La seguridad de la información se refiere a la protección de la integridad, la confidencialidad y la disponibilidad de la información. Sin poder proteger la información y ponerla a disposición de quienes la necesitan, incluso durante un desastre natural, podría significar el fin de un negocio.
Ayudé a desarrollar Planes de Continuidad de Negocios donde uno de los requisitos críticos era que cierta información tenía que estar (por ley) disponible las 24 horas del día, los 7 días de la semana, los 365 días del año. No se permitió tiempo de inactividad, incluso durante un desastre natural como un terremoto horrible.
No existía una solución simple: se debía realizar un análisis del impacto en el negocio. La información no solo se almacena en las computadoras. A menudo se encuentra dispersa y no solo se encuentra en una ubicación centralizada. Identificar la información crítica que es necesaria para mantener el funcionamiento del negocio es muy complicado. Una vez completada y revisada la identificación de sistemas y componentes críticos. Hay una evaluación de riesgos adicional que debe llevarse a cabo.
Durante grandes desastres naturales, como terremotos o tornados grandes, existe una alta probabilidad de que las instalaciones físicas estén fuera de servicio por algún tiempo. Incluso hubo ejemplos en los que no quedaba ningún edificio o el equipo tenía acceso limitado (de 15 a 20 minutos) para reunir lo que se necesitaba antes de que nadie pudiera volver al edificio. Además, podría planear algunos retrasos, porque tenía que determinarse que los edificios eran lo suficientemente sólidos como para que cualquiera pueda acceder a ellos.
Si es un gran desastre, a dónde va o cómo se realiza la continuidad de las operaciones. Los empleados locales seguramente también se verán afectados por el desastre. Podrían pasar semanas antes de que estén en posición de regresar al trabajo. En el caso de un BCP en el que trabajé, los empleados también se enfrentaron a que sus hogares fueron totalmente destruidos o solo tuvieron unos minutos para entrar a sus hogares y recoger sus pertenencias. Muchos me dijeron que agarraron ropa, cepillos de dientes, documentos de identificación y que tuvieron que dejar otros artículos personales.
Por lo tanto, parte de la estrategia técnica puede ser desarrollar una multitud de opciones dependiendo de la evaluación de riesgos. Puede haber planes para sitios fríos, sitios cálidos y sitios calientes según el presupuesto. Estrategias para proteger los servidores y hardware críticos identificados con RAID, agrupación en clústeres y equilibrio de carga, centrándose en la tolerancia a fallos. Por supuesto, hay protección de datos a través de copias de seguridad y planes para restaurar datos críticos y tenerlos disponibles para ser utilizados por sitios fríos, sitios cálidos y sitios calientes, asegurando que los documentos confidenciales estén protegidos y disponibles para aquellos que requieren la información en todo el tiempo.
Una vez en su lugar, todas estas estrategias, planes y políticas deben revisarse, mantenerse y verificarse. Se requiere mucho personal para estar involucrado y estar atento. Lo único constante es el cambio. Se están implementando nuevas soluciones de hardware y software. Se están modificando los requisitos comerciales y las leyes. Ciertamente puedo entender por qué se menciona. La seguridad de la información se trata de proteger la integridad, la confidencialidad y la disponibilidad de la información.