GUÍA TÉCNICA COLOMBIANA 278

Transcripción

1 GUÍA TÉCNICA GTC COLOMBIANA SEGURIDAD DE LA SOCIEDAD. DIRECTRICES PARA LOS EJERCICIOS E: SOCIETAL SECURITY. GUIDELINES FOR EXERCISES CORRESPONDENCIA: esta guía es una adopción idéntica (IDT) por traducción del documento ISO 22398:2013. DESCRIPTORES: ejercicios; pruebas; simulacros; seguridad de la sociedad; continuidad de negocio; resiliencia. I.C.S.: Editada por el Instituto Colombiano de Normas Técnicas y Certificación (ICONTEC) Apartado Bogotá, D.C. - Tel. (571) Fax (571) Prohibida su reproducción Editada

2 PRÓLOGO El Instituto Colombiano de Normas Técnicas y Certificación, ICONTEC, es el organismo nacional de normalización, según el Decreto 1595 de ICONTEC es una entidad de carácter privado, sin ánimo de lucro, cuya Misión es fundamental para brindar soporte y desarrollo al productor y protección al consumidor. Colabora con el sector gubernamental y apoya al sector privado del país, para lograr ventajas competitivas en los mercados interno y externo. La representación de todos los sectores involucrados en el proceso de Normalización Técnica está garantizada por los Comités Técnicos y el período de Consulta Pública, este último caracterizado por la participación del público en general. La GTC 278 fue ratificada por el Consejo Directivo de Esta guía está sujeta a ser actualizada permanentemente con el objeto de que responda en todo momento a las necesidades y exigencias actuales. A continuación se relacionan las empresas que colaboraron en el estudio de esta guía a través de su participación en el Comité Técnico 205 Seguridad de la Sociedad y Resiliencia (antes: Continuidad de Negocio). ADMINISTRADORA COLOMBIANA DE PENSIONES -COLPENSIONES- ASOCIACIÓN BANCARIA Y DE ENTIDADES FINANCIERAS DE COLOMBIA -ASOBANCARIA- BANCO CAJA SOCIAL BANCO COLPATRIA MULTIBANCA COLPATRIA S.A. BANCO DE LA REPÚBLICA CONCESIONARIA VIAL DE LOS ANDES - COVIANDES- S.A.S. DELAWARE COLOMBIA S.A.S. DEPÓSITO CENTRALIZADO DE VALORES DE COLOMBIA -DECEVAL- S.A. ECOPETROL S.A. FONDO PARA EL FINANCIAMIENTO DEL SECTOR AGROPECUARIO -FINAGRO- MANEJO TÉCNICO DE LA INFORMACIÓN -THOMAS MTI- MARSH RISK CONSULTING LTDA. PWC COLOMBIA WILLIS COLOMBIA CORREDORES DE SEGUROS S.A. Además de las anteriores, en Consulta Pública el Proyecto se puso a consideración de las siguientes empresas: ACH COLOMBIA S.A. AEROVÍAS DEL CONTINENTE AMERICANO S.A. -AVIANCA S.A.- AGENCIA DE SERVICIOS LOGÍSTICOS S.A. AON RISK SERVICES DE COLOMBIA S.A. BANCAMIA S.A. BANCO AGRARIO DE COLOMBIA S.A. BANCO AV VILLAS BANCO DAVIVIENDA S.A. BANCO DE BOGOTÁ BANCO DE OCCIDENTE BANCO FALABELLA S.A. BANCO GNB SUDAMERIS BANCO PROCREDIT COLOMBIA S.A. BANCOLDEX S.A. BANCOLOMBIA S.A. BBVA COLOMBIA BNP PARIBAS COLOMBIA CORPORACION FINANCIERA BUSINESS PROCESS SERVICES S.A.S.

3 CAJA DE COMPENSACIÓN FAMILIAR COMFENALCO ANTIOQUIA CONCALIDAD LTDA. CONSOLUCION ASESORES S.AS. CREDIBANCO CRUZ ROJA SECCIONAL CUNDINAMARCA Y BOGOTÁ DECEVAL S.A. DELAWARE COLOMBIA E.P.S. SERVICIO OCCIDENTAL DE SALUD S.A. EMPRESAS PÚBLICAS DE MEDELLÍN E.S.P. ENLACE OPERATIVO S.A. ESCUELA COLOMBIANA DE INGENIERÍA JULIO GARAVITO ETEK INTERNATIONAL COLOMBIA GESTIÓN & ESTRATEGIA S.A.S. IBM DE COLOMBIA & CÍA. S.C.A. ISOLUCIONES S.A.S. ITEAM LTDA. KORAL SOLUTIONS S.AS. MAMUT DE COLOMBIA S.A.S. MATPEL DE COLOMBIA S.A. OCCIDENTAL DE COLOMBIA INC ORGANIZACIÓN TERPEL S.A. PACIFIC RUBIALES S.A. PÉREZ Y VILLA S.A. PINTUBLER DE COLOMBIA S.A. PROFESIONALES EN DEPORTE - PRODEPORT LTDA. PROMIGAS S.A. E.S.P. REDES HUMANAS S.A. RESTREPO ORAMAS S.A.S. - CARLOS A. RESTREPO- RISKS & PROTECCION LTDA. SERVIENTREGA S.A. SETELCOM LTDA. SURTIDORA DE GAS DEL CARIBE S.A. E.S.P. TEAM FOODS COLOMBIA S.A. TECFIN INTERNATIONAL S.A. THOMAS GREG & SONS DE COLOMBIA S.A. THOMAS MTI MANEJO TÉCNICO DE LA INFORMACIÓN S.A. UNE EPM TELECOMUNICACIONES S.A. UNIVERSIDAD SANTO TOMÁS ICONTEC cuenta con un Centro de Información que pone a disposición de los interesados normas internacionales, regionales y nacionales y otros documentos relacionados. DIRECCIÓN DE NORMALIZACIÓN

4 CONTENIDO Página INTRODUCCIÓN... i 1. OBJETO Y CAMPO DE APLICACIÓN REFERENCIAS NORMATIVAS TÉRMINOS Y DEFINICIONES PLANIFICACIÓN, EJECUCIÓN Y MEJORA DEL PROGRAMA DE EJERCICIOS GENERALIDADES PLANIFICACIÓN EJECUCIÓN REVISAR Y APROBAR EL PROGRAMA DE EJERCICIOS PLANIFICACIÓN, EJECUCIÓN Y MEJORA DE LOS PROYECTOS DE EJERCICIOS GENERALIDADES PLANIFICACIÓN EJECUCIÓN MEJORA MEJORA CONTINUA GENERALIDADES EVALUACIÓN... 25

5 Página 6.3 REVISIÓN POR LA DIRECCIÓN Y ACCIÓN CORRECTIVA BIBLIOGRAFÍA DOCUMENTO DE REFERENCIA ANEXOS ANEXO A (Informativo) DESCRIPCIÓN DE LOS EJERCICIOS DENTRO DE UN SISTEMA DE GESTIÓN ANEXO B (Informativo) ANÁLISIS DE NECESIDADES ANEXO C (Informativo) EJERCICIOS NACIONALES ESTRATÉGICOS ANEXO D (Informativo) MEJORA DEL EJERCICIO ANEXO E (Informativo) CREACIÓN DE ESCENARIOS A TRAVÉS DE LA EXPERIENCIA FIGURAS Figura 1. Relación entre programas de ejercicios, proyectos de ejercicios y mejora continua... ii Figura 2. División genérica de un ejercicio TABLAS Tabla 1. Ejemplos de descripciones para los tipos de ejercicios Tabla 2. Ejemplos de descripciones para métodos de ejercicios... 20

6 INTRODUCCIÓN Esta norma describe los elementos de un enfoque genérico para planificar, ejecutar y mejorar programas y proyectos de ejercicios. El propósito de esta norma es: - suministrar una base para comprender, desarrollar e implementar programas de ejercicios eficaces dentro de una organización; - proporcionar directrices para planificar y ejecutar un proyecto de ejercicios; - mejorar la capacidad de la organización para ejecutar ejercicios con partes involucradas internas y externas; - ayudar a la organización con el desarrollo y la valoración de su capacidad para el ejercicio de manera consistente y con riesgos valorados que reflejen las buenas prácticas; y - permitir la mejora continua de los programas y proyectos de ejercicios dentro de una organización. Esta se aplica a todas las organizaciones, independientemente de su tipo, tamaño y naturaleza, sean públicas o privadas. La guía se puede adaptar a las necesidades, los objetivos, los recursos y las restricciones de la organización. Los ejercicios son una herramienta de gestión importante destinada a identificar brechas y áreas para la mejora, así como para determinar la eficacia de la respuesta y las estrategias de recuperación. Además de medir la competencia de la organización y su personal, los ejercicios son herramientas excelentes para valorar planes revisados y programas con cambios para determinar su completitud, pertinencia y exactitud. Los ejercicios se pueden usar para validar políticas, planes, procedimientos, entrenamiento, equipos y acuerdos interorganizacionales; para someter a prueba los sistemas de recuperación ante desastres de tecnología de la información y las comunicaciones (TIC); entrenar al personal y brindarle claridad sobre los roles y las responsabilidades; mejorar la coordinación y las comunicaciones interorganizacionales; identificar brechas en los recursos; mejorar el desempeño individual; identificar oportunidades para la mejora; y brindar una oportunidad controlada para practicar la improvisación. Los proyectos de ejercicios usualmente tienen los siguientes objetivos de desempeño, entre otros: - Orientación/demostración: experiencia de simulación de una situación esperada para incrementar la concienciación acerca de las vulnerabilidades y la importancia de la acción eficaz en respuesta a condiciones simuladas. - Aprendizaje: fortalecer el conocimiento, las destrezas o las habilidades de los individuos o grupos con el fin de perfeccionar competencias específicas. i

7 - Cooperación: brindar una oportunidad para que las personas trabajen juntas para obtener un resultado final común. - Experimentación: probar métodos y/o procedimientos nuevos con fines de perfeccionamiento. - Ensayos: evaluar un método y/o procedimiento para valorar qué componentes se han desarrollado de manera suficiente. Véase la Figura 1. Figura 1. Relación entre programas de ejercicios, proyectos de ejercicios y mejora continua ii

8 SEGURIDAD DE LA SOCIEDAD. DIRECTRICES PARA LOS EJERCICIOS 1. OBJETO Y CAMPO DE APLICACIÓN Esta norma recomienda directrices y buenas prácticas para que una organización planifique, ejecute y mejore sus proyectos de ejercicios, los cuales pueden estar organizados dentro de un programa de ejercicios. Esta se aplica a todas las organizaciones independientemente de su tipo, tamaño o naturaleza, sean públicas o privadas. La guía se puede adaptar a las necesidades, los objetivos, los recursos y las restricciones de la organización. Esta norma está destinada para el uso por cualquier persona con responsabilidad de garantizar la competencia del personal de la organización, en particular el liderazgo de la organización, y aquellos responsables de gestionar los programas y proyectos de ejercicios. 2. REFERENCIAS NORMATIVAS Los siguientes documentos de referencia son indispensables para la aplicación de esta norma. Para referencias con fecha, se aplica únicamente la edición citada. Para referencias sin fecha, se aplica la edición más reciente de documento citado (incluyendo todas las enmiendas). NTC 5997, Seguridad de la sociedad. Terminología (ISO 22300, MOD). 3. TÉRMINOS Y DEFINICIONES Para los propósitos de este documento, se aplican los términos y las definiciones suministrados en ISO además de los siguientes: 3.1 Informe posterior a la acción (After-Action Report). Documento que registra, describe y analiza el ejercicio, partiendo de resúmenes e informes de observadores, y genera lecciones a partir de este. NOTA 1 NOTA 2 El informe posterior a la acción documenta los resultados a partir de la revisión posterior a la acción. El informe posterior a la acción también se denomina informe final del ejercicio. 3.2 Competencia (Competence). Capacidad demostrada para aplicar el conocimiento y las habilidades con el fin de lograr los resultados previstos. 1 de 43

9 3.3 Simulacro (Drill). Actividad en la cual se practica una habilidad particular y que a menudo involucra la repetición de la misma actividad varias veces. BIBLIOGRAFÍA [1] ASIS SPC.1:2009, Organisational Resilience: Security, Preparedness and Continuity Management. Requirements and Guidance for Use. [2] ASIS GDL BC , Business Continuity Guideline: A Practical Approach for Emergency Preparedness, Crisis Management, and Disaster Recovery. [3] Australia P2 Public Safety Competencies. [4] BS PD 25666, Exercising and Testing for Continuity and Contingency Programmes. [5] German Federal Office of Civil Protection and Disaster Assistance - LUKEX - Guidelines for Strategic Crisis Management Exercises. [6] Guidelines for Planning, Conduct and Assessment of International EAPC Exercises. [7] ISO/IEC 27031, Information Technology. Security Techniques. Guidelines for Information and Communication Technology Readiness for Business Continuity. [8] ISO 10015, Quality Management. Guidelines for Training. [9] ISO 19011, Guidelines for Auditing Management Systems. [10] ISO 22300, Societal Security. Terminology. [11] ISO 22301, Societal Security. Business Continuity Management Systems. Requirements. [12] ISO 22320, Societal Security. Emergency Management. Requirements for Incident Response. [13] ISO 31000, Risk Management. Principles and Guidelines. [14] ISO Guide 73, Risk Management. Vocabulary. [15] NFPA 1600, Standard for Disaster/Emergency Management Programs 2010 Edition. [16] SS 540:2008, Singapore Standard for Business Continuity. [17] U.S. Department of Homeland Security HSEEP (Homeland Security Exercise Evaluation Program): Volume I: HSEEP Overview and Exercise Programme Management; Volume II: Exercise Planning and Conduct; Volume III: Exercise Evaluation and Improvement Planning; Volume IV Library: Sample Exercise Materials. 2

10 IMPORTANTE Este resumen no contiene toda la información necesaria para la aplicación del documento normativo original al que se refiere la portada. ICONTEC lo creo para orientar a su cliente sobre el alcance de cada uno de sus documentos y facilitar su consulta. Este resumen es de libre distribución y su uso es de total responsabilidad del usuario final. El documento completo al que se refiere este resumen puede consultarse en los centros de información de ICONTEC en Bogotá, Medellín, Barranquilla, Cali o Bucaramanga, también puede adquirirse a través de nuestra página web o en nuestra red de oficinas (véase El logo de ICONTEC y el documento normativo al que hace referencia este resumen están cubiertos por las leyes de derechos reservados de autor. Información de servicios aplicables al documento aquí referenciado la encuentra en: o por medio del contacto cliente@icontec.org ICONTEC INTERNACIONAL 3