10 diciembre 2007

Creando DRPs

Hoy quiero resumir un interesante artículo recopilado por BS25999.com sobre la creación y testeo de planes de recuperación ante desastres.

En primer lugar, el artículo incide sobre la necesidad de integrar la recuperación ante desastres a nivel general y la específica de IT, aspecto clave si queremos una recuperación realmente efectiva.

A partir de ahí, y centrándose en la recuperación ante desastres de IT, el artículo recuerda un concepto a veces olvidado: el MTO (Maximum Tolerable Outage). Este parámetro, a veces también conocido como umbral de crisis, representa el tiempo máximo que la empresa es capaz de sobrevivir tras el incidente. Es un parámetro clave, ya que no sólo hay que tener en cuenta el RTO, sino el tiempo necesario para invocar el Plan de Recupración ante Desastres (DRP, Disaster Recovery Plan). Esta decisión es clave, ya que la invocación del DRP normalmente conlleva unos costes extraordinarios significativos, y es necesario analizar si existen medios alternativos, dentro del Plan de Contingencias, para resolver los daños puntuales sin recurrir a la activación del DRP.

En caso de que se invoque el DRP, hay que tener en cuenta ciertos aspectos sobre este documento. La profundidad de detalle es muy variable en función de las necesidades y capacidad de la organización, pero sobre todo tiene que tener en cuenta los siguientes aspectos:
  • Centrarse en las consecuencias del incidente, que son las que se deben resolver, independientemente de la causa que lo haya provocado.
  • Descripción de todos los roles participantes, junto con el listado de personas capaces de desempeñar ese papel y sus respectivos contactos.
  • Prioridades de recuperación, para conocer el orden en que se deben recuperar los servicios.
  • Contactos de todas las terceras partes necesarias para la recuperación.
  • Y evidentemente la secuencia (flujo) general de actividades y sus dependencias.

Una vez creado el Plan de Recuperación ante Desastres es imprescindible probarlo. Hay que probar los planes, los procesos, las personas y la tecnología. Estas pruebas, que deberían ser como mínimo anuales, deben verificar la efectividad de las actividades, la capacitación del personal, la eficiencia y eficacia de las infraestructuras y documentación y la validez de los objetivos de recuperación, además de servir para identificar problemas y posibles mejoras.

El alcance de las pruebas no es un parámetro fijo, y siempre es posible llevar a cabo pruebas parciales. Sin embargo, no podemos caer en la tentación de probar sólo aquello que sabemos que va a tener éxito, focalizar nuestras pruebas exclusivamente en un apartado, no tener en cuenta la capacidad real necesaria, o ser excesivamente ambiciosos. En definitiva, las pruebas pueden ser parciales pero deberán cubrir todos los elementos del plan. Y sobre todo deben ser útiles.

En resumen, el artículo que he citado refleja unos pocos parámetros clave sobre los que reflexionar a la hora de desarrollar un buen Plan de Recuperación ante Desastres. Y no olvidemos que la parte reactiva es sólo la mitad de un buen Plan de Continuidad de Negocio, y si queremos hacer bien nuestro trabajo la parte preventiva debe estar todavía mejor. O alguien prefiere esperar a que suceda el incidente para demostrar que su plan de respuesta es correcto?

No hay comentarios: