Skip to main content

EL ARTE DE PREPARARSE ANTE UN DESASTRE

Siempre hay una primera vez para todo, incluso para una situación de desastre, por eso es prudente tener listo un plan para enfrentarse a ella con confianza

EL ARTE DE PREPARARSE ANTE UN DESASTRE

Siempre hay una primera vez para todo, incluso para una situación de desastre, por eso es prudente tener listo un plan para enfrentarse a ella con confianza

¿QUÉ HACEMOS?

1

Elaboramos

Planes de recuperación desde cero
Análisis de riesgos
Análisis de tecnologías utilizadas, capacidades y costes
2

Realizamos

Pruebas y actualizaciones de planes de recuperación
Mediciones de tiempos recuperación
3

Gestionamos

Planes recuperación
Documentación asociada plan recuperación

PLAN RECUPERACIÓN

Puede pasar en cualquier empresa, nos vamos a casa y al día siguiente nos encontramos con la desagradable sorpresa de que no podemos iniciar nuestra jornada laboral, se nos ha ido la luz en el edificio, los equipos no encienden y no podemos acceder a nuestras aplicaciones e información ubicados en los servidores de nuestro centro de datos. ¿Y ahora qué hacemos? ¿Tenemos un entorno de trabajo de respaldo? ¿Existe un plan de acción? ¿Plan de comunicación? Este es un ejemplo de las múltiples situaciones que nos podemos encontrar un día cualquiera en nuestra organización y para el cual debemos estar preparados.

Sabemos que un desastre llegará al igual que sabemos que estamos preparados para enfrentarnos a él.

Si bien no podemos prever cuándo se va a producir una situación que afecte parcial o completamente al funcionamiento de una organización, si podemos analizar estas situaciones y tener preparado y probado un plan de acción con el que podamos minimizar el impacto y el tiempo del desastre.

PLAN RECUPERACIÓN

Puede pasar en cualquier empresa, nos vamos a casa y al día siguiente nos encontramos con la desagradable sorpresa de que no podemos iniciar nuestra jornada laboral, se nos ha ido la luz en el edificio, los equipos no encienden y no podemos acceder a nuestras aplicaciones e información ubicados en los servidores de nuestro centro de datos. ¿Y ahora qué hacemos? ¿Tenemos un entorno de trabajo de respaldo? ¿Existe un plan de acción? ¿Plan de comunicación? Este es un ejemplo de las múltiples situaciones que nos podemos encontrar un día cualquiera en nuestra organización y para el cual debemos estar preparados.

Sabemos que un desastre llegará al igual que sabemos que estamos preparados para enfrentarnos a él.

Si bien no podemos prever cuándo se va a producir una situación que afecte parcial o completamente al funcionamiento de una organización, si podemos analizar estas situaciones y tener preparado y probado un plan de acción con el que podamos minimizar el impacto y el tiempo del desastre.

Si tienes un plan de recuperación te lo evaluamos sin coste

Consúltanos

¿Qué es un plan de recuperación de desastres?

Un DRP (Disaster Recovery Plan) es un proceso generado para que, en caso de un evento imprevisto que afecte a los sistemas de información de nuestra organización, posibilite mediante un conjunto de instrucciones claras, minimizar el impacto que suponga cualquier desastre y permita reanudar la actividad de la forma más rápida y efectiva posible.

¿Cuál sería la diferencia entre realizar un DRP y un BCP?

El Plan de recuperación ante desastres es una de los puntos a desarrollar dentro del Plan de continuidad de Negocio. De forma muy resumida, el DRP estaría bajo el paraguas del BCP (Business Continuity Plan), de hecho, cuanta más dependencia tenga la empresa de la tecnología de la información en su operativa diaria, el DRP irá cobrando mayor importancia dentro del plan de continuidad.

El BCP es una guía, con una visión estratégica, que plasma en su desarrollo como se deberá continuar funcionando en caso de producirse un desastre. El DRP es más específico, mostrando como se procederá a recuperar los servicios e información, previamente pactados, en un determinado plazo.

¿Qué es un plan de recuperación de desastres?

Un DRP (Disaster Recovery Plan) es un proceso generado para que, en caso de un evento imprevisto que afecte a los sistemas de información de nuestra organización, posibilite mediante un conjunto de instrucciones claras, minimizar el impacto que suponga cualquier desastre y permita reanudar la actividad de la forma más rápida y efectiva posible.

¿Cuál sería la diferencia entre realizar un DRP y un BCP?

El Plan de recuperación ante desastres es una de los puntos a desarrollar dentro del Plan de continuidad de Negocio. De forma muy resumida, el DRP estaría bajo el paraguas del BCP (Business Continuity Plan), de hecho, cuanta más dependencia tenga la empresa de la tecnología de la información en su operativa diaria, el DRP irá cobrando mayor importancia dentro del plan de continuidad.

El BCP es una guía, con una visión estratégica, que plasma en su desarrollo como se deberá continuar funcionando en caso de producirse un desastre. El DRP es más específico, mostrando como se procederá a recuperar los servicios e información, previamente pactados, en un determinado plazo.

1/

CONOCIENDO TUS ACTIVOS

Iniciamos el proceso de creación del plan recogiendo información vital en la que se sustenta la actividad de la empresa y que está compuesta por sus activos, haciéndonos una idea del grado de complejidad del entorno por la cantidad, tipo y dependencias entre los diferentes elementos y que habrá que tener en cuenta en el desarrollo del plan. El departamento de Tecnologías de la Información es el equipo con el que más colaboraremos en esta fase.

1/ CONOCIENDO TUS ACTIVOS

Iniciamos el proceso de creación del plan recogiendo información vital en la que se sustenta la actividad de la empresa y que está compuesta por sus activos, haciéndonos una idea del grado de complejidad del entorno por la cantidad, tipo y dependencias entre los diferentes elementos y que habrá que tener en cuenta en el desarrollo del plan. El departamento de Tecnologías de la Información es el equipo con el que más colaboraremos en esta fase.

2/

EVALUEMOS LOS RIESGOS

Una vez recopilado los activos, realizamos un estudio de las diferentes amenazas que puedan afectar a cada uno de ellos, la probabilidad de que esta amenaza ocurra y el impacto que supondría.

En este punto enumeramos todas las posibles amenazas que puedan ocurrir y nos centramos principalmente en aquellas que realmente pueden llegan a suceder. Un ejemplo de esta clasificación que aplicamos a los diferentes activos podría ser:

> Amenaza

> Probabilidad

> Impacto

Fallo comunicaciones

Bajo

Alto

Desastre natural

Bajo

Alto

Fallo hardware servidor

Media

Bajo

2/ EVALUEMOS LOS RIESGOS

Una vez recopilado los activos, realizamos un estudio de las diferentes amenazas que puedan afectar a cada uno de ellos, la probabilidad de que esta amenaza ocurra y el impacto que supondría.

En este punto enumeramos todas las posibles amenazas que puedan ocurrir y nos centramos principalmente en aquellas que realmente pueden llegan a suceder. Un ejemplo de esta clasificación que aplicamos a los diferentes activos podría ser:

Amenaza

Probabilidad

Impacto

Fallo comunicaciones

Bajo

Alto

Desastre natural

Bajo

Alto

Fallo hardware servidor

Media

Bajo

3/

INVOLUCRAMOS A LOS INTERESADOS

En Kmereon apostamos por involucrar a todas las partes afectas en la generación del plan desde el principio. Esto nos aporta una visión transversal de la empresa y una mayor comprensión de todas las áreas y niveles existentes.

¿Quiénes son los afectados del plan? Dependiendo de la complejidad de la empresa, tenemos que implicar a más o menos actores. Entre ellos tenemos:

Internamente, aquellas personas que nos aportan la visión de negocio y la valoración del impacto que pudiera tener un evento en cada área, como pueden ser los gerentes de cada una de ellas, así como recabar el conocimiento de los responsables de las aplicaciones de negocio y de infraestructuras.

Externamente, implicamos a los diferentes proveedores y socios con los que colabore la empresa para consultar y desarrollar la mejor estrategia posible en la generación del DRP.

3/ INVOLUCRAMOS A LOS INTERESADOS

En Kmereon apostamos por involucrar a todas las partes afectas en la generación del plan desde el principio. Esto nos aporta una visión transversal de la empresa y una mayor comprensión de todas las áreas y niveles existentes.

¿Quiénes son los afectados del plan? Dependiendo de la complejidad de la empresa, tenemos que implicar a más o menos actores. Entre ellos tenemos:

Internamente, aquellas personas que nos aportan la visión de negocio y la valoración del impacto que pudiera tener un evento en cada área, como pueden ser los gerentes de cada una de ellas, así como recabar el conocimiento de los responsables de las aplicaciones de negocio y de infraestructuras.

Externamente, implicamos a los diferentes proveedores y socios con los que colabore la empresa para consultar y desarrollar la mejor estrategia posible en la generación del DRP

4/

ESTABLECEMOS LOS NIVELES DE CRITICIDAD

Con la colaboración de los diferentes departamentos, clasificamos los datos y aplicaciones por su nivel de criticidad para la empresa. La interacción con las diferentes áreas, principalmente con aquellos puestos que nos puedan aportar una imagen lo más cercana a negocio, será fundamental en esta fase para poder obtener la información lo más detallada posible.

A partir de la recopilación realizada, agrupamos esta información dependiendo del impacto que supongan para la operativa, consiguiendo poder manejarla de forma más ágil en las siguientes fases. Una posible agrupación sería:

  • Impacto alto: Imprescindible para el funcionamiento del negocio. No se puede trabajar sin su recuperación.
  • Impacto medio: Se puede seguir trabajando, pero de forma degradada.
  • Impacto bajo: Se puede seguir trabajando, aunque no esté recuperado.

4/ ESTABLECEMOS LOS NIVELES DE CRITICIDAD

Con la colaboración de los diferentes departamentos, clasificamos los datos y aplicaciones por su nivel de criticidad para la empresa. La interacción con las diferentes áreas, principalmente con aquellos puestos que nos puedan aportar una imagen lo más cercana a negocio, será fundamental en esta fase para poder obtener la información lo más detallada posible.

A partir de la recopilación realizada, agrupamos esta información dependiendo del impacto que supongan para la operativa, consiguiendo poder manejarla de forma más ágil en las siguientes fases.

Una posible agrupación sería:

  • Impacto alto: Imprescindible para el funcionamiento del negocio. No se puede trabajar sin su recuperación.
  • Impacto medio: Se puede seguir trabajando, pero de forma degradada.
  • Impacto bajo: Se puede seguir trabajando, aunque no esté recuperado.

5/

DEFINIMOS LOS OBJETIVOS DE RECUPERACIÓN

Esta fase es una continuidad a la anterior, con los mismos interlocutores para conocer, de toda la clasificación que se ha realizado de datos y servicios, los límites de pérdida de información y tiempo que son asumibles para el negocio.

Inicialmente nos basaremos en las cuatro métricas más conocidas como son:

RTO: Recovery Time Objetive

Esta métrica nos aporta el tiempo máximo en el cual los sistemas podrán estar no operativos sin afectar a la continuidad de negocio de la empresa. Es el tramo de tiempo desde que se produce la incidencia hasta que restauramos los datos y/o servicios.

RPO: Recovery Point Objetive

Métrica que nos indica que cantidad de datos puede llegar a tolerar perder una empresa, 1 hora, 1 día, 10 minutos. Será la pérdida de información que podemos llegar a tolerar desde que se realizó la última copia hasta que se produce el evento. No es lo mismo, por ejemplo, un E-commerce que una página con la información corporativa, el RPO permitido para el E-commerce será muchísimo menor.

WRT: Work Recovery Time

Tiempo que pasa desde que se ha realizado la recuperación hasta que los sistemas vuelven a estar productivos. En este intervalo se comprobará que la recuperación de sistemas, bases de datos,  aplicaciones, etc. ha sido correcta.

MTD: Maximum Tolerable Downtime

Tiempo máximo que las aplicaciones o datos más críticos pueden estar no disponibles sin llegar a ser un daño irreversible para la organización. MTD=RTO+WRT

Después de haber generado las métricas anteriores para los diferentes datos y aplicaciones de la empresa, profundizamos más aún. El impacto que suponga la caída de una aplicación a principio de mes, puede ser que sea totalmente distinto a finales de ese mismo mes.

¿Tenemos alguna necesidad normativa además de las propias de negocio?, ¿limitaciones para mover datos geográficos? Toda esta información se irá clasificado hasta tener un mapa lo más preciso posible, ya no solo de alto nivel, sino a muy bajo nivel de cada dato y servicio.

5/ DEFINIMOS LOS OBJETIVOS DE RECUPERACIÓN

Esta fase es una continuidad a la anterior, con los mismos interlocutores para conocer, de toda la clasificación que se ha realizado de datos y servicios, los límites de pérdida de información y tiempo que son asumibles para el negocio.

Inicialmente nos basaremos en las cuatro métricas más conocidas como son:

RTO: Recovery Time Objetive

Esta métrica nos aporta el tiempo máximo en el cual los sistemas podrán estar no operativos sin afectar a la continuidad de negocio de la empresa. Es el tramo de tiempo desde que se produce la incidencia hasta que restauramos los datos y/o servicios.

RPO: Recovery Point Objetive

Métrica que nos indica que cantidad de datos puede llegar a tolerar perder una empresa, 1 hora, 1 día, 10 minutos. Será la pérdida de información que podemos llegar a tolerar desde que se realizó la última copia hasta que se produce el evento. No es lo mismo, por ejemplo, un E-commerce que una página con la información corporativa, el RPO permitido para el E-commerce será muchísimo menor.

MTD: Maximum Tolerable Downtime

Tiempo máximo que las aplicaciones o datos más críticos pueden estar no disponibles sin llegar a ser un daño irreversible para la organización.

WRT: Work Recovery Time

Tiempo que pasa desde que se ha realizado la recuperación hasta que los sistemas vuelven a estar productivos. En este intervalo se comprobará que la recuperación de sistemas, bases de datos,  aplicaciones, etc. ha sido correcta. MTD=RTO+WRT

Después de haber generado las métricas anteriores para los diferentes datos y aplicaciones de la empresa, profundizamos más aún. El impacto que suponga la caída de una aplicación a principio de mes, puede ser que sea totalmente distinto a finales de ese mismo mes.

¿Tenemos alguna necesidad normativa además de las propias de negocio?, ¿limitaciones para mover datos geográficos? Toda esta información se irá clasificado hasta tener un mapa lo más preciso posible, ya no sólo de alto nivel, sino a muy bajo nivel de cada dato y servicio.

6/

Y LA SOLUCIÓN PROPUESTA ES:

Recopilada toda la información, teniendo en cuenta las soluciones que ya se están aplicando por parte de la organización, realizamos un estudio de las diferentes soluciones existentes en el mercado y propondremos aquellas que cubran las necesidades y objetivos presentados previamente. Hay que tener en cuenta que cuanta mayor rapidez en la recuperación y menor pérdida de datos se permita por parte de negocio conllevará, habitualmente, un mayor coste en las soluciones propuestas.

Kmereon presentará una solución final que se adapte a los objetivos de recuperación propuestos y al presupuesto definido (siempre que sea posible encajar estos dos parámetros).

Estas soluciones pueden ir desde el backup tradicional, hasta la replicación de los servicios en un centro de datos en la nube. El abanico de posibilidades es muy amplio en el mercado actual y como comentábamos anteriormente, la elección dependerá de las necesidades de la empresa.

6/ Y LA SOLUCIÓN PROPUESTA ES:

Recopilada toda la información, teniendo en cuenta las soluciones que ya se están aplicando por parte de la organización, realizamos un estudio de las diferentes soluciones existentes en el mercado y propondremos aquellas que cubran las necesidades y objetivos presentados previamente. Hay que tener en cuenta que cuanta mayor rapidez en la recuperación y menor pérdida de datos se permita por parte de negocio conllevará, habitualmente, un mayor coste en las soluciones propuestas.

Kmereon presentará una solución final que se adapte a los objetivos de recuperación propuestos y al presupuesto definido (siempre que sea posible encajar estos dos parámetros).

Estas soluciones pueden ir desde el backup tradicional, hasta la replicación de los servicios en un centro de datos en la nube. El abanico de posibilidades es muy amplio en el mercado actual y como comentábamos anteriormente, la elección dependerá de las necesidades de la empresa.

7/

REDACTAMOS EL RDP

Llegamos al punto de documentar y comunicar el plan de recuperación. El documento debe estar escrito para y por los ejecutores del plan, por lo que en esta fase es imprescindible la máxima colaboración de los diferentes equipos que lo ejecutarán posteriormente. También es muy importante que este plan sea conocido por varios miembros de los equipos encargados de su ejecución, no se puede tener “un punto de fallo” en los propios ejecutores del plan.

7/ REDACTAMOS EL RDP

Llegamos al punto de documentar y comunicar el plan de recuperación. El documento debe estar escrito para y por los ejecutores del plan, por lo que en esta fase es imprescindible la máxima colaboración de los diferentes equipos que lo ejecutarán posteriormente. También es muy importante que este plan sea conocido por varios miembros de los equipos encargados de su ejecución, no se puede tener “un punto de fallo” en los propios ejecutores del plan.

8/ LA COMUNICACIÓN ES ESENCIAL

¿A quién informamos una vez que se ha producido la interrupción o degradación del servicio? ¿Cómo realizaremos esta comunicación? ¿Quién será el encargado? ¿Cuándo se restablecerá el servicio?

El plan de comunicación es esencial una vez que se ha producido el desastre, empezando por los ejecutores del plan, usuarios internos, proveedores, colaboradores y llegando a los clientes, a los cuales también hay que mantener informados sobre la incidencia y los tiempos de recuperación previstos. El flujo de comunicación tiene que estar totalmente detallado y preparado: comunicados, frecuencia, idiomas, contactos, canal, etc.

8/

LA COMUNICACIÓN ES ESENCIAL

¿A quién informamos una vez que se ha producido la interrupción o degradación del servicio? ¿Cómo realizaremos esta comunicación? ¿Quién será el encargado? ¿Cuándo se restablecerá el servicio?

El plan de comunicación es esencial una vez que se ha producido el desastre, empezando por los ejecutores del plan, usuarios internos, proveedores, colaboradores y llegando a los clientes, a los cuales también hay que mantener informados sobre la incidencia y los tiempos de recuperación previstos. El flujo de comunicación tiene que estar totalmente detallado y preparado: comunicados, frecuencia, idiomas, contactos, canal, etc.

9/

TESTEAR EL DRP

Esta fase es una de las partes que se suele obviar una vez que se ha creado el DRP. Una vez finalizado el plan, insistimos a los clientes que es imprescindible ejecutar el plan, testearlo, conocerlo e interiorizarlo lo máximo posible. Dependiendo de su complejidad, podremos realizar las pruebas de diferentes partes del mismo y con diferente periodicidad. Con estas pruebas conseguiremos, lo primero, comprobar que el plan se ejecuta sin ninguna fisura y nos permitirá afinarlo en caso de que sea necesario. Por otro lado, cuantas más veces el cliente lo pruebe, más tranquilos se sentirán cuando tengan que ponerlo en marcha en una situación real, donde el estrés y la tensión será un factor a tener en cuenta.

9/ TESTEAR EL DRP

Esta fase es una de las partes que se suele obviar una vez que se ha creado el DRP. Una vez finalizado el plan, insistimos a los clientes que es imprescindible ejecutar el plan, testearlo, conocerlo e interiorizarlo lo máximo posible. Dependiendo de su complejidad, podremos realizar las pruebas de diferentes partes del mismo y con diferente periodicidad. Con estas pruebas conseguiremos, lo primero, comprobar que el plan se ejecuta sin ninguna fisura y nos permitirá afinarlo en caso de que sea necesario. Por otro lado, cuantas más veces el cliente lo pruebe, más tranquilos se sentirán cuando tengan que ponerlo en marcha en una situación real, donde el estrés y la tensión será un factor a tener en cuenta.

10/

DOCUMENTO SIEMPRE VIVO

Y por último y no menos importante, como ya sabemos, el DRP es un documento vivo, que se tiene que ir modificando a la vez que se vayan produciendo cambios en la organización y en los servicios que pueda afectarlo. Estos cambios pueden ser, por ejemplo, un cambio de visión a nivel de criticidad de ciertos procesos empresariales, cambio normativo, nueva actividad/aplicación de negocio, introducción de nuevas tecnologías que permiten mejoras en tiempos de RTO, etc.

10/ DOCUMENTO SIEMPRE VIVO

Y por último y no menos importante, como ya sabemos, el DRP es un documento vivo, que se tiene que ir modificando a la vez que se vayan produciendo cambios en la organización y en los servicios que pueda afectarlo. Estos cambios pueden ser, por ejemplo, un cambio de visión a nivel de criticidad de ciertos procesos empresariales, cambio normativo, nueva actividad/aplicación de negocio, introducción de nuevas tecnologías que permiten mejoras en tiempos de RTO, etc.

¿Ready?
La confianza de estar preparado

Colaboramos con nuestros clientes en el desarrollo de los planes de recuperación,
en todas las fases del mismo o ayudando a desarrollar algunas en concreto. ¿Por dónde empezamos?

Consúltanos