ISO 22301

Cuando hablamos de planes de continuidad de negocio no podemos dejar de hacer referencia a la ISO 22301. Algunas personas creen que esto es una costosa tarea, mientras que otras creen que no persigue ningún propósito.

Ambas pueden estar en lo cierto. Aunque si no se lleva a cabo ningún tipo de ejercicio, examen o prueba, la empresa no será capaz de sobrevivir a un desastre real.

 

El objetivo del ejercicio y las pruebas

Para empezar, analizaremos una de las principales diferencias entre la seguridad de la información y la continuidad de negocio. Los incidentes más pequeños están relacionados con la seguridad de la información. Cuando estos tienen lugar ponen de relieve lo deficiente que puede llegar a ser nuestro sistema. Los incidentes perturbadores no trascienden con tanta frecuencia, por lo tanto no existe oportunidad de mejorar la continuidad del negocio.

Esta circunstancia señala las deficiencias de todo plan de continuidad de negocio. No importa como de bien estén descritos, pues es imposible poder prever todo lo que va a suceder. Por esta razón los ejercicios y las pruebas se encuentran vacías. Una solución es simular una situación realista con el objetivo de encontrar qué no funciona en la continuidad de negocio. Cuando se carece de incidentes reales, se desarrollan simuladores para poder mejorar los planes basados en la ISO 22301.

 

Métodos de realizar el ejercicio y las pruebas

Uno de los métodos, pero no el único evidentemente, es el cierre inesperado de energía. Este debe ser uno de los primeros en ser analizado, pues es uno de los más comunes.

Los métodos que se pueden utilizar para llevar a cabo el ejercicio y la prueba son:

• Seminario de orientación. Se trata más de un entrenamiento en el cual los detalles de los planes son explicados a los participantes. Se realiza por los trabajadores, los proveedores y el moderador.
• Verificación de escritorio. Consiste en un control de los planes a través de técnicas de auditoría, validación y verificación. Se lleva a cabo con el autor del plan y el modelador.
• Plan de tutorial. Se basa en un control de los planes a través de la interacción del equipo. Se realiza por los principales participantes del plan y el modelador. La intención de la prueba es llevar a cabo una reunión conjunta.
• Pruebas funcionales. Se trata de probar cada uno de los planes que están relacionados entre sí por las actividades seleccionadas. Se utilizan los recursos reales en un ejercicio controlado. Todos los trabajadores son necesarios y el modelador observa.
• Prueba completa. Consiste en que todas las actividades son trasladadas desde el sitio original al sitio alternativo. Participan todos los trabajadores, proveedores, modelador y auditores.

Como regla general, deberá empezar con el método más eficaz y cada año dar un paso e ir al método más difícil.

 

Cómo preparar

El ejercicio y las pruebas son muy importantes, pudiendo incluso incidir en las operaciones diarias de la empresa. Asimismo en las decisiones acerca del método, alcance, objetivos y tiempos tomadas por la alta dirección. Previo a la realización de este tipo de propuesta, se deben consultar las cuestiones relativas con el jefe de departamento.

La administración debe decidir la frecuencia con la que llevar a cabo el ejercicio. Así como las pruebas que se van a realizar.

 

Quién incluir

Tanto la preparación como la coordinación del ejercicio y la prueba es llevada a cabo por la persona encargada de la continuidad de negocio en la organización. Todos los trabajadores de los distintos departamentos incluidos en el ejercicio y en las pruebas deben tomar parte.

El coordinador de continuidad del negocio es responsable de la preparación tanto de la prueba como del plan de ejercicio. Dicho plan define los objetivos de las pruebas. Se debe mostrar si las actividades serían recuperadas dentro del objetivo de tiempo de recuperación.

Cuando se ha realizado el ejercicio, la persona encargada coordinadora de la continuidad del negocio debe revisar todos los resultados. A continuación, tras revisarlos, deberá compararlos con los objetivos previamente planteados e informar sobre estos a la alta dirección.

 

Posibles alternativas

El ejercicio y las pruebas suponen un costo. Esto provoca que en la mayor parte de los casos no se realice la prueba completa. Por ello, no existe forma posible de averiguar qué es aquello que no funciona.

 

Software ISO 22301

La Plataforma Tecnológica ISOTools facilita la implementación, automatización y mantenimiento del Sistema de Gestión de Continuidad de Negocio basado en la norma ISO 22301. Permite a las empresas estar preparadas para actuar ante incidentes de diversa naturaleza. Se trata un software de sencilla implantación y funcionamiento, de estructura modular que permite la integración de la ISO 22301 con otras normas.