ISO 22301

La preocupación por la continuidad del negocio es una cuestión que está a la orden del día. Podemos encontrar la certificación en la ISO 22301 como una de las principales iniciativas estratégicas de las empresas. El sector de la tecnología de la información valora en gran medida los grandes inconvenientes que pueden surgir. Estos pueden ser económicos, empresariales o de cualquier otra índole, y pueden desembocar en una inactividad de la producción.

A continuación vamos a señalar algunas de las indicaciones más utilizadas acerca de la continuidad del negocio. Es recomendable tenerlas en cuenta si se decide implantar un Sistema de Gestión de Continuidad de Negocio según ISO 22301.

 

Los aspectos fundamentales que debemos intentar proteger a través del Sistema de Gestión de Continuidad de Negocio son:

• Recuperación ante interrupciones imprevistas
• Posibles bloqueos económicos o legales
• Daños en la reputación y las responsabilidades

Cuando se han fijado los objetivos sobre política de continuidad de negocio deben tenerse en cuenta una serie de cuestiones. Estas son la protección de las aplicaciones y los datos y servicios, así como otros aspectos prácticos:

• Restricciones en el presupuesto
• Restricciones en personal

Otra cuestión de especial atención es la política de nuestros proveedores. Así como su resistencia para adoptar un sistema de protección y recuperación en el caso de ocurrir una interrupción imprevista.

Un supuesto que no debemos de perder de vista es el estudio de las amenazas de ataques maliciosos a los que estamos expuestos. Estos pueden ser tanto desastres naturales como errores del propio ser humano. La organización debe estar siempre atenta acerca de las posibles amenazas que pueden aparecer. Estas pueden afectar a la infraestructura, las aplicaciones, datos esenciales o a la disponibilidad de la información.

A continuación vamos a desarrollar un listado con las mejores prácticas a considerar en el momento de diseñar e implantar la continuidad del negocio:

1. Automatizar

Actualmente las empresas no pueden continuar dependiendo de un manual donde consultar los procesos de recuperación. Estos procesos son tanto humanos como tecnológicos. Su objetivo es la recuperación de cortes y restauración del acceso a los datos y a las distintas aplicaciones.

La recuperación tras un desastre natural acontecido en los últimos diez años, obliga a las empresas a la implementación de sistemas automatizados de recuperación. Incluso para aquellas organizaciones que hayan pensado realizar la recuperación, las cuales deben disponer de centros de datos a distancia.

Otra causa es la disponibilidad del personal que debe de llevar a cabo las tareas de recuperación. En supuestos en los que tengan lugar desastres naturales, es muy frecuente que los empleados no lleguen a tiempo a sus puestos de trabajo o a los centros de recuperación. Bien sea por atascos ocasiones o por la disponibilidad del transporte público entre otras cuestiones.

2. Las máquinas virtuales fallan

Debemos ser conscientes de la posibilidad de fallo e indisposición de las máquinas virtuales. Esto es independiente al nivel de protección que deseemos tener, pues son errores incorregibles. Por ello el plan de continuidad debe ser un plan mixto. En él debe considerarse la posibilidad de una copia de seguridad de los servidores virtuales.

3. La importancia de las pruebas

Si no se llevan a cabo pruebas de funcionamiento, cualquier plan de continuidad será siempre imperfecto. Las pruebas son un aspecto muy importante a la hora de definir un buen plan de continuidad. Esta cuestión es una de las más críticas en el momento de enfrentarnos a un sistema que responda al necesitarlo. Las pruebas deben estar planificadas con tiempo para que puedan realizarse correctamente. Dicha pruebas deben considerar cuestiones de fiabilidad en las modificaciones de los sistemas de copia de seguridad, los cuales aseguren la continuidad del negocio.

4. Deslocalización del centro de datos

Uno de los consejos es el de establecer una distancia razonables entre la producción y los espacios de recuperación. Con el objetivo de mantener alejados los problemas regionales que pudiesen afectar. Muchas pequeñas y medianas empresas poseen únicamente un centro de datos. A este tipo de empresas se les recomienda que lleven a cabo negociaciones con sus proveedores de servicios cloud. De forma que puedan contar con una opción de respaldo en una instalación remota.

5. Establecer prioridades

El impacto económico que genera el Sistema de Gestión de Continuidad de Negocio basado en ISO 22301 no es insignificante. Para poder implementar una solución económicamente viable es necesario determinar ciertas prioridades. Para ello debe realizarse un análisis de los procesos de negocio estableciendo las aplicaciones necesarias. Dentro de éstas debe indicarse cuales requieren disponibilidad inmediata y cuales pueden esperar un cierto tiempo.

6. Continuidad de negocio

El Sistema de Gestión de Continuidad de Negocio basado en la ISO 22301 se considera un servicio gestionado. Dicho sistema se encuentra dentro de todos los que componen la cartera de servicios de tecnología de la información. Para ello debe aprovecharse la experiencia en la selección de proveedores de tecnología de la información. Para seleccionar los sistemas con los que contar durante la recuperación dado el caso de una interrupción del servicio.

7. Impulsar la movilidad

Las empresas que promocionan el BYOD (Bring Your Own Device), conocido como “trae tu propio dispositivo”, favorecen la implementación de la ISO 22301. Solo se necesita de una conexión a internet fiable. Ello favorece que un gran porcentaje importante de los empleados no sean interrumpidos en las tareas que deben llevar a cabo desplazándose. Aunque con ello no se protege directamente de las incidencias que pudiesen ocurrir.

 

Software ISO 22301

El Software ISOTools Excellence es una plataforma tecnológica que facilita el llevar a cabo la implantación, mantenimiento y evaluación de un Sistema de Gestión de la Continuidad de Negocio, con el objetivo de poder identificar y controlar las posibles amenazas que se producen en la organización, según la norma ISO 22301.