Planes de Continuidad de Negocio , el caso "Torre Windsor I"

No puedo eludir el hacer hoy una reflexión respecto a la seguridad y la continuidad de negocio tras los sucesos acontenidos este fin de semana en la torre Windsor.




La seguridad debe y tiene siempre como principal estrategia la prevención de incidentes y la disuasión de los atacantes. En cualquier caso, despues de lo sucedido han comenzado a revisarse las medidas de seguridad físicas de los edificios altos de Madrid. También parece que se cumple otro de los tópicos de la seguridad. Los grandes desastres se producen por una casual ocurrencia de pequeños incidentes que se transforman en un gran desastre. En este caso evidentemente algo fallo porque si no se dispone de medidas técnicas por parte del cuerpo de bomberos para paliar el fuego superada la altura de 50 metros es porque se dispone de medidas suficientes para que esta circunstancia no sea necesaria. A ello se suma que al no ser un dia laboral no existia personal en la planta afectada inicialmente que posiblemente hubiera podido reducir el alcance del primer foco del incendio.

Hoy la prensa hace hace eco de diferentes aspectos de la noticia:
Fuente: Incendio Windsor: La demolición es "inevitable", según Gallardón

"Las compañías que componen la mayor corporación reaseguradora de España, el Pool de Grandes Riesgos, valoraron el edificio Windsor en 84,2 millones de euros a finales de 2003.
Además, los ingresos que dejaría de percibir su propietario en caso de siniestro en concepto de alquileres se habían cuantificado en 12 millones de euros."

Respecto al valor de la información que contenía el edificio, todavía no se puede calcular el daño económico sobre las diferentes empresas. Puede que algunas no puedan superar un incidente de semejante gravedad. Una de las más afectadas, Deloitte, disponía de 20 plantas en ese edificio. Lo que si me plantea ciertas dudas es lo leído en Invertia respecto de las medidas de seguridad que tenía adoptadas para garantizar la seguridad de su información.

Fuente: Deloitte traslada su operativa temporalmente a Torre Picasso

"Fuentes de Deloitte explicaron a EFE que sus operarios están trabajando a toda velocidad para tener las oficinas a punto en Torre Picasso esta misma tarde. Además, los técnicos informáticos -muchos de ellos siguen sin dormir desde el sábado- intentan restablecer sus sistemas informáticos y recuperar toda la información posible. Las últimas copias de seguridad, asegura la firma, se hicieron el jueves, por lo que serían muy escasos los datos perdidos.
En todo caso, las pérdidas de información no se podrán cuantificar hasta bien avanzada la semana, al menos hasta que puedan acceder al edificio Windsor, ya que los ordenadores centrales estaban ubicados, bajo fuertes medidas de seguridad, en la planta tercera y no se descarta que algunos puedan seguir operativos. Fuentes de Deloitte insistieron hoy en que los clientes no resultarán afectados en absoluto, pues la firma mantiene su operativa habitual, pese a que el siniestro se ha producido en la época de mayor auge de la auditoría."

Las medidas de seguridad se apoyan unas en otra como una castillo de naipes construyéndose desde los niveles de protección física a los niveles de protección lógica y siempre contemplando la importancia del factor humano como usuario y operador de todas las medidas en todos los niveles. Cuando las cosas más elementales fallan como ha sido el caso de las medidas de prevención y detección de incendios, el resto de medidas puede que ya sean absolutamente ineficaces.

Como se puede leer, las copias de seguridad se realizaron el jueves e imagino que se encontrarán situadas en armarios ignífugos, pero ¿se encontraban fuera de las dependencias de los sistemas que procesaban los datos? ¿qué pasa si no es posible acceder al edificio? ¿qué pasará si es necesario demoler la edificación?.

Es cierto que el armario ignífugo es una adecuada medida de seguridad pero solo para los riesgos asociados a incidentes de poca envergadura. En el caso de la Torre Windsor, si toda la seguridad que se ha proporcionado ha sido esa, se habrá cometido un grave error puesto que el incidente ha superado al peor de los escenarios estimado.
¿Para qué queremos los datos en copias de seguridad si no podemos acceder a ellos?.

En este caso si las únicas medidas que se habían proporcionado frente a la amenaza de incendio han sido las copias de seguridad y éstas copias no se encuentran fuera del edificio, la medida de seguridad no se ajusta a los parámetros de disponibilidad necesarios porque aunque las copias no se hayan visto afectadas, el hecho de que no se encuentren disponibles hasta que se pueda acceder al edificio no garantiza los requisitos de seguridad exigidos.

Si el edificio tuviera que demolerse y no pudiera accederse a la planta en donde se encuentren los datos...¿cuanto tiempo pasará hasta que se localicen los armarios ignífugos entre los escombros resultantes del derribo?
Lo que quiero hacer ver con estas preguntas es que siempre la seguridad tiene un objetivo, un por qué hacer algo y un para qué hacerlo. El implantar por implantar no tiene sentido y el no coordinar entre si las medidas para que se complementen puede causar que la protección final no sea la adecuada o requerida.

Posiblemente Deloitte si haya previsto en su plan de contingencias todas estas cosas y la organización como tal posee madurez suficiente como para que un evento tan grande no suponga un impacto considerable en sus procesos de negocio, a pesar de las cuantiosas perdidas materiales. Lo que no tengo tan claro es que habrá pasado con el resto de empresas, pequeñas y medianas que por desconocimientos tecnológicos no hayan identificado adecuadamente sus niveles de riesgo ni hayan inventariado sus "Activos de información", todos aquellos elementos importantes de sus sistemas de información imprescindibles para soportar sus procesos de negocio.