Continuidad del Negocio
Uno de los pasos fundamentales al momento de elaborar el Plan
de Continuidad del Negocio es la determinación de aquellos
procesos y servicios críticos para la organización, en este sentido
es esencial realizar un Análisis de Impacto al Negocio (BIA) que
permita determinar los tiempos y puntos objetivos de
recuperación que requieren las áreas de negocio así como definir
las estrategias de recuperación tecnológicas para cumplir tales
objetivos.
Por su parte, la Autoridad de Supervisión del Sistema Financiero
(ASFI) en su Libro 3°, Título VII Capítulo II: REGLAMENTO PARA
LA GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN, Sección
10: CONTINUIDAD DEL NEGOCIO, establece:
• Definición de procesos críticos relacionados a los sistemas
de información
• Análisis de impacto al negocio (BIA)
T-BIA
T-BIA es una solución que permite clasificar procesos críticos o
no críticos, registrando el impacto potencial para la Entidad por
cada servicio interrumpido a medida que transcurre el tiempo,
tanto en términos económicos, operacionales, reputaciones o
de imagen así como legales, regulatorios y contractuales.
Basado en el estándar internacional ISO 22317
Las funcionalidades de TBIA se encuentran alineadas a las normas internacionales ISO 22301, ISO 22313 y la ISO 22317 para seguir
un lineamiento paso a paso a través del proceso de elaboración del BIA en sus tres secciones principales: Pre-requisitos, Realización
del BIA, Revisión y Seguimiento.
Esta especificación técnica internacional proporciona una guía detallada para establecer, implementar y mantener un proceso de
análisis de impacto comercial (BIA) consistente con los requisitos de ISO 22301, aunque esta norma es aplicable al desempeño de
cualquier análisis de impacto al negocio, ya sea parte de un sistema de gestión de continuidad o de un programa de continudad.
Beneficios de T-BIA
Análisis de Impacto al Negocio
T-BIA utiliza una metodología comprobada en auditorías de
certificación ISO 22301 – SGCN:
• Base del PRD – Para determinar implementar PRD o no para
un sistema, se realiza junto al negocio, un análisis del impacto
(BIA) que supondría la indisponibilidad del sistema en su
actividad (negocio). Para ello, se estudia el impacto de dicha
indisponibilidad del servicio desde distintas visiones: Impacto
Operativo (en la actividad), Impacto Legal, Impacto Financiero
e Impacto en Imagen.
• Para llevar a cabo de forma correcta un Análisis de Impacto de
Negocio es indispensable contar con una metodología de
trabajo adecuada, que permita determinar y documentar el
impacto de cualquier contingencia que perturbe el desarrollo
habitual de los procesos clave de los Negocios que se
sustentan en los Sistemas de Información que brinda la
organización
• La identificación de los procesos y actividades necesarias para
soportar los productos y servicios críticos de los Negocios de la
entidad sustentados por los Sistemas de Información, supone
un pilar fundamental e imprescindible para garantizar el éxito
del SGCN ante la ocurrencia de un incidente grave.
Responsabilidad de Negocio
El Negocio debe ser consciente de que cualquier interrupción en
sus procesos supone una serie de costos tangibles e intangibles y
tiene la responsabilidad de evaluar con la mayor precisión posible
el impacto de una interrupción o pérdida en la continuidad de los
sistemas de T.I.
EL BIA ES LO MAS IMPORTANTE AL ELABORAR PLANES DE
CONTINUIDAD ya que permite determinar:
• Frecuencia y modalidad de ejecución.
• Tiempo máximo de tolerancia de la indisponibilidad de los
sistemas que lo soportan.
• Períodos de mayor criticidad (si es que existen), y el tiempo
de tolerancia en estos períodos.
Capacidades principales
La finalidad de T-BIA es determinar, incluso antes de su puesta en producción, los Servicios que son críticos para los Negocios, poniendo
de manifiesto las consecuencias para los mismos de la falta de disponibilidad y recopilando todos los datos e informaciones que puedan
ser relevantes para su recuperación en caso de contingencia. Se busca, en definitiva, determinar cuánto tiempo podría soportar el
Negocio sin perder su viabilidad ante una interrupción de los servicios de TI y en qué condiciones mínimas debería reanudarse la
producción. Por ello, la herramienta le permite establecer el contexto del mismo, definir los criterios de evaluación y evaluar los impactos
potenciales ante un incidente. Asimismo, se tienen en cuenta requisitos legales y regulatorios (ej.: Norma ASFI para riesgo operativo) y la
posibilidad de adicionar otras que apliquen a la Organización vigentes en el momento de realizar el BIA.
La determinación de la criticidad de los procesos constituye el objetivo fundamental del BIA, por lo cual hay que asegurarse de que esta fase se realiza con las suficientes garantías e interés, para que:
• Ningún proceso sea obviado.
• La criticidad de los procesos se estime de forma adecuada.
• El impacto de la interrupción de los procesos críticos se valore adecuadamente.
• Se identifiquen las interrelaciones entre procesos de la misma o distinta unidad de Negocio.
Esta fase de determinación de procesos críticos se estructura en secciones dentro de T-BIA.
Con T-BIA, cada servicio, sea crítico o no cuenta con su respectivo formulario BIA, respaldando el análisis realizado y la revisión por parte de los responsables del proceso.
En el entendido de que el tiempo es un bien preciado en toda organización, un formulario BIA puede ser pausado en cualquier momento y completado posteriormente, una vez finalizado el formulario es posible exportarlo en formato PDF o imprimirlo directamente para firma por
parte del dueño del proceso.
Las gráficas ejecutivas permiten exponer a la Alta Gerencia el avance de los BIAs realizados y los resultados obtenidos a partir por cada servicio, proceso o área de negocio.
