Anlisis y gestin de riesgos basados en ISO31000 y su integracin con planes de continuidad de negocio

basados en ISO 22301.

Herramientas GlobalRISK y GlobalContinuity
Alejandro Delgado, Director de Proyectos

ISO 22301 ha sido publicada

ISO 22301: Estndar Internacional para BCM.

Antigua BS 25999 para la implantacin de planes de continuidad de

negocio, ahora convertido en estndar internacional.

Se estandariza a nivel internacional cmo montar un sistema de

gestin de continuidad de negocio.

Marco de referencia en continuidad de negocio para todas las organizaciones que quieran acometer este tipo de proyectos.

Dice qu tenemos que hacer, pero NO DICE CMO HACERLO.

ISO 22301, ISO 31000 y la gestin de riesgos

ISO 31000: Gestin de Riesgos.

Estndar internacional, publicado en 2009 y traducido en 2010, para

analizar y gestionar riesgos.

Establece principios para que el proceso de gestin del riesgo sea

un proceso eficaz.
Se adapta a cualquier tipo de organizacin. Es vlida para cualquier tipo de riesgo:

Legales.
Operacionales. Financieros.

Etc.

Contextualizando

La ocurrencia de incidentes, en la mayora de los casos, deriva en

prdida de operatividad, lo cual es directamente traducible a costes. Por qu ocurren los incidentes? -> Por RIESGOS mal gestionados.

ISO 22301, ISO 31000 y la gestin de riesgos

ISO 31000 & ISO 22301.

Uno de los principales cambios de ISO 22301: mayor importancia a la

fase de anlisis y gestin de riesgos:

Recomienda el uso de ISO 31000 para todo el proceso de gestin

del riesgo.
Los riesgos deben ser parte del origen de los escenarios de desastre a contemplar.

No slo RIESGOS TIC.

ISO 22301, ISO 31000 y la gestin de riesgos

ISO 31000 & ISO 22301.

Tienen ms puntos en comn, que deben ser aprovechados en uno u

otro sentido:
Hablan de que los riesgos y la continuidad de negocio pueden y

deben afectar a toda la organizacin, a todas sus reas y niveles,

en todo momento, y a todas sus actividades y productos.

Al igual que ha hecho ISO 22301, el resto de normas que incluyan un

proceso de anlisis y gestin de riesgo irn haciendo mencin a ISO 31000 en sus revisiones futuras.

ISO 22301, ISO 31000 y la gestin de riesgos

Proceso de gestin del riesgo

ISO 22301, ISO 31000 y la gestin de riesgos

ISO 31000 & ISO 22301 & PDCA

Contexto legal y normativo

Por qu hablar de continuidad y riesgos?

Gran multitud de normas relacionadas con continuidad: BS 25999: norma de referencia en continuidad de negocio hasta la publicacin de ISO 22301.

UNE 71599: normas espaola de continuidad de negocio:

traduccin de la BS 25999. BS 25777: buenas prcticas en continuidad TIC.

ISO 27031: directrices para la preparacin de las TIC para la

continuidad de negocio. ISO 27001 e ISO 20000 tienen requisitos de continuidad.

Contexto legal y normativo

Por qu hablar de continuidad y riesgos?

Desde el punto de vista legal tambin tenemos diversas referencias a la

continuidad de negocio:
Esquema Nacional de Seguridad: obliga a las AAPP con servicios

de administracin electrnica a adoptar diferentes medidas de

continuidad de negocio, en funcin de los datos manejados. Ley de Proteccin de Infraestructuras Crticas: obliga a aquellas

organizaciones (pblicas o privadas) que hayan sido catalogadas

como crticas a adoptar planes de continuidad de negocio y de gestin de la crisis.

PCI-DSS obliga a tener planes de continuidad de negocio y

recuperacin ante desastres.

Contexto legal y normativo

Por qu hablar de continuidad y riesgos?

Para gestin del riesgo tambin hay regulaciones especficas para el

sector de BANCA Y SEGUROS:

Basilea III.

Solvencia 2.
Regulaciones sectoriales. Regulaciones propias de cada pas.

Etc.
Todas ellas obligan a realizar una gestin del riesgo eficaz.

Factores Crticos de xito en BCPs y GRs

Duda Habitual en la parte organizativa
Cundo hacer el anlisis de riesgos?, antes o despus del BIA?

BIA

AGR

AGR

BIA

Desarrollo planes

Desarrollo planes

Factores Crticos de xito en BCPs y GRs

RECOMENDACIN: partir de un mismo mapa de nuestros procesos y que uno y otro proceso sean colaborativos.

AGR

BIA

Factores Crticos de xito en BCPs y GRs

Cmo relacionar BIA con AGR?

Podemos alimentar el BIA con escenarios de desastre basados en resultados del AGR y con las valoraciones de impacto de cada riesgo. En el AGR podemos valorar el impacto que tiene un incidente usando criterios que hayamos usado previamente en el BIA. LA RELACIN ESTN EN LA VARIABLE IMPACTO, comn en los dos procesos.

Factores Crticos de xito en BCPs y GRs

Hay que automatizar estos procesos!!!!!!!!!!!!

En el ao 2012 no podemos seguir haciendo los anlisis de riesgos o los planes de continuidad de negocio en herramientas ofimticas. Automatizar significa optimizar, y centrar nuestros

esfuerzos en el negocio.

BCPs y SCORECARD

PLANES DE CONTINUIDAD & GESTIN DEL RIESGO & CUADROS DE MANDO INTEGRALES

BCPs , GRs y SCORECARD

OBJETIVOS DE NEGOCIO CSF

Obj. P1

Obj. Cont. Y GR

Obj. P2

INDICADORES

Indicador 1

Indicador 2

Indicador 3

MTRICAS

MtricaA

MtricaB

BCPs, GRs y SCORECARD

Por qu un BSC con un BCP/GR?

Plasmamos el funcionamiento de todo un plan de continuidad de negocio en un cuadro de mando. Qu conseguimos? Medir la eficacia y eficiencia del BCP. Mejorar el BCP. Tener una visin de negocio del BCP. Mayor control. Reporte a direccin. La gestin del riesgo se incluye dentro del ScoreCard al estar incluida dentro del proceso de continuidad de negocio.

Herramientas GlobalSuite

Introduccin

GlobalSuite es la herramienta gracias a la cual podr implantar y mantener cualquier Sistema de

Gestin basado en las normas ISO 27001, ISO 20000, BS 25999/UNE 71599, Esquema Nacional de Seguridad (ENS), Ley de Proteccin de Datos (LOPD), etc. Ahora tambin con los requisitos para ayudar a la implantacin y mantenimiento de SGPICs (Sistemas de Gestin para la Proteccin de

Infraestructuras Crticas).

GlobalSuite permite implantar y gestionar sistemas de gestin ya sea de manera individual as como ampliarlos a otros sistemas de manera integrada. Cumple tambin con el ciclo de gestin

PDCA de otros estndares como ISO 9001, ISO 14001, etc. permitiendo su llevanza de manera
integrada con los anteriores o bien de manera separada.

GlobalSUITE : : Modelado de Procesos de Negocio

GlobalSUITE : : Modelado de rbol de Activos

GlobalSUITE.:. Catlogos de Riesgos

GlobalSUITE.:. Anlisis .:. Gestin de Riesgos

GlobalSUITE.:. Mapas y Reporting de Riesgos

GlobalSUITE . : : . BIA Y CONSOLIDACIN DE BIAs

GlobalSUITE . : : . Plan de Gestin de Incidentes

GlobalSUITE . : : . Plan de Continuidad

GlobalSUITE . : : . Activacin del Plan de Continuidad

Ms informacin

MADRID BARCELONA CIUDAD REAL BOGOT MXICO D.F. 902 056 203 www.audisec.es www.globalsuite.es