Plans de recuperació davant desastres (DRP) i continuïtat de negoci (BCP)

Elaboració pròpia: la font és de pagament i no es reprodueix

Enunciat oficial. Plans de recuperació davant desastres (DRP) i continuïtat de negoci (BCP).

1. La família de plans

1.1 BCP i DRP

El BCP, o pla de continuïtat de negoci, estableix el mètode per crear i validar les accions a seguir per assegurar la continuïtat de les operacions dels processos de negoci abans, durant i després de l'ocurrència d'esdeveniments disruptius. Aquesta és la definició que cal reconèixer: cobreix les tres finestres de temps i tot el negoci.

El DRP forma part del BCP, no a l'inrevés. Un DRP impecable amb un BCP inexistent significa que els servidors tornen però ningú no sap què fer amb ells. El DRP, a més, és específic d'un emplaçament: cobreix les interrupcions que obliguen a traslladar el servei a un centre alternatiu.

1.2 Els altres plans del conjunt

La guia de planificació de contingència del NIST descriu un conjunt de plans que s'han de coordinar entre ells perquè no es contradiguin ni es dupliquin:

La frontera entre el DRP i l'ISCP: el DRP mou l'operació a un altre lloc; un cop mudada, cada sistema aplica el seu ISCP per restaurar-se. I la vida sempre és la primera prioritat: l'OEP s'executa primer i per separat de la resta.

1.3 El pla de contingència i els seus plans unitaris

L'esquema clàssic de l'Administració espanyola descompon el pla de contingència en plans unitaris, un per a cada finestra de temps:

Un pla de migració no és un pla unitari del pla de contingència. La migració és un projecte de trasllat de serveis a una altra infraestructura, planificat prèviament; el pla de contingència respon a allò que no s'ha triat. La confusió és fàcil perquè tots dos acaben amb els serveis en una altra infraestructura.

D'on surten aquestes mesures: de l'estudi de detall dels riscos potencials i de la criticitat dels processos surt el nivell acceptable de seguretat, i d'aquí es determinen les mesures a adoptar. Un bon disseny estableix compromisos entre l'operativitat necessària del sistema, els mecanismes i les tècniques que permeten minimitzar els efectes d'una interrupció i els costos directes i indirectes d'aplicar-les. El resultat es tradueix en dues coses: seguretat preventiva i pla de contingència, que ha de recollir en plans unitaris la resposta als diferents problemes que poden sorgir.

1.4 El sistema de gestió

El SGCN (Sistema de Gestió de la Continuïtat de Negoci) és el marc de gestió que envolta tots aquests plans. La norma certificable és la ISO 22301, amb l'estructura d'alt nivell comuna a les normes de sistemes de gestió i el cicle de millora PDCA (Plan, Do, Check, Act). L'acompanyen la ISO 22313 (orientació), la ISO 22317 (l'anàlisi d'impacte) i la ISO/IEC 27031, de la IEC (International Electrotechnical Commission), sobre la preparació de les TIC per a la continuïtat.

2. El procés de planificació

El NIST el descompon en set passos, i l'ordre importa: triar l'estratègia abans de saber què val la interrupció és l'error típic.

1. Política de continuïtat: qui té l'autoritat, quin abast, quins recursos.
2. Anàlisi d'impacte en el negoci (BIA).
3. Identificar controls preventius: evitar la interrupció surt més barat que reparar-la.
4. Crear les estratègies de recuperació.
5. Redactar el pla.
6. Provar, formar i exercitar.
7. Mantenir el pla.

2.1 L'anàlisi d'impacte en el negoci

El BIA (Business Impact Analysis) consisteix a identificar els processos relacionats amb la missió de l'organització, avaluar les conseqüències que tindria la seva interrupció al llarg del temps i determinar-ne els requisits de recuperació. El NIST el resumeix en tres passos, i la pràctica hi afegeix el detall:

1. Determinar els processos i la seva criticitat: identificar els processos de negoci i les seves dependències (aplicacions, dades, persones, proveïdors, instal·lacions) i avaluar l'impacte de la interrupció al llarg del temps —econòmic, operatiu, legal, reputacional i, al sector públic, sobre el ciutadà—. L'impacte creix amb la durada, i sovint de manera no lineal. D'aquí surten el MTD, el RTO i el RPO de cada procés.
2. Identificar els recursos necessaris per reprendre el procés: instal·lacions, personal, equipament, programari, fitxers de dades i registres vitals, i el mínim per operar en mode degradat.
3. Fixar les prioritats de recuperació: classificar els processos en crítics, essencials i diferibles, i establir l'ordre de recuperació dels recursos que els suporten.

El BIA conté, doncs, els requisits temporals i de recursos dels processos del seu abast; juntament amb l'anàlisi de riscos defineix les iniciatives a implantar per recuperar-los en situació de contingència.

2.2 Les mètriques, i com es relacionen

• MTD (Maximum Tolerable Downtime), també MTPD (Maximum Tolerable Period of Disruption) a la ISO 22301 — el temps màxim durant el qual una organització pot tolerar la manca de funcionament d'un servei crític abans que les conseqüències siguin inacceptables. És el sostre que fixa el negoci, no la tecnologia.
• RTO (Recovery Time Objective) — el temps màxim que un recurs pot romandre indisponible abans que l'impacte sigui inacceptable. El RTO sempre ha de ser menor o igual que el MTD, mai al revés: si no s'hi arriba, o es canvia la tecnologia o es negocia el MTD.
• RPO (Recovery Point Objective) — el punt en el temps anterior a la interrupció al qual es poden recuperar les dades, és a dir, la quantitat màxima acceptable de pèrdua de dades, expressada en temps. No forma part del MTD: mesura pèrdua d'informació, no durada de la caiguda. El determina la freqüència de la còpia o de la replicació.
• WRT (Work Recovery Time) — el temps addicional per verificar dades, reprocessar el que va quedar a mitges i tornar a l'operació normal un cop el sistema ja està tècnicament disponible. Per això MTD = RTO + WRT.
• MBCO (Minimum Business Continuity Objective) — el nivell mínim de servei acceptable durant la contingència. El seu equivalent per activitat és el ROL (Revised Operating Level): el nivell mínim de recuperació que ha de tenir una activitat per considerar-la recuperada, encara que el servei no sigui l'òptim.

El RPO mira enrere i el RTO mira endavant des del mateix instant, i el MTD no acaba quan el sistema arrenca, sinó quan es torna a treballar amb normalitat.

2.3 L'anàlisi de riscos

Complementa el BIA: mentre el BIA diu quant costa que un procés s'aturi, l'anàlisi de riscos diu què pot provocar l'aturada i amb quina probabilitat. Per planificar les estratègies cal començar avaluant la probabilitat i l'impacte de les possibles amenaces sobre els actius que suporten els processos crítics.

Amenaces típiques: incendi, inundació, tall elèctric perllongat, fallida de refrigeració, ciberatac i programari de segrest, error humà, fallida d'un proveïdor crític, pandèmia, vaga, terratrèmol, terrorisme.

3. Estratègies de recuperació

3.1 Emplaçaments alternatius

L'ordre de la taula és el que es pregunta: de menys cost i més temps a més cost i menys temps. L'ENS hi afegeix una exigència que sovint s'oblida: els mitjans alternatius han d'estar materialitzats en acords o contractes i han de tenir les mateixes garanties de seguretat que els originals.

3.2 Replicació de dades

• Replicació síncrona — l'escriptura es confirma a l'aplicació només quan s'ha completat correctament tant al lloc primari com al secundari; escriu simultàniament al CPD primari i al de recuperació. Garanteix RPO = 0: cap dada perduda. A canvi, la latència de la xarxa penalitza directament el rendiment de l'aplicació, cosa que limita la distància entre CPD a l'ordre de 50–100 km.
• Replicació asíncrona — l'escriptura es confirma immediatament al primari i es propaga al secundari amb un lleuger retard. No penalitza el rendiment i permet qualsevol distància, però el RPO és major que zero.
• Semisíncrona — es confirma quan el secundari ha rebut l'escriptura, encara que no l'hagi aplicada.

Es pot replicar a diferents nivells: cabina d'emmagatzematge, hipervisor, sistema operatiu, base de dades o aplicació. Com més a prop de l'aplicació, més consistent és la còpia i més cara de mantenir.

La còpia de seguretat és una entrada del DRP, no el DRP: fixa el RPO assolible i el seu temps de restauració condiciona el RTO.

3.3 Alta disponibilitat i recuperació de desastres

• Alta disponibilitat, o HA (High Availability) — protecció davant fallides de components dins d'una mateixa ubicació: clústers, redundància, balanceig. L'objectiu és que no hi hagi interrupció perceptible ni activació de res.
• Recuperació de desastres, o DR (Disaster Recovery) — protecció davant la pèrdua completa d'una ubicació; implica una segona ubicació i, normalment, una interrupció i una activació deliberada.

Un clúster local no és un DRP: si crema el CPD, cauen tots els nodes.

4. Contingut, activació i retorn

4.1 Què porta el pla

1. Abast, objectius i supòsits; processos i sistemes coberts, amb els seus RTO i RPO.
2. Rols i responsabilitats: comitè de crisi, coordinador de continuïtat, equips tècnics, portaveu, i suplents de cadascun.
3. Criteris i autoritat d'activació: qui declara el desastre i amb quins llindars. Sense això, ningú no gosa activar el pla.
4. Arbre de trucades i pla de comunicació intern, amb proveïdors, amb els mitjans i amb la ciutadania.
5. Procediments de recuperació i ordre de restauració segons les dependències: primer directori i xarxa, després bases de dades, després aplicacions.
6. Inventari de recursos: sistemes, contactes, contractes, llicències i credencials d'emergència accessibles sense els sistemes caiguts.
7. Procediments de treball en mode degradat o manual.
8. Criteris i procediment de retorn a la normalitat (failback), sovint més delicat que l'activació.
9. Calendari de proves i registre de resultats.
10. Control de versions i distribució: el pla ha d'estar disponible fora dels sistemes que protegeix. Un pla que només és a la intranet caiguda no serveix de res.

4.2 Les fases d'execució

El NIST ordena l'execució del pla en tres fases, precedides de la informació de suport que el pla ja porta escrita:

Quan un incident activa el pla de continuïtat. L'incident es tracta amb el procediment ordinari mentre la previsió de resolució cap dins del MTD; el pla s'activa quan l'avaluació del dany diu que no s'hi arribarà, o quan la persona amb autoritat declara el desastre. El llindar no és la gravetat tècnica: és el temps.

5. Proves, formació i manteniment

Escalons, de menys a més exigent:

Les dues últimes es confonen sovint: la paral·lela no toca el servei viu i la d'interrupció completa sí. La segona és la més valuosa i la més arriscada, i per això moltes organitzacions no la fan mai.

Regla d'or: un pla no provat no és un pla, és un document. La prova ha de tenir objectius mesurables —assolim el RTO?—, registre de resultats i pla d'acció sobre les desviacions. Freqüència mínima recomanada: anual, i sempre després d'un canvi rellevant.

La formació va a part de les proves: informar cada persona del seu paper abans que hi hagi cap exercici. I el manteniment és tan important com la redacció: cada canvi d'arquitectura o d'organització obliga a actualitzar el pla.

6. Al sector públic

6.1 L'ENS

L'ENS (Esquema Nacional de Seguretat) és el mandat directe: les administracions públiques han de desenvolupar un pla de continuïtat que estableixi les accions a executar en cas d'interrupció dels serveis prestats amb els mitjans habituals. Les mesures són la família op.cont de l'anexe II, i el que les activa no és la categoria del sistema sinó el nivell de la dimensió de disponibilitat:

És a dir: un sistema classificat com a alt en confidencialitat però baix en disponibilitat no està obligat a tenir pla de continuïtat, i només l'anàlisi d'impacte baixa fins al nivell mitjà.

6.2 La resta del marc

• RGPD, art. 32 (Reglament General de Protecció de Dades): capacitat de restaurar la disponibilitat i l'accés a les dades de forma ràpida i verificació regular de l'eficàcia de les mesures.
• Continuïtat del servei públic: hi ha serveis que no es poden aturar (emergències, Guàrdia Urbana, serveis socials d'urgència) i procediments amb terminis legals que continuen corrent malgrat la caiguda (Llei 39/2015, art. 21). Cal preveure el procediment manual de contingència i, si escau, la suspensió i ampliació de terminis (Llei 39/2015, art. 22 i art. 32, que preveu l'ampliació quan els mitjans electrònics no funcionen).
• Publicació de la incidència a la seu electrònica quan afecti la tramitació.
• Contractació: els contractes de serveis crítics han d'incloure compromisos de continuïtat i plans propis del proveïdor, i el pla municipal ha de contemplar la fallida del proveïdor (LCSP, Llei de Contractes del Sector Públic).
• Coordinació amb protecció civil municipal i, per als serveis essencials, amb el marc de la Llei 8/2011 d'infraestructures crítiques i el de la directiva NIS2 (Network, Information i Systems): a l'Estat espanyol, el Reial decret llei 12/2018 de seguretat de les xarxes i sistemes d'informació, actualitzat per la NIS2.

Claus d'examen

• MTD o RTO? El tribunal ha fet dues vegades la mateixa pregunta amb respostes diferents. Amb MTD a les opcions, «el temps màxim acceptable d'interrupció abans que les conseqüències siguin inacceptables» és MTD (TS-TIC 2025 pràctica, p. 11). Sense MTD i amb MTTF, MTTR i MTTA al costat, l'única mètrica de recuperació de servei és RTO (TS-TIC 2023 pràctica, p. 21). Mira primer quines opcions t'ofereixen.
• «El MTD ha de ser inferior al RTO» és fals. Sempre a l'inrevés: RTO ≤ MTD. És l'afirmació incorrecta que cal detectar (TS-TIC 2023 específic, p. 21), a la mateixa pregunta on apareix el ROL.
• A l'ENS, el pla de continuïtat el dispara la disponibilitat alta, no la confidencialitat ni la categoria global del sistema (TS-TIC 2021 específic, p. 66). Les quatre opcions juguen justament a barrejar dimensió i nivell.
• El pla de migració no és un pla unitari del pla de contingència; sí que ho són el de respatller, el d'emergència i el de recuperació (TS-TIC 2018 pràctica, p. 2).
• Davant «abans, durant i després d'esdeveniments disruptius», la resposta és el pla de continuïtat de negoci, no el DRP ni el pla de comunicació de crisi, que cobreixen una part (TS-TIC 2021 específic, p. 20; TS-TIC 2018 específic, p. 20).
• Síncrona vol dir simultània. «Escriu les dades al CPD primari i al de recuperació simultàniament» és la definició; «amb un lleuger retard» descriu l'asíncrona (TS-TIC 2025 específic, p. 64).

Per recordar

• El DRP forma part del BCP. El BCP cobreix tota l'organització i les tres finestres —abans, durant i després—; el DRP, els sistemes TIC i el trasllat a un altre emplaçament.
• BIA = identificar els processos crítics de la missió, avaluar l'impacte de la seva interrupció al llarg del temps i fixar-ne els requisits de recuperació. Tres passos: criticitat, recursos, prioritats.
• MTD = temps màxim tolerable d'interrupció; RTO ≤ MTD sempre; MTD = RTO + WRT. El RPO no forma part del MTD.
• RPO = dades que es poden perdre i mira enrere; RTO = temps sense servei i mira endavant.
• Replicació síncrona: escriptura confirmada als dos llocs alhora, RPO = 0, però limita la distància per latència. Asíncrona: confirma primer al primari, sense límit de distància però RPO > 0.
• Cold / warm / mobile / hot / mirror site, de menys a més cost i de més a menys RTO.
• Alta disponibilitat no és recuperació de desastres: la primera cobreix components dins d'una ubicació; la segona, la pèrdua de la ubicació sencera.
• El pla s'ha de poder consultar fora dels sistemes que protegeix, i el declara actiu qui té l'autoritat escrita per fer-ho.
• Un pla no provat no és un pla. Escalons: llista de comprovació → recorregut → exercici de taula → exercici funcional → paral·lel → interrupció completa, que és l'única que atura producció.
• L'ENS ho exigeix a la família op.cont: anàlisi d'impacte des de disponibilitat mitjana, i pla, proves periòdiques i mitjans alternatius a partir de disponibilitat alta.