Proyecto Final PDF

PROPUESTA PARA EL DISEÑO DEL PLAN DE RECUPERACIÓN DE
DESASTRES DRP
CASO: UNIDAD ADMINISTRATIVA ESPECIAL DE CATASTRO DISTRITAL
UAECD
LUISA FERNANDA BARRAGÁN NIETO
YAMID PUENTES GALVÁN
UNIVERSIDAD CATÓLICA DE COLOMBIA
FACULTAD DE INGENIERÍA
PROGRAMA DE ESPECIALIZACIÓN EN SEGURIDAD DE LA INFORMACIÓN
BOGOTÁ D.C – 2016

PROPUESTA PARA EL DISEÑO DEL PLAN DE RECUPERACIÓN DE
DESASTRES DRP
CASO: UNIDAD ADMINISTRATIVA ESPECIAL DE CATASTRO DISTRITAL
UAECD
LUISA FERNANDA BARRAGÁN NIETO
YAMID PUENTES GALVÁN
Trabajo de Grado para Obtener El Título De Especialista En Seguridad De La

Información.
ASESOR: HECTOR DARIO JAIMES
INGENIERO DE SISTEMAS, MSC.
UNIVERSIDAD CATÓLICA DE COLOMBIA
FACULTAD DE INGENIERÍA
PROGRAMA DE ESPECIALIZACIÓN EN SEGURIDAD DE LA INFORMACIÓN
BOGOTÁ D.C – 2016

Nota de aceptación
______________________________________
______________________________________
______________________________________
______________________________________
Presidente del Jurado
______________________________________
Jurado
______________________________________
Jurado
Bogotá D.C., noviembre 28 de 2016.

Dedicatoria
A mis padres por ser el pilar fundamental en lo que soy, como esencia de mi educación y
formación para la vida, gracias a su incondicional apoyo completa y perfectamente mantenido en
el tiempo.
Luisa Barragán
Dedico este trabajo a Dios por darme la oportunidad y fortaleza para culminarlo; a mis
padres Nelly y Hernando, a mi tía Marcia por su comprensión, consejos y apoyo, todo lo que hoy
soy es gracias a ellos; a Luisa Fernanda por su colaboración y dedicación sin las cuales este
proyecto no sería una realidad.
“El éxito no se logra con la suerte, es el resultado de un esfuerzo constante”
Yamid Puentes Galván

Agradecimientos
Al Ingeniero Héctor Darío Jaimes por su dedicación como asesor de proyecto de grado,
sus valiosos aportes académicos y consejos impulsaron el desarrollo de este proyecto, y al
Ingeniero José Abraham Villarraga puesto que su apoyo, colaboración y motivación fueron
aportes esenciales para la culminación de este proyecto.

TABLA DE CONTENIDO
INTRODUCCIÓN ............................................................................................................................ 1
1 GENERALIDADES DEL TRABAJO DE GRADO .................................................................. 2
1.1 LÍNEA DE INVESTIGACIÓN.................................................................................................................. 2

1.2 PLANTEAMIENTO DEL PROBLEMA...................................................................................................... 2
1.2.1 Antecedentes del problema ...................................................................................................... 2
1.2.2 Pregunta de investigación ....................................................................................................... 3
1.3 JUSTIFICACIÓN ................................................................................................................................... 4
1.4 OBJETIVOS ......................................................................................................................................... 5
1.4.1 Objetivo general ...................................................................................................................... 5
1.4.2 Objetivos específicos ............................................................................................................... 5
2 MARCOS DE REFERENCIA .................................................................................................. 7
2.1 MARCO CONCEPTUAL ........................................................................................................................ 7

2.1.1 Disaster Recovery Planning (DRP) ......................................................................................... 8
2.1.2 Componentes de un DRP ......................................................................................................... 8
2.1.3 BCP Business Continuity Plan ................................................................................................ 9
2.1.4 Estructura BCP / DRP............................................................................................................. 9
2.1.5 Business Impact Assessment (BIA) ........................................................................................ 10
2.1.6 Evaluación de Riesgos (RA) .................................................................................................. 11
2.1.7 Tiempo de Recuperación Objetivo o RTO (Recovery Time Objetive) ................................... 11
2.1.8 Desastre ................................................................................................................................. 12
2.1.9 Riesgo .................................................................................................................................... 12
2.1.10 Vulnerabilidad ....................................................................................................................... 12
2.1.11 TI ........................................................................................................................................... 13
2.1.12 Infraestructura Tecnológica .................................................................................................. 13
2.1.13 Data Center o Centro de Procesamiento de Datos ............................................................... 13
2.1.14 Centro de cableado................................................................................................................ 14
2.1.15 Alerta ..................................................................................................................................... 14
2.1.16 Amenaza ................................................................................................................................ 14
2.1.17 Mitigación ............................................................................................................................. 15
2.2 MARCO TEÓRICO ............................................................................................................................. 16
2.2.1 ISO 22301:2012..................................................................................................................... 17
2.2.2 ISO 27001: ISO 27001 .......................................................................................................... 20
2.2.3 BS 17799:2000 ..................................................................................................................... 21
2.2.4 BS 25999-1:2006 ................................................................................................................... 21
2.2.5 BS 25777:2008 ...................................................................................................................... 22
2.2.6 ITIL ........................................................................................................................................ 25
2.2.7 NTC-ISO 31000: GESTIÓN DEL RIESGO ........................................................................... 28
2.2.8 BCI Lineamientos de buenas prácticas para la continuidad del Negocio ............................. 29
2.3 FASES DEL TRABAJO DE GRADO ....................................................................................................... 29
2.4 INSTRUMENTOS O HERRAMIENTAS UTILIZADAS ............................................................................... 30
3 DESARROLLO NUMERALES PROPIOS DEL PROYECTO .............................................. 31
3.1 DESARROLLO DE LOS OBJETIVOS ESPECÍFICOS DEL PROYECTO .................................. 31

3.1.1 Objetivo 1 .............................................................................................................................. 31
3.1.2 Objetivo 2 .............................................................................................................................. 36
3.1.3 Objetivo 3 .............................................................................................................................. 58
3.1.4 Objetivo 4 .............................................................................................................................. 68
3.1.5 Plan de Pruebas .................................................................................................................... 73
4 CONCLUSIONES Y RECOMENDACIONES ....................................................................... 75
5 BIBLIOGRAFÍA.................................................................................................................... 79
LISTA DE IMÁGENES
Imagen 1 Componentes de un DRP…………………………………………………………….............. 8
Imagen 2 Estructura BCP/DRP…………………………………………………………….................. 10
Imagen 3: Gestión y Análisis del Riesgo………………………………………………………………. 27
Imagen 4. Proceso para la Gestión del Riesgo Fuente: Norma ISO 31000:2009……..………... 39
Imagen 5. Impacto al Proceso de Provisión y Soporte de TI………………………………............ 67
Imagen 6. Impacto al Proceso de Mercadeo y Atención al Usuario…………………………….... 68
Imagen 7. Impacto al Proceso de Infraestructura de Datos Espaciales…………………............ 69
Imagen 8. Impacto al Proceso de Custodio de la Información Catastral……………….……….. 70
Imagen 9. Impacto al Proceso de Gestión Financiera……………………………………..………. 71
Imagen 10. Impacto al Proceso de Gestión Documental……………………………….…………... 72
Imagen 11. Impacto al Proceso de Gestión de Servicios Administrativos………………………… 73
Imagen 12. Estructura general de estrategias……………………………………………………….. 75
Imagen 13. Escenarios de interrupción………………………………………………………………... 76
Imagen 14. Árbol de llamadas…………………………………………………………………. 79

LISTA DE TABLAS
Tabla 1. Equipos de Firewall……………………………………………………………........... 32
Tabla 2. Servidores Linux…………………………………………………………………......... 34
Tabla 3. Servidores Windows....................................................................................................... 35
Tabla 4. Bases de datos……………………………………………………………………......... 36
Tabla 5. Roles…………………………………………………………………………….......... 37
Tabla 6. Gestión del Riesgo a Nivel de Procedimiento……………………………..….…......... 40
Tabla 7. Contexto Externo………………………………………………………………............ 41
Tabla 8. Contexto Interno…………………………………………………………………......... 42
Tabla 9. Clasificación del Riesgo…………………………………………………………......... 44
Tabla 10. Escala de Probabilidad………………………………………………………….......... 45
Tabla 11. Impacto de Credibilidad e Imagen................................................................................ 46
Tabla 12. Impacto de Información................................................................................................ 47
Tabla 13. Impacto de Legal.......................................................................................................... 47
Tabla 14. Impacto Financiero....................................................................................................... 48
Tabla 15. Formula de Impacto Total............................................................................................. 49
Tabla 16. Matriz de Calor............................................................................................................. 50
Tabla 17. Nivel del Riesgo............................................................................................................ 50
Tabla 18. Evaluación del Riesgo.................................................................................................. 51
Tabla 19. Efectividad del Control................................................................................................. 52
Tabla 20. Cuadrantes a Afectar en la Matriz de Calor.................................................................. 52
Tabla 21. Riesgos Extremos......................................................................................................... 61
Tabla 22. Escala Niveles de Valor................................................................................................ 64

Tabla 23. Nivel de Impacto........................................................................................................... 66
Tabla 24. Línea de Tiempo del Impacto....................................................................................... 66
Tabla 25. Equipo de manejo de crisis........................................................................................... 78

RESUMEN
Este proyecto se realizó en la Unidad Administrativa Especial Catastro Distrital -
UAECD, dicha entidad tiene como actividad la recopilación e integración de la información
georreferenciada de la propiedad inmueble del Distrito Capital en los aspectos físico, jurídico y
económico.
La problemática evidenciada en la entidad es que actualmente se encuentran en un
proceso de actualización de infraestructura tecnológica, ocasionando que el DRP que se tenía
implementado haya quedado completamente desactualizado.
Este proyecto se realizó con el objetivo de elaborar la propuesta para el diseño del Plan
de Recuperación ante Desastres -DRP de la Unidad ajustado a la realidad de la infraestructura
tecnológica, con el ánimo de proponer planes de acción que se puedan poner en marcha en caso
de un desastre o eventualidad que ponga en riesgo el desarrollo y continuidad de las actividades
que ejecuta la Unidad.
Para el desarrollo de este proyecto se cuenta con el trabajo de los ingenieros Luisa
Barragán Nieto y Yamid Puentes Galván. Adicionalmente contarán con la asesoría y continuo
acompañamiento del gestor de continuidad de la entidad Ingeniero José Abraham Villarraga.
Para poder llevar a cabo el desarrollo del diseño del DRP para la Unidad, se han
identificado los siguientes pasos a seguir:

Contexto actual de la UAECD: Consiste en identificar cómo se encuentra actualmente el
funcionamiento de los procesos de la UAECD, conocer sobre qué plataformas operan, qué
hardware y software utilizan, quienes son sus administradores y quiénes son sus clientes. Esto
también incluye el estado actual de la infraestructura tecnológica de la unidad.
Identificar procesos críticos de la unidad: El propósito es observar y analizar qué
procesos son esenciales, y deben estar en continuo funcionamiento en la Unidad. Para ello es
preciso determinar qué procesos están involucrados entre sí, reconocer sus responsables, clientes,
proveedores y sus épocas críticas.
Establecer cuáles son los de los cargos críticos de la unidad, con sus roles y
responsabilidades: Se debe precisar cuáles empleados son críticos en la unidad en caso de que un
evento inesperado ocasione la ausencia de dicho empleado. Se debe tener claro sus roles y
responsabilidades.
Realizar un análisis de los riesgos a los cuales están expuestos el Data Center Principal -
DCP y el Centro de Cableado Principal -CCP y determinar el impacto que tendrían sobre la
unidad. Además se deben definir los planes que se deben activar para entrar en situación de
contingencia y cómo retornar a la operación normal.
Finalmente se ha determinado que la elaboración de este diseño para el DRP beneficiara
en gran medida a la UAECD, ya que le permitirá establecer medidas pertinentes para recuperarse
en caso de una crisis (desastre, siniestro) que pueda presentarse en el pilar central de sus
operaciones en este caso DCP y CCP, podrá asegurar la continuidad de sus servicios y asegurar
la atención de sus usuarios (entidades distritales, nacionales, privadas y ciudadanos).

ABSTRACT
This project will take place in the Special Administrative Unit UAECD cadastre. This
entity has as restocking activity and integration of geo-referenced information of the real
property of the Capital District in the physical, legal and economic aspects.
The problem is evident in the entity that are currently in a process of upgrading
technological infra-structure. Causing the DRP that was implemented has been completely
outdated.
This project is conducted with the objective of developing the new design of disaster
recovery DRP adjusted to the reality of technological infra-structure unit. With the intention to
propose action plans that can be put in place in the event of a disaster or event that threatens the
development and continuity of activities running the unit.
For the development of this project it has the work of engineers and Luisa Barragan Nieto
Yamid Puentes Galvan. In addition they have the advice and continuous support manager
continuity of Engineer José Abraham Villarraga Ríos.
In order to carry out the design development of the DRP for the Unit, we have identified
the following steps:
current context of Spanish UAECD: Consists know how to identify the currently running
processes Spanish UAECD, learn about what platform they operate, what hardware and software
used, who are its administrators and who your customers are. That also includes the current state
of the technological infrastructure of the unit.
Identify the critical processes of the unit: The aim is to observe and analyze what
processes are essential, and must be in continuous operation in the unit. It is therefore necessary
to determine what processes are involved with each other, recognize its leaders, customers,
suppliers and critical times.
Establish what are the critical positions of the unit, with their roles and responsibilities:
You must specify which employees are critical to the unit in case of an unexpected event causes
the absence of the employee. It should be clear their roles and responsibilities.
An analysis of the risks to which they are exposed the CCP and DCP and determine the
impact they would have on the unit. In addition you should define the plans to be enabled to
enter into contingency situation and how to return to normal operation.
Finally it has been determined that the development of this design for the DRP will
greatly benefit the Spanish UAECD, as it will allow to establish appropriate measures to recover
in the event of a crisis (disaster, accident) that may arise in the central pillar of its operations in
this case DCP and CCP, you can ensure continuity of services and ensure the attention of their
users (national private entities, district, and CITIZENS

1
INTRODUCCIÓN
Dada la cantidad riesgos a los que puede estar expuesta una organización (Terremotos,
incendios, terrorismo, sabotaje, ataque informático, etcétera), y sobre todo después de los ataques
del 11 de septiembre de 2001, muchas empresas gubernamentales y no gubernamentales vieron
la necesidad de crear un mecanismo que les permitiera continuar con las actividades del negocio
de una forma aceptable en situación de desastre.
Es aquí donde surge la necesidad de implementar un DRP para muchas organizaciones.
La Unidad Administrativa Especial de Catastro Distrital no es la excepción, ya que siendo una de
las entidades de más relevancia para la capital por el gran volumen de información cartográfica,
física y económica de los bienes e inmuebles que maneja, la cual es base para la planeación de la
ciudad, un desastre para esta significaría una situación crítica.
Actualmente la Entidad está llevando a cabo un cambio de infraestructura que se ha
venido implementado a fin de mejorar la calidad de sus procesos y servicios; es allí donde nace
la necesidad de diseñar un plan de recuperación ante desastres DRP, que pueda mitigar el riesgo
de no disponibilidad de los recursos necesarios para la prestación de servicios.

2
1 GENERALIDADES DEL TRABAJO DE GRADO
1.1 LÍNEA DE INVESTIGACIÓN
Dado el contexto en el que se desarrolla este proyecto de grado suscrito alrededor de la
necesidad de diseñar una propuesta para el Plan de Recuperación ante Desastres que permita
restaurar los procesos críticos de la UAECD, esta temática se inscribe en la línea de “Software
inteligente y convergencia tecnológica” avalada por la Universidad Católica de Colombia, toda
vez que al realizar el desarrollo del proyecto, se pueden identificar diferentes variables que desde
el mismo, posibilitan tomar acciones preventivas y correctivas en el ámbito técnico, tecnológico
y financiero para buscar en un proceso de mejora la satisfacción del cliente.
1.2 PLANTEAMIENTO DEL PROBLEMA
1.2.1 Antecedentes del problema
Dado que la UAECD es una institución al servicio del ciudadano y de gran
alcance para el distrito, ya que brinda información geográfica para múltiples propósitos a
diferentes usuarios como son entidades distritales, nacionales, territoriales, privadas y
ciudadanos que se acercan a utilizar sus servicios cada año; se debe garantizar que
siempre haya disponibilidad en la prestación de dichos servicios.

3
Sin embargo al momento de presentarse una catástrofe de cualquier tipo que
pueda paralizar las herramientas o componentes de infraestructura tecnológica se debe
pensar en una estrategia que permita la continuidad de la operación. Y es allí en donde
existe un problema, puesto que se evidencia que la Unidad Administrativa Especial de
Catastro Distrital UAECD actualmente cuenta con un procedimiento de continuidad
enfocado al Plan de Recuperación ante Desastres DRP desactualizado y no ajustado a la
realidad, debido al cambio de infraestructura vivido, que permita la recuperación
sistemática de esos servicios críticos en el menor tiempo posible, ajustado a la
normatividad (ISO 22301:2012).
1.2.2 Pregunta de investigación
¿Cuáles son los pasos que deben seguirse en un procedimiento de DRP que
permita reducir las pérdidas de información y el tiempo de reanudación de la operación
en un evento de interrupción del Data Center Principal y el Centro de Cableado Principal
de la Unidad Administrativa Especial de Catastro Distrital ubicado en la Avenida carrera
30 # 25-90?
4
1.3 JUSTIFICACIÓN
Un desastre dentro de una organización puede significar muchas cosas, desde una pérdida
importante de información hasta un desastre natural que destruya o afecte la infraestructura
tecnológica de la organización. Cualquier evento que cause una interrupción en el desarrollo
normal del negocio se considera un desastre. (Villalobos, 2008)
El procedimiento DRP es una herramienta que sirve de orientación en caso de presentarse
un evento que interrumpa la operación normal de la entidad, ofreciendo un proceso ordenado que
permite a la organización restablecer las operaciones y procesos de misión crítica en el menor
tiempo posible.
Por ello se hace necesario proponer el diseño del Plan de Recuperación ante Desastres en
la Unidad Administrativa Especial de Catastro Distrital, con el propósito de minimizar el margen
de tiempo de recuperación de desastres en el Data Center Principal y Centro de Cableado
Principal, y de garantizar la continuidad de los servicios de atención al ciudadano.
La estrategia DRP sirve de referencia para la toma decisiones frente a la materialización
de un(os) escenario(s) de interrupción y, contribuye en la activación e integración del
procedimiento DRP, recuperando y continuando con las actividades y procesos operativos y
tecnológicos críticos de la organización.

5
1.4 OBJETIVOS
1.4.1 Objetivo general
Elaborar la propuesta para el diseño del Plan de Recuperación ante Desastres
(DRP) de la Unidad Administrativa Especial de Catastro Distrital UAECD.
1.4.2 Objetivos específicos
• Identificar los elementos que conforman el DRP, como lo son activos, y el equipo de
trabajo con sus respectivos roles y responsabilidades.
• Efectuar el análisis de riesgos a los procesos críticos contemplados dentro del DRP,
identificando causas, consecuencias, impacto y así mismo definir el control para mitigar
dichos riesgos
• Realizar el análisis de impacto del negocio BIA, sobre los procesos críticos identificados
y así lograr estimar los tiempos de recuperación para que los procesos claves entren en
operación rápidamente asignándoles la mayor prioridad posible.

6
• Definir la estrategia de recuperación para las de Base de Datos, firewall y los Sistemas
Operativos.
7
2 MARCOS DE REFERENCIA
2.1 MARCO CONCEPTUAL

8
2.1.1 Disaster Recovery Planning (DRP)
El Plan de Recuperación ante Desastres o DRP (Disaster Recovery Plan) por sus
siglas en inglés, es un conjunto de estrategias para proteger o recuperar la infraestructura
tecnológica ante un desastre. Siendo así se puede considerar que para alcanzar este
objetivo, dicho plan debe contar con ciertos elementos internos y externos que lo
conforman como por ejemplo saber que es la infraestructura tecnológica, que es un riesgo
o un desastre. (csrc.nist.gov/, 2010)
2.1.2 Componentes de un DRP
Imagen 1 Componentes de un DRP
Fuente: (Jairo Alejandro Romero, 2013)

9
2.1.3 BCP Business Continuity Plan
El plan de continuidad del negocio es un esquema cuyo propósito es la reducción
de la materialización de un desastre o crisis, evitando las consecuencias negativas, además
de garantizar la continuidad de la operación de los procesos críticos de un negocio en
estado de contingencia.
2.1.4 Estructura BCP / DRP
La estructura de recuperación cubre la información crítica, para que un negocio
pueda comenzar de nuevo sus operaciones en caso de un desastre natural o causado por
humanos, se observa una versión completa de los diferentes tipos de planes, y que se
interrelacionan con un Plan de Continuidad del Negocio (BCP, DRP). (Jairo Alejandro
Romero, 2013)
10
Imagen 2 Estructura BCP/DRP
Fuente: (Jairo Alejandro Romero, 2013)
2.1.5 Business Impact Assessment (BIA)
El propósito del BIA es crear un documento que ayude a entender el impacto que
un desastre pueda tener sobre un negocio en particular. Contempla tres objetivos
fundamentales: Priorizar procesos críticos del negocio. Calcular el “Maximun Tolerable
Downtime”, (MTD) el cual es el tiempo máximo sin servicio que una organización puede
soportar y seguir siendo una compañía que cumple con sus objetivos de negocio.
Normalmente es encontrado que este tiempo es mucho menor de lo esperado. (Sisteseg)

11
2.1.6 Evaluación de Riesgos (RA)
Identifican las amenazas de interrupción más probables y se analizan las
vulnerabilidades relacionadas con dichas amenazas, evaluando los controles de seguridad
física, lógica y ambiental, revisando su efectividad para contener las amenazas detectadas.
(businesscontinuity-pe.blogspot.com.co/, 2012)
Define la pérdida de datos máxima tolerable que se acepta ante una situación de
desastre. Por ejemplo, si ocurre un desastre y el nodo del búnker cuenta con dos horas de
datos y usted acepta reproducir una hora de datos, el RPO es de una hora. Si no hay
pérdida de datos aceptable, el RPO es cero. (Symantec)
2.1.7 Tiempo de Recuperación Objetivo o RTO (Recovery Time Objetive)
Define el límite de tiempo máximo tolerable dentro del cual se recuperan los datos.
Si se produce un desastre y los sistemas deben estar disponibles inmediatamente, pero se
permite que haya alguna pérdida de datos, el RTO es cero. Sin embargo, si se tolera una
hora de recuperación de datos, el RTO es una hora. (Symantec, www.symantec.com)

12
2.1.8 Desastre
Es un evento súbito calamitoso provocado por causas naturales o humanas que
conlleva consecuencias negativas como pérdidas o destrucción. (conceptodefinicion.de/,
2014)
2.1.9 Riesgo
Es la exposición a una situación donde hay una posibilidad de sufrir un daño o de
estar en peligro. Es esa vulnerabilidad o amenaza a que ocurra un evento y sus efectos
sean negativos y que alguien o algo puedan verse afectados por él.
(conceptodefinicion.de/, 2014)
2.1.10 Vulnerabilidad
Es la condición de debilidad de una persona u organismo frente a un evento
amenazante, también se entiende como la naturaleza de ser susceptible a ser dañado por
no saber resistir o recuperarse ante un desastre. (Unisdr, 2004)

13
2.1.11 TI
Es el término abreviado para referirse a las Tecnologías de la Información: Se
refiere al uso de equipos de telecomunicaciones y computadoras para la transmisión, el
procesamiento y el almacenamiento de datos. La noción abarca cuestiones propias de la
informática, la electrónica y las telecomunicaciones. (definicion.de/, 2008)
2.1.12 Infraestructura Tecnológica
Es el conjunto de hardware y software sobre el que se asientan los diferentes
servicios que necesita tener en funcionamiento una organización para poder llevar a cabo
toda su actividad. Incluye todas telecomunicaciones. (Catalunya)
2.1.13 Data Center o Centro de Procesamiento de Datos
Es un entorno proyectado para concentrar servidores, equipo de procesamiento y
almacenamiento de datos y sistemas de activos de red, como switches, enrutadores y
otros. Por ello, es considerado el sistema nervioso de las empresas. (Comstor)

14
2.1.14 Centro de cableado
Es un espacio dentro de un edificio, en donde convergen todos los medios físicos
de comunicación, (cables, fibras ópticas, microondas), cuyo objetivo es el transporte de
datos a través una red de comunicaciones a lo largo y ancho del edificio. Dentro de la
infraestructura tecnológica necesitan de otros dispositivos como switches, racks o
armarios, organizadores y otros más, para interconectar varias redes.
2.1.15 Alerta
Estado declarado con el fin de tomar precauciones específicas, debido a la
probable y cercana ocurrencia de un viento adverso. (Emergencias)
2.1.16 Amenaza
Peligro latente asociado con un fenómeno físico de origen natural, de origen
tecnológico o provocado por el hombre que puede manifestarse en un sitio específico o en
un tiempo determinado, produciendo efectos adversos en las personas, los bienes,
servicios y el medio ambiente. Técnicamente se refiere a la probabilidad de ocurrencia de
un evento con una cierta intensidad, en un sitio específico y en un tiempo o período
determinado. (Emergencias)
15
2.1.17 Mitigación
Acciones que se toman para eliminar o reducir el grado de riesgo a la vida y daño
a la propiedad, ya sea antes después del desastre y/o emergencia

16
2.2 MARCO TEÓRICO

17
La Unidad Administrativa Especial de Catastro Distrital dentro de la implementación del
Rediseño Institucional ha venido desarrollando y ajustando los modelos desarrollados en las
consultorías de Seguridad de la Información y Continuidad del Negocio bajos las normas ISO
27001 e ISO 22301-2012 respectivamente, con el fin de materializarlos como sistemas de
Gestión aplicados estrictamente a la nueva estructura funcional.
2.2.1 ISO 22301:2012
Llamado coloquialmente “Seguridad de la Sociedad: Sistemas de Continuidad del
Negocio”. Este estándar llega a remplazar el estándar BS 25999-2:2007, el cual hace
referencia a que dentro de cada empresa debe implementarse un Sistema de Gestión de
Continuidad de Negocio que garantice la continua operación de la cadena de suministros.
El objetivo de SGCN es proteger a los procesos o servicios críticos de una operación, de
la materialización de escenarios de riesgos, a través de una estrategia de continuidad, que
debe ser ensayada mediante la puesta en marcha de simulacros que permitan testear la
reanudación de operaciones. Esta norma además aplica el PHVA (Planear, Hacer,
Verificar y Actuar), lo que garantiza la mejora continua de su efectividad. (Alexander,
2012)
Las clausulas claves de la norma son las siguientes (ISO 22301: 2012):
18
Contexto de la organización: Determinar temas internos y externos que son
relevantes para el propósito de la organización y que afectan su habilidad de alcanzar los
resultados esperados de su SGCN. Identificar el alcance del SGCN, tomando en cuenta
los objetivos estratégicos de la organización, sus productos y servicios claves, su
tolerancia al riesgo y cualquier obligación reglamentaria, contractual o de sus partes
interesadas, también forma parte de esta cláusula (ISO 22301: 2012).
Liderazgo: La alta dirección debe demostrar un compromiso continuo con el
SGCN, a través de su liderazgo y acciones. La dirección puede crear un ambiente en el
cual distintos miembros del personal estén completamente involucrados y el sistema de
gestión pueda funcionar de manera eficaz en sinergia con los objetivos de la
organización. Una tarea clave es designar un coordinador/líder que se encargará de
gestionar y supervisar el proceso de elaboración e implementación del plan de
continuidad de negocio, e incluso, si la inversión lo permite y en función del tamaño de la
organización y el alcance del plan, es recomendable asignar personal adicional y
constituir un equipo de continuidad de negocio (ISO 22301: 2012).
Planificación: Esta es una etapa crítica en la que se establecen objetivos
estratégicos y principios para la orientación del SGCN en su totalidad. Los objetivos del
SGCN son una expresión del propósito de la organización para el tratamiento de los
19
riesgos identificados y/o para cumplir con los requisitos de las necesidades de la
organización (ISO 22301: 2012).
Soporte: La gestión diaria de un sistema de gestión de la continuidad de negocio,
se basa en el uso de recursos apropiados para cada actividad. Estos recursos incluyen
personal competente en base a formaciones y servicios de soporte, toma de conciencia y
comunicación pertinentes (y demostrables), esto debe ser apoyado por información
documentada adecuadamente gestionada. Las comunicaciones, tanto internas como
externas, deben ser consideradas en esta área, incluyendo su formato, contenido y el
momento oportuno de estas comunicaciones. Los requisitos para la creación,
actualización y control de la información documentada, también se especifican en esta
cláusula (ISO 22301: 2012).
Evaluación del desempeño: Una vez que el SGCN se ha implementado, la norma
ISO 22301 requiere un permanente seguimiento del sistema, así como revisiones
periódicas para mejorar su operación (ISO 22301: 2012).
Mejora: La mejora continua puede ser definida como todas las acciones,
realizadas a lo largo de la organización, para aumentar la eficacia (cumplir objetivos) y la
eficiencia (proporción costo/beneficio óptima) de los procesos y controles de seguridad
para brindar más beneficios a la organización y a sus partes interesadas. Una organización
20
puede mejorar continuamente la eficacia de su sistema de gestión a través del uso de la
política de continuidad de negocio, los objetivos, los resultados de auditorías, el análisis
de eventos controlados, los indicadores, las acciones correctivas y preventivas y la
revisión por la dirección (ISO 22301: 2012).
2.2.2 ISO 27001: ISO 27001
Es una norma internacional emitida por la Organización Internacional de
Normalización (ISO) y describe cómo gestionar la seguridad de la información en una
empresa. La revisión más reciente de esta norma fue publicada en 2013 y ahora su
nombre completo es ISO/IEC 27001:2013. La primera revisión se publicó en 2005 y fue
desarrollada en base a la norma británica BS 7799-2.
La ISO 27001 puede ser implementada en cualquier tipo de organización, con o
sin fines de lucro, privada o pública, pequeña o grande. Está redactada por los mejores
especialistas del mundo en el tema y proporciona una metodología para implementar la
gestión de la seguridad de la información en una organización. También permite que una
empresa sea certificada; esto significa que una entidad de certificación independiente
confirma que la seguridad de la información ha sido implementada en esa organización
en cumplimiento con la norma ISO 27001. (Academy, 2013)

21
La filosofía principal de la norma ISO 27001 se basa en la gestión de riesgos:
investigar dónde están los riesgos y luego tratarlos sistemáticamente.
2.2.3 BS 17799:2000
Este Estándar Internacional establece los lineamientos y principios generales
para iniciar, implementar, mantener y mejorar la gestión de la seguridad de la
información en una organización. Los objetivos de control y los controles de este
Estándar Internacional son diseñados para ser implementados para satisfacer los
requerimientos identificados por una evaluación del riesgo. (Mujica, 2005)
2.2.4 BS 25999-1:2006
La norma británica BS 25999 de la Institución Británica de Normas, toma la idea
de un plan de continuidad de negocios y amplía su alcance para abarcar en su totalidad a
la compañía. BS 25999 está dividida en dos partes: BS 25999-1 y BS 25999-2. La BS
25999-1, o Código de Práctica fue publicado en diciembre de 2006 y es un documento
general que explica el propósito de la norma, es básicamente un documento orientativo
que proporciona las recomendaciones prácticas para las el BCP. BS 25999-2, o la
especificación, fue liberada en noviembre de 2007 y establece los requisitos para un
Sistema de Gestión de la Continuidad (BCM). Esta es la parte de la norma que se certifica

22
a través de una etapa de implementación, de auditoría y posterior certificación (PJR,
2013).
El estándar proporciona una breve introducción de lo que es la Continuidad de
Negocio, explica porque las organizaciones deben contar con un Plan de Continuidad de
Negocio detallando los beneficios que se adquieren con la implantación de éste. Además
explica la importancia de contar con un Análisis de riesgos y como ayuda éste al Plan de
Continuidad de Negocio. Las etapas que el estándar maneja, son conocidas como el ciclo
de vida del BCP.
2.2.5 BS 25777:2008
En muchas organizaciones, la ejecución de los procesos críticos depende de los
servicios de información y tecnología de comunicaciones, definido en el BS 25777 como
ICT (Information and Communications Technology) (BS 25777: 2008).
La finalidad del BS 25777 es apoyar a las organizaciones a implementar una
correcta estrategia para los servicios de información y tecnología de comunicaciones. Los
principios que componen el estándar son (BS 25777: 2008):

23
Protección: El análisis de los servicios de información y comunicación permiten
conocer las amenazas y vulnerabilidades, identificando con ello, los riesgos que pueden
aminorarse (BS 25777: 2008).
Detección: Este principio se refiere a identificar los servicios que soportan los
procesos claves del negocio, para tenerlos como prioridad para su recuperación (BS
25777: 2008).
Reacción: Mediante la planeación de un programa de continuidad como el ICT,
se logra la reacción de la organización ante los incidentes, minimizando así, el Downtime
(BS 25777: 2008).
Recuperación: Sobre los requerimientos del negocio de las tecnologías de
información y los tiempos en que se requieren, se puede definir un plan de acción sobre
las tecnologías que se recuperan primero y las que se recuperarán después (BS 25777:
2008).
Operación: Este principio se refiere a dar soporte a la operación contingente que
la empresa desarrolle después de la ocurrencia del incidente (BS 25777: 2008).

24
Regreso: El ICT hace énfasis a lograr la operación del negocio después de un
incidente, pero es necesario diseñar la mejor estrategia para migrar la operación de la
organización de regreso al Edificio principal (BS 25777: 2008).
El ICT debe contar con algunos elementos que le permitan desarrollarse de la
mejor manera, estos son (BS 25777: 2008):
Personal: Además de apoyar en la operación diaria, el personal de Tecnologías
de Información y Comunicaciones debe empezar a desarrollar las habilidades para apoyar
en caso de un escenario de contingencia. Esto se logra a través de la capacitación y
práctica del ICT (BS 25777: 2008).
Localidades: Se debe identificar el equipo necesario para llevar a cabo la
restauración de las tecnologías de información así como los lugares alternos que se
utilizaran en un escenario de contingencia (BS 25777: 2008).
Tecnología: Dentro de la tecnología pueden identificarse algunos rubros como
(BS 25777: 2008):
Servidores, forma de respaldos de la información, medios de almacenamiento de
información que se utilizan y cualquier otro hardware necesario para la recuperación.

25
Software, incluyendo las aplicaciones de terceros utilizados en la operación
normal, en este punto se debe tener claramente identificadas las relaciones lógicas entre
aplicaciones.
Información, este punto cuida que cualquier tipo de información necesaria para
la recuperación se tenga lista, siempre cuidando la confidencialidad, integridad y
disponibilidad.
Procesos, se refiere a tener bien definido y detallado un programa que permita
recuperar los servicios de información con tan sólo tener servidores y equipos de
cómputo en blanco. Empezando desde la instalación del Sistema Operativo.
Proveedores, otro componente para que los servicios que ofrece el área de
Tecnologías de Información y Comunicaciones se puedan mantener continuos aún
después de ocurrido un incidente, son los proveedores especializados en el área como el
carrier de internet, proveedores de telefonía, entre otros (BS 25777: 2008).
2.2.6 ITIL
La Biblioteca Infraestructuras de Tecnologías de la Información (ITIL), contiene
un punto que es muy interesante para la formulación del Modelo de Plan de Continuidad
26
de Negocio y se encuentra en el apartado llamado Gestión de Continuidad de servicios de
TI (ITSCM por sus siglas en ingles), que tiene los siguientes objetivos (Osiatis, 2013)
Garantizar la pronta recuperación de los servicios (críticos) de TI tras un
desastre.
Establecer políticas y procedimientos que eviten, en la medida de lo posible, las
perniciosas consecuencias de un desastre o causa de fuerza mayor.
ITSCM está dirigido al área responsable de la información, buscando garantizar
una rápida recuperación de los servicios críticos de TI (Tecnologías de Información)
después de un incidente.
Dentro de la Continuidad de Negocio es indispensable elaborar un estudio de
Riesgos. ITIL con la Gestión de Continuidad del Servicio tiene una forma de llevar a
cabo una Gestión y Análisis de Riesgos, para lo cual se basa en la siguiente Figura No 3
(Osiatis, 2013)
27
Imagen 3: Gestión y Análisis del Riesgo

Fuente: (Osiatis, 2013)
Actividades propuestas por ITIL
• Establecer las estrategias de continuidad del servicio TI
• Adoptar medidas proactivas de prevención del riesgo
• Desarrollar los planes de contingencia
• Poner a prueba dichos planes.
Formar al personal sobre los procedimientos necesarios para la pronta
recuperación del servicio.
Revisar periódicamente los planes para adaptarlos a las necesidades reales del
negocio.
28
De acuerdo con ITIL cuanto mayor sea el impacto asociado a la interrupción de
un servicio, mayor debe ser el esfuerzo para la prevención.
Estudiando a detalle cada uno de los puntos que marca ITIL se pueden obtener
beneficios para el Plan de Recuperación de Tecnología en caso de Desastre, siempre que
puedan implementarse con los recursos existentes.
2.2.7 NTC-ISO 31000: GESTIÓN DEL RIESGO
Esta norma comprende la gestión que debe dársele a los riesgos a los cuales está
expuesta cualquier organización. Eso incluye su identificación y análisis y luego
evaluando si el riesgo se debería modificar por medio del tratamiento del riesgo con el fin
de satisfacer los criterios del riesgo. Esta norma establece unos principios que deben
cumplirse para garantizar que dicha gestión del riesgo sea eficaz, además recomienda que
las organizaciones diseñen, implementen y retroalimenten un marco de referencia cuyo
propósito sea integrar el proceso para la gestión del riesgo en los procesos globales de
gobierno, estrategia y planificación, gestión, procesos de presentación de informes,
políticas, valores y cultura de la organización. (Icontec)

29
2.2.8 BCI Lineamientos de buenas prácticas para la continuidad del Negocio
Se trata de una completa guía de gestión, actualizada en 2007, para instaurar
Buenas Prácticas Globales en Gestión de Continuidad de Negocio (GCN) y entender sus
principios. Inspirado en las experiencias académicas, técnicas y empíricas de los
miembros del Business Continuity Institute (BCI), y a instancias del ISMS Forum
español, el presente manual ofrece, en castellano, una visión general de las buenas
prácticas en lo que se refiere al ciclo de vida de la Gestión de Continuidad de Negocio
(GCN), desde el reconocimiento inicial de la necesidad de desarrollar el programa, hasta
el mantenimiento constante de un proceso maduro del mismo. (seguinfo.wordpress.com,
2008)Metodología
2.3 FASES DEL TRABAJO DE GRADO
Para lograr un acertado trabajo en el logro de las metas planteadas en los diferentes
objetivos propuestos, este proyecto se desarrolla en tres fases a saber: la fase de planeación, la
fase de análisis y la de diseño. En la primera fase se desarrolla la propuesta y el anteproyecto los
cuales siendo aprobados; dan vía a la segunda fase, en la cual se hará una revisión de los
procesos críticos de la Entidad y finalmente la tercera fase que se consolida en el desarrollo de
las tareas para cumplir cada uno de los objetivos planteados.

30
2.4 INSTRUMENTOS O HERRAMIENTAS UTILIZADAS
• Análisis de documentos (Antecedentes, pliegos de condiciones, matrices de
riesgos anteriores, procesos, procedimiento y políticas).
• Entrevista: con el gestor de continuidad y los administradores de las plataformas
• Observación: Los procesos misionales y de apoyo de la UAECD

31
3 DESARROLLO NUMERALES PROPIOS DEL PROYECTO
3.1 DESARROLLO DE LOS OBJETIVOS ESPECÍFICOS DEL PROYECTO
3.1.1 Objetivo 1
Identificar los elementos que conforman el DRP, como lo son activos, y el equipo de
trabajo con sus respectivos roles y responsabilidades.
La UAECD ofrece sus servicios y productos a una lista de usuarios entre los cuales se
encuentran entidades públicas y privadas, la ciudadanía y usuarios externos, apoyándose en
recursos como el humano, la infraestructura tecnológica y la información física y digital
reposada en las bases y bancos de datos.
A continuación se enlistan los activos críticos identificados que se ven afectados ante la
materialización de un desastre, o que de alguna manera conforman el DRP. Teniendo en cuenta
que un activo es todo aquel bien, propiedad o componente de una actividad o procesos que
generan valor y que han sido adquiridos por la entidad.
Se realizó la identificación de los activos críticos que se ven afectados en caso de la
materialización de un riesgo y que por consecuencia conforman el DRP. Estos están divididos de
la forma siguiente:
32
• Dispositivos de Firewall
• Servidores (Linux y Windows)
• Bases de datos
SEGURIDAD
Código Equipo
Función Ubicación Física Responsable
Protección contra amenaza, filtro
AC_CAT_01 Firewall de acceso a usuarios, gestión de
teletrabajo Centro Cableado Administrador de Firewall
Protección contra amenaza, filtro
AC_CAT_02 Firewall de acceso a usuarios, gestión de
teletrabajo Datacenter Administrador de Firewall
Tabla 1. Equipos de Firewall
SERVIDORES LINUX
Nombre Productos Aplicaciones Instaladas o
Código Servidor Función Instalados Soportadas Responsable
Capa
media ARGIS SERVER Servicios Arcgis 10 para Portal Administrador
AC_CAT_03 Servidor 1 Arcgis 10, OAS 10.1.3 Mapas de Servidores
Capa
media ARGIS SERVER Servicios Arcgis 10 para Portal Administrador
AC_CAT_04 Servidor 2 Arcgis 10, OAS 10.1.3 Mapas de Servidores
Capa OAS 10.1.2 y
Media Webtier - Administrador
AC_CAT_05 Servidor 3 Oracle OIM,OAM (2013) Página De Catastro e Intranet de Servidores
Capa
media ARGIS SERVER Ortofotos y Mapas para Administrador
AC_CAT_06 Servidor 4 Arcgis 10.3 Webadaptor de Servidores
Capa
media ARGIS SERVER Ortofotos y Mapas para Administrador
AC_CAT_07 Servidor 5 Arcgis 10.3 Webadaptor de Servidores
Capa
media Servicio Catastro 4 para Administrador
AC_CAT_08 Servidor 6 Arcgis ARGIS SERVER 10 Visorsigc de Servidores
Capa
AC_CAT_10 Servidor 8 Capa ARGIS SERVER 10 Servicio Catastro 4 para Administrador
33
media Visorsigc de Servidores

Arcgis
Capa
Oracle Database and
Bases de Clusterware Hisprod1, Misprod1 Administrador
AC_CAT_12 Servidor 10 datos 12.1.0.2.0 Admprod1 de Servidores
Oracle Database and
Bases de Clusterware Hisprod2, Misprod2, Administrador
AC_CAT_13 Servidor 11 datos 12.1.0.2.0 ,Admprod2 de Servidores
Oracle Database and
Bases de Clusterware Misprod1, Administrador
AC_CAT_14 Servidor 12 datos 12.1.0.2.0 Soaprod1,Admprod1 de Servidores
Oracle Database and
Oracle Database and
Oracle Database and
Oracle Database and
Bases de Oracle Database and Geopre1, Administrador
AC_CAT_19 Servidor 17 datos Clusterware 11.2.0.1 Mapasbd1,Georeco1,Geoedic1 de Servidores
Forms and
Capa Reports:OAS
Media 10.1.2.0.2 + Patch Administrador
AC_CAT_24 Servidor 22 Oracle 10.1.2.3 SIIC, Sicapital, Mod Estad. de Servidores
Capa
Media Servicios Web / Foca /Catastro Administrador
AC_CAT_25 Servidor 23 Oracle OAs 10.1.3 en Línea de Servidores
Capa
Media Servicios Web / Foca /Catastro Administrador
AC_CAT_26 Servidor 24 Oracle OAs 10.1.3 En Línea de Servidores
Tabla 2. Servidores Linux
34
SERVIDORES WINDOWS
Nombre Productos Aplicaciones Instaladas o
Código Servidor Función Instalados Soportadas Responsable
Administrador
AC_CAT_27 Servidor 1 Documentación INFODOC INFODOC de Servidores
SAS Miner-
Recursos SAS 9.2 Guide/Miner; Administrador
AC_CAT_28 Servidor 2 SAS Server compartidos SAIF de Servidores
ArcGis Desktop 10 ArcGis Administrador
AC_CAT_29 Servidor 3 GeoEdit Arcgis Server de Servidores
Administrador
de licencias ArcGis Desktop 10
ERDAS 2010. Flowmanager Adm. ArcGis Administrador
AC_CAT_30 Servidor 4 Reco/Prereco Arcgis Server de Servidores
Controlador de
Dominio-DNS-
DHCP -WSUS-
Manejador
Controlador Dom Licencias Arcgis Administrador
AC_CAT_31 Servidor 5 PRI 10 - NTP Server Directorio Activo de Servidores
Controlador de
Dominio-DNS-
Controlador Dom DHCP-Entidad Administrador
AC_CAT_32 Servidor 6 SEC Certificadora Directorio Activo de Servidores
Tabla 3. Servidores Windows
BASE DE DATOS
Código Base de Datos BD Instaladas o Soportadas
AC_CAT_33 Bases de Datos alfanumérica Histórica, Misional, Administrativa
AC_CAT_34 Bases de Datos alfanumérica Histórica, Misional, Administrativa
AC_CAT_35 Bases de Datos alfanumérica Misional, SOA, Administrativa
Geografica_Prereconocimiento,
AC_CAT_40 Base de Datos Geográfica Geografica_Reconocimiento, Geografica_Edición
35
Tabla 4. Bases de datos
3.1.1.1 Identificación de roles y responsabilidades
La identificación de los actores del DRP, sus roles y responsabilidades, son un factor
clave para la correcta activación del DRP y así poder evitar interrupciones de los servicios y
operaciones, logrando así la activación oportuna de la estrategia para recuperación. Es por ello
que de acuerdo al estudio realizado se identifican los siguientes responsables necesarios para
poder activar el DRP
ROLES CONFORMADO POR

• Directora de la UAECD
De la Alta Dirección • Gerente de Gestión corporativa
Representante por la Dirección Gerente de Tecnología
Principales:
• Directora de la UAECD
• Gerente Infraestructura de Datos Espaciales
IDECA
• Gerente de Información Catastral
• Gerente de Comercialización y Atención al
Usuario
• Gerente de Tecnología
• Jefe de Oficina Asesora Jurídica
Suplentes
• Gerente de Gestión Corporativa
Equipo de manejo de crisis • Subgerente de Operaciones
36
• Subgerente de Información Catastral

• Profesional especializado
• Subgerente de Infraestructura Tecnológica
• Profesional especializado
• Administrador de Infraestructura Tecnológica
• Administrador de Bases de Datos DBA
• Administrador de Redes
Equipo SGCN (Activan y
mantienen el DRP) • Administrador de sistemas operativos
Profesional especializado grado 222-11 adscrito a la
Oficial de continuidad Gerencia de Tecnología
Líder del DRP Subgerente de Infraestructura Tecnológica

Tabla 5. Roles
Para una descripción más detallada se debe consultar el Anexo No 1:
• Entregable Roles y responsabilidades del DRP
3.1.2 Objetivo 2
Efectuar el análisis de riesgos a los procesos críticos contemplados dentro del DRP,
identificando causas, consecuencias, el impacto y así mismo definir el control para mitigar
dichos riesgos
37
3.1.2.1 Etapas de la gestión de Riesgos
Para el desarrollo del Análisis de Riesgos –RA en la Unidad Administrativa Especial de
Catastro Distrital –UAECD- se ejecutará las etapas de la Gestión del Riesgo de acuerdo a las
establecidas en la norma ISO 31000: 2009.
Imagen 4. Proceso para la Gestión del Riesgo Fuente: Norma ISO 31000 2009
3.1.2.2 Gestión del Riesgo a nivel de procedimiento
Atendiendo a las etapas de la Gestión del Riesgo antes señaladas, se aplicó el análisis de
riesgos a los procedimientos de la entidad. Para ello se priorizó en cada proceso los subprocesos
que de no cumplirse su objetivo en debida forma, afectarían directamente y en gran medida el
logro del objetivo del proceso. Igualmente en cada subproceso se priorizaron aquellos
procedimientos que de no cumplirse su objetivo en debida forma, afectarían directamente y en

38
gran medida el logro del objetivo del subproceso. Es a estos procedimientos a los cuales se les
realizó el análisis de riesgos, hallando las actividades críticas del mismo.
GESTIÓN DEL RIESGO A NIVEL DE PROCEDIMIENTO

Procedimiento 1.
Procedimiento 2. Actividades Críticas
Subproceso 1. Procedimiento 3.
Proceso X Procedimiento 1.
Subproceso 2. Procedimiento 2. Actividades Críticas
Procedimiento 1.
Subproceso 3. Procedimiento 2. Actividades Críticas
Tabla 6. Gestión del Riesgo a Nivel de Procedimiento
Para el desarrollo del Análisis de Riesgos –RA se definieron los factores de riesgo que pueden
afectar el cumplimiento de los objetivos del proceso, que se logra a través del cumplimiento
subproceso y/o procedimiento, estos factores pueden ser de tipo externo y/o interno.
Entiéndase que estos factores son las condiciones internas y externas a la organización,
sus procesos, subprocesos y procedimientos, que pueden generar eventos que afecten
negativamente el cumplimiento de los objetivos. Las situaciones externas pueden ser de carácter
social, cultural, económico, tecnológico, político – legal y ambiental, bien sea internacional,
nacional o regional según sea el caso de análisis. Las situaciones internas están relacionadas con
la estructura, cultura organizacional, el modelo de operación, el cumplimiento de los planes y
programas, los sistemas de información, los procesos y procedimientos y los recursos humanos y
39
económicos con los que cuenta la entidad.
CONTEXTO EXTERNO
Factores de Riesgo que pueden afectar el cumplimiento de los objetivos del proceso, subproceso y/o
procedimiento
Factores de Riesgo Descripción
1.La evolución económica del país, sus condiciones 1.1. Negocios globales que dificultan los controles en
de crecimiento y desarrollo, los tratados de comercio las operaciones
2.Los cambios demográficos y culturales que alteran

2.1. Incremento de grupos de interés que desbordan la
los niveles de demanda o necesidades de la
capacidad de respuesta de la entidad
comunidad
3.El surgimiento de recursos tecnológicos y avances

3.1. Deficientes tecnologías en captura y procesamiento
científicos que el servicio debería conocer y
de información crítica de la Unidad
eventualmente adoptar
4.Las políticas públicas y las prioridades que se han 4.1. Políticas públicas que dificultan el accionar de la
definido para el sector al que pertenece el servicio entidad
5.1. Inseguridad Jurídica. Continuos cambios de

5.Los mandatos legales referentes al servicio
normatividad referente a la misión de la entidad
6.1. Planes de contingencia inoperantes a nivel nacional,

departamental y Distrital
6.2. Condiciones climáticas adversas

6. Factores naturales estacionales o accidentales.
Terremotos, inundaciones, sequías
6.3. Diversidad de terrenos y/o zonas geográficas, que

dificultan la operación de la Unidad
Tabla 7. Contexto Externo

40
CONTEXTO INTERNO
Factores de Riesgo que pueden afectar el cumplimiento de los objetivos del proceso, subproceso y/o
procedimiento
Factores de Riesgo Descripción
7.1. Incumplimiento de políticas, objetivos y procesos
7.2. Deficiencia en la definición de planes, políticas y

procesos
7. Normatividad interna que rige el funcionamiento 7.3. Falta de estandarización de procesos

de la organización. (Planeación, Políticas y
Procesos) 7.4. Ausencia de metodologías
7.5. Desconocimiento del Plan Estratégico
7.6. Interrupción o intermitencia en la ejecución de

proyectos
8.1. Falta de Capacitación
8.2. Alta rotación y/o traslado
8. Los recursos humanos de que dispone. Cantidad, 8.3. Alta resistencia al cambio
calidad, etc. 8.4. Baja cantidad de R.H.
8.5. Debilidades de comunicación
8.6. Perfil laboral inadecuado
9.1. Fallas en los sistemas de información
9. La tecnología a su alcance. Equipos de cómputo, 9.2. Fuentes de información erradas o deficientes

sistemas de información, etc.
9.3. Daños en Hardware o Software
9.4. Pérdida de información
9.5. Deficiencias en el licenciamiento
10.1. Diseño inadecuado de la estructura organizacional

10.La estructura organizacional formal
para responder a la misión de la entidad
11.La capacidad financiera 11.1. Recursos insuficientes

Tabla 8. Contexto Interno
41
3.1.2.3 Clasificación del riesgo
La clasificación del riesgo permite realizar la identificación de este, ya que a partir del
tipo de riesgo se puede determinar su naturaleza y así establecer si deben analizar dentro de los
procesos críticos contemplados en el DRP. A continuación se expone la tabla de clasificación del
riesgo.
Tipo de Riesgo Concepto
Son aquellos que se asocian con toda posibilidad de que suceda algo
relacionado con el cumplimiento de los objetivos estratégicos, la
Riesgo Estratégico
continuidad del negocio, la sostenibilidad y subsistencia de la entidad y
organismo distrital en el corto, medianos y largo plazo.
Son aquellos relacionados con la parte técnica que provienen de la

operación cotidiana y específica de cada proceso. Dentro de ellos se
pueden encontrar deficiencias en los sistemas de información,
Riesgo operativo
insuficiencias en la comunicación o desarticulación en el modelo de
operación, lo cual conduce a ineficiencias, corrupción e incumplimiento de
los objetivos institucionales.
Son aquellos que representen un daño económico a la entidad y organismo

distrital y/o un detrimento patrimonial. Pueden estar relacionados con
Riesgo Financiero
temas tales como la ejecución presupuestal, pagos, ineficiencias
operacionales o manejo de excedentes y bienes.
Son aquellos que se relacionan tanto con los daños generados por la
violación de una prescripción u obligación legal, incumplimientos a
políticas internas, como con la volatilidad normativa. Dentro de este tipo
Riesgo Normativo
se pueden agrupar los incumplimientos a obligaciones tributarias, a
tiempos en la presentación de estados financieros a solicitudes de
información y demás incumplimientos legales aplicables.
42
Son aquellos que tienen que ver con la capacidad de la entidad y

organismo para que la tecnología disponible satisfaga sus necesidades
Riesgo Tecnológico
actuales y futuras en aras de garantizar el cumplimiento de su misión y
objetivos institucionales.
Son aquellos que se relacionan con el daño generado por la pérdida de

conocimiento e información vital para el desarrollo de las actividades de la
Riesgo de Conocimiento
entidad y organismo distrital. En esta clasificación se encuentran los
riesgos en los activos y la seguridad de la información.
Son aquellos generados por la exposición a factores internos y externos

que afectan el medio ambiente de la entidad y organismo distrital (la
Riesgo Ambiental
contaminación, ambientes poco saludables) inherentes a las actividades
que desarrolla en cada proceso.
Tabla 8. Clasificación del Riesgo
3.1.2.4 Definición de la escala de probabilidad
De acuerdo a la información que se obtenga del riesgo se ubicará en la tabla de
probabilidad (Raro, improbable, posible, probable y casi seguro).
Bajo el criterio de Probabilidad, el riesgo se debe medir a partir de las siguientes
especificaciones:
ESCALA DE PROBABILIDAD
Nivel Detalle
5 Casi Seguro Se espera que el evento ocurra en la mayoría de las circunstancias
4 Probable El evento probablemente ocurrirá en la mayoría de las circunstancias
3 Posible El evento podría ocurrir en algún momento

43
2 Improbable El evento puede ocurrir solo en algún momento
1 Raro El evento puede ocurrir solo en circunstancias excepcionales
Tabla 9. Escala de Probabilidad
3.1.2.5 Escala de Impacto
Para la UAECD se han definido cuatro tipos de impacto a medir en un riesgo,
Credibilidad e Imagen, Información, Legal y Financiero y se fijó una ponderación para los
mismos.
ESCALAS DE IMPACTO DE CREDIBILIDAD E IMAGEN
Nivel Credibilidad e Imagen
Se afecta la imagen ante toda la ciudadanía distrital y

5 Catastrófico
nacional.
Mayor
Se afecta la imagen ante uno o varios grupos de interés,
4 instituciones públicas, privadas, de control, medios de
comunicación y organizaciones internacionales.
3 Moderado Se afecta la imagen a nivel de sector Hacienda
2 Menor Se afecta la imagen a más de una área de la entidad
1 Insignificante Se afecta la imagen a nivel de un área de la entidad
Tabla 10. Impacto de Credibilidad e Imagen

44
ESCALAS DE IMPACTO DE INFORMACIÓN

Nivel Información
Personal interno o externo no autorizado tenga acceso a

5 Catastrófico información altamente restringida o la información y su
calidad no se puede recuperar o ser reconstruida.
Personal externo no autorizado tenga acceso a

información restringida o la información y su calidad no
4 Mayor
puede ser recuperada y reconstruida totalmente en forma
oportuna.
Personal interno no autorizado tenga acceso a

3 Moderado información restringida o la información y su calidad no
puede ser recuperada y reconstruida en forma oportuna
Personal externo no autorizado tenga acceso a

información de uso interno generalizado o la
2 Menor
información se puede recuperar y reconstruir en su
totalidad y con calidad oportunamente
No se afecta la confidencialidad, disponibilidad e

1 Insignificante
integridad de la información
Tabla 11. Impacto de Información
ESCALAS DE IMPACTO LEGAL

Nivel Legal
Posibilidad supresión o fusión de la Entidad por
5 Catastrófico
decisión de la Administración Distrital
4 Mayor Fallos judiciales en contra de la Entidad
Acciones legales o investigaciones interpuestas en

3 Moderado
contra de la Entidad
2 Menor Reclamaciones por parte de usuarios
1 Insignificante Observaciones administrativas
Tabla 12. Impacto de Legal

45
ESCALAS DE IMPACTO FINANCIERO
Nivel Financiero
5 Catastrófico Afectación presupuestal igual o superior al 12%
4 Mayor Afectación presupuestal entre el 6% y el 11%
3 Moderado Afectación presupuestal entre el 3% y el 5%
2 Menor Afectación presupuestal entre el 1% y el 2%
1 Insignificante Afectación presupuestal entre el 0.1% y el 0.9%
Tabla 13. Impacto Financiero
Para hallar el impacto total de un riesgo atendiendo a los cuatro tipos definidos, se
procederá aplicando la siguiente formula:
IMPACTO TOTAL: (Nivel de Impacto Credibilidad e Imagen * % Peso) + (Nivel de
Impacto de Información* % Peso) + (Nivel de Impacto Legal * % Peso)+ (Nivel de Impacto
Financiero * % Peso)
Si el resultado obtenido es un número entero con cifra decimal, se aproximará por defecto
o exceso. Si la cifra decimal es igual o menor a 0,5 se aproxima por defecto a la unidad inferior
de lo contrario se aproxima a la unidad superior.

46
Credibilidad e
imagen Información Legal Financiero Total Impacto
(Nivel de Impacto
Credibilidad e
Imagen * % Peso)
FORMULA + (Nivel de
DE Impacto de
IMPACTO Información* %
TOTAL 0,35 0,45 0,15 0,05
Peso) + (Nivel de
Impacto Legal * %
Peso)+ (Nivel de
Impacto
Financiero * %
Peso)
Tabla 14. Formula de Impacto Total
3.1.2.6 Matriz de Calor
Una vez calificado el riesgo (probabilidad e impacto), se ubicará ésta en la Matriz de
Calor, para hallar su nivel de riesgo en la intercepción (Probabilidad - Impacto), la cual tiene las
siguientes posibilidades de nivel: bajo, moderado, alto y extremo.
IMPACTO
Insignificante Menor Moderado Mayor Catastrófico
1 2 3 4 5
Casi Seguro 5 A A E E E
PROBABILIDAD
Probable 4 M A A E E
Posible 3 B M A E E
Improbable 2 B B M A E
Raro 1 B B M A A
Tabla 15. Matriz de Calor

47
Nivel de Riesgo
Extremo
Alto
Moderado
Bajo
Tabla 16. Nivel del Riesgo
3.1.2.7 Evaluación del Riesgo
Una vez analizados los riesgos de una actividad crítica del procedimiento, se procede a
evaluar los riesgos hallados, para esto es necesario revisar y calificar los controles que tiene esa
actividad.
Percepción
Frecuencia de
Tipo Implementación Calificación de uso Calificación Efectividad Calificación
Detectivo Manual 1 Nunca 0 Ninguna 0
Preventivo Combinado 2 Esporádica 1 Poca 1
Correctivo Automatizado 3 Frecuente 2 Media 2
Continua 3 Alta 3
Tabla 17. Evaluación del Riesgo

48
3.1.2.8 Evaluación del Control
Al finalizar la evaluación de los atributos del control, se procede a realizar la calificación de
estos de acuerdo a la siguiente tabla:
Rango Efectividad Control
<=3 Pobre
>3 y <=6 Moderado
>6 y <=9 Efectivo
Tabla 18. Efectividad del Control
Calificado el control se entra a establecer los cuadrantes factibles a disminuir en la matriz
de calor de acuerdo al tipo de control y establecidos en la siguiente tabla.
Cuadrantes a disminuir en la Cuadrantes a disminuir

Probabilidad en el Impacto
Efectividad Control (Control Preventivo o Detectivo) (Control Correctivo)
Pobre 0 0
Moderado 1 1
Efectivo 2 2
Tabla 19. Cuadrantes a Afectar en la Matriz de Calor

49
3.1.2.9 Resultados del Análisis de Riesgos
A continuación se presentan los riesgos extremos, resultantes del Análisis de Riesgos –
RA elaborado para la UAECD, localizada en la avenida carrera 30 N° 25 – 90 de la ciudad de
Bogotá D.C, sitio donde se encuentra ubicada la sede única, el DCP y CCP.
50
Establecimiento del Contexto Identificación del Riesgo Análisis del Riesgo

Actividad
Factores del Crítica
contexto (Las que están Consecuencia Zona
Riesgo
Procedimient Externo e señaladas en Causa (Qué efectos Tipo de Probabilida Impact de
(Qué puede
o Interno que el (Qué lo origina) puede riesgo d o Riesg
suceder)
afectan al procedimiento producir) o
procedimiento como punto
de control)
La tecnología a
•
su alcance. • Recurso
Indisponibilida
Equipos de humano
d de recursos
cómputo, Posibles insuficiente o
de
sistemas de Revisar deficiencia carente de
Monitorear la almacenamient
información, desempeño de s en los competencias Riesgo
infraestructura o 4 4 E
etc. los requerimie requeridas Tecnológico
tecnológica • Ataques
Los recursos componentes ntos de • Prestación de
externos e
humanos de que monitoreo servicios
internos a la
dispone. deficientes por
infraestructura
Cantidad, terceros
Tecnológica
calidad, etc.
Los recursos Posible • Inadecuada

humanos de que ejecución • No correcta definición e
Estrategia de Ejecutar
dispone. de análisis identificación implementació Riesgos
continuidad análisis BIA y 3 4 E
Cantidad, BIA y RA de procesos n de estrategias estratégicos
del negocio RA
calidad, etc. incompleta críticos de
Normatividad s recuperación
51

Procedimient Factores del Actividad Riesgo Causa Consecuencia Tipo de Probabilida Impact Zona
o contexto
interna que rige Crítica (Qué puede (Qué lo origina) (Qué efectos riesgo d o de
el
funcionamiento
de la
organización.
(Planeación,
Políticas y
Procesos)
Posible
decisión
errónea
No aprobación
Los recursos durante la
de la Estrategia
humanos de que verificació Pérdida de
Estrategia de Validar de los planes de Riesgo
dispone. n de la Credibilidad e 3 5 E
Continuidad estrategia continuidad y Estratégico
Cantidad, aprobación Imagen
los planes de
calidad, etc. de la
recuperación
estrategia
BCP y
DRP
Los recursos Implementar Posible • Incapacidad

Estrategia de Riesgo
humanos de que Estrategia de interrupció • Falta de fluido para mantener
continuidad estratégico y 3 4 E
dispone. Planes de n de la eléctrico la cadena de
del negocio operativo
Cantidad, recuperación cadena de suministros
52

o contexto
calidad, etc. Crítica (Qué puede
suministros (Qué lo origina) (Qué
con losefectos riesgo d o de
Normatividad proveedores y
interna que rige clientes.
el
funcionamiento
de la
organización.
(Planeación,
Políticas y
Procesos)
Los recursos
humanos de que
dispone.
Cantidad,
calidad, etc. Posible
• Suspensión
Normatividad Implementar interrupció • Caída del
Estrategia de de los canales Riesgo
interna que rige Estrategia de n de las canal de
continuidad de atención estratégico y 3 4 E
el Planes de operacione comunicaciones
del negocio virtual y operativo
funcionamiento recuperación s de la de internet
presencial
de la entidad
organización.
(Planeación,
Políticas y
Procesos)
Gestión de Normatividad Desarrollar / Posible • • Suspensión Riesgo
3 4 E
Disponibilidad interna que rige Ajustar el insuficienci Desconocimient de los servicios estratégico y
53

o contexto
el Crítica
plan de (Qué apuede (Qué lo origina)
o del plan de (Qué efectos
sustentados en riesgo
operativo d o de
funcionamiento disponibilidad tecnológica disponibilidad la
de la de los para de los servicios infraestructura
organización. servicios y/o asegurar la y componentes de TI
(Planeación, componentes: disponibili
Políticas y dad
Procesos) acordada
Normatividad de la
interna que rige infraestruct
el ura de T.I
funcionamiento
de la
organización.
(Planeación,
Políticas y
Procesos)
El surgimiento
Ausencia de
de recursos
Una política de Riesgo
tecnológicos y Posible
Copias de Operativo
avances Validar Ausencia Credibilidad de
respaldo Riesgo
Copias de científicos que política de de una imagen
No aprobación Tecnológico 5 3 E
Respaldo el servicio copias de política de de Información
oportuna de la Riesgo de
debería conocer respaldo copias de Financiera
política de Conocimient
y eventualmente respaldo
copias de o
adoptar
respaldo
54

o La contexto
tecnología a Crítica (Qué puede (Qué lo origina) (Qué efectos riesgo d o de
su alcance.
Equipos de
cómputo,
sistemas de
información,
etc.
El surgimiento
de recursos
tecnológicos y
avances
científicos que
el servicio Ausencia de un Riesgo
debería conocer Posible Plan de copias Operativo
Credibilidad de
y eventualmente Validar plan Ausencia de respaldo Riesgo
Copias de imagen
adoptar de copias de de un plan No aprobación Tecnológico 5 5 E
Respaldo de Información
respaldo de copias oportuna del Riesgo de
Financiera
La tecnología a de respaldo plan de copias Conocimient
su alcance. de respaldo o
Equipos de
cómputo,
sistemas de
información,
etc.
Administració La estructura Radicar Posibles • Sistema de Riesgo
• Traspapelar
n de organizacional comunicación inconsisten registro de operativo y 3 4 E
documentos
correspondenci formal interna: cias en las documentos tecnológico
55

o a interna La contexto
tecnología a Crítica (Qué puede (Qué lo origina)
tablas de mal elaborado (Qué efectos riesgo d o de
su alcance. registro de
Equipos de informació
cómputo, n
sistemas de
información,
etc.
Los recursos
humanos de que
dispone.
• Afectación de
Cantidad, Archivar los Posible
la integridad,
Atención calidad, etc. oficios y pérdida de •
disponibilidad
Radicación y La tecnología a planillas del documento Desactualizació Riesgo
y 3 4 E
respuesta a su alcance. proceso de s n de la tablas de Tecnológico
confidencialida
tramites Equipos de acuerdo a la electrónico retención TRD
d de la
inmediatos cómputo, TRD s
información
sistemas de
información,
etc.
Desbloqueo de La tecnología a Levantar Posible • Falta de • Perdida de la Riesgo

3 4 E
predios su alcance. restricción incapacida privilegios en integridad de la Tecnológico
56

omarcados por contexto
Equipos de Crítica (Qué puede
d para (Qué lo origina)
los roles de (Qué efectos
información de riesgo
y operativo d o de
interrelación cómputo, cambiar la usuarios que los predios
snr-uaecd sistemas de condición utilizan el
información, del predio sistema
etc. Los en el
recursos sistema
humanos de que
dispone.
Cantidad,
calidad, etc.
Factores
naturales
estacionales o
accidentales.
Terremotos, Prestar el Posible
• Interrupción
inundaciones, servicio de acceso
Mantenimiento • Incendios, de todos
sequías mantenimient denegado a Riesgo
y adecuaciones Terremoto , servicios que 3 4 E
Factores oy las Ambiental
Locativas inundaciones presta la
naturales adecuaciones instalacion
entidad
estacionales o locativas es físicas
accidentales.
Terremotos,
inundaciones,
sequías
57

o Control de contexto
Factores Críticael
Prestar (Qué puede
Posibles (Qué
• lo origina) (Qué efectos
• Perdida de riesgo
Riesgo d
3 o
4 E de
pago y naturales servicio de daños a los Recalentamient recursos Tecnológico
consumo de estacionales o mantenimient component o del sistema de tecnológicos y Operativo
servicios accidentales. oy es de refrigeración
públicos Terremotos, adecuaciones infraestruct
inundaciones, locativas ura
sequías tecnológica
Factores del
naturales datacenter
estacionales o
accidentales.
Terremotos,
inundaciones,
sequías
Tabla 20. Riesgos Extremos
Para una descripción más detallada se debe consultar el Anexo No 2:
• Entregable_Matriz_RA
58
3.1.3 Objetivo 3
Realizar el análisis de impacto del negocio BIA, que permita identificar los procesos
críticos de la UAECD para estimar los tiempos de recuperación y para que los procesos claves
entren en operación rápidamente asignándoles la mayor prioridad posible.
El análisis de impacto al negocio (BIA), asociado a cada proceso crítico contemplado
para el DRP, nos permite determinar los tiempos máximos tolerables de recuperación que la
entidad puede soportar antes de sufrir un impacto considerable.
Los tiempos máximos tolerables a tener en cuenta son los siguientes:
• RTO (Tiempo máximo tolerable de indisponibilidad): El RTO (Tiempo objetivo
de recuperación) es el tiempo máximo que puede estar detenido un proceso crítico
antes de afectar considerablemente a la Entidad.
• RPO (Cantidad máxima tolerable de pérdida de información): El RPO (Punto
objetivo de recuperación) es el punto máximo de tolerancia a la pérdida de
información para un proceso crítico.

59
• MTPD (Tiempo Máximo Tolerable de Interrupción): Corresponde al tiempo
máximo que sería inaceptable debido a que se alcanzan impactos adversos; los
cuales podrían surgir como resultado de no proveer los productos/servicios o no
ejecutar una actividad.
Definición de Escalas de Valor
Para los tiempos máximos tolerables se establecieron unos parámetros que sirven como
escala de Niveles de Valor.
ESCALA DE NIVELES DE VALOR
Nivel Valor
Catastrófico 5
Mayor 4
Moderado 3
Menor 2
Insignificante 1
Tabla 21. Escala Niveles de Valor
3.1.3.1 Clasificación del impacto
Para el desarrollo del BIA, se establecieron tres tipos de impactos que se presentan para
cada proceso crítico contemplado dentro del DRP.

60
• Impacto a procesos : Implica la interrupción de la operación o reprocesos que se
puedan ocasionar a nivel de otros procesos.
• Impacto a la credibilidad : Incluye la pérdida de la reputación antes otras entidades
privadas o públicas que utilizan los servicios de la entidad, la ciudadanía que espera
respuesta a reclamaciones y requerimientos y pérdida de confianza de los entes de
control.
• Impacto legal : Contempla todas aquellas perdidas por la no presentación de
informes financieros o declaración de impuestos, demandas o sanciones al incumplir
requerimientos o actividades obligatorias de la entidad
Impacto de Impacto a
Impacto
Nivel credibilidad otros
legal
e imagen procesos
Grupo de No afecta ningún

Insignificante Multas
Funcionarios proceso
Afecta uno o más

Todos los proceso de
Menor Demandas
funcionarios evaluación y
control
Afecta uno o más

Investigación proceso de
Moderado Usuarios Ciudad
Disciplinaria evaluación y
control
Investigación Afecta uno o más

Mayor Usuarios Región
Fiscal proceso de apoyo
Afecta uno o más

Intervención
Catastrófico Usuarios País procesos
– Sanción
misionales
Tabla 22. Nivel de Impacto

61
3.1.3.2 Definición Impacto por subproceso crítico
Se definió el nivel de impacto que tendría la Entidad por la interrupción de la operación
de cada uno de sus sub procesos críticos sobre la siguiente línea de tiempo:
0, 5 días 1 día 5 días 15 días 30 días

Impacto de
credibilidad
e imagen
Impacto
legal
Impacto a
otros
procesos
Tabla 23. Línea de Tiempo del Impacto
3.1.3.3 BIA Proceso Provisión y soporte de TI
Imagen 5. Impacto al Proceso de Provisión y Soporte de TI

62
Los tiempos máximos de tolerancia están definidos en días, si el tiempo es de tan solo
unas horas, entonces se dividen dichas horas por el máximo de horas que tiene un día.
• RTO: (4 horas) = 0.167 días
• RPO: 2 días
• MTPD: 5 días
3.1.3.4 BIA Proceso Gestión de Mercadeo y Atención al Usuario
Imagen 6. Impacto al Proceso de Mercadeo y Atención al Usuario
Los tiempo máximos de tolerancia están definidos en días, si el tiempo es de tan solo
63
• RTO: (4 horas) = 0.167 días
• RPO: (4 horas) = 0.167 días
• MTPD: 2 días
3.1.3.5 BIA Proceso Infraestructura de Datos Espaciales
Imagen 7. Impacto al Proceso de Infraestructura de Datos Espaciales
64
• RTO: 3 días
• RPO: 1 día
• MTPD: 5 días
3.1.3.6 BIA Proceso Custodio de la Información Catastral
Imagen 8. Impacto al Proceso de Custodio de la Información Catastral
• RTO: 5 días
• RPO: 1 día
• MTPD: 15 días
65
3.1.3.7 BIA Proceso Gestión Financiera
Imagen 9. Impacto al Proceso de Gestión Financiera
• RTO: 2 días
• RPO: 1 día
• MTPD: 5 días
66
3.1.3.8 BIA Proceso Gestión Documental
Imagen 10. Impacto al Proceso de Gestión Documental
• RTO: 1 día
• RPO: (4 horas) 0 0.167 días
• MTPD: 5 días
67
3.1.3.9 BIA Proceso Gestión de Servicios Administrativos
Imagen 11. Impacto al Proceso de Gestión de Servicios Administrativos
• RTO: (1 hora) = 0.42 días
• RPO: 30 días
• MTPD: 1 día
Para una descripción más detallada se debe consultar el Anexo N 3
• Entregable Análisis de Impacto al Negocio BIA

68
3.1.4 Objetivo 4
Definir la estrategia de recuperación para las de Base de Datos, firewall y los Sistemas
Operativos.
3.1.4.1 Objetivo
El propósito de las estrategias del plan de recuperación ante desastres de la Unidad
Administrativa Especial de Catastro Distrital (UAECD) es proveer unas acciones a ejecutar para
recuperar los niveles de servicio en el menor tiempo posible y continuar con la operación, en el
momento de materializarse un desastre.
3.1.4.2 Estructura
La estructura general para las estrategias de recuperación de la entidad se cimienta en
dos tipos de estrategia los cuales son:
Data center alterno: Contar con un Data Center Alterno en modalidad de hosting, el
cual se debe encontrar a mínimo 10 km del Data center principal ubicado en la única sede de la
UAECD en la dirección Avenida cra.30 No 25 – 90, y además debe funcionar paralelamente y en
sincronía.
69
Copias de respaldo: Cuyo propósito principal es generar backups de respaldo de la
información generada en los procesos de la entidad, y de los repositorios de información de los
servidores y áreas de la unidad, para poder restaurar la información al estado en el cual estaba
antes de ocurrir un desastre.
Imagen 12. Estructura general de estrategias
3.1.4.3 Escenarios
Las estrategias usadas por la UAECD aunque se encuentren enfocadas a bases de datos,
redes, y sistemas operativos, se activan únicamente en el momento en que se materialicen dos

70
escenario catastrófico, que afecten la disponibilidad de las instalaciones físicas y infraestructura
tecnológica de la unidad, a continuación se describen dichos escenario.
Imagen 13. Escenarios de interrupción
3.1.4.4 Criterios de activación de los planes
Contingencia Parcial: Sucede cuando el Data Center Principal ubicado en Catastro
Distrital sale de funcionamiento, pero el resto de la red LAN de Catastro incluyendo Super Cade,
continúan operando
71
Contingencia Total: Sucede cuando el Centro de Cableado de Comunicaciones de
Catastro Distrital sale de funcionamiento, lo que implica que no se tiene comunicación LAN en
la sede Principal (incluye Data Center Principal, Super Cade, pisos 11 y 12) y tampoco tráfico
saliente
3.1.4.1 Administración de las comunicaciones
Manejar las comunicaciones en medio de una situación de desastre es importante ya que
de esta manera es posible mantener informados a los dueños de los procesos que se vean
afectados, a la alta gerencia, a los usuarios y clientes de dichos procesos y de ser necesario emitir
comunicados externos para informar a la ciudadanía acerca del estado de la unidad.
Dicha administración de las comunicaciones son ejecutadas por el equipo de manejo de
crisis el cual está conformado de la siguiente manera:
Principal Alterno
Directora de la UAECD Gerente de Gestión corporativa

Gerente Infraestructura de datos especiales Subgerente de Operaciones
IDECA
Gerente de Información catastral Subgerente de Información Catastral
Gerente de Comercialización y atención al Profesional especializado
usuario
Gerente de Tecnología Subgerente de Infraestructura tecnológica
Jefe oficina asesora jurídica Profesional especializado
Tabla 24. Equipo de manejo de crisis
72
Esta administración de comunicación entra en acción una vez se active el plan para
manejo de crisis. Este plan se activa únicamente para los dos siguientes escenarios de crisis
• La no disponibilidad de las instalaciones físicas
• La no disponibilidad de los servicios de tecnología
Árbol de llamadas para activar el DRP
Imagen 14. Árbol de llamadas
Para una descripción más detallada se debe consultar el Anexo No 4 Entregable
Estrategias de Recuperación.
73
3.1.5 Plan de Pruebas
Es importante señalar que la ejecución de pruebas a las estrategias del Plan de
recuperación de desastres DRP de la Unidad, están a cargo del equipo SGCN, puesto que son
ellos los encargados de activar y probar dichas estrategias.
A continuación se expone el plan de pruebas a las estrategias del DRP
Actividad Descripción
Programar las fechas para realizar pruebas De acuerdo a reunión con el oficial de continuidad
y el líder de DRP, dichas pruebas se deben efectuar tres
veces al año cada 4 meses.
Activación de pruebas Las pruebas siempre deben estar basadas en el

anexo No 4 Entregable Estrategias de Recuperación, puesto
que es allí donde se explican el tipo de estrategia, de
escenario y de contingencia, además se define la
administración de las comunicaciones.
Los pasos para activar las pruebas son los siguientes:
1. Informar a la alta gerencia, a los dueños de

procesos, al equipo de trabajo SGCN y a los
usuarios, al menos con dos semanas de
anticipación.
2. Publicar la ventana de mantenimiento, en donde se
mencione el propósito y la fecha exacta de esta.
(Nota: es importante que la fecha no coincida con
periodos de cierres de procesos contables o
rendición de informes)
3. La oficina asesora de comunicaciones debe
74
informar a los usuarios y ciudadanía acerca de la

ejecución de estas pruebas, el mensaje debe
generar conciencia indicándoles que esto se hace
con el propósito de garantizar la continuidad de los
servicios de la unidad.
4. Determinar el tipo de estrategia a probar ya sea el
data center alterno o las copias de respaldo.
5. Definir el escenario catastrófico ya sea la no
disponibilidad de infraestructura física o la no
disponibilidad de la infraestructura tecnológica.
6. Establecer si las pruebas se realizaran en
contingencia parcial o contingencia total.
Para un información más detallada consultar el

Anexo No 4 Entregable Estrategias de Recuperación
Ejecución de las pruebas Si el tipo de estrategia escogido para realizar la prueba es la

de data center alterno, estas deben utilizar como guía el
Anexo No 5 Plan de activación de estrategias del centro
alterno de datos.
Las pruebas deben estar enfocadas a probar la facilidad y el

tiempo que se demora en entrar en operación el data center
alterno.
Si el tipo de estrategia escogido para realizar la prueba es la

de copias de respaldo, estas deben utilizar como guía el
Anexo No 7 Entregable Estrategia restauración copias de
respaldo. Las pruebas deben estar enfocadas a probar la
facilidad y el tiempo que se demora la restauración de la
información. Este tipo de pruebas siempre deben ejecutarse
en un ambiente controlado.
Conclusiones de las pruebas El equipo que conforma el DRP siempre debe estar atento a
tomar nota de todos los pasos de la prueba, desde la
administración de las comunicaciones, la activación de plan
para manejo de crisis, el tiempo para activar las estrategias,
y el tiempo para retorno a la normalidad, esto con el
propósito de realizar un informe detallado donde se
entregue el resultado de las pruebas.
75
4 CONCLUSIONES Y RECOMENDACIONES
Dada la importancia que ha adquirido hoy en día el área de tecnología en las empresas, ya
que muchos de los procesos críticos de estas se apoyan en sus recursos, ya sean a través de la
utilización de aplicaciones, o el procesamiento de la información; es de vital importancia contar
con un plan de recuperación ante desastres que proteja los recursos críticos de informática y
tecnología y que ayude a un retorno rápido de la normalidad de las operaciones y la continuidad
del negocio.
Obviamente para lograr tener éxito en la realización de este plan de recuperación se
deben tener en cuenta factores como lo son: el apoyo de la alta gerencia, los recursos humanos,
tecnológicos, el presupuesto, y planificación adecuada que contemple distintas etapas como el
diseño, la implementación, la realización de pruebas, el mantenimiento y la mejora continua del
plan.
Para el desarrollo de este proyecto se estableció solo la etapa de diseño del plan de
recuperación ante desastres DRP de la UAECD, haciendo un enfoque en los procesos críticos de
la Unidad y contemplando estrategias de recuperación para el Data Center Principal DCP y
Centro de Cableado Principal CCP.

76
En esta etapa de diseño se planteó el desarrollo de una serie de objetivos que permitieran
la consecución del objetivo principal del proyecto el cual es “Elaborar la propuesta para el diseño
del Plan de Recuperación ante desastres de la Unidad Administrativa Especial de Catastro
Distrital UAECD”.
En general dichos objetivos se realizaron de la siguiente forma:
• Identificación de activos, equipo de trabajo con sus roles y responsabilidades que
componen el DRP, ya que esto permite determinar que activos de tecnología se
verían comprometidos al ocurrir un desastre, y establecer cuál es el equipo de
trabajo que activa, mantiene y prueba el DRP.
• Análisis de riesgos de los procesos críticos contemplados dentro del DRP, lo cual
permite identificar causas, consecuencias y determinar el impacto y control de
dicho riesgos.
• Análisis del impacto al negocio BIA, lo cual posibilita determinar el impacto de
no tener un proceso critico funcionando y definir la rapidez con la cual se deben
recuperar los servicios o sistemas de dichos procesos
• Definición de las estrategias de recuperación, que tienen como pilar fundamental
el data center alterno y las copias de respaldo, y se basan en las conclusiones del
análisis de la matriz de riesgos y del impacto al negocio.

77
Por esto se considera que el proyecto cumple cabalmente el propósito de la etapa de
diseño, y que será un documento soporte para que los encargados de elaborar e implementar el
DRP de la unidad se guíen y puedan cumplir con la implementación de dicho plan que permita la
continuidad de los procesos críticos de la unidad.
Recomendaciones
Se recomienda que el oficial de continuidad y el líder del DRP hagan participes del DRP
a la alta gerencia, no solo como patrocinadores, sino dejándoles ver la importancia del rol que
tienen ellos dentro plan frente a la toma de decisiones.
Dar a conocer el plan de recuperación ante desastres, no solo a las áreas afectadas sino a
todos los usuarios de los servicios de la unidad.
El centro alterno de datos debe estar ubicado geográficamente lejos del data center
principal, para garantizar que de haber un desastre natural que afecte los alrededores, este aún se
encuentre en funcionamiento y cumpla con su propósito de proveer los servicios tecnológicos
mientras se recupera el data center principal.
Es importante conocer el análisis de impacto al negocio, ya que de esta manera se
comprenden los tiempos máximos tolerables en que un sistema puede estar sin funcionamiento y
la perdida de información.
78
Se recomienda que el tratamiento y el seguimiento de los riesgos se realice de una manera
más profunda y concienzuda en las etapas de implementación y mejora continua, puesto que es
allí donde se define el apetito por el riesgo y las opciones para el manejo de estos, además esto
ayuda a tener un control continuo a los dueños de los procesos y de los riesgos.
Se sugiere al Gestor de continuidad, al líder del DRP y al equipo de SGCN, que utilicen
el plan de pruebas planteado en este proyecto como guía, ya que con esto garantizan que exista
una serie de pasos organizados cuando dicho plan se ejecute en la etapa de implementación.
Finalmente es importante conocer óptimamente los riesgos a los que están expuestos los
procesos críticos contemplados dentro del DRP, ya que estos son los que disparadores para
activar dicho plan.

79
5 BIBLIOGRAFÍA
Academy. (2013). http://advisera.com/. Obtenido de http://advisera.com/:
http://advisera.com/27001academy/es/que-es-iso-27001/
Alexander, A. G. (Octubre de 2012). http://www.gestion.com.do/. Obtenido de
http://www.gestion.com.do/: http://www.gestion.com.do/pdf/018/018-nuevo-estandar-
internacional.pdf
businesscontinuity-pe.blogspot.com.co/. (2012). Obtenido de businesscontinuity-
pe.blogspot.com.co/: http://businesscontinuity-pe.blogspot.com.co/2012/07/analisis-de-
impacto-al-negocio-bia.html
Catalunya, U. O. (s.f.). www.uoc.edu/. Obtenido de www.uoc.edu/.
Comstor. (s.f.). blogmexico.comstor.com/. Obtenido de blogmexico.comstor.com/:
http://blogmexico.comstor.com/%C2%BFqu%C3%A9-es-un-data-center
conceptodefinicion.de/. (29 de Diciembre de 2014). Obtenido de conceptodefinicion.de/:
http://conceptodefinicion.de/riesgo/
80
csrc.nist.gov/. (2010). Obtenido de csrc.nist.gov/: http://csrc.nist.gov/publications/nistpubs/800-
34-rev1/sp800-34-rev1_errata-Nov11-2010.pdf
definicion.de/. (2008). Obtenido de definicion.de/: http://definicion.de/tecnologia-de-la-
informacion/#ixzz43fHQvhzT
Emergencias, D. G. (s.f.). www.proteccioncivil.org/. Obtenido de www.proteccioncivil.org/:
http://www.proteccioncivil.org/webinfantil/glosario.html
Icontec. (s.f.). http://tienda.icontec.org/. Obtenido de http://tienda.icontec.org/:
http://tienda.icontec.org/brief/NTC-ISO31000.pdf
Jairo Alejandro Romero, J. R. (2013). http://repository.ucatolica.edu.co/. Obtenido de
http://repository.ucatolica.edu.co/:
http://repository.ucatolica.edu.co/jspui/bitstream/10983/1322/1/DISE%C3%91O%20E%
20IMPLEMENTACI%C3%93N%20DE%20UN%20PROTOTIPO%20QUE%20PERMI
TA%20EL%20DESPLIEGUE%20DE%20UN%20PLAN%20DE%20RECUPERACI%C
3%93N%20DE%20D.pdf
Mujica. (15 de Junio de 2005). mmujica.files.wordpress.com. Obtenido de
mmujica.files.wordpress.com: https://mmujica.files.wordpress.com/2007/07/iso-17799-
2005-castellano.pdf
81
Osiatis. (2013). http://itilv3.osiatis.es/. Obtenido de http://itilv3.osiatis.es/:
http://itilv3.osiatis.es/diseno_servicios_TI/gestion_continuidad_servicios_ti/evaluacion_ri
esgos.php
seguinfo.wordpress.com. (06 de Marzo de 2008). Obtenido de seguinfo.wordpress.com:
https://seguinfo.wordpress.com/2008/03/06/manual-de-buenas-practicas-de-bci/
Sisteseg. (s.f.). http://www.sisteseg.com/. Obtenido de http://www.sisteseg.com/:
http://www.sisteseg.com/files/Microsoft_Word_-
_POL_TICA_DE_CONTINUIDAD_DEL_NEGOCIO.pdf
Symantec. (s.f.). www.symantec.com. Obtenido de www.symantec.com:
https://www.symantec.com/es/es/security_response/glossary/define.jsp?letter=r&word=re
covery-point-objective-rpo
Symantec. (s.f.). www.symantec.com. Obtenido de www.symantec.com:
https://www.symantec.com/es/es/security_response/glossary/define.jsp?letter=r&word=re
covery-time-objective-rto
Unisdr. (2004). http://www.unisdr.org/. Obtenido de http://www.unisdr.org/:
http://www.unisdr.org/2004/campaign/booklet-spa/page8-spa.pdf
82
Villalobos, J. S. (Enero de 2008). http://www.uci.ac.cr/. Obtenido de http://www.uci.ac.cr/:
http://www.uci.ac.cr/Biblioteca/Tesis/PFGMAP505.pdf
83
ANEXOS
Lista de Anexos
Anexo No 1 Entregable Roles y responsabilidades del DRP
Anexo No 2 Entregable Matriz RA
Anexo No 3 Entregable Análisis de Impacto al Negocio BIA
Anexo No 4 Entregable Estrategias de Recuperación
Anexo No 5 Plan de Activación de Estrategias del Centro Alterno de Datos
Anexo No 6 Entregable Plan para manejo de crisis
Anexo No 7 Entregable Estrategia para realizar copias de respaldo
Anexo No 8 Entregable estrategias de restauración copias de respaldo

Proyecto Final PDF

Cargado por

Copyright:

Formatos disponibles

Proyecto Final PDF

Cargado por

Información del documento

Título original

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Proyecto Final PDF

Cargado por

Copyright:

Formatos disponibles

PROPUESTA PARA EL DISEÑO DEL PLAN DE RECUPERACIÓN DE

LUISA FERNANDA BARRAGÁN NIETO

YAMID PUENTES GALVÁN

UNIVERSIDAD CATÓLICA DE COLOMBIA

PROGRAMA DE ESPECIALIZACIÓN EN SEGURIDAD DE LA INFORMACIÓN

BOGOTÁ D.C – 2016

LUISA FERNANDA BARRAGÁN NIETO

YAMID PUENTES GALVÁN

Trabajo de Grado para Obtener El Título De Especialista En Seguridad De La

ASESOR: HECTOR DARIO JAIMES

INGENIERO DE SISTEMAS, MSC.

UNIVERSIDAD CATÓLICA DE COLOMBIA

PROGRAMA DE ESPECIALIZACIÓN EN SEGURIDAD DE LA INFORMACIÓN

BOGOTÁ D.C – 2016

Bogotá D.C., noviembre 28 de 2016.

formación para la vida, gracias a su incondicional apoyo completa y perfectamente mantenido en

proyecto no sería una realidad.

“El éxito no se logra con la suerte, es el resultado de un esfuerzo constante”

Yamid Puentes Galván

sus valiosos aportes académicos y consejos impulsaron el desarrollo de este proyecto, y al

aportes esenciales para la culminación de este proyecto.

1 GENERALIDADES DEL TRABAJO DE GRADO .................................................................. 2

1.1 LÍNEA DE INVESTIGACIÓN.................................................................................................................. 2

2 MARCOS DE REFERENCIA .................................................................................................. 7

2.1 MARCO CONCEPTUAL ........................................................................................................................ 7

3 DESARROLLO NUMERALES PROPIOS DEL PROYECTO .............................................. 31

3.1 DESARROLLO DE LOS OBJETIVOS ESPECÍFICOS DEL PROYECTO .................................. 31

4 CONCLUSIONES Y RECOMENDACIONES ....................................................................... 75

Imagen 1 Componentes de un DRP…………………………………………………………….............. 8

Imagen 2 Estructura BCP/DRP…………………………………………………………….................. 10

Imagen 3: Gestión y Análisis del Riesgo………………………………………………………………. 27

Imagen 5. Impacto al Proceso de Provisión y Soporte de TI………………………………............ 67

Imagen 6. Impacto al Proceso de Mercadeo y Atención al Usuario…………………………….... 68

Imagen 7. Impacto al Proceso de Infraestructura de Datos Espaciales…………………............ 69

Imagen 8. Impacto al Proceso de Custodio de la Información Catastral……………….……….. 70

Imagen 9. Impacto al Proceso de Gestión Financiera……………………………………..………. 71

Imagen 10. Impacto al Proceso de Gestión Documental……………………………….…………... 72

Imagen 11. Impacto al Proceso de Gestión de Servicios Administrativos………………………… 73

Imagen 12. Estructura general de estrategias……………………………………………………….. 75

Imagen 13. Escenarios de interrupción………………………………………………………………... 76

Imagen 14. Árbol de llamadas…………………………………………………………………. 79

Tabla 1. Equipos de Firewall……………………………………………………………........... 32

Tabla 2. Servidores Linux…………………………………………………………………......... 34

Tabla 3. Servidores Windows....................................................................................................... 35

Tabla 4. Bases de datos……………………………………………………………………......... 36

Tabla 6. Gestión del Riesgo a Nivel de Procedimiento……………………………..….…......... 40

Tabla 7. Contexto Externo………………………………………………………………............ 41

Tabla 8. Contexto Interno…………………………………………………………………......... 42

Tabla 9. Clasificación del Riesgo…………………………………………………………......... 44

Tabla 10. Escala de Probabilidad………………………………………………………….......... 45

Tabla 11. Impacto de Credibilidad e Imagen................................................................................ 46

Tabla 12. Impacto de Información................................................................................................ 47

Tabla 13. Impacto de Legal.......................................................................................................... 47

Tabla 14. Impacto Financiero....................................................................................................... 48

Tabla 15. Formula de Impacto Total............................................................................................. 49

Tabla 16. Matriz de Calor............................................................................................................. 50

Tabla 17. Nivel del Riesgo............................................................................................................ 50

Tabla 18. Evaluación del Riesgo.................................................................................................. 51

Tabla 19. Efectividad del Control................................................................................................. 52