El Impacto de la Norma BS-25999 en la aplicación de un Plan de Recuperación en caso de Emergencia (ERP) en un Edificio Público

Introducción

Los procesos de contingencia se presentan cuando ocurren fenómenos de origen antrópico, químico, geológico, meteorológico, e hidrológico los cuales representan una amenaza real que influye de manera negativa en el desarrollo económico y social de un país, estado o municipio vulnerable.

En un proceso de contingencia se presume que hay un tiempo definido sobre el cual se declara la emergencia, y entran a operar una serie de procedimientos que permiten que el servicio se restablezca en el menor tiempo posible, estos procedimientos se les conoce como el Plan de Recuperación en caso de Emergencia (ERP), para complementar este plan se incluyen los lineamientos que dicta la norma británica BSI-25999 y derivado de esta fusión se incluye la siguiente metodología dividida en 7 pasos para la atención de la población en caso de contingencia, las cuales son: Inicio de la contingencia, Análisis del impacto, Evaluación de riesgos, Desarrollo de estrategias de continuidad, Desarrollo del plan de contingencias, Entrenamiento prueba y auditoria y Mantenimiento del plan de contingencias.

Metodología

El presente estudio que se diseña y realiza las siguientes metodologías:

Descriptiva: que permite el desarrollo del Plan de Recuperación en Caso de Emergencia

Documental: que permite el uso de la normatividad BSI 25999

Plan de recuperación en caso de emergencia

El objetivo primordial del plan es brindar a la población una atención efectiva y oportuna, ante un escenario de una contingencia.

Un aspecto importante del plan es reducir los daños y las consecuencias tanto sociales como económicas en caso de que se presente ante una contingencia. Aunado a lo anterior es importante mencionar que el plan define el esquema de respuesta institucional, que deberá ser adoptado para reducir la improvisación y responder de manera inmediata y eficaz.

Finalmente el plan de emergencia garantiza la continuidad de operaciones mediante el restablecimiento de los servicios esenciales y la infraestructura en las zonas afectadas, brindando auxilio, seguridad, refugio y protección a los afectados.

Por otra parte el estar bien informado implica saber actuar con certeza ante los desastres y hace posible adquirir con suficiente anticipación el equipo y las provisiones que pueden ayudar a la población afectada. Para ello, es fundamental conocer las indicaciones de los responsables quienes, en coordinación con las unidades Estatales y Municipales de Protección Civil, coadyuvan a que los planes de recuperación en caso de emergencia sean oportunos y eficaces.

Para que sean oportunos y eficaces es necesario conocer los sistemas básicos de seguridad:

Estos son un conjunto de instrumentos y procedimientos que interactúan con la finalidad de proporcionar un estado de seguridad a la población:

• 1. Sistema de Detección: es de carácter preventivo y detecta oportunamente los riesgos a los que está expuesto el personal que ocupa el inmueble; este sistema se caracteriza por el papel que juegan los sentidos como la vista, el olfato, el tacto, el oído, los sentidos con los que percibimos la presencia de un fenómeno perturbador.
• 2. Sistema de Alerta: es de carácter preventivo y consiste en comunicar a la población sobre la presencia próxima de un fenómeno perturbador, en esta situación se cuenta con cierto tiempo para actuar 50 segundos.
• 3. Sistema de Alarma: avisa a la población que ocupa un inmueble de la presencia de un fenómeno perturbador, puede ser un instrumento acústico, óptico o mecánico, avisa de la presencia de una calamidad.
• 4. Sistema de Señalización: tiene como objetivo proporcionar información sobre las zonas de seguridad, las de riesgos, las rutas de evacuación y los equipos de emergencia. En el Sistema de señalización se clasifican en cuatro tipos · Informativas · Preventivas · Prohibitivas · Obligación
• 5. Sistema de Evacuación: es el conjunto de maniobras y acciones que se ejecutan los individuos, en el que se desplazan de una zona de riesgo a una zona de seguridad, a través de la ruta de evacuación. Esta debe ser ágil, segura y disciplinada.
• 6. El Sistema de Comunicación: debe establecerse al interior del inmueble, se recomienda contar con equipos de comunicación inalámbrica para que en caso de que no funcione la comunicación normal se empleen estos.
• 7. Sistema Operativo: en este sistema se ejecutan los anteriores y se prueba mediante la realización de simulacros, por medio de los cuales se podrá conocer la capacidad de respuesta de la población y de las brigadas; posteriormente se podrá realizar una evaluación y corregir los errores.

Por lo anterior es importante implementar acciones que permitan el previo conocimiento de los posibles fenómenos perturbadores, ya sean naturales o antropogénicos como lo es la correlación con la norma SB 25999 que a continuación se describe en 7 pasos.

1. Inicio de la contingencia

Es necesario conocer las características de la contingencia que puede tener consecuencias desastrosas y determinar la forma en que este evento incide en los asentamientos humanos, en la infraestructura y en el entorno. La base fundamental atender la contingencia es el conocimiento científico del fenómenos; éste es materia de las ciencias geológicas y atmosféricas que estudian los mecanismos de generación de fenómenos como los sismos, el vulcanismo y los huracanes, y el grado de incidencia de los mismos en distintas partes del Distrito Federal.

2. Análisis del impacto de la contingencia

El análisis e identificación de los impactos que resultan de la contingencia y desastres que puedan afectar a la población del Distrito Federal y las técnicas que pueden utilizarse para cualificar dichos impactos, asignando valores desde leve hasta catastrófico, permitiendo establecer las operaciones críticas, sus prioridades de recuperación y sus interdependencias, utilizando para ello la siguiente tabla.

Tabla 1. Criterios de valoración ante el impacto de una contingencia

Fuente: Elaboración Propia, con base en la norma SBI-25999.

De la tabla anterior, los criterios de valoración en caso de contingencia permiten identificar los tipos de impacto a nivel social, gubernamental y operacional y mostrar los diferentes grados de impacto dependiendo de su magnitud los cuales se dividen en: Leve, Medio, Grave y Catastrófico.

La rápida valoración permite la implementación de la evaluación de los riegos que se encuentra en el siguiente apartado.

3. Evaluación de riesgos

Evaluar los riesgos permitirá determinar las causas y consecuencias que impactaron de forma adversa a la población, al medio ambiente o a la infraestructura. De igual forma, permite establecer los controles necesarios para minimizar los efectos de pérdidas potenciales. Esta evaluación de riesgos permite reconocer el impacto del lugar donde se presentó la contingencia y desarrollar una matriz de riesgos para ayudar a identificarlos y priorizar las estrategias de planificación y mitificación, dicha matriz se muestra a continuación.

Tabla 2 Matriz de Evaluación ante una contingencia

Fuente: Elaboración Propia, con base en la norma SB-25999.

La matriz de evaluación asigna valores para tres parámetros importantes dentro de una contingencia, los cuales al ser evaluados permite atender con mayor precisión a la población de un área afectada, así mismo de detectar los posibles daños y atender la contingencia en el menor tiempo posible.

4. Desarrollo de estrategias de continuidad

Es un módulo para asegurar la recuperación y continuidad frente a un desastre o algún otro incidente grave, según la norma SB-25999 Continuidad del Negocio, Desarrollada en Inglaterra por el grupo BSI (British Standars) por lo cual el desarrollar estrategias de continuidad permite prepararse ante una contingencia en caso que esta se produzca. Esta preparación puede incluir medidas institucionales (diseño de planes, firma de contratos con proveedores o socios, ejercitación, revisión, concienciación de la población, etc.) y medidas que incluyan la inversión en equipamiento, infraestructura, etc.

Dentro del desarrollo de las estrategias de continuidad, el tiempo, es un factor muy importante en la recuperación, por eso, la estrategia de continuidad de operaciones debe establecer el Objetivo de Tiempo de Recuperación (RTO, por sus siglas en inglés) para cada una de sus actividades críticas; es posible que el RTO sea diferente para cada una de ellas.

Una consideración importante: cuanto más corto es el RTO, mayor será la inversión que necesita el gobierno. Por ejemplo, si la base de datos se desea recuperar en menos de una hora, se tendrá que invertir en una ubicación alternativa con casi el mismo equipamiento que la ubicación principal; en cambio, si se desea recuperar la base de datos en dos semanas, la inversión será mucho menor porque será suficiente almacenar los datos en otro server alternativo, contando luego con dos semanas para obtener el equipamiento necesario.

En la tabla 3 se demuestra el ejemplo anterior, utilizando para ello cualquier área informática, en la cual el impacto operacional sería el más afectado si la base de datos no ha sido recuperada a las dos semana de ocurrida la contingencia, por otra parte el impacto a la imagen seria nulo ya que habitualmente las áreas de informática no se utilizan como elemento publicitario o de difusión cultural para la población.

Tabla 3 Impacto en caso de una contingencia afectando a una Área Informática

Fuente: Norma Británica SB-25999

Así mismo, la siguiente figura muestra de forma gráfica la afectación de la tabla a cuatro horas de ocurrida la contingencia, a un día después de la contingencia, a los dos días y finalmente a una semana de presentado el impacto de la contingencia, incidiendo en que el impacto operacional se vería seriamente afectado, si es que no se atendiera la emergencia a tiempo.

Fig. 1 Grafica de una contingencia afectando a una Área Informática.

Fuente: Norma Británica SB-25999

5. Desarrollo del plan de contingencias

Para el desarrollo del Plan de Contingencias es necesario coordinar las siguientes acciones:

• 1. En el supuesto de que produzcan heridos o víctimas mortales, pedir que protección civil coordine la comunicación a las familias, con las ayudas psicológicas y legales que sean necesarias.
• 2. Coordinar la preparación de una declaración pública a los medios de comunicación para ser leída por un portavoz oficial, proporcionando la información que ha ocurrido (descripción del incidente), cómo ha ocurrido y cuando ha ocurrido. Además si ha habido heridos, de qué gravedad, a qué hospital o clínica han sido trasladados y  si se ha comunicado a las familias.
• 3. Si la causa es desconocida, ayudar a la investigación que se realice para descubrir si la causa es accidental o intencionada.
• 4. "Atención de llamadas entrantes" para ayudar a que las personas que las atiendan, lo hagan correctamente y pedir al operador telefónico que todas las llamadas dirigidas a determinados números sean re direccionadas al Centro de Atención.
• 5. El Centro de Atención deberá actuar como intermediario entre la población y el gobierno.
• 6. Mantener la evolución de la situación.
• 7. Mantener informado a la población acerca del progreso de la recuperación.
• 8. Trabajar coordinadamente entre Protección Civil, Centro de Atención y Gobierno del Distrito Federal.
• 9. Preparar y mantener actualizada la siguiente información para los distintos órdenes de gobierno: estado de las actividades de respuesta a la emergencia, evacuación de la zona afectada, respuesta de las autoridades, descripción del incidente.

Los puntos establecidos en el desarrollo del plan son los básicos para poder atender la emergencia y así poder establecer las premisas necesarias ante una contingencia.

6. Entrenamiento, prueba y auditoria

La documentación de un Plan de Contingencias va a responder según se tiene previsto si es que se tienen los programas de entrenamiento y pruebas periódicas para conseguir el éxito en la recuperación eficaz. Por esta cuestión es necesario implementan los tres ejercicios siguientes:

Entrenamiento

Se recomienda realizar mínimo un ejercicio anual, similar a la revisión de procedimientos de respuesta y recuperación. En estas sesiones deberían asistir los componentes de cada equipo de recuperación, incluyendo a los suplentes. La finalidad de estas sesiones es volverse a familiarizar con las estrategias y procedimientos previstos en el Plan.

Pruebas

Una buena parte del funcionamiento del Plan de Contingencias se basa en el buen funcionamiento de la tecnología. Algunos elementos del Plan requieren pruebas reales para asegurarse de que todo funcionara según lo previsto.

• 1. Restaurar todos los backup de Pcs y LANs.
• 2. Conmutar las telecomunicaciones de voz y datos al Centro de Atención.
• 3. Verificar la disponibilidad de los suministros de recursos críticos (Sustitución de PCs, impresoras, etc.).

Auditorias

Las auditorias deben comprobar los siguientes puntos:

· ¿Siguen siendo válidas las premisas de partida sobre las que se construyó el Plan?· ¿Se han transformado en críticas, funciones de la operación que antes no lo eran?· ¿Están todavía disponibles los recursos de recuperación?· ¿Son todavía apropiados, en cantidades y umbrales de recuperación, los recursos críticos que se han definido?· ¿Ha habido algún cambio en la criticidad de alguna información que ahora la haga esencial para la recuperación?

7. Mantenimiento del plan de contingencias.

El Plan de Continuidad de Contingencias deberá estar actualizado para que sea útil en el momento de la recuperación. Cada organismo dedicado a la salvaguarda de la población tiene como responsabilidad primaria el mantener el Plan actualizado.

Resultados

1. Al aplicar la norma BS-25999:2006 se establecen los objetivos que permiten estar mas y mejor preparado ante cualquier situación de riesgo.

2. Se debe de tener una copia remota cruzado del backup en cualquiera de los edificios que conforman dicha institución para su seguridad como almacenamiento externo.

3. Implementar un procedimiento para el guardado cotidiano del backup de cada coordinación y unidad.

4. Difusión del plan de continuidad y operación a todo el personal involucrado e implementar el proceso de concienciación del plan de continuidad y operaciones.

5. Se debe de instalar de forma inmediata un sistema fijo de detección y supresión contra incendios dentro del área donde se encuentran los servidores incluyendo el archivo de planes

Discusión de resultados

1. A partir de la norma BS-25999:2006 desarrollada en el año 2006 se ha creado:

a) El Institute Business Continuity and Management,

b) Se cero la página web Business Continuity and Management Systems Program.

c) Se desarrolló la norma ISO 22301.

2. Se ha creado una cultura a nivel internacional con todos los fenómenos naturales como son huracanes y Tsunamis una cultura de protección a la nube tecnológica

Conclusiones

Al ocurrir un proceso de contingencia es necesario contar con los medios de comunicación y planes de recuperación en caso de emergencia que permitan proteger a la población en general.

Por lo tanto para alcanzar el máximo beneficio ERP es imperativo asegurarse de que los afectados por la contingencia posean la información, los conocimientos y el claro entendimiento que son precisos para mitigar el impacto de un fenómeno natural. También es de vital importancia que  el plan de recuperación en caso de emergencia (ERP), brinde una pronta respuesta a cualquier tipo de emergencia a la cual se está expuesto.

El contar con los recursos y esfuerzos conjuntos dentro de una sociedad para hacer frente a las eventualidades, le otorga a la propia sociedad un valor agregado, una sociedad con un factor de seguridad y bienestar elevado.

Finalmente este artículo pretende la descripción de la implementación y ejecución clara y precisa para salvaguardar la vida humana y en consecuencia los bienes de una sociedad.

Agradecimientos

Agrademos la deferencia que tienen nuevamente nuestra propuesta de investigacion para ser difundidas en tan importante evento internacional.

Referencias bibliográficas

• BSI, (2007). Norma Británica SB25999 Business Continuity Management · CENAPRED (2002). Instrumentos de apoyo para el análisis y gestión de riesgos naturales. México. · CENAPRED (2007). “Prontuario de Contingencias del Siglo XX Mexicano”. · Ministerio de Justicia, Trabajo e Inseguridad (2011) Manual Básico de Contingencias. Argentina
• Organización de las Naciones Unidas, (2011). Addressing world tourism organization on world environment day: Asks a system to use energy more efficiently and eliminate wasteful practices,
• New York, USA, Ed. Department of Public Information.

· Organización de las Naciones Unidas, (2011). Informe de evaluación global sobre la reducción del riesgo de desastres. Riesgo y pobreza en un clima cambiante.

· Sandoval, R. (2012) “Diseño de un esquema modular de Protección Civil para ser aplicado a una área urbana acotada, comunidad segura o unidad académica, basado en un sistema de ERP y DRP (Plan de Recuperación en Caso de Emergencia y un Plan de Recuperación ante Desastres), aplicando la normatividad vigente” Proyecto de investigación 2012- 0988 otorgado por la SIP