Auditoría de continuidad del negocio y recuperación ante desastres

La minimización del tiempo de inactividad y la pérdida de datos durante la recuperación ante desastres se suele medir en función de dos conceptos clave:

• Objetivo de tiempo de recuperación (RTO), tiempo hasta que un sistema esté completamente operativo.
• El objetivo de punto de recuperación (RPO, por sus siglas en inglés) es una medida de la capacidad de recuperar archivos que se obtiene al especificar un punto en el tiempo al que se restaurará la copia de seguridad .

Un plan de recuperación ante desastres ( DRP ) es un proceso documentado o un conjunto de procedimientos para ejecutar los procesos de recuperación ante desastres de una organización y recuperar y proteger una infraestructura de TI empresarial en caso de un desastre . ^{[ 4 ]} Es "una declaración integral de acciones consistentes que se deben tomar antes, durante y después de un desastre". ^{[ 5 ]} El desastre puede ser natural , ambiental o provocado por el hombre . Los desastres provocados por el hombre pueden ser intencionales (por ejemplo, un acto terrorista) o no intencionales (es decir, accidentales, como la rotura de una presa artificial o incluso "dedos gordos" - o comandos erróneos ingresados ​​- en un sistema informático).

La recuperación ante desastres es un subconjunto de la continuidad del negocio. Mientras que la DRP abarca las políticas, herramientas y procedimientos para permitir la recuperación de datos tras un evento catastrófico, la BCP implica mantener todos los aspectos de un negocio en funcionamiento independientemente de posibles eventos disruptivos. Por lo tanto, un plan de continuidad del negocio es una estrategia organizacional integral que incluye la DRP, así como la prevención, detección, recuperación y reanudación de operaciones en caso de que se produzca una violación de datos u otro evento de desastre. Por consiguiente, la BCP consta de cinco planes componentes: ^{[ 9 ]}

• Plan de reanudación de la actividad empresarial
• Plan de emergencia para ocupantes
• Plan de continuidad de las operaciones
• Plan de gestión de incidentes
• Plan de recuperación ante desastres

Los tres primeros componentes (planes de reanudación de negocios, emergencia de ocupantes y continuidad de operaciones) no se ocupan de la infraestructura de TI. El plan de gestión de incidentes (PGI) sí se ocupa de la infraestructura de TI, pero dado que establece la estructura y los procedimientos para abordar los ciberataques contra los sistemas de TI de una organización, generalmente no constituye un agente para activar el DRP; por lo tanto, el DRP es el único componente del BCP de interés activo para TI. ^{[ 9 ]}

Según Geoffrey H. Wold del Disaster Recovery Journal, todo el proceso involucrado en el desarrollo de un Plan de Recuperación ante Desastres consta de 10 pasos: ^{[ 5 ]}

• Realización de una evaluación de riesgos : El comité de planificación elabora un análisis de riesgos y un análisis de impacto empresarial (AIE) que abarca diversos desastres posibles. Se analiza cada área funcional de la organización para determinar las consecuencias potenciales. Tradicionalmente, el fuego ha representado la mayor amenaza. Un plan exhaustivo contempla las situaciones más desfavorables, como la destrucción del edificio principal.
• Establecimiento de prioridades para el procesamiento y las operaciones : Se evalúan y priorizan las necesidades críticas de cada departamento. Se preparan acuerdos por escrito para las alternativas seleccionadas, con detalles que especifican la duración, las condiciones de rescisión, las pruebas del sistema , el costo , cualquier procedimiento de seguridad especial, el procedimiento para la notificación de cambios en el sistema, el horario de funcionamiento, el hardware específico y otros equipos necesarios para el procesamiento, los requisitos de personal, la definición de las circunstancias que constituyen una emergencia , el proceso para negociar extensiones de servicio, la garantía de compatibilidad , la disponibilidad , los requisitos de recursos que no sean mainframe, las prioridades y otros asuntos contractuales.
• Recopilación de datos : Esto incluye varias listas (lista de puestos de reserva de empleados, lista de números de teléfono críticos, lista maestra de llamadas, lista maestra de proveedores, lista de verificación de notificaciones), inventarios (equipos de comunicaciones, documentación, equipos de oficina, formularios, pólizas de seguro , hardware informático de grupos de trabajo y centros de datos, hardware y software de microcomputadoras , suministros de oficina , equipos de ubicaciones de almacenamiento externas, teléfonos, etc.), registro de distribución, cronogramas de copia de seguridad/retención de archivos de software y datos, especificaciones de ubicaciones temporales, cualquier otra lista, materiales, inventarios y documentación similares. A menudo se utilizan formularios preformateados para facilitar el proceso de recopilación de datos.
• Organizar y documentar un plan escrito.
• Desarrollo de criterios y procedimientos de prueba : las razones para realizar pruebas incluyen:
  • Determinar la viabilidad y compatibilidad de las instalaciones y los procedimientos de respaldo.
  • Identificar las áreas del plan que necesitan modificación.
  • Proporcionar formación a los jefes de equipo y a los miembros del equipo.
  • Demostrar la capacidad de recuperación de la organización.
  • Proporcionar la motivación necesaria para mantener y actualizar el plan de recuperación ante desastres.
• Prueba del plan : Se realiza una prueba inicial del plan mediante un recorrido estructurado. Posteriormente, se debe realizar una prueba real. Se corrigen los problemas.

Las pruebas iniciales se pueden realizar por secciones y fuera del horario laboral habitual para minimizar las interrupciones. Las pruebas posteriores se realizan durante el horario laboral habitual.

Debido a su alto costo, varios planes no están exentos de críticas. Dell ha identificado cinco "errores comunes" que las organizaciones suelen cometer en relación con la planificación de BCP/DR: ^{[ 14 ]}

• Falta de compromiso : Cuando la alta dirección ve la planificación de la recuperación ante desastres como "un simulacro de terremoto más" o los directores ejecutivos no hacen de la planificación y preparación para la recuperación ante desastres una prioridad.
• Objetivos de tiempo de recuperación (RTO) y objetivos de punto de recuperación (RPO) incompletos : No incluir todos y cada uno de los procesos de negocio importantes o bloques de datos. Las repercusiones pueden extender el impacto de un desastre. La nómina puede no ser crítica inicialmente, pero si se deja sin atender durante varios días, puede volverse más importante que cualquiera de los problemas iniciales.
• Miopía sistémica : Un tercer punto de fallo consiste en centrarse únicamente en la recuperación ante desastres sin tener en cuenta las necesidades más amplias de continuidad del negocio. La pérdida de espacio de oficinas corporativas debido a un desastre puede generar un flujo constante de teletrabajadores que, a su vez, pueden sobrecargar la VPN de la empresa de la noche a la mañana, sobrecargar al personal de soporte de TI en un abrir y cerrar de ojos y provocar graves cuellos de botella y monopolios en el sistema PBX telefónico.
• Seguridad deficiente : En caso de desastre, los datos y los procesos de negocio de una organización se vuelven vulnerables. Por ello, la seguridad puede ser más importante que la velocidad de recuperación ante desastres (RTO, por sus siglas en inglés). La consideración más crítica radica entonces en proteger los nuevos flujos de datos: desde las nuevas VPN hasta la conexión con los servicios de copia de seguridad externos.
  • En caso de desastres, la planificación de la investigación forense post mortem es fundamental.
  • Bloquear o borrar de forma remota los dispositivos portátiles perdidos.

El auditor determina la suficiencia de la cobertura de seguros de la empresa (en particular , los seguros de daños ) mediante la revisión de las pólizas de seguro y otras investigaciones. Entre los aspectos que el auditor debe verificar se encuentran: el alcance de la póliza (incluidas las exclusiones estipuladas), que el monto de la cobertura sea suficiente para cubrir las necesidades de la organización y que la póliza esté vigente. Asimismo, el auditor verifica, mediante la revisión de las calificaciones otorgadas por agencias de calificación independientes, que la o las compañías aseguradoras que brindan la cobertura tengan la solvencia financiera necesaria para cubrir las pérdidas en caso de un desastre.

Los planes de recuperación ante desastres eficaces tienen en cuenta el alcance de las responsabilidades de una empresa con otras entidades y su capacidad para cumplir con dichos compromisos a pesar de un desastre mayor. Una buena auditoría de recuperación ante desastres incluirá una revisión de los acuerdos y contratos existentes para garantizar que se minimice la responsabilidad legal de la organización por incumplimiento en caso de desastre o cualquier otra circunstancia excepcional. También se describen los acuerdos relativos al establecimiento de apoyo y asistencia para la recuperación de la entidad. Las técnicas utilizadas para evaluar esta área incluyen un examen de la razonabilidad del plan, una determinación de si el plan considera todos los factores y una verificación de la razonabilidad de los contratos y acuerdos mediante documentación e investigación externa.

El auditor debe verificar que la planificación garantice que tanto la gerencia como el equipo de recuperación cuenten con equipos de comunicación eficaces e información de contacto tanto para la comunicación interna como para asuntos externos, como socios comerciales y clientes clave.

Las técnicas de auditoría incluyen:

• probar procedimientos, entrevistar a empleados, hacer comparaciones con los planes de otras empresas y con los estándares de la industria,
• examinar los manuales de la empresa y otros procedimientos escritos.
• Observación directa de que los números de teléfono de emergencia están listados y son fácilmente accesibles en caso de desastre.

Todo buen plan de recuperación ante desastres incluye procedimientos para el apoyo del personal durante las labores de recuperación ininterrumpidas. Los procedimientos para el almacenamiento de alimentos y agua, la capacitación en RCP y primeros auxilios , y la atención a emergencias familiares están claramente documentados y probados. Esto generalmente se logra mediante programas de capacitación efectivos y una definición clara de las responsabilidades laborales. La evaluación de la capacidad de respuesta de un plan suele incluir tareas como consultas al personal, observación directa y revisión de los registros de capacitación y las certificaciones.

El auditor debe revisar los procedimientos que tengan en cuenta la posibilidad de cortes de energía u otras situaciones que no sean de naturaleza informática.

• Puede que necesite linternas y velas .
• Pueden ser necesarios procedimientos de seguridad en caso de fugas de gas, incendios u otros fenómenos similares, así como equipos de protección individual (EPI).