28
Jul
2011

Plan de Continuidad del Negocio y Análisis de Impacto

A continuación, quiero presentar un abordaje posible para el Análisis de Impacto en el Negocio (Business Impact Analysis) y la elaboración de Planes de Continuidad del Negocio (BCP):

1. Identificación de los procesos de la organización.

2. Análisis del impacto que tiene la suspensión de cada proceso desde la perspectiva económica, productiva, competitiva, de imagen o reputación, contractual y legal. Determinación de la criticidad de los procesos.

3. Definición del tiempo máximo que es tolerable la suspensión total o parcial de un proceso.

4. Identificación de los recursos físicos, tecnológicos y humanos que involucra cada proceso.

5. Identificación de las amenazas a las que están sujetos estos recursos.

6. Análisis de la probabilidad de ocurrencia de estas amenazas.

7. Análisis del impacto que puede tener la amenaza en los recursos y la no-disponibilidad de los recursos en los procesos. Por ejemplo: if a tornado were to hit and affect 65 percent of the facility, the company could be at risk of losing computing capabilities for up to 72 hours, power supply for up to 24 hours, and a full stop of operations for 76 hours, which would equate to a loss of $125,000 each day. (McGraw – Hill)

8. Desarrollo de planes de continuidad que para cada amenaza, planteen una alternativa para continuar el proceso según las siguientes consideraciones:

  • el proceso se continúa dentro del tiempo máximo tolerable de suspensión,
  • el proceso se continúa independientemente de los recursos afectados, y
  • el riesgo, dado por la probabilidad de ocurrencia de una amenaza y el impacto en los procesos de la organización, es una guía para medir los esfuerzos destinados a la continuidad.
28
Jul
2011

Plan de Continuidad del Negocio: amenazas

Las amenazas que pueden enfrentar los procesos de una organización pueden ser eventos naturales (inundaciones, terremotos, huracanas, descargas eléctricas), eventos causados por el hombre (ataques, fraude, ausencia) o por desperfectos técnicos (fallas en las comunicaciones, fallas en los sistemas).

Cualquiera sea la amenaza, puede causar escenarios como los siguientes en la organización:

  • Mal funcionamiento de los equipos o equipos no disponibles
  • Utilidades no disponibles (HVAC, energía, líneas de comunicación)
  • Instalaciones no disponibles
  • Personal crítico no disponible
  • Vendedores y proveedores de servicios no disponibles
  • Corrupción de software y/o datos

Es de interés para la organización la naturaleza de la amenaza y el impacto que genera en los recursos o activos que dan soporte a los procesos. La naturaleza de la amenaza permite el desarrollo de planes específicos de prevención y recuperación, mientras que el impacto en los recursos permite tomar acciones concretas para lograr la continuidad de las operaciones.

19
Jul
2011

Plan de Continuidad del Negocio (BCP)

Para la construcción de un Plan de Continuidad del Negocio (BCP) debe comprenderse el objetivo principal de la organización: ¿ser rentable vendiendo productos o servicios? ¿brindar servicios de interés público? ¿brindar servicios relacionados a la salud o binestar de las personas? En otras palabras, ¿qué buscamos estando preparados para continuar las operaciones en el caso de un acontecimiento inesperado?

Es importante en este sentido que la alta gerencia comprenda los objetivos, alcance y beneficios de la continuidad del negocio. Debe realizarse una declaración a nivel de las políticas de la organización donde se establezcan los lineamientos generales y el marco de trabajo para las actividades que engloba. Es indispensable el apoyo de la dirección de la organización, la asignación de recursos humanos calificados, la planificación y el presupuesto.


Leer el resto del artículo »

10
Feb
2011

Principios de la seguridad en el desarrollo de aplicaciones

A continuación resumo los principios de la seguridad basados en el libro Writing Secure Code de Howard and LeBlanc’s y recogidos en la OWASP 2.0.1:

  • Minimizar la superficie de ataque – cuantas más funciones tenga una aplicación y más usuarios puedan acceder a ellas, mayores son los riesgos de introducir vulnerabilidades. Lo ideal es limitar la funcionalidad al mínimo necesario y restringir el acceso. Por ejemplo, no permitir que usuarios deslogueados puedan utilizar el formulario de búsqueda dentro de un sitio web;
  • Opciones seguras por defecto – las opciones que vienen configuradas por defecto en la aplicación deberían permitir una operación suficientemente segura. Es responsabilidad del usuario si desea asumir riesgos extra;
  • Principio del menor privilegio – los usuarios deberían tener los menores privilegios posibles que le habiliten a realizar las tareas que deben realizar;
  • Principio de defensa en profundidad – la seguridad debería lograrse con la suma de múltiples capas o controles que contemplen diferentes enfoques del riesgo;
  • Fallar seguramente – ante la posibilidad de un fallo del programa, deben tomarse precauciones para quedar en un estado consistente desde la perspectiva de la seguridad y no revelar información que pueda servir a un atacante;


Leer el resto del artículo »

9
Feb
2011

Seguridad en aplicaciones: STRIDE y DREAD

La selección de controles en el desarrollo de software deberían basarse en un enfoque de riesgos.

El método STRIDE sugiere evaluar los siguientes aspectos en la aplicación:

  • Spoofing identity – los usuarios no deberían en ningún momento ingresar como otro usuario o pasar por ellos luego;
  • Tampering of data – los usuarios pueden modificar los datos que le son enviados a través de los parámetros GET, POST, HTTP Headers, etc. Deben tomarse precauciones con los datos recibidos para verificar si son aplicables y evitar la validación por el lado del cliente;
  • Repudiation – deben generarse suficiente información de auditoría para trazar las acciones de los usuarios de manera que no puedan repudiarlas y asuman plena responsabilidad sobre ellas;
  • Information disclousure – deben protegerse a nivel de aplicación las posibles fugas de información, por ejemplo por navegadores que no aceptan las directivas de no-caché en los HTTP Headers;
  • Denial of service – las aplicaciones deben protegerse contra denegaciones de servicio causadas por ejemplo por el envío de archivos de gran tamaño o múltiples consultas a los servicios que proveen;
  • Escalation of privileges – las aplicaciones deben asegurarse que los usuarios no puedan elevar el nivel de permisos que tienen asignado conviertiéndose por ejemplo en administradores.


Leer el resto del artículo »

5
Feb
2011

Principios y criterios para los Servicios de Confianza

Foundation for Trust Services—Trust Services Principles and Criteria

.10 The following principles and related criteria have been developed by the AICPA and the Canadian Institute of Chartered Accountants (CICA) for use by practitioners in the performance of trust services engagements:4

  • Security. The system is protected against unauthorized access (both physical and logical).
  • Availability. The system is available for operation and use as committed or agreed.
  • Processing integrity. System processing is complete, accurate, timely, and authorized.
  • Confidentiality. Information designated as confidential is protected as committed or agreed.
  • Privacy. Personal information5 is collected, used, retained, disclosed, and destroyed in conformity with the commitments in the entity’s privacy notice and with criteria set forth in generally accepted privacy principles (GAPP) issued by the AICPA and CICA (found in appendix D [paragraph .48]).


Leer el resto del artículo »