Por Raúl Jáuregui
La invasión de Rusia a Ucrania es un evento que actualmente está representando nuevos riesgos y amenazas a los que nuestras organizaciones están siendo expuestas, desde la afectación a la cadena de suministros, la indisponibilidad de empleados y socios de negocio en regiones afectadas por este conflicto, hasta el estrés psicológico que pudiera llegar a presentarse en nuestro personal por estos hechos.
Según datos de la división de Inteligencia de Amenazas de Check Point[1] al día de hoy se han disparado hasta en un 20% (1.466) los ciberataques registrados en Ucrania y hasta en un 1% (1.274) las amenazas semanales de los ciberataques dirigidos a Rusia desde inicios del conflicto armado.
Gartner una agencia especializada en servicios de consultoría en Tecnología de Información hace referencia en su publicación Recursos para ejecutivos y sus equipos en medio de la invasión rusa en Ucrania[2] enfocar especial atención en algunos elementos tales como:
- Alta dirección: Al ser responsable de promover y supervisar los planes de continuidad y recuperación ante desastres, así como de ser responsables de salvaguardar la integridad física y emocional de los colaboradores, por lo tanto, deberán estar informados constantemente de cómo se desarrolla este conflicto y como este afecta de manera directa o indirecta a nuestras empresas.
- Ciberseguridad: Con base al panorama de riesgo actual que representa este conflicto bélico no solo de manera física, si no también en el espacio electrónico, es importante que el personal directivo, comprenda los riesgos de seguridad de información a los que estamos expuestos con el objetivo de prevenir cualquier fuga de información sensible de nuestra organización.
- Afectación en la cadena de suministro: Los responsables de adquisición de materiales, bienes y servicios deben generar planes de contingencia para eventos tales como, escases de materiales, incremento en los costos de suministros, afectación en la capacidad operativa, volatilidad de mercados. Todo esto con el objetivo de evitar incumplimientos de contratos con clientes existentes, así como en nuevos requerimientos que pudieran derivar en multas y penalizaciones que pongan en riesgo la utilidad de nuestras compañías.
Las principales recomendaciones ante este panorama de riesgos derivado del enfrentamiento de tropas rusas y ucranianas representan que para nuestra organización se establezca como actividad primordial se proteja en todo momento al recurso humano, así como el mantener especial cuidado en garantizar en todo momento la integridad, disponibilidad y confidencialidad de la información. El vigilar los compromisos adquiridos para evitar afectaciones en entrega de productos y servicios y estar en todo momento preparados para evitar que nuestra empresa tenga afectaciones o intermitencias por tiempos prolongados en la interrupción de la operación normal del negocio.
¿COMO PUEDO PROTEGER A MI ORGANIZACIÓN ANTE ESTE PANORAMA DE RIESGO ACTUAL?
Para poder proteger a nuestras empresas ante los riesgos actuales debemos ser Ciber Resilientes es decir contar con la capacidad para continuar brindando nuestros servicios y poder responder de manera efectiva a los ataques o situaciones fortuitas que pudiera ocurrir derivado de incidentes relacionados a este conflicto. Con la finalidad de establecer, probar, mantener y mejorar los planes de continuidad de negocio o procesos de gestión a incidentes los cuales deberán estar enfocados a velar por la integridad del personal que opera los procesos críticos de nuestro negocio. De igual manera debemos de asegurarnos que los planes de recuperación ante desastres se encuentran vigentes y son efectivos, estos últimos van enfocados a garantizar que nuestra infraestructura tecnológica ya sea física, en la nube o basada en redes o dispositivos cotidianos comúnmente conocidos como dispositivos de Internet de las cosas “por sus siglas en ingles IOT” se encuentren en todo momento disponibles.
¿Cómo garantizo que mis planes de continuidad y recuperación son efectivos?
Para brindar la seguridad a nuestros empleados, socios, mesa directiva, reguladores y público en general que nuestros planes a nivel organización son los adecuados podemos basarnos en metodologías y practicas establecidas utilizadas a nivel mundial.
El día de hoy recomendaremos las practicas establecidas por el Instituto Internacional de Recuperación ante Desastres (DRII, 2022) comúnmente conocido como DRII[3]. El cual ha creado y mantiene practicas profesionales para la Gestión de Continuidad de Negocios, lo que se traduce a conocimiento diseñado para ayudar en el desarrollo, implementación y mantenimiento de programas de continuidad de negocio y las cuales sirven como herramientas para realizar evaluaciones a programas ya existentes. Estas prácticas están disponibles para su descarga gratuita en la página oficial del drii.org y se encuentran disponibles múltiples idiomas.
Las prácticas establecidas por el DRII contemplan de manera enunciativa más no limitativa lo siguiente:
- Inicio y administración del programa.
Consiste en establecer la necesidad de un programa, construir el marco de trabajo e introducir los conceptos claves de continuidad en nuestra organización.
- Evaluación de riesgos.
En esta práctica el objetivo es identificar y evaluar los riesgos que pueden afectar a nuestra organización para optimizar el uso de recursos e implementar planes de tratamiento a riesgos identificados y con ello reducir el nivel de exposición.
- Análisis de impacto al negocio.
Su principal propósito es identificar y priorizar las funciones, activos, procesos y personas que realizan actividades criticas para nuestra organización con el fin de comprender el impacto en caso de que no se encuentren disponibles.
- Estrategias de continuidad de negocio.
Consiste en establecer y seleccionar estrategias costo-efectivas para reducir las deficiencias identificadas en la práctica de evaluación de riesgos y análisis de impacto a negocio.
- Respuesta a incidentes.
Desarrollar programas de gestión de incidentes que garanticen la coordinación clara y oportuna entre los diferentes equipos responsables tanto internos como externos.
- Desarrollo e implementación del plan.
Documentar los planes que serán utilizados durante un incidente con la finalidad de brindar una operación continua de la organización.
- Programas de concientización y entrenamiento.
Capacitar a los responsables de atención a incidentes y continuidad y concientizar a quienes necesitan conocer los procedimientos de continuidad y manejo de incidentes o crisis.
- Ejercicio, evaluación y mantenimiento del plan de continuidad de negocio.
Mantener un estado de preparación adecuado de los responsables de manejo de incidentes y crisis en la organización.
- Comunicación de crisis.
Proveer un marco de referencia y de trabajo para proveer comunicación oportuna y efectiva con todas las partes interesadas tanto internas como externas.
- Coordinación con dependencias externas.
Establecer lineamientos adecuados para coordinación de actividades de respuesta a incidentes y crisis con entidades publicas y organismos reguladores.
En conclusión
Nuestro rol como profesionales y responsables de proteger los activos críticos humanos y materiales de nuestra empresa tenemos la obligación de asegurarnos de establecer un programa de continuidad, obtener el apoyo y financiamiento de la Alta Dirección para el programa, coordinar y gestionar la implementación del programa y reportar el avance y efectividad de nuestro programa en nuestras organizaciones.
Bibliografía
DRII. (2022). DRII.ORG. Retrieved from Prácticas Profesionales: https://drii.org/resources/professionalpractices/EN
GARTNER. (2022). Resources for Executives and Their Teams Amid Russia’s Invasion of Ukraine. Retrieved from Resources for Executives and Their Teams Amid Russia’s Invasion of Ukraine: https://www.gartner.com/en/topics/russia-ukraine-executive-response
[1] Check Point: División de Inteligencia de amenazas: https://blog.checkpoint.com/2022/03/14/cyber-attacks-on-government-organizations-beyond-ukraine-surge-by-21/
[2] Gartner: Resources for Executives and Their Teams Amid Russia’s Invasion of Ukraine
[3] DRII: Instituto Internacional de Recuperación ante Desastres https://drii.org/
