La im­po­r­ta­n­cia de contar con un disaster recovery plan

Dentro del argot técnico, los procesos de ad­mi­ni­s­tra­ción de eme­r­ge­n­cias hacen re­fe­re­n­cia a la gestión de la co­n­ti­nui­dad del negocio. En otras palabras, todos los procesos tienen que seguir en fu­n­cio­na­mie­n­to incluso en si­tua­cio­nes de eme­r­ge­n­cia. Los procesos se dividen pri­n­ci­pa­l­me­n­te en tres áreas:

• Pre­pa­ra­ción para eme­r­ge­n­cias (pre­ve­n­ción, pre­pa­ra­ción y alerta): este proceso incluye todas las medidas pre­ve­n­ti­vas en­ca­mi­na­das a prever si­tua­cio­nes de crisis. En el contexto in­fo­r­má­ti­co puede ser, por ejemplo, conseguir un sistema in­fo­r­má­ti­co más robusto o mejorar la re­du­n­da­n­cia de sus co­m­po­ne­n­tes.

• Gestión de eme­r­ge­n­cias (respuesta): el manejo de eme­r­ge­n­cias hace re­fe­re­n­cia a la capacidad y velocidad de reacción en si­tua­cio­nes de crisis. Esto incluye la re­s­tau­ra­ción de los procesos y sistemas in­fo­r­má­ti­cos ne­ce­sa­rios para el trabajo diario. Los planes de co­n­ti­n­ge­n­cia y la gestión de crisis también forman parte de este proceso.

• Pruebas y si­mu­la­cros: la gestión de crisis y eme­r­ge­n­cias incluye la pla­ni­fi­ca­ción y la rea­li­za­ción de pruebas regulares y si­mu­la­cros. El objetivo es mejorar co­n­ti­nua­me­n­te el proceso, ide­n­ti­fi­ca­n­do, así, posibles vu­l­ne­ra­bi­li­da­des.

Hablar del inicio de la di­gi­ta­li­za­ción del mundo laboral sería impropio, pues la co­n­ve­r­sión A/D es un proceso que está en marcha desde hace ya varios años. En la economía y en la industria muchos procesos y modelos de negocio tienen lugar en Internet, desde la ad­mi­ni­s­tra­ción de apli­ca­cio­nes (E-re­crui­t­me­nt) hasta la gestión de un centro logístico digital (E-logistics). Como co­n­se­cue­n­cia, muchas empresas dependen de una in­frae­s­tru­c­tu­ra in­fo­r­má­ti­ca muy fiable, pues el más mínimo fallo podría paralizar co­m­ple­ta­me­n­te el negocio. En caso de problemas técnicos, lograr que un sistema in­fo­r­má­ti­co funcione de nuevo conlleva gastos muy altos. Así, para ahorrar tiempo y dinero en si­tua­cio­nes de eme­r­ge­n­cia ine­s­pe­ra­das es re­co­me­n­da­ble crear un disaster recovery plan.

La base para la creación de todo plan de re­cu­pe­ra­ción ante desastres (DRP) es la do­cu­me­n­ta­ción del sistema y sus recursos in­fo­r­má­ti­cos. Es re­co­me­n­da­ble que esta do­cu­me­n­ta­ción sea clara y se mantenga ac­tua­li­za­da. Los datos técnicos, las listas de usuario, las re­s­po­n­sa­bi­li­da­des y los datos de contacto son elementos básicos para la gestión de un desastre. Así, la do­cu­me­n­ta­ción necesaria para un plan de re­cu­pe­ra­ción contendrá in­fo­r­ma­ción como:

• Hardware y equipos pe­ri­fé­ri­cos, p. ej., im­pre­so­ras
• Apli­ca­cio­nes de software
• Di­re­c­cio­nes IP
• VPN y acceso al servidor
• Datos de correo ele­c­tró­ni­co, p. ej., Exchange

Para ponerse en contacto rá­pi­da­me­n­te con la persona indicada en una situación de eme­r­ge­n­cia es necesario que el plan incluya a la vez in­fo­r­ma­cio­nes de contacto tales como:

• Lista de usuarios
• Persona re­s­po­n­sa­ble de áreas / tareas in­di­vi­dua­les
• Persona re­s­po­n­sa­ble de servicios externos
• In­fo­r­ma­ción del proveedor de Internet, así como del servicio de alo­ja­mie­n­to

La creación de un disaster recovery plan debe reunir los procesos generales de la empresa y debe estar es­tre­cha­me­n­te re­la­cio­na­do con la do­cu­me­n­ta­ción sobre los sistemas in­fo­r­má­ti­cos co­r­po­ra­ti­vos. Bá­si­ca­me­n­te, el plan de re­cu­pe­ra­ción ante desastres forma parte del concepto global de seguridad y se adapta siempre a las di­re­c­tri­ces exi­s­te­n­tes. Los co­n­te­ni­dos que forman el DRP son:

• De­fi­ni­ción (¿Qué es una eme­r­ge­n­cia?)
• Listas de contacto del personal
• Pro­ce­di­mie­n­tos de alarma y canales de in­fo­r­ma­ción
• Procesos de co­n­ti­n­ge­n­cia para la eme­r­ge­n­cia en sí
• Medidas para fi­na­li­zar­la, así como do­cu­me­n­ta­ción para el momento posterior de la eme­r­ge­n­cia
• Plan de pre­ve­n­ción de eme­r­ge­n­cias
• Planes de re­cu­pe­ra­ción para todas las in­s­ta­la­cio­nes

Además de la do­cu­me­n­ta­ción me­n­cio­na­da an­te­rio­r­me­n­te, un plan de re­cu­pe­ra­ción de desastres también debe incluir los planes de re­cu­pe­ra­ción de los co­m­po­ne­n­tes in­di­vi­dua­les del sistema. Esto es, en la mayoría de casos, la labor que requiere mayor esfuerzo.

Como re­s­po­n­sa­ble de la seguridad in­fo­r­má­ti­ca de una empresa, se deben co­n­si­de­rar di­fe­re­n­tes es­ce­na­rios de eme­r­ge­n­cia. Es por esto que todo plan de re­cu­pe­ra­ción debe incluir so­lu­cio­nes adecuadas de­pe­n­die­n­do del tipo de fallo. Un análisis detallado de los riesgos mostrará los puntos críticos e ide­n­ti­fi­ca­rá aquellas áreas que puedan poner en peligro el correcto fu­n­cio­na­mie­n­to del sistema. Así, antes de escribir un plan de re­cu­pe­ra­ción, es necesario hacer:

• Un análisis de todos los procesos y pro­ce­di­mie­n­tos in­fo­r­má­ti­cos
• Un análisis del hardware
• Pruebas de todas las apli­ca­cio­nes de software
• Consultas de todos los mo­vi­mie­n­tos re­le­va­n­tes de datos y del sistema

Fi­na­l­me­n­te, resulta de gran utilidad crear una guía paso a paso para las posibles eme­r­ge­n­cias y añadirlo al disaster recovery plan. La creación de un DRP, en pa­r­ti­cu­lar de una guía de re­cu­pe­ra­ción, es co­m­pli­ca­da y está di­re­c­ta­me­n­te re­la­cio­na­da con todos los sectores de actividad de una empresa. Además, cabe recordar que no basta úni­ca­me­n­te con su creación: el plan de re­cu­pe­ra­ción de desastres debe ser ac­tua­li­za­do co­n­s­ta­n­te­me­n­te y debe ir de la mano de la constante formación del personal para que puedan im­ple­me­n­tar­lo en caso de ser necesario. Es por esto que toda empresa debe co­n­si­de­rar si le resulta rentable crear e im­ple­me­n­tar un DRP por sus propios medios o si prefiere ponerlo en manos de algún experto.

La creación de un plan de re­cu­pe­ra­ción de desastres es una tarea necesaria y valiosa. Con este, toda empresa se está pro­te­gie­n­do de la po­si­bi­li­dad de perder miles de euros como co­n­se­cue­n­cia de ci­r­cu­n­s­ta­n­cias ajenas, como lo demuestra un estudio realizado por la Boston Computing Network. Además, un 60% de las compañías que pierden su in­fo­r­ma­ción se ven obligadas a cerrar sus negocios seis meses después del desastre. Estos y otros daños pueden ser pre­ve­ni­dos con la ayuda de un análisis cuidadoso y de la im­ple­me­n­ta­ción de pruebas y si­mu­la­cros en posibles es­ce­na­rios con los que ide­n­ti­fi­car y corregir posibles de­bi­li­da­des. Con esto, una empresa no solo se está pre­pa­ra­n­do para una crisis, sino que está, al mismo tiempo, au­me­n­ta­n­do la seguridad de sus sistemas. Así, la fia­bi­li­dad crece mientras la pro­ba­bi­li­dad de pérdidas en un escenario de riesgo se reduce al mínimo.