2006-04-26 09:45:15

Hispasec – una-al-d�a 25/04/2006
Todos los d�as una noticia de seguridad http://www.hispasec.com

10 claves para una adecuada recuperaci�n ante desastres

El objetivo de este bolet�n es incidir en medidas pr�cticas
asociadas a los conceptos de recuperaci�n y continuidad. Para ello hemos
preparado un dec�logo de acciones que pueden ayudarle a plantear el
problema de una manera m�s c�moda y accesible. Son s�lo algunas acciones
b�sicas, que deben siempre complementarse con un plan espec�fico
dise�ado y gestionado por expertos para cada caso, y est�n basadas en
los art�culos propuestos en el cap�tulo de «m�s informaci�n»

1.- Probar las copias de seguridad. Por obvio que resulte, las copias
s�lo tienen utilidad cuando pueden ser restauradas. Es recomendable que
las organizaciones dediquen al menos un equipo a modo de “sandbox” o
caja de arena de pruebas espec�ficas de verificaci�n de copias de
respaldo, y que eventualmente, con una periodicidad programada, se
verifiquen estas copias.

2. Escoja su software de backup con criterio. Elegir un sistema de copia
y restauraci�n puede requerir la intervenci�n de un experto, sobre todo
en entornos heterog�neos. Piense en la disponibilidad y en los tiempos
cortos de recuperaci�n como un activo rentable y extremadamente
interesante. No tenga miedo a invertir en estos conceptos, bien sea en
licencias, bien sea en servicios o en ambos.

3. Con una periodicidad adecuada, por ejemplo, semanalmente, desplace
las copias de seguridad a sitios externos a la organizaci�n, de modo que
prevenga as� incidentes localizados, como robos, incendios,
inundaciones, etc. Dentro de la organizaci�n opte por armarios ign�fugos
para la conservaci�n como medida m�nima de protecci�n de las copias.
Dejarlas en lo alto del servidor o de una mesa no es la elecci�n m�s
adecuada en ninguno de los casos

4. Una medida interesante para prevenir la indisponibilidad y la gran
mayor�a de los problemas puede ser el aislamiento de las m�quinas.
Disponer de cuartos espec�ficos bajo llave donde ubicar los sistemas
reduce mucho el riesgo de da�os accidentales o intencionados. Las
m�quinas deben estar preferentemente en entornos climatizados y
controlados, y a ser posible, en armarios tipo rack o equivalentes
homologados, con un grado de protecci�n adecuado en lo relativo a
incendios, humedades y otros par�metros de cat�strofe similares.

5. Escoger la ubicaci�n de la sala de m�quinas puede ser tan sencillo
como contemplar que no haya en las cercan�as redes de fontaner�a ni
desag�e, y que las tomas el�ctricas existentes sean seguras y cercanas a
la acometida, por si fuera necesario ampliar o sustituir el
abastecimiento. Otro factor de inter�s, siempre que sea posible, es la
proximidad a los sistemas contraincendios. La proximidad a sistemas de
evacuaci�n de emergencia, climatizaci�n y ventilaci�n son tambi�n
interesantes para ubicar la sala de m�quinas. Procure por �ltimo que la
sala sea f�cilmente accesible por m�todos de transporte, como
carretillas y elevadores, y que el/los montacargas, en caso de altura,
no est�n lejos

6. A la hora de mesurar potenciales riesgos, no escatime ninguno. Por
desgracia en su oficina puede pasar de todo. Puede incendiarse,
inundarse o puede ser forzada por v�ndalos. Evite pensar que incidentes
como los acontecidos en el edificio Windsor o los sufridos por multitud
de ISPs en Nueva Orleans (v�ase el caso Directnic) con el hurac�n
Katrina son imposibles en su ubicaci�n. Cualquier da�o que pueda
imaginar por cualquier causa imaginable es una fuente de riesgo ante la
recuperaci�n. Obviamente, corresponde al gestor de seguridad balancear
probabilidades y asignar pesos y probabilidades. Es obvio que el impacto
de un avi�n en un edificio de oficinas no es igual de probable (por
fortuna) que la rotura de una ca�er�a, ni tampoco es probable que si
ubica un ISP en un lugar con fuerte desertizaci�n acabe con problemas de
humedades, pero de entrada no descarte absolutamente nada.

7. Comunique las acciones a tomar para todos los posibles incidentes. No
sirve de nada tener los planes guardados en un caj�n, y no sirve de nada
un plan que no sea conocido por todos los estamentos implicados. La
recuperaci�n ante incidentes es un trabajo en equipo y es absolutamente
necesario que todos los elementos de la cadena est�n perfectamente
documentados sobre las tareas a realizar en cada caso.

8. La recuperaci�n requiere obligatoriamente que el personal implicado
en todas y cada una de las fases conozca todas las metodolog�as y
tecnolog�as disponibles para tales efectos. Es un campo donde la
formaci�n continua de los asalariados es una garant�a de �xito. Muchas
veces el material de estudio de este tipo de sistemas est� en lengua
for�nea. Debe tenerse la m�nima formaci�n por parte de todos para
comprender estos t�rminos for�neos, en lengua inglesa principalmente,
por ejemplo, para interpretar correctamente referencias en un memorando
o email sobre BC/DR para hacer alusi�n al Business Continuity / Disaster?
Recovery (Continuidad del negocio/Recuperaci�n ante el desastre)

9. Si sus recursos se lo permiten, ejecute de vez en cuando simulacros.
Los simulacros que aportan informaci�n �til son aquellos en los que no
se avisa, y donde es factible obtener informaci�n sobre el proceso de
recuperaci�n. Tirar del cable de un servidor en producci�n puede ser una
prueba muy directa para verificar si la rueda de recuperaci�n est� bien
engrasada.

10. Tome todos los datos anteriores, y elabore una posible secuencia
temporal. Pongamos un ejemplo: Si se rompe una tuber�a y se moja un
servidor, puede que la placa madre se queme. Tanto si se quema como si
aparentemente no hay da�os, hay que avisar a cierta persona, cuyo
tel�fono de urgencia es A, cuya responsabilidad es el mantenimiento de
las m�quinas. En caso de quemado, se debe localizar en el almac�n una
placa equivalente, cuyo modelo es B. Si no hay placas en el almac�n,
debemos llamar al proveedor C, el cual est� informado de nuestro
inventario, para proceder a su pronta adquisici�n. Es preciso igualmente
avisar al servicio de mantenimiento del edificio, localizables 24 horas
en el tel�fono D y dar parte de la aver�a. Por �ltimo, el equipo E
levantar� el equipo que ha quedado inutilizado y har� las verificaciones
oportunas que certifiquen que la recuperaci�n es un �xito. La incidencia
la catalogaremos completa y la almacenaremos en nuestro cat�logo de
incidencias, para reutilizaciones futuras. Con todos estos datos, el
gestor de seguridad analizar� lo sucedido y buscar� maneras de optimizar
el procedimiento de recuperaci�n, informando igualmente de las
responsabilidades que deriven del incidente a la alta direcci�n.

Una vez haya unido todas las posibles fuentes de problemas y sus
soluciones, habr� elaborado un plan de recuperaci�n. Priorice las partes
del negocio sujetas a potencial indisponibilidad o ruptura para
ordenarlas en importancia, ya que debe recuperarse primero lo que m�s
rentable o vital sea para la organizaci�n. Esto es lo que hace
indispensable que el plan emane de la alta direcci�n, porque es la alta
direcci�n la que sabe qu� es m�s necesario para mantener la continuidad
y qu� componentes del esquema tienen m�s peso en la rentabilidad global
de la empresa. La alta direcci�n es la �nica cualificada para establecer
este tipo de prioridades, con lo que estos planes deben surgir de los
altos estratos para ser diseminados posteriormente por la organizaci�n,
al igual que se hace con cualquier sistema de gesti�n.

Un plan de recuperaci�n es, a fin de cuentas, un instrumento para
ofrecer respuestas met�dicas, congruentes y fr�as en situaciones
an�rquicas, incongruentes y muy calientes, situaciones en las que a
veces la prioridad es salvar la vida y preocuparse despu�s de qu� ha
pasado con los racks, los monitores y los ordenadores. El ser humano,
humano es, y si tenemos la mala fortuna de estar envueltos en humo, o si
tenemos que salir de la oficina con el agua por las rodillas a causa de
una inundaci�n, lo menos probable es que estemos al 100% para poder
tomar las decisiones adecuadas para la salvaguarda de la continuidad.

Para eso est� el plan de recuperaci�n.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/2740/comentar

M�s informaci�n:

Seis consejos b�sicos para recuperarse frente a contingencias
http://seguridad-de-la-informacion.blogspot.com/2006/04/seis-consejos-bsicos-para-recuperarse.html

Top six steps toward disaster recovery
http://www.computerworld.com/securitytopics/security/recovery/story/0,10801,110604,00.html

Planes de recuperaci�n ante desastres
http://www.hispasec.com/unaaldia/2540

Planes de contingencia y continuidad
http://www.hispasec.com/unaaldia/2278

Sergio Hernando
shernando@hispasec.com

2006-04-26 09:45:02

edited by JuananRuiz

2006-04-26 09:43:55

edited by JuananRuiz

WikiJuanan - Recuperaci�nAnteDesastres

2006-04-26 09:45:15

10 claves para una adecuada recuperaci�n ante desastres

2006-04-26 09:45:02

2006-04-26 09:43:55