REQUESTED AUTHORIZATIONS

Introducción

La meta de la Gestión de la Continuidad del Servicio de TI (ITSCM) es dar soporte al proceso global de continuidad del negocio, garantizando que todas las instalaciones técnicas y de servicios de TI necesarias (incluendo sistemas informáticos, redes, aplicaciones, repositorios de datos, telecomunicaciones, entornos, Soporte técnico y Centro de Servicio al Usuario, etc.) puedan volver a funcionar en los plazos de tiempo requeridos y acordados con el negocio.

Entre sus objetivos se incluyen:

• Mantener un conjunto de planes de continuidad y recuperación. • Realizar periódicamente Análisis de Impacto sobre el Negocio (BIA). • Realizar periódicamente estimaciones de riesgo y ejercicios de gestión.

• Asesorar y guiar a todas las áreas de negocio y de TI en todos los temas relacionados con la continuidad y la recuperación.

• Garantizar que los mecanismos adecuados de continuidad y recuperación están listos para poder cumplir o superar los objetivos particulares de continuidad acordados con el negocio.

• Evaluar el impacto de todos los cambios sobre los planes de continuidad y recuperación.

• Implementar medidas proactivas para mejorar la disponibilidad de los servicios (cuando sea justificable en costes).

• Negociar acuerdos con otros proveedores de servicios de TI en lo relativo a capacidad de recuperación requerida para soportar los planes de continuidad.

Ámbito

La ITSCM se centra en aquellos sucesos que el negocio pueda considerar como desastres (catástrofes), mientras que el proceso de Gestión de Incidencias se ocupa de hechos menos significativos. ITSCM hace especial hincapié en los activos y configuraciones de TI que dan soporte a procesos de negocio. Si una catástrofe obliga a pasar a un entorno de trabajo alternativo, el proceso cubre también espacios para oficinas, puestos para personal e instalaciones telefónicas, por ejemplo.

Habitualmente, la ITSCM no se ocupa directamente de cubrir aquellos riesgos, a largo plazo, que derivan de cambios en el rumbo del negocio. Estos riesgos pueden tener un enorme impacto, pero generalmente se dispone de tiempo suficiente para identificarlos y adoptar las acciones oportunas. Este proceso tampoco cubre pequeños técnicos menores (como fallos de discos no críticos), que corresponden a la Gestión de Incidencias.

ITSCM cubre:

• Acuerdos sobre el alcance de ITSCM.

• Análisis de Impacto sobre el Negocio, para cuantificar el impacto de los desastres. • Análisis de riesgos (RA): Identificación y evaluación de riesgos, para identificar las

potenciales amenazas sobre la continuidad y la probabilidad de que las amenazas se materialicen.

• Elaboración de una estrategia global de ITSCM, que debe estar integrada en la estrategia de gestión de la continuidad del negocio.

• Elaboración de planes de continuidad. • Pruebas de los planes.

• Operación continuada y mantenimiento de los planes. Valor para el negocio

La ITSCM desempeña un papel crucial en el apoyo al proceso de planificación de la continuidad del negocio. Las organizaciones la utilizan frecuentemente para concienciar sobre los requisitos de continuidad y recuperación y para justificar su decisión de implementar el proceso de planificación de la continuidad del negocio (incluyendo planes).

Actividades, métodos y técnicas

La ITSCM es un proceso cíclico que adapta continuamente los planes de recuperación y continuidad del servicio a los planes de continuidad del negocio. El proceso consta de cuatro fases (Figura 5.8):

Gestión de la Continuidad del Negocio (BCM) Estrategia de Continuidad del Negocio Inicio Requisitos y estrategia Implementación Operación continua Invocación Planes de Continuidad del Negocio

Ciclo de Vida Actividades clave

Definición de política Ámbito

Iniciar un proyecto

Análisis de Impacto sobre el Negocio Evaluación del Riesgo

Estrategia de Continuidad de los Servicios de TI

Desarrollar Planes de Continuidad de los Servicios de TI

Desarrollar planes de TI, planes de recuperación y procedimientos Planificación de organización Estrategia de pruebas Educación, concienciación y formación Revisión y auditoría Realización de pruebas Gestión de Cambios

1. Iniciación: Esta fase cubre toda la organización e incluye las siguientes actividades: - Definición de la política.

- Especificación de términos de referencia y alcance. - Asignación de recursos (personas, recursos y fondos).

- Definición de la organización del proyecto y la estructura de control. - Acuerdo del proyecto y de los planes de calidad.

2. Requisitos y estrategia: Determinar los requisitos de negocio para la ITSCM es vital para investigar la capacidad de supervivencia de una organización en caso de desastre. Esta fase incluye requisitos y estrategia. Los requisitos implican la realización de un Análisis de Impacto sobre el Negocio y un Análisis del riesgo: - Requisito 1: Análisis de Impacto sobre el Negocio (BIA): - Su objetivo es cuantificar

el impacto debido a la pérdida de servicios. Si el impacto se puede determinar con detalle, se denomina impacto tangible (es decir, pérdidas financieras). El impacto intangible es más difícil de determinar y representa, por ejemplo, el impacto sobre las relaciones públicas, la moral o la salud. El BIA identifica los servicios más importantes para la organización y proporciona información muy valiosa para la estrategia. Entre otras cosas, el análisis identifica:

s El tipo de daño o pérdida (ej.: ingresos, reputación). s La forma de escalado del daño.

s Las competencias, instalaciones y servicios que se necesitan para dar continuidad a procesos importantes.

s El plazo de tiempo en el que se debe producir la recuperación parcial (de los procesos más importantes) y total.

s Los períodos de recuperación para cada servicio.

En términos generales, es necesario adoptar más medidas preventivas para aquellos procesos y servicios cuyo impacto es mayor y ocurre más rápidamente. Se debería enfatizar en las medidas de continuidad y recuperación para aquellos en los que el impacto es menor y tarda más en desarrollarse.

- Requisito 2: Estimación del riesgo: Existen diversos métodos de análisis y gestión del riesgo. Un análisis del riesgo es una evaluación de los posibles riesgos que podrían provocar una interrupción del servicio o una violación de la seguridad. La gestión del riesgo identifica la respuesta y las contramedidas que se pueden adoptar con justificación de costes. Para investigar y gestionar los riesgos se puede utilizar un método estándar como la Gestión del Riesgo (MoR), que consta de:

s Principios de MoR.

s Planteamiento de MoR (organización).

s Incorporación y revisión de MoR.

s Comunicación (información adecuada y puesta al día).

- Estrategia 1: Medidas de reducción del riesgo: Las medidas para reducir riesgos se deben implementar en combinación con la Gestión de la Disponibilidad, puesto que la reducción de fallos afecta a la disponibilidad del servicio. Ejemplos de posibles medidas son los sistemas tolerantes a fallos, buenos controles de seguridad de TI y almacenamiento fuera de las instalaciones.

- Estrategia 2: Opciones de recuperación de ITSCM: La estrategia de continuidad implica un equilibrio entre los costes de las medidas de reducción del riesgo y las opciones de recuperación para restaurar los procesos de negocio en los tiempos acordados. Existen diversas opciones posibles de recuperación:

s Soluciones provisionales manuales: Una solución temporal para un período limitado.

s Acuerdos recíprocos: Acuerdos de soporte entre partes con infraestructuras similares (opción poco utilizada actualmente).

s Recuperación gradual (o cold standby): Método que permite acceder a instalaciones básicas (como espacio para personal y ordenadores) con un coste limitado y en un plazo de varios días (cuatro o más).

s Recuperación intermedia (warm standby): Recuperación en un plazo de dos o tres días, generalmente basada en una instalación preparada con antelación que se suele compartir con otras partes.

s Recuperación rápida (hot standby): Recuperación en un plazo de 24 horas y concentrada en los servicios principales que utiliza, por ejemplo, centros de reserva que pueden estar operativos en muy poco tiempo y con muy escasa pérdida de datos.

s Recuperación inmediata (también hot standby): Opción para la recuperación inmediata de servicios críticos del negocio con la ayuda de técnicas de replicación, dobles centros y otras técnicas de redundancia; no se pierde ningún dato.

3� Implementación: Los planes de ITSCM se pueden crear una vez aprobada la estrategia. No obstante, hay que recordar que un proceso de recuperación ante desastres cambia la estructura de la organización (procesos de toma de decisiones y liderazgo). El proceso debe estar configurado en torno a un alto directivo (que será normalmente el máximo responsable), un coordinador y los equipos de recuperación. Los planes se deben comprobar de manera exhaustiva empleando, por ejemplo, los siguientes tipos de pruebas:

- Pruebas superficiales. - Pruebas completas.

- Pruebas parciales (sólo en un servidor, por ejemplo).

- Escenarios de prueba (pruebas para respuestas/casos concretos). 4� Operación continuada: Esta fase incluye:

- Educación, concienciación y formación del personal. - Revisión y auditoría.

- Realización de pruebas.

- Gestión de Cambios (para garantizar que se ha evaluado el impacto potencial de todos los cambios).

- Prueba definitiva (invocación). Gestión de la información

Hay que registrar toda la información necesaria para el mantenimiento de planes de ITSCM y alinear el plan con la información de BCM (Gestión de la Continuidad del Negocio). La información debe incluir, como mínimo:

• La última versión de la estrategia de BCM y el Análisis de Impacto sobre el Negocio.

• Riesgos dentro de un registro de riesgos, evaluación del riesgo y posibles respuestas.

• Pruebas realizadas y planificadas.

• Detalles de los planes de ITSCM y relacionados.

• Instalaciones de recuperación existentes, suministradores, asociados y acuerdos. • Detalles sobre procesos de backup y restauración.

Interfaces

Diversos sucesos pueden actuar como disparadores de la ITSCM: • Necesidades del negocio nuevas o modificadas.

• Objetivos particulares nuevos o modificados en los acuerdos, i.e.: en SLAs, OLAs, o contratos.

• Aparición de una incidencia muy crítica, lo que requiere de una evaluación ante la potencial invocación de los planes de ITSCM o BCM.

• Actividades periódicas, como Análisis de Impacto sobre el Negocio o análisis del riesgo.

El proceso tiene interfaces con, por ejemplo:

• Gestión de incidencias y gestión de problemas: Las incidencias y los problemas pueden evolucionar hasta convertirse en incidencias muy críticas y desastres. • Gestión de la Disponibilidad: Realizando análisis de riesgos e implementando

las medidas de respuesta ante riesgos, en estrecha coordinación con el proceso de gestión de la disponibilidad.

• Gestión del Nivel de Servicio: Los requisitos de recuperación están recogidos y documentados en los SLA.

Entre las entradas a ITSCM se incluyen:

• Información de negocio (planes y estrategias de la organización). • Información de TI.

• Información financiera. • Planes y estrategias de BCM.

• Información de cambios (procedente de la Gestión de Cambios). • CMS.

• Programación de pruebas.

Entre las salidas de ITSCM se incluyen: • Políticas y estrategias de ITSCM revisadas.

• Ejercicios e informes de Análisis de Impacto sobre el Negocio. • Revisiones e informes de Análisis y gestión de riesgos. • Planes de continuidad.

• Escenarios de pruebas.

• Revisiones e informes de pruebas.

Métricas

El éxito de la ITSCM se puede medir con los siguientes Indicadores Clave de Rendimiento:

• El resultado de las auditorías periódicas de los planes de ITSCM.

• El nivel de acuerdo y documentación de los objetivos de recuperación del servicio en el SLA.

• Los resultados de las pruebas de los planes de ITSCM. • La revisión periódica de los planes de ITSCM.

Implementación

La ITSCM debe hacer frente a los siguientes retos:

• Proporcionar planes de continuidad cuando no exista un proceso de BCM.

• Si existe un proceso de BCM, integrar en él el plan de ITSCM y mantener esa situación.

El éxito de ITSCM depende en gran medida de que:

• Los servicios se puedan suministrar y restaurar de acuerdo con los objetivos del cliente.

Riesgos para ITSCM:

• Falta de compromiso del negocio y la dirección. • Falta de recursos y presupuesto.

• Importancia excesiva de la tecnología sobre los servicios y las necesidades de los clientes.

• Excesivo aislamiento del análisis y la gestión de riesgos, que no se realizan en colaboración con la Gestión de la Disponibilidad y la Gestión de la Seguridad.