INFORME RESULTADO FINAL PRUEBA GENERAL DE CONTINUIDAD DEL NEGOCIO. Agosto 11 al 25 GESTIÓN DE CRISIS Y CONTINUIDAD DEL NEGOCIO

Transcripción

1 INFORME RESULTADO FINAL PRUEBA GENERAL DE CONTINUIDAD DEL NEGOCIO Agosto 11 al 25 GESTIÓN DE CRISIS Y CONTINUIDAD DEL NEGOCIO DEPOSITO CENTRALIZADO DE VALORES - DECEVAL S. A. GERENCIA DE RIESGOS Y CUMPLIMIENTO JEFATURA DE GESTIÓN DE CRISIS CONTINUIDAD DEL NEGOCIO AGOSTO DE 2017 GESTION DE CRISIS Y CONTINUIDAD DEL NEGOCIO Página 1

2 TABLA DE CONTENIDO 1 OBJETIVOS PLANTEADOS PARA LA PRUEBA Objetivo general Objetivos específicos 3 2 RESULTADOS Y HALLAZGOS 4 3 PLANES DE ACCIÓN 13 4 EVALUACIÓN DE SATISFACCIÓN Evaluación Interna Población Objetivo: Criterios de Evaluación y Calificación Obtenida: Evaluación Externa 17 5 CONCLUSIONES 20 GESTION DE CRISIS Y CONTINUIDAD DEL NEGOCIO Página 2

3 1 OBJETIVOS PLANTEADOS PARA LA PRUEBA 1.1 Objetivo general Simular operación contingente tecnológica y operativa durante un período de dos semanas. 1.2 Objetivos específicos Operar todos los sistemas core de Deceval desde el datacenter de contingencia por dos semanas simulando una caída controlada Verificar la autonomía del segundo nodo Verificar el RTO para sistemas core Verificar la aplicabilidad y suficiencia de la documentación Verificar que el ambiente de contingencia funciona adecuadamente Operar desde la sede alterna operativa durante dos semanas GESTION DE CRISIS Y CONTINUIDAD DEL NEGOCIO Página 3

4 2 RESULTADOS Y HALLAZGOS Proceso Fecha y Resultados Hallazgos Hora Activación Viernes Exitoso No se presentan incidentes en el de servicios 11 de Se procede de proceso de activación tecnológicos agosto 11 acuerdo con el plan en sitio de pm establecido. contingencia El anuncio de inicio de la prueba se dio mediante activación de árbol de llamadas Activación remota RTO SIIDJ: 36 min RTO Web (Pagarés, Tidis, SGA): 36 min RTO Portal: 36 min Verificación Sábado Exitoso de Usuario 12 de Verificación correcta Pagarés agosto a para el sistema de las 12: 30 pagarés. am Verificación de componentes de firma. Verificación Lunes 14 Exitoso de Usuario de agosto Verificación correcta Operaciones a las 6:30 para todos los am sistemas. GESTION DE CRISIS Y CONTINUIDAD DEL NEGOCIO Página 4

5 Proceso Fecha y Resultados Hallazgos Hora Activación Lunes 14 Exitoso De las áreas planificadas, no Sede Alterna de agosto Áreas que operaron participó el área jurídica. Operativa 7 am durante las dos semanas en la sede alterna: Análisis y emisiones, Administración valores, Pagarés, Atención y Canales. Áreas que operaron un día en SAO: Mesa de servicios y Centro de cómputo Operación Sábado Exitoso Se presentaron los siguientes en 12 Se mantienen disponibles incidentes durante la operación: Contingencia Viernes todos los servicios tecnológica 25 de operando en ambiente de SIIDJ agosto contingencia durante Hacia el medio día del toda la semana. lunes 14 se reportaron SIIDJ bloqueos en SIIDJ, Pagarés refiriendo contención en la Tidis Ftp generación de reportes y Tidis web pantallas usadas en cobro SGA de derechos. Dichos Portal Web bloqueos fueron Servicios Ftp superados suspendiendo la réplica de TSM al igual GESTION DE CRISIS Y CONTINUIDAD DEL NEGOCIO Página 5

6 Proceso Fecha y Resultados Hallazgos Hora Correo electrónico que se ha hecho en ambiente principal durante las últimas semanas. Aproximadamente 15 a 20 minutos El día martes 15 de agosto se tenía una pago con transmisión de archivos SFTP. Se presentó imposibilidad de transmisión de los archivos para el pago vía SFTP. Se activó estrategia operativa de contingencia definida para este caso, y se hizo envío a través de correo electrónico con archivos cifrados. El problema fue debido a: Un cambio en el servicio SFTP hecho en Deceval en ambiente de producción, el cual no fue aplicado en GESTION DE CRISIS Y CONTINUIDAD DEL NEGOCIO Página 6

7 Proceso Fecha y Resultados Hallazgos Hora ambiente de contingencia. Cambios en configuración de firewall del cliente A partir del 16 de agosto y hasta el fin de la prueba el sistema se mantuvo estable. PAGARÉS Se presentó no disponibilidad del proceso de firma para los clientes con modalidad de servicio B2C, MRC y Portal de firmas, los cuales reciben un código a través de mensaje SMS para verificación de identidad y firma del pagaré. Esto debido a una inconsistencia por la cual el código no era aceptado por la aplicación. Esta indisponibilidad se mantuvo por todo el día GESTION DE CRISIS Y CONTINUIDAD DEL NEGOCIO Página 7

8 Proceso Fecha y Resultados Hallazgos Hora lunes y hasta las 2 pm del martes 15 de agosto. Fue necesario activar procesos de manejo de crisis con el cliente final, notificar de la situación y solicitar que aplicaran sus propios planes de contingencia con firma de pagarés físicos. Se dio soporte por parte de los gerentes de cuenta y fue necesario hacer un reporte a la Superintendencia Financiera, en cumplimiento de lo establecido en la circular 028 de 2016 Se presentó una falla en el servicio para un Banco cliente, debido a que no se generaban las notificaciones de firma de pagarés, dicho incidente fue reportado por el cliente y solucionado dentro del tiempo GESTION DE CRISIS Y CONTINUIDAD DEL NEGOCIO Página 8

9 Proceso Fecha y Resultados Hallazgos Hora establecido en el ANS mediante un despliegue de emergencia. Se presentó un incidente el día martes 22 de agosto, quedando no disponible por espacio de aproximadamente 25 minutos, generado por falta de espacio en el tablespace temporal de la base de datos de aplicaciones web. Este incidente fue detectado mediante monitoreo tecnológico y fue atendido y resuelto una vez identificado. Operación Lunes 14 Exitoso Se presentaron los siguiente en de agosto inconvenientes: Contingencia Viernes Se desarrollaron los operativa 25 de siguientes procesos desde Los funcionarios tuvieron que agosto SAO registrarse nuevamente en el primer piso del edificio. Análisis y Emisiones: Los equipos de SAO presentan Embargos fallas generales para la Custodia navegación por internet. Esto GESTION DE CRISIS Y CONTINUIDAD DEL NEGOCIO Página 9

10 Proceso Fecha y Resultados Hallazgos Hora Internacional tiene un impacto alto debido Fichas técnicas a que para el ingreso a SIIDJ Administración de los funcionarios requieren emisiones recuperar contraseña OTP a desmaterializadas través de correo electrónico y este proceso se hace Administración Valores: ingresando al portal. Cobro y Pago de Adicionalmente para otros Derechos procesos como custodia Cierre Operativo internacional también se requiere este servicio. Se tuvo Atención y Canales: soporte por parte del área de Gestión de TI para lograr la conexión. Sin requerimientos embargo los mismos Atención problemas se repitieron telefónica diariamente. También se Atención de PQR presentó lentitud en la Pagarés navegación por internet. Gestión de Al inicio del día lunes se Pagarés reportó un incidente para la Gestión recuperación de claves de OTP Documental por correo electrónico. Fue Atención reportado al área técnica y ventanilla solucionado en electrónica aproximadamente 1 hora. Envío y recepción Según reporte, tuvo que ver de con un problema de GESTION DE CRISIS Y CONTINUIDAD DEL NEGOCIO Página 10

11 Proceso Fecha y Resultados Hallazgos Hora correspondencia comunicación con el servidor física de contingencia. Se reportó ausencia del cifrador en los equipos de Administración Valores Retorno Viernes Exitoso: El retorno de servicios se dio en tecnológico 25 de El retorno se realizó de aproximadamente 40 minutos. servicios agosto forma remota. core 11 pm Los servicios core quedan En el proceso de retorno se (Remoto) disponibles, a las 11:45 presentó un inconveniente que pm fue detectado el día sábado 26 de agosto, el cual afectó el servicio de Pagarés para un cliente Verificación Sábado Exitoso Final de 12 de Verificación correcta Usuario agosto a para el sistema de Pagarés las 12:40 pagarés. am Cierre Sábado Exitoso tecnológico 26 de No se presenta ninguna agosto novedad en el proceso Verificación Lunes 28 Exitoso Se detectó un problema en la final de agosto Verificación correcta para validación inicial del día, Operaciones a las 6:30 todos los sistemas. relacionado con desincronización GESTION DE CRISIS Y CONTINUIDAD DEL NEGOCIO Página 11

12 Proceso Fecha y Resultados Hallazgos Hora am de OTP GESTION DE CRISIS Y CONTINUIDAD DEL NEGOCIO Página 12

13 3 PLANES DE ACCIÓN Sobre los incidentes reportados en el proceso de activación y durante las dos semanas de operación en contingencia se establecieron los siguientes compromisos: Situación Plan de Acción Fecha de Implementación Bloqueos de SIIDJ Establecer causa Septiembre 30 raíz de los bloqueos y su relación con la replicación de TSM. Análisis de tendencias de uso de reportes por parte de cliente interno y externo. Imposibilidad de transmisión de archivos de pago de dividendos por SFTP Revisar y ajustar proceso de control de cambios, para dar garantía de que los mismos sean replicados en ambiente de contingencia para todos los casos no solo para desarrollos grandes. Revisar y ajustar listas de chequeo de control de cambios Ajuste de código de la aplicación, despliegue de emergencia Septiembre 15 Responsable Sandra Cárdenas Dagoberto Rada Sandra Cárdenas No disponibilidad Solucionado Carlos Jimenez del proceso de firma B2C MRC y Portal de Firmas Ausencia de Se implementará un Octubre 30 Paola Castillo GESTION DE CRISIS Y CONTINUIDAD DEL NEGOCIO Página 13

14 Situación Plan de Acción Fecha de Implementación notificación Ausencia de registro de funcionarios en recepción del edificio BVC Fallas en navegación en internet en estaciones de SAO Ausencia de Cifrador en máquinas de esquema nuevo de administración de contactos asociados a notificaciones de contingencia para evitar la desactualización y facilitar el manejo de la información dentro de la base de datos Solicitar nuevamente a la BVC la correcta administración de la información para garantizar el registro de funcionarios en el edificio Verificación y actualización de políticas de navegación en internet y filtros de contenido para todos los equipos de SAO, de manera que queden funcionando igual que en calle 26. Garantizar la verificación mensual de los mismos Instalar la herramienta y robar Septiembre 15 Responsable Carlos Miralles Sandra Cárdenas Septiembre 15 Solucionado Ruth Calle GESTION DE CRISIS Y CONTINUIDAD DEL NEGOCIO Página 14

15 Situación Plan de Acción Fecha de Implementación admon valores su funcionamiento en todas las máquinas asignadas a oficial de administración valores Desincronización de OTP Investigación de causa raíz e implementación de solución Septiembre 15 Responsable Liliana Pineda GESTION DE CRISIS Y CONTINUIDAD DEL NEGOCIO Página 15

16 4 EVALUACIÓN DE SATISFACCIÓN 4.1 Evaluación Interna Como parte de la evaluación posterior al ejercicio se llevó a cabo una encuesta interna en la cual se busca evaluar la percepción de todos los involucrados en la prueba con respecto a: Coordinación y Preparación de la Prueba (40%) Operación de la Prueba (60%) A continuación se mencionan los resultados de la encuesta realizada para esta prueba: Población Objetivo: La encuesta se envió a todos los participantes internos del depósito, para ser solucionada entre el jueves 1 y el viernes 2 de septiembre Criterios de Evaluación y Calificación Obtenida: Item 1: Coordinación y Preparación de la Prueba En este ítem se evaluaron temas como la correcta divulgación de objetivos, alcance, responsabilidades y resultados esperados entre todos los participantes. La adecuación de los objetivos planteados, la asignación de recursos y seguimiento de las actividades de la prueba durante su ejecución. El Resultado obtenido para este ítem fue 4.03 sobre 5. Item 2: Operación de la Prueba Este ítem busca evaluar la forma en que se llevaron a cabo las actividades durante la ejecución, la calidad del soporte y el logro de los resultados esperados. GESTION DE CRISIS Y CONTINUIDAD DEL NEGOCIO Página 16

17 El resultado obtenido para este ítem fue 4.00 sobre 5. La calificación general fue de 4.01 sobre Evaluación Externa Como parte de la evaluación posterior, se llevó a cabo una evaluación de satisfacción dirigida a los clientes externos. La encuesta tuvo cuatro preguntas, la cuales podían ser calificadas en una escala de 1 a 5 siendo 1 la calificación más baja (Total Desacuerdo) y 5 la más alta (Total Acuerdo). A continuación se muestran los resultados obtenidos: Calificación promedio Pregunta 1: 4.67 GESTION DE CRISIS Y CONTINUIDAD DEL NEGOCIO Página 17

18 Calificación promedio Pregunta 2: 4.31 Calificación promedio Pregunta 3: 4.22 GESTION DE CRISIS Y CONTINUIDAD DEL NEGOCIO Página 18

19 Calificación promedio Pregunta 4: 4.65 Calificación Total: 4.5 GESTION DE CRISIS Y CONTINUIDAD DEL NEGOCIO Página 19

20 5 CONCLUSIONES Se cumplió con el objetivo de operar todos los sistemas core desde el Datacenter de contingencia simulando una caída controlada, por un periodo de una semana. Por primera vez se llevó a cabo operación para áreas de análisis y emisiones, administración valores, atención y canales, pagarés y gestión documental en la sede alterna operativa, con resultados exitosos durante dos semanas consecutivas. Se realizó el proceso de activación de servicios en ambiente de contingencia haciendo uso de los procedimientos que se tienen definidos y publicados para ello. Se comprobó la autonomía del nodo alterno para los servicios core Se llevaron a cabo todos los procesos tecnológicos en línea y batch para todos los servicios incluidos en el alcance El RTO para SIIDJ cumple con los acuerdos de servicio: fue de 36 min. El RTO para Servicios Web cumple con los acuerdos de servicio; fue de 36 min. El ejercicio permite demostrar que Deceval está en capacidad de recuperar y reanudar su operación y servicio al mercado de valores colombiano basado en la solución tecnológica y la sede alterna operativa con que cuenta. Fue posible identificar oportunidades de mejora importantes para garantizar la evolución del sistema de gestión de crisis y continuidad de negocio El ejercicio se considera exitoso y aumenta el nivel de confianza interna y externa sobre la Gestión de Crisis y Continuidad del Negocio. Agradecemos a todos los participantes su valiosa colaboración y aportes al proceso que permite afianzar los procedimientos y recursos de contingencia disponibles para reaccionar y recuperarnos ante un evento de crisis. GESTION DE CRISIS Y CONTINUIDAD DEL NEGOCIO Página 20