¿Para qué me sirve esta actividad? 📚
Esta actividad te ayudará a definir qué deben hacer tus equipos técnicos para "levantar" / recuperar los sistemas, servidores y bases de datos críticos si llegan a fallar o caerse por completo, estableciendo guías de acción técnicas y procedimientos probados para restaurar la infraestructura tecnológica y los datos de tu empresa ante una crisis.
Este plan es una de las pruebas operativas fundamentales de que tu organización cuenta con la capacidad real de mantener la disponibilidad de la información y recuperar sus servicios dentro de los plazos comprometidos con el negocio y los clientes.
¿Qué tengo que hacer? 🚀
💡Este documento puede ser altamente técnico, por lo que debe ser trabajado muy de cerca con tu equipo de Tecnología, Infraestructura, Desarrollo, etcétera.
Al trabajar en el template, te recomendamos primero leerlo en su totalidad para así comprender la información que deberás documentar posteriormente. Y para completarlo de forma adecuada, te recomendamos considerar lo siguiente:
Procedimiento general de manejo de incidencias.
Define cómo se detectará una falla y cuáles son los niveles de escalamiento interno. Esto está directamente conectado con tu Procedimiento de Gestión de Incidentes.
Procedimiento de respaldos (backups).
Documenta tus reglas de respaldo. Define cada cuánto tiempo se hacen copias de seguridad de las bases de datos y dónde se guardan.
Se recomienda que las copias de seguridad estén aisladas o protegidas físicamente / lógicamente del entorno principal, para que si el entorno original sufre un ataque (como un ransomware), los respaldos no se vean comprometidos.
Definición de métricas y tiempos (RTO y RPO).
Por cada procedimiento, debes indicar el RPO (cuánta pérdida de datos toleras) y el RTO (cuánto tiempo tienes para levantar el sistema). Es muy importante que definas tiempos realistas y factibles para las capacidades de tu organización.
Los tiempos de RPO deben estar alineados a la periodicidad con la que generes copias de seguridad en tus sistemas involucrados, ya que recordemos que esta métrica corresponde a la pérdida de datos reales que pueden tolerar.
Para definir un RTO adecuado es necesario que conozcas cuánto puedes demorar en levantar o recuperar los servicios y/o sistemas afectados. O de ser el caso, cuánto demoras en remediar el incidente ocurrido.
💡La normativa ISO 22301 no indica un parámetro específico para definir estas métricas, por lo que no hay respuestas incorrectas. Todo debe ir alineado y bien justificado por las necesidades y contexto reales de tu organización, pero considerando siempre que el objetivo es proteger tu información y las operaciones, manteniendo la continuidad del negocio.
Escenarios de recuperación.
Nuestro template te proporciona pasos y acciones generales para los escenarios más comunes, pero es súper importante que los revises y adaptes a la realidad de tu arquitectura tecnológica, capacidades del equipo, configuraciones de los sistemas involucrados, etcétera.
Debes analizar todos los posibles escenarios de caída de servicio, interrupción, fallas, etcétera que puedan ocurrir, sin importar lo poco probables que parezcan.
Comunicación y pruebas del plan.
Incluye lineamientos para que el plan se difunda a todos los responsables involucrados en tiempo y forma, para que se actualice anualmente y, sobre todo, para que se realicen pruebas mediante simulacros para validar su efectividad real.
Los resultados de las pruebas que realices deben quedar documentados, así como toda la información relevante, como lo son los participantes de la prueba, los tiempos estimados y los tiempos reales obtenidos de recuperación, las acciones tomadas, etcétera.
Dentro de nuestro plan de trabajo en plataforma, esto se realiza dentro de la actividad Prueba de Continuidad.
Completa el versionado.
Al finalizar, completa la tabla de versionado indicando quién elaboró el procedimiento, quién lo aprobó, la fecha de aprobación y la clasificación de la información.
Nuestro template está estructurado con lineamientos para dar cumplimiento, y cuenta con ejemplos y recomendaciones que te servirán para terminar tu plan fácilmente, pero recuerda que debes ajustarlo al contexto de tu empresa, es esencial que refleje la operativa y factibilidad real de la organización.
💡Los pasos a seguir para terminar la actividad dentro de la plataforma son los siguientes:
Una vez que nuestro equipo haya aprobado la actividad, debes subir el documento final en versión PDF (no editable).
Posteriormente, debes subir la evidencia de su aprobación.
Recomendamos que esta evidencia sea a través de una minuta de sesión de comité (en ese caso, debes subir el documento en PDF de la minuta), o con una captura de pantalla de la respuesta explícita de quién o quiénes lo aprobaron.
Esto debe realizarse por algún medio de comunicación interno de la empresa, como Slack, Teams o el correo electrónico organizacional.
O también puedes utilizar la funcionalidad de aprobación que tiene la plataforma Hackmetrix.
Y por último, debes subir la evidencia de su comunicación.
Al igual que la aprobación, la comunicación del documento puede ser por cualquier medio formal interno de la empresa. Y para esto, debes subir una captura de pantalla donde se muestre que el documento fue comunicado a todos los colaboradores interesados.
O también puedes utilizar la funcionalidad de comunicación que tiene la plataforma Hackmetrix.
Recomendaciones ✅
Este plan interactúa directamente con tu Plan de Continuidad y tu Procedimiento de Gestión de Incidentes. Asegúrate de que no existan contradicciones entre ellos.
Indica tiempos realistas que puedas cumplir, y conforme vayas realizando pruebas de continuidad a estos procedimientos de recuperación, podrás ajustar y mejorar tus tiempos de respuesta.
Revisa tus planes de recuperación y de continuidad cuando haya cambios significativos en los procesos críticos de la empresa y/o en sus recursos tecnológicos.
Analiza todos los escenarios de incidentes o desastres que puedan afectar a tu empresa, sin importar qué tan poco probables parezcan.
Asigna al personal más apropiado para llevar a cabo las estrategias de recuperación; que cuenten con la capacidad, conocimiento y poder de toma de decisión pertinentes para actuar de forma rápida y eficiente.
¡Califica este artículo 👇, esto nos ayudará a mejorar nuestro contenido para ti! También puedes contactarnos por correo electrónico o a través de la plataforma, y te brindaremos la atención que necesites.