Plan de continuidad del negocio by Aly Mayon

PLAN DE CONTINUIDAD DEL NEGOCIO ALEJANDRA MAYÓN DELGADILLO

INSTITUTO LEONARDO BRAVO M. ADMINISTRACIÓN DE EMPRESAS 6° TRIMESTRE PRACTICAS DE GESTIÓN DE CALIDAD PROF. EDUARDO BUSTOS

“PLAN DE CONTINUIDAD DEL NEGOCIO” Mayón Delgadillo, Alejandra alymdelgadillo@gmail.com Instituto Leonardo Bravo

RESUMEN

El plan de continuidad de negocio abarca todos los sectores de negocio, dado con más énfasis en aquellos donde la disponibilidad de la información es su mayor activo. A partir del 11 de septiembre de 2001, los planes de continuidad de negocio cobraron importancia abarcando con mayor cobertura a compañías del sector financiero y sus asociados, donde hoy en día tiene su mayor aplicación. No hay importancia del tamaño de la empresa o institución, un plan de continuidad puede ser aplicado tanto a empresas grandes, medianas, pequeñas e incluso micro empresas. Como todo proceso, la aplicación de un plan de continuidad involucra determinados pasos obligatorios para garantizar la funcionalidad del mismo, estas fases son:    

Fase de análisis y evaluación de riesgos Selección de estrategias Desarrollo del plan Pruebas y mantenimiento del plan

Las empresas deben estar preparadas para prevenir, protegerse, y reaccionar ante incidentes de seguridad que puedan afectarles y que podrían impactar en sus negocios. Por este motivo es necesario proteger los principales procesos de negocio a través de un conjunto de tareas que permita a la organización recuperarse tras un incidente grave en un plazo de tiempo que no comprometa su continuidad. De esta forma se garantiza puede dar una respuesta planificada ante cualquier fallo de seguridad. Esto repercutirá positivamente en el cuidado de nuestra imagen y reputación como empresa, además de mitigar el impacto financiero y de pérdida de información crítica ante estos incidentes.

PALABRAS CLAVE       

El Plan de Continuidad de Negocio Análisis Mantenimiento Análisis de riesgo Impacto Riesgo Organización

ABSTRACT

This plan is the answer provided by the company to those risk situations that can critically affect, ie, preventing technological operation that supports critical business processes. No matter the size of the company or the cost of security measures implemented, every organization needs a plan for disaster recovery or a business continuity because sooner or later you will come across a security incident or an event that stops suddenly the operation of a company. The first thing to be done is a business impact analysis (BIA). This is basically a report that shows the cost caused by the interruption of critical business processes. As soon as this report, the company has the ability to sort the business processes according to their criticality and what is more important: prioritize recovery (or sequential).

KEYWORDS    

Continuity Plan Risk Plan Organization Quality

  

Service Risk Analysis

INTRODUCCIÓN

Ahora bien, ¿cómo responder ante una contingencia? El presente trabajo describe los puntos básicos de un BCM y suministra una lista de recursos que tú y tu organización puede utilizar para mejorar la capacidad de sobrevivir a cualquier cambio imprevisible e indeseado. Debemos tener en cuenta que el término continuidad del negocio no hace referencia exclusivamente a aspectos relacionados con las tecnologías de la información. Aunque podría pensarse que la continuidad del negocio es un ámbito exclusivo de las grandes organizaciones, esto no es cierto. Aunque existe una diferencia significativa, cada organización establece las medidas necesarias y proporcionales a sus necesidades para garantizar su continuidad en caso de desastre. Si hablamos del ámbito tecnológico, por ejemplo, mientras que una gran organización puede requerir el despliegue de un centro de respaldo alternativo, tanto de comunicaciones, sistemas como servidores en una ubicación remota, en otros casos podría ser más óptimo realizar copias de seguridad en la nube, primando el rendimiento frente al coste.

MARCO REFERENCIAL

La continuidad del negocio es un concepto que pertenece a una disciplina superior denomianda "Administración de continuidad de negocios (BCM por sus siglas en inglés) y que abarca tanto el plan para la recuperación de desastres (DRP), de naturaleza típicamente tecnológica, como el plan para el restablecimiento del negocio, que normalmente se enfoca en los procesos críticos del mismo. Además, los planes de "Manejo de Crisis" y de "administración de incidentes" suelen formar parte de la disciplina completa de BCM. Recuperación de desastres es la capacidad para responder a una interrupción de los servicios tecnológicos mediante la implementación de un plan para

restablecer las funciones críticas de la organización. Ambos se diferencian de la planeación de prevención de pérdidas, la cuál implica la calendarización de actividades como respaldo de sistemas, autenticación y autorización (seguridad), revisión de virus y monitoreo de la utilización de sistemas (principalmente para verificaciones de capacidad). En esta ocasión hablaremos sobre la importancia de contar con la capacidad para restablecer la infraestructura tecnológica de la organización en caso de una disrupción severa, es decir, un plan de recuperación de desastres La Gestión de la Continuidad del Negocio (también llamada BCM, por sus siglas en inglés) es el proceso de lograr esta capacidad y mantenerla, y conforma una parte vital de la gestión de seguridad de sistemas de información, que ahora se conoce más comúnmente como seguridad cibernética. Este plan es la respuesta prevista por la empresa ante aquellas situaciones de riesgo que le pueden afectar de forma crítica .No importa el tamaño de la empresa o el coste de las medidas de seguridad implantadas, toda organización necesita un Plan de continuidad de negocio ya que tarde o temprano se encontrará con una incidencia de seguridad.

MARCO TEÓRICO

Desafortunadamente, algunas empresas deben cerrar cuando las alcanza un desastre para el cual no estaban preparadas adecuadamente. Es lamentable porque el camino para dicha preparación está bien documentado. Cualquier empresa de cualquier tamaño puede mejorar las posibilidades de superar un incidente de interrupción de la actividad y quedar en una pieza (con la marca intacta y sin merma en los ingresos) si sigue ciertas estrategias probadas y de confianza, más allá de que desee obtener la certificación ISO 22301 o no. Inicialmente las empresas consideraron la importancia de poseer planes para garantizar la continuidad del negocio (BCP, DRP) solamente buscando cumplir con ciertas regulaciones en algunos países del mundo. Pero con el pasar del tiempo y considerando la rapidez con que se necesitan hacer los negocios hoy en día, junto con la complejidad asociado a los sistemas de información, han influido para que la gestión de la contingencia haya llegado a ser una variable muy importante con el fin de lograr que las empresas sobrevivan en un ambiente cada vez más dinámico y con alto riesgo.

Por medio de la implantación de medidas o controles que de alguna forman puedan mitigar el impacto producido por un evento determinado, se puede lograr confianza de parte de la comunidad y también de los inversionistas de la compañía. En este punto es importante considerar que no sólo debemos tener en cuenta aspectos económicos, sino que temas como la reputación y la credibilidad de una compañía pueden poner en peligro, si ante un desastre o evento adverso no se responde con la adecuada estrategia y acciones soportadas por un plan previamente concebido. Por todo ello, debemos considerar, desde un punto de vista formal, aquellos factores que pueden garantizar la continuidad de una empresa en circunstancias adversas. Este proceso implica las siguientes fases: 



Fase 0. Determinación del alcance: Si nuestra empresa presenta cierta complejidad organizativa o de procesos, abordar un proceso de mejora de la continuidad puede conllevar un número de recursos y un periodo excesivo. Por tanto, es recomendable comenzar por aquellos departamentos o áreas con mayor importancia y progresivamente ir ampliando la continuidad a toda la organización. Para ello siempre con el compromiso e implicación de la dirección. Fase 1. Análisis de la organización: Durante esta fase recopilamos toda la información necesaria para establecer los procesos de negocio críticos, los activos que les dan soporte y cuáles son las necesidades temporales y de recursos. Fase 2. Determinación de la estrategia de continuidad: Conocidos los activos que soportan los procesos críticos, debemos determinar si en caso de desastre,



 

seremos capaces de recuperar dichos activos en el tiempo necesario. En aquellos casos en los que no sea así, debemos determinar las diversas estrategias de recuperación. Fase 3. Desarrollo de una respuesta a la contingencia: A partir de las estrategias de recuperación escogidas, se realiza la selección e implantación de las iniciativas necesarias, y se documenta el Plan de Crisis y los respectivos documentos para la recuperación de los entornos. Fase 4. Prueba, mantenimiento y revisión: A partir de la infraestructura tecnológica de nuestra empresa, desarrollaremos los planes de prueba y mantenimiento. Fase 5. Concienciación: Además del análisis y la implantación, es necesario que tanto el personal técnico como los responsables de nuestra empresa conozcan qué es y qué supone el Plan de Continuidad de Negocio así como qué se espera de ellos.

Tipos de proyectos de continuidad Aunque en términos generales se suelen enmarcar dentro del concepto de Plan de Continuidad de Negocio, sí que tenemos que distinguir tres tipos según el alcance o ámbito que tengan. 



El Plan de Continuidad de Negocio (PCN) establece la continuidad de una organización desde múltiples perspectivas: infraestructura TIC, recursos humanos, mobiliario, sistemas de comunicación, logística, sistemas industriales, infraestructuras físicas, etc. Cada uno de estos ámbitos tendrá a su vez un plan de continuidad más específico, ya que no es lo mismo la inundación de un almacén de logística que el corte del suministro eléctrico en una sala de servidores. El Plan de Continuidad TIC (o Plan de Contingencia TIC, PCTIC), es uno de los planes que forman el plan de continuidad de negocio de nuestra organización, pero restringido al ámbito TIC. Mientras que un PCN sirve de disparador para los diferentes planes de contingencia, un PCTIC se limita al ámbito tecnológico. Plan de Recuperación ante Desastres (PRD). En este caso, su fase de análisis es menos profunda y se enfoca al ámbito más técnico, de modo que es un plan reactivo ante una posible catástrofe. Por ejemplo, si tenemos un plan de desastres para nuestra página web de comercio electrónico, el PRD contendrá todos los pasos para la recuperación de la aplicación.

METODOLOGÍA

Grupo Bimbo, una de las empresas panificadoras más grandes del mundo, que cuenta con 12 plantas productivas entre España y Portugal y con 65 delegaciones y gerencias de ventas, requería una solución para mejorar la gestión del departamento de tecnologías de información y comunicaciones, especialmente en las áreas de atención a los usuarios y de gestión del cambio. Después de la implantación de OpenView Service Desk como herramienta de gestión de las actividades del departamento de TI, Bimbo ha cubierto sus objetivos y ha abordado la continuación de la integración con OpenView Manager para la monitorización de redes, sistemas y aplicaciones. Abast System fue elegido por Grupo Bimbo para este proyecto por su amplia experiencia en el mercado de las TI y especialmente en la implantación de proyectos basados en HP OpenView, junto con su conocimiento de la Metodología ITIL®. Abast Systems, con un amplio equipo de especialistas, es el principal partner de HP OpenView en España

Principales retos Un buen servicio al cliente y una comunicación fluida con el usuario son dos de los objetivos básicos que un departamento de TI ha de garantizar para afianzarse dentro de su compañía. Grupo Bimbo después de realizar varios estudios, que demostraron que las quejas fundamentales de los usuarios se debían a que sus incidencias no se resolvían con la agilidad esperada, optó por la implantación de OpenView Service Desk, como herramienta de manejo y administración de incidencias, problemas y cambios para el departamento de TI. “Estuvimos estudiando dos o tres soluciones que había en el mercado y finalmente nos decidimos por HP OpenView Service Desk porque funcional y tecnológicamente cumplía los requisitos que exigíamos y se integraba perfectamente en la plataforma OpenView que era la que se había pensado como solución ideal para la gestión interna del departamento en cuanto al control y monitorización de procesos y de gestión de red”, afirma Antonio Guarás, jefe de tecnologías de la información y comunicaciones de la compañía.

Abast Systems llevó a cabo en un plazo de tres meses el proyecto de implementación de Service Desk que consistió en una fase de formación para los integrantes del equipo de diseño, las adaptaciones e integraciones con los diferentes procesos y sistemas, así como los automatismos definidos en la fase de diseño, y una fase final de apoyo a la puesta en explotación.

El Proyecto Con Service Desk se gestionan las incidencias de los usuarios, a la vez que se realiza una gestión de problemas (las causas que provocan las incidencias) con el fin de reducir el número de incidencias repetitivas. Para la resolución de problemas deben gestionarse una serie de órdenes de trabajo destinadas a los técnicos y operadores de helpdesk. También se gestionan con Service Desk los cambios que se realizan en los aplicativos y los sistemas. Todo ello integrado con una correcta gestión de inventario de infraestructura y organización.

Las Ventajas de Service Desk Con la implantación de OpenView Service Desk, muchos de los inconvenientes (como la falta de trazabilidad de las acciones del departamento de soporte en la resolución de incidencias) existentes antes de su utilización han quedado solventados. Según Alberto Fernández, jefe de redes y comunicaciones de la empresa, “en el sistema que teníamos antes sólo se veía el día a día, no permitía conocer si se iban a tener problemas en un área específica. Entonces vimos la oportunidad de tener toda la información de gestión centralizada, y a partir de ahí se fueron abriendo nuevas posibilidades como la gestión de cambios en el entorno SAP y toda la gestión de problemas”. Además de las ventajas a nivel tecnológico anteriormente explicadas, Service Desk ha supuesto un cambio sustancial en las relaciones compañía-usuario. A partir de su implantación, se ha observado una comunicación más fluida entre ambas partes, lo que se ha de unir a la percepción por parte del usuario de recibir una atención más personalizada. Otras medidas tomadas consisten en que el usuario pueda llegar a ver, vía un interfaz web de Service Desk, el estado de sus incidencias, depurar todos los circuitos y procedimientos

internos, el control de la calidad de la gestión de incidencias y ofrecer niveles de servicio adecuados a la organización en diferentes procesos de negocio de la compañía.

RESULTADOS

El Nuevo Proyecto Los buenos resultados del proyecto de Service Desk fueron determinantes para que Bimbo confiara una vez más en los servicios de Abast Systems para implantar OpenView Manager como solución de gestión que garantice la disponibilidad y el rendimiento de los servicios de TI críticos para el negocio.

Arquitectura de la solución La arquitectura de la solución consiste en un servidor HP9000 con BD Oracle donde está OpenView Manager para la gestión de operaciones y rendimientos y OpenView Omniback para la gestión de copias de seguridad, comunicado con servidor Windows para el servidor de aplicaciones Service Desk, y servidor web con Apache y Tomcat para servir las páginas de autoservicio de usuarios.

ANÁLISIS DE LOS RESULTADOS

El nuevo proyecto ha proporcionado una gestión integral de red, servidores, bases de datos y aplicaciones, integradas con Service Desk, lo que permite una automatización de los controles de los sistemas de información. La integración supone, como explica Antonio Guarás, que el “sistema automáticamente puede generar una incidencia en Service Desk a partir de un problema detectado en cualquier punto crítico, tanto de la red como de los servidores, sin necesidad de registro manual. Y una vez solucionado, ese incidente se comunica a OpenView Manager y esa alerta queda reconocida sin intervención de los operadores”.

Todos estos proyectos ponen de manifiesto el esfuerzo de Bimbo en poder medir el grado de satisfacción de los usuarios de sus servicios de TI, y así mejorar la calidad del servicio que da a sus clientes.

CONCLUSIONES   



El plan debe ser desarrollado para cubrir el peor escenario, de manera que escenarios menores queden cubiertos también. El planteo de escenarios de desastre servirá de base al momento de determinar las alternativas viables para la recuperación. La diferencia entre tener y no tener un plan de continuidad es enorme, siemore que estamos inadvertidos por algo que va o que puee pasar podemor corregir muchos errores a tiempo en cambio si algo nos toma totalemente desprevenidos sin saber cómo actuar al respecto o tomando medidas que pueden llegar a cuasar aun mas daño Esta cuestion no es de unos pocos es de todas aquellas personas que pertenexcan a la institución para así lograr un mayor éxito.

REFERENCIAS Gaspar, J., & Martínez, J. G. (2004). Planes de Contingencia la Continuidad del Negocio en las Organizaciones. Ediciones Díaz de Santos. Martínez, J. G. (2010). El plan de continuidad de negocio: Una guia práctica para su elaboracción. Ediciones Díaz de Santos. Borello, A. (1994). El plan de negocios. Ediciones Díaz de Santos. Balanko, G. (2007). Cómo preparar un plan de negocios exitoso. Editorial Mc Graw. Arditi, A., Rodríguez, D., & Villar, R. (2003). Plan de negocios para la cría, procesamiento y comercialización de caracoles Helix aspersa. Tesina, Universidad Centro de Estudios. Gaspar Martínez, J. (2004). Planes de contingencia: la continuidad del negocio en las organizaciones. Ediciones Díaz de Santos.