La importancia del Plan de Continuidad del Servicio
Ante la gran crisis provocada por el COVID-19, en la que la salud y la economía van estrechamente relacionada, afectando al negocio de nuestras empresas, es cuando adquiere la verdadera importancia de disponer un modelo de procesos efectivo.
En el día a día de las organizaciones es fácil dejarse llevar por apagar ese fuego, solventar aquel problema, entregar ese proyecto, etc., pero ¿se dedica el tiempo necesario a gestionar verdaderamente el servicio? ¿Se dedican suficientes recursos?
En estos momentos es cuando vemos lo imprescindible y necesario que es la Gestión del Servicio y de haber diseñado un plan de continuidad de los servicios TI.
Las empresas se encuentran de frente con una crisis imprevista, un contratiempo que puede afectar seriamente al negocio. Las autoridades obligan a los ciudadanos a permanecer en casa, a las empresas a facilitar el teletrabajo y evitar el trabajo presencial…. ¿Y si la empresa no está preparada para esa situación? ¿Y si la organización no puede continuar con su negocio?
ITIL ya nos lo había dicho, mejor dicho nos lo había recomendado, hay que gestionar la continuidad de los servicios TI, hay que gestionar los riesgos, hay que gestionar la seguridad de la información, la disponibilidad….en definitiva hay que gestionar el SERVICIO.
La gestión de la continuidad del servicio se ocupa de proveer un nivel de servicio mínimo aceptable en casos de desastres. Los principales objetivos de la gestión de la continuidad son:
- disponer de políticas y procedimientos que eviten y/o reduzcan las consecuencias de un desastre.
- garantizar los servicios críticos TI durante el mismo.
La gestión de la continuidad desempeña un papel fundamental en el soporte de los procesos de planificación de la continuidad del negocio. A través de este proceso se establecen los requisitos de continuidad y recuperación, así como la implementación (y pruebas, ¡muy importante!) del plan de continuidad del negocio de la empresa, desarrollando modos de actuación para cada uno de los escenarios en los que la organización pueda verse involucrada.
¿Qué entendemos por escenarios en esta pandemia? Se trata de qué acción desarrollar según la circunstancia en la que se podría encontrar la empresa, por ejemplo:
- ¿Hay o no personal infectado?
- ¿Hay personal infectado considerado clave para el negocio?
- ¿Hay servicio por parte de todos los proveedores?
- ¿Y de los proveedores claves?
Recordamos que el objetivo es facilitar la continuidad del negocio garantizando las instalaciones, infraestructuras, herramientas, proveedores y personal para disponer del servicio considerado imprescindible y que el negocio se vea afectado lo menos posible.
El plan de continuidad se pondrá en marcha desde el momento que no se permite continuar con la operación habitual de la empresa y mediante su puesta en marcha, no se detendrá la productividad de la empresa y que por tanto la situación de crisis afecte en menor medida.
Vale, nuestra organización gestiona correctamente la continuidad del servicio y dispone de un plan de continuidad que permite seguir con el negocio, pero ¿se ha tenido en cuenta la Seguridad? Todos los escenarios y despliegues deben estar respaldados por una revisión de seguridad.
Actualmente hay miles de ciberdelincuentes que están lanzando ataques contra los usuarios, tanto a personal de las organizaciones como a los clientes de las mismas, mediante phishing, malware, etc, con títulos que llaman la atención (noticias, videos, adjuntos, comunicados, entrevistas, …) sobre el COVID-19. Es evidente que el nivel de riesgo ha subido y los usuarios, aunque estén bien entrenados para no picar, la situación especial de alarma que se está viviendo y la ansiedad y la preocupación que conlleva, permite que se puedan transmitir con más facilidad todo tipo de malware e infecciones en toda la organización.
El CCN-CERT Centro Criptológico Nacional, adscrito al Centro Nacional de Inteligencia (https://www.ccn-cert.cni.es), ya ha lanzado unas recomendaciones ante las campañas de malware y de desinformación que aprovechan el Covid-19, donde recogen las principales medidas a tener en cuenta tanto en el caso de phishing como de desinformación.
Por ello, hay que prestar especial atención a los correos electrónicos, los documentos y archivos adjuntos sobre el coronavirus; no descargar aplicaciones no oficiales para conocer el alcance internacional del COVID-19; así como no difundir información que no provenga de medios y fuentes oficiales.
Como vemos todos los procesos de la gestión de servicios TI deben trabajar estrechamente y ser colaborativos, de nada sirve contar con un plan de continuidad si la accesibilidad a los servicios no está gestionada, si no se ha realizado un análisis de la capacidad, si todos los escenarios posibles no están respaldados por la gestión de seguridad, y así un largo etcétera.
Y no nos podemos olvidar de las personas, las empresas no solo deben mantener sus servicios críticos implementando el plan de continuidad, que no es poco; sino que deben gestionar a las personas, poco sirve tenerlo todo perfectamente planificado si las personas no están preparadas para ello. El personal de la organización debe participar en todo el proceso y en todos los procesos, deben estar formadas, ser conscientes de su papel y su responsabilidad en estos momentos; y como no, ITIL también nos lo dice, hay que gestionar el personal y su talento, y no solo eso, son imprescindibles para la eficiencia del Sistema de Valor del Servicio
Las organizaciones maduras en la gestión del servicio TI están desarrollando su actividad y manteniendo sus procesos críticos sin demasiadas dificultades, pero aún hay muchas empresas que no estaban preparadas para esta situación, que no tenían planificado un escenario como en el que nos encontramos; no es momento de lamentarse sino de actuar con la mayor agilidad para reducir los riesgos y mantener los servicios críticos; y después será el momento de aprender, prepararnos y planificarnos.
Lola Párraga Martínez
Comité de Murcia itSMF España