¿Para qué me sirve esta actividad? 📚
Esta actividad te ayudará a establecer cómo tu empresa planifica, ejecuta, registra, monitorea y prueba las copias de seguridad de sus sistemas que contienen datos personales e información crítica.
Este documento es importante porque permite proteger la disponibilidad e integridad de la información ante fallas técnicas, errores operativos, incidentes de seguridad o interrupciones que puedan afectar los sistemas y los datos personales tratados por la empresa.
¿Qué tengo que hacer? 🚀
💡Este documento debe reflejar la infraestructura tecnológica, herramientas y responsables reales de tu empresa involucrados en la gestión de respaldos.
Al trabajar en el template, te recomendamos primero leerlo en su totalidad para así comprender la información que deberás documentar posteriormente. Y para completarlo de forma adecuada, te recomendamos considerar lo siguiente:
Objetivo y alcance del procedimiento.
Verifica que el objetivo del documento se enfoque en asegurar la disponibilidad, protección, integridad y privacidad de la información y los datos personales.
Asegúrate de que el alcance incluya los sistemas e información crítica que formen parte de tu SGPI.
No incluyas sistemas que la empresa no utiliza, pero evita excluir aquellos que sí almacenan o procesan información relevante o datos personales.
Planifica las actividades de respaldo.
Si los respaldos se realizan de forma manual, es recomendable establecer un cronograma de actividades donde se definan los responsables, sistemas involucrados, horarios de ejecución, tipo de backup y periodicidad.
Si los respaldos son automáticos, de igual manera es muy recomendable conocer todos los puntos anteriores, con base en las configuraciones permitidas dentro del sistema, y definirlo dentro de este procedimiento.
Si no cuentas con un formato predefinido, recomendamos usar el formato que te proponemos en el template de la actividad Plan y Programa de Auditoría, en la pestaña llamada "Plan".
Ejecución de los respaldos.
El responsable asignado debe realizar y/o supervisar que las copias de seguridad se ejecuten correctamente, conforme a la planificación definida.
Si se detecta una falla o anomalía durante la ejecución, debe reportarse lo antes posible o bajo el plazo que tú definas permitido, para identificar y aplicar las acciones necesarias pertinentes.
Registra las acciones realizadas.
Un registro de las acciones realizadas sobre la gestión de respaldos es esencial para tener una correcta trazabilidad, lo cual funge como evidencia de cumplimiento normativo.
El registro debe incluir el tipo de backup, fecha y hora, sistemas o información respaldada, protección aplicada, lugar de almacenamiento, responsables y observaciones relevantes.
Una vez realizado el respaldo y completado el registro, se deben comunicar las acciones a las partes interesadas definidas por la empresa y dentro de este procedimiento.
Monitorea y almacena los respaldos.
Establece quién verificará que los respaldos se hayan ejecutado correctamente y que las copias obtenidas mantengan su integridad. Además, cómo deben reportarse y gestionarse las posibles anomalías identificadas durante el monitoreo.
Define los tiempos de conservación de los respaldos, y para aquellos que contengan datos personales, se recomienda ampliamente consultar las regulaciones y obligaciones aplicables a la empresa.
⚖️ Recomendación legal: Un respaldo que contiene datos personales sigue siendo información protegida. Si se restaura una copia antigua, la empresa debe evitar reactivar en los sistemas productivos datos que ya hubieran sido eliminados, corregidos o restringidos con posterioridad.
Aplica pruebas de restauración.
Establece la aplicación periódica de pruebas de restauración dentro de tu procedimiento, quién las realizará y dónde se documentará el resultado.
La periodicidad que definas debe ser factible para tu operativa, pero recomendamos que sea lo más frecuente posible. Por lo menos, una vez al año sería una práctica válida.
Registra el procedimiento de recuperación aplicado, el tiempo utilizado, la fecha, los sistemas involucrados, los fallos identificados, los responsables y la descripción de los datos personales restaurados, cuando corresponda.
Comunica los resultados al Comité de Privacidad, al Oficial de Protección de Datos Personal (o DPO) y a las partes interesadas pertinentes y autorizadas.
Completa el versionado del documento.
Al finalizar, completa la tabla de versionado indicando quién elaboró el procedimiento, quién lo aprobó, la fecha de aprobación y la clasificación de la información.
Nuestro template está estructurado para orientar la planificación, ejecución, registro, monitoreo, almacenamiento y validación de las copias de seguridad, pero recuerda que debe ajustarse a las herramientas, sistemas y responsables que efectivamente utilice tu empresa.
💡Los pasos a seguir para terminar la actividad dentro de la plataforma son los siguientes:
Una vez que nuestro equipo haya aprobado la actividad, debes subir el documento final en versión PDF (no editable).
Posteriormente, debes subir la evidencia de su aprobación.
Recomendamos que esta evidencia sea a través de una minuta de sesión de comité (en ese caso, debes subir el documento en PDF de la minuta), o con una captura de pantalla de la respuesta explícita de quién o quiénes lo aprobaron.
Esto debe realizarse por algún medio de comunicación interno de la empresa, como Slack, Teams o el correo electrónico organizacional.
O también puedes utilizar la funcionalidad de aprobación que tiene la plataforma Hackmetrix.
Y por último, debes subir la evidencia de su comunicación.
Al igual que la aprobación, la comunicación del documento puede ser por cualquier medio formal interno de la empresa. Y para esto, debes subir una captura de pantalla donde se muestre que el documento fue comunicado a todos los colaboradores interesados.
O también puedes utilizar la funcionalidad de comunicación que tiene la plataforma Hackmetrix.
Recomendaciones ✅
Asegúrate de que los responsables de ejecutar y monitorear los respaldos conozcan el cronograma y/o las configuraciones del sistema involucrado, y puedan actuar ante fallas o anomalías.
Conserva ordenadamente las evidencias de ejecución y las pruebas de restauración, ya que pueden ser requeridas durante auditorías o investigaciones de incidentes.
Revisa el procedimiento cuando cambien los sistemas críticos, herramientas de almacenamiento, proveedores tecnológicos o mecanismos de respaldo utilizados por la empresa.
Coordina este procedimiento con la Política de Tecnología y Operaciones de TI definida por la organización.
¡Califica este artículo 👇, esto nos ayudará a mejorar nuestro contenido para ti! También puedes contactarnos por correo electrónico o a través de la plataforma, y te brindaremos la atención que necesites.