Sobre continuidad recuerdo haber leído y referido después algo sobre ISO 27006. Si tienes el borrador de la 25999, pásamelo al correo ;) sergio [en] sahw [punto] com

El tema del riesgo operacional son palabras mayores, ya que lleva como bien dices de la mano la continuidad, por razones más que obvias, pero llevadas a su extremo. Hablamos de continuidad del 99,5% y superiores a lo largo del año, con tolerancias ante la ruptura de minutos e incluso segundos. No sólo exigidos por Basilea, sino además adoptados por cultura propia desde tiempos inmemoriales. Si hay infraestructuras donde ver un proceso de continuidad y sobre todo sus pruebas es un espectáctulo, esas son las entidades financieras :)

Lo dicho, pásame el borrador si tienes tiempo. Si has publicado en tu blog algo sobre 25999, házmelo saber.

Saludos y gracias ;)

La aparición de la BS 25999 viene motivada porque parece que para la Administración Pública Británica, garantizar la continuidad de negocio va a ser un requisito legal que cada vez tiene más sentido si caminamos hacia la e-Administración.

Imagino que tu por Basilea II también te verás muy afectado dado que la continuidad de negocio y el riesgo operacional están intimamente relacionados.

No sabes cuánta razón tienes :)

empresas pequeñas e incluso algunas medianas, la recuperación y planificación ante desastres es un proceso largo y tedioso porque, la mayoría de las veces, ni siquiera se tienen bien claros las necesidades del negocio

Es posible, si bien la causa principal es la escasa cultura de gestión de TI. El ordenador sigue siendo un cacharro que corre programas. Por ejemplo, un asesor fiscal, que valora y trata como oro su documentación para el fisco, muchas veces trata a su ordenador como algo secundario, no lo cuida, no lo actualiza, no se molesta en parchear, no pierde algo de tiempo analizando que es tan importante como los papeles que guarda en sus sagrados ficheros.

En las grandes empresas, el cirio suele estar ocasionado por una estructura jerárquica rígida, donde la cúpula superior no tiene un CIO o a alguien preocupado por saber qué pasa con la tecnología. Es típico ver cómo los departamentos de TI y seguridad nadan solos en la corriente, mientras que la cúpula se dedica sólo a los objetivos del negocio. Craso error.

Sea como fuere, no te falta razón. Seis pasos que se leen en seis minutos, pero que pueden tardar muchos meses en ser aplicados.

Saludos ;)

Sólo el primer paso, “comprender los requisitos de negocios” es ya suficientemente complejo de por sí. Quizá sea consecuencia de mi poca experiencia en el tema pero mi sensación general es que, en la mayoría de las empresas pequeñas e incluso algunas medianas, la recuperación y planificación ante desastres es un proceso largo y tedioso porque, la mayoría de las veces, ni siquiera se tienen bien claros las necesidades del negocio. En otros casos, cuando se tienen claros dichos requisitos, el tiempo necesario para planificar, documentar e implementar las medidas necesarias de contingencia son tan “elevadas” que alguien decide “improvisar” sobre la marcha.