Publicada la ISO 22301 Requerimientos para un BCMS

Este documento especifica los requerimientos para implementar, mantener y mejorar un BCMS (Business Continuity Management System) ó SGCN (Sistema de Gestión de Continuidad de Negocios), protegerlo, reducir la probabilidad de ocurrencia, prepararse, responder y recuperarse de interrupciones cuando se presenten. 

Los requisitos especificados en este documento son genéricos y están destinados a ser aplicables a todas las organizaciones, o partes de las mismas, independientemente del tipo, tamaño y naturaleza de la organización. El grado de aplicación de estos requisitos depende del entorno operativo y la complejidad de la organización.

Este documento es aplicable a todos los tipos y tamaños de organizaciones que:

1. Implementar, mantienen y mejoran un BCMS (Business continuity management system);
2. Buscan asegurar su cumplimiento de la política de continuidad de negocios establecida;
3. Necesitan poder continuar entregando productos y servicios a una capacidad predefinida aceptable durante una interrupción;
4. buscar mejorar su resiliencia a través de la aplicación efectiva del BCMS

Este documento puede usarse para evaluar la capacidad de una organización para satisfacer sus propias necesidades y obligaciones de continuidad de negocios.

Norma disponible en ESTE LINK

Vergonzoso: No aparece el 60 % de la información petrolera de Colombia

El grueso de la información técnica y geológica sobre la exploración, explotación y producción petrolera que el país ha venido recogiendo en los últimos 13 años no aparece. La Agencia Nacional de Hidrocarburos (ANH), entidad encargada de manejar ese banco de datos, le admitió a EL TIEMPO que en la migración que están haciendo de la información solo han logrado ubicar un 40 por ciento.

Cuando se preguntó quién es el culpable, dijeron que se debe a un mal procedimiento de los anteriores responsables de la información: la firma noruega Kadme, que manejó 5 años la plataforma que soporta los datos. Incluso, la ANH no le renovó el contrato y evalúa si le instaura una demanda por incumplir este y otros compromisos contractuales.

Pero la multinacional dice que su trabajo fue “impecable” y que tiene cómo defenderse. De hecho, a empresas del sector les extrañó que una firma con experiencia mundial fuera reemplazada (hace tres meses) por dos locales con polémicos antecedentes: JA Zabala & Consultores y Sun Gemini S. A.

Ambas crearon la Unión Temporal Gestión Petrolera Integrada y se quedaron con el contrato de actualización y modernización del banco de datos, por 19.114 millones. JA Zabala se dedica a todo tipo de actividades. Desde la construcción de obras civiles, hasta la venta de software, pasando por la atención de discapacitados. Su nombre salió a relucir, en el 2010, por concentrar parte de la contratación de la Secretaría de Integración en la administración de Samuel Moreno: 13.000 millones.

Y a Sun Gemini le critican que una de sus ejecutivas sea hoy funcionaria de la ANH, que intervino en el proyecto que sustentó el contrato: Marta Zamudio, gerente de información técnica, quien dijo no tener ningún tipo de inhabilidad.

Y sobre la adjudicación del contrato, Zamudio explicó que, aunque se invitó a 10 firmas, solo sus exjefes y socios presentaron oferta porque los demás no accedieron a entregar el código fuente, una especie de ADN del software que están montando para que la ANH lo use a perpetuidad. Zamudio también dio fe de que el contrato se está ejecutando sin problemas.

‘Informe rastrero’
Pero EL TIEMPO obtuvo un oficio interno, de octubre, en el que uno de los supervisores del contrato dice que “no hay garantías” para hacer su trabajo porque se le limita a la ANH el acceso al código fuente, “creando factores de riesgo”.

El vicepresidente técnico de la ANH, Fernando Martínez, calificó el informe como “rastrero y malintencionado”, dijo que lo desvirtuó y solicitó que el supervisor fuera investigado. Pero su solicitud no prosperó. Y aunque la información perdida se está intentando recuperar, varios funcionarios creen que la Procuraduría debe intervenir de inmediato.

‘Tenemos experiencia’

Alberto Nieto Guzmán, representante legal de la Unión Temporal Gestión Petrolera, dijo que tienen la experiencia en el área para cumplirle a la ANH, y que si bien no tenían individualmente el músculo financiero, lo subsanaron uniéndose. “Sun Gemini ha trabajado desde el 2003 en el sector de datos e hidrocarburos”, explicó. Y agregó que no conoce cuestionamientos en contra de JA Zabala, pero que evaluará si existe algún tipo de reparo que lo inhabilite.

FUENTE: ELTIEMPO


Hablando de la noticia en general:

1. El Banco de Información Petrolera en el año 2008 hizo una cuantiosa inversión en la implementación de un Sistema de Gestión de Seguridad de la Información ¿Debemos interpretar entonces que dicho dinero fue una inversión tomada a la ligera? Interesante que hasta la misma Procuraduria se asomara por la ANH para hacer la respectiva investigación. 
2. Mencionan a KADME como una firma con "experiencia mundial" pero no comentan que en su momento KADME solicito al antiguo administrador del Banco de Informacion Petrolera una copia del código fuente para ellos iniciar la administración de sus bases de datos. ¿Esa es la experiencia mundial de la que hablan?
3. ¿Criticas a un proceso de selección en el que se presentan solo dos postulantes a entregar un código fuente de un software que muy probablemente ni siquiera tengan en su poder? Por alguna razón no se presentaron a licitar las empresa reconocidas del sector, ignoro el porque pero me surge esta duda: ¿Corrupción a niveles insospechados?

ISO 27001 e ISO 27002: Dominio 14 Gestión de la Continuidad del Negocio

Continuando con los Dominios de la ISO 27002 (Numeral 14) o Anexo A de la ISO 27001 (Anexo A14), hoy vamos a revisar la Gestión de la Continuidad del Negocio. Que dicen la ISO 27001 e ISO 27002? Bien, incluye un objetivo de control:

14.1 ASPECTOS DE SEGURIDAD DE LA INFORMACIÓN EN LA GESTIÓN DE CONTINUIDAD DEL NEGOCIO

Objetivo: Contrarrestar las interrupciones en las actividades del negocio y proteger sus procesos críticos contra los efectos de fallas importantes en los sistemas de información o contra desastres y asegurar su recuperación oportuna.

Se debería implementar un proceso de gestión de la continuidad del negocio para minimizar el impacto y la recuperación por perdida de activos de información en la organización (la cual puede ser el resultado de, por ejemplo, desastres naturales, accidentes, fallas del equipo y acciones deliberadas) hasta un nivel aceptable mediante la combinación de controles preventivos y de recuperación. En este proceso es conveniente identificar los procesos críticos para el negocio e integrar los requisitos de la gestión de la seguridad de la información de la continuidad del negocio con otros requisitos de continuidad relacionados con aspectos tales como operaciones, personal, materiales, transporte e instalaciones.

Las consecuencias de desastres, fallas de seguridad, perdida del servicio y disponibilidad del servicio se deberían someter a un análisis del impacto en el negocio. Se deberían desarrollar e implementar planes de continuidad del negocio para garantizar la restauración oportuna de las operaciones esenciales.

La seguridad de la información debería ser una parte integral de todo el proceso de continuidad del negocio y de otros procesos de gestión en la organización.

La gestión de la continuidad del negocio deberla incluir controles para identificar y reducir los riesgos, además del proceso general de evaluación de riesgos, limitar las consecuencias de los incidentes dañinos y garantizar la disponibilidad de la información requerida para los procesos del negocio.

Como se puede interpretar, la Norma busca que la información de la Organización SIEMPRE este disponible, y cuando no pueda estarlo, su tiempo de no disponibilidad sea lo mas reducido posible para no afectar las operaciones, al cliente, etc. Profundicemos en los requisitos:

Para llevar a cabo la gestión de continuidad del negocio en la Organización se debe definir e implementar un proceso para reducir la interrupción causada por desastres naturales, accidentes y fallos de seguridad por medio de la combinación de controles preventivos y de recuperación.

Para el aseguramiento de la restauración de los servicios y sistemas de procesos manejados en la Organización en plazos requeridos para el aseguramiento de la continuidad del negocio, se deben desarrollar e implementar planes de contingencia, los cuales deben ser probados para que se integren con todos los demás procesos de gestión.

Las consecuencias causadas por desastres naturales, fallos de seguridad y pérdidas de servicio deben ser analizadas. Se deben definir e implementar normas y controles para la identificación y reducción de riesgos, limitar las consecuencias de incidentes dañinas y asegurar la reanudación, a tiempo, de las operaciones esenciales.

Pero que debería incluir el Plan de Continuidad de Negocio?

Se debe seguir una estrategia de recuperación alineada con los objetivos de negocio, formalmente documentada y con procedimientos perfectamente probados para asegurar la restauración de los procesos críticos del negocio, ante el evento de una contingencia.

Esta estrategia debe mantener una estructura unificada para asegurar la consistencia de todos los planes y considerar los requisitos de seguridad de la información de forma consistente. Cada Responsable de los procesos de la Organización con el acompañamiento del área del Sistemas debe diseñar, implementar, probar y mantener su Plan de Continuidad. El plan de continuidad debe considerar los siguientes aspectos:

1. Procedimientos de contingencia. Los cuales describen las acciones a tomar cuando ocurre un incidente que interrumpe las operaciones del negocio, proporcionando mecanismos alternos y temporales para continuar con el procesamiento.
2. Procedimientos de recuperación. Los cuales describen las acciones a seguir para trasladar las actividades del negocio a un centro alterno de recuperación.
3. Procedimientos de retorno. Los cuales describen las acciones a seguir para regresar las operaciones normales a las instalaciones originales.
4. Programación de pruebas. Las cuales describen la periodicidad en que el plan de continuidad debe ser probado.
5. Actualización periódica. El plan debe actualizarse cuando cambios realizados en el ambiente operativo impacten su funcionalidad. Un análisis de impacto al negocio debe ser realizado como mínimo una vez al año, con el objeto de determinar la necesidad de la disponibilidad de la información en el grado y escala de tiempo requeridos después de una interrupción de las funciones críticas de la Organización.
6. Consideraciones de seguridad. Es importante que el plan sea diseñado para mantener los controles de seguridad establecidos por la Organización, aún cuando se opere en modalidad de contingencia. Es responsabilidad de la Coordinación de Seguridad de la Información asegurar que estas consideraciones sean efectivamente contempladas en el plan.
7. El Plan de Continuidad debe estar alineado con los riesgos identificados que puedan causar interrupción al servicio. Para este caso, se debe tener en cuenta las posibles consecuencias para la seguridad de la información.

Cuando se realicen pruebas, simulacros o se tengan contingencias reales, los resultados y sugerencias deben ser entregadas a los responsables de la información quienes deben actualizar sus planes y mantenerlos al día conforme los riesgos de disponibilidad lo dictaminen. Al menos cada seis meses, se deben realizar ejercicios regulares y diagramados de recuperación del sistema para probar la efectividad del plan de continuidad del negocio.

El objetivo de realizar pruebas de los planes de continuidad, es probar que el plan se encuentre debidamente actualizado, que los procedimientos funcionan adecuadamente y que se obtiene la recuperación requerida en el tiempo programado.

Como se puede observar, idealmente un Plan de Continuidad de Negocios contiene procedimientos de contingencia, de recuperación, de retorno, de pruebas, debe ser actualizado con una periodicidad preestablecido cuando la situación lo amerite, y muy importante, estar alineado con los riesgos que se haya identificado cuya materialización u ocurrencia desemboque en interrupciones de servicio.