AUDITORÍAS ESPECÍFICAS DATA CENTER

CONTINUIDAD DEL NEGOCIO: RECUPERACIÓN DE DESASTRES Y

RESPALDOS

CRISTIAN ALEXANDER TABORDA COD: 908059

LUIS EDUARDO ESCOBAR COD: 908520

LORENA CONSUELO TORRES COD: 908059

Presentado a: CARLOS HERNAN GÓMEZ GÓMEZ

UNIVERSIDAD NACIONAL DE COLOMBIA SEDE MANIZALES ADMINISTRACIÓN DE SISTEMAS INFORMÁTICOS

AUDITORÍA II MANIZALES

Mayo 25 de 2011

DATA CENTER

CPD

El concepto de Data Center es, hoy en día un término habitual para muchas

personas y empresas, sobre todo relacionadas con el mundo del hosting.

Un Data Center es, tal y como su nombre indica, un “centro de datos” o “Centro de

Proceso de Datos” (CPD). Esta definición engloba las dependencias y los

sistemas asociados gracias a los cuales:

Los datos son almacenados, tratados y distribuidos al personal o procesos

autorizados para consultarlos y/o modificarlos.

Los servidores en los que se albergan estos datos se mantienen en un

entorno de funcionamiento óptimo.

Los primeros Data Centers se diseñaron e implementaron siguiendo las

arquitecturas clásicas de informática de red, en las que los equipos eran

“apilables” en mesas, armarios o racks.

La necesidad de fácil gestión y de optimización del espacio han hecho que se

evolucione hacia sistemas basados en equipos cuyas dimensiones permiten

aprovechar al máximo el volumen disponible en los racks (Equipos “enracables”),

logrando una alta densidad de equipos por unidad de espacio.

Los Data Center iniciales tampoco estaban diseñados para proporcionar

facilidades de red avanzadas, ni los requerimientos mínimos de ancho de banda y

velocidad de las arquitecturas actuales. La rápida evolución de Internet y la

necesidad de estar conectados en todo momento han obligado a las empresas a

requerir un alto nivel de fiabilidad y seguridad, de tal forma que se proteja la

información corporativa y esté disponible sin interrupciones o degradación del

acceso, con el objetivo de no poner en peligro sus negocios, sean del tamaño que

sean. El cumplimiento de estos requisitos, cada día más demandados, es posible

dentro de un Data Center. Igual que un banco es el mejor sitio para guardar y

gestionar el dinero, un centro de datos lo es para albergar los equipos y sistemas

de información.

Los datos almacenados, no son datos estáticos, están en constante movimiento,

se interrelacionan unos con otros y dan como resultado nuevos datos. Su

crecimiento es constante y ello implica no solo que deben estar protegidos

mediante las medidas de seguridad adecuadas, sino también dotados de

estupendos “motores que les permitan moverse ágilmente por las autopistas de la

información”.

El crecimiento exponencial del número de usuarios de los servicios online ha

llevado a las empresas a subcontratar la gestión, mantenimiento y administración

de sus equipos informáticos y de comunicaciones en los Data Center. Esto les

permite centrarse en el desarrollo de su propio negocio y olvidarse de

complejidades tecnológicas derivadas de las características anteriormente

comentadas, así como prestar el servicio sin la necesidad de realizar una inversión

elevada en equipamiento dedicado a este fin.

Un Datacenter o centro de datos si lo traducimos literalmente es una instalación

especializada para brindar facilidades desde hospedaje web de páginas webs

estáticas hasta hospedaje de aplicaciones y diversos servicios de

comunicaciones.

El aspecto físico

Un centro de datos puede ocupar uno o varios cuartos o pisos o todo un edificio

completo, usualmente los servidores usados son servidores 1U o llamados “cajas

de pizza” empotrados en racks de 19”, que usualmente son alineados en celdas

formando un corredor entre ellos. Esto permite el acceso para los servicios

técnicos y por supuestos mejor circulación del aire para el enfriamiento.

El ambiente dentro de un centro de datos está controlado las 24 horas de día:

El aire acondicionado es usado para mantener la temperatura, generalmente en

17 grados Celsius, esto es crucial ya que esta clase de equipo confinado en un

cuarto sin ventilación no sobreviviría un periodo muy largo sin las condiciones

ideales.

Respaldo de energía: este recurso es 100% indispensable, se mantienen plantas

de alto rendimiento para cubrir los apagones, y minimizar el tiempo fuera de línea

o downtime.

Un piso falso que es adecuado para manejar todo el cableado de red y de

electricidad.

Sistemas de alarma para incendios son otro paso usado para contener los riegos

de una catástrofe. Usar agua en equipo eléctrico operacional no es lo mejor para

apagar un incendio. Originalmente el gas halom fue usado para este fin, el uso de

un gas inerte es necesario para expulsar el oxígeno de las salas, Sin embargo

esto fue prohibido en algunos países por el riesgo que representa para la salud.

Las alternativas más recientes son el uso de Aragonite y FM200 e incluso

sistemas de agua ultra pura.

Seguridad física

La seguridad física juega un rol importante, el acceso del personal al sitio es

usualmente restringido a unos pocos. –video cámaras y guardias de seguridad

permanentes son usados para resguardar la información de los clientes.

La infraestructura de la red

Las comunicaciones hoy en día entre Datacenters se basan en el protocolo Ip, el

uso de routers y switches transportan el tráfico entre el Datacenter y el internet.

Algunos de los servidores en el centro de datos son usados para tareas básicas

del personal como uso del internet, intranets, email, etc...

La seguridad de la red está evidentemente desarrollada, con herramientas como:

firewalls, VPN, detección de intrusos así como sistemas de monitoreo son las

mejores armas para mantener su información protegida.

Arquitectura de red

El diseño eléctrico de almacenamiento de archivos, copia de seguridad y

archivo de la redundancia del sistema de control de red

acceso y seguridad de gestión de base de datos

Web Hosting Alojamiento de aplicaciones de distribución de contenido

Control ambiental Protección contra riesgos físicos (incendios,

inundaciones, huracanes)

La gestión de energía

Normas asociados a Centros de Datos Normas ISO y BSBS25999: Continuidad de la actividad comercial/ La gestión de continuidad de la actividad comercial (BCM) se ha concebido para ayudar a las organizaciones a minimizar el riesgo de interrupciones. ISO/IEC 20000: Gestión de Servicios de TI/ Prestación de servicios de TI de gran calidad. ISO/IEC 27001: Seguridad de la información/Protección de la información, el activo más valioso. En 16001: Eficiencia energética/ Comprometidos con el uso eficiente de la energía. Normas y Mejores Prácticas

- LEED

- NFPA

- BICSI

- ASHRAE

- IEEE

Tipos de Auditorías

- Auditorias de Eficiencia.

- Auditorias Electromecánica.

- Auditorías de la Gestión de los sistemas (ISO)

- Auditorías de Riesgo Operacional (Conjunto de Auditorías Anteriores).

Que se tiene en un Data Center:

- Sistema Eléctrico

- Sistemas para prevenir y controlar incendios e inundaciones como drenajes

y extintores.

- Vías de evacuación

- Puertas y pinturas ignífugas (para proteger contra el fuego)

- Aire acondicionado

- UPS (Sistema de alimentación de energía ininterrumpido)

- Pisos y techos falsos

- Instalación de alarmas

- Control de temperatura y humedad con avisos

- Cerraduras electromagnéticas

- Cámaras de seguridad o CCTV (Circuito cerrado de televisión)

- Detectores de movimiento

- Tarjetas de identificación

- Bitácoras de acceso manual y electrónicas

- Botón de apagado de emergencia EPO

Los requerimientos varían entre cada uno, puesto que no son los mismos riesgos

en cada uno además de variar su localización.

PLAN DE AUDITORÍA

En el desarrollo de esta auditoría a Data Center se tiene en cuenta los siguientes

elementos:

1. INVESTIGACIÓN PRELIMINAR

Definimos el esquema de requerimientos técnicos que posee el Data Center

estableciendo una matriz donde se clasificaran el alcance o proyecciones. Se

evaluara la infraestructura como soporte a los servicios de TI alineados al negocio

y valor agregado.

Aspectos a considerar para la auditoría en el centro de datos:

- La infraestructura Física que incluye todo el aspecto físico donde está

ubicado el centro de datos y los sistemas de información.

- Infraestructura de red y telecomunicaciones que permite a otros sistemas y

usuarios comunicarse e intercambia información sin tener acceso físico al

centro de datos, incluye equipos y su interconexión local y remota.

Además se tienen los siguientes elementos:

- Infraestructura

- Cableado

- Red de área local

- Red de área amplia

- Servicios

- Seguridad

2. Identificación y Agrupación de Riesgos

Consta del análisis y evaluación de puntos críticos y puntos de fallas, la

identificación de oportunidades, el diagnóstico y rediseño, a fin de identificar los

riesgos para cada grupo identificado y diseñar instrumentos que permitan evaluar

los aspectos planeados.

3. Evaluación de seguridad

Se determinara si el diseño y crecimiento existentes en la empresa, están dirigidos

a buenas prácticas que optimicen su funcionamiento y que aplique las políticas y

normativas internacionales, impulsando y respaldando el constante desarrollo de

la organización.

4. Diseño de Pruebas

Se determinaran que instrumentos son los adecuados para desarrollar una

auditoría eficaz y eficiente: Técnicas e instrumentos

Fecha: Mayo 25 de 2011

Empresa: FIRETIRE S.A.

Auditores: Cristian Alexander Taborda

Luis Eduardo Escobar Gallo

Lorena Consuelo Torres

Técnica usada: Guía de Auditoría DATA CENTER

Herramienta usada: CheckList

Se tiene iluminación exterior del Data Center, además de señalización del

entorno que identifique la relación de los riesgos.

Se tienen identificados los riesgos ambiéntales en el Data Center y la

distancia de los servicios de emergencia.

Se tiene que las puertas, muros y exteriores son sólidos para proteger los

Data Center.

Se tiene autenticación física al acceso a los dispositivos con apropiado uso

y trabajo.

Se tiene la documentación acerca de las rondas de guardia del edificio y las

funciones del personal de seguridad.

Las áreas sensibles estén protegidas adecuadamente.

La calefacción y los sistemas de aire acondicionado mantienen la

temperatura constante en el Data Center.

Las emisiones de radio afecten o hacen ruido en los sistemas electrónicos

de cómputo al transmitir información.

Hay redundancia en la alimentación eléctrica del Data Center

Existe protección polo a tierra

Las condiciones de energía puedan prevenir una pérdida de datos

Los sistemas de reserva eléctrica proveen la continuidad del flujo eléctrico

durante un apagón o reducción de energía.

Los generadores mantienen unas buenas condiciones de trabajo durante

una pérdida de energía prolongada.

Los sistemas de control protegen eficientemente contra la intrusión física de

ladrones.

Tiene sistema de alarmas para proteger los data center de los riesgos.

Fecha: Mayo 25 de 2011

Empresa: FIRETIRE S.A.

Auditores: Cristian Alexander Taborda

Luis Eduardo Escobar Gallo

Lorena Consuelo Torres

Técnica usada: Guía de Auditoría Para Elementos Específicos del Data Center

Herramienta usada: Entrevista

Auditoría a la Infraestructura

- ¿Dispone de los planos del edificio?

- ¿Cuenta con los diagramas detallados de red, equipos, gabinetes, racks y

conexiones entre ellos?

- ¿Posee los extintores de fuego adecuados en las diferentes áreas del data

center?

- ¿Tiene un plan de mantenimiento y revisión de los extintores de fuego?

- ¿El data center está organizado, libre de obstrucciones, preferiblemente

utilizando un piso falso para cableado?

- ¿Los gabinetes de servidores y racks tiene suficiente espacio para

maniobrar en la sección frontal?

- ¿Las puertas son lo suficientemente anchas y altas?

- ¿Utiliza piso falso para la distribución de cableado de datos, electricidad o

aire acondicionado?

- ¿Los ductos de agua potable, negras y lluvias están lejos del data center?

- ¿Posee Racks y Gabinetes para organizar los componentes del data

center?

- ¿Los gabinetes para organizar los componentes del data center, tiene el

ancho estándar de 19 pulgadas?

- ¿Los gabinetes poseen mecanismo de cerradura?

- ¿Existe suficiente espacio interno para todos los equipos de red que se

instalaran en los gabinetes, posee suficientes conexiones eléctricas y

espacio para redundancia para estos equipos?

- ¿Tienen los equipos en los gabinetes alguna protección contra el apagado

accidental?

- ¿Tiene problemas de filtraciones de aguas por la lluvia en el data center?

- ¿El data center tiene ventanas al exterior?

- ¿El techo del data center soporta un peso de al menos 25 libras por pies

cuadrados?

- ¿Cada piso/edificio/sección de la planta posee un gabinete de distribución

de cables?

- ¿Están los gabinetes de distribución aislados y en un lugar seguro?

- ¿Existe suficiente espacio para equipo adicional al utilizado actualmente en

caso de crecimiento en cada gabinete de cableado?

- ¿Posee algún mecanismo de monitoreo en los cuartos de cableado o

gabinetes que detecte la falta de energía eléctrica?

- ¿La capacidad del UPS instalado es suficiente para soportar todos equipos

en el data center?

- ¿Posee un generador eléctrico que soporte a su data center en caso de

corte de energía eléctrica?

- ¿El generador eléctrico se activa automáticamente en caso de falla

eléctrica?

- ¿Cuánto tiempo puede el generador dar soporte al data center en caso de

fallo y afectar esto a la disponibilidad?

- ¿Tiene algún plan de mantenimiento para los equipos de respaldo

eléctrico?

- ¿Las instalaciones eléctrica cuentan con la adecuada polarización a tierra

en base a la carga requerida por el data center?

- ¿El data center posee respaldo por UPS en cada circuito eléctrico?

- ¿Cuenta con redundancia de UPS en el data center?

- ¿Cuenta con los planos eléctricos del data center certificados por un

Ingeniero eléctrico?

- ¿Posee un sistema para detección de humo en el data center?

- ¿Tiene algún plan de prueba de los censores instalados en el data center?

- ¿Posee un sistema de alerta en caso de fallo en la temperatura del data

center?

- ¿Tiene algún sistema de control de humedad para garantizar desde 40% al

55%?

- ¿Dispone de un sistema de aire acondicionado en el data center?

- ¿El sistema de aire acondicionado cuenta con la suficiente capacidad para

garantizar una temperatura constante y distribuida de 20C (68 F) hasta 25C

(77F) en todo el data center?

- ¿Cómo garantiza que la temperatura del data center sea el adecuado y

constante?

- ¿Se ha contemplado en el diseño del data center el flujo de aire frío y aire

caliente?

- ¿El data center cuenta con un sistema de luces de emergencia?

- ¿La iluminación tiene un mínimo?

- ¿Se dispone de más de una entrada para el acceso al data center?

Auditoría al cableado

- ¿El cableado de datos y de voz están por separado?

- ¿Cuál es el tipo de cableado utilizado para datos?

- ¿Cuál es el tipo de cableado utilizado para voz?

- ¿Estas identificados los diferentes tipos de cableados en el centro de

datos?

- ¿Existen muchos tipos de interferencias, algunas son potenciales y no

identificadas por favor indique cuál de las que se mencionan a continuación

aplican para el centro de datos: a) cables de voltaje en paralelo a los de

datos b) lámparas fluorescentes cercanas c) grúas de alta capacidad d)

maquinaria con voltajes de ejecución arriba de los 330VA d) Ninguna de las

anteriores?

- ¿Tiene ordenadores de cables y paneles de conexión, para sus cables de

datos y voz?

- ¿Comprueba periódicamente que los cables no tengan algún tipo de

defecto, como torceduras, etc.?

- ¿Se utiliza Fibra Óptica para conectar entre pisos, edificios, etc. Para con el

centro de datos?

- ¿Está al límite del porcentaje de utilización de los elevadores de cables y

paneles de conexión en el centro de datos?

- ¿Está al límite del porcentaje de utilización de los paneles de conexión en

los gabinetes?

- ¿Los toma corrientes que van a la pared cumplen con la distancia correcta

del piso. 30 cms?

- ¿Posee un sistema estándar de identificación de cableado WAN y LAN?

- ¿El cableado actual está acorde a los estándares establecidos?

- ¿Posee las certificaciones de los cableados de fibra óptica existentes?

- ¿Posee las certificaciones de los cableados de cobre existentes?

- ¿Todos los segmentos existentes son Ethernet?

- ¿La conexión de respaldo sigue una ruta diferente a la ruta de la conexión

principal?

Auditoria para la Red LAN

- ¿Dispone de las ubicaciones y distancias de los switches respecto al data

center?

- ¿Dispone de las marcas, modelos, versión de software, configuraciones y

capacidades de cada uno de los switches?

- ¿Cuenta con los diagramas físicos de conectividad y lógico de la topología,

que incluyan: a) Localización de los dispositivos de red b) VLAN c) RUTEO

d) IP de SUB REDES e) Redundancia?

- ¿Posee políticas de conectividad entre los dispositivos de la arquitectura de

red?

- ¿Dispone de la cantidad de puertos utilizados y no utilizados de los

equipos?

- ¿Dispone de UPS o Generador Eléctrico en caso de una ausencia eléctrica

para los equipos básicos y de red?

- ¿Dispone de fuente redundante de voltaje para los equipos básicos y de

red?

- La arquitectura de red con la que cuenta administra los siguientes servicios:

a) NETBIOS b) MAIL c) VoIP d) VIDEO CONFERENCIA e) HTTP.

- ¿Dispone de los dispositivos de red adecuados para administrarlos?

- Indique que tipo de redes inalámbricas están implementadas: a) Redes

inalámbricas de área personal WPAN b) Redes inalámbricas de área local

WLAN c) Redes inalámbricas de área metropolitana WMAN d) Ninguna red

inalámbrica

- Cuáles de las siguientes encriptaciones están habilitadas en sus redes

inalámbricas : a) WEP b) WPA c) WPA2 d) RADIUS e) OTRA d) NINGUNA

- ¿Se efectuaron mediciones de distancias y pruebas de señal para la

ubicación de los Wireless AP?

- ¿Es conocida la capacidad de cuantos equipos de la red son soportados

por cada Wireless AP?

- ¿Se cuenta con switches pasivos de respaldo para la conexión de acceso

de usuarios finales?

- ¿A nivel de distribución se cuenta con switches y conexiones redundantes?

Auditoría a la Red WAN

- ¿Los equipos de WAN son administrados por un proveedor externo?

- ¿Quién le administra el servicio de enlace de datos: Ancho de Banda,

Desempeño y Fallas?

- ¿Quién le administra el servicio de voz sobre IP?

- ¿Se ha considerado el ancho de banda para utilizar video conferencias?

- ¿Quién le administra el servicio de video conferencias?

- ¿Qué protocolos de ruteo utiliza en su red?

- ¿Tiene documentación de las tablas de ruteo, IP, redes y configuración de

los equipos de ruteo?

- ¿Posee algún enlace redundante con otro Proveedor de servicios de

Internet (ISP)?

- ¿Qué tipo de redundancia posee en los enlaces de WAN si tiene más de un

enlace?

- ¿Tiene algún mecanismo de monitoreo del ancho de banda y latencia de

los enlaces WAN en tiempo real?

- ¿Se tienen o ha tenido problemas frecuentes con los enlaces actuales de

los ISP?

- ¿Los router en su LAN poseen soporte para VLAN, para separar redes y

disminuir el broadcast?

- ¿Los niveles de uso de memoria y CPU de los routers están por debajo del

75%?

- ¿Quien Administra los Firewalls de su organización?

- ¿Cuenta con la documentación de las reglas establecidas en los Firewalls?

- ¿Cuenta con algún mecanismo para limitar el acceso a Internet?

- ¿Tiene alguna política de acceso al servicio de Internet?

- ¿El ancho de banda utilizado por sus enlaces soporta todos los servicios

WAN?

- ¿Se tiene redundancia para el firewall?

- ¿Los enlaces de los ISP han sido instaladas por rutas diferentes?

Auditoria de Servicios de Red

- ¿Se cuenta con un diagrama de la topología de DNS que está utilizando la

red?

- ¿Cuenta con un servidor DNS Interno?

- ¿Si cuenta con un nombre de dominio público, quien le administra el DNS?

- ¿Se tiene la documentación sobre todas las redes y sub redes en su

organización?

- ¿Las redes actuales consideran suficientes direcciones para el crecimiento

de la organización?

- ¿Se está utilizando una red o subred en el rango de las reservas para redes

privadas?

- ¿El rango de redes asignado es suficiente para soportar la telefonía IP?

- ¿Se utiliza un servidor DHCP para distribuir las direcciones de red?

- ¿Se tiene en la documentación la configuración de direcciones para DHCP

y registro de las reservas de direcciones de red?

- ¿Tiene un servidor dedicado para el servicio de DHCP o es utilizado para

otros servicios simultáneamente?

- ¿Los servidores utilizan el servicio de DHCP o es configuración estática?

- ¿Tienen algún mecanismo para balancear la carga del DHCP?

- ¿Utiliza el servicio de directorio en su red?

- ¿Quien Administra el servicio de directorio?

- ¿Dispone de un servidor de correo dedicado?

- ¿Dispone de un servidor de respaldo para el correo?

- ¿El servidor utilizado para correo provee algún servicio adicional en la red?

- ¿Quién le Administra el software de servicios de correo?

- ¿Se cuenta con algún mecanismo para prevenir el spam?

- ¿Cuenta con un plan de monitoreo de los equipos que brindan servicios en

la red?

- ¿Se dispone de alguna redundancia para el servicio DNS?

- ¿Dispone de redundancia para el servicio de directorio?

Auditoria a la Seguridad

- ¿Tiene una política de control de acceso al data center?

- ¿Posee una bitácora de ingreso del personal al data center?

- ¿Dispone de un sistema de alarma, control o monitoreo del personal que

ingresa al data center?

- ¿Tiene alguna política de acceso a los cuartos de comunicaciones o

gabinetes ubicados en las plantas de la organización?

- ¿Cuenta con políticas de responsabilidades y obligaciones de las personas

que administran el data center?

- ¿Cuándo un Proveedor o personal externo hace uso de las instalaciones

del data center, se le hace saber sus obligaciones, limitaciones y

responsabilidades y pasen por las políticas de control de acceso?

- ¿Él data center se encuentra en un perímetro de seguridad que restrinja el

acceso, ya sea puertas, tarjetas de control o una recepción?

- ¿Todas las políticas de seguridad que utiliza en su empresa cuentan con el

respaldo de la gerencia general?

- ¿Se cuenta con un control para velar que las políticas de seguridad se

estén cumpliendo?

- ¿Dispone de contratos, duración, términos y condiciones, aspectos

financieros como financiamientos, garantías, deprecación y de la legalidad

en la infraestructura de activos?

- ¿Los diferentes departamentos en su organización y él data center se

encuentran administrativamente separados con redes virtuales privadas

(VLAN)?

- ¿Cuenta con un inventario detallado de todo el equipo en su data center y

de comunicaciones?

- ¿Utiliza Firewalls para la protección de la red interna?

- ¿Cuenta con algún software para detección de Intrusos?

- ¿Utiliza un sistema de contraseñas fuertes para el acceso a todos los

equipos, tanto de comunicaciones como de usuario final?

- ¿Periódicamente notifica o capacita a todo el personal sobre los riesgos y

nuevas amenazas existentes y como solucionarlas?

- ¿Elimina las contraseñas del personal que ya no trabaja en su

organización?

- ¿Tiene una política de cambio periódica de contraseñas en todos los

equipos tanto del data center y en toda la organización?

- ¿Si cuenta con redes inalámbricas estas tiene el mecanismo más seguro

para utilizar esta red?

- ¿Utiliza VPN para el acceso remoto a su red?

- ¿Tiene algún control implementado para verificar periódicamente los

factores de vulnerabilidad en su data center?

- ¿Los servidores en el data center cuentan con protección actualizada

contra virus informáticos?

- ¿Cuenta con un detalle de software instalado en los equipos del data

center?

- ¿Se cuenta con un plan de respaldo al menos diario de todos los datos de

los servidores que utiliza la organización?

- ¿Se tiene un plan control y pruebas de los respaldos que se realizan en el

data center?

- ¿Los procedimientos, controles y actualizaciones de seguridad son

revisados y probados antes de su implementación?

- ¿Se cuenta con un control y monitoreo de los sucesos, alertas del registro

de los servidores del data center?

- ¿Se utilizan mecanismos de administración remota de los equipos en el

data center?

- ¿Cuenta con un plan de contingencia en caso de desastres?

- ¿Tiene un Respaldo de Datos y Configuraciones en un lugar diferente

de las instalaciones de la organización?

CREACIÓN DE RESPALDOS, RECUPERACIÓN DE DESASTRES Y

CONTINUIDAD DEL NEGOCIO

La amenaza de desastres en las organizaciones es constante y permanente sea

por estar ubicada en una zona con riesgo de daño natural o humano, por lo

anterior es indispensable que las empresas tengan establecido de forma explícita

un plan de actividades a realizar después de que ocurran los desastres con el

objetivo de normalizar lo más pronto posible y sin mayores contratiempos las

labores de la empresa.

Este plan se denomina comúnmente Plan de Recuperación ante Desastres

(Disaster Recovery Plan), este plan de debe contener como minimo las acciones a

realizar en caso de catástrofes relacionadas con:

Fuego

Fallas de Energía

Ataque Terroristas

Interrupciones organizadas o deliberadas

Sistemas y/o fallas de equipo

Error humano

Virus informáticos

Cuestiones legales

Huelga de empleados

Esta protección de los datos se crea teniendo en cuenta la cantidad de datos a

salvaguardar y el grado de importancia de los mismos. Además se debe evaluar la

recuperación de desastres, la administración de informes y del nivel de los

servicios.

También se debe evaluar y planificar la forma en que se va a realizar la migración

desde los respaldos hasta los nuevos repositorios empresariales y la recuperación

de forma rápida de las redes.

Además se deben haber realizado pruebas sobre este plan de recuperación de

desastres con el objetivo de evaluar su eficacia.

Un plan de respaldo pierde su utilidad sin un plan de recuperación de desastres.

Las siguientes son las fases del plan de recuperación de desastres:

“Los eventos que denotan posibles desastres

Las personas en la organización que tienen la autoridad para declarar un

desastre y por ende, colocar el plan en efecto

La secuencia de eventos necesaria para preparar el sitio de respaldo una

vez que se ha declarado un desastre

Los papeles y responsabilidades de todo el personal clave con respecto a

llevar a cabo el plan

Un inventario del hardware necesario y del software requerido para

restaurar la producción

Un plan listando el personal a cubrir el sitio de respaldo, incluyendo un

horario de rotación para soportar las operaciones continuas sin quemar a

los miembros del equipo de desastres

La secuencia de eventos necesaria para mover las operaciones desde el

sitio de respaldo al nuevo/restaurado centro de datos”

Un buen nivel de detalle es esencial porque cuando sucede la emergencia el plan

de detalle suele ser lo que dictamina los pasos a seguir ante el desastre. Además

se deben guardar varias copias del plan en distintos sitios y de fácil acceso para

evitar su perdida y la demora en su implementación respectivamente. Inclusive se

pueden guardas estas copias en los hogares de algunos empleados de confianza

de las organizaciones o de los mismos gerentes.

Se deben realizar evaluaciones periódicas para identificar que falencias u

obsolescencias tiene el plan. Estas evaluaciones se llevan a cabo siguiendo paso

por paso y de forma detallada dicho plan. Lo anterior implica “ir al sitio de respaldo

y configurar el centro de datos temporal, ejecutar las aplicaciones temporalmente y

reactivar las operaciones normales después de que el "desastre" termine”; aunque

no implica “llevar a cabo en un 100% las tareas del plan si se realiza lo

relativamente máximo posible, es decir implementando aplicaciones o sistemas

para reubicarlos con las condiciones de respaldo, se coloca en producción durante

un periodo de tiempo y se lleva a operación normal al final de la prueba”.

Las revisiones tienen que realizarse en periodos cortos de tiempo (se recomienda

máximo tres meses) pues las empresas y sus datos son cambiantes, por lo que

fácilmente el plan de recuperación de desastres puede caer en la obsolescencia,

lo que sería inclusive más peligroso que no tener un plan.

En el plan de recuperación de desastres se debe indicar el sitio de respaldo, es

decir, el sitio donde se va a instalar el centro de datos y donde se realizaran todas

las operaciones. Este sitio de respaldo comúnmente se clasifica en tres

categorías:

Sitio de respaldo frio: Es cuando se tiene establecido el lugar donde se van

a instalar los elementos necesarios para el normal funcionamiento del

centro de cómputo. Elegir esta opción implicaría que para restablecer las

operaciones se instalen en el sitio los equipos de hardware y el software

necesario y posteriormente ingresar la información desde los respaldos.

Esta opción es económica porque el sitio no se adecua previamente pero

después del desastre es muy lento el restablecimiento del servicio.

Sitio de respaldo tibio o templado: Además de tener establecido el edificio

en que se van a restaurar las operaciones, este lugar se adecua con el

hardware necesario. En el momento posterior al desastre se debe

transportar los últimos respaldos hasta el lugar y realizar las

configuraciones necesarias.

Sitio de respaldo caliente: Se tiene establecido el edificio con una imagen

espejo del centro de cómputo principal. En el momento posterior al desastre

solo se deben actualizar los datos de respaldo y las operaciones quedarían

restablecidas es un tiempo mínimo. Por todo lo que implica sostener un

centro de cómputo usualmente es la opción más costosa.

Cada empresa decidirá qué tipo de sitio utiliza pues cada una tiene sus ventajas y

desventajas. Se debe buscar un equilibrio entre la rapidez del restablecimiento de

las operaciones y la economía de la organización.

Dependiendo que sitio de respaldo haya seleccionado se deberá incluir en el plan

la forma como se adquirirá el hardware y el software, pues si se ha seleccionado

un sitio de respaldo frio se deben identificar explícitamente que elementos se van

a adquirir y de donde van a ser comprados. Puede ser una buena opción

establecer acuerdos con empresas distribuidoras de hardware y software para que

en caso de desastre haya una rápida respuesta por parte de estos entes.

Sin embargo para seleccionar el tipo de sitio de respaldo se puede escoger entre

tres opciones:

Tercerización de la selección y acondicionamiento de este sitio: Es la mejor

opción en cuanto a seguridad y rapidez pero también es la opción más

costosa. Es alineada con la tendencia actual de subcontratar procesos no

nucleares.

Otras sedes o edificios pertenecientes a la organización: Es una opción

muy económica porque el lugar pertenece a la empresa; pero los costos se

incrementan cuando se tiene en cuenta que debe estar acondicionada y se

le debe realizar mantenimiento periódico.

Convenio con otra empresa para compartir sus centros de cómputo en

caso de desastre: Consiste en acordar con otra empresa aliada para que

en caso de que mi centro de cómputo sufra un desastre, pueda restablecer

mis operaciones lo más pronto posible en el centro de cómputo de dicha

empresa y viceversa. Es una opción muy económica pues no se adquiere

hardware ni software, pero no es conveniente cuando se desea que las

operaciones funcionen desde allí por un periodo largo de tiempo, porque

puede ocasionar conflictos entre los empleados de la empresa anfitriona

que obviamente no interrumpen sus actividades cotidianas.

Como se expuso anteriormente la decisión de qué tipo de sitio utilizar y en que

modalidad adquirirlo se debe tomar en base a las circunstancias económicas y las

necesidades de la organización.

Además de lo anterior el plan de recuperación de desastres debe evaluar la forma

en que va a estar comunicado el centro de cómputo de respaldo con el resto de la

organización, pues de nada sirve un centro de cómputo funcionando

perfectamente si no le puede brindar su información al resto de la organización.

Después de que se determine la normalidad en la centro de cómputo principal se

debe hacer una transición que no afecte los procesos del departamento. Para esto

se debe acondicionar el sitio principal con el hardware y software necesarios para

posteriormente migrar la información de los respaldos y normalizar totalmente las

operaciones y los procesos del área.

Para que tenga sentido un plan de recuperación de desastres es obligatorio tener

respaldos (backups) actualizados de toda la información del departamento.

Los respaldos son copias de la información que se realiza de forma periódica y

que se guarda en otro lugar alejado de los edificios de la organización. El periodo

de tiempo entre las copias debe ser lo menor posible pues en una empresa puede

cambiar rápidamente la información almacenada.

Además estas copias se deben guardar en lugares distantes de la planta física de

la empresa, pues si ocurre algún desastre en el edificio de la empresa se dañarían

los datos originales y los de respaldo perdiéndose toda la información. Por lo

anterior se recomienda guardar los respaldos en otros edificios, usualmente son

ubicados en los hogares de los gerentes de la empresa.

Cuando ocurre un desastre se ejecuta el plan de recuperación de desastres y una

vez establecido el centro de cómputo temporal se debe copiar la información de

los backups, para esto los respaldos deben estar protegidos pero disponibles en

cualquier momento.

Con lo anterior se garantiza integridad y disponibilidad de la información aun en

situaciones tan adversas como un desastre.

Sin embargo, la utilización del plan de recuperación de desastres y de los

respaldos puede ser reducida si se ha implementado en la organización una

Planeación de continuidad del Negocio (BCP) que es un plan que busca “prevenir

interrupciones que afecten el desempeño de las actividades normales del

negocio”, pero si un evento no puede ser evitado el BCP trata de minimizar el

impacto (duración y económico).

Esta Planeación de Continuidad del Negocio se realiza con base en cinco fases:

Definir estrategia: Identificar los posibles riesgos que tiene la organización.

Análisis de impacto: Determinar qué impacto tienen los riesgos

identificados en la anterior fase. Se establece una comparación entre la

probabilidad de que se presente el desastre y el grado de impacto que

tendría sobre los procesos de la organización.

Estrategia de recuperación: Se definen que estrategias se van a

implementar con el objetivo de restablecer las operaciones del negocio

cuando ocurra el desastre.

Diseño y desarrollo del Plan: Se define qué hacer ante la posibilidad de

que ocurra algún desastre. Debe ser detallado y bien documentado donde

se exponga claramente que hacer para recuperar los sistemas y

restablecer los procesos críticos.

Pruebas y Mantenimiento: Se debe probar que le plan funciona, para

establecer las modificaciones al mismo. Para cumplir con este objetivo se

utilizan distintas metodologías como :

o Discusión en mesa redonda (tabletop): Reunir a todos los

involucrado y revisar el plan.

o Ensayo (walkthrough): Simulación que permite identificar que los

involucrados conozcan el plan.

o Interrupción total: Interrumpir todos los servicios y procesos de

forma intencional y poner en práctica el plan.

Estos planes y respaldos siempre buscan la solidez de las empresas y la

supervivencia inclusive ante los desastres. De la realización de los mismos

depende el éxito o el fracaso del negocio.

Plan de Continuidad del Negocio

Es el conjunto de procedimientos y estrategias definidos para asegurar la

reanudación oportuna y ordenada de los procesos del negocio generando un

impacto mínimo o nulo ante una contingencia.

“El objetivo general de un BCP es establecer las estrategias y procedimientos que

deben ser implementados por un equipo de individuos que provee

direccionamiento, soporte, equipamiento, metodologías y estándares para

garantizar la continuidad de las operaciones del negocio”

Que se evalúa en la Continuidad del Negocio:

1. Inicio y Administración del Proyecto

2. Evaluación y Control de Riesgos

3. Análisis de Impacto al Negocio (BIA)

4. Selección y Desarrollo de Estrategias de Continuidad

5. Respuesta y Operaciones de Emergencia

6. Desarrollo e Implementación Planes de Continuidad

7. Programas de Concientización y Entrenamiento

8. Prueba, Ejercitación y Mantenimiento de los Planes de Continuidad

9. Comunicación de Crisis

10. Coordinación con Autoridades Públicas

Estándares para BCP

- DRI (Disarter Recovery Institute International)

- (ISC)2 International Systems Security Certification Consortium (Certificación

CISSP).

- ISO 17799

- BCI (Business Continuity Institute)

- ISACA

- NIST

- FEMA

- HIPPA

- ITIL

PLAN DE AUDITORÍA

1. Investigación preliminar

Se debe establecer la existencia de respaldos o backups en la organización. Si

existen estos respaldos se deben evaluar su cumplimiento con los estándares,

es decir, si se actualizan con frecuencia, si están ubicados en lugares

estratégicos y accesibles.

Una vez se ha determinado la existencia de respaldos de la información se

procede a determinar si se ha creado una planeación para la continuidad del

negocio. Este plan se debe haber elaborado de forma explícita y se le deben

haber realizado diversas pruebas.

Además de lo anterior también se debe considerar la existencia de un plan de

recuperación de desastres. Si existe este plan se debe determinar cómo se

realizó la selección del sitio de respaldo y que modalidad utilizaron para

conseguirlo. También se analiza la forma como se planea restablecer las

operaciones en el área una vez pasado el desastre.

En resumen se van a considerar tres aspectos:

La existencia y calidad de los respaldos

Plan de continuidad del Negocio (BCP)

Plan de recuperación de desastres

2. Investigación y agrupación de riesgos

Se identifican los puntos clave en cuanto a los planes de continuidad y de

recuperación y la creación y actualización de los backups. Para determinar lo

anterior se establecen instrumentos para determinar el grado de madurez que

tiene la empresa.

3. Evaluación de seguridad

Se determinará si los planes realizados cumplen con los lineamientos de la

empresa y con las normativas gubernamentales que se han establecido para la

continuidad del negocio y la rápida respuesta a los desastres. También se

evaluará si los respaldos cumplen con las normas y sugerencias

internacionales, pues de lo anterior depende la supervivencia de la empresa.

Además se establecerá que siempre impulsen el bienestar, desarrollo y

evolución de la empresa

4. Diseño de pruebas

Establecimiento de las técnicas y metodologías para evaluar lo anteriormente

expuesto. De esta forma la auditoria se realizara cumpliendo con los objetivos

deseados.

Fecha: Mayo 25 de 2011

Empresa: FIRETIRE S.A.

Auditores: Cristian Alexander Taborda

Luis Eduardo Escobar

Lorena Consuelo Torres

Técnica usada: Guía de Auditoría Plan de Recuperación de Desastres y

respaldos

Herramienta usada: CheckList

Existen backups de la información.

Los backups son actualizados contantemente.

Los respaldos tienen alta disponibilidad en caso de que se deban

utilizar.

Los respaldos se encuentran en diferentes lugares.

Los respaldos se encuentran en lugares accesibles rápidamente.

Los respaldos que se realizan son los apropiados para el tipo de sistema

que se tiene.

Los backups pueden soportar el negocio por su cuenta.

El plan de recuperación de desastres existe de forma explícita y formal.

El plan es conocido y comprendido por los empleados clave de la

organización.

Se les ha indicado a los empleados los roles que interpretarían en el

restablecimiento de las operaciones en caso de desastre.

El plan de recuperación de desastre es actualizado.

Se le realizan pruebas al plan para determinar que actualizaciones son

requeridas.

Se han establecido convenios con los vendedores y proveedores en

caso de que ocurra un desastre se tenga prioridad para con la empresa.

El plan de recuperación de desastres contempla todos los posibles

riesgos más probables y sus consecuentes escenarios.

Fecha: Mayo 25 de 2011

Empresa: FIRETIRE S.A.

Auditores: Cristian Alexander Taborda

Luis Eduardo Escobar

Lorena Consuelo Torres

Técnica usada: Guía de Auditoría Plan de Recuperación de Desastres y

respaldos

Herramienta usada: Entrevista Gerente

¿Tiene respaldos de la información?

¿Tienen un plan de recuperación de desastres?

¿Cuál es el grado de madurez que tiene la empresa al poseer un sitio para

las copias de seguridad?

¿Bajo qué paramentos ha seleccionado el sitio?

¿Con qué modalidad ha contratado el sitio?

¿Realizan pruebas al plan?

¿Qué pruebas realizan y con cuanta periodicidad?

Fecha: Mayo 25 de 2011

Empresa: FIRETIRE S.A.

Auditores: Cristian Alexander Taborda

Luis Eduardo Escobar Gallo

Lorena Consuelo Torres

Técnica usada: Guía de Auditoría Continuidad del Negocio

Herramienta usada: Entrevista

Revisión del Plan de Continuidad del Negocio (BCP)

- Evaluación de los Resultados

- Evaluación del Sitio de Almacenamiento Interno

- Evaluar la Seguridad del Sitio Alterno

- Revisión de Contratos y Cobertura de Seguros

1. Se planea la continuidad del negocio en donde se mira:

Las necesidades y siguiente comunicación de continuidad del negocio

La visión de la alta gerencia frente a BCP

Desarrollo de actividades de implementación de BCP

2. Se hace evaluación de Riesgos

En donde se identifiquen las pérdidas potenciales la probabilidad y su

impacto

Se identifican controles y medidas para prevenir o mitigar el efecto de las

pérdidas potenciales

- Protección física

- Protección lógica

- Localización de activos

Se evalúan, seleccionan y utilizar apropiadas metodologías y herramientas

de análisis de riesgos, cuáles.

Se identifican e implementan las actividades de recolección de información

Se evalúa la efectividad de los controles y medidas

3. Verificar los stakeholders del plan, conocimiento de los mismos sobre los

acuerdos de nivel de servicio (SLA) del plan de continuidad y existencia de

herramientas para la medición del SLA

4. Verificación de los procesos de transferencia de conocimiento y

entrenamiento del recurso humano frente a los procesos de continuidad y

recuperación.

5. Verificación de los resultados y ajustes para el proceso de simulación de

una amenaza enfocada a un área específica del departamento de TI y/o de

las áreas funcionales de la compañía

- Evaluación de cumplimiento de los procedimientos diseñados

- Evaluación de efectividad en la restauración de las operaciones del

negocio

6. Evaluación de operación de infraestructura requerida para la operación de

la contingencia

7. Verificación de los procesos de actualización y mantenimiento permanente

del BCP. (Roles, responsabilidades, controles y registros)

8. Verificación de métricas, a nivel de desempeño de los servicios para cliente

externo e interno. Validar el nivel de alineación de los indicadores con los

SLAs y con la estrategia de negocio, así como su interrelación.

http://www.lawebera.es/alojamiento-web/que-es-un-data-center.php

http://web.mit.edu/rhel-doc/4/RH-DOCS/rhel-isa-es-4/s1-disaster-recovery.html

http://web.mit.edu/rhel-doc/4/RH-DOCS/rhel-isa-es-4/s1-disaster-recovery.html