Plan de contingencia de informtica de Empresa_X

IntroduccinEstemanuales una gua, segn los estndares de planes de contingencia informtico, para que cadaGerentede Departamento de Empresa_X (en adelante E_X) defina y documente unInformedeTrabajoderivados de la definicin delPlande Contingencia de Informtico.El alcance de este plan guarda relacin con la infraestructurainformtica, as como losprocedimientosrelevantes de su Departamento asociados con la plataforma tecnolgica.Entenderemos como infraestructura informtica alhardware,softwarey elementos complementarios que soportan lainformacinodatoscrticos para lafuncindel negocio bajo suresponsabilidad.Entendemos tambin como procedimientos relevantes a la infraestructura informtica a todas aquellas tareas que supersonalrealiza frecuentemente cuando interacta con la plataforma informtica (entrada de datos, generacin de reportes, consultas, etc.).Un Plan de Contengencia considera una "Planificacinde la Contingencia" as como un conjunto de "Actividades" las que buscan definir y cumplir metas que permitan a cada Departamento de E_X controlar elriesgoasociado a una contingencia.ComoAdministradorUsted deber leer acabadamente este instructivo, as como generar un "Plan de Trabajo para el Plan de Contingencia de IT" que involucre a los actores relevantes. Este plan de trabajo considera evaluar las situaciones de riesgo y definir las tareas orientadas a reducir dichosriesgos. Naturalmente, en la generacin del Plan de Trabajo de su Departamento es recomendable trabajar con sus reportes clave a fin de que sus recomendaciones cuenten con una base operativa slida.LaAdministracinde E_X ya ha definido el Plan de Trabajo deAdministracinpara el Plan de Contingencia de IT, en donde Usted es un miembro importante del Comit de Recuperacin frente a desastres. Este comit se activar frente a una Contingencia, segn la convocacin del Gte. de Administracin yFinanzas.Sugerimos que su plan de trabajo respectivo, se genere como "una respuesta" a cada uno de los puntos que contiene esta Gua de Plan de Contingencia de E_X.Agradecemos la diligencia que invertir en este aspecto tan importante del manejo de contingencias informticas, el que sabemos valorar en la eventualidad de una contingencia mayor.1. Planificacin de ContingenciaEl Plan est orientado a establecer, junto con otros trabajos deseguridad, un adecuadosistemade seguridadfsicaylgicaen prevision de desastres.Se define la Seguridad de Datos como un conjunto de medidas destinadas a salvaguardar la informacin contra los daos producidos por hechos naturales o porel hombre. Se ha considerado que para la compaa, la seguridad es un elemento bsico para garantizar su supervivencia y entregar el mejorServicioa susClientes, y por lo tanto, considera a la Informacin como uno de losactivosms importantes dela Organizacin, lo cual hace que la proteccin de esta sea el fundamento ms importante de este Plan de Contingencia.En este documento se resalta la necesidad de contar conestrategiasque permitan realizar:Anlisisde Riesgos, de Prevencin, de Emergencia, de Respaldo y recuperacion para enfrentar algn desastre. Por lo cual, se debe tomar como Gua para la definicin de los procedimientos de seguridad de la Informacin que cada Departamento de la firma debe definir.1.1 Actividades AsociadasLas actividades consideradas en este documento son :- Anlisis de Riesgos- Medidas Preventivas- Previsin de Desastres Naturales- Plan de Respaldo- Plan de Recuperacin2. Anlisis de RiesgosPara realizar un anlisis de los riegos, se procede a identificar los objetos que deben ser protegidos, los daos que pueden sufrir, sus posiblesfuentesdedaoy oportunidad, su impacto en la compaa, y su importancia dentro del mecanismo de funcionamiento.Posteriormente se procede a realizar los pasos necesarios para minimizar o anular la ocurrencia deeventosque posibiliten los daos, y en ltimo trmino, en caso de ocurrencia de estos, se procede a fijar un plan de emergencia para su recomposicin o minimizacin de las prdidas y/o los tiempos de reemplazo o mejora.2.1.Bienessusceptibles de un daoSe puede identificar los siguientes bienes afectos a riesgos:a) Personal b) Hardwarec) Software y utilitarios d) Datos e informacin e) Documentacinf) Suministro de energa elctricag) Suministro de telecomunicaciones2.2. DaosLos posibles daos pueden referirse a:a) Imposibilidad de acceso a losrecursosdebido aproblemasfisicos en las instalaciones donde se encuentran los bienes, sea por causas naturales o humanas.b) Imposibilidad de acceso a los recursos informticos por razones lgicas en lossistemasen utilizacin, sean estos por cambios involuntarios o intencionales, llmese por ejemplo, cambios de claves de acceso, datos maestros claves, eliminacin o borrado fsico/lgico de informacin clave,procesode informacin no deseado.c) Divulgacion de informacin a instancias fuera de la Compaa y que afecte supatrimonioestratgicoComercial y/o Institucional, sea mediante Robo o Infidencia.2.3. PrioridadesLa estimacin de los daos en los bienes y su impacto, fija una prioridad en relacin a la cantidad deltiempoy los recursos necesarios para la reposicin de losServiciosque se pierden en el acontecimiento.Por lo tanto, los bienes de ms alta prioridad sern los primeros a considerarse en elprocedimientode recuperacin ante un evento de desastre.2.4. Fuentes de daoLas posibles fuentes de dao que pueden causar la no operacin normal de la compaa asociadas al Centro deOperaciones Computacionales de E_X son:Acceso no autorizadoPor vulneracin de los sistemas de seguridad en operacin (Ingreso no autorizado a las instalaciones).Ruptura de las claves de acceso a los sistema computacionalesa) Instalacin de software decomportamientoerrtico y/o daino para la operacin de los sistemas computacionales en uso (Virus, sabotaje).b) Intromisin no calificada aprocesosy/o datos de los sistemas, ya sea por curiosidad o malas intensiones.Desastres Naturalesa) Movimientos telricos que afecten directa o indirectamente a las instalaciones fsicas de soporte (edificios) y/o de operacin (equipos computacionales).b) Inundaciones causados por falla en los suministros deagua. c) Fallas en los equipos de soporte:- Por fallas causadas por la agresividad del ambiente- Por fallas de laredde energa elctrica pblica por diferentes razones ajenas al manejo por parte de la Compaa.- Por fallas de los equipos de acondicionamiento atmosfricos necesarios para una adecuada operacin de los equipos computacionales ms sensibles.- Por fallas de lacomunicacin.- Por fallas en el tendido fsico de la red local.- Fallas en lastelecomunicacionescon lafuerzadeventa.- Fallas en las telecomunicaciones con instalaciones externas.- Por fallas de Central Telefnica.- Por fallas de lneas defax.Fallas de Personal ClaveSe considera personal clave aquel que cumple una funcin vital en el flujo de procesamiento de datos u operacin de los Sistemas de Informacin:a) Personal de Informtica.b)Gerencia, supervisores de Red. c) Administracin deVentas.d) Personal de Administracin de Bodegas-Despachos. Pudiendo existir los siguientes inconvenientes:a) Enfermedad. b)Accidentes. c) Renuncias.d) Abandono de sus puestos de trabajo. e) Otros imponderables.Fallas de Hardwarea) Falla en elServidorde Aplicaciones y Datos, tanto en su(s) disco(s) duro(s) como en elprocesadorcentral.b) Falla en el hardware de Red:- Falla en los Switches.- Falla en el cableado de la Red.c) Falla en elRouter. d) Falla en elFireWall.Incendios2.5. Expectativa Anual de DaosPara las prdidas de informacin, se deben tomar las medidas precautorias necesarias para que el tiempo de recuperacin y puesta en marcha sea menor o igual al necesario para la reposicin del equipamiento que lo soporta.3. Medidas Preventivas3.1.Controlde AccesosSe debe definir medidas efectivas para controlar los diferentes accesos a los activos computacionales:a) Acceso fsico de personas no autorizadas. b) Acceso a la Red de PC's y Servidor.c) Acceso restringuido a las libreras,programas, y datos.3.2. RespaldosEn el punto Nro. 5 se describir el alcance de esta importante medida preventiva.4. Previsin de desastres NaturalesLa previsin dedesastres naturalesslo se puede hacer bajo el punto de vista de minimizar los riesgos innecesarios en la sala deComputacinCentral, en la medida de no dejar objetos en posicin tal que ante unmovimientotelrico pueda generar mediante su cada y/o destruccin, la interrupcin del proceso de operacin normal. Adems, bajo el punto de vista de respaldo, el tener en claro los lugares de resguardo, vas de escape y de la ubicacin de losarchivos, diskettes, discos con informacin vital de respaldo de aquellos que se encuentren aun en las instalaciones de la compaa.Adecuado Soporte de UtilitariosLas fallas de los equipos de procesamiento de informacin pueden minimizarse mediante el uso de otros equipos, a los cuales tambin se les debe controlar peridicamente su buen funcionamiento, nos referimos a:a) UPS ....... de respaldo de actual servidor de Red o de estaciones crticas b) UPS ....... de respaldo switches y/oHUB'sSeguridad Fsica del PersonalSe deber tomar las medidas para recomendar, incentivar y lograr que el personal comparta sus conocimientos con sus colegas dentro de cada rea, en lo referente a la utilizacin de los softwares y elementos de soporte relevantes. Estasaccionespermitirn mejorar los niveles de seguridad, permitiendo los reemplazos en caso de desastres, emergencias o perodos de ausencia ya sea por vacaciones oenfermedades.Seguridad de la InformacinLa informacin y programas de los Sistemas de Informacin que se encuentran en el Servidor, o de otras estaciones de trabajo crticas deben protegerse mediante claves de acceso y a travs de un plan de respaldo adecuado.5. Plan de RespaldoEl Plan de Respaldo trata de cmo se llevan a cabo las acciones crticas entre la prdida de un servicio o recurso, y su recuperacin o reestablecimiento. Todos los nuevos diseos de Sistemas,Proyectoso ambientes, tendrn sus propios Planes de Respaldo.Respaldo de datos VitalesIdentificar las reas para realizar respaldos:a) Sistemas en Red.b) Sistemas no conectados a Red. c) SitioWEB.6. Plan de RecuperacinObjetivos del Plan de RecuperacinLosobjetivosdel plan de Recuperacin son:1) Determinacin de laspolticasy procedimientos para respaldar las aplicaciones y datos.2) Planificar la reactivacin dentro de las 12 horas de producido un desastre, todo el sistema de procesamiento y susfuncionesasociadas.3) Permanentemantenimientoysupervisinde los sistemas y aplicaciones.4) Establecimiento de unadisciplinade acciones a realizar para garantizar una rpida y oportuna respuesta frente a un desastre.Alcance del Plan de RecuperacinElobjetivoes restablecer en el menor tiempo posible el nivel de operacin normal del centro de procesamiento de la informacin, basndose en los planes de emergencia y de respaldo a los niveles del Centro de Cmputos y de los dems niveles.La responsabilidad sobre el Plan de Recuperacin es dela Administracin, la cual debe considerar la combinacin de todo su personal, equipos, datos, sistemas,comunicacionesy suministros.Activacion del PlanDecisinQueda a juicio del Gerente de Administracin y Finanzas determinar la activacin del Plan de Desastres, y adems indicar el lugar alternativo de ejecucin del Respaldo y/o operacin de emergencia, basndose en las recomendaciones indicadas por ste.Duracin estimadaLos supervisores de cada area determinarn la duracin estimada de la interrupcin del servicio, siendo un factor clave que podr sugerir continuar el procesamiento en el lugar afectado o proceder al traslado del procesamiento a un lugar alternativo.Responsabilidades* Orden de Ejecucin del Plan : Gerencia de Admin. & Finanzas.* Supervisin General de Plan :Empresaen convenio para Recuperacin.* Supervisin del Plan de Rec. : Supervisor(es) de rea(s).* Abastecimiento (HW, SW) : Asistente de Administracin.* Tareas de Recuperacin : Personal de tareas afines.Aplicacin del PlanSe aplicar el plan siempre que se prevea una prdida de servicio por un perodo mayor de 48 horas, en los casos que no sea un fin de mes, y un perodo mayor a 24 horas durante los fines de mes (durante los cierres contables).Consideraciones Adicionales1. Plan debe ser probado una vez al aoFrente a la contingencia, se notifica al Gte. de Administracin y Finanzas, quien evala en terreno el desastre, y estima tiempo deparodeoperacionesmientras se reestablecen las operaciones.Si el tiempo estimado es mayor a 48 horas de iterrupcin de operaciones en cualquier da salvo el fin de mes, en cuyo caso el tiempo estimado es mayor a 24 horas, entonces convoca al comit de Recurperacin, compuesto por:* Supervisor de Plataforma : Empresa en convenio para Recuperacin.* Supervisin del Plan de Rec. : Supervisor(es) de rea(s).* Abastecimiento (HW, SW) : Asistente de Administracin.* Tareas de Recuperacin : Personal de tareas afines.El comit determinar el lugar donde se instalar el sistema alternativo (red y servidor alquilado), pudiendo ser en las mismas premisas de E_X si las condiciones lo permiten, o en las premisas dela empresacon convenio recproco de "Plan de Contingencia", si se contara con ella.Cada supervisor de rea, tomar nota de las condiciones de la nueva plataforma operativa (sus capacidades y limitaciones, tanto en funcionalidad como envelocidad), e informar a su personal para operar de acuerdo a estas restricciones, durante el tiempo que se vuelve a reestabler el nivel de operaciones normales, tal como se experimenta durante el simulacro anual.El Gte. de Administracin y Finanzas activar elcontratode Recuperacin con la empresa respectiva, y dar instruccin a la Asistente de Administracin para que emita una OC abierta para cubrir el arriendo o compra de HW o SW requerido para la instalacin temporal de Servidor/red, as como para el Servidor/Red en proceso de restauracin.Cada Gerente o Jefe con personal a cargo que est involucrado en las tareas normales de la operacin de E_X, designar segn lo instruya el Gerente de Administracin y Finanzas al personal necesario, a tareas afines.2. Todos los miembros del comit de recuperacin deben estar informados y entrenados, as como poseer una copia del Plan de Contingencia.3. Una copia del plan debera mantenerse almacenado off-site, junto con los respaldos.4. Iniciacin del Plan- Gerencia de Administracin y Finanzas debera ser notificada- Gerencia de Administracin y Finazas contactar los equipos de recuperacin- Cuartel General de Recuperacin in-site a definir- Cuartel General de Recuperacin Off-site a definir

Leer ms:http://www.monografias.com/trabajos90/seguridad-informatica-empresa/seguridad-informatica-empresa.shtml#ixzz3cULOXTDV