AUDITORAS ESPECFICAS DATA CENTER CONTINUIDAD DEL NEGOCIO: RECUPERACIN DE DESASTRES Y RESPALDOS

CRISTIAN ALEXANDER TABORDA COD: 908059 LUIS EDUARDO ESCOBAR COD: 908520 LORENA CONSUELO TORRES COD: 908059

Presentado a: CARLOS HERNAN GMEZ GMEZ

UNIVERSIDAD NACIONAL DE COLOMBIA SEDE MANIZALES ADMINISTRACIN DE SISTEMAS INFORMTICOS AUDITORA II MANIZALES Mayo 25 de 2011

DATA CENTER CPD

El concepto de Data Center es, hoy en da un trmino habitual para muchas personas y empresas, sobre todo relacionadas con el mundo del hosting. Un Data Center es, tal y como su nombre indica, un centro de datos o Centro de Proceso de Datos (CPD). Esta definicin engloba las dependencias y los sistemas asociados gracias a los cuales:

Los datos son almacenados, tratados y distribuidos al personal o procesos autorizados para consultarlos y/o modificarlos.

Los servidores en los que se albergan estos datos se mantienen en un entorno de funcionamiento ptimo.

Los primeros Data Centers se disearon e implementaron siguiendo las arquitecturas clsicas de informtica de red, en las que los equipos eran apilables en mesas, armarios o racks. La necesidad de fcil gestin y de optimizacin del espacio han hecho que se evolucione hacia sistemas basados en equipos cuyas dimensiones permiten aprovechar al mximo el volumen disponible en los racks (Equipos enracables), logrando una alta densidad de equipos por unidad de espacio. Los Data Center iniciales tampoco estaban diseados para proporcionar facilidades de red avanzadas, ni los requerimientos mnimos de ancho de banda y velocidad de las arquitecturas actuales. La rpida evolucin de Internet y la necesidad de estar conectados en todo momento han obligado a las empresas a requerir un alto nivel de fiabilidad y seguridad, de tal forma que se proteja la informacin corporativa y est disponible sin interrupciones o degradacin del acceso, con el objetivo de no poner en peligro sus negocios, sean del tamao que

sean. El cumplimiento de estos requisitos, cada da ms demandados, es posible dentro de un Data Center. Igual que un banco es el mejor sitio para guardar y gestionar el dinero, un centro de datos lo es para albergar los equipos y sistemas de informacin. Los datos almacenados, no son datos estticos, estn en constante movimiento, se interrelacionan unos con otros y dan como resultado nuevos datos. Su crecimiento es constante y ello implica no solo que deben estar protegidos mediante las medidas de seguridad adecuadas, sino tambin dotados de estupendos motores que les permitan moverse gilmente por las autopistas de la informacin. El crecimiento exponencial del nmero de usuarios de los servicios online ha llevado a las empresas a subcontratar la gestin, mantenimiento y administracin de sus equipos informticos y de comunicaciones en los Data Center. Esto les permite centrarse en el desarrollo de su propio negocio y olvidarse de complejidades tecnolgicas derivadas de las caractersticas anteriormente comentadas, as como prestar el servicio sin la necesidad de realizar una inversin elevada en equipamiento dedicado a este fin. Un Datacenter o centro de datos si lo traducimos literalmente es una instalacin especializada para brindar facilidades desde hospedaje web de pginas webs estticas hasta hospedaje de aplicaciones y diversos servicios de

comunicaciones. El aspecto fsico Un centro de datos puede ocupar uno o varios cuartos o pisos o todo un edificio completo, usualmente los servidores usados son servidores 1U o llamados cajas de pizza empotrados en racks de 19, que usualmente son alineados en celdas formando un corredor entre ellos. Esto permite el acceso para los servicios tcnicos y por supuestos mejor circulacin del aire para el enfriamiento.

El ambiente dentro de un centro de datos est controlado las 24 horas de da: El aire acondicionado es usado para mantener la temperatura, generalmente en 17 grados Celsius, esto es crucial ya que esta clase de equipo confinado en un cuarto sin ventilacin no sobrevivira un periodo muy largo sin las condiciones ideales. Respaldo de energa: este recurso es 100% indispensable, se mantienen plantas de alto rendimiento para cubrir los apagones, y minimizar el tiempo fuera de lnea o downtime. Un piso falso que es adecuado para manejar todo el cableado de red y de electricidad. Sistemas de alarma para incendios son otro paso usado para contener los riegos de una catstrofe. Usar agua en equipo elctrico operacional no es lo mejor para apagar un incendio. Originalmente el gas halom fue usado para este fin, el uso de un gas inerte es necesario para expulsar el oxgeno de las salas, Sin embargo esto fue prohibido en algunos pases por el riesgo que representa para la salud. Las alternativas ms recientes son el uso de Aragonite y FM200 e incluso sistemas de agua ultra pura. Seguridad fsica La seguridad fsica juega un rol importante, el acceso del personal al sitio es usualmente restringido a unos pocos. video cmaras y guardias de seguridad permanentes son usados para resguardar la informacin de los clientes. La infraestructura de la red Las comunicaciones hoy en da entre Datacenters se basan en el protocolo Ip, el uso de routers y switches transportan el trfico entre el Datacenter y el internet.

Algunos de los servidores en el centro de datos son usados para tareas bsicas del personal como uso del internet, intranets, email, etc... La seguridad de la red est evidentemente desarrollada, con herramientas como: firewalls, VPN, deteccin de intrusos as como sistemas de monitoreo son las mejores armas para mantener su informacin protegida. Arquitectura de red

El diseo elctrico de almacenamiento de archivos, copia de seguridad y archivo de la redundancia del sistema de control de red

acceso y seguridad de gestin de base de datos Web Hosting Alojamiento de aplicaciones de distribucin de contenido Control ambiental Proteccin contra riesgos fsicos (incendios,

inundaciones, huracanes)

La gestin de energa

Normas asociados a Centros de Datos Normas ISO y BSBS25999: Continuidad de la actividad comercial/ La gestin de continuidad de la actividad comercial (BCM) se ha concebido para ayudar a las organizaciones a minimizar el riesgo de interrupciones. ISO/IEC 20000: Gestin de Servicios de TI/ Prestacin de servicios de TI de gran calidad. ISO/IEC 27001: Seguridad de la informacin/Proteccin de la informacin, el activo ms valioso. En 16001: Eficiencia energtica/ Comprometidos con el uso eficiente de la energa. Normas y Mejores Prcticas LEED NFPA BICSI ASHRAE IEEE

Tipos de Auditoras Auditorias de Eficiencia. Auditorias Electromecnica. Auditoras de la Gestin de los sistemas (ISO) Auditoras de Riesgo Operacional (Conjunto de Auditoras Anteriores).

Que se tiene en un Data Center:

Sistema Elctrico Sistemas para prevenir y controlar incendios e inundaciones como drenajes y extintores.

Vas de evacuacin Puertas y pinturas ignfugas (para proteger contra el fuego) Aire acondicionado UPS (Sistema de alimentacin de energa ininterrumpido) Pisos y techos falsos Instalacin de alarmas Control de temperatura y humedad con avisos Cerraduras electromagnticas Cmaras de seguridad o CCTV (Circuito cerrado de televisin) Detectores de movimiento Tarjetas de identificacin Bitcoras de acceso manual y electrnicas Botn de apagado de emergencia EPO

Los requerimientos varan entre cada uno, puesto que no son los mismos riesgos en cada uno adems de variar su localizacin.

PLAN DE AUDITORA

En el desarrollo de esta auditora a Data Center se tiene en cuenta los siguientes elementos:

1. INVESTIGACIN PRELIMINAR

Definimos el esquema de requerimientos tcnicos que posee el Data Center estableciendo una matriz donde se clasificaran el alcance o proyecciones. Se evaluara la infraestructura como soporte a los servicios de TI alineados al negocio y valor agregado. Aspectos a considerar para la auditora en el centro de datos: La infraestructura Fsica que incluye todo el aspecto fsico donde est ubicado el centro de datos y los sistemas de informacin. Infraestructura de red y telecomunicaciones que permite a otros sistemas y usuarios comunicarse e intercambia informacin sin tener acceso fsico al centro de datos, incluye equipos y su interconexin local y remota.

Adems se tienen los siguientes elementos: Infraestructura Cableado Red de rea local Red de rea amplia Servicios Seguridad

2. Identificacin y Agrupacin de Riesgos

Consta del anlisis y evaluacin de puntos crticos y puntos de fallas, la identificacin de oportunidades, el diagnstico y rediseo, a fin de identificar los riesgos para cada grupo identificado y disear instrumentos que permitan evaluar los aspectos planeados.

3. Evaluacin de seguridad Se determinara si el diseo y crecimiento existentes en la empresa, estn dirigidos a buenas prcticas que optimicen su funcionamiento y que aplique las polticas y normativas internacionales, impulsando y respaldando el constante desarrollo de la organizacin.

4. Diseo de Pruebas

Se determinaran que instrumentos son los adecuados para desarrollar una auditora eficaz y eficiente: Tcnicas e instrumentos

Fecha: Mayo 25 de 2011 Empresa: FIRETIRE S.A. Auditores: Cristian Alexander Taborda Luis Eduardo Escobar Gallo

Lorena Consuelo Torres Tcnica usada: Gua de Auditora DATA CENTER Herramienta usada: CheckList Se tiene iluminacin exterior del Data Center, adems de sealizacin del entorno que identifique la relacin de los riesgos. Se tienen identificados los riesgos ambintales en el Data Center y la distancia de los servicios de emergencia. Se tiene que las puertas, muros y exteriores son slidos para proteger los Data Center. Se tiene autenticacin fsica al acceso a los dispositivos con apropiado uso y trabajo. Se tiene la documentacin acerca de las rondas de guardia del edificio y las funciones del personal de seguridad. Las reas sensibles estn protegidas adecuadamente. La calefaccin y los sistemas de aire acondicionado mantienen la temperatura constante en el Data Center. Las emisiones de radio afecten o hacen ruido en los sistemas electrnicos de cmputo al transmitir informacin. Hay redundancia en la alimentacin elctrica del Data Center Existe proteccin polo a tierra Las condiciones de energa puedan prevenir una prdida de datos Los sistemas de reserva elctrica proveen la continuidad del flujo elctrico durante un apagn o reduccin de energa. Los generadores mantienen unas buenas condiciones de trabajo durante una prdida de energa prolongada. Los sistemas de control protegen eficientemente contra la intrusin fsica de ladrones. Tiene sistema de alarmas para proteger los data center de los riesgos.

Fecha: Mayo 25 de 2011 Empresa: FIRETIRE S.A. Auditores: Cristian Alexander Taborda Luis Eduardo Escobar Gallo Lorena Consuelo Torres Tcnica usada: Gua de Auditora Para Elementos Especficos del Data Center Herramienta usada: Entrevista

Auditora a la Infraestructura Dispone de los planos del edificio? Cuenta con los diagramas detallados de red, equipos, gabinetes, racks y conexiones entre ellos? Posee los extintores de fuego adecuados en las diferentes reas del data center? Tiene un plan de mantenimiento y revisin de los extintores de fuego? El data center est organizado, libre de obstrucciones, preferiblemente utilizando un piso falso para cableado? Los gabinetes de servidores y racks tiene suficiente espacio para maniobrar en la seccin frontal? Las puertas son lo suficientemente anchas y altas? Utiliza piso falso para la distribucin de cableado de datos, electricidad o aire acondicionado? Los ductos de agua potable, negras y lluvias estn lejos del data center? Posee Racks y Gabinetes para organizar los componentes del data center? Los gabinetes para organizar los componentes del data center, tiene el ancho estndar de 19 pulgadas? Los gabinetes poseen mecanismo de cerradura? Existe suficiente espacio interno para todos los equipos de red que se instalaran en los gabinetes, posee suficientes conexiones elctricas y espacio para redundancia para estos equipos?

Tienen los equipos en los gabinetes alguna proteccin contra el apagado accidental?

Tiene problemas de filtraciones de aguas por la lluvia en el data center? El data center tiene ventanas al exterior? El techo del data center soporta un peso de al menos 25 libras por pies cuadrados?

Cada piso/edificio/seccin de la planta posee un gabinete de distribucin de cables?

Estn los gabinetes de distribucin aislados y en un lugar seguro? Existe suficiente espacio para equipo adicional al utilizado actualmente en caso de crecimiento en cada gabinete de cableado?

Posee algn mecanismo de monitoreo en los cuartos de cableado o gabinetes que detecte la falta de energa elctrica?

La capacidad del UPS instalado es suficiente para soportar todos equipos en el data center?

Posee un generador elctrico que soporte a su data center en caso de corte de energa elctrica?

El generador elctrico se activa automticamente en caso de falla elctrica?

Cunto tiempo puede el generador dar soporte al data center en caso de fallo y afectar esto a la disponibilidad?

Tiene algn plan de mantenimiento para los equipos de respaldo elctrico?

Las instalaciones elctrica cuentan con la adecuada polarizacin a tierra en base a la carga requerida por el data center?

El data center posee respaldo por UPS en cada circuito elctrico? Cuenta con redundancia de UPS en el data center? Cuenta con los planos elctricos del data center certificados por un Ingeniero elctrico?

Posee un sistema para deteccin de humo en el data center? Tiene algn plan de prueba de los censores instalados en el data center?

Posee un sistema de alerta en caso de fallo en la temperatura del data center?

Tiene algn sistema de control de humedad para garantizar desde 40% al 55%?

Dispone de un sistema de aire acondicionado en el data center? El sistema de aire acondicionado cuenta con la suficiente capacidad para garantizar una temperatura constante y distribuida de 20C (68 F) hasta 25C (77F) en todo el data center?

Cmo garantiza que la temperatura del data center sea el adecuado y constante?

Se ha contemplado en el diseo del data center el flujo de aire fro y aire caliente?

El data center cuenta con un sistema de luces de emergencia? La iluminacin tiene un mnimo? Se dispone de ms de una entrada para el acceso al data center?

Auditora al cableado El cableado de datos y de voz estn por separado? Cul es el tipo de cableado utilizado para datos? Cul es el tipo de cableado utilizado para voz? Estas identificados los diferentes tipos de cableados en el centro de datos? Existen muchos tipos de interferencias, algunas son potenciales y no identificadas por favor indique cul de las que se mencionan a continuacin aplican para el centro de datos: a) cables de voltaje en paralelo a los de datos b) lmparas fluorescentes cercanas c) gras de alta capacidad d) maquinaria con voltajes de ejecucin arriba de los 330VA d) Ninguna de las anteriores? Tiene ordenadores de cables y paneles de conexin, para sus cables de datos y voz?

Comprueba peridicamente que los cables no tengan algn tipo de defecto, como torceduras, etc.?

Se utiliza Fibra ptica para conectar entre pisos, edificios, etc. Para con el centro de datos?

Est al lmite del porcentaje de utilizacin de los elevadores de cables y paneles de conexin en el centro de datos?

Est al lmite del porcentaje de utilizacin de los paneles de conexin en los gabinetes?

Los toma corrientes que van a la pared cumplen con la distancia correcta del piso. 30 cms?

Posee un sistema estndar de identificacin de cableado WAN y LAN? El cableado actual est acorde a los estndares establecidos? Posee las certificaciones de los cableados de fibra ptica existentes? Posee las certificaciones de los cableados de cobre existentes? Todos los segmentos existentes son Ethernet? La conexin de respaldo sigue una ruta diferente a la ruta de la conexin principal?

Auditoria para la Red LAN Dispone de las ubicaciones y distancias de los switches respecto al data center? Dispone de las marcas, modelos, versin de software, configuraciones y capacidades de cada uno de los switches? Cuenta con los diagramas fsicos de conectividad y lgico de la topologa, que incluyan: a) Localizacin de los dispositivos de red b) VLAN c) RUTEO d) IP de SUB REDES e) Redundancia? Posee polticas de conectividad entre los dispositivos de la arquitectura de red? Dispone de la cantidad de puertos utilizados y no utilizados de los equipos?

Dispone de UPS o Generador Elctrico en caso de una ausencia elctrica para los equipos bsicos y de red?

Dispone de fuente redundante de voltaje para los equipos bsicos y de red?

La arquitectura de red con la que cuenta administra los siguientes servicios: a) NETBIOS b) MAIL c) VoIP d) VIDEO CONFERENCIA e) HTTP.

Dispone de los dispositivos de red adecuados para administrarlos? Indique que tipo de redes inalmbricas estn implementadas: a) Redes inalmbricas de rea personal WPAN b) Redes inalmbricas de rea local WLAN c) Redes inalmbricas de rea metropolitana WMAN d) Ninguna red inalmbrica

Cules de las siguientes encriptaciones estn habilitadas en sus redes inalmbricas : a) WEP b) WPA c) WPA2 d) RADIUS e) OTRA d) NINGUNA

Se efectuaron mediciones de distancias y pruebas de seal para la ubicacin de los Wireless AP?

Es conocida la capacidad de cuantos equipos de la red son soportados por cada Wireless AP?

Se cuenta con switches pasivos de respaldo para la conexin de acceso de usuarios finales?

A nivel de distribucin se cuenta con switches y conexiones redundantes?

Auditora a la Red WAN

Los equipos de WAN son administrados por un proveedor externo? Quin le administra el servicio de enlace de datos: Ancho de Banda, Desempeo y Fallas?

Quin le administra el servicio de voz sobre IP? Se ha considerado el ancho de banda para utilizar video conferencias? Quin le administra el servicio de video conferencias? Qu protocolos de ruteo utiliza en su red?

Tiene documentacin de las tablas de ruteo, IP, redes y configuracin de los equipos de ruteo?

Posee algn enlace redundante con otro Proveedor de servicios de Internet (ISP)?

Qu tipo de redundancia posee en los enlaces de WAN si tiene ms de un enlace?

Tiene algn mecanismo de monitoreo del ancho de banda y latencia de los enlaces WAN en tiempo real?

Se tienen o ha tenido problemas frecuentes con los enlaces actuales de los ISP?

Los router en su LAN poseen soporte para VLAN, para separar redes y disminuir el broadcast?

Los niveles de uso de memoria y CPU de los routers estn por debajo del 75%?

Quien Administra los Firewalls de su organizacin? Cuenta con la documentacin de las reglas establecidas en los Firewalls? Cuenta con algn mecanismo para limitar el acceso a Internet? Tiene alguna poltica de acceso al servicio de Internet? El ancho de banda utilizado por sus enlaces soporta todos los servicios WAN?

Se tiene redundancia para el firewall? Los enlaces de los ISP han sido instaladas por rutas diferentes?

Auditoria de Servicios de Red Se cuenta con un diagrama de la topologa de DNS que est utilizando la red? Cuenta con un servidor DNS Interno? Si cuenta con un nombre de dominio pblico, quien le administra el DNS? Se tiene la documentacin sobre todas las redes y sub redes en su organizacin?

Las redes actuales consideran suficientes direcciones para el crecimiento de la organizacin?

Se est utilizando una red o subred en el rango de las reservas para redes privadas?

El rango de redes asignado es suficiente para soportar la telefona IP? Se utiliza un servidor DHCP para distribuir las direcciones de red? Se tiene en la documentacin la configuracin de direcciones para DHCP y registro de las reservas de direcciones de red?

Tiene un servidor dedicado para el servicio de DHCP o es utilizado para otros servicios simultneamente?

Los servidores utilizan el servicio de DHCP o es configuracin esttica? Tienen algn mecanismo para balancear la carga del DHCP? Utiliza el servicio de directorio en su red? Quien Administra el servicio de directorio? Dispone de un servidor de correo dedicado? Dispone de un servidor de respaldo para el correo? El servidor utilizado para correo provee algn servicio adicional en la red? Quin le Administra el software de servicios de correo? Se cuenta con algn mecanismo para prevenir el spam? Cuenta con un plan de monitoreo de los equipos que brindan servicios en la red?

Se dispone de alguna redundancia para el servicio DNS? Dispone de redundancia para el servicio de directorio?

Auditoria a la Seguridad Tiene una poltica de control de acceso al data center? Posee una bitcora de ingreso del personal al data center? Dispone de un sistema de alarma, control o monitoreo del personal que ingresa al data center? Tiene alguna poltica de acceso a los cuartos de comunicaciones o gabinetes ubicados en las plantas de la organizacin?

Cuenta con polticas de responsabilidades y obligaciones de las personas que administran el data center?

Cundo un Proveedor o personal externo hace uso de las instalaciones del data center, se le hace saber sus obligaciones, limitaciones y responsabilidades y pasen por las polticas de control de acceso?

l data center se encuentra en un permetro de seguridad que restrinja el acceso, ya sea puertas, tarjetas de control o una recepcin?

Todas las polticas de seguridad que utiliza en su empresa cuentan con el respaldo de la gerencia general?

Se cuenta con un control para velar que las polticas de seguridad se estn cumpliendo?

Dispone de contratos, duracin, trminos y condiciones, aspectos financieros como financiamientos, garantas, deprecacin y de la legalidad en la infraestructura de activos?

Los diferentes departamentos en su organizacin y l data center se encuentran administrativamente separados con redes virtuales privadas (VLAN)?

Cuenta con un inventario detallado de todo el equipo en su data center y de comunicaciones?

Utiliza Firewalls para la proteccin de la red interna? Cuenta con algn software para deteccin de Intrusos? Utiliza un sistema de contraseas fuertes para el acceso a todos los equipos, tanto de comunicaciones como de usuario final?

Peridicamente notifica o capacita a todo el personal sobre los riesgos y nuevas amenazas existentes y como solucionarlas?

Elimina las contraseas del personal que ya no trabaja en su organizacin?

Tiene una poltica de cambio peridica de contraseas en todos los equipos tanto del data center y en toda la organizacin?

Si cuenta con redes inalmbricas estas tiene el mecanismo ms seguro para utilizar esta red?

Utiliza VPN para el acceso remoto a su red? Tiene algn control implementado para verificar peridicamente los factores de vulnerabilidad en su data center?

Los servidores en el data center cuentan con proteccin actualizada contra virus informticos?

Cuenta con un detalle de software instalado en los equipos del data center?

Se cuenta con un plan de respaldo al menos diario de todos los datos de los servidores que utiliza la organizacin?

Se tiene un plan control y pruebas de los respaldos que se realizan en el data center?

Los procedimientos, controles y actualizaciones de seguridad son revisados y probados antes de su implementacin?

Se cuenta con un control y monitoreo de los sucesos, alertas del registro de los servidores del data center?

Se utilizan mecanismos de administracin remota de los equipos en el data center?

Cuenta con un plan de contingencia en caso de desastres? Tiene un Respaldo de Datos y Configuraciones en un lugar diferente de las instalaciones de la organizacin?

CREACIN DE RESPALDOS, RECUPERACIN DE DESASTRES Y CONTINUIDAD DEL NEGOCIO

La amenaza de desastres en las organizaciones es constante y permanente sea por estar ubicada en una zona con riesgo de dao natural o humano, por lo anterior es indispensable que las empresas tengan establecido de forma explcita un plan de actividades a realizar despus de que ocurran los desastres con el objetivo de normalizar lo ms pronto posible y sin mayores contratiempos las labores de la empresa.

Este plan se denomina comnmente Plan de Recuperacin ante Desastres (Disaster Recovery Plan), este plan de debe contener como minimo las acciones a realizar en caso de catstrofes relacionadas con: Fuego Fallas de Energa Ataque Terroristas Interrupciones organizadas o deliberadas Sistemas y/o fallas de equipo Error humano Virus informticos Cuestiones legales Huelga de empleados

Esta proteccin de los datos se crea teniendo en cuenta la cantidad de datos a salvaguardar y el grado de importancia de los mismos. Adems se debe evaluar la recuperacin de desastres, la administracin de informes y del nivel de los servicios. Tambin se debe evaluar y planificar la forma en que se va a realizar la migracin desde los respaldos hasta los nuevos repositorios empresariales y la recuperacin de forma rpida de las redes. Adems se deben haber realizado pruebas sobre este plan de recuperacin de desastres con el objetivo de evaluar su eficacia. Un plan de respaldo pierde su utilidad sin un plan de recuperacin de desastres. Las siguientes son las fases del plan de recuperacin de desastres:

Los eventos que denotan posibles desastres Las personas en la organizacin que tienen la autoridad para declarar un desastre y por ende, colocar el plan en efecto

La secuencia de eventos necesaria para preparar el sitio de respaldo una vez que se ha declarado un desastre

Los papeles y responsabilidades de todo el personal clave con respecto a llevar a cabo el plan

Un inventario del hardware necesario y del software requerido para restaurar la produccin

Un plan listando el personal a cubrir el sitio de respaldo, incluyendo un horario de rotacin para soportar las operaciones continuas sin quemar a los miembros del equipo de desastres

La secuencia de eventos necesaria para mover las operaciones desde el sitio de respaldo al nuevo/restaurado centro de datos

Un buen nivel de detalle es esencial porque cuando sucede la emergencia el plan de detalle suele ser lo que dictamina los pasos a seguir ante el desastre. Adems se deben guardar varias copias del plan en distintos sitios y de fcil acceso para evitar su perdida y la demora en su implementacin respectivamente. Inclusive se pueden guardas estas copias en los hogares de algunos empleados de confianza de las organizaciones o de los mismos gerentes. Se deben realizar evaluaciones peridicas para identificar que falencias u obsolescencias tiene el plan. Estas evaluaciones se llevan a cabo siguiendo paso por paso y de forma detallada dicho plan. Lo anterior implica ir al sitio de respaldo y configurar el centro de datos temporal, ejecutar las aplicaciones temporalmente y reactivar las operaciones normales despus de que el "desastre" termine; aunque no implica llevar a cabo en un 100% las tareas del plan si se realiza lo relativamente mximo posible, es decir implementando aplicaciones o sistemas para reubicarlos con las condiciones de respaldo, se coloca en produccin durante un periodo de tiempo y se lleva a operacin normal al final de la prueba. Las revisiones tienen que realizarse en periodos cortos de tiempo (se recomienda mximo tres meses) pues las empresas y sus datos son cambiantes, por lo que fcilmente el plan de recuperacin de desastres puede caer en la obsolescencia, lo que sera inclusive ms peligroso que no tener un plan. En el plan de recuperacin de desastres se debe indicar el sitio de respaldo, es decir, el sitio donde se va a instalar el centro de datos y donde se realizaran todas

las operaciones. Este sitio de respaldo comnmente se clasifica en tres categoras: Sitio de respaldo frio: Es cuando se tiene establecido el lugar donde se van a instalar los elementos necesarios para el normal funcionamiento del centro de cmputo. Elegir esta opcin implicara que para restablecer las operaciones se instalen en el sitio los equipos de hardware y el software necesario y posteriormente ingresar la informacin desde los respaldos. Esta opcin es econmica porque el sitio no se adecua previamente pero despus del desastre es muy lento el restablecimiento del servicio. Sitio de respaldo tibio o templado: Adems de tener establecido el edificio en que se van a restaurar las operaciones, este lugar se adecua con el hardware necesario. En el momento posterior al desastre se debe transportar los ltimos respaldos hasta el lugar y realizar las

configuraciones necesarias. Sitio de respaldo caliente: Se tiene establecido el edificio con una imagen espejo del centro de cmputo principal. En el momento posterior al desastre solo se deben actualizar los datos de respaldo y las operaciones quedaran restablecidas es un tiempo mnimo. Por todo lo que implica sostener un centro de cmputo usualmente es la opcin ms costosa. Cada empresa decidir qu tipo de sitio utiliza pues cada una tiene sus ventajas y desventajas. Se debe buscar un equilibrio entre la rapidez del restablecimiento de las operaciones y la economa de la organizacin. Dependiendo que sitio de respaldo haya seleccionado se deber incluir en el plan la forma como se adquirir el hardware y el software, pues si se ha seleccionado un sitio de respaldo frio se deben identificar explcitamente que elementos se van a adquirir y de donde van a ser comprados. Puede ser una buena opcin establecer acuerdos con empresas distribuidoras de hardware y software para que en caso de desastre haya una rpida respuesta por parte de estos entes.

Sin embargo para seleccionar el tipo de sitio de respaldo se puede escoger entre tres opciones: Tercerizacin de la seleccin y acondicionamiento de este sitio: Es la mejor opcin en cuanto a seguridad y rapidez pero tambin es la opcin ms costosa. Es alineada con la tendencia actual de subcontratar procesos no nucleares. Otras sedes o edificios pertenecientes a la organizacin: Es una opcin muy econmica porque el lugar pertenece a la empresa; pero los costos se incrementan cuando se tiene en cuenta que debe estar acondicionada y se le debe realizar mantenimiento peridico. Convenio con otra empresa para compartir sus centros de cmputo en caso de desastre: Consiste en acordar con otra empresa aliada para que en caso de que mi centro de cmputo sufra un desastre, pueda restablecer mis operaciones lo ms pronto posible en el centro de cmputo de dicha empresa y viceversa. Es una opcin muy econmica pues no se adquiere hardware ni software, pero no es conveniente cuando se desea que las operaciones funcionen desde all por un periodo largo de tiempo, porque puede ocasionar conflictos entre los empleados de la empresa anfitriona que obviamente no interrumpen sus actividades cotidianas. Como se expuso anteriormente la decisin de qu tipo de sitio utilizar y en que modalidad adquirirlo se debe tomar en base a las circunstancias econmicas y las necesidades de la organizacin. Adems de lo anterior el plan de recuperacin de desastres debe evaluar la forma en que va a estar comunicado el centro de cmputo de respaldo con el resto de la organizacin, pues de nada sirve un centro de cmputo funcionando

perfectamente si no le puede brindar su informacin al resto de la organizacin. Despus de que se determine la normalidad en la centro de cmputo principal se debe hacer una transicin que no afecte los procesos del departamento. Para esto se debe acondicionar el sitio principal con el hardware y software necesarios para

posteriormente migrar la informacin de los respaldos y normalizar totalmente las operaciones y los procesos del rea. Para que tenga sentido un plan de recuperacin de desastres es obligatorio tener respaldos (backups) actualizados de toda la informacin del departamento. Los respaldos son copias de la informacin que se realiza de forma peridica y que se guarda en otro lugar alejado de los edificios de la organizacin. El periodo de tiempo entre las copias debe ser lo menor posible pues en una empresa puede cambiar rpidamente la informacin almacenada. Adems estas copias se deben guardar en lugares distantes de la planta fsica de la empresa, pues si ocurre algn desastre en el edificio de la empresa se daaran los datos originales y los de respaldo perdindose toda la informacin. Por lo anterior se recomienda guardar los respaldos en otros edificios, usualmente son ubicados en los hogares de los gerentes de la empresa. Cuando ocurre un desastre se ejecuta el plan de recuperacin de desastres y una vez establecido el centro de cmputo temporal se debe copiar la informacin de los backups, para esto los respaldos deben estar protegidos pero disponibles en cualquier momento. Con lo anterior se garantiza integridad y disponibilidad de la informacin aun en situaciones tan adversas como un desastre. Sin embargo, la utilizacin del plan de recuperacin de desastres y de los respaldos puede ser reducida si se ha implementado en la organizacin una Planeacin de continuidad del Negocio (BCP) que es un plan que busca prevenir interrupciones que afecten el desempeo de las actividades normales del negocio, pero si un evento no puede ser evitado el BCP trata de minimizar el impacto (duracin y econmico). Esta Planeacin de Continuidad del Negocio se realiza con base en cinco fases: Definir estrategia: Identificar los posibles riesgos que tiene la organizacin.

Anlisis de impacto: Determinar qu impacto tienen los riesgos identificados en la anterior fase. Se establece una comparacin entre la probabilidad de que se presente el desastre y el grado de impacto que tendra sobre los procesos de la organizacin.

Estrategia de recuperacin: Se definen que estrategias se van a implementar con el objetivo de restablecer las operaciones del negocio cuando ocurra el desastre.

Diseo y desarrollo del Plan: Se define qu hacer ante la posibilidad de que ocurra algn desastre. Debe ser detallado y bien documentado donde se exponga claramente que hacer para recuperar los sistemas y restablecer los procesos crticos.

Pruebas y Mantenimiento: Se debe probar que le plan funciona, para establecer las modificaciones al mismo. Para cumplir con este objetivo se utilizan distintas metodologas como : o Discusin en mesa redonda (tabletop): Reunir a todos los involucrado y revisar el plan. o Ensayo (walkthrough): Simulacin que permite identificar que los involucrados conozcan el plan. o Interrupcin total: Interrumpir todos los servicios y procesos de forma intencional y poner en prctica el plan.

Estos planes y respaldos siempre buscan la solidez de las empresas y la supervivencia inclusive ante los desastres. De la realizacin de los mismos depende el xito o el fracaso del negocio. Plan de Continuidad del Negocio Es el conjunto de procedimientos y estrategias definidos para asegurar la reanudacin oportuna y ordenada de los procesos del negocio generando un impacto mnimo o nulo ante una contingencia.

El objetivo general de un BCP es establecer las estrategias y procedimientos que deben ser implementados por un equipo de individuos que provee

direccionamiento, soporte, equipamiento, metodologas y estndares para garantizar la continuidad de las operaciones del negocio

Que se evala en la Continuidad del Negocio: 1. Inicio y Administracin del Proyecto 2. Evaluacin y Control de Riesgos 3. Anlisis de Impacto al Negocio (BIA) 4. Seleccin y Desarrollo de Estrategias de Continuidad 5. Respuesta y Operaciones de Emergencia 6. Desarrollo e Implementacin Planes de Continuidad 7. Programas de Concientizacin y Entrenamiento 8. Prueba, Ejercitacin y Mantenimiento de los Planes de Continuidad 9. Comunicacin de Crisis 10. Coordinacin con Autoridades Pblicas

Estndares para BCP DRI (Disarter Recovery Institute International) (ISC)2 International Systems Security Certification Consortium (Certificacin CISSP). ISO 17799 BCI (Business Continuity Institute) ISACA NIST FEMA HIPPA ITIL

PLAN DE AUDITORA 1. Investigacin preliminar Se debe establecer la existencia de respaldos o backups en la organizacin. Si existen estos respaldos se deben evaluar su cumplimiento con los estndares, es decir, si se actualizan con frecuencia, si estn ubicados en lugares estratgicos y accesibles. Una vez se ha determinado la existencia de respaldos de la informacin se procede a determinar si se ha creado una planeacin para la continuidad del negocio. Este plan se debe haber elaborado de forma explcita y se le deben haber realizado diversas pruebas. Adems de lo anterior tambin se debe considerar la existencia de un plan de recuperacin de desastres. Si existe este plan se debe determinar cmo se realiz la seleccin del sitio de respaldo y que modalidad utilizaron para conseguirlo. Tambin se analiza la forma como se planea restablecer las operaciones en el rea una vez pasado el desastre. En resumen se van a considerar tres aspectos: La existencia y calidad de los respaldos Plan de continuidad del Negocio (BCP) Plan de recuperacin de desastres

2. Investigacin y agrupacin de riesgos Se identifican los puntos clave en cuanto a los planes de continuidad y de recuperacin y la creacin y actualizacin de los backups. Para determinar lo anterior se establecen instrumentos para determinar el grado de madurez que tiene la empresa. 3. Evaluacin de seguridad

Se determinar si los planes realizados cumplen con los lineamientos de la empresa y con las normativas gubernamentales que se han establecido para la continuidad del negocio y la rpida respuesta a los desastres. Tambin se evaluar si los respaldos cumplen con las normas y sugerencias

internacionales, pues de lo anterior depende la supervivencia de la empresa. Adems se establecer que siempre impulsen el bienestar, desarrollo y evolucin de la empresa 4. Diseo de pruebas Establecimiento de las tcnicas y metodologas para evaluar lo anteriormente expuesto. De esta forma la auditoria se realizara cumpliendo con los objetivos deseados. Fecha: Mayo 25 de 2011 Empresa: FIRETIRE S.A. Auditores: Cristian Alexander Taborda Luis Eduardo Escobar Lorena Consuelo Torres Tcnica usada: Gua de Auditora Plan de Recuperacin de Desastres y respaldos Herramienta usada: CheckList

Existen backups de la informacin. Los backups son actualizados contantemente. Los respaldos tienen alta disponibilidad en caso de que se deban utilizar. Los respaldos se encuentran en diferentes lugares. Los respaldos se encuentran en lugares accesibles rpidamente. Los respaldos que se realizan son los apropiados para el tipo de sistema que se tiene. Los backups pueden soportar el negocio por su cuenta.

 El plan de recuperacin de desastres existe de forma explcita y formal. El plan es conocido y comprendido por los empleados clave de la organizacin. Se les ha indicado a los empleados los roles que interpretaran en el restablecimiento de las operaciones en caso de desastre. El plan de recuperacin de desastre es actualizado. Se le realizan pruebas al plan para determinar que actualizaciones son requeridas. Se han establecido convenios con los vendedores y proveedores en caso de que ocurra un desastre se tenga prioridad para con la empresa. El plan de recuperacin de desastres contempla todos los posibles riesgos ms probables y sus consecuentes escenarios. Fecha: Mayo 25 de 2011 Empresa: FIRETIRE S.A. Auditores: Cristian Alexander Taborda Luis Eduardo Escobar Lorena Consuelo Torres Tcnica usada: Gua de Auditora Plan de Recuperacin de Desastres y respaldos Herramienta usada: Entrevista Gerente

Tiene respaldos de la informacin? Tienen un plan de recuperacin de desastres? Cul es el grado de madurez que tiene la empresa al poseer un sitio para las copias de seguridad? Bajo qu paramentos ha seleccionado el sitio? Con qu modalidad ha contratado el sitio? Realizan pruebas al plan? Qu pruebas realizan y con cuanta periodicidad?

Fecha: Mayo 25 de 2011 Empresa: FIRETIRE S.A. Auditores: Cristian Alexander Taborda Luis Eduardo Escobar Gallo Lorena Consuelo Torres Tcnica usada: Gua de Auditora Continuidad del Negocio Herramienta usada: Entrevista Revisin del Plan de Continuidad del Negocio (BCP)

Evaluacin de los Resultados Evaluacin del Sitio de Almacenamiento Interno Evaluar la Seguridad del Sitio Alterno Revisin de Contratos y Cobertura de Seguros

1. Se planea la continuidad del negocio en donde se mira: Las necesidades y siguiente comunicacin de continuidad del negocio La visin de la alta gerencia frente a BCP Desarrollo de actividades de implementacin de BCP

2. Se hace evaluacin de Riesgos En donde se identifiquen las prdidas potenciales la probabilidad y su impacto Se identifican controles y medidas para prevenir o mitigar el efecto de las prdidas potenciales - Proteccin fsica - Proteccin lgica - Localizacin de activos

Se evalan, seleccionan y utilizar apropiadas metodologas y herramientas de anlisis de riesgos, cules. Se identifican e implementan las actividades de recoleccin de informacin Se evala la efectividad de los controles y medidas

3. Verificar los stakeholders del plan, conocimiento de los mismos sobre los acuerdos de nivel de servicio (SLA) del plan de continuidad y existencia de herramientas para la medicin del SLA

4. Verificacin de los procesos de transferencia de conocimiento y entrenamiento del recurso humano frente a los procesos de continuidad y recuperacin.

5. Verificacin de los resultados y ajustes para el proceso de simulacin de una amenaza enfocada a un rea especfica del departamento de TI y/o de las reas Evaluacin de funcionales cumplimiento de de los la procedimientos compaa diseados

- Evaluacin de efectividad en la restauracin de las operaciones del negocio

6. Evaluacin de operacin de infraestructura requerida para la operacin de la contingencia

7. Verificacin de los procesos de actualizacin y mantenimiento permanente del BCP. (Roles, responsabilidades, controles y registros)

8. Verificacin de mtricas, a nivel de desempeo de los servicios para cliente externo e interno. Validar el nivel de alineacin de los indicadores con los SLAs y con la estrategia de negocio, as como su interrelacin.

http://www.lawebera.es/alojamiento-web/que-es-un-data-center.php http://web.mit.edu/rhel-doc/4/RH-DOCS/rhel-isa-es-4/s1-disaster-recovery.html http://web.mit.edu/rhel-doc/4/RH-DOCS/rhel-isa-es-4/s1-disaster-recovery.html