¡Buenas a
todos! Sí que hace tiempo sí! 5 meses para un nuevo post es demasiado tiempo
pero no he estado demasiado motivado para escribir, aunque no he dejado de
hacer cosas y leer.
En esta
entrada traigo una guía para mitigar el impacto de un incidente en los procesos
de negocio de la empresa. Con ella pretendo poner en negro sobre blanco
resumido, adaptado y completado el contenido de un vídeo muy interesante del que he podido
disfrutar mientras hacía un curso de Incibe relacionado con la Ciberseguridad
para PYMES y Autónomos.
Esta guía podría formar parte del Plan de Contingencias
TIC de una Organización que a su vez podría formar parte del Plan de
Continuidad de dicha Organización. Porque no es lo mismo un Plan de
Contingencia que un Plan de Continuidad de Negocio. No está en el alcance de
esta entrada especificar los detalles de cada uno de los planes, pero ya que
hemos tocado el tema los definiré.
Un Plan de
Contingencia TIC [1], “estrategia planificada en fases, constituida por un
conjunto de recursos de respaldo, una organización de emergencia y unos procedimientos
de actuación, encaminados a conseguir una restauración ordenada, progresiva y
ágil de los sistemas de información que soportan la información y los procesos
de negocio considerados críticos en el Plan de Continuidad de Negocio de la
compañía”. Está más orientado a nivel de IT.
Por otro lado,
un Plan de Continuidad de Negocio está por encima del Plan de Contingencia, más
a nivel de negocio, según ISACA "Proceso destinado a reducir los riesgos
del negocio de una organización originados en una interrupción inesperada en
las funciones/ procesos (manuales o automáticos) necesarios para la
supervivencia de la organización. Esto incluye los recursos humanos/ materiales
que dan soporte a estas funciones/ procesos críticos así como el aseguramiento
de la continuidad del nivel mínimo de servicios necesarios para las operaciones
críticas".
La guía
contendrá una serie de aspectos a considerar para minimizar y mitigar el
impacto de los incidentes de seguridad que se pudieran producir en las
Organizaciones derivados de los riesgos a los que éstas se encuentran
expuestos.
1. Documentar el equipamiento esencial de la empresa
- Lista de equipos de la empresa
- Crear y establecer una estrategia de acceso seguro a la información almacenada.
- Reunir toda la información/ documentación esencial de la organización en un repositorio documental.
- Realizar copias almacenadas físicamente fuera de las instalaciones de la organización. La frecuencia y el tipo de copias de seguridad deberá estar relacionado con la criticidad de la información que se respalda.
- Documentar el proceso de recuperación de copias con la finalidad de:
- Agilizar el proceso de recuperación frente a alguna contingencia
- Comprobar periódicamente que sabemos y podemos restaurar las copias, así como si éstas se están llevando a cabo correctamente.
- Lista con información de contacto de personas y/ o empresas ajenas a la organización cuya ayuda se podría necesitar en caso de que se produzca un incidente que pueda comprometer la continuidad del negocio.
- Hacer uso de proveedores de equipamiento alternativo en caso de que el equipamiento de la empresa resulte dañado.
- Identificar Servicios, Equipos y Recursos que cada proveedor podría proporcionar en caso de contingencia. Con esto se gana tiempo, dado que de lo contrario cuando surjan las necesidades tendríamos que proceder a buscar y comparar los proveedores y no debe ser el momento de hacerlo.
- Ubicación temporal de la empresa o servicio de la misma, dentro de las instalaciones de la empresa o fuera donde se llevarán a cabo las operaciones de la empresa mientras la ubicación original no esté disponible.
- Desde la ubicación temporal deben estar accesibles la información así como los recursos necesarios para que el personal pueda desarrollar su trabajo.
- Si hubiera operaciones que no pudieran continuar en las instalaciones de la empresa y dichas operaciones pudieran realizarse fuera de la misma, el teletrabajo es una opción para que los empleados puedan realizar las funciones propias de sus puestos de trabajo.
- Si se considera el teletrabajo como una opción habría que dotar de una conexión segura la conexión con la organización. Para ello sería conveniente la utilización de un servidor VPN con lo que la información que pase a través del túnel creado vaya cifrada garantizando su confidencialidad.
- Formación de los empleados para que utilicen de forma correcta los sistemas corporativos.
- Establecer las políticas y los medios necesarios para que los empleados no puedan instalar software sin autorización.
- Navegar por páginas web de contenido de dudosa reputación.
- Concienciación y buen uso del correo electrónico corporativo.
- Cumplimiento de las políticas de seguridad de la empresa.
No es una
tarea simple, pero este esfuerzo ahorrará importantes pérdidas económicas así
como el desgaste de la imagen de la Organización en caso de producirse un
incidente de seguridad.
Todo ésto tiene que ir como he mencionado en ocasiones anteriores a crear una cultura de Seguridad de la Información en la empresa, nadie dijo que fuera fácil.
¿Te ha parecido interesante la entrada? ¿Aburrida? ¿Útil? ¿Patética tal vez? Estaría encantado de que me comentaras tus impresiones y opiniones, así como de completar la entrada con tus sugerencias y apreciaciones.
¡Nos leemos en la próxima! Espero que no sea dentro de 5 meses...
¡Un saludo!
Referencia
