido), en forma de fuegos, explosiones, derrames, fugas o escapes, que son capaces de poner en riesgo la salud de las personas, sus bienes y el ambiente, de manera inmediata o a futuro; provocando lesiones, enfermedades, discapacidades e incluso la muerte. Estas emergencias se pueden originar en accidentes industriales, laboratorios, en el transporte de materiales peligrosos y en actividades comerciales diversas. La Guía de Respuesta a Emergencias 2012 (GRE2012) es una de las fuentes de referencia más utilizadas en el mundo para la respuesta a emergencias con materiales peligrosos (MAT-PEL), y fue desarrollada en forma conjunta entre el Departamento de Transporte de Canadá, el Departamento de Transporte de Estados Unidos, la Secretaría de Comunicac...

El miércoles 4 de marzo de 2015 alrededor de la 1.40 de la tarde, un incendio químico se desató en el Puerto Metro Vancouver , uno de los más importantes de Canadá. La alarma de nivel 4 (*) se produjo en el área de envío de contenedores; debido al riesgo de intoxicación, las autoridades portuarias y sanitarias de la localidad cerraron partes del centro de la ciudad, obligando a cientos de personas a quedarse en casa durante varias horas. Un contenedor que transportaba ácido tricloroisocianúrico (IMO de clase 5.1. Materia comburente)   — mercancía peligrosa con riesgo para la salud, para la seguridad, que puede producir daños en el medio ambiente y la propiedad, y que se utiliza normalmente como desinfectante industrial—, se sobrecalentó y se incendió en la terminal portuaria. El contenedor estaba ubicado en medio de numerosos contenedores que habían sido apilados en el patio, al este de centro de la ciudad de Vancouver. El humo tóxico producido por el fuego tenía mal olor...

La serie televisiva "Segundos Catastróficos" fue emitida por National Geographic Channel desde julio de 2004 hasta marzo de 2007 en los Estados Unidos. Tal como su título indica, desarrolló 67 documentales sobre accidentes desastrosos, tanto causados por el hombre como por la naturaleza. Aquí les dejo algunos de los videos de desastres emblemáticos de los últimos años, abordados con el peculiar estilo de "Segundos Catastróficos", y que han sido compartidos por distintos usuarios en YouTube: Accidente nuclear de Chernóbil de 1986 Explosion en la plataforma petrolera Piper Alpha (Mar del Norte) de 1988 El terremoto de Kobe de 1995 11-S: La tragedia del World Trade Center de 2001