Information Risk Management and Compliance Chapter 2

El impacto adverso de un evento relacionado con la seguridad puede describirse en trminos de la prdida o degradacin de cualquiera de las siguientes tres metas de seguridad o de una combinacin de ellas: IntegridadDisponibilidadConfidencialidadAlgunos impactos tangibles (por ejemplo, una prdida de ganancias) pueden medirse en trminos cuantitativos, donde otros (por ejemplo, prdida de la confianza por parte del pblico) no pueden.2.11.4 Valoracin y anlisis de impactosCopyright 2013 ISACA. Todos los derechos reservados.1Pginas de Referencia del Manual de Preparacin al Examen: Pg. 124-125Determinar el RTO puede depender de varios factores:La necesidad cclica (diaria, semanal, mensual o anual) de la informacin y la organizacin.Las interdependencias entre la informacin y los requerimientos de la organizacin.El costo de las opciones disponibles.2.12 Tiempo objetivo de recuperacin

Copyright 2013 ISACA. Todos los derechos reservados.2Directivas para el Instructor: Subrayar el hecho de que tpicamente las actividades que tienen que ver con servicio al cliente en la operacin son una parte importante en la determinacin de los RTOs.

Contenidos a Enfatizar: La determinacin de un RTO puede depender de un nmero de factores incluyendo la necesidad cclica (hora, semana, mes o ao) de la informacin y la organizacin, interdependencias de la informacin y los requisitos de la organizacin.

Pginas de Referencia del Manual de Preparacin al Examen: Pg. 126

Los requerimientos de la organizacin pueden estar basados en:Necesidades de los clientes.Obligaciones contractuales.Acuerdos de niveles de servicio.Requerimientos regulatorios.2.12 Tiempo objetivo de recuperacin

Copyright 2013 ISACA. Todos los derechos reservados.3Directivas para el Instructor:

Contenidos a Enfatizar:Los requerimientos de la organizacin se basan en las necesidades del cliente, los acuerdos de niveles de servicio o SLAs y, posiblemente, los requerimientos regulatorios. El gerente de seguridad de la informacin debe considerar que el RTO puede variar dependiendo del momento del mes o ao. La informacin financiera podra no ser tan crtica al inicio del mes cuando acaba de comenzar un nuevo mes fiscal. Esta misma informacin ser altamente crtica al final del mes cuando se estn preparando los informes financieros mensuales y se est cerrando el perodo contable. Ser necesario tener en cuenta el momento especfico en que ocurren los ciclos de negocio y su dependencia de la informacin como parte de la clasificacin de informacin.

Pginas de Referencia del Manual de Preparacin al Examen: Pg. 126

A menudo se tienen dos perspectivas para el RTO, que el Gerente de Seguridad de Informacin debe considerar:La de las personas cuyo trabajo es utilizar la informacin.La de la Alta Direccin, la cual considera los costos y probablemente decida entre las unidades de negocio que compiten por los recursos.2.12 Tiempo objetivo de recuperacin

Copyright 2013 ISACA. Todos los derechos reservados.4Directivas para el Instructor:

Contenidos a Enfatizar:Con el proceso de evaluacin de riesgo el gerente de seguridad de informacin ha determinado la criticidad de los varios recursos de informacin. Ahora un RTO debe ser incluido para cada fragmento de informacin. A menudo, se tienen dos perspectivas para el RTO. Una es la perspectiva del individuo cuyo trabajo es utilizar la informacin, y la otra es la opinin de la alta direccin. Un recurso de informacin que un supervisor divisional puede creer es crtico, puede no ser crtico a los ojos del gerente de operaciones, quien puede incluir el riesgo de organizacin total en la evaluacin de RTO. El gerente de seguridad de informacin debe entender que ambas perspectivas son importantes y trabajar hacia un RTO que considere ambas perspectivas.

Pginas de Referencia del Manual de Preparacin al Examen: Pg. 126

2.12.1 El RTO y su relacin con losobjetivos y procesos de los Planes de Continuidad del Negocio y de ContingenciaLos RTOs son necesarios para identificar y desarrollar estrategias de contingencia.Generalmente, RTOs ms cortos requieren procedimientos de contingencia ms costosos.Existe un punto de equilibrio del tiempo para determinar el RTO, en el que el impacto que tiene una interrupcin comienza a ser mayor que el costo de la recuperacin.La mayora de las organizaciones pueden reducir sus RTO; no obstante, existe un costo relacionado con dicha reduccin.Copyright 2013 ISACA. Todos los derechos reservados.5Contenidos a Enfatizar: Es necesario que una organizacin conozca el RTO para los recursos de informacin a fin de que desarrolle e implemente un plan de continuidad del negocio efectivo (BCP). Una vez determinados los RTO, la organizacin puede identificar y desarrollar estrategias de contingencia que permitan alcanzar los RTO de los recursos de informacin. Una vez que se conoce el RTOs, la organizacin puede identificar y desarrollar las estrategias de la contingencia que reunirn el RTOs de los recursos de informacin.

Un factor crtico cuando se desarrollan los procesos de contingencia es el costo. Los dueos de los sistemas invariablemente prefieren los RTO que son ms cortos; sin embargo, el equilibrio en los costos puede no estar asegurado. Es posible lograr una recuperacin casi instantnea, cuando se necesita, mediante el uso de tecnologas como la rplica de datos en espejo (mirroring) de los recursos de informacin y la duplicacin de la informacin, de tal forma que, en caso de una interrupcin, los recursos de informacin siempre estn disponibles casi de inmediato. El costo de la recuperacin, por lo tanto, es generalmente menos costoso si el RTO para un recurso dado es ms largo.

Existe un punto de equilibrio del tiempo para determinar el RTO, en el que el impacto que tiene una interrupcin comienza a ser mayor que el costo de la recuperacin. La duracin depende de la naturaleza de la interrupcin del negocio y los recursos afectados. Deben tenerse en cuenta los temas tanto cualitativos como cuantitativos, ya que perder la confianza del cliente, aun si no puede calcularse, puede tener un impacto negativo a largo plazo para la organizacin. La mayora de las organizaciones pueden reducir sus RTOs, pero hay un costo asociado a alcanzar este objetivo.

Pginas de Referencia del Manual de Preparacin al Examen: Pg. 126.

2.12.1 El RTO y su relacin con losobjetivos y procesos de los Planes de Continuidad del Negocio y de ContingenciaEs necesario que una organizacin conozca el RTO para los recursos de informacin a fin de que desarrolle e implemente un plan de continuidad del negocio efectivo (BCP). Una vez determinados los RTO, la organizacin puede identificar y desarrollar estrategias de contingencia que permitan alcanzar los RTO de los recursos de informacin. Una vez que se conoce el RTOs, la organizacin puede identificar y desarrollar las estrategias de la contingencia que reunirn el RTOs de los recursos de informacin.

Un factor crtico cuando se desarrollan los procesos de contingencia es el costo. Los dueos de los sistemas invariablemente prefieren los RTO que son ms cortos; sin embargo, el equilibrio en los costos puede no estar asegurado. Es posible lograr una recuperacin casi instantnea, cuando se necesita, mediante el uso de tecnologas como la rplica de datos en espejo (mirroring) de los recursos de informacin y la duplicacin de la informacin, de tal forma que, en caso de una interrupcin, los recursos de informacin siempre estn disponibles casi de inmediato. El costo de la recuperacin, por lo tanto, es generalmente menos costoso si el RTO para un recurso dado es ms largo.

Copyright 2013 ISACA. Todos los derechos reservados.6Contenidos a Enfatizar: Es necesario que una organizacin conozca el RTO para los recursos de informacin a fin de que desarrolle e implemente un plan de continuidad del negocio efectivo (BCP). Una vez determinados los RTO, la organizacin puede identificar y desarrollar estrategias de contingencia que permitan alcanzar los RTO de los recursos de informacin. Una vez que se conoce el RTOs, la organizacin puede identificar y desarrollar las estrategias de la contingencia que reunirn el RTOs de los recursos de informacin.

Un factor crtico cuando se desarrollan los procesos de contingencia es el costo. Los dueos de los sistemas invariablemente prefieren los RTO que son ms cortos; sin embargo, el equilibrio en los costos puede no estar asegurado. Es posible lograr una recuperacin casi instantnea, cuando se necesita, mediante el uso de tecnologas como la rplica de datos en espejo (mirroring) de los recursos de informacin y la duplicacin de la informacin, de tal forma que, en caso de una interrupcin, los recursos de informacin siempre estn disponibles casi de inmediato. El costo de la recuperacin, por lo tanto, es generalmente menos costoso si el RTO para un recurso dado es ms largo.

Existe un punto de equilibrio del tiempo para determinar el RTO, en el que el impacto que tiene una interrupcin comienza a ser mayor que el costo de la recuperacin. La duracin depende de la naturaleza de la interrupcin del negocio y los recursos afectados. Deben tenerse en cuenta los temas tanto cualitativos como cuantitativos, ya que perder la confianza del cliente, aun si no puede calcularse, puede tener un impacto negativo a largo plazo para la organizacin. La mayora de las organizaciones pueden reducir sus RTOs, pero hay un costo asociado a alcanzar este objetivo.

Pginas de Referencia del Manual de Preparacin al Examen: Pg. 126.

2.12.1 El RTO y su relacin con losobjetivos y procesos de los Planes de Continuidad del Negocio y de ContingenciaExiste un punto de equilibrio del tiempo para determinar el RTO, en el que el impacto que tiene una interrupcin comienza a ser mayor que el costo de la recuperacin. La duracin depende de la naturaleza de la interrupcin del negocio y los recursos afectados. Deben tenerse en cuenta los temas tanto cualitativos como cuantitativos, ya que perder la confianza del cliente, aun si no puede calcularse, puede tener un impacto negativo a largo plazo para la organizacin. La mayora de las organizaciones pueden reducir sus RTOs, pero hay un costo asociado a alcanzar este objetivo.Copyright 2013 ISACA. Todos los derechos reservados.7Contenidos a Enfatizar: Es necesario que una organizacin conozca el RTO para los recursos de informacin a fin de que desarrolle e implemente un plan de continuidad del negocio efectivo (BCP). Una vez determinados los RTO, la organizacin puede identificar y desarrollar estrategias de contingencia que permitan alcanzar los RTO de los recursos de informacin. Una vez que se conoce el RTOs, la organizacin puede identificar y desarrollar las estrategias de la contingencia que reunirn el RTOs de los recursos de informacin.

Un factor crtico cuando se desarrollan los procesos de contingencia es el costo. Los dueos de los sistemas invariablemente prefieren los RTO que son ms cortos; sin embargo, el equilibrio en los costos puede no estar asegurado. Es posible lograr una recuperacin casi instantnea, cuando se necesita, mediante el uso de tecnologas como la rplica de datos en espejo (mirroring) de los recursos de informacin y la duplicacin de la informacin, de tal forma que, en caso de una interrupcin, los recursos de informacin siempre estn disponibles casi de inmediato. El costo de la recuperacin, por lo tanto, es generalmente menos costoso si el RTO para un recurso dado es ms largo.

Existe un punto de equilibrio del tiempo para determinar el RTO, en el que el impacto que tiene una interrupcin comienza a ser mayor que el costo de la recuperacin. La duracin depende de la naturaleza de la interrupcin del negocio y los recursos afectados. Deben tenerse en cuenta los temas tanto cualitativos como cuantitativos, ya que perder la confianza del cliente, aun si no puede calcularse, puede tener un impacto negativo a largo plazo para la organizacin. La mayora de las organizaciones pueden reducir sus RTOs, pero hay un costo asociado a alcanzar este objetivo.

Pginas de Referencia del Manual de Preparacin al Examen: Pg. 126.

2.12.2 Punto objetivo de recuperacinSe determina en base a la prdida aceptable de datos en caso de una interrupcin de las operaciones.RPO tendr un efecto en el logro de RTOs cortos.Copyright 2013 ISACA. Todos los derechos reservados.Pg. 126-12782.12.3 Objetivos de la prestacin de servicios (SDO)El nivel mnimo de servicio que se debe restaurar despus de un evento para cumplir con los requerimientos del negocio, hasta que se reinicien las operaciones normales.Los SDO afectarn los RTO y RPO, y deben considerarse para la estrategia de gestin de riesgos.Los niveles ms altos de servicios generalmente requerirn mayores recursos y RPOs ms actuales.Copyright 2013 ISACA. Todos los derechos reservados.Pg. 12792.12.4 Proveedores de servicios externosEn los acuerdos de tercerizacin (outsourcing) el Gerente de Seguridad de la Informacin debe asegurar:Que se realice una evaluacin de riesgos para el proceso que se externalizar.Que se realice un nivel adecuado de diligencia debida antes de firmar el contrato.Que existan clusulas adecuadas de gestin de riesgos de la informacin en el contrato de externalizacin.Que la organizacin tenga los controles y procesos adecuados para facilitar la externalizacin.Gestin diaria de los riesgos de informacin en procesos externalizados. Que se sealen los cambios materiales a la relacin y se realicen nuevas evaluaciones de riesgos si es necesario.Que se sigan procesos adecuados cuando las relaciones finalizan.

Copyright 2013 ISACA. Todos los derechos reservados.10Directivas para el Instructor:

Pginas de Referencia del Manual de Preparacin al Examen: Pgs. 127