3 Pilares de la Seguridad: Negocio, Tecnología y Capacidades, Economía

En nuestra entrada titulada cómo el CISO y el CEO pueden hablar el mismo idioma acabamos diciendo que la seguridad no es una persona al lado de un firewall, es desarrollar programas de gestión de riesgos que estén alineados con las necesidades del negocio.

A la hora de analizar cómo abordar el reto de la seguridad en una organización es importante tener en cuenta estos 3 elementos o aspectos:

1. Las principales 4 preocupaciones del negocio desde el punto de vista de la seguridad

Ante un incidente de seguridad, las principales preocupaciones para el Director General, el Director Financiero o el Director de Operaciones son que se produzca:

• Una pérdida de reputación, confianza de los clientes.
• Una parada en la operativa del negocio.
• Una violación de cumplimiento.
• Una una pérdida financiera.

2. Los 3 aspectos que debemos tener en cuenta para disponer de un nivel adecuado (responsable) de la seguridad en nuestra organización:

• Nuestro negocio. Permitirá conocer qué riesgos corremos y qué leyes (riesgos legales) genéricas o específicas de nuestro sector debemos cumplir.
• Nuestra madurez tecnológica. Permitirá conocer qué medidas técnicas, organizativas y procedimentales tenemos implementadas, y qué medidas no, que permitan eliminar o reducir dichos riesgos y cumplir con los requisitos legales que debemos cumplir.
• Nuestras capacidades disponibles. Permitirá conocer si tenemos los recursos necesarios, capaces de gestionar los riesgos existentes y futuros.

3. El entorno económico global o particular en el que se mueve nuestra organización

Este entorno determinará que las medidas que tomemos para gestionar adecuadamente los riesgos TIC que afectan a nuestro negocio sean más o menos conservadoras o innovadoras. Introducir la variable económica es fundamental para saber de qué estamos hablando. Es fundamental para poder comparar el impacto económico asociado al riesgo, con el coste necesario para reducirlo o eliminarlo. De esta manera podemos decidir focalizarnos en implementar aquellas medidas y disponer de aquellas capacidades mínimas que traten aquellos riesgos (incluidos los legales) más importantes, o intentar proporcionar valor a la organización a través de medidas y capacidades más robustas y mejoradas.

Para hablar de todo ello, ofrecemos 3 workshops formativos que combinan la parte teórica con la aplicación práctica en tu organización.

El objetivo es formar y analizar a alto nivel, cómo complementar los objetivos de negocio con un nivel adecuado (responsable) del riesgo y de la seguridad de los sistemas y tecnologías de la información, que considere el impacto económico asociado.

Descárgate el siguiente pdf en el que encontraras el detalle y precio de estos workshops:

Workshopos formativos sobre seguridad.pdf

La Oficina de Continuidad “La estructura clave en el camino hacia la resiliencia”

Hoy en día, como consecuencia de la creciente preocupación en las organizaciones por garantizar la continuidad de las operaciones críticas del negocio, cada vez más empresas (y en algunos sectores la gran mayoría: banca, seguros…) disponen de planes de continuidad o incluso sistemas de gestión que tienen como objetivo dotar a las organizaciones de una respuesta que les permita recuperarse eficazmente en caso del acontecimiento de un desastre.

En este camino hacia la “continuidad” en el que se encuentran inmersas las organizaciones, es necesario evolucionar gradualmente gestionando la transición por los diferentes niveles de madurez. Inicialmente se realiza una gestión reactiva de los riesgos, donde se gestiona la crisis con un alto nivel de improvisación, posteriormente, y una vez implementado un sistema de gestión de continuidad, se alcanza la gestión proactiva de los mismos, donde se realizan tareas planificadas enfocadas hacia la continuidad, y finalmente con el mantenimiento y optimización de este sistema de gestión, se consigue que la continuidad esté embebida en los procesos de negocio, llegando al ideal de la continuidad, la denominada resiliencia.

La evolución de una gestión reactiva de los la continuidad hacia una proactiva requiere de un importantísimo esfuerzo por parte de la organización, que incluye el análisis del impacto al negocio, el análisis de riesgos, la definición e implementación de roles y responsabilidades,  de estrategias de recuperación, de planes operativos…  Este es sin duda un paso importante que supondrá el nacimiento del concepto continuidad en la organización, pero es justo en ese preciso momento en el que es vital instaurar la piedra angular que permita mantenerla, mejorarla y optimizarla, acercándonos poco a poco al concepto resiliencia: la Oficina de Continuidad.

Esta Oficina se encargará de garantizar la vigencia, adecuación y eficacia de los planes de continuidad existentes gracias a un proceso continuado de mantenimiento y revisión que debe incluir:

1 Mantenimiento del Sistema de Gestión

•  Coordinar y realizar el seguimiento de las tareas planificadas anualmente
•  Revisión periódica de los procesos de negocio y el análisis de impacto
•  Actualizar la valoración de riesgos vigente y las estrategias definidas
•  Validar los planes a través de los resultados de las simulaciones o cambios internos o de estrategias.
•  Definir nuevos planes en base a los riesgos
•  Gestionar la capacitación del personal implicado (equipos de recuperación)
•  Mantener indicadores de Seguimiento (Evolución del Sistema)

2 Gestión de la  Continuidad

•  Participar y liderar las simulaciones de los planes
•  Coordinar las tareas dentro de un escenario de desastre (apoyo al Responsable de Continuidad)

Para que la organización alcance los niveles de madurez deseados será necesario establecer correctamente el “modus operandi” de esta Oficina y dotarla de los recursos idóneos. En base a nuestra experiencia recomendamos que la Oficina de Continuidad esté conformada por un representante de cada área de negocio, que liderará la actualización y soporte de los riesgos, procesos críticos, estrategias y planes que se desarrollen para su área y a su vez planifique conjuntamente con el resto de miembros las pruebas y simulaciones de los planes desarrollados. Esta Oficina realizará las tareas definidas anualmente por el Responsable de Continuidad y le reportará periódicamente, estableciendo una estructura sólida que velará por la mejora continua en materia de continuidad de negocio.

En la actualidad muchas organizaciones debido a las dificultades iniciales que acontecen cuando una organización arranca una oficina de este tipo,  están optando por rodear a los miembros de la oficina de “consultores expertos” que les guíen inicialmente en sus tareas y les permitan evolucionar en el camino hacia la excelencia/resiliencia.

De la Continuidad Tecnológica a la Continuidad de Negocio

Es indudable que en los últimos años ha crecido la preocupación en las organizaciones por garantizar la continuidad de las operaciones críticas del negocio.   Esta tendencia  puede ser debida a diversos factores, como las numerosas normas o estándares que abordan esta problemática (ISO 27000, la BS 25999 o la ISO 22301…),  los marcos metodológicos que aúnan buenas prácticas en la materia (COBIT, ITIL®…), organizaciones sin ánimo de lucro que tratan y fomentan la temática (ISACA, Business Continuity Institute…) o los numerosos antecedentes de eventos no deseados  que han provocado impactos muy importantes  en organizaciones muy conocidas. Todos recordareis el incidente del WindSord, el ataque sufrido por la plataforma PlayStationNetwork de Sony, el atentado a las Torres Gemelas, la reciente caída del servicio WhatsApp…

El problema que se encuentran muchas organizaciones que quieren proteger sus operaciones críticas es, dentro de la complejidad que tiene cada negocio, cómo comenzar a aplicar buenas prácticas en materia de continuidad de negocio.  Lo recomendable en una situación de este tipo es comerse el elefante en pequeños trozos que permitan ir expandiendo el foco. Y justo en este momento nos acordamos de las tecnologías de la información y comunicaciones (en adelante TIC).  Hay que tener en cuenta que gran parte de la operativa de las compañías está soportada por TICs y que  la tendencia tecnológica al alza en la que vive el mundo actual ha hecho que haya aumentado la dependencia que el negocio tiene de ellas.

Nuestra experiencia nos dice que el departamento de TI es un excelente punto de partida para, partiendo de un plan de contingencia de TI (identificar procesos críticos, sistemas TI clave, tiempos de recuperación mínimos, puntos de recuperación objetivos, existencia de procesos manuales alternativos, definición de estrategias de recuperación, establecimiento de Roles y Responsabilidades y del Plan de Recuperación frente a Desastres…) extender el concepto de continuidad hacia los niveles superiores de la organización, dando un paso clave de madurez en una compañía… “de la continuidad tecnológica a la continuidad de negocio”.

Para dar este paso es muy importante que el CIO asuma tanto el liderazgo como  el reto de transmitir a la Alta Dirección que “su” hoja de ruta simplifica las cosas, porque ya hay una estructura de roles y responsabilidades (Cultura de Comités, Equipos de Recuperación, Responsable de Continuidad…), ya se habla de riesgos, de cómo mitigarlos, de procesos críticos, de estrategias de recuperación, de planes de recuperación asociados…. y que si la organización aprovecha esa inercia obtenida a partir del plan de contingencia será más fácil impulsar y elevar el concepto de “continuidad”. En ese momento el CIO trasladará la “pelota” al techo de la Alta Dirección, que comenzará a pensar en términos de continuidad, identificando necesidades y fomentando la toma de decisiones.  Si se consigue captar el interés de la Alta Dirección  se percibirá la necesidad. A veces esto se consigue de manera curiosa, recuerdo una reunión en la que los miembros del Comité de Dirección no entendían la diferencia entre una incidencia normal y otra que diera lugar a la activación del plan de continuidad. El conocimiento que el CIO había obtenido le permitió  explicarles que necesitaban el Análisis de Impacto en el Negocio (BIA) porque introducía un elemento fundamental, la variable temporal. Esta variable era lo que convertía una incidencia de un tipo en una de otro.
  

Esta hoja de ruta es la que aconsejamos seguir en clientes de muy diversos sectores y con problemáticas de muy diversos tipos. En próximas entradas explicaré cómo mantener el sistema de Gestión de Continuidad de Negocio a través de la implantación de una Oficina de Continuidad. 

Resiliencia como medida de madurez de una Organización

La definición de “resiliencia” la podemos encontrar en varias disciplinas como por ejemplo en física de materiales, donde el concepto se aplica a la capacidad de un material de volver a su estado original después de una deformación.

También tiene acepciones en psicología, en biología,…  y en todas ellas, la definición de este término se corresponde aproximadamente con el término entereza o elasticidad, relacionada con la superación de obstáculos.

Aplicado a una Organización podemos emplear este término como la capacidad que tiene un sistema para recuperarse tras un desastre o perturbación, es decir, medición de la habilidad para volver a la normalidad  tras un incidente que interrumpa las actividades del Negocio.

Podemos concebir la resiliencia como una medida de  madurez en la gestión y mejora de los procesos de la Organización, de la misma forma que existen criterios CMMI.

Podemos medir la resiliencia de la Organización analizando el nivel de adecuación de sus activos en base a la:

• Gestión de riesgos.
• Gestión de la seguridad: protección.
• Gestión de la continuidad : estrategias, planes y respuesta a incidentes.
• Gestión de la información y el conocimiento.

Un ejemplo de elementos para establecer criterios de medición serían los siguientes:

• % de actividades que soportan o que no soportan los objetivos de Negocio.
• Probabilidad de entrega un servicio a lo largo de un evento disruptivo.
• Porcentaje de activos o servicios que no satisface los requerimientos de seguridad.
• % de los riesgos por debajo del umbral establecido.
• # de servicios cubiertos con un plan de continuidad.
• % de servicios que podrían o no podrían ofrecer un servicio en un evento disruptivo.
• % de escenarios de desastre probados.
• …

La valoración de estos elementos, según su clasificación por categoría y su peso específico establecerían valores que en un cuadro de mando nos daría índices que aportarian una visión global del nivel de madurez del producto, servicio o proceso de la Organización.

Además de los conceptos anteriores, una organización “resiliente” debería:

• Promocionar el  aprendizaje (interpretando las experiencias de forma constructiva).
• Desarrollar la tolerancia ante la incertidumbre.