GUÍA TÉCNICA GTC-ISO COLOMBIANA 22313

Transcripción

1 GUÍA TÉCNICA GTC-ISO COLOMBIANA SEGURIDAD DE LA SOCIEDAD. SISTEMAS DE GESTIÓN DE CONTINUIDAD DE NEGOCIO. GUÍA. E: SOCIETAL SECURITY. BUSINESS CONTINUITY MANAGEMENT SYSTEMS. GUIDANCE CORRESPONDENCIA: DESCRIPTORES: esta norma adopción idéntica por traducción (IDT) de la ISO 22313:2012. continuidad de negocio; seguridad de la sociedad; resiliencia; BIA; emergencia; evento; incidente. I.C.S.: Editada por el Instituto Colombiano de Normas Técnicas y Certificación (ICONTEC) Apartado Bogotá, D.C. - Tel. (571) Fax (571) Prohibida su reproducción Editada

2 PRÓLOGO El Instituto Colombiano de Normas Técnicas y Certificación, ICONTEC, es el organismo nacional de normalización, según el Decreto 1595 de ICONTEC es una entidad de carácter privado, sin ánimo de lucro, cuya Misión es fundamental para brindar soporte y desarrollo al productor y protección al consumidor. Colabora con el sector gubernamental y apoya al sector privado del país, para lograr ventajas competitivas en los mercados interno y externo. La representación de todos los sectores involucrados en el proceso de Normalización Técnica está garantizada por los Comités Técnicos y el período de Consulta Pública, este último caracterizado por la participación del público en general. La guía GTC-ISO fue ratificada por el Consejo Directivo de Esta guía está sujeta a ser actualizada permanentemente con el objeto de que responda en todo momento a las necesidades y exigencias actuales. A continuación se relacionan las empresas que colaboraron en el estudio de esta guía a través de su participación en el Comité Técnico 205 Continuidad de negocio. ASOCIACIÓN LATINOAMERICANA DE CONTINUIDAD -ALCONT- BANCO AGRARIO DE COLOMBIA BANCO AV VILLAS S.A. BANCO COLPATRIA RED MULTIBANCA COLPATRIA BANCO DE LA REPÚBLICA BANCO GNB SUDAMERIS BPM CONTROL S.A.S. COTECMAR DELIMA MARSH RISK CONSULTING S.A. DEPÓSITO CENTRALIZADO DE VALORES DE COLOMBIA -DECEVAL- HELM BANK S. A. IBM COLOMBIA S. A. INTEK S.A. ISOLUCIONES LTDA. ITEAM LTDA. MANEJO TÉCNICO DE INFORMACIÓN - MTI - S. A. WILLIS COLOMBIA S. A. X.M. COMPAÑIA DE EXPERTOS EN MERCADO S.A. E.S.P. Además de las anteriores, en Consulta Pública el Proyecto se puso a consideración de las siguientes empresas: ACH COLOMBIA S.A. AEROVÍAS DEL CONTINENTE AMERICANO S.A. - AVIANCA S.A. ALFAPEOPLE ANDINO ALPINA S.A. AON RISK COLOMBIA S.A. ASOCIACIÓN BANCARIA Y DE ENTIDADES FINANCIERAS DE COLOMBIA BANCAMIA S.A. BANCO BBVA COLOMBIA BANCO CAJA SOCIAL BANCO DAVIVIENDA S.A. BANCO DE BOGOTÁ BANCO DE OCCIDENTE BANCO PICHINCHA S.A. BANCO PROCREDIT COLOMBIA S.A. BANCOLDEX S.A. BANCOLOMBIA S.A. BNP PARIBAS COLOMBIA

3 CORPORACIÓN FINANCIERA CENTRO COMERCIAL CHIPICHAPE CITIBANK COLOMBIA S. A. CJE SUPPLIES LTDA. COLPENSIONES CONCALIDAD LTDA. CONSEJO COLOMBIANO DE SEGURIDAD CONSOLUCIÓN ASESORES S.A.S. CORPORACIÓN DE CIENCIA Y TECNOLOGÍA PARA EL DESARROLLO DE LA INDUSTRIA NAVAL, MARÍTIMA Y FLUVIAL CREDIFAMILIA S.A. CRUZ ROJA SECCIONAL CUNDINAMARCA Y BOGOTÁ E.P.S. SERVICIO OCCIDENTAL DE SALUD S.A. EMPRESAS PÚBLICAS DE MEDELLÍN E.S.P. ENLACE OPERATIVO S.A. ESCUELA COLOMBIANA DE INGENIERÍA JULIO GARAVITO ETEK INTERNATIONAL COLOMBIA FINAMÉRICA S.A. GESTIÓN & ESTRATEGIA S.A.S. HSBC COLOMBIA S.A. ISOLUCIONES LTDA. KORAL SOLUTIONS S.A.S. MATPEL DE COLOMBIA S.A. OCCIDENTAL DE COLOMBIA INC ORGANISMO NACIONAL DE ACREDITACIÓN DE COLOMBIA -ONAC- ORGANIZACIÓN TERPEL S.A. PROFESIONALES EN DEPORTE - PRODEPORT LTDA. REDES HUMANAS S.A. RISKS & PROTECCIÓN LTDA. SETELCOM LTDA. SURTIDORA DE GAS DEL CARIBE S.A. E.S.P. TEAM FOODS COLOMBIA S.A. TECFIN INTERNATIONAL S.A. THOMAS GREG & SONS DE COLOMBIA S.A. UNE EPM TELECOMUNICACIONES S.A. ICONTEC cuenta con un Centro de Información que pone a disposición de los interesados normas internacionales, regionales y nacionales y otros documentos relacionados. DIRECCIÓN DE NORMALIZACIÓN

4 CONTENIDO Página INTRODUCCIÓN... i GENERALIDADES... i 0. INTRODUCCIÓN OBJETO Y CAMPO DE APLICACIÓN REFERENCIAS NORMATIVAS TÉRMINOS Y DEFINICIONES CONTEXTO DE LA ORGANIZACIÓN ENTENDIMIENTO DE LA ORGANIZACIÓN Y DE SU CONTEXTO ENTENDIMIENTO DE LAS NECESIDADES Y EXPECTATIVAS DE LAS PARTES INTERESADAS DETERMINACIÓN DEL ALCANCE DEL SISTEMA DE GESTIÓN SISTEMA DE GESTIÓN DE LA CONTINUIDAD DE NEGOCIO LIDERAZGO LIDERAZGO Y COMPROMISO COMPROMISO DE LA DIRECCIÓN POLÍTICA ROLES, RESPONSABILIDADES Y AUTORIDAD DE LA ORGANIZACIÓN PLANIFICACIÓN... 8

5 Página 6.1 ACCIONES PARA ABORDAR LOS RIESGOS Y OPORTUNIDADES OBJETIVOS DE LA CONTINUIDAD DE NEGOCIO Y PLANES PARA LOGRARLOS SOPORTE RECURSOS COMPETENCIA TOMA DE CONCIENCIA COMUNICACIÓN INFORMACIÓN DOCUMENTADA OPERACIÓN PLANIFICACIÓN Y CONTROL OPERATIVO ANÁLISIS DE IMPACTO AL NEGOCIO Y VALORACIÓN DE RIESGOS ESTRATEGIA DE CONTINUIDAD DE NEGOCIO ESTABLECER E IMPLEMENTAR PROCEDIMIENTOS DE CONTINUIDAD DE NEGOCIO EJERCICIOS EVALUACIÓN DEL DESEMPEÑO MONITOREO, MEDICIÓN, ANÁLISIS Y EVALUACIÓN AUDITORÍA INTERNA REVISIÓN POR LA DIRECCIÓN MEJORA NO CONFORMIDADES Y ACCIONES CORRECTIVAS... 57

6 Página 10.2 MEJORA CONTINUA BIBLIOGRAFÍA DOCUMENTO DE REFERENCIA FIGURAS Figura 1. Modelo PHVA aplicado a procesos de BCMS... ii Figura 2. Ilustración de un caso de continuidad de negocio eficaz para una interrupción repentina... v Figura 3. Ilustración de un caso de continuidad de negocio eficaz para una interrupción gradual (por ejemplo, una pandemia inminente)... vi Figura 4. Ejemplos de partes interesadas que se deben tener en cuenta en los sectores público y privado... 4 Figura 5. Elementos de gestión de la continuidad de negocio (BCM) Figura 6. Entendimiento de la organización TABLAS Tabla 1. Explicación del modelo PHVA... iii Tabla 2. Relación entre el modelo PHVA y los numerales 4 a iii

7 INTRODUCCIÓN GENERALIDADES Esta guía presenta orientación, en donde es apropiado, sobre los requisitos especificados en la NTC 5722 y brinda recomendaciones ( debería ) y sugerencias ( puede ) en relación con ellos. No pretende brindar orientación general sobre todos los aspectos de la continuidad de negocio. Esta guía incluye los mismos títulos que la NTC 5722, pero no repite los requisitos para sistemas de gestión de la continuidad de negocio ni sus términos y definiciones relacionados. Por tanto, las organizaciones que deseen estar informadas de estos deben consultar la NTC 5722 y la NTC Para brindar mayor claridad y explicaciones sobre los puntos clave, la presente guía incluye varias figuras, con propósitos ilustrativos solamente, y tiene prioridad el texto contenido en esta guía. Un sistema de gestión de la continuidad de negocio (BCMS, por sus siglas en inglés) enfatiza en la importancia de: - comprender las necesidades de la organización y la necesidad de establecer la política y los objetivos de la continuidad de negocio; - implementar y operar controles y medidas para gestionar la capacidad total que tiene una organización para gestionar incidentes de interrupción; - monitorear y revisar del desempeño y eficacia del BCMS; y - realizar la mejora continua basada en mediciones objetivas. Un BCMS, al igual que cualquier otro sistema de gestión, incluye los siguientes componentes clave: a) una política; b) personas con responsabilidades definidas; c) procesos de gestión relacionados con: 1) política; 2) planificación; 3) implementación y operación; 4) evaluación del desempeño; i

8 5) revisión por la dirección, y 6) mejora d) un conjunto de documentación que suministra evidencia auditable; y e) cualquier proceso del BCMS pertinente a la organización. La continuidad de negocio generalmente es específica para una organización; sin embargo, su implementación puede tener implicaciones de gran alcance en una comunidad más amplia y en otras partes. Es probable que una organización tenga organizaciones externas de las que dependa, y habrá otras que dependan de ella. Por tanto, una continuidad de negocio eficaz contribuye a una sociedad más resiliente. Ciclo Planificar-Hacer-Verificar-Actuar Esta Guía técnica aplica el ciclo Planificar-Hacer-Verificar-Actuar (PHVA) a la planificación, establecimiento, implementación, operación, monitoreo, revisión, mantenimiento y mejora continua de la eficacia del BCMS de una organización. La Figura 1 ilustra cómo el BCMS toma los requisitos de la parte interesadas como entradas para la gestión de la continuidad de negocio (BCM) y por medio de las acciones y procesos requeridos, produce salidas de continuidad de negocio (es decir, continuidad de negocio gestionada) que cumplen estos requisitos. Figura 1. Modelo PHVA aplicado a procesos de BCMS ii

9 Tabla 1. Explicación del modelo PHVA Planificar (Establecer) Hacer (Implementar y operar) Verificar (Monitorear y revisar) Actuar (Mantener y mejorar) Establecer la política, los objetivos, controles, procesos y procedimientos de continuidad de negocio pertinentes para la mejora de la continuidad de negocio, con el fin de entregar resultados que se alineen con las políticas y objetivos generales de la organización. Implementar y operar la política, los controles, procesos y procedimientos de continuidad de negocio. Monitorear y revisar el desempeño contra los objetivos y política de continuidad de negocio, reportar los resultados a la dirección para su revisión, y determinar y autorizar acciones de remediación y mejora. Mantener y mejorar el BCMS mediante la aplicación de acciones correctivas basadas en los resultados de la revisión por la dirección y la revaloración del alcance del BCMS y la política y los objetivos de la continuidad de negocio Componentes del PHVA en esta guía Existe una relación directa entre el contenido de la Figura 1 y los numerales de la presente Guía técnica: Tabla 2. Relación entre el modelo PHVA y los numerales 4 a 10 Componente del PHVA Planificar (Establecer) Hacer (Implementar y operar) Verificar (Monitorear y revisar) Actuar (Mantener y mejorar) Numeral en que se trata el componente PHVA El numeral 4 (Contexto de la organización) establece lo que la organización tiene que hacer para asegurarse de que el BCMS cumple sus requisitos, teniendo en cuenta todos los factores internos y externos pertinentes, que incluyen: - Las necesidades y expectativas de las partes interesadas; - sus obligaciones legales y regulatorias; - el alcance requerido del BCMS. El numeral 5 (Liderazgo) establece el rol clave de la dirección en términos de demostrar compromiso, definir la política y establecer los roles, responsabilidades y autoridades. El numeral 6 (Planeación) describe las acciones requeridas para establecer los objetivos estratégicos y principios guía para el BCMS en su totalidad. Éstos establecen el contexto para el análisis de impacto y evaluación del riesgo en el negocio (8.2) y la estrategia de continuidad de negocio (8.3). El numeral 7 (Soporte) identifica los elementos clave que necesitan implementarse para brindar soporte al BCMS, a saber: recursos, competencia, toma de conciencia, comunicación e información documentada. El numeral 8 (Operación) identifica los elementos de la gestión de la continuidad de negocio (BCM) que son necesarios para lograr la continuidad de negocio. El Numeral 9 (Evaluación del desempeño) suministra la base para la mejora del BCMS por medio de la medición y la evaluación de su desempeño. El numeral 10 (Mejora) trata sobre la acción correctiva necesaria para abordar una no conformidad identificada por medio de la evaluación del desempeño. Continuidad de negocio Capacidad de la organización para continuar suministrando productos o servicios a niveles predefinidos aceptables, posteriormente a un incidente de interrupción. La gestión de la continuidad de negocio (BCM, por sus siglas en inglés) es el proceso de lograr la continuidad de negocio, y hace referencia a cómo una organización aborda los incidentes de interrupción que de otra forma podrían impedir el logro de sus objetivos. iii

10 Colocar el BCM dentro del marco y disciplinas de un sistema de gestión crea un sistema de gestión de la continuidad de negocio (BCMS) que permite que la BCM sea controlada, evaluada y mejore continuamente. En la presente Guía técnica, la palabra negocio se usa de manera amplia para designar las operaciones y servicios llevados a cabo por una organización que busca cumplir sus objetivos, metas y misión. Como tal, se aplica igualmente a organizaciones grandes, medianas y pequeñas en los sectores industrial, comercial, público y sin ánimo de lucro. Cualquier incidente, ya sea grande o pequeño, natural, accidental o deliberado, tiene el potencial de causar una interrupción considerable en las operaciones de la organización y en su capacidad para entregar productos y servicios. Sin embargo, la implementación de la continuidad de negocio antes de que ocurra un incidente de interrupción, en vez de esperar a que éste ocurra, permitirá que la organización reanude sus operaciones antes de que se presenten niveles de impacto inaceptables. La BCM implica: a) tener claridad sobre los productos y servicios clave de la organización, y las actividades para su entrega; b) conocer las prioridades para reanudar las actividades, y también los recursos que se requieren; c) tener una comprensión clara de las amenazas para estas actividades, incluida su dependencia, y conocer los impactos de no reanudarlas; d) haber implementado convenios probados y confiables para reanudar las actividades después de un incidente de interrupción; y e) asegurarse de que estos convenios se examinen y actualicen en forma rutinaria, de manera que sean eficaces en todas las circunstancias. La continuidad de negocio puede ser eficaz para abordar incidentes de interrupción tanto repentinos (por ejemplo, explosiones) como graduales (por ejemplo, pandemia de gripa). Las actividades se interrumpen por una amplia variedad de incidentes, muchos de los cuales son difíciles de predecir o de analizar. Al enfocarse en el impacto de la interrupción, no en su causa, la continuidad de negocio identifica aquellas actividades de las cuales depende la organización para su supervivencia, y posibilita que la organización determine lo que se requiere para continuar cumpliendo sus obligaciones. Con ese reconocimiento, la organización está en capacidad de tener una visión realista sobre las respuestas que probablemente se necesiten cuando ocurra una interrupción, de manera que pueda tener confianza en que se gestionan las consecuencias y se eviten impactos inaceptables. Una organización que ha implementado una continuidad de negocio apropiada también puede tener la ventaja de contar con oportunidades que de otra manera se podrían considerar como demasiado riesgosas. Los siguientes diagramas (véanse las Figuras 2 y 3) tienen como fin ilustrar conceptualmente cómo la continuidad de negocio puede ser eficaz para mitigar impactos en determinadas situaciones. No hay implícitas escalas de tiempo particulares debido a la distancia relativa entre las etapas descritas en cualquiera de los dos diagramas. iv

11 Mitigación de impactos gracias a una continuidad de negocio eficaz - Interrupción repentina Figura 2. Ilustración de un caso de continuidad de negocio eficaz para una interrupción repentina v

12 Mitigación de impactos gracias a una continuidad de negocio eficaz - interrupción gradual Figura 3. Ilustración de un caso de continuidad de negocio eficaz para una interrupción gradual (por ejemplo, una pandemia inminente) vi

13 SEGURIDAD DE LA SOCIEDAD. SISTEMAS DE GESTIÓN DE CONTINUIDAD DE NEGOCIO. GUÍA. 0. INTRODUCCIÓN Este documento es una adopción idéntica (IDT) por traducción de la norma ISO 22313:2012. Sin embargo, aunque se trate de una guía técnica, en el numeral se modifica el término debería por debe, debido a que el cumplimiento de los requisitos legales debe tratarse de forma obligatoria. 1. OBJETO Y CAMPO DE APLICACIÓN La presente guía para sistemas de gestión de continuidad de negocio brinda orientación basada en buenas prácticas internacionales para la planificación, establecimiento, implementación, operación, monitoreo, revisión, mantenimiento y mejora continua de un sistema de gestión documentado que posibilita que las organizaciones se preparen para incidentes de interrupción, respondan ante estos y se recuperen de ellos cuando se presenten. Esta guía técnica no pretende dar a entender uniformidad en la estructura de un BCMS, sino que una organización diseñe un BCMS que sea adecuado a sus necesidades y que cumpla los requisitos de sus partes interesadas. Estas necesidades están determinadas por requisitos legales, regulatorios, organizacionales y de la industria, por los productos y servicios, por los procesos empleados, por el ambiente en el que opera, y por el tamaño y estructura de la organización y por los requisitos de sus partes interesadas. Esta guía técnica es genérica y es aplicable igualmente a todo tipo de organizaciones, incluidas las grandes, medianas y pequeñas que operan en los sectores industrial, comercial, público y sin ánimo de lucro que desean: a) establecer, implementar, mantener y mejorar un BCMS; b) asegurar conformidad con la política de continuidad de negocio de la organización; o c) hacer una autodeterminación y una autodeclaración de conformidad con esta guía técnica. Esta Guía técnica no se puede usar para evaluar la capacidad de una organización para satisfacer sus propias necesidades de continuidad de negocio ni necesidades de los clientes, legales o regulatorias. Las organizaciones que lo deseen pueden usar los requisitos de la NTC 5722 para demostrar a otros conformidades, o para buscar la certificación de su BCMS por un organismo de certificación por tercera parte acreditado. 1 de 60

14 2. REFERENCIAS NORMATIVAS Los siguientes documentos normativos referenciados son indispensables para la aplicación de este documento normativo. Para referencias fechadas, se aplica únicamente la edición citada. Para referencias no fechadas, se aplica la última edición del documento normativo referenciado (incluida cualquier corrección). NTC 5997, Seguridad de la sociedad. Terminología (ISO (MOD)). NTC 5722, Continuidad de negocio. Sistemas de gestión de continuidad de negocio. Requisitos (ISO (IDT)). 3. TÉRMINOS Y DEFINICIONES Para los propósitos de este documento se aplican los términos y definiciones presentados en la NTC 5997 y la NTC BIBLIOGRAFÍA [1] ISO 19011:2011, Guidelines for Auditing Management Systems. [2] ISO (All Parts), Information Technology. Service Management. [3] ISO ), Societal Security. Guidelines for Exercises. [4] ISO/PAS 22399:2007, Societal Security. Guideline for Incident Preparedness and Operational Continuity Management. [5] ISO 27002:2005, Information Technology. Security Techniques. Code of Practice for Information Security Management. [6] ISO 27031:2011, Information Technology. Security Techniques. Guidelines for Information and Communication Technology Readiness for Business Continuity. [7] ISO 31000:2009, Risk Management. Principles and Guidelines. [8] BSI :2006, Business Continuity Management. Code of Practice. [9] BSI :2007, Business Continuity Management. Specification. [10] HB 221:2004, Business Continuity Management, Standards Australia/Standards New Zealand, ISBN [11] SI 24001:2007, Security and Continuity Management Systems. Requirements and Guidance for Use, Standards Institution of Israel. [12] NFPA. 1600:2007, Standard on Disaster/emergency Management and Business Continuity Programs, National Fire Protection Association (USA). [13] Business Continuity Plan Drafting Guideline. Ministry of Economy, Trade and Industry, Japan,

15 [14] Business Continuity Guideline, Central Disaster Management Council, Cabinet Office, Government of Japan, [15] ANSI/ASIS SPC.1:2009, Organizational Resilience: Security, Preparedness, and Continuity Managements Systems. Requirements with Guidance for Use. [16] ANSI/ASIS/BSI BCM.01:2010, Business Continuity Management Systems: Requirements with Guidance for Use. [17] SS 540: 2008, Singapore Standard for Business Continuity Management. 3

16 IMPORTANTE Este resumen no contiene toda la información necesaria para la aplicación del documento normativo original al que se refiere la portada. ICONTEC lo creo para orientar a su cliente sobre el alcance de cada uno de sus documentos y facilitar su consulta. Este resumen es de libre distribución y su uso es de total responsabilidad del usuario final. El documento completo al que se refiere este resumen puede consultarse en los centros de información de ICONTEC en Bogotá, Medellín, Barranquilla, Cali o Bucaramanga, también puede adquirirse a través de nuestra página web o en nuestra red de oficinas (véase El logo de ICONTEC y el documento normativo al que hace referencia este resumen están cubiertos por las leyes de derechos reservados de autor. Información de servicios aplicables al documento aquí referenciado la encuentra en: o por medio del contacto cliente@icontec.org ICONTEC INTERNACIONAL 4