Acctividad Aa2 Evidencia 4

download Acctividad Aa2 Evidencia 4

of 13

description

Sena

Transcript of Acctividad Aa2 Evidencia 4

  • PLAN DE CONFIGURACIN Y RECUPERACIN ANTE

    DESASTRES PARA EL SMBD

    ALCALDIA SAN ANTONIO DEL SENA

    Alumno CARLOS ANTONIO ESPINOSA OROZCO

    Tutora

    YAMILETH ERAZO BECERRA

    VALLEDUPAR. SEPTIEMBRE DE 2015

    SERVICIO NACIONAL DE APRENDIZAJE

    GESTION Y SEGURIDAD DE BASES DE DATOS

  • PLAN DE RECUPERACIN ANTE DESASTRES

    DESCRIPCIN DEL PROBLEMA

    Cualquier Sistema de Redes de Computadoras (ordenadores, perifricos y

    accesorios) estn expuestos a riesgo y puede ser frente fuente de problemas. El

    Hardware, el Software estn expuestos a diversos Factores de Riesgo Humano

    y Fsicos. Frente a cualquier evento, la celeridad en la determinacin de la

    gravedad del problema depende de la capacidad y la estrategia a seguir para

    sealar con precisin, por ejemplo: Qu componente ha fallado?, Cul es el

    dato o archivo con informacin se ha perdido, en que da y hora se ha producido

    y cuan rpido se descubri? Estos problemas menores y mayores sirven para

    retroalimentar nuestros procedimientos y planes de seguridad en la informacin.

    Pueden originarse prdidas catastrficas a partir de fallos de componentes

    crticos (el disco duro), bien por grandes desastres (incendios, terremotos,

    sabotaje, etc.) o por fallas tcnicas (errores humanos, virus informtico, etc.) que

    producen dao fsico irreparable. Frente al mayor de los desastres solo queda el

    tiempo de recuperacin, lo que significa adicionalmente la

    fuerte inversin en recursos humanos y tcnicos para reconstruir su Sistema

    de Red y su Sistema de Informacin.

    Hoy en da la materia prima de toda organizacin es su informacin,

    bsicamente su "data" y el gran problema de toda organizacin es su

    implementacin de seguridad informtica, ya sea a nivel de hardware o software,

    para que la informacin no sea robada ni manipulada con fines maliciosos.

    La proteccin de la informacin vital ante la posible prdida, destruccin, robo y

    otras amenazas de una empresa, es abarcar la preparacin e implementacin

    de un completo Plan de Contingencia Informtico.

  • El plan de Contingencia indica las acciones que deben tomarse inmediatamente

    tras el desastre. Un primer aspecto importante del plan es la organizacin de la

    contingencia, en el que se detallan los nombres de los responsables de la

    contingencia y sus responsabilidades. El segundo aspecto crtico de un Plan de

    Contingencia es la preparacin de un Plan de Backup, elemento primordial y

    necesario para la recuperacin.

    El tercer aspecto es la preparacin de un Plan de Recuperacin. La empresa

    debe establecer su capacidad real para recuperar informacin contable crtica en

    un periodo de tiempo aceptable. Otro aspecto importante del plan de

    recuperacin identificar el equipo de recuperacin, los nombres, nmeros de

    telfono, asignaciones especficas, necesidades de formacin y otra informacin

    esencial, para cada miembro del equipo que participa en el Plan de recuperacin.

    Definicin del plan

    Para que un plan de recuperacin ante desastres funcione, tiene que involucrar

    a la gerencia. Ellos son los responsables de su coordinacin y deben asegurar

    su efectividad. Adicionalmente, deben proveer los recursos necesarios para un

    desarrollo efectivo del plan. Todos los departamentos de la organizacin

    participan en la definicin del plan.

    Sistema de Red de Computadoras en la Alcaldia de San Antonio

    La Red de la Alcalda de San Antonio cuenta con Tecnologas de la informacin

    y las comunicaciones (TICs) en lo referente a: sistemas de comunicacin,

    sistemas de informacin, conectividad y servicios Informticos que se brinda de

    forma interna y externa a las diferentes Oficinas, y dependencia adscrita a la

    Alcalda. Se resume que la Administracin de Red est dividido en dos partes

    o Conectividad: se encargada de la conexin almbrica e inalmbrica

    de los equipos de comunicacin y

  • o Manejo de servidores: se encarga de alojar todos los servicios y

    sistemas de comunicacin e informacin. Los servicios de Red

    implementados en la Alcaldia son, implementados en sus

    servidores y PCs

    Establecimiento de prioridades

    A continuacin, la Alcaldia de San Antonio debe preparar un anlisis de riesgo y

    crear una lista de posibles desastres naturales o causados por errores humanos,

    y clasificarlos segn sus probabilidades. Una vez terminada la lista, cada

    departamento debe analizar las posibles consecuencias y el impacto relacionado

    con cada tipo de desastre. Esto servir como referencia para identificar lo que

    se necesita incluir en el plan. Un plan completo debe considerar una prdida total

    del centro de datos y eventos de larga duracin de ms de una semana.

    Una vez definidas las necesidades de cada departamento, se les asigna una

    prioridad. Esto es importante, porque ninguna compaa tiene recursos infinitos.

    Los procesos y operaciones son analizados para determinar la mxima cantidad

    de tiempo que la organizacin puede sobrevivir sin ellos. Se establece un orden

    de recuperacin segn el grado de importancia. Esto se define como el Recovery

    Time Objective, Tiempo de Recuperacin o RTO. Otro trmino importante es el

    Recovery Point Objective, Punto de Recuperacin o RPO.

    Anlisis de Riesgos

    El presente realiza un anlisis de todos los elementos de riesgos a los cuales

    est expuesto el conjunto de equipos informticos y la informacin procesada, y

    que deben ser protegidos.

    Bienes susceptibles de un dao

    Se puede identificar los siguientes bienes afectos a riesgos:

    a) Personal

    b) Hardware

    c) Software y utilitarios

  • d) Datos e informacin

    e) Documentacin

    f) Suministro de energa elctrica

    g) Suministro de telecomunicaciones

    Daos

    Los posibles daos pueden referirse a:

    a) Imposibilidad de acceso a los recursos debido a problemas fsicos en las

    instalaciones, naturales o humanas.

    b) Imposibilidad de acceso a los recursos informticos, sean estos por cambios

    involuntarios o intencionales, tales como cambios de claves de acceso,

    eliminacin o borrado fsico/lgico de informacin clave, proceso de informacin

    no deseado.

    c) Divulgacin de informacin a instancias fuera de la institucin y que afecte

    su patrimonio estratgico, sea mediante Robo o Infidencia.

    Fuentes de dao

    Las posibles fuentes de dao que pueden causar la no operacin normal de la

    compaa son:

    Acceso no autorizado

    Ruptura de las claves de acceso a los sistema computacionales Desastres

    Naturales:

    a) Movimientos telricos

    b) Inundaciones

    c) Fallas en los equipos de soporte (causadas por el ambiente, la red de energa

    elctrica, no acondicionamiento atmosfrico necesario)

    Fallas de Personal Clave: por los siguientes inconvenientes:

    a) Enfermedad

    b) Accidentes

    c) Renuncias

    d) Abandono de sus puestos de trabajo

    e) Otros.

    Fallas de Hardware: a) Falla en los Servidores (Hw) b) Falla en el hardware de

    Red (Switches, cableado de la Red, Router, Firewalls)

  • Anlisis en las fallas en la Seguridad

    En este se abarca el estudio del hardware, software, la ubicacin fsica de la

    estacin su utilizacin, con el objeto de identificar los posibles resquicios en la

    seguridad que pudieran suponer un peligro.

    Las fallas en la seguridad de la informacin y por consiguiente de los equipos

    informticos, es una cuestin que llega a afectar, incluso, a la vida privada de

    la persona, de ah que resulte obvio el inters creciente sobre este aspecto. La

    seguridad de la informacin tiene dos aspectos importantes como:

    Negar el acceso a los datos a aquellas personas que no tengan derecho a ellos.

    Garantizar el acceso a todos los datos importantes a las personas que ejercen

    adecuadamente su privilegio de acceso, las cuales tienen la responsabilidad de

    proteger los datos que se les ha confiado.

    Por ejemplo, en el uso del Servicio Virtual Pblico de Red (VPN), implica una va

    de acceso a la Red Central de UNP, la seguridad en este servicio es la validacin

    de la clave de acceso.

    Protecciones actuales

    Se realizan las siguientes acciones:

    Se hace copias de los archivos que son vitales para la institucin.

    Al robo comn se cierran las puertas de entrada y ventanas

    Al vandalismo, se cierra la puerta de entrada.

    A la falla de los equipos, se realiza el mantenimiento de forma regular.

    Al dao por virus, todo el software que llega se analiza en un sistema utilizando

    software antivirus.

    A las equivocaciones, los empleados tienen buena formacin. Cuando se

    requiere personal temporal se intenta conseguir a empleados debidamente

    preparados.

    A terremotos, no es posible proteger la instalacin frente a estos fenmenos. El

    presente Plan de contingencias da pautas al respecto.

    Al acceso no autorizado, se cierra la puerta de entrada. Varias computadoras

    disponen de llave de bloqueo del teclado.

    Al robo de datos, se cierra la puerta principal y gavetas de escritorios. Varias

    computadoras disponen de llave de bloqueo del teclado

  • Seleccin de estrategias de recuperacin

    En esta etapa se determina las alternativas ms prcticas para proceder en caso

    de un desastre. Todos los aspectos de la organizacin son analizados,

    incluyendo hardware, software, comunicaciones, archivos, bases de datos,

    instalaciones, etc. Las alternativas a considerar varan segn la funcin del

    equipo y pueden incluir duplicacin de centros de datos, alquiler de equipos e

    instalaciones, contratos de almacenamiento y muchas ms. Igualmente, se

    analiza los costos asociados.

    Componentes esenciales

    Entre los datos y documentos que se debe proteger se encuentran listas,

    inventarios, copias de seguridad de software y datos, cualquier otra lista

    importante de materiales y documentacin. La creacin previa de plantillas de

    verificacin ayuda a simplificar este proceso.

    Un resumen del plan debe ser respaldado por la gerencia. Este documento

    organiza los procedimientos, identifica las etapas importantes, elimina

    redundancias y define el plan de trabajo. La persona o personas que escriban el

    plan deben detallar cada procedimiento, tomando en consideracin el

    mantenimiento y la actualizacin del plan a medida de que el negocio evoluciona.

    El plan asigna responsabilidad a diferentes equipos / departamentos y alternos.

    Plan de recuperacin del desastre y respaldo de la informacin

    El costo de la Recuperacin en caso de desastres severos, como los de un

    terremoto que destruya completamente el interior de edificios e instalaciones,

    estar directamente relacionado con el valor de los equipos de cmputo e

    informacin que no fueron informados oportunamente y actualizados en la

    relacin de equipos informticos asegurados que obra en poder de la compaa

    de seguros.

  • El Costo de Recuperacin en caso de desastres de proporciones menos

    severos, como los de un terremoto de grado inferior a 07 o un incendio de

    controlable, estar dado por el valor no asegurado de equipos informticos e

    informacin ms el Costo de Oportunidad, que significa, el costo del menor

    tiempo de recuperacin estratgica, si se cuenta con parte de los equipos e

    informacin recuperados. Este plan de restablecimiento estratgico del sistema

    de red, software y equipos informticos ser abordado en la parte de Actividades

    Posteriores al desastre.

    El paso inicial en el desarrollo del plan contra desastres, es la identificacin de

    las personas que sern las responsables de crear el plan y coordinar las

    funciones. Tpicamente las personas pueden ser: personal del CIT, personal de

    Seguridad.

    Las actividades a realizar en un Plan de Recuperacin de Desastres se clasifican

    en tres etapas:

    Actividades Previas al Desastre.

    Actividades Durante el Desastre.

    Actividades Despus del Desastre.

    Actividades previas al desastre

    Se considera las actividades de planteamiento, preparacin, entrenamiento y

    ejecucin de actividades de resguardo de la informacin, que aseguraran un

    proceso de recuperacin con el menor costo posible para la institucin.

    Establecimientos del Plan de Accin

    En esta fase de planeamiento se establece los procedimientos relativos a:

    a. Sistemas e Informacin.

    b. Equipos de Cmputo.

    c. Obtencin y almacenamiento de los Respaldos de Informacin (BACKUPS).

    d. Polticas (Normas y Procedimientos de Backups).

    a. Sistemas de Informacin

  • La Institucin deber tener una relacin de los Sistemas de Informacin con los

    que cuenta, tanto los de desarrollo propio, como los desarrollados por empresas

    externas. Los Sistemas y Servicios crticos para la UNP, son los siguientes:

    Lista de Sistemas

    Sistema Integrado de Administracin Financiera (SIAF): Sistema de informacin

    asociado a la ejecucin del presupuesto anual, de registro nico de las

    operaciones de gastos e ingresos pblicos. Lo opera la Oficina Central de

    Ejecucin Presupuestaria.

    .

    Sistema de Tramite Documentario: Sistema de informacin que permite el

    registro y seguimiento de los documentos. Lo operan todas las reas

    funcionales.

    Sistema de Gestin Administrativa Ingresos: Sistema de informacin que

    permite el registro y control de los ingresos. Lo operan todas las reas

    funcionales Administrativas.

    Sistema de Abastecimientos: Sistema de informacin que permite el registro y

    control de las rdenes de Trabajo, almacn.

    Sistema de Control de Asistencia del personal: Lo opera la Oficina Central de

    Recursos Humanos.

    Sistema de comunicaciones

    Servicio de correo corporativo

    Servicios Web: Publicacin de pginas Web, noticias de la Alcaldia de San

    Antonio,.

    Internet, Intranet.

    Servicios Proxy

    VPN: servicios de acceso privado a la red de la Institucin desde cualquier lugar.

    Servicio de Monitoreo de la red: monitorea los equipos de comunicacin

    distribuidos en la red la Alcaldia.

    Servicios de telefona Principal: telfonos IP

    Servicio de Antivirus

    b. Equipos de Cmputo

  • Se debe tener en cuenta el catastro de Hardware, impresoras, lectoras, scanner,

    modems, fax y otros, detallando su ubicacin (software que usa, ubicacin y

    nivel de uso institucional). Se debe emplear los siguientes criterios sobre

    identificacin y proteccin de equipos:

    Plizas de seguros comerciales, como parte de la proteccin de los activos

    institucionales y considerando una restitucin por equipos de mayor potencia,

    teniendo en cuenta la depreciacin tecnolgica.

    Sealizacin o etiquetamiento de las computadoras de acuerdo a la importancia

    de su contenido y valor de sus componentes, para dar prioridad en caso de

    evacuacin. Por ejemplo etiquetar de color rojo los servidores, color amarillo a

    los PC con informacin importante o estratgica, y color verde a las dems

    estaciones (normales, sin disco duro o sin uso).

    Mantenimiento actualizado del inventario de los equipos de cmputo requerido

    como mnimo para el funcionamiento permanente de cada sistema en la

    institucin.

    c. Obtencin y almacenamiento de Copias de Seguridad (Backups)

    Se debe contar con procedimientos para la obtencin de las copias de seguridad

    de todos los elementos de software necesarios para asegurar la correcta

    ejecucin de los sistemas en la institucin. Las copias de seguridad son las

    siguientes:

    Backup del Sistema Operativo: o de todas las versiones de sistema operativo

    instalados en la Red.

    Backup de Software Base: (Lenguajes de Programacin utilizados en el

    desarrollo de los aplicativos institucionales).

    Backup del software aplicativo: backups de los programas fuente y los

    programas ejecutables.

    Backups de los datos (Base de datos, passsword y todo archivo necesario para

    la correcta ejecucin del software aplicativos de la institucin).

    Backups del Hardware, se puede implementar bajo dos modalidades:

    Modalidad Externa:

  • mediante el convenio con otra institucin que tenga equipos similares o mejores

    y que brinden la capacidad y seguridad de procesar nuestra informacin y ser

    puestos a nuestra disposicin al ocurrir una continencia mientras se busca una

    solucin definitiva al siniestro producido.

    Modalidad Interna:

    Si se dispone de ms de una Edificacion, en ambos se debe tener sealado los

    equipos, que por sus capacidades tcnicas son susceptibles de ser usados como

    equipos de emergencia.

    Es importante mencionar que en ambos casos se debe probar y asegurar que

    los procesos de restauracin de informacin posibiliten el funcionamiento

    adecuado de los sistemas.

    Polticas (Normas y Procedimientos)

    Se debe establecer procedimientos, normas y determinacin de

    responsabilidades en la obtencin de los "Backups" o Copias de Seguridad. Se

    debe considerar:

    Periodicidad de cada tipo de backup: los backups de los sistemas informticos

    se realizan de manera diferente:

    Sistema Integrado de Gestin Acadmico: en los procesos acadmicos de

    Inscripcin de curso y registro de Actas se realiza backup diario, para los dems

    periodos se realiza el backup semanal.

    Sistema de Ingresos: backup diario

    Sistema de Tramite Documentario: backup diario.

    Sistema de Abastecimientos: backup semanal

    Sistema de Control de Asistencia del personal: backup semanal.

    Sistema de Banco de Preguntas: backup periodo examen.

    Respaldo de informacin de movimiento entre los periodos que no se sacan

    backups: das no laborales, feriados, etc. en estos das es posible programar un

    backup automtico.

    Uso obligatorio de un formulario de control de ejecucin del programa de

    backups diarios, semanales y mensuales: es un control a implementar, de tal

    manera de llevar un registro diario de los resultados de las operaciones del

    backups realizados y su respectivo almacenamiento.

  • Almacenamiento de los backups en condiciones ambientales optimas,

    dependiendo del medio magntico empleando.

    Reemplazo de los backups, en forma peridica, antes que el medio magntico

    de soporte se pueda deteriorar. No se realiza reemplazos pero se realiza copias

    de las mismas, considerando que no se puede determinar exactamente el

    periodo de vida til del dispositivo donde se ha realizado el backup.

    Almacenamiento de los backups en locales diferentes donde reside la

    informacin primaria (evitando la prdida si el desastre alcanzo todo el edificio o

    local). Esta norma se cumple con la informacin histrica, es decir se tiene

    distribuidos los backups de la siguiente manera: una copia reside en las

    instalaciones del Oficina de Computo de la Alcaldia, y una segunda copia reside

    en la Oficina que genera la informacin

    Pruebas peridicas de los backups (Restore), verificando su funcionalidad,

    atravs de los sistemas comparando contra resultados anteriormente confiables.

    Criterios y procedimientos de prueba del plan

    La experiencia indica que los planes de recuperacin deben ser probados en su

    totalidad por lo menos una vez al ao. La documentacin debe especificar los

    procedimientos y la frecuencia con que se realizan las pruebas. Las razones

    principales para probar el plan son: verificar la validez y funcionalidad del plan,

    determinar la compatibilidad de los procedimientos e instalaciones, identificar

    reas que necesiten cambios, entrenar a los empleados y demostrar la habilidad

    de la organizacin de recuperarse de un desastre.

    Despus de las pruebas el plan debe ser actualizado. Se sugiere que la prueba

    original se realice en horas que minimicen trastornos en las operaciones. Una

    vez demostrada la funcionalidad del plan, se debe hacer pruebas adicionales

    donde todos los empleados tengan acceso virtual y remoto a estas posiciones y

    funciones en el caso de un desastre. Un plan sin probar es igual que no tener un

    plan, advierte Molln.

  • Aprobacin final

    Despus de que el plan haya sido puesto a prueba y corregido, la gerencia

    deber aprobarlo. Ellos son los encargados de establecer las plizas, los

    procedimientos y responsabilidades en caso de contingencia, y de actualizar y

    dar el visto al plan anualmente. A la vez, sera recomendable evaluar los planes

    de contingencia de proveedores externos.

    El plan de recuperacin ante desastres debe ser considerado un seguro

    fundamental. A pesar de que requiere una cantidad considerable de recursos y

    dedicacin, es una herramienta vital para la supervivencia de las

    organizaciones, finaliza