Webinar iso22301 mario ureña (conferencia drj julio 2012)

Introducción al nuevo estándar de continuidad del
negocio BS ISO 22301

Presentado por:
Mario Ureña Cuate
CISSP, CISA, CISM, CGEIT
Auditor Líder BS25999, ISO 22301

Evento Organizado por:

Copyright © 2012 BSI. All rights reserved. 01/08/2012


Agenda

- Generalidades
- Principales definiciones
- Componentes del SGCN
- Principales diferencias con BS 25999
- Certificación
- Siguientes pasos

Copyright © 2012 BSI. All rights reserved. 01/08/2012 2


Generalidades

• ¿Qué es ISO 22301?

• Provee los requerimientos para un Sistema de Gestión de la Continuidad del Negocio
(BCMS)

• Basado en una BCM global de mejores prácticas

• Creado en respuesta al fuerte interés en la Norma Británica original, BS 25999-2 y otros
estándares regionales

• BS 25999-2 texto original clave para su desarrollo

• Para aquellos certificados o alineados a BS 25999-2, los requerimientos adicionales no
son onerosos

• Compatible con otros estándares y buenas prácticas



Generalidades

• BS ISO 22301:2012 - Societal security. Business continuity management systems. Requirements

• Puede ser utilizado por organizaciones:

• … de cualquier tamaño.
• … en el sector público y privado.
• … de manufactura o servicio.
• … en cualquier sector de la industria.
• Financiero
• Mercado de valores
• Telecomunicaciones
• Manufactura
• Entretenimiento
• Educación
• Hospitalario
• Retail
• Consultoría
• Entre otros.



Generalidades

• Comité técnico 223

• Alcance:

• (Provisional) Estandarización internacional en el área de seguridad social, orientada a incrementar la
gestión de crisis y las capacidades de continuidad del negocio, por ejemplo, a través de
interoperabilidad técnica, humana, organizacional y funcional, así como concientización situacional
compartida, entre todas las partes interesadas.

• El comité utilizará un enfoque de “todos los riesgos” cubriendo todas las actividades necesarias en en
las fases clave de la gestión de crisis y continuidad del negocio.



Generalidades

• Resiliencia en las organizaciones y en la sociedad.

• “En los últimos doce meses, 81% de directores que han implementado Gestión de Continuidad del
Negocio están de acuerdo en que se han reducido exitosamente sus interrupciones y el costo ha valido
la pena por los beneficios a la organización”.

Fuente: “Planning for the worst” – CMI Business Continuity Management Survey, March 2012



Generalidades

• Beneficios de un Sistema de Gestión de Continuidad del Negocio:

• Continuidad en la provisión de productos y servicios fundamentales
• Cumplimiento regulatorio, legal y contractual
• Disminución en los costos de polizas de seguros
• Diferencia sobre competidores
• Cumplimiento con requisitos en licitaciones
• Participación en mercados internacionales



Generalidades – Adopción de BS 25999 por industria



Generalidades - Evolución



Generalidades – Estándares relacionados

Retirado

Vigente

Próximamente



Principales definiciones

• Actividad.- Proceso o conjunto de procesos realizados por una organización (o en su
nombre) que produce o soporta uno o mas productos y servicios.

• Continuidad del negocio.- Capacidad de una organización para continuar la entrega de
productos o servicios en niveles aceptables predefinidos después de que ocurre un
incidente de interrupción.

• Gestión de Continuidad del Negocio.- Proceso de gestión holístico que identifica amenazas
potenciales para una organización y los impactos a las operaciones del negocio, que esas
amenazas pudieras causar en caso de materializarse y que provee un marco de referencia
para crear resiliencia organizacional con la capacidad de una respuesta efectiva que
salvaguarde los intereses de sus principales partes interesadas, reputación, marca y
actividades que generar valor.

• Sistema de Gestión de Continuidad del Negocio.- Parte del Sistema de Gestión general
que establece, implementa, opera, monitorea, revisa, mantiene y mejora la continuidad
del negocio.



Principales definiciones

• Business Impact Analysis (BIA).- Análisis de Impacto al Negocio. Proceso de analizar
actividades y el efecto que una interrupción puede tener sobre ellas.

• Evaluación de Riesgos.- Proceso general de identificación, análisis y evaluación de riesgos.

• Incidente.- Situación que puede ser o derivar en una interrupción, pérdida, emergencia o
crisis.

• Pruebas.- Procedimiento para evaluar.
(En nuestro caso los arreglos de continuidad).

• Ejercicio.- Proceso para entrenar, evaluar, practicar,
y mejorar el desempeño de una organización.



Principales definiciones (Acrónimos)

• BCP.- Business Continuity Plan

• RTO.- Recovery Time Objective

• RPO.- Recovery Point Objective

• MAO.- Maximum acceptable outage

• MTPD.- Maximum tolerable period of disruption

• MBCO.- Minimum Business Continuity Objective



Componentes del SGCN

• Como otros Sistemas de Gestión, tiene los siguientes componentes:

a) Política

b) Personas con responsabilidades definidas

c) Procesos de gestión relativos a:
1. Política

2. Planeación

3. Implementación y operación

4. Evaluación del desempeño

5. Revisión de la gerencia

6. Mejora

d) Documentación que provee evidencia auditable

e) Cualquier proceso de gestión de continuidad del negocio relevante para la organización




BS 25999 -2

1 - Alcance
2 - Términos y definiciones
3 - Planear el SGCN
4 - Implementar y operar el SGCN
5 - Monitorear y revisar el SGCN
6 - Mantener y mejorar el SGCN




BS 25999 -2

1 - Alcance
2 - Términos y definiciones
P 3 - Planear el SGCN
D 4 - Implementar y operar el SGCN
C 5 - Monitorear y revisar el SGCN
A 6 - Mantener y mejorar el SGCN




BS 25999 -2 ISO 22301

1 - Alcance 1 - Alcance
2 - Referencias normativas
2 - Términos y definiciones 3 - Términos y definiciones
3 - Planear el SGCN 4 - Contexto de la organización
P 5 - Liderazgo
6 - Planeación
7 - Soporte
D 4 - Implementar y operar el SGCN 8 - Operación
C 5 - Monitorear y revisar el SGCN 9 - Evaluación del desempeño
A 6 - Mantener y mejorar el SGCN 10 - Mejora




• Cláusula 4 – Contexto de la organización

• Consideración del contexto interno y externo

• Necesidades, requerimientos y alcance

• Apetito del riesgo, requerimientos legales y regulatorios

• Igualmente importantes son las inclusiones / exclusiones

• Comunicación clara del alcance a partes internas y externas




• Cláusula 5 – Liderazgo

• Resumen de los requerimientos específicos del rol de la alta gerencia

• Establecimiento de política

• Nuevos requerimientos para demostrar compromiso

• Designación de responsable del SGCN

SGCN




• Cláusula 6 – Planeación

• Establecer objetivos estratégicos

• Determinar responsables para el cumplimiento de objetivos

• Determinar riesgos y oportunidades

• Tareas a realizar y tiempos

• Como se evaluarán los resultados




• Cláusula 7 – Soporte

• No especifíca el requerimiento de análisis de necesidades de entrenamiento

• Mayor énfasis en concientización

• Mayor énfasis en comunicación

• Mas específico en requerimientos de control documental, sin embargo, mas abierto en
documentos mínimos




• Cláusula 8 – Operación

• Requerimientos extendidos en estructura de respuesta a incidentes

• Planes de continuidad del negocio tienen menos requerimientos que en BS 25999-2

• Recuperación como un requerimiento totalmente nuevo

• No requiere un programa de ejercicios aprobado




• Cláusula 8.2.1 – Nota

• There are various methodologies for business impact analysis and risk
assessment which will determine the order in which these will be conducted.

Análisis de
Evaluación de
Impacto al
Riesgos
Negocio




• Cláusula 9 – Evaluación del desempeño

• Monitoreo, medición, análisis y evaluación

• Auditoría interna

• Revisión de la gerencia

• Comunicar los resultados de la revisión de la gerencia a partes interesadas relevantes

• Las entradas de las partes interesadas y los resultados de programas de concientización y
entrenamiento no se consideran como entradas de la revisión




• Cláusula 10 – Mejora

• Se combinan las cláusulas de acciones correctivas y preventivas en una sola



Principales diferencias con BS 25999 - Adiciones

Contexto de la organización
(Context of the organization)

Explicación:

Ambiente en el que opera la organización




Partes interesadas
(Interested parties)

Explicación:

Sustituye a “Stakeholders”




Liderazgo
(Leadership)

Explicación:

Requerimientos específicos para
la alta gerencia




MAO
(Maximum Acceptable Outage)

Explicación:

Tiempo en el que impactos adversos se
convierten en “inaceptables”




MBCO
(Minimum Business Continuity Objective)

Explicación:

Nivel mínimo de servicios y/o productos que
es aceptable para la organización para lograr
sus objetivos de negocio durante una
interrupción




Evaluación del desempeño
(Performance evaluation)

Explicación:

Cubre la medición de la efectividad del
SGCN y la GCN




Periodos de tiempo priorizados
(Prioritized timeframes)

Explicación:

Orden y tiempo de recuperación para
actividades críticas




Alerta y comunicación
(Warning and communication)

Explicación:

Actividades a realizar durante un incidente



Certificación



Certificación

• Seleccionar estándar
• Establecer contacto con BSI
• Conocer al equipo de evaluación
• Considerar entrenamiento
• Revisión y evaluación
• Certificación



Certificación

Transición de BS 25999 a ISO 22301

• ISO 22301 sustituye a BS 25999-2

• Fecha límite para certificaciones con BS 25999-2: Noviembre 2012

• Periodo de transición definido: 31 Mayo 2014

• Después de este periodo ningún certificado BS 25999-2 será válido

• Es posible realizar la transición antes de la siguiente visita de evaluación continua



Siguientes pasos

• Estándar disponible en http://shop.bsigroup.com/

• Participe en nuestros cursos

• Introducción

• Transición

• Implementación

• Auditor Interno

• Auditor Líder informacion.msmexico@bsigroup.com

Mario Ureña Cuate

www.mariourenacuate.com
@mariourena
@mariourena


Webinar iso22301 mario ureña (conferencia drj julio 2012)

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Was ist angesagt?

Was ist angesagt? (19)

Ähnlich wie Webinar iso22301 mario ureña (conferencia drj julio 2012)

Ähnlich wie Webinar iso22301 mario ureña (conferencia drj julio 2012) (20)

Mehr von Mario Ureña

Mehr von Mario Ureña (6)

Kürzlich hochgeladen

Kürzlich hochgeladen (20)

Webinar iso22301 mario ureña (conferencia drj julio 2012)