Como se señaló en el primer artículo de esta serie, las estrategias y procedimientos de recuperación ante desastres (DR) ayudan a las organizaciones a proteger sus inversiones en sistemas e infraestructuras de TI.
La misión esencial para DR es devolver las operaciones de TI a un nivel aceptable de rendimiento lo más rápido posible después de un evento disruptivo.
Entonces, al finalizar una evaluación de riesgos (RA) y análisis de impacto comercial (BIA), debemos examinar los servicios de TI críticos necesarios para respaldar las actividades comerciales críticas de la organización.
En este artículo, analizaremos cómo establecer una estrategia de recuperación ante desastres y desarrollar planes DR detallados.
Construya RPO y RTO en la estrategia DR
Antes de analizar la estrategia y la planificación DR en detalle, debemos considerar dos métricas vitales, a saber, el objetivo de tiempo de recuperación (RTO) y el objetivo del punto de recuperación (RPO).
Según ISO/IEC 27031: 2011, el estándar global para la recuperación ante desastres (denominado tecnología de información y comunicación, o TIC, en el estándar), RTO es "el período de tiempo dentro del cual los niveles mínimos de servicios y/o productosy los sistemas de apoyo, aplicaciones o funciones deben recuperarse después de que se haya producido una interrupción ".
Mientras tanto, RPO es "el punto en el tiempo al que deben recuperarse los datos después de que se haya producido una interrupción".Ambas métricas son necesarias para definir estrategias DR.
RPO/RTO y la nube
Tenga en cuenta que estas dos métricas se ven afectadas por el uso de servicios basados en la nube y consideraciones de seguridad cibernética.
Por ejemplo, el RTO para un centro de datos en el sitio puede ser más fácil de calcular, ya que todas las operaciones están dentro de la ubicación de la organización..
Por el contrario, cuando las operaciones de TI se descargan a los servicios basados en la nube, el proveedor de la nube debe proporcionar RTO, que puede o no ofrecer un valor aceptable.Lo mismo es cierto cuando los datos se encuentran en un servicio en la nube.
Los sistemas de almacenamiento de datos en el sitio facilitan el soporte de los valores de RPO, mientras que los proveedores de almacenamiento basados en la nube fuera del sitio pueden no poder ofrecer un RPO confiable.Ambas preocupaciones hacen que un acuerdo de nivel de servicio sólido (SLA) sea muy aconsejable, ya que establece niveles de rendimiento acordados que el tercero debe apoyar.
Estrategia y planes detallados en el proceso de planificación DR
La Figura 1 muestra las etapas del ciclo de vida de recuperación de desastres de TI y se adapta de ISO 27031: 2011.La figura muestra que, además del desarrollo de la estrategia, se deben considerar actividades adicionales antes de que se puedan desarrollar planes DR.
Por ejemplo, una política de recuperación de desastres de TI es una parte esencial del proceso DR general.Es, en particular, un elemento importante que se examinará durante las auditorías, por lo que su desarrollo es esencial.
Un análisis de brecha, que se puede realizar después de la evaluación de riesgos y las actividades de análisis de impacto comercial si es necesario, ayuda a identificar áreas para mejorar que puede mejorar el proceso general de planificación de recuperación de desastres.
Los criterios de rendimiento de la tecnología se pueden identificar a partir de análisis de sesgo, ras y brechas, y se considerarán en los planes DR.Estas actividades también pueden identificar los recursos necesarios para lograr los niveles de rendimiento deseados..El sesgo y los RA también deben tener en cuenta los recursos de las personas, no solo durante un evento disruptivo, sino también durante las operaciones normales.
Definición de estrategia
Una vez que se han establecido y aprobado los sistemas críticos y las funciones y los RTO y RPO, el siguiente paso es definir estrategias para responder a incidentes disruptivos cuando ocurren.
ISO 27031 establece: “Las estrategias deben definir los enfoques para implementar la resiliencia requerida para que se establezcan los principios de prevención de incidentes, detección, respuesta, recuperación y restauración."
Strategies define “what" is to be done when responding to an incident, while plans describe “how" the response and recovery activities will be performed.
Una vez que se han identificado sistemas críticos, datos, redes, elementos de seguridad cibernética y empresas de servicios en la nube, use el ejemplo en la Tabla 1 como punto de partida para ayudar a formular estrategias necesarias para protegerlas.
Los factores a considerar al desarrollar dicha tabla pueden incluir presupuestos;Las opiniones de la gerencia con respecto a los riesgos;problemas de seguridad cibernética;disponibilidad de recursos, especialmente servicios en la nube;costos versus beneficios;restricciones humanas;restricciones tecnológicas;y requisitos reglamentarios.
Factores clave en la definición de estrategia DR
Los siguientes son problemas importantes al desarrollar estrategias DR, especialmente cuando se considera el uso de servicios basados en la nube..
Consideraciones de la gente
Entre los problemas clave se encuentran la disponibilidad del personal y/o los contratistas, las necesidades de capacitación del personal y los contratistas, la duplicación de habilidades críticas para que pueda haber una documentación primaria y al menos una copia de seguridad, la documentación disponible para ser utilizada por el personal y hacer un seguimiento para garantizarRetención del conocimiento del personal y el contratista.
El uso de servicios en la nube introduce consideraciones adicionales, como la seguridad de los datos y los sistemas, las calificaciones del personal del proveedor de la nube, el potencial para que los empleados de la nube rebelde dañen o roben recursos de los clientes, la voluntad de los representantes de los proveedores de la nube para responder preguntas con sinceridad y la capacidad de la nubepersonal del proveedor para manejar los requisitos del cliente.
Facilidades fisicas
Aquí, debemos considerar la disponibilidad de áreas de trabajo alternativas dentro del mismo sitio, en una ubicación diferente de la compañía, en una ubicación de terceros, en las casas de los empleados y en un centro de trabajo transportable (como un remolque equipado para el trabajoespacio).
También es importante considerar la seguridad del sitio, los procedimientos de acceso al personal, las insignias de identificación y la ubicación del espacio alternativo en relación con el sitio de la oficina principal.Puede que no sea posible visitar físicamente las instalaciones de proveedores de la nube, y los sistemas y datos de clientes se pueden almacenar en múltiples centros de datos, por lo que los usuarios deben estar preparados para confiar en los proveedores de la nube para proteger sus activos en centros de datos seguros y ambientalmente seguros.
Consideraciones tecnológicas
Esto incluye cosas como el acceso al espacio del equipo configurado correctamente para sistemas (por ejemplo, pisos elevados), calefacción adecuada, ventilación y aire acondicionado (HVAC), suficiente energía eléctrica primaria, infraestructura de datos y datos adecuadas, distancia del área de tecnología alternativa desde el área de tecnología alternativa del primarioSitio, provisión de personal en un sitio de tecnología alternativa, disponibilidad de conmutación por error (a un sistema de respaldo) y tecnologías de fallas (retorno a operaciones normales) para facilitar la recuperación, la necesidad de admitir sistemas heredados y capacidades de seguridad física y de información en el sitio alternativo.
Cada uno de estos problemas debe abordarse cuidadosamente al usar un proveedor de servicios en la nube.Es aconsejable incluirlos en los acuerdos de nivel de servicio (SLA) si es posible.
Consideraciones de datos
Aquí debemos incluir una copia de seguridad oportuna de datos críticos en un área de almacenamiento segura de acuerdo con los requisitos de RTO/RPO, métodos de almacenamiento de datos (por ejemplo, disco, cinta, óptica), conectividad y requisitos de ancho de banda para garantizar todos los datos críticos.Se puede respaldar de acuerdo con las escalas de tiempo RTO/RPO, las capacidades de protección de datos en el sitio de almacenamiento alternativo y la disponibilidad de soporte técnico de proveedores de servicios de terceros calificados.
Estas consideraciones son esenciales cuando utilizan un proveedor de servicios en la nube, especialmente sus recursos para almacenar y acceder a los sistemas y datos de los clientes, cómo protegen sus perímetros de red de los ataques cibernéticos, cómo acomodan los requisitos de RTO/RPO de los clientes y cómo prueban sus propios planes DR.
Consideraciones de proveedores
Aquí necesitamos identificar y contratar a proveedores primarios y alternativos para todos los sistemas y procesos críticos, e incluso el abastecimiento de las personas..Las áreas clave donde los proveedores alternativos serán importantes incluyen hardware (servidores, bastidores), energía (baterías, UPS, protección de energía), redes (servicios de redes de voz y datos), reparación y reemplazo de componentes, y múltiples empresas de entrega (FedEx y UPS).
Muchos de estos problemas se pueden mitigar mediante el uso de un proveedor de servicios en la nube, pero aún es prudente mantener copias de seguridad de datos y aplicaciones críticas y tener suministros de componentes críticos del sistema.
Policias y procedimientos
Los pasos clave aquí incluyen definir políticas para la recuperación de desastres de TI, hagan que los aproben la alta gerencia, definan procedimientos paso a paso (por ejemplo, para iniciar una copia de seguridad de datos para asegurar ubicaciones alternativas), reubicación de operaciones a un espacio alternativo, recuperación desistemas y datos en los sitios alternativos y la reanudación de las operaciones en el sitio original o en una nueva ubicación.Al utilizar los servicios en la nube, asegúrese de tener en cuenta las consideraciones en la nube en todas las políticas de DR y documentos de procedimiento relacionados.
Finalmente, asegúrese de obtener la aprobación de la gerencia para estrategias, políticas y procedimientos planificados.Esté preparado para demostrar que las estrategias propuestas se alinean con los objetivos comerciales y las estrategias de continuidad del negocio de la organización.
Traducir estrategias en planes DR
El siguiente paso después de completar las estrategias DR es traducirlas en planes y procedimientos de recuperación de desastres.Para mostrar cómo se puede hacer, la Tabla 1 se ha revisado en la Tabla 2, que sigue.
Muestra sistemas críticos y amenazas asociadas, la estrategia de respuesta y (nuevos) pasos de acción de respuesta, la estrategia de recuperación y (nuevos) pasos de acción de recuperación.Realizar este paso ayuda a definir los pasos de acción de alto nivel que se realizan parte del plan DR.
Use la Tabla 2 para ampliar los pasos de acción de alto nivel en procedimientos detallados paso a paso, según sea necesario.Asegúrese de que estén vinculados en la secuencia adecuada.
Desarrollo de planes DR
Los planes de recuperación de desastres proporcionan un proceso paso a paso para responder a un evento disruptivo.
Los procedimientos deben garantizar un proceso fácil de usar y repetible para recuperar los activos de TI dañados y devolverlos al funcionamiento normal lo más rápido posible.Si es necesario reubicar el personal en un sitio de terceros hot u otro espacio alternativo, se deben desarrollar procedimientos para esas actividades.Los pasos para usar recursos de copia de seguridad basados en la nube deben desarrollarse en coordinación con el proveedor de nubes, de modo que los procedimientos se realicen en la secuencia adecuada.
Considere también revisar los estándares globales ISO/IEC 24762 (Directrices para la información y la tecnología de comunicaciones Servicios de recuperación de desastres) e ISO/IEC 27035 (actividades de respuesta a incidentes) al desarrollar planes DR.
Respuesta al incidente
Además de usar las estrategias desarrolladas previamente, los planes de recuperación de desastres de TI también deben incluir un proceso de respuesta a incidentes (ISO/IEC 27035) para abordar las fases iniciales del incidente y los pasos a tomar.
Como en la Figura 2, las acciones de respuesta a incidentes deben preceder a las acciones de recuperación de desastres.Cuando se utilizan servicios en la nube, trabaje con el proveedor para incorporar sus actividades de respuesta a incidentes en el plan DR.
Nota: La gestión de emergencias se ha incluido en la Figura 2, ya que representa actividades que pueden ser necesarias para abordar situaciones en las que las personas se lesionan o situaciones como incendios que deben abordarse las brigadas de incendios locales y otros socorristas.
La estructura del plan DR
La siguiente sección detalla el marco y los componentes para un plan DR basado en ISO 27031 e ISO 24762.
Los mejores planes DR en su clase a menudo comienzan con una o dos páginas que resumen los pasos de acción clave (por ejemplo, dónde reunir a los empleados si se ven obligados a evacuar el edificio) y listas de contactos clave (por ejemplo, proveedores de nubes, áreas de trabajo alternativas)y su información de contacto para facilitar la autorización y el lanzamiento del plan.
Introducción
Después de las páginas de emergencia iniciales, los planes DR tienen una introducción que incluye el propósito y el alcance del plan.Esta sección debe especificar quién ha aprobado el plan, quién está autorizado para activarlo e incluir una lista de enlaces a cualquier otro plan y documento relevantes (por ejemplo, políticas).
Funciones y responsabilidades
La siguiente sección debe definir roles y responsabilidades de los miembros del equipo de la DR, sus datos de contacto, los límites de gasto (por ejemplo, si el equipo debe comprarse) y límites a su autoridad en una situación de desastre.Cuando se utilizan servicios en la nube, estos mismos parámetros deben definirse para el proveedor de la nube.
Respuesta al incidente
El proceso de respuesta a incidentes identifica la presencia repentina de una situación fuera de lo normal (por ejemplo, alertado por varias alarmas a nivel de sistema), evalúa rápidamente la situación (y cualquier daño) para hacer una determinación temprana de su gravedad, intenta contenerel incidente y ponerlo bajo control, y notifica a la gerencia, a los proveedores de servicios en la nube y a otras partes interesadas clave.
Activación del plan
Según los hallazgos de las actividades de respuesta a incidentes, el siguiente paso es determinar si se deben lanzar planes de recuperación de desastres, y cuáles en particular se deben invocar.Estas actividades deben coordinarse cuidadosamente con los proveedores de servicios en la nube..
Si se deben invocar planes DR, las actividades de respuesta a incidentes se pueden reducir o rescindir, dependiendo del incidente, lo que permite el lanzamiento de los planes DR.El uso de un proveedor de la nube también puede ayudar a reducir las actividades de respuesta a incidentes, porque el proveedor de la nube debe activarse temprano en el proceso.
Esta sección define los criterios para lanzar el plan, coordinar con el proveedor de la nube, qué datos se necesitan y quién toma la determinación.
Se incluye dentro de esta parte del plan debe ser áreas de ensamblaje para el personal (primaria y suplentes), procedimientos para notificar y activar a los miembros del equipo de DR y proveedores de nubes, y procedimientos para retener el plan si la gerencia determina que la respuesta del plan DR no es necesaria.
Historia del documento
Proporcionar una sección Fechas y revisiones del documento del plan de listado.Debe incluir fechas de revisiones, lo que se revisó y quién aprobó las revisiones.Localice esta sección al frente del plan.
Procedimientos
Una vez que se ha lanzado el plan, y si los proveedores de la nube también han sido notificados, los equipos de la DR y los equipos de proveedores de la nube proceden con actividades de respuesta y recuperación como se especifica en los planes.Cuanto más detallado sea el plan, más probable es que se recupere el activo de TI afectado y se devuelva a la operación normal..
Es esencial que los proveedores de nubes conozcan sus roles durante el incidente.Mejore los planes DR con información y procedimientos de recuperación relevantes obtenidos de los proveedores de nubes.Coordinar de cerca con los proveedores de la nube mientras desarrollan planes DR para asegurarse de que tengan procedimientos de emergencia documentados.
Apéndice
Ubicados al final del plan, estos pueden incluir inventarios de sistemas, inventarios de aplicaciones, inventarios de activos de red, contratos y acuerdos de nivel de servicio, datos de contacto del proveedor de nubes (y otros proveedores) y cualquier documentación adicional que facilite la recuperación.
Siguientes actividades
Una vez que se han completado los planes DR, están listos para ser ejercidos.El ejercicio de los planes DR al usar un proveedor de servicios en la nube es particularmente importante, porque el proveedor de la nube tendrá la responsabilidad de recuperar sistemas y datos críticos.Este proceso determinará si los sistemas y los datos pueden recuperarse y devolver efectivamente al servicio según lo planeado..
Paralelamente a estas actividades hay tres adicionales: crear conciencia de los empleados, capacitación de empleados y gestión de registros.Estos son esenciales en que se aseguran de que los empleados sean plenamente conscientes de los planes DR y sus responsabilidades en un desastre, y los miembros del equipo de la DR y los representantes de servicios en la nube han sido capacitados en sus roles y responsabilidades según lo definido en los planes..
Y dado que la planificación DR genera una cantidad significativa de documentación, también se deben iniciar actividades de gestión de registros y gestión del cambio.Esto es especialmente importante cuando se utiliza un proveedor de servicios en la nube y se asegurará de que los clientes sean plenamente conscientes de lo que el proveedor debería estar haciendo.
Obtenga la mayor cantidad de documentación del proveedor como sea posible para mantenerse sincronizar con sus actividades.Asegúrese de coordinar con las actividades de gestión de registros de la empresa y gestión de cambios durante la planificación del DR.
Resumen
Este artículo ha demostrado la importancia de desarrollar estrategias DR, especialmente cuando se utilizan proveedores de servicios en la nube, cómo traducirlas en planes DR y actividades de respuesta a incidentes, y definió los componentes de un plan DR y el contenido contiene cada uno..Las estrategias DR totalmente definidas, que se basan en numerosos factores, especialmente cuando se trabajan con proveedores de nubes, son esenciales cuando se desarrollan planes de recuperación de desastres.
