Plan de continuidad de negocio, recuperación de desastres, y gestión de crisis (BCP/DRP/CMP)

• Respecto a la continuidad de las actividades y la recuperación en caso de catástrofe, según proceda:
  • objetivos, ámbito de aplicación y público destinatario
  • roles y responsabilidades
  • contactos clave y canales de comunicación (internos y externos)
  • condiciones de activación y desactivación del plan
  • orden de recuperación de las operaciones
  • planes de recuperación de operaciones específicas, incluidos los objetivos de recuperación
  • recursos necesarios, incluidas las copias de seguridad y las redundancias
  • restablecimiento y reanudación de las actividades a partir de medidas temporales
• Respecto a la gestión de copias de seguridad:
  • plazos de recuperación
  • garantías de que las copias de seguridad sean completas y precisas, especialmente los datos de configuración y la información almacenada en el entorno de proveedores
  • almacenamiento de copias de seguridad (en línea o fuera de línea) en uno o varios lugares seguros, que no estén en la misma red que el sistema y que estén a una distancia suficiente para escapar de cualquier daño provocado por una catástrofe en el emplazamiento principal
  • controles adecuados de acceso lógico y físico a las copias de seguridad, de conformidad con el nivel de clasificación de activos;
  • recuperación de datos de las copias de seguridad
  • plazos de conservación sustentados en los requisitos operativos y reglamentarios
• Respecto a la redundancias, asegurar como mínimo redundancia parcial de:
  • sistemas de redes y de información
  • activos, incluidos las instalaciones, los equipos y los suministros
  • personal con la responsabilidad, la autoridad y las competencias necesarias
  • canales de comunicación adecuados
• Respecto a la gestión de crisis:
  • los roles y responsabilidades del personal y, cuando proceda, los proveedores y los prestadores de servicios, especificando la asignación de roles en situaciones de crisis y los pasos específicos que deben seguirse
  • los medios de comunicación adecuados entre las entidades pertinentes y las autoridades competentes (incluyendo comunicaciones obligatorias, como informes de incidentes y los plazos correspondientes, así como comunicaciones facultativas)
  • la aplicación de medidas adecuadas para garantizar el mantenimiento de la seguridad de los sistemas de redes y de información en situaciones de crisis

Recomendamos que los clientes:

• Prueben, revisen y, cuando proceda, actualicen su BCP/DRP/CMP a intervalos planificados o tras incidentes significativos o cambios significativos en las operaciones o los riesgos
• Verifiquen regularmente la integridad de las copias de seguridad
• Lleven a cabo pruebas periódicas de la recuperación de copias de seguridad y las redundancias para asegurarse de que, en condiciones de recuperación, es posible depender de ellas y que engloban las copias, los procesos y los conocimientos necesarios para llevar a cabo una recuperación eficaz
• Pongan en marcha procesos para gestionar y usar la información recibida de los CSIRT o, cuando proceda, las autoridades competentes, en relación con incidentes, vulnerabilidades, amenazas o posibles medidas de mitigación