GLOBALTEKSECURITY TECNOLOGAS Y METODOLOGAS GLOBALES PARA

LA SEGURIDAD DE LA INFORMACIN

Como hacer un BIA la

base fundamental del
BCP
Anlisis de impacto del negocio
Armando Carvajal armando.carvajal@globalteksecurity.com

2007

CALLE 100 NO 8-37, TORRE A,

OFICINA

804, WTC

Plantilla para capacitacin Reporte ejecutivo para el anlisis de impacto del negocio - BIA

Armando Carvajal
Ingeniero de Sistemas de la Universidad INCCA de Colombia, cuenta con un
postgrado en Construccin de Software para redes de la Universidad de los
Andes, es Msc en Seguridad Informtica en la Universidad Oberta de
Catalua (Espaa).
Se desempea como gerente de consultora de la empresa globalteksecurity,
organizacin especializada en seguridad informtica. Ha sido conferencista en
Latinoamrica y tiene experiencia dictando postgrados en algunas
universidades en Colombia.

Oficina principal de Ventas

Calle 100 No 8A-37 Torre A
Oficina 804 World Trade Center
Bogota, Colombia, Sur Amrica

Oficina de soporte Tcnico

Calle 23G No 81-76 Tel 410-7993,
410-8004, 410-7972, 610-3308,
618-1551. Fax: 295-4507

Oficina en Estados Unidos

1580 Sawgrass Corporate Parkway
Suite 130 Sunrise, FL 33323
Phone Number: 954-315-4596
Fax 954-838-7746 USA

Plantilla para capacitacin Reporte ejecutivo para el anlisis de impacto del negocio - BIA

ANALISIS DE IMPACTO DEL NEGOCIO BIA

La base de un Plan de Continuidad del Negocio o BCP es el BIA.

El BIA es el documento base de todo plan de continuidad del negocio, no hacer el BIA
es como querer saber dividir sin antes haber aprendido a sumar y restar.

Si deseamos construir un puente o un edificio primero, debemos construir sus bases,

por ejemplo imaginemos un edificio de 20 pisos sin una base, en el primer temblor de
tierra seguro que se fragmentaria o peor aun se desmoronara.

La base fundamental de un plan de continuidad del negocio o BCP es el BIA.

El BIA nos indica que procesos o reas de mi negocio son las ms crticas, el BIA nos
dice que aplicaciones son las que debemos llevar a un centro de cmputo remoto para
procesar informacin el da que ocurra una catstrofe.

El BIA nos indica da a da como se impacta el patrimonio de los socios cuando el

riesgo catastrfico se concreta.

El BIA no aplica para los riesgos que no sean catastrficos.

Un Plan de continuidad del negocio debe basarse en el BIA, si una entidad de control
quisiera saber si el BCP es frgil, o fue elaborado a ltima hora solo por cumplir una
norma, entonces debe mirar cuan solido es el BIA pues de este se parti para llegar al
plan de continuidad del negocio.

Ha reflexionado sobre qu sera de un BCP sin un BIA?

Oficina principal de Ventas

Calle 100 No 8A-37 Torre A
Oficina 804 World Trade Center
Bogota, Colombia, Sur Amrica

Oficina de soporte Tcnico

Calle 23G No 81-76 Tel 410-7993,
410-8004, 410-7972, 610-3308,
618-1551. Fax: 295-4507

Oficina en Estados Unidos

1580 Sawgrass Corporate Parkway
Suite 130 Sunrise, FL 33323
Phone Number: 954-315-4596
Fax 954-838-7746 USA

Plantilla para capacitacin Reporte ejecutivo para el anlisis de impacto del negocio - BIA

Generalmente el informe BIA est compuesto por dos bloques que a la vez conforman
otras partes, los grandes bloques son uno gerencial y otro de soporte, el bloque de
soporte tiene como objetivo dejar constancia en detalle de los resultados del informe
gerencial. Este detalle es clave si este informe gerencial fuera cuestionado.

Especficamente el BIA determina el RTO y el RPO:

Recovery Time Objective: Es el mximo tiempo permitido que un proceso
RTO:
puede estar cado como consecuencia de un evento catastrfico.
Recovery Point Objective: Primeros datos que permiten volver a ofrecer el
RPO:
servicio. Identificar si para la recuperacin del proceso que se haya visto afectado se
necesita disponer de la informacin que se tena justo antes de que sucediera el
incidente, o si, por el contrario, se puede utilizar la informacin anterior (hasta qu
Momento: una hora, un da, dos das, ...)

Propuesta de contenido del BIA

Parte I: Alcance y Objetivos del BIA

Terminologa utilizada: Esta seccin no debe escribirse en ms de una pgina y

debe contener los trminos bsicos y elementales del BIA como son: Riesgo,
anlisis de riesgos, Alta disponibilidad, RTO, RPO, y todos los trminos
especficos utilizados en este informe que le permita a cualquier persona poder
leer y entender este documento.

Revisiones del documento: Contiene la fecha en que se reviso el BIA as como

una descripcin abreviada del cambio en el documento, la versin, quien lo
genero o audito. Por ejemplo:
Versin

Descripcin del cambio

Revisado por

Fecha

Objetivos: Define la intencin del BIA, el peor escenario, define los RTO por
ejemplo:

Oficina principal de Ventas

Calle 100 No 8A-37 Torre A
Oficina 804 World Trade Center
Bogota, Colombia, Sur Amrica

Oficina de soporte Tcnico

Calle 23G No 81-76 Tel 410-7993,
410-8004, 410-7972, 610-3308,
618-1551. Fax: 295-4507

Oficina en Estados Unidos

1580 Sawgrass Corporate Parkway
Suite 130 Sunrise, FL 33323
Phone Number: 954-315-4596
Fax 954-838-7746 USA

Plantilla para capacitacin Reporte ejecutivo para el anlisis de impacto del negocio - BIA

Nivel RTO
1
2

Intervalo
Recuperacin
0 24 Horas
24 48 Horas

de

Alcance: Describe los subprocesos, procesos o reas en cuestin, y se indica en

que zona geogrfica residen los procesos bajo estudio.

Enfoque Utilizado: Describe si se utilizaron cuestionarios, como se distribuyeron

hacia los dueos de los procesos, Cuenta el numero de procesos encuestados,
en qu fecha se hizo el BIA, quien condujo el grupo de encuestadores.

Parte II: Respuestas de los encuestados

Respuestas de los encuestados y resultados: Resume como respondi la gente,

pero no incluye, nunca, los formularios o encuestas diligenciadas por los dueos
de los procesos encuestados.

Resultados de cada proceso o de las Unidades de negocios: En esta parte se

describe cada proceso o unidad de negocio, informa quien realizo las encuetas,
y adems muestra

la siguiente informacin por cada proceso o unidad de

negocio:

Proceso de negocio y RTO (Recovery Time Objective): Se tabula cada

subproceso del proceso o unidad de negocio con secuencia del subproceso,
descripcin, y RTO (mximo tiempo permitido antes de entrar en colapso)

Recursos requeridos por cada proceso de negocio: Se tabula cada subproceso

del proceso o unidad de negocio con secuencia del subproceso, aplicaciones
necesarias, Equipo, registros vitales o reportes, personas requeridas.

Procedimientos manuales de recuperacin: Se tabula cada subproceso del

proceso o unidad de negocio con secuencia del subproceso, procedimiento
manual de solucin, % que se puede hacer manualmente y RPO.

Oficina principal de Ventas

Calle 100 No 8A-37 Torre A
Oficina 804 World Trade Center
Bogota, Colombia, Sur Amrica

Oficina de soporte Tcnico

Calle 23G No 81-76 Tel 410-7993,
410-8004, 410-7972, 610-3308,
618-1551. Fax: 295-4507

Oficina en Estados Unidos

1580 Sawgrass Corporate Parkway
Suite 130 Sunrise, FL 33323
Phone Number: 954-315-4596
Fax 954-838-7746 USA

Plantilla para capacitacin Reporte ejecutivo para el anlisis de impacto del negocio - BIA

Impacto financiero identificado por cada proceso: Se tabula cada subproceso

del proceso o unidad de negocio con secuencia del subproceso, calificacin
ninguno, bajo, medio, alto, valor del impacto financiero del proceso.

Impacto operacional (imagen ante el cliente) Identificado por el proceso o la

unidad de negocio: Se tabula cada subproceso del proceso o unidad de negocio
con secuencia del subproceso, calificacin de ninguno, bajo, medio y alto

Impacto legal identificado por cada proceso: Se tabula cada subproceso del
proceso o unidad de negocio con secuencia del subproceso, calificacin ninguno,
bajo, medio, alto, valor del costo/comisiones.

Resumen y conclusiones del proceso evaluado: Se debe enunciar cual es el

subproceso ms crtico en orden de impacto y sobre todo cules son los
reportes ms vulnerables.

Parte III: Grficos de Impactos

Impacto Financiero combinado: En forma grafica se debe mostrar da a da la

perdida financiera, se debe describir cual es el valor del primer da, la primera
semana y el mes. Resume como ocurren los impactos y desde que procesos,
subprocesos o unidades de negocio se originan.

Impacto operacional Combinado: generalmente el impacto operacional es un

intangible, y tienen que ver con la moral de los empleados, el valor de la accin
si se cotiza en bolsa, el flujo de trabajo y finalmente el servicio al cliente.

Impacto combinado legal/regulacin: El impacto Legal y de regulacin tiene

que ver con las obligaciones para con las agencias de vigilancia, organizaciones
y clientes con los cuales las unidades de negocio deben cumplir obligaciones
contractuales. Incluye los deberes para con las entidades de vigilancia
gubernamental,

contratos

niveles

de

servicio

pactados

con

clientes,

vendedores y agencias.

Requerimientos de personal para recuperacin

Complejidad de recuperacin por unidad de negocio o subproceso: La

complejidad de recuperacin es la medida de cun difcil es la recuperacin de
la unidad de negocio a los niveles de servicio pactados despus de un

Oficina principal de Ventas

Calle 100 No 8A-37 Torre A
Oficina 804 World Trade Center
Bogota, Colombia, Sur Amrica

Oficina de soporte Tcnico

Calle 23G No 81-76 Tel 410-7993,
410-8004, 410-7972, 610-3308,
618-1551. Fax: 295-4507

Oficina en Estados Unidos

1580 Sawgrass Corporate Parkway
Suite 130 Sunrise, FL 33323
Phone Number: 954-315-4596
Fax 954-838-7746 USA

Plantilla para capacitacin Reporte ejecutivo para el anlisis de impacto del negocio - BIA

prolongado tiempo de desastre. Durante el proceso de entrevistas del BIA a

cada unidad de negocio o proceso se le debe encuestar sobre

que rango

pertenece segn la siguiente lista:

Fcilmente Recuperable Los procesos que tengan procedimientos

manuales de recuperacin, locaciones alternas para poder trabajar,
tecnologa y estrategias de recuperacin caen en este rango
Razonablemente recuperable Algunas necesidades pueden ser
difcilmente de reemplazar en un tiempo razonable.
Difcilmente recuperable Muchas de las necesidades esenciales de la
unidad de negocio pueden ser difciles de reemplazar en un tiempo
razonable
Muy difcil recuperacin Existen numerosos elementos muy difciles de
reemplazar o el tiempo de recuperacin es muy largo, Por ejemplo:

Facilmente
Recuperable
18%

Muy dificil
recuperable
46%
Razonablemente
Recuperable
27%
Dificilmente
recuperable
9%
Todas las unidades de negocio o procesos
Fcilmente
recuperable

Razonablemente
recuperable

Difcilmente
recuperable

Muy difcil
Recuperable

Soporte

Contabilidad

Seguridad

Operaciones

Suministro de
Materiales

Marketing

Laboratorios

Recursos Humanos

Almacn
Desarrollo

Oficina principal de Ventas

Calle 100 No 8A-37 Torre A
Oficina 804 World Trade Center
Bogota, Colombia, Sur Amrica

Oficina de soporte Tcnico

Calle 23G No 81-76 Tel 410-7993,
410-8004, 410-7972, 610-3308,
618-1551. Fax: 295-4507

Oficina en Estados Unidos

1580 Sawgrass Corporate Parkway
Suite 130 Sunrise, FL 33323
Phone Number: 954-315-4596
Fax 954-838-7746 USA

Plantilla para capacitacin Reporte ejecutivo para el anlisis de impacto del negocio - BIA

Parte IV: Solucin

Propuesta de solucin: Generalmente se recomienda una alternativa de

computo remoto, se debe describir la estrategia recomendada

Conclusiones Finales: Lista una serie de actividades y sus recursos respectivos

necesarios

Oficina principal de Ventas

Calle 100 No 8A-37 Torre A
Oficina 804 World Trade Center
Bogota, Colombia, Sur Amrica

Oficina de soporte Tcnico

Calle 23G No 81-76 Tel 410-7993,
410-8004, 410-7972, 610-3308,
618-1551. Fax: 295-4507

Oficina en Estados Unidos

1580 Sawgrass Corporate Parkway
Suite 130 Sunrise, FL 33323
Phone Number: 954-315-4596
Fax 954-838-7746 USA