SEGURIDAD INFORMÁTICA PARA LA CONTINUIDAD DE NEGOCIO
Una buena práctica es que se incluyen escenarios de pruebas que permiten probar nuestro plan de continuidad de negocio, apoyado en el equipo de trabajo y en herramientas de colaboración que permiten una participación de diversas áreas, según el alcance definido para estos escenarios de pruebas.
Adisa viene trabajando en su proceso de continuidad de negocio desde hace 4 años, el proceso de continuidad de negocio está basado en estándares internacionales como ISO 22317 para la elaboración de un Business Impact Analysis (BIA) el cual permitió a la organización el establecimiento de los principales procesos de negocio de forma clara y transversal a toda la organización. Este fue el inicio para establecimiento del alance del Plan de Continuidad de Negocios (PCN). En la actualidad, Adisa cuenta con un plan de continuidad de negocio robusto, supervisado por el Comité de Riesgos de la organización y aprobado por la Junta Directiva como máximo órgano de dirección, todo basado en las mejores prácticas de Gobierno Corporativo. De esa manera contamos con documentación que delimita todo el proceso dentro de lo que podemos indicar: 1. Política de continuidad de negocio 2. Plan de continuidad de negocio 3. Procedimientos para la gestión de la continuidad de negocio 4. Plan de gestión de la comunicación en situaciones de crisis 5. Formatos del plan de pruebas de continuidad 6. Registros de pruebas del plan de continuidad de negocio 7. Formato de plan de continuidad de negocio sobre servicios tercerizados Adicionalmente a los documentos formales, se manejan resúmenes ejecutivos de presentaciones para uso interno tanto a nivel directivo como operativo.
Durante 2020, la pandemia fue una prueba en vivo. Desde el inicio de la declaración de la pandemia, Adisa pudo en un muy corto tiempo adaptarse ya que no solo se contaba con planes de continuidad, sino que la compañía ha venido trabajando en un proceso de digitalización y canales de atención digitales, por lo que desde al día siguiente de presentarse el primer caso en Costa Rica, el 40% de nuestro personal estuvo teletrabajando y a las 2 semanas el 100% teletrabajando. Atendiendo a todos nuestros clientes con canales digitales y telefónicos para la totalidad de los procesos. Sitio Alterno En cuanto al sistema “core” de seguros, la base de datos se replica a un disco espejo en tiempo real, utilizando herramientas de tecnología Oracle hacia el sitio alterno al centro de datos de Cable and Wireless (CWC). Este centro de datos se ubica en Colombia, donde contamos con servidor de base de datos, y servidor de aplicación el cual está configurado para levantar la aplicación core de forma remota por lo que en caso de un incidente sobre los servidores productivos, la compañía puede estar operando en 12 horas con nuestro sitio alterLa replicación se monitorea y se documenta de forma diaria y semanalmente se efectúan revisiones
detalladas para mantener un estado de calidad óptima en la base de datos del sitio alterno.
7. End Point Suite para protección de equipos finales 8. Tecnología para respaldos de alto rendimiento Respaldos de Información: Existen políticas de respaldo, procedimientos y guías todos aprobados por el comité de tecnología y éstos incluyen reglas sobre procesos, tipos de respaldos, tiempos de retención, así existen diversas tecnologías para éstos, algunos sobre equipos EMC de almacenamiento como Data Domain, en cuanto al proceso de cumplimiento de respaldos, es monitoreado de forma diaria y se documenta para asegurar el cumplimiento de la política y en caso de incidentes los mismos también son registrados y documentados bajo el proceso de DSS02 Gestionar las peticiones e incidentes de servicio. Estos son algunos de los elementos del Marco de Gestión de TI de Adisa.
Asegurando y sensibilizando a nuestro equipo de trabajo sobre temas de seguridad. En cuanto a manejo de la seguridad trabajamos constantemente sobre la cultura de riesgo, dentro de los cuales se concientiza a los colaboradores sobre manejo de la seguridad y en conjunto con ESET Latinoamérica, empresa líder en seguridad, tenemos un plan de ejecución de pruebas denominada Security Awareness Testing, velando por la seguridad de los clientes, los activos de Adisa. Así también hemos trabajado con ESET Latinoamérica en planes de penetración o Pen Test que permiten a Adisa conocer vulnerabilidades y realizar acciones para corregirlas. En cuanto a infraestructura de seguridad contamos entre los puntos más relevantes con las siguientes herramientas: 1. Firewall perimetral 2. Web Application Firewall 3. Certificados de seguridad sobre dominio y subdominios para diferentes aplicaciones web 4. Suite de seguridad para protección de correo electrónico que incluye: 4.1 Antivirus 4.2 Antispam 4.3 Sandbox cloud 4.4 Desarme y reconstrucción de contenido CDR 4.5 Servicio de protección contra brotes 5. Herramientas de cifrado para archivos. 6. Conexiones por SSL VPN