(Por Rubén Borlenghi) La convocatoria era interesante, y más aún la oportunidad de escuchar opiniones muy calificadas sobre temas que hacen a los sustos cotidianos de los gerentes de IT. Así que saludé al ing. Oscar Schmitz, director de CXO Community, y me acomodé en el salón del cuarto subsuelo de la UCEMA.
La Jornada fue organizada por CXO Community, Dixit Comunicaciones y la Universidad del CEMA. Luego de una muy breve presentación a cargo de la directora académica de la jornada y directora editorial de la revista CXO, Claudia Diego, arrancó con la primera presentación, “Planificación de la Disponibilidad y Continuidad del Negocio. Normativa BS25999” que estuvo a cargo de Gabriel Marcos, Product Manager Datacenter, Security & Outsourcing de Global Crossing, y de Maximiliano Canosa (Partner & Lead Auditor para Latinoamérica del BSI – British Standard Institution). Entre la cantidad de datos aportada por Canosa estuvo una estadística de esas que son muy útiles a la hora de defender los gastos del departamento de IT: pérdida calculada (promedio) por hora, al no poder trabajar porque el sistema no funciona a causa de un desastre mayor: 2,8 millones de dólares, en el caso de las empresas de tarjetas de crédito.
Si la que tuvo el problema es una empresa de venta telefónica por catálogo (el “llame ya”), suponen una pérdida de 118 mil dólares (por hora, te recuerdo) y si es una compañía que vende pasajes aéreos, son 89.000 dólares perdidos en el mismo tiempo. ¿Te alcanza como argumento? Eso sí, después de escuchar a los oradores, quedó muy claro que el problema puede invertirse, si eso sucede porque quien estaba a cargo del tema no siguió la normativa.
En resumen, se expuso muy claramente cómo analizar el impacto producido por la pérdida de disponibilidad, cómo se planifica la recuperación de desastres y cómo identificar las vulnerabilidades.
La segunda exposición estuvo a cargo de Adrián Amigo, gerente de Ingeniería y Servicios de SIDIF (empresa que era uno de los sponsors, junto con Global Crossing, Intel y Lightech) El tema fue “Plan de Continuidad de Negocio: Herramientas para mitigar los riesgos en la planificación y ejecución”.
Luego de definir parte de la terminología de Business Continuity Management, el expositor detalló los pasos necesarios para poner en marcha el “team BCM” encargado de obtener la información necesaria, analizarla, construir el plan de continuidad, distribuirlo y difundirlo, probarlo y comprobar su eficacia, y finalmente mantenerlo haciendo las modificaciones necesarias al desarrollo de la empresa. Y claro, volvió una y otra vez sobre el tema de la documentación, que debe ser adecuada, actualizada, precisa. Esperemos que el centenar de asistentes (aprox) además de asentir, lo practiquen.
El negocio, la gripe y la supervivencia
Luego del un brevísimo descanso con rumbo al café y las medialunas (la reunión venía ligeramente atrasada) llegó el turno de “Continuidad del Negocio y Gripe A – H1N1”, a cargo de Claudia Minzi, BCM Service Manager, Security & Privacy Services de Deloitte. Comenzó mostrando qué poco se preocupan las grandes corporaciones por tener planes de contingencia; en 2007, por ejemplo, un 17% de las empresas norteamericanas de primera línea no tenían un BCP, y en 2008, el 20% de las empresas de tecnología (¡justamente!) tiene plan pero no lo ponen a prueba.
También mostró qué valor tiene planificar, en el caso de enfrentar como empresa la aparición de un incidente tan grave, que impacta específicamente sobre el personal; y marcó que al planificar se protege a ese activo (el personal), a la imagen de la empresa y se disminuyen pérdidas. También señaló que al planificar, la compañía se alinea con las regulaciones, se puede negociar una rebaja en los seguros demostrando cómo se planifica, y se puede hacer una oportuna capacitación cruzada a fin de poder sustituir personal enfermo manteniendo las operaciones.
El cuarto orador fue el ingeniero Juan Ignacio Trentalance, perteneciente a la consultora Porto, Trentalance, Antúnez y Asociados, que presentó a la audiencia un “Kit de supervivencia de BCM – Por dónde empezar”. De una manera dinámica y muy clara, el Ing. Trentalance detalló cómo poner en marcha los componentes mínimos de un programa de gerenciamiento de continuidad del negocio (BCM), cómo documentar el plan, especificando los procedimientos operativos, y como realizar pruebas a fin de asegurarse de que la continuidad sea factible.
Tranquilizó mi alma al mencionar que el plan debería estar impreso, y agrego este comentario porque un orador anterior había opinado que se podía poner la documentación en una intranet de la empresa, lo cual me dio un poco de frío en la espalda. Es medio difícil leer el pan de acción frente a incidentes sacándolo de la intranet, si el servidor se colgó o el centro de cómputos está inundado… Cuando esta presentación se publique en la web de CXO, se las recomiendo especialmente a los colegas admin de PyMEs.
La presentación que cerró la Jornada fue “Caso Destacado: Gestión de Crisis en un contexto de Secuestro Extorsivo”, y estuvo a cargo de Walter Bernal, Especialista en Riesgo Empresarial en FK & Asociados. Este especialista, que además de prestar servicios en la División Antisecuestro de Policía Federal ha sido entrenado en el FBI, detalló las características de este tipo de delito, mostró comportamientos y metodologías de los delincuentes, y explicó cómo trabaja el personal policial especializado a fin de obtener la liberación del rehén y la captura de los delincuentes.
Como verán, estas jornadas contaron con disertantes muy bien calificados, y no se trató especialmente el tema de las pérdidas de información por acción de delincuentes informáticos (sean los mal llamados hackers o algún empleado descontento), sino la continuidad del negocio.
Porque no sólo de inseguridad informática malintencionada vive el hombre, los datos también pueden desaparecer por una inundación, incendio, o por guardar las cintas de backup en un armario donde había un poderoso imán (y entonces, el backup se borraba automáticamente al guardarlo). Esa anécdota la contó el ing. Trentalance.