Requerimientos mínimos del plan de continuidad de negocio

(151) ANEXO 67

REQUERIMIENTOS MÍNIMOS DEL PLAN DE CONTINUIDAD DE NEGOCIO

I. Las Instituciones, previo al desarrollo del Plan de Continuidad de Negocio deberán llevar a cabo un análisis de impacto al negocio que:

a) Identifique los procesos críticos que se consideran indispensables para la continuidad de las operaciones.

b) Determine los recursos (humanos, logísticos, materiales, de infraestructura tecnológica y de cualquier otra naturaleza) mínimos necesarios para mantener y restablecer los servicios y procesos de la Institución ante la ocurrencia de una Contingencia Operativa, así como al término de ésta.

c) Elabore escenarios relevantes relativos a la verificación de posibles Contingencias Operativas, tales como:

i. Desastres naturales y ambientales.

ii. Enfermedades infecciosas.

iii. Ataques cibernéticos o a la actividad informática.

iv. Sabotajes.

v. Terrorismo.

vi. Interrupciones en el suministro de energía.

vii. Fallas o indisponibilidad en la infraestructura tecnológica (telecomunicaciones, procesamiento de información y redes).

viii. Indisponibilidad de recursos humanos, materiales o técnicos.

ix. Interrupciones ocurridas en servicios prestados por terceros.

d) Estime los impactos cuantitativos y cualitativos de las Contingencias Operativas, con base en los escenarios definidos para cada proceso crítico y a través de las metodologías aprobadas al efecto por el Comité de Riesgos.

e) Defina la prioridad de recuperación para cada uno de los procesos identificados como críticos.

f) Determine el tiempo objetivo de recuperación (conocido como RTO, por sus siglas en inglés), para cada uno de los procesos críticos.

g) Establezca, en su caso, el punto objetivo de recuperación (conocido como RPO, por sus siglas en inglés) entendido como la máxima pérdida de datos tolerable para cada uno de los

procesos críticos.

h) Identifique y evalúe los riesgos relacionados con los procesos operativos y servicios de procesamiento y transmisión de datos contratados con proveedores, así como los relacionados con custodia y resguardo de información de la Institución o de sus clientes.

i) Determine los riesgos derivados de la ubicación geográfica de los centros principales de procesamiento de datos y de operación de los procesos identificados como críticos conforme al inciso a) del presente numeral, para evitar que los centros de procesamiento de datos y de operación alternos estén expuestos a los mismos riesgos que los principales.

II. En el desarrollo del Plan de Continuidad de Negocio, las Instituciones deberán incorporar las siguientes estrategias:

a) De prevención, que comprenderá al menos la determinación, con base en el Análisis de Impacto al Negocio, de las acciones y procedimientos relativas a:

i. Reducir la vulnerabilidad de los procesos y servicios de la institución

...