Auditoria de Sistemas

Listado de Temas del curso consultas al mail: stmas@speedy.com.pe

jueves, septiembre 28, 2006

Tema 8 - Plan de Contingencias

Tema 8 - Plan de Contingencias

DEFINICIÓN


El plan de contingencias es una estrategia constituida por un conjunto de recursos ideados con el propósito de servir de respaldo, contando con una organización de emergencia y unos procedimientos de actuación encaminada a conseguir una restauración progresiva y ágil de los servicios de negocio efectuados por una paralización total o parcial de la capacidad operativa de la empresa.

Tal estrategia, puntualizada en un manual, es resultado de todo un proceso de análisis y
definiciones que dan lugar a las metodologías. A su vez las metodologías existentes versan sobre el proceso necesario para obtener dicho plan.

Es muy importante tener en cuenta que el concepto a considerar es “ la continuidad en el negocio” ; estudiar todo lo que pueda en un momento dado paralizar la actividad y producir pérdidas. Todo lo que no considere estos criterios no podrá ser nunca un plan de contingencias.


PLAN DE CONTINGENCIAS

En el mundo de los negocios, la tecnología del cómputo ha incrementado su campo de acción desde transacciones de contabilidad de tabulación histórica, hasta asimilaciones de tiempo real en el manejo de datos complejos analógicos y digitales, así como en la formulación y la ejecución de procesos en procedimientos de control y seguridad. Las computadoras han adquirido la capacidad de asimilar consistentemente los datos, variables, soluciones de desarrollo, y aplicarlos a la multitud de problemas de negociación. En general, la mayoría de los procesos para la toma de decisiones y los sistemas de control que han sido institucionalizados en sistemas computacionales.

Para la mayoría de las organizaciones la supuesta dependencia de los sistemas de cómputo durante un periodo de recuperación de desastres es un mito propiciado por los siguientes factores:

ê Ausencia en una conciencia centralizada y en la prioridad de los Programas de Educación para tener un análisis del impacto en los negocios.

ê Fallas en la exploración de las alternativas

Un proceso educativo y la exploración de alternativas viables con el personal adecuado es la clave para la efectividad de los planes de contingencia a un costo adecuado.

Los planes de recuperación de desastes y la planeación continua de negocios involucran grandes consideraciones de planeación. Existen generalmente tres áreas de acción a la que están dirigidos:

ð Pérdida de la capacidad de comunicación, como: voz y datos.
ð Perdida de la capacidad de procesamiento.
ð Perdida del espacio principal de trabajo.

La responsabilidad de llevar a cabo esta planeación dentro de las áreas funcionales de una organización puede ser asumida por departamentos individuales, sin embargo la planeación de contingencia debe ser coordinada centralizadamente. De forma tal que las relaciones interdepartamentales, las dependencias de un sistema con otros, y la necesidad de reducir duplicación de tareas en algunos puntos de la planeación justifican la necesidad de coordinar los procesos durante la planeación de contingencias en la corporación-completa.


CICLO DE VIDA DE LOS DESASTRES

En la decisión de que es lo que debería incluirse en el plan, esto nos ayuda a entender las diferentes fases de un desastre. El ciclo de vida de un desastre consta de cuatro periodos de tiempo:


1. Operaciones normales
2. Respuestas de emergencia
3. Procesamiento interno
4. Restauración


Prevención

Respuestas
Organizadas
(Daños)

Facilidades de restauración
(Resumen-operaciones)

Protección del Flujo de
Efectivo
(alternativas)

Operaciones Normales


Las operaciones normales indican el periodo de tiempo antes de que ocurra un desaste. Esta fase del plan debe incluir la práctica de las operaciones que pretenden prevenir un desastre desde que principia, y de aquellas que ayudan a mitigar el impacto del mismo, prever lo que podría ocurrir.


Respuestas de Emergencia

Las respuestas derivadas de una situación de emergencia ocurren durante las pocas horas que siguen inmediatamente a un desastre. Esta fase de un plan identifica las actividades
que pueden necesitar mayor atención durante este periodo, con la finalidad de asegurar una respuesta a la organización y proporcionar una lista de verificación de las emisiones importantes que pueden pasar inadvertidas durante la confusión que acompaña a los desastres


Procesamiento Interno

El procesamiento interno es un procedimiento alternativo que representa el tiempo de duración de la contingencia en relación con el soporte de las funciones esenciales de la empresa hasta que la capacidad de procesamiento normal sea restaurada. Estos procedimientos alternativos, deberían ser desarrollados por un departamento funcional dividido en tres fases:

ð Inicio:
Esta sección identifica la necesidad de una preparación específica para asegurar las transiciones desde “ el negocio como usual” hasta una modalidad de procesamiento interno.

ð Soporte de las funciones esenciales del negocio:
Esta sección describe los departamentos funcionales que están de acuerdo en el soporte de las funciones vitales del negocio durante el periodo de recuperación de desastres.

ð Recuperación de datos.
En esta sección, el plan cubre las responsabilidades funcionales para retener los datos transaccionales que ocurren durante el periodo de procesamiento interno, así que los archivos y bases de datos pueden ser actualizados cuando la capacidad de procesamiento normal sea restaurado.


Restauración

La restauración indica el periodo de tiempo destinado a aquellas actividades que se necesita realizar para recuperar una condición o capacidad de procesamiento en su operación normal. La restauración involucra necesariamente los pasos de la planeación, organización y control de tales actividades.

Cuando el clima económico es favorable, los planes de contingencia están al final de la lista de las cosas que se necesitan hacer; cuando los beneficios son bajos, los planes de contingencia forman parte de las actividades prioritarias de la empresa ya que se trata de asegurar el negocio, Además mientras mayor sea el costo en los proyectos del plan de contingencias, mayor será su plazo.


Respaldo

Cuando un servicio falla, la tarea principal del servidor debe ser la de recuperación; mientras que la responsabilidad principal del usuario es la de dar continuidad a las operaciones.


AREAS DE EXPOSICIÓN


Las áreas comunes de exposición a desastres en los negocios incluyen lo siguiente:

ð Comunicaciones telefónicas
ð Capacidad de procesamiento de cómputo
ð Medios vitales

Comunicaciones telefónicas
Los teléfonos por lo regular están a cargo de alguna concesión; rara vez falla el servicio a excepción de breves periodos, tal como una tormenta inesperada, o un sismo. Pero es apropiado preparar un plan de contingencia que nos proveerá una capacidad de comunicación de voz mínima durante el periodo de recuperación de desastres, tomando en cuenta que la mayoría de las computadoras que se conectan a Internet desde las empresas recurren a este medio principalmente.


Capacidad de procesamiento de cómputo

Para valorar la magnitud de este apartado, hay que evaluar por ejemplo cuanto tiempo puede operar la organización sin procesamiento de computación.

Las organizaciones de servicio financiero no pueden operar por más de un día o dos sin procesamiento de computación, como ellos necesitan esta capacidad para el servicio de transacciones.

Aún para otras organizaciones, este no puede ser el caso. Sin embargo varios negocios son dependientes de las computadoras para sus operaciones cotidianas, aun así, resulta incorrecto asumir que ellos no pueden operar sin este soporte
durante un periodo relativamente breve en la recuperación del desastre en por lo menos una o dos semanas.


Medios vitales

La pérdida de inmuebles resultante del fuego u otros siniestros no es un algo nuevo. La falta de seguridad es la respuesta de mayor costo efectivo. Las fallas en los negocios que siguen a un desastre, normalmente son causadas por pérdidas de bienes, como medios de manufactura, centros de distribución, o construcciones de oficina, o una incapacidad para soportar las funciones vitales del negocio siguen a una interrupción de la capacidad de procesamiento normal.

Los planes actuales pueden no ser efectivos
Al menos el 25% de las organizaciones han tenido desastres en el trabajo debido a sus planes de recuperación. Algunos planes parecen muy buenos en papel -pero podrían no funcionar al momento de ser implementados. Los planes que no son viables usualmente tienen tres cosas en común:

ð El enfoque es mantener a la computadora corriendo, en lugar de mantener a la organización en acción.
ð Nadie se toma el tiempo de identificar procedimientos alternativos para soportar funciones que normalmente confían en la tecnología de computación, pero actualmente podría sobrevivir a un desastre en el periodo de recuperación utilizando métodos alternativos.
ð El plan contiene detalles innecesarios y que afirman que los problemas no existen.

TIPOS DE DESASTRES

En general, desastre es cualquier evento que, cuando ocurre tiene la capacidad de interrumpir la operación normal de una organización. Este incidente que puede ser causado por:


Un evento
Natural

Problemas ambientales Provocados

Inundaciones Huracanes Temblores Tornados Incendios

Explosiones

Contaminación Derramamiento de material peligroso

Pérdida del servicio telefónico

Pérdida de poder

Sabotaje

Vandalismo

Provocación de incendio


DEFINIENDO EL PROBLEMA

Si nos llegará a pasar que debido a cualquier razón –fuego, explosión, sabotaje– la computadora falla, y no se tiene la capacidad de levantarla en un plazo máximo de 5 días.
¿Qué procedimientos de respaldo existen en el sistema en línea que ordene los procesos?; ¿cuáles son los requerimientos del cliente?; ¿cómo determinaríamos la disponibilidad de inversión?, etc.

La única respuesta es tener un plan de contingencia que documente la manera en que las funciones esenciales del negocio continuaran hasta que la capacidad de procesamiento normal sea restaurada y los medios vitales sean accesibles.

Fases de un plan


Fase I. Análisis y Diseño

Estudia la problemática, las necesidades de recursos, las alternativas de respaldo, y se analiza el costo/beneficio de las mismas. Ésta es la fase más importante, pudiendo llegarse al final de la misma incluso a la conclusión de que no es viable o es muy costoso su seguimiento. En la forma de desarrollar esta fase, se diferencian las dos familias metodológicas. Estas son llamadas Risk Analysis y Business Impact.


Las Risk Analysis se basan en el estudio de los posibles riesgos desde el punto de vista de probabilidad de que los mismos sucedan. Aunque los registros de incidentes son escasos y poco fiables, aún así es más fácil encontrar este tipo de metodologías que las segundas

Las Business Impact, se basan en el estudio del impacto (pérdida económica o de imagen que ocasiona la falta de algún recurso de los que soporta la actividad del negocio. Estas metodologías son más escasas, pero tienen grandes ventajas como es el mejor entendimiento del proceso o el menor empleo de tiempo de trabajo por ir más directamente al problema
Las tareas de esta fase en las distintas metodologías planteadas son las siguientes:


Risk Analysis

1. Identificación de amenazas
2. Análisis de la probabilidad de materialización de la amenaza
3. Selección de amenazas
4. Identificación de entornos amenazados
5. Identificación de servicios afectados
6. Estimación del impacto económico por paralización de cada servicio
7. Selección de los servicios a cubrir
8. Selección final del ámbito del plan
9. Identificación de alternativas para los entornos
10. Selección de alternativas
11. Diseño de estrategias de respaldo
12. Selección de la estrategia de respaldo


Business Impact

1. Identificación de servicios finales
2. Análisis del impacto. En estas metodologías se evalúan los daños económicos y de imagen y otros aspectos no económicos.
3. Selección de servicios críticos
4. Determinación de recursos de soporte
5. Identificación de alternativas para entornos
6. Selección de alternativas
7. Diseño de estrategias globales de respaldo
8. Selección de la estrategia global de respaldo


Hay un factor importante a determinar en esta fase que es el Time Frame o tiempo que la organización puede asumir con paralización de la actividad operativa antes
de incurrir en pérdidas significativas. Este factor marcará las estrategias de recuperación de recuperación y se extraerá del análisis del impacto


Fase II. Desarrollo de un plan

Esta fase y la tercera son similares en todas las metodologías. En ella se desarrolla la estrategia seleccionada, implantándose hasta el final todas las acciones previstas. Se definen las distintas organizaciones de emergencia y se desarrollan los procedimientos de actuación generando así la documentación del plan.

Es en esta fase cuando se analiza la vuelta a la normalidad, dado que pasar de la situación normal a la alternativa debe concluirse con la reconstrucción de la situación inicial antes de la contingencia.

Fase III. Pruebas y mantenimiento

En esta fase se definen las pruebas, sus características y sus ciclos, y se realiza la primera prueba como comprobación de todo el trabajo realizado, así como concientizar al personal implicado.

Asimismo se define la estrategia de mantenimiento, la organización destinada a ello, y las normas y procedimientos necesarios para llevarlo a cabo.

Herramientas

El esquema de una herramienta debe tener al menor los siguientes puntos
· Base de datos relacional
· Módulo de entrada de datos
· Módulo de consultas
· Proceso de textos
· Generador de informes
· Ayudas “ on-line”
· Hoja de cálculo
· Gestor de proyectos
· Generador de gráficos


CARACTERISTICAS DE UN PLAN DE CONTINGENCIA


Un plan de contingencia debería de:
· Tener la aprobación de los integrantes.
· Ser flexible.
· Contener un proceso de mantenimiento.
· Tener un costo efectivo.
· Enfatizar en la continuidad del negocio
· Asignar responsabilidades específicas.
· Incluir un programa de prueba.

Aprobación
El plan debe de ser aceptable para auditores internos; fuera de auditores, el director, clientes y proveedores.

Flexibilidad
El plan deberá ser especificado en guías, en lugar de relacionar los detalles a situaciones individuales del desastre.

Mantenimiento
Eludir detalles innecesarios de manera que el plan pueda ser fácilmente actualizado

Costo-Efectividad
La planeación del proyecto deberá enfatizar en la necesidad de minimizar los costos del desarrollo del plan, respaldo redundante del procesamiento de la subscripción de honorarios, mantenimiento y costo de pruebas.

Continuidad de la empresa
El plan debe de asegurar la continuidad, durante un periodo de recuperación de desastres.

Respuesta organizada
El plan debe proporcionar una lista de verificación de salidas que necesitan atención inmediata que sigue al desastre. Así mismo incluirá listas de números de teléfono y las direcciones de individuos para conectarlos.

Responsabilidad
A individuos específicos deberá asignárseles la responsabilidad de cada salida que requiera atención durante la Respuesta de Emergencia y el tiempo del periodo del procesamiento interno.

Prueba
La prueba con los usuarios para revisar los procedimientos de verificación de respaldo debe de realizar algo especifico en los intervalos de tiempo. De tal forma que el plan cuente con un estado de frecuencias de prueba y documente la metodología de prueba.


CARACTERISTICAS DE UN BUEN PLAN DE CONTINGENCIA


ð Funcional – Desarrollado por los supervisores de primera línea
ð Costo-Efectividad – En relación con baja probabilidad
ð Flexibilidad – El mismo plan puede ser utilizado para cualquier desastre
ð Fácil de mantener – Mantenerlo simple Pero no basta con tener un manual cuyo título sea Plan de Contingencia o denominación similar, sino que es imprescindible conocer si funcionará con las garantías necesarias y cubre los requerimientos en un tiempo inferior al fijado y con una duración suficiente.

El plan de contingencia inexcusablemente debe:

· Realizar un análisis de Riesgos de Sistemas Críticos que determine la tolerancia de los sistemas.
· Establecer un Periodo Crítico de Recuperación en el cual los procesos deben ser reanudados antes de sufrir pérdidas significativas o irrecuperables.
· Realizar un Análisis de Aplicaciones Críticas por el que se establezcan las prioridades de Proceso.
· Determinar las prioridades de Proceso, por días del año, que indiquen cuáles son las Aplicaciones y Sistemas Críticos en el momento de ocurrir el desastre y el orden de proceso correcto.
· Establecer Objetivos de Recuperación que determinen el período de tiempo
(horas, días, semanas) entre la declaración de Desastre y el momento en que el Centro Alternativo puede procesar las Aplicaciones Críticas.
· Designar, entre los distintos tipos existentes, un Centro Alternativo de Proceso de Datos.
· Asegurar la Capacidad de
Comunicaciones.
· Asegurar la Capacidad de los Servicios de respaldos.

Algunas de las preguntas que pueden formularse al realizar una auditoria sobre
este tipo de planes esta:

· ¿Cómo está estructurado el Plan?
· ¿Es fácil de seguir el Plan n el caso de un desastre?
· ¿Indica el Plan quién es el responsable de desarrollar tareas específicas?
· ¿Cómo se activa el plan en caso de un desastre?
· ¿Cómo están contenidos estos procedimientos de activación en los procedimientos de emergencia normales de la organización?
· ¿Han sido probados estos procedimientos en un test de desastre simulado?
· ¿Contiene el Plan procedimientos que fijen los daños en las etapas iniciales de las Operaciones de Recuperación?
· ¿Incluye el Plan procedimientos para trasladar el proceso desde el Centro Alternativo al Centro Restaurado o Nuevo?
· ¿Contiene el Plan listados del Inventario del proceso de datos y Hard de comunicaciones, software, formularios preimpresos y stock de papel y accesorios?
· ¿Están actualizados los listados telefónicos del personal de Recuperación así como empleados del Proceso de Datos, alta dirección, usuarios finales, vendedores y proveedores?
· ¿Cómo esta contenido el plan?
· ¿Quién es el responsable de actualizar el
Plan?
· ¿Cuándo fue actualizado el plan por

· ¿Hay copias del Plan distribuidas en otro lugar?

En la auditoría es necesario revisar si existe tal plan, si es completo y actualizado, si cubre los diferentes procesos, áreas y plataformas, o bien si existen planes deferentes según entornos, evaluar en todo caso su idoneidad, así como los resultados de las pruebas que se hayan realizado, y si permite garantizar razonablemente que en caso necesario, y a través de los medios alternativos, propios o contratados, podría permitir la reanudación de las operaciones en un tiempo inferior al fijado por los responsables del uso de las aplicaciones, que a veces son también los propietarios de las mismas pero podrían no serlo.

Si las revisiones no aportan garantías suficientes se deben sugerir pruebas complementarias o hacer constar en el informe, incluso indicarlo en el apartado de limitaciones

Es necesario verificar que la solución adoptada es adecuada: instalaciones propias, ajenas, compartidas, etc. Y que existe el contrato oportuno si hay participación de otras entidades aunque sean del mismo grupo o sector.

Dentro lo critico de las aplicaciones se puede distinguir entre las más críticas, con impacto muy alto en el negocio y sin alternativa, otras con alternativas, e incluso diferenciado si con costos altos o inferiores, y aquellas cuya interrupción, al menos en un número de días fijado, no tiene casi incidencia y habrá que distinguir qué tipos de consecuencias e impacto, en función del sector y entidad, y día del mes en que ocurriera el incidente, y tal vez la hora en algunos casos.

Frente a lo que venía siendo la previsión de contingencias en estos años pasados, centrándose sólo en el host como un gran servidor, hoy en día, con la clara tendencia a entornos distribuidos, es necesario considerar también estos en la previsión de las contingencias.

Debe existir un manual completo y exhaustivo relacionado con la continuidad en el que se contemplen diferentes tipos de incidencias y a que nivel se puede decidir que se trata de una contingencia y de qué tipo.