Tesis - DRP

ESCUELA SUPERIOR POLITÉCNICA DEL LITORAL
Instituto de Ciencias Matemáticas
Ingeniería en Auditoría y Control de Gestión
Plan de Continuidad de Negocios (BCP) para el Área de Sistemas de

una empresa dedicada a la manufactura de papel; por el período
terminado al 31 de Diciembre del 2008 en la ciudad de Guayaquil.
TESIS DE GRADO
Previo a la obtención del título de:

INGENIERO EN AUDITORÍA Y CONTROL DE GESTIÓN
Especialización:
CALIDAD DE PROCESOS
SISTEMAS INFORMÁTICOS
Presentado por:
Johanna Mariela Sánchez Torbay

Luis Alberto Fierro Fariño
Guayaquil – Ecuador
2008
DEDICATORIA
Este proyecto está dedicado a dios y a
nuestros padres, hermanos, familiares y
amigos por su apoyo incondicional y por
alentarnos día a día.
Sánchez Torbay Johanna Mariela
Fierro Fariño Luis Alberto

AGRADECIMIENTO
Un especial agradecimiento ante todo a
nuestro Dios por brindarnos sabiduría y
fortalecer la fe, a nuestros maestros que
nos ayudaron en nuestra formación
académica, a nuestro director de tesis
por su apoyo, a la ESPOL por brindarme
la oportunidad de forjar nuestros
conocimientos y a todas las personas
que de una u otra manera colaboraron
en la realización de este trabajo.
Sánchez Torbay Johanna Mariela
Fierro Fariño Luis Alberto

TRIBUNAL DE GRADUACIÓN
Ing. Jacqueline Mejía Ing. Daltón Noboa

DIRECTOR DE TESIS DELEGADO PRINCIPAL
DECLARACIÓN EXPRESA
"La responsabilidad del contenido de esta tesis de grado, me corresponde
exclusivamente; y el patrimonio intelectual de la misma a la ESCUELA
SUPERIOR POLITÉCNICA DEL LITORAL"
Luis Fierro Fariño Johanna Sánchez Torbay

RESUMEN
El presente trabajo abarca la investigación, análisis y proceso que debe
contener un plan de continuidad de negocio en caso de contingencia o desastre
que afecte a la continuidad de las operaciones de la compañía Clark S.A. La
interrupción de las operaciones se pueden dar por diversas causas tales como
desastres naturales, humanos, tecnológicos y operacionales esto causa un
impacto grave que produciría pérdidas humanas y económicas según la
severidad del desastre en caso de no tener implementado un BCP.
Para la realización de nuestro trabajo nos enfocamos en analizar los controles,
políticas y procedimientos establecidos por la gerencia para el área de Sistemas
IT, el cuál nos permitió planificar nuestro plan. Analizamos las amenazas,
vulnerabilidades y riesgos en los procesos de IT. Además se determinó la
realización de pruebas de control que permita verificar el correcto
funcionamiento del plan, también se estableció el proceso de recuperación de
las actividades y un manual de crisis que permita a la compañía enfrentar
cualquier tipo de contingencia. Como herramientas de ayuda para nuestro
trabajo nos basamos en cuestionarios, tablas, gráficos, check list que sirvan de
herramientas de control para evaluar los procesos de IT, así como el análisis de
la ejecución del plan. El trabajo presenta nueve capítulos que explica el

contenido del mismo. A continuación detallamos un resumen correspondiente de
cada capítulo.
Para el primer capítulo hemos desarrollado el marco teórico que incluye lo más
relevante de un plan de continuidad de negocio aplicado a nuestro trabajo, tales
como definiciones claves que nos permite entender que es un plan de
continuidad y todo el proceso de análisis y ejecución a tener en cuenta.
El segundo capítulo abarca la identificación de la empresa. Para el desarrollo del
mismo obtenemos una breve descripción del conocimiento del negocio;
analizamos causas, riesgos, probabilidad y vulnerabilidad de los procesos, que
conlleven a una interrupción del negocio; identificamos el core business,
desarrollamos el análisis de impacto de negocio (BIA) que permita analizar las
consecuencias de una ruptura en los componentes del sistema.
Para los demás capítulos identificamos las áreas de trabajo de recuperación, su
infraestructura, los datos críticos, vitales, sensitivos y no críticos para luego
desarrollar un manual de crisis, esto nos conlleva a realizar el BCP con toda la
información recaudada y proceder a hacer pruebas al plan donde se apruebe el
correcto funcionamiento del mismo.

Finalmente el resultado de todo esto conlleva a las conclusiones y
recomendaciones de nuestro trabajo es decir, determinar si conviene o no
realizar un BCP, el impacto que provoca el no implementarlo y lo que debería
hacerse para proteger la continuidad del negocio.

TABLA DE CONTENIDO
Pág.
RESUMEN………………………………………………………… V
TABLA DE CONTENIDO………………………………………… VIII
ÍNDICE DE ABREVIATURAS…………………………………… XIV
ÍNDICE DE FIGURAS……………………………………………. XV
ÍNDICE DE TABLAS……………………………………………… XVI
INTRODUCCIÓN…………………………………………………. XIX
CAPÍTULO I
1. MARCO TEÓRICO
1.1. Definiciones…………………………………………………….………………1
CAPÍTULO II
2. IDENTIFICACIÓN DE LA EMPRESA
2.1. Conocimiento del Negocio……………………………………………………. 6
2.1.1. Antecedentes de la Empresa…………………………………………. 6
2.1.2. Antecedentes del área de Sistemas………………………………….7
2.1.3. Misión…………………………………………………………………….8
2.1.4. Visión…………………………………………………………………….9
2.1.5. Principales Productos………………………………………………….9
2.1.6. Sectores…………………………………………………………………9
2.1.7. Estructura Organizacional……………………………………………..9
2.2. Core Business…………………………………..…………………………….11
2.3. Análisis Financiero……………………………………………………………12
2.4. Evaluación del Riesgo………………………………………………………..17
2.4.1. Análisis de Probabilidad y Vulnerabilidad…………………………..19
2.5. Análisis del Riesgo……………………………………………………………20
2.6. Análisis de Criticidad………………………………………………………….22
2.6.1. Clasificación de las Operaciones…………………………………….22
2.7. Cuantificación del Punto y tiempo de recuperación……………………….23
2.7.1. Análisis del punto de recuperación………………………………….23
2.7.2. Análisis del tiempo de recuperación…………………………….…..24
2.8. Análisis del Impacto de Negocio (BIA)……………………………………..25
2.8.1. Desarrollo del BIA……………………………………………………..25
2.8.1.1. Propósito del BIA………………………………………………25
2.8.1.2. Objetivos del BIA………………………………………………25
2.8.1.3. Alcance………………………………………………………….27
2.8.1.4. Suposiciones, sucesos y tiempo……………………………..28
2.8.1.4.1. Procedimiento para atención de fallas………………29

2.8.1.5. Identificación de las funciones y procesos del negocio……31
2.8.1.6. Valoración del Impacto Financiero y Operacional………….32
2.8.1.7. Identificación de procesos críticos……...……………………35
2.8.1.8. Identificación MTDs y Priorización de los procesos
críticos…………………………………………………………..36
2.8.1.9. Identificación de los procesos críticos de IT. Sistema y
aplicaciones……………………………………………………38
2.8.1.10. Recursos críticos de No IT……………………………………39
2.8.1.11. Terminación del objetivo de tiempo de recuperación
(RTO)…………………………………………………………..40
2.8.1.12. Identificación del procedimiento de la continuidad del
negocio…………………………………………………………40
CAPÍTULO III
3. IDENTIFICACIÓN DEL ÁREA DE TRABAJO DE RECUPERACIÓN
3.1. Estructura Organizacional General………………………………………….41
3.1.1. Descripción de los perfiles y responsabilidades del Organigrama
general………………………………………………………………….42
3.2. Estructura Organizacional del Área IT………………………………………49
3.2.1. Descripción de los perfiles y responsabilidades del área IT………50
3.2.2. Áreas relacionadas al departamento de IT…………………………56

3.3. Clasificación y detalle de los procesos de IT……………………………...57
3.4. Ponderación del área de IT…………………………………………………..59
3.4.1. Análisis de Criticidad…………………………………………………..59
3.4.2. Ponderación de la eficiencia del recurso IT………………………...60
CAPÍTULO IV
4. IDENTIFICACIÓN DEL ÁREA DE IT
4.1. Análisis de la Infraestructura…………………………………………………61
4.2. Descripción de Proveedores de Servicios Externos………………...........71
4.3. Análisis del costo de la Infraestructura……………………………………..74
CAPÍTULO V
5. FABRICACIÓN Y PRODUCCIÓN
5.1. Portafolio de Productos……………………………………………………….76
5.2. Proceso del producto estrella………………………………………………..78
5.3. Sectores y Promesa de Venta……………………………………………….80
5.4. Análisis de Productividad…………………………………………………….82
CAPÍTULO VI
6. FASE DE RECUPERACIÓN
6.1. Estrategia de recuperación…………………………………………………..85

6.1.1. Procedimiento de contingencia para transporte de equipos……...93
6.1.1.1. Procedimiento de notificación………………………………...94
6.2. Manual de Administración de Crisis…………………………………………94
6.2.1. Plan de Unidad…………………………………………………………94
6.2.2. Principios de administración de crisis……………………………….96
6.2.3. Preparación anticipada………………………………………………..97
6.2.4. Procedimiento de respuesta a crisis corporativa…………………..98
6.2.4.1. Informe al equipo central de la crisis………………………..98
6.2.4.2. Organización del equipo de trabajo de administración de
crisis....................................................................................98
6.2.4.3. Plan de acción a implementar / Desarrollo………………..100
6.2.4.4. Desarrollo e implementación del plan de respuesta a la
crisis…………………………………………………………...101
6.2.4.5. Evaluación posterior a la crisis……………………………...103
6.2.5. Responsabilidades de revisión, actualización y entrenamiento...103
6.2.6. Procedimientos de respuesta para categorías específicas de
crisis……………………………………………………………………105
CAPÍTULO VII
7. PLAN DE CONTINGENCIA
7.1. Estructura del plan…………………………………………………………..128

7.2. Procedimiento para atención de fallas en infraestructura……………….139
CAPÍTULO VIII
8. PRUEBA DEL PLAN DE CONTINGENCIA
8.1. Antecedentes…………………………………………………………………144
8.2. Pruebas y verificación de la lista de chequeo…………………………….146
8.2.1. Verificación de las aplicaciones…………………………………….152
8.3. Modelo del acta de prueba del plan de contingencia……………………160
CAPÍTULO IX
9. ANÁLISIS Y CONCLUSIONES
9.1. Análisis………………………………………………………………………..162
9.2. Conclusiones…………………………………………………………………163
ANEXOS
BIBLIOGRAFÍA
ABREVIATURAS
BCP Business Continuity Plan
BIA Business Impact Analysis
SAP Sistemas, Aplicaciones y Productos
IT Tecnología de Información
ERP Planificación de Recursos Empresariales
Ref. Referencia
Pág. Página
ÍNDICE DE GRÁFICOS
Pág.
Gráfico 3.1 Estructura Organizacional de IT.....................................................48
Gráfico 3.2 Áreas relacionadas a IT..................................................................55
Gráfico 6.1 Diagrama paso a paso de recuperación…………………………….85
Gráfico 7.1 Comunicación Ecuador – Neenah - USA…….……………………141
Gráfico 7.2 Enlace local……………………………………………………….......142
Gráfico 2.7 Muestra en SPSS…...……………………………………………....36

ÍNDICE DE TABLAS
Pág.
TABLA 2.1 Identificación del Core Business……………………………………..10
TABLA 2.2 Análisis del Costo de Infraestructura……………………………......11
TABLA 2.3 Análisis del Costo de Personal………………………………..….….12
TABLA 2.4 Análisis del Costo de Telecomunicaciones…………………………12
TABLA 2.5 Análisis del Costo de Equipo………………………………………....13
TABLA 2.6 Depreciación de Activos Fijos………………………………………...13
TABLA 2.7 Gastos Generales y Administrativos………………….………..........14
TABLA 2.8 Saldos de Ingresos y Costos………………………………………....14
TABLA 2.9 Análisis del Factor humano…………………………………………...16
TABLA 2.10 Posibles causas de desastre………………………….……………..17
TABLA 2.11 Análisis de Probabilidad y Vulnerabilidad…………….…………….19
TABLA 2.12 Probabilidad, Vulnerabilidad y Riesgos detectados……………….20
TABLA 2.13 Análisis de criticidad de las operaciones…………..……………….21
TABLA 2.14 Análisis del tiempo de recuperación……………….………………..23
TABLA 2.15 Análisis de Conexión física………………………….………………..28
TABLA 2.16 Análisis de Enterprise Network……………………...……………….28
TABLA 2.17 Análisis de las Impresores…………………………...……………….29

TABLA 2.18 Análisis de Acceso al E-mail………………………...……………….29
TABLA 2.19 Funciones y procesos de negocio..………………...……………….30
TABLA 2.20 Impacto Financiero…………………………………...……………….32
TABLA 2.21 Impacto Operacional……………………...…………………………..33
TABLA 2.22 Procesos Críticos……………………...…………………………...….34
TABLA 2.23 Máximo tiempo tolerable de recuperación (MTDS)..…………...….36
TABLA 2.24 Procesos críticos de IT……………………………….…………...….37
TABLA 3.1 Análisis de Criticidad de IT......……………………………………….58
TABLA 3.2 Ponderación de eficiencia de IT....................………………………59
TABLA 4.1 Modelos de Servidores………………………………………………..60
TABLA 4.2 Respaldo por servidor..………………………………………………63
TABLA 4.3 Inventario de Impresoras…………………………………………….64
TABLA 4.4 Servidores de Repuesto……………………………………………..66
TABLA 4.5 Inventario de Switch y Routers……………………………………...68
TABLA 4.6 Inventario de Tarjetas RAS………………………………………….69
TABLA 4.7 Proveedores de servicios externos…………………………………70
TABLA 4.8 Equipo Backup………………………………………………………..72
TABLA 4.9 Equipos On Site………………………………………………………72
TABLA 4.10 Detalle de Cuentas …………………………………………………..73
TABLA 5.1 Portafolio de Productos………………………………………………76
TABLA 5.2 Saldos de los Ef´s…….………………………………………………81

TABLA 6.1 Estrategia de Recuperación…………………………………………86
TABLA 6.2 Estrategia de Recuperación de Hardware…………………………87
TABLA 7.1 Análisis de la conexión física………………………………………139
TABLA 7.2 Análisis del Enterprise Network……………………………………139
TABLA 7.3 Análisis de las Impresoras………………………………………….140
TABLA 7.4 Análisis de Acceso al e-mail……………………………………….140
TABLA 7.5 Enlaces – Contingencia…………………………………………….143
TABLA 8.1 Test del chequeo de aplicaciones…………………………………154

INTRODUCCIÓN
Durante las operaciones normales de negocio existe la probabilidad de pérdidas
potenciales o interrupciones no programadas asociadas con un desastre o
contingencia mayor, por lo que es importante el desarrollo de un plan viable y
factible de recuperación que asegure la continuidad de las operaciones de la
Compañía.
El planeamiento adecuado, la preparación, y la comunicación son los
ingredientes necesarios para un exitoso plan de continuidad de negocio (BCP)
en caso de contingencia o desastre.
En el caso de una situación de contingencia o desastre, es importante disponer
de una estrategia de recuperación que pueda proveer el reinicio del negocio en
un tiempo razonable y predeterminado. Por lo tanto, la importancia de un Plan
de contingencias y recuperación en caso de desastres es vital.
El presente documento ilustra los posibles tipos de contingencias y desastres, y
los planes de acción para la recuperación de la información y la continuidad del
negocio.
La implementación de un Centro de Computo Alterno en el departamento de
sistemas permitirá salvaguardar la información y los equipos tecnológicos, que
son parte fundamental en la continuidad del negocio.
Este documento contiene un plan estratégico de Sistemas cuyo propósito es
asegurar que las inversiones y recursos respecto a tecnología estén en estrecha
relación con las estrategias y objetivos del negocio. Además proporciona una
dirección estratégica y una estructura común para todas las actividades de ITS
con respecto al uso de sus recursos. Asimismo, estas deben cumplir con los
estándares corporativos y se deben ceñir a las normas que allí se estipulen.
ALCANCE DEL PROYECTO DE TESIS
El alcance es desarrollar e implementar un Plan de Continuidad de Negocios
(BCP) para el Área de Sistemas, el cuál permita mitigar el riesgo de interrupción
operacional de vital importancia en caso de algún evento imprevisto, que
perjudique la continuidad del negocio.
Además de permitir la pronta recuperación de los sistemas tecnológicos,
recuperar las funciones y procesos que requieran la mayor atención posible y
proteger los sistemas tecnológicos, recursos y resultados del negocio contra

daños por terceros, daños intencionales o no de los empleados, siniestros
naturales y demás causas que pongan en riesgo las actividades de esta área.
JUSTIFICACIÓN DE LA IMPLEMENTACIÓN
Para minimizar el impacto de una contingencia deben existir equipos de
repuesto, redes de datos alternas o suministro ininterrumpido de fluido eléctrico.
El plan de recuperación en caso de contingencia o desastre considera el
disponer de mecanismos para reanudar las actividades de negocio mientras
exista dicha contingencia. Mantener y soportar la disponibilidad de las
telecomunicaciones se convierte en una actividad vital que asegura la
continuidad de las operaciones de negocio de manera normal.

CAPÍTULO I
1. MARCO TEÓRICO
1.1. DEFINICIONES
Plan de Continuidad de Negocio (BCP).- Dado el acaecimiento de
tangibles y recientes desastres producidos a nivel mundial, como los
efectos del 11 de septiembre del 2001 así como la evolución de la
tecnología, este punto de vista ha cambiado, pero no afecta a todos los
países y sectores por igual. Del mismo modo, dependiendo del tamaño de
la compañía, las acciones varían considerablemente.
British Standards Institution (BSI) En 2007, el BSI publicó la segunda
parte, BS 25999-2 "Especificación para Gestión de Continuidad del
Negocio", que especifica los requisitos para la aplicación, funcionamiento
y mejora de un documentado Sistema de Gestión de la Continuidad del
Negocio (BCMS).
Un reciente estudio del Business Continuity Institute del Reino Unido deja
claro que los conceptos plan de continuidad de negocio (BCP, Business
Continuity Plan) y plan de recuperación de desastres (DRP, Disaster

2
Recovery Plan) no han sido asimilados adecuadamente por la dirección
de las compañías provocando la ineficiencia de sus propios planes.
Un plan de continuidad de negocio (BCP) debe garantizar las operaciones
necesarias para cumplir con el funcionamiento establecido en el
desarrollo habitual del negocio ante cualquier tipo de desastre,
interrupción o contingencia.
Un plan de recuperación de desastres (DRP), por su parte, es el plan que
ejecuta Tecnologías de la Información para recuperar los sistemas que
gestiona.
Los objetivos de un BCP son minimizar la pérdida financiera de la
compañía, continuar con el servicio a los clientes y mitigar los efectos que
pueden producirse en los planes estratégicos, la reputación, las
operaciones y el mercado donde está situada la compañía.
Según ITIL 2007: (Diseño del Servicio) Plan que define los pasos que se
requieren para el Restablecimiento de los Procesos de Negocio después
de una interrupción. El Plan también identifica los disparadores para la
Invocación, las personas involucradas, las comunicaciones, etc. El Plan
de la Continuidad del Servicio TI es una parte importante de los Planes de
Continuidad del Negocio.

3
Análisis de Impacto del negocio (BIA).- El propósito del BIA es poner
en correlación los componentes específicos del sistema con los servicios
críticos que ellos proporcionan, y basado en esa información, para
analizar las consecuencias de una ruptura de los componentes del
sistema.
El objetivo fundamental es identificar las áreas que sufrirían las pérdidas
financieras y operacionales más grandes en el caso de un desastre.
Además identifica los sistemas críticos y estima el tiempo que la
compañía puede tolerar en caso de un desastre.
Un análisis de Impacto de negocio permite abordar un plan de acción con
sólidos elementos de criterio basados no sólo en necesidades de
capacidad, sino también de seguridad. Para poder definir las
contingencias deseadas es necesario conocer los servicios de IT que el
departamento de informática ofrece a la compañía, sus vulnerabilidades,
así como las amenazas y posibles impactos; además de identificar que
servicios de IT soportan los procesos de negocio de la compañía.
Core business.- Es la parte principal de la operaciones del negocio. Es
el producto principal del negocio, la razón de venta al cliente.

4
Contingencia.- Una contingencia se define como cualquier evento no
planeado provocando que las actividades de negocio no sean operadas
normalmente durante un determinado periodo de tiempo, para la cual
existe una solución que permite la recuperación en un tiempo razonable.
Desastre.- Un desastre se define como cualquier evento no planeado
que hace un lugar inoperable o inaccesible.
Diversos tipos de desastre pueden ocurrir y varían de comunes,
naturales, extraordinarios, etc.
Amenaza.- Es la posible interrupción del negocio a continuar. Son
agentes capaces de explotar los fallos de seguridad denominados
vulnerabilidades causando pérdidas o daños a los activos.
Vulnerabilidad.- Cualquier debilidad en los sistemas informáticos que
puedan ser explotados por las amenazas y causar pérdidas.
Riesgo.- Es la probabilidad de que una amenaza se materialice sobre
una vulnerabilidad del Sistema Informático causando un impacto en la
empresa.
5
Backup.- Son copias de seguridad, es el respaldo regular que se da a
los sistemas de datos. Los datos podrían respaldarse en discos
magnéticos, cintas, discos ópticos (CDs). El método específico escogido
para respaldar debe ser basado en los sistemas, disponibilidad de los
datos y requisitos de Integridad.
Punto de Recuperación.- El punto de recuperación es en el momento
que se puede restablecer todas las operaciones a continuar.
Tiempo de Recuperación.- Es el tiempo que toma recuperar las
operaciones continuas del negocio.

CAPÍTULO II
2. IDENTIFICACIÓN DE LA EMPRESA
2.1. CONOCIMIENTO DEL NEGOCIO
2.1.1. Antecedentes de la Empresa
El 3 de febrero de 1995 se constituyó Clark S.A. como
compañía en la ciudad de Guayaquil, y tiene como objeto
principal la manufactura de papel. El 17 de marzo del mismo
año se inicio la comercialización de los productos. Para el mes
de junio, se realizaron las primeras ventas de productos en el
mercado ecuatoriano.
En su comercialización se han transicionado marcas líderes en
marcas corporativas ofreciendo lo último en innovación,
tecnología y la más alta calidad en todos los productos.
Diariamente se contribuye a la satisfacción y al bienestar de los
consumidores ecuatorianos a través de la difusión de la higiene
y la limpieza para bienestar de sus clientes.
CLARK S.A. está conformada por más de 500 empleados y
cuenta con un molino en Babahoyo, una planta convertidora en
Mapasingue y oficina comercial con bodegas en Quito.

7
La compañía se fortalece en productos de consumo y uso
industrial cada vez más avanzados e inventa otras categorías
de productos desechables para la higiene y limpieza personal.
2.1.2. Antecedentes del Área de Sistemas
El Área de Sistemas (IT) proporciona sistemas integrados de
información que sirvan como instrumento para la correcta toma
de decisiones que le permitan a la compañía ser líder en calidad
y sin perder posición competitiva.
Es un área de servicios tanto hacia el interior de la compañía
como hacia el entorno externo, por tanto cualquier usuario u
otra área que requiera los servicios de IT se convertirán en
nuestro cliente al cual se deberá satisfacer respecto a la gestión
realizada. Cualquier actividad de IT debe orientarse a
resultados que estén de acuerdo con las estrategias y pautas
del negocio y que le agreguen valor.
Los usuarios utilizan los sistemas de información existentes
como herramientas para gestionar y ejecutar sus actividades,
ellos son los que mejor conocen y manejan dichas
herramientas. IT es un ente de apoyo y soporte de situaciones
“anormales” que no estén contempladas dentro de las
operaciones normales.
8
Toda actividad realizada por el dpto. de IT cumple con las
normas corporativas y a su vez deben estar normadas por las
políticas de control interno y auditoría. Cualquier situación que
atente contra la seguridad o control de la compañía será
detectada, registrada y notificada a los niveles directrices de la
empresa.
El departamento de IT está compuesto por la siguiente
infraestructura: Hardware, Software y Telecomunicaciones las
cuáles están correlacionadas para su vital funcionamiento,
cuenta con personal especializado que logra un mejor control
sobre programas utilitarios, mantenimiento y reparación de
equipos, aplicaciones y mantenimiento de la estructura de
comunicación que utiliza la compañía.
La misión de ITS es “Proporcionar sistemas integrados de
información que sirvan como instrumento para la correcta toma
de decisiones que le permitan a la compañía ser líder en calidad
y sin perder posición competitiva”.
2.1.3. Misión
Mejorar la salud, higiene y bienestar de las personas cada día y
en cada lugar ofreciendo productos de calidad.

9
2.1.4. Visión
Ser líderes en servicio y costos de distribución, mediante
procesos ágiles y eficientes que aseguren el mejor servicio al
cliente.
2.1.5. Principales Productos
Los principales productos se clasifican por categoría como:
papel higiénico, toallas de mano, servilletas, pañuelos faciales,
paños de limpieza, y otros productos.
2.1.6. Sectores
9 Sector Oficinas
9 Sector Industrial
9 Sector Salud
9 Sector Hotelería y Turismo
9 Sector Procesadora de Alimentos y Restaurantes
9 Sector Alto Tráfico
2.1.7. Estructura Organizacional
Para el cumplimiento de sus objetivos, la Compañía Clark S.A.
cuenta con un personal valioso que contribuye diariamente al
buen funcionamiento de la empresa, a brindar un producto de
calidad y satisfacción al cliente.

10
GRÁFICO 2.1: Organigrama General “Clark S.A.”
Fuente: Cía. Clark S.A.

11
2.2. CORE BUSINESS
El Core business de la compañía CLARK S.A. es la fabricación de
papel higiénico, debido a que genera la mayor facturación y
permanencia en el negocio.
Tabla 2.1 Identificación del Core Business

Ventas Netas – Facturación
División Sector Categoría % Facturación
Papel Higiénico 87%
Papel Facial 2%
Cuidado Familiar
Tollas domésticas 7%
Servilletas 4%
Total Cuidado Familiar
40%
01 Papel y Toallas 91%
Cuidado Infantil y limpiadoras
Niños Toallas de baño y 9%
cuidado corporal
Total Cuidado Infantil y Niños 51%
Total Cuidado Femenino 7%
Total Cuidado Adultos 2%
Total sector 1 91%
Otros productos 2%
Papel Dispensador de 41%
baño
Papel facial 1%
Servilletas 8%
Nivel Industrial
02 Vestimenta protectora 3%
Toallas Cuidado de 4%
piel
Toallas Industriales 35%
Paños limpiadores 7%
Total Productos Nivel Industrial 9%
Total sector 2 9%
Total Facturación 100%
Elaborado por: Johanna Sánchez, Luis Fierro
12
2.3. ANÁLISIS FINANCIERO
Los costos del proyecto de sistemas, se analizarán mediante un
presupuesto anual y serán cargados completamente al área que
patrocina el proyecto. Estos costos incluyen infraestructura, personal,
telecomunicaciones, compras o arrendamiento de hardware y
software, instalaciones y gastos generales. Los costos totales del
proyecto deberán ser estimados y firmados para fines de aprobación.
Todos los costos de IT serán detallados por aplicación y función de
esta manera nos aseguramos que todos los gastos sean identificados
y asignados al correcto centro de costo.
El impacto financiero reduce las ganancias a consecuencia del paro de
actividades productivas y generadoras de ingresos. Se detalla el
impacto financiero exhaustivo en la tabla 2.20 de la pág 33.
COSTOS:
9 Infraestructura
El valor de la edificación es de $40,000 detallado en la tabla 2.2.
Tabla 2.2: Análisis del Costo de Infraestructura

Edificación Cantidad Observación
Aire Acondicionado Central 1 NA
Accesos de seguridad 3 NA
Sensores de Movimiento 4 NA
Sensores de Incendio 6 NA
Fluido de Agua 7x24 (mensual) 1 NA
Servicios Higiénicos M/H 2 NA
Intercomunicadores de Acceso 2 NA
13
Tabla 2.2: Análisis del Costo de Infraestructura (A continuación)

Edificación Cantidad Observación
Extintores (Piso & Oficina) 2 NA
Vigilancia 7x24 (mensual) 8 NA
Alarmas 2 NA
Área oficina 152 m2

9 Costo de Personal
El Costo de Personal para la administración, seguridad y calidad
del servicio es de $32,400 al año, detallado en la siguiente tabla.
Tabla 2.3: Análisis del Costo de Personal

Nº Cargo Salario Mensual
1 Coordinador de Sistemas 800
1 Administrador de la Base de Datos 600
1 Administrador de Infraestructura y 600
Servidores.
2 Ayudantes de Escritorio (help desk) 350
Total Mensual 2,700
Total Anual 32,400
9 Costo de Telecomunicaciones
La facturación de telecomunicaciones a través de proveedores
externos es de $ 2,468.30 mensual y anual es de $29,619.60.
Tabla 2.4: Análisis del Costo de Telecomunicaciones
COMUNICACIONES CANTIDAD OBSERVACION

Switch de comunicaciones 1 NA
Red Inalámbrica 1 Todos los puntos.
Central Telefónica Inalámbrica 1 NA
14
9 Costo de Equipo
El Costo de Equipo para la implementación necesaria del centro de
cómputo es de $6,430 detallado en la siguiente tabla.
Tabla 2.5: Análisis del Costo de Equipo
EQUIPOS CANTIDAD VALOR UNITARIO VALOR

TOTAL
Estaciones de Trabajo 5 800 4,000
(PIV-512MB-80GB-
Wireless Lan)
Impresora Matricial 1 250 250
Fax Láser 1 80 80
Impresora Láser 1 600 600
Mobiliario Ejecutivo 5 300 1,500
Total Costo de Equipo 6,430
9 Gasto de Depreciación de Activos Fijos
Tabla 2.6: Depreciación de Activos Fijos
Rubro Valor
Equipos de Computación 4,850
Equipos de Oficina 1,580
Edificación 40,000
Depreciación Eq. Comput. (33.33%) 1,617
Depreciación Eq. Oficina (10%) 158
Depreciación Edificación (5%) 2,000
Total Gasto de Depreciación Anual 3,775
15
9 Gastos Generales y Administrativos
Tabla 2.7: Gastos Generales y Administrativos
Rubro Valor Mensual

Agua 300
Luz 500
Teléfono 200
Línea Celular 7x24 30
Costo de Vigilancia 7x24 700
Limpieza y Mantenimiento 120
Gastos administrativos 450
Total Gastos Mensual 2,300
Total Gastos Anual 27,600
BENEFICIO:
Tabla 2.8: Saldos de Ingresos y Costos
Cuentas Saldos
Ingresos
Ingresos por Ventas 27,830,320.31
Costos
Infraestructura 40,000.00
Personal 32,400.00
Telecomunicaciones 29,619.60
Equipo 6,430.00
Gastos de Depreciación 3,775.00
Gastos Generales y 27,600.00
Administrativos
Total Costos 139,824.60

Utilidad o Beneficio Neto = Ingresos – Costos
Utilidad o Beneficio Neto = 27,830,320.31 - 139,824.60
Utilidad o Beneficio Neto = 27,690,495.71

16
ANALISIS:
DESDE EL PUNTO DE VISTA FINANCIERO:
El total de Costos es de $139,824.60, el beneficio neto es de
$27,830,230.31, por tanto Ingresos menos Costos da un Beneficio
de $27,160,495.71 que representa un valor positivo, esto
demuestra que existe mayores beneficios al implementar un BCP
para la compañía Clark S.A., para lo cual estaremos
salvaguardando la información, los equipos y lo más importante la
continuidad del negocio. Reduciendo los riesgos que pueden
generar pérdidas materiales por daños en los sistemas y equipos,
pérdidas humanas en caso de alguna catástrofe y pérdida en la
calidad del servicio en caso de interrupciones y daño en la
información, esto se daría al no tener implementado un BCP.
DESDE EL PUNTO DE VISTA HUMANO:
La compañía Clark S.A. cuenta con la cantidad de personal
necesaria; capacidad y entrenamiento personalizado; ética y
valores admirables; formación académica y habilidades que
encajan en el perfil de cada colaborador de la empresa, preparados
para cualquier contingencia que pueda ocurrir en la empresa.
Además el personal cuenta con conocimientos de:

17
9 Técnicos de plataforma GD-2000.
9 Básico de SAP.
9 Experiencia con conexión vía RAS.
Tabla 2.9: Análisis del Factor Humano

Factor Humano Si No
Capacidad de personal 9
Cantidad de personal 9
Ética valores del personal 9
Formación Académica 9
2.4. EVALUACIÓN DEL RIESGO
El propósito de una Valoración del Riesgo es el de conocer los riesgos
implicados para las instalaciones de la compañía y el potencial tiempo
de caída de las funciones del negocio y operaciones computacionales
derivadas. El análisis de estos peligros es muy importante en el
desarrollo de un plan de Continuidad del Negocio, el cual es necesario
para la recuperación después de una situación de desastre. Los
recursos, personal y tiempos necesarios pueden ser identificados
después de que el impacto ha sido analizado.
Lo importante es:
1. Entender la vulnerabilidad de que ocurra un desastre y establecer
medidas preventivas para eliminar o minimizar la ocurrencia del
desastre y;
18
2. Proveer una localidad segura, no sujeta a los mismos peligros que
las instalaciones de computación principales, para respaldar el
activo-información en el caso de alguna contingencia.
Para esto listamos las posibles causas de desastre que interrumpan las
operaciones:
Tabla 2.10: Posibles Causas de desastre
CAUSAS DESASTRE
Terremoto
Inundación
Huracán
NATURALES Nevadas intensas
Erupción volcánica
Tormentas eléctricas
Fallas Gerenciales
Fallas Directivas
HUMANAS
Falta de Procedimientos
Robo
ECONÓMICAS Incendio
Fallos masivos
Daños accidentales
OPERATIVAS
Fallos de energía
Destrucción del centro de

cómputo
TERRORISTAS Guerra
Atentado Terrorista

19
2.4.1. Análisis de Probabilidad y Vulnerabilidad
La siguiente tabla clasifica las amenazas potenciales para las
instalaciones y el procesamiento computacional por categorías
en: amenazas naturales, amenazas humanas y amenazas
técnicas.
Cada elemento es calificado ubicando una ‘X’ en la columna
que mejor califica la vulnerabilidad a la amenaza. La escala es
de 1 hasta 10, donde 1 indica un bajo riesgo de exposición, a
partir del valor 5 indicaría la necesidad de atención, a fin de
asegurar que se establezcan medidas preventivas, en donde
sea aplicable, y además de que el respaldo de la información
sea seguro.
Es importante entender que esta evaluación es subjetiva y su
intención es ayudar a las instalaciones en la protección y
respaldo de información y registros vitales de la compañía.

20
Tabla 2.11: Análisis de Probabilidad y Vulnerabilidad

[En escala de 1-a-10, donde 1 indica baja
Categoría vulnerabilidad]
baja……................................................................alta
Amenazas Naturales: 1 2 3 4 5 6 7 8 9 10
Inundaciones internas X
Inundaciones Externas X
Fuego interno X
Fuego Externo X
Terremoto X
Volcanes X
Huracanes X
Tornado X
Rayos X
Nevadas X
Avalancha X
Amenazas Humanas :
Explosión X
Vandalismo X
Robo X
Obstrucción para ir al trabajo X
Deshechos tóxicos X
Caídas de aviones X
Accidentes X
Terrorismo X
Amenazas Técnicas:
Fallos de energía X
Comunicaciones de datos X
Fallos del aire acondicionado X
Fallos del CPU y Hardware X
Fallos del Software del X
sistema
Fallos del Software aplicativo X
Interferencia X
Electromagnético
Otro X
2.5. ANÁLISIS DEL RIESGO
El siguiente cuadro se resume el análisis de probabilidad y
vulnerabilidad con los riesgos detectados para cada caso.

21
Tabla 2.12:Probabilidad, Vulnerabilidad y Riesgos Detectados

Posibles Probabilidad (%) Vulnerabilidad ($) Riesgos
Amenazas A M B NA A M B NA Detectados
Naturales:
Inundaciones x X Vidas humanas y
pérdidas económicas.
Paralización de
actividades.
Sismos x x Vidas humanas y
Paralización de
actividades.
Tormenta x x Sistemas de redes
eléctrica colapsados.
Humanas:
Fallas x x Daño en los sistemas
gerenciales y equipos.
Fallas directivas x x Daño en los sistemas
y equipos.
Falta de x x Daño en los sistemas
Procedimientos y equipos.
Económicas:
Incendios x x Vidas humanas y
Paralización de
actividades.
Robos x x Pérdidas económicas
Sabotaje x x Daño en los sistemas,
Computacional equipos y pérdidas
económicas.
Operativos:
Fallos masivos x x Sistema colapsado.
Daños x Daño en los sistemas
x
accidentales y equipos.
Marcha, mítines, x x Pérdidas económicas.
etc. Paralización de
actividades.
Terroristas:
Destrucción del x Vidas humanas y
Centro de pérdidas económicas.
Cómputo x Paralización de
actividades.
Guerra x x Vidas humanas y

Paralización de
actividades.
Atentado x x Vidas humanas y
terrorista pérdidas económicas.
Paralización de
actividades.
22
Leyenda:
A = Alta M = Media B = Baja NA = Ninguna
Ley inversa:
Mayor Probabilidad Î Menor Vulnerabilidad
Menor Probabilidad Î Mayor Vulnerabilidad
2.6. ANÁLISIS DE CRITICIDAD
2.6.1. Clasificación de las Operaciones
Tabla 2.13: Análisis de Criticidad de las Operaciones
Operaciones Posibles Causas

Falla de la red en una localidad.
Falla de los enlaces de telecomunicaciones
CRÍTICAS entre localidades.
Falla del servidor de aplicaciones.
Falta de suministro eléctrico.
Fallas humanas en la operación de la red.
Fallas humanas en la operación de los
VITALES equipos de cómputo.
Fallas humanas en el mantenimiento de
redes y equipos.
Cambio climático (Estacionalidad).
SENSITIVAS
Clientes.
Cambios de departamentalización indirecta.
NO CRÍTICAS
Errores no críticos del usuario.
23
2.7. CUANTIFICACION DEL PUNTO Y TIEMPO DE RECUPERACIÓN
2.7.1. Análisis del Punto de Recuperación
El punto de recuperación se lo realiza en la mayor brevedad
posible, donde se minimice el tiempo de afectación del paro de
actividades. Para el análisis del punto de recuperación tomamos
en cuenta los siguientes parámetros:
9 Capacidad (experiencia): Cuenta con el personal adecuado
y capacitado con conocimientos básicos especialmente en
plataforma GD-2000, SAP y conexión vía RAS que es lo
esencial para la administración de una contingencia.
9 Financiero: Hemos demostrado mediante un análisis
financiero (hacer referencia de la pág 12 – 16) que mayor
es el beneficio que el costo de recuperación.
9 Ubicación geográfica: La ubicación de nuestro centro de
cómputo alterno es en la ciudad de Babahoyo, este sitio es
propio de la compañía. Este se encuentra por lo menos a
70 Km. de la matriz (Guayaquil), la localidad está en una
zona plana y segura, cuenta con todos los servicios
disponibles en caso de una contingencia.

24
2.7.2. Análisis del Tiempo de Recuperación
El análisis del tiempo de recuperación depende de los
siguientes parámetros:
9 Capacidad: Medimos la capacidad del personal
anteriormente. Podemos decir que el personal está
completamente capacitado en caso de contingencia.
9 Ubicación geográfica: Analizamos la ubicación geográfica
y resulta que está en muy buena zona con todos los
servicios disponibles a su alrededor y se encuentra alejada
de la matriz.
Tabla 2.14: Análisis del tiempo de recuperación

Parámetros Alta Mediana Baja
Capacidad (experiencia) 9
Ubicación geográfica 9
La instalación de 1 PC tarda aproximadamente 1 hora 20
minutos instalarlos, para el resto de los equipos se tardará
aproximadamente entre 10 a 15 minutos, instalaciones de
programas 2 horas. Tiempo total de instalación de las 5
estaciones es de 4 horas.
25
2.8. ANÁLISIS DEL IMPACTO DEL NEGOCIO (BIA)
2.8.1. Desarrollo del BIA
2.8.1.1. Propósito del BIA
El propósito del BIA es disponer de una estrategia de
recuperación que pueda proveer el reinicio del negocio
en un tiempo razonable y predeterminado en caso de una
contingencia.
2.8.1.2. Objetivos del BIA
Los objetivos del plan de recuperación en caso de
desastre son los siguientes:
• Minimizar los efectos de una contingencia o desastre
en las funciones críticas al proveer de un conjunto de
procedimientos y tareas a ser usados en el evento.
• Responder a una situación de contingencia o desastre
rápida y efectivamente.
26
• Reunir al personal necesario para reactivar el proceso
con las interrupciones menores respecto al servicio al
cliente.
• Restauración por fases en el tiempo de todas las
aplicaciones y servicios posteriormente a la
interrupción a causa de la contingencia o desastre.
Este plan busca minimizar:
• El número de decisiones que deben ser hechas
después de una contingencia o desastre.
• La necesidad de desarrollar, probar, y corregir nuevos
procedimientos durante el desastre.
• Depender de la participación de cualquier persona
específica o grupo de personas durante el proceso de
recuperación.
• El período de tiempo tomado para el proceso de
recuperación.
• Las pérdidas asociadas con la interrupción de las
actividades del negocio.
• La confusión y la exposición a errores.
• La duplicación de esfuerzos.
27
El alcance de estos objetivos asegurará la estabilidad
operacional a través de un proceso de recuperación.
2.8.1.3. Alcance
Este plan es exclusivamente para las operaciones del
área de Sistemas de la compañía Clark S.A. No
documenta las acciones específicas de los
departamentos del negocio o una estrategia de
recuperación global corporativa.
El plan considera los siguientes aspectos:
• Reestablecimiento de los equipos y enlaces de
telecomunicaciones vitales para la operación del
negocio.
• Reestablecimiento de las áreas vitales de la red de
computadoras.
El plan no considera los siguientes aspectos:
1. Emergencias de edificios y procedimientos de
evacuación.
2. Valoración de riesgos en los edificios.

28
3. Evaluación y declaración de desastres en edificios.
4. Recuperación de las diferentes unidades y
departamentos de la Compañía.
5. Equipos no relacionados con la red de datos (PBX,
máquinas de fax, fotocopiadoras, etc.)
2.8.1.4. Suposiciones, sucesos y tiempo
1. Falla de la red.
2. Falla en los enlaces de telecomunicaciones.
3. Falta de suministro de corriente eléctrica.
4. Fallas humanas en la operación de la red o equipos de
cómputo.
El presente plan de contingencias y recuperación en caso
de desastre considerará los siguientes desastres:
• Tormentas eléctricas que destruyan parcial o
totalmente la red de datos.
• Fallas físicas en la red de datos y o comunicaciones.

29
2.8.1.4.1. Procedimiento para atención de fallas
9 Conexión física a la red local
Tabla 2.15: Análisis de la Conexión Física
Problema: No hay acceso a la red de datos.
Acción: 1. Determinar si el usuario está conectado

a la red.
2. Corregir problemas de nivel físico,
conectores, LAN Jack, Switch.
3. Si se determina que el problema es una
avería que va a ser resuelta por más de
6 horas, habilitar puntos de red de
emergencia.
9 Acceso al Enterprise Network
Tabla 2.16: Análisis del Enterprise Network
Problema: No hay acceso al Global Desktop.
Acción: 1. Revisar entorno de red.

2. Si no hay acceso al GDXP, reportar
enlace al proveedor local.
3. Si la falla y/o resolución del problema se
demora más de 6 horas comunicar a
usuarios claves el acceso alternativo vía
RAS
4. Si se determina que el problema es en
KCC, contactar al responsable en KCC.

30
9 Acceso al File&Print Server
Tabla 2.17: Análisis de las Impresoras
Problema: Problema no se puede imprimir o acceder

archivos en el servidor.
Acción: 1. Revisar acceso tipo share.

2. Revisar si puede imprimir desde
Windows.
3. Revisar los servicios del servidor.
4. Contactar a “Help-Desk” MIS Local.

9 Acceso al Correo Electrónico
Tabla 2.18: Análisis de Acceso al e-mail
Problema: No hay acceso al correo electrónico.
Acción: 1. Revisar si hay acceso al Address Book.

2. Enviar y/o recibir correo.
3. Si no se pueden realizar las acciones
anteriores, contactar al Help Desk de MIS
Local.
31
2.8.1.5. Identificación de las funciones y procesos del
Negocio
El objetivo principal de este paso es identificar los
procesos y funciones que son soportes de la compañía,
la cuál conlleva a cumplir con la meta corporativa.
Tabla 2.19: Funciones y procesos del negocio
Funciones Procesos
Mantenimiento de Equipos
Instalación de Equipos
Hardware Help desk
Soporte a los
departamentos
Instalación de Programas
Configuración de Equipos
Encriptación de la
Información Sensitiva.
Acreditación de Programas
Software
Administración de datos
Seguridad de la
información.
Respaldo de la Información
(Backup).
Configuración y
Mantenimiento de redes
Telecomunicaciones Mantenimiento de equipos
de comunicación
Monitoreo de la red.
32
2.8.1.6. Valoración del Impacto Financiero y Operacional
La Valoración del Impacto financiero y operacional es
conocer lo que los riesgos y pérdidas económicas implican
para los procesos de la compañía y el potencial tiempo de
caída de las funciones del negocio.
A continuación clasificamos el rango del impacto según el
nivel de severidad de 0 a 3, donde 0 no existe impacto y
tres produce mayor impacto, basado en la pérdida
financiera por día.
Escala de Niveles de Severidad:
1. Nivel de severidad 0 Î No genera Impacto
2. Nivel de severidad 1 Î Menor Impacto
3. Nivel de severidad 2 Î Mediano Impacto
4. Nivel de severidad 3 Î Mayor Impacto

33
Tabla 2.20: Impacto Financiero
Pérdida Nivel
Funciones Procesos Financiera de
por día ($) Severidad
Mantenimiento Media 2
de Equipos
Instalación de Baja 1
Hardware Equipos
Help desk Media 2
Soporte a los Alta 3
departamentos
Instalación de Baja 1
Programas
Configuración Media 2
de Equipos
Encriptación de Alta 3
la Información
Sensitiva.
Acreditación de Baja 1
Software
Programas
Administración Media 2
de datos
Seguridad de la Alta 3
información.
Respaldo de la Alta 3
Información
(Backup).
Configuración y Media 2
Mantenimiento
de redes
Mantenimiento Media 2
Telecomunicaciones
de equipos de
comunicación
Monitoreo de la Alta 3
red.

34
Tabla 2.21: Impacto Operacional
Nivel de Impacto
Funciones Procesos Operacional
A M B N/A
Mantenimiento X
de Equipos
Instalación de X
Hardware Equipos
Help desk X
Soporte a los X
departamentos
Instalación de X
Programas
Configuración X
de Equipos
Encriptación de X
la Información
Sensitiva.
Acreditación de X
Software
Programas
Administración X
de datos
Seguridad de la X
información.
Respaldo de la X
Información
(Backup).
Configuración y X
Mantenimiento
de redes
Mantenimiento X
Telecomunicaciones
de equipos de
comunicación
Monitoreo de la X
red.

Leyenda:
A = Alta M = Media B = Baja NA = Ninguna

35
2.8.1.7. Identificación de Procesos Críticos
En esta sección analizamos la criticidad de los procesos
de cada función del área de IT, lo cuál detallamos en la
tabla 1.18:
Tabla 2.22: Procesos Críticos
Funciones Procesos Criticidad

Mantenimiento de
Vitales
Equipos
Instalación de
Vitales
Hardware Equipos
Help desk Sensitiva
Soporte a los
Crítica
departamentos
Instalación de
Vitales
Programas
Configuración de
Crítica
Equipos
Encriptación de la
Información Crítica
Sensitiva.
Acreditación de
Software Sensitiva
Programas
Administración de
Crítica
datos
Seguridad de la
Crítica
información.
Respaldo de la
Información Crítica
(Backup).
Configuración y
Mantenimiento de Vitales
redes
Mantenimiento de
Telecomunicaciones
equipos de Vitales
comunicación
Monitoreo de la
Sensitiva
red.
36
Activos de Información
La Administración de ITS responsable por las
Instalaciones Computacionales, está conciente de la
importancia de asegurar los registros vitales y el respaldo
de la información residente en las computadoras. Esta
información necesita estar almacenada en una localidad
que no esté sujeta a las mismas amenazas de las
instalaciones principales.
La pérdida de estos respaldos al mismo tiempo de un
desastre, dejaría a la compañía en una situación
vulnerable.
2.8.1.8. Identificación MTDs y Priorización de los Procesos
Críticos
En esta sección identificamos el tiempo máximo tolerable
de recuperación de los procesos de cada función del
área de IT, para la cuál detallamos en la siguiente tabla el
tiempo y prioridad de recuperación para la continuidad de
las operaciones diarias.

37
Tabla 2.23: Máximo tiempo tolerable de Recuperación
(MTDS)
MTD Prioridad de
Funciones Procesos
Recuperación
Mantenimiento de Baja
1 día
Equipos
Instalación de Alta
1 día
Hardware Equipos
Help desk 1 día Baja
Soporte a los Alta
1 día
departamentos
Instalación de Alta
1 día
Programas
Configuración de Alta
1 día
Equipos
Encriptación de la Alta
Información 1 día
Sensitiva.
Acreditación de Baja
Software 1 día
Programas
Administración de Alta
1 día
datos
Seguridad de la Alta
1 día
información.
Respaldo de la Alta
Información 1 día
(Backup).
Configuración y Alta
Mantenimiento de 2 días
redes
Mantenimiento de Media
Telecomunicaciones
equipos de 1 día
comunicación
Monitoreo de la Media
1 día
red.
38
2.8.1.9. Identificación de los Procesos Críticos de IT.
Sistemas y Aplicaciones
Tabla 2.24: Procesos Críticos de IT
Criticidad de los
Funciones Procesos Sistemas y
Aplicaciones de IT
Mantenimiento de
ERP
Equipos
Instalación de
ERP
Equipos
Help desk Customer Relationship
Management (CRM)
Hardware
Soporte a los Customer Relationship
departamentos Management (CRM)
Order to cash
Forecast to stock
Requisition to payment
Accounting to reporting
Instalación de Management (CRM)
Programas Order to cash
Forecast to stock
Configuración de Customer Relationship
Equipos Management (CRM)
Order to cash
Encriptación de la
Información Accounting to reporting
Sensitiva.
Acreditación de Customer Relationship
Programas Management (CRM)
Software
Administración de Order to cash
datos Forecast to stock
Seguridad de la Customer Relationship

información. Management (CRM)
Respaldo de la Management (CRM)

Información Order to cash
(Backup). Forecast to stock
39
Tabla 2.24: Procesos Críticos de IT (Continuación)
Criticidad de los
Funciones Procesos Sistemas y
Aplicaciones de IT
Configuración y
Mantenimiento de ERP
redes
Mantenimiento de
Telecomunicaciones
equipos de ERP
comunicación
Monitoreo de la
ERP
red.

2.8.1.10. Recursos Críticos de No IT
Los recursos críticos que no son propiamente de
tecnología de información, son los siguientes:
Muebles y enseres
Edificación
Equipos de oficina
Útiles de Oficina y papelería
Materia Prima
Materiales de uso y consumo
Producto Final
Equipos de seguridad
Equipos de comunicación de voz
Registros y manuales críticos
Maquinarias
Herramientas de trabajo y mantenimiento

40
2.8.1.11. Determinación del Objetivo de tiempo de
Recuperación (RTO)
El objetivo principal es de salvaguardar la información y
los equipos, para lo cuál se establece una política de
generar backup automáticamente al término de cada
jornada, además de brindar seguridad a los equipos a
través de pólizas de seguridad, esto permite minimizar el
impacto.
Además el mayor tiempo que se establecería es de 48
horas para poder generar backup de la información
crítica y relevante de la compañía. El tiempo de
recuperación de las operaciones del negocio se dará
según la intensidad del desastre.
2.8.1.12. Identificación del Procedimiento de la Continuidad
del Negocio
Manual de Administración de Crisis
Manual de Recuperación en caso de desastre
Manual de Operaciones
Manual de reanudación de nóminas y cubos de
información.
Políticas y Procedimientos alternos en caso de
emergencia.
CAPÍTULO III
3. IDENTIFICACIÓN DEL ÁREA DE TRABAJO DE RECUPERACIÓN
3.1. ESTRUCTURA ORGANIZACIONAL GENERAL

42
3.1.1. Descripción de los Perfiles y Responsabilidades del
Organigrama General
Gerente General:
Misión del Cargo: Planear, coordinar y controlar las estrategias,
actividades, cultura y procesos del negocio con el fin de garantizar
el cumplimiento de los objetivos de la operación de la compañía
Clark S.A., siguiendo las políticas corporativas.
Relaciones de Trabajo:
Relaciones Internas Relaciones Externas

Área N B I C Entes N B I C
Finanzas X Proveedores X
Mercadeo X Clientes X
LCO X Consumidores X
Entes
Gerencia X
Gubernamentales
Supply X Asociaciones X
Ventas X Otros X
Operaciones X
N: Ninguna B: Básica I: Importante C: Crítica

43
Responsabilidad y Funciones:
• Diseñar las actividades comerciales y los planes de desarrollo
para los diferentes clientes, así como asesorar su
implementación con el fin de cumplir con los objetivos de venta
y rentabilidad establecidos. Programar implementaciones
tecnológicas definidas por la corporación para mejorar y
mantener la operación.
• Asesorar la elaboración de los planes de mercadeo y su
aprobación final, buscando alcanzar los objetivos de venta y de
participación de mercado establecidos.
• Establecer en conjunto con Recursos Humanos los planes y
acciones de Gestión humana, con el fin de asegurar la calidad,
motivación, capacitación y crecimiento del personal que
contribuya en forma eficaz al cumplimiento de los objetivos de
la compañía y que garanticen la cultura corporativa.
• Coordinar y hacer seguimiento a iniciativas en los procesos de
la Cadena de Abastecimiento y Operaciones, así como
proponer acciones de mejora con el fin de garantizar la
disponibilidad oportuna y el costo necesario de los productos
para soportar el área comercial.

44
• Establecer los presupuestos totales y por categoría de producto
así como asesorar en su ejecución con el fin de asegurar que
los resultados se cumplan y que los mismos respondan con la
rentabilidad definida.
• Asesorar y supervisar la ejecución los planes de
responsabilidad social así como coordinar su implementación,
buscando promover acciones sociales que generen un vínculo
con la sociedad.
• Hacer seguimiento a la implementación de las políticas y
controles definidos por la corporación buscando asegurar que
todas las áreas cumplan con los estándares definidos.
• Dirigir, coordinar y controlar el presupuesto, los planes y
programas de control interno que garanticen la sustentabilidad
de los resultados financieros acorde con los CFI corporativos y
las leyes locales.

45
Autoridad – Recomienda y Decide:
Decisiones Recomendaciones
Política y estrategia comercial Política salarial

Planes de mercadeo Despidos de personal de
Presupuestos primer nivel
Contratación y despido de personal Cambios en la definición de
Incremento salarial productos
Políticas y planes de Recursos Cambios de estructura
Humanos
Acciones de la cadena de
abastecimiento
Actividades de Responsabilidad
Social
Educación: Profesional
Conocimientos: Inglés (Alto), Conocimiento en mercadeo, ventas.
Experiencia: 5 años, Gerencia Funcional (Mercadeo o Ventas).
Habilidades: Capacidad trabajo bajo presión, Trabajo en equipo,
Trabajo individual, Responsabilidad, Interacción y comunicación
social, Liderazgo, Orientación a resultados.

46
Gerente Financiero:
Misión del Cargo: Administrar eficientemente el otorgamiento y
gestión del crédito a nivel nacional y asegurar la recuperación de la
cartera de clientes para contribuir a un crecimiento sostenible del
negocio.

Entes
Gerencia X X
Gubernamentales
Ventas X Otros X
Operaciones X
• Administrar del portafolio de clientes a nivel nacional, lo cual se
relaciona con crear vínculos importantes con el cliente y su
estructura que brinde un mayor poder de negociación a fin de
mejorar la rotación de cartera de la cía.

47
• Coordinar con el área comercial la recuperación y
administración eficiente de cartera, que contribuya a la mejora
de los indicadores y nos permita minimizar riesgos de cartera.
• Aprobar pedidos y días de crédito de clientes para contribuir
con la negociación comercial del equipo de ventas con el
cliente.
• Garantizar el flujo de efectivo de la compañía implicando una
cobranza a tiempo para lograr un exacto cumplimiento de las
obligaciones contraídas por KCE.
• Desarrollar proyectos acorde a las necesidades del negocio
para mejorar los índices de recuperación de cartera.
• Revisar y aprobar solicitudes de clientes potenciales y
aumentos de cupos de clientes importantes de cada zona en
KCE para incrementar las cuotas de ventas con cada uno de
ellos.
• Gestionar garantías reales de clientes minimizando el riesgo de
cuentas incobrables para asegurar un crecimiento sostenible
del negocio.
• Liquidar comisiones de cobranzas del equipo comercial para
incentivar mejora en su gestión de cobranza.

48
• Aprobar liquidaciones de rebates de clientes condicionados al
pago a tiempo de sus facturas, para incentivar al cliente por
haber cumplido con su cuota de venta y pagos.
• Reportar, investigar y manejar de manera puntual actos y
condiciones deficientes e identificar aspectos y riesgos
llevándolos a niveles aceptables de riesgo o impacto para
garantizar que sea una Planta de Clase Mundial.
Decisiones Recomendaciones
Negociación con clientes Recomendación de cupos de clientes
Aprobación de facturación nuevos > a $50,000.00 o excesos de
cupo de clientes existentes > al 150%.
Educación: Maestría en Administración de Empresas o afines.
Titulo Universitario en Ing. Comercial, Finanzas, Gestión
Empresarial.
Conocimientos: Ingles intermedio conversacional. Dominio de
herramientas office, Excel avanzado.
Experiencia: 2 años en cargos similares y/o afines.

49
Habilidades: Capacidad de trabajo bajo presión, habilidad
numérica, negociación, trabajo en equipo, responsabilidad,
interacción y comunicación social, liderazgo y orientación a
resultados.
3.2. ESTRUCTURA ORGANIZACIONAL DEL ÁREA IT
Gráfico 3.1: Estructura Organizacional de IT

50
3.2.1. Descripción de los Perfiles y Responsabilidades del Área de IT
Coordinador de ITS:
Misión del Cargo: Administrar y controlar proyectos y recursos
tecnológicos siguiendo las políticas y estándares de la corporación
para asegurar y mejorar la operación del negocio.

Entes
Gerencia X X
Gubernamentales
Ventas X Otros X
Operaciones X
Coordinador ITS
Help Desk
51
• Programar planes de mantenimiento de infraestructura (RED,
Servidores, Comunicaciones) y aplicaciones para mantener
funcionamiento de los mismos.
• Programar implementaciones tecnológicas definidas por la
corporación para mejorar y mantener la operación.
• Supervisar el apropiado desenvolvimiento de las operaciones
dentro del área, con la finalidad de garantizar el fiel
cumplimiento de los controles internos & SOX.
• Supervisión de servicios tercerizados para garantizar la normal
operación del negocio.
• Supervisar las actividades de desarrollo e infraestructura para
lograr eficiencia en los procesos.
• Programar los planes de contingencia sobre servidores y
acceso a red con la finalidad de mantener operativo el negocio.
• Programar nuevo requerimiento de usuario o necesidades
internas de información para mejorar la gestión y la toma
decisión.
• Reportar, investigar y manejar de manera puntual actos y
condiciones deficientes e identificar aspectos y riesgos

52
llevándolos a niveles aceptables de riesgo o impacto para
garantizar que sea una Planta de Clase Mundial.
• Decisiones de tipo técnicas.
• Recomendaciones de tipo tecnológicas.
Educación: Ingeniero de sistemas y/o analista de sistemas.
Conocimiento: Telecomunicaciones (CISCO), base de datos SQL,
servidores Windows 2003.
Experiencia: 4 a 5 años en cargos similares.
Habilidades: Capacidad trabajo bajo presión, trabajo en equipo,
trabajo individual, responsabilidad, interacción y comunicación
social, liderazgo, orientación a resultados.
Help desk:
Misión del Cargo: Verificar y corregir los problemas de hardware y
software brindando una excelente atención técnica a los usuarios
internos, aplicando las mejores prácticas en el manejo de
herramientas para garantizar el buen funcionamiento de todas las
herramientas tecnológicas de la compañía.

53
Gerencia Entes
X X
General Gubernamentales
Ventas X Otros X
Operaciones X
Responsabilidades:
• Monitorear y garantizar el correcto funcionamiento de los
equipos de comunicación de la compañía para asegurar la
continuidad del negocio.
• Ejecutar los planes de contingencia sobre servidores y equipos
de comunicación, según los procedimientos establecidos para
garantizar la continuidad del negocio.

54
• Ejecutar los trabajos de mantenimiento en los servidores y/o
equipos de comunicación para garantizar la continuidad del
negocio.
• Brindar soporte a los usuarios en temas relacionados al acceso
de la información, hardware y software para contribuir a su
buen desempeño laboral.
• Controlar el correcto y adecuado uso de las herramientas de
comunicación telefónicas para asegurar su correcto
funcionamiento.
• Documentar los procesos del área a través de procedimientos
escritos, formatos y registros, a fin de cumplir con la política de
control interno & SOX y minimizar los riesgos de contingencias.
• Garantizar el adecuado funcionamiento del cableado de red de
cada localidad de la compañía manteniendo el estándar de la
corporación para favorecer al correcto funcionamiento y
operatibilidad del negocio.

55
• Reportar e investigar de manera puntual actos y condiciones
deficientes y operar las áreas de trabajo e instalaciones en total
cumplimiento con las leyes y códigos locales para asegurar que
la Planta funcione bajo los estándares establecidos.
• Decisiones N/A.
• Recomendaciones al usuario final para mejores prácticas en el
manejo de las herramientas tecnológicas.
Educación: Técnico Superior en Sistemas, Analista de Sistemas.
Conocimiento: CCNA Cisco; Plataforma Microsoft Office 2007;
Instalación y Recuperación de Hardware y Software;
mantenimiento correctivo y preventivo de hardware.
Experiencia: Mínima 2 años en cargos similares.
Habilidades: Trabajo bajo presión, Habilidad numérica, Habilidad
analítica, Trabajo en equipo, Trabajo Individual, Responsabilidad,
Interacción y Comunicación Social y Orientación a los resultados.

56
3.2.2. Áreas relacionadas al departamento de IT
Gráfico 3.2: Áreas relacionadas a IT
VP of Information
Technology
Services
HR/Finance/ Marketing,
Legal Strategy & KCP D&E NACP
Health Care
(Corporate Innovation
Services)
Business Intelligence Solutions
Applications Solutions
Strategy, Architecture & Innovation
Infrastructure Solutions
Solutions Integration & Delivery
Communications, HR, Finance, Legal, Sourcing & Supply
Los principales departamentos relacionados con el departamento de
IT son el departamento financiero, marketing, producción y
distribución. Están altamente conectados y obtienen los mayores
recursos de IT.
57
3.3. CLASIFICACIÓN Y DETALLE DE LOS PROCESOS DE IT
Los Procesos de IT cumplen con los estándares de la empresa, estos se
basan en:
• Adquisición y mantenimiento de software aplicativo
• Instalación y acreditación de los sistemas
• Soporte a los Clientes
• Administración de datos, instalaciones y operaciones
• Administración de problemas e incidentes
• Seguridad de la Información
El Área de IT de se clasifica de la siguiente manera:
HARDWARE:
Instalación, Mantenimiento, reparación y Soporte de los equipos:
Equipos de networking CISCO (routers y switches)
Servers (COMPAQ Proliant ML370, Proliant DL380)
Desktops COMPAQ (Evo D500)
Laptops (Evo N400c, N600c, N6000c, NC6400)

58
SOFTWARE:
Actualmente los siguientes módulos de SAP están en uso:
Requisition to Payment (RTP)
Forecast To Stock (FTS)
Accounting To Reporting (ATR)
Order To Cash (OTC)
Customer Relationship Management (CRM)
Sistemas desarrollados o administrados localmente:
Nómina Adams realizado en Visual Basic 6.0 con SQL Server
2000.
Cubos Locales
TELECOMUNICACIONES:
La tecnología de comunicaciones Frame Relay, ATM, RDSI para
conectar Quito y el centro principal de comunicaciones Guayaquil, con
un ancho de banda suficiente que proporcione tiempos de respuesta
aceptables para la cantidad de información que es transferida.

59
3.4. PONDERACIÓN DEL ÁREA IT
3.4.1. Análisis de Criticidad
Tabla 3.1: Análisis de Criticidad de IT

Área Operaciones Posibles Causas
Daño a los equipos por

CRÍTICAS sobrecalentamiento de los
procesadores.
Hardware
VITALES Inversión de Hardware no justificable.
Error en el uso de los equipos por

SENSITIVAS
parte de los usuarios.
Error en los procedimientos al

momento de generar respaldos o de
CRÍTICAS recuperar información.
Software Manipulación de datos por personal no

autorizado.
Ejecutar procesos sin autorización que

SENSITIVAS
alteren los registros.
Acceso a información por personas

no autorizadas.
CRITICAS
Fallas o daños a las redes.
Telecomunicaciones
Falla en la conexión entre localidades.
VITALES No disponer del servicio en el tiempo

prudente.

60
3.4.2. Ponderación de la eficiencia del recurso IT
Tabla 3.2: Ponderación de eficiencia de IT

Ponderación
Áreas
Alta Media Baja
Hardware x
Software x
Telecomunicaciones x

El área de IT tiene una ponderación alta en cuanto a la eficiencia

de los recursos y manejo de la información, así como el debido
soporte, mantenimiento, instalación y seguridad de los equipos y
programas que cumplen con los estándares de la compañía dando
como resultado el óptimo proceso de las operaciones diarias.
CAPÍTULO IV
4. IDENTIFICACIÓN DEL ÁREA DE IT
4.1. ANÁLISIS DE LA INFRAESTRUCTURA
El Área de IT de la Compañía Clark S.A. detalla el inventario que existe
en las tres ramas de los Sistemas de Información: Hardware, Software y
telecomunicaciones.
Hardware
Servidores:
Tabla 4.1: Modelos de Servidores

Model: COMPAQ Proliant ML370
OPTICAL DRIVE CD-ROM
FLOPPY FLOPPY DISK
Operating System WINDOWS SERVER 2003 SP1
RAM 2 GB
CPU model/speed PENTIUM III 1.2 GHZ.
Hard Drives capacity (GB) 12 GB SCSI HARD DISK

FLOPPY FLOPPY DISK
RAM 2 GB
DUAL 3.1 GHZ INTEL PENTIUM 4 XEON
CPU model/speed H.T.
62
Tabla 4.1: Modelos de Servidores (Continuación)
Model: HP Proliant DL380

FLOPPY FLOPPY DISK
RAM 2 GB
Hard Drives capacity (GB) 12 - 260 - 140 GB SCSI HARD DISK

RAM 2 GB

FLOPPY FLOPPY DISK
RAM 2 GB

FLOPPY FLOPPY DISK
RAM 2 GB
63
Tabla 4.1: Modelos de Servidores (Continuación)

FLOPPY FLOPPY DISK
RAM 2 GB
CPU model/speed DUAL 1.3 INTEL PENTIUM 3

FLOPPY FLOPPY DISK
RAM 1 GB
CPU model/speed PENTIUM III 1.2 GHZ.

64
Información de Respaldo por Servidor:
Tabla 4.2: Respaldo por Servidor

Offsite LAN Instance Used Average
Restore Space
Host Team Media Media Backup Backing Backup Restore
Type/ GB
Ave.
# Name Location Use Responsible Location Type Time Up
GB/Hr
Frequency Time Hr
1 ECGUFN01 Guayaquil File & Print Caja de SDGLT 3 Hrs VERITAS 30 GB Diarios, 70 GB 2 Hrs.
Seguridad/Bco. 200/400 Semanales
Bolivariano y
Mensuales.
2 ECGUAX02 Guayaquil Mail Caja de SDGLT 2 Hrs VERITAS 20 GB Diarios, 180 GB 1 Hrs.
Seguridad/Bco. 200/400 Semanales
Bolivariano y Mensuales
3 ECGUFN02 Guayaquil Backup
4 ECGUNDC0 Guayaquil Domain
Controller
5 ECGUASM1 Guayaquil Sms/Software
Package
6 ECGUAS02 Guayaquil Central
Telefónica
7 ECGUAF01 Guayaquil Fax Server
8 ECGUAS01 Guayaquil Application Caja de SDGLT 2 Hrs VERITAS 20 GB Diarios, 180 GB 1 Hrs.
Server Seguridad/Bco. 200/400 Semanales
Bolivariano y Mensuales
9 ECGUAS01- Guayaquil
N
10 ECQTNDC0 Quito Domain
Controller
11 ECQTFN01 Quito File & Print Caja de 180/360 1 Hr VERITAS 20 GB Diarios, 3 Hrs.
Seguridad/Bco. Semanales
Bolivariano y
Mensuales.
65
Printers:
Tabla 4.3: Inventario de Impresoras
NOMBRE IP COMENTARIO UBICACION MODELO DRIVERS

ESERIES PCLON
ECGUP001 172.25.84.201 CAJA - (SAP) GUAYAQUIL, ECUADOR MATRICIALES FX-1180
ESERIES PCLON
ECGUP002 172.25.84.202 MATRICIAL (ventas notas de debito) GUAYAQUIL, ECUADOR MATRICIALES FX-1180
ECGUP006 172.25.85.203 LOGISTICA (SAP) GUAYAQUIL, ECUADOR HP LASER MF345 HP LASER MF345
FINANZAS (CONTABILIDAD, COSTOS,
ECGUP012 172.25.85.200 COBRANZAS, TESORERIA) GUAYAQUIL, ECUADOR HP LASER MF345 HP LASER MF345
ESERIES PCLON
ECGUP015 172.25.84.215 VENTAS CONSUMO - (SAP) GUAYAQUIL, ECUADOR MATRICIALES DFX-8500
ESERIES PCLON
ECGUP016 172.25.84.235 LOGISTICA, GUIAS KCP- (SAP) GUAYAQUIL, ECUADOR MATRICIALES DFX-8500
ESERIES PCLON
ECGUP020 172.25.84.205 CREDITO - (SAP) GUAYAQUIL, ECUADOR MATRICIALES DFX-8500
ESERIES PCLON
ECGUP023 172.25.84.243 IMPORTACIONES - (SAP) GUAYAQUIL, ECUADOR MATRICIALES FX-1180
HP LASER MF345
ECGUP033 172.25.85.200 FINANZAS - (SAP) GUAYAQUIL, ECUADOR HP LASER MF345 SERIES PCL
HP LASER MF345
ECGUP034 172.25.85.201 VENTAS - (SAP) GUAYAQUIL, ECUADOR HP LASER MF345 SERIES PCL
HP LASERJET 4000
ECGUP035 172.25.85.202 NOMINA GUAYAQUIL, ECUADOR HP LASER MF345 SERIES PCL
ECGUP036 172.25.85.203 LOGISTICA - (SAP) GUAYAQUIL, ECUADOR HP LASER MF345 HP LASER MF345
HP LASERJET 4000
ECGUP037 172,25,85,204 SUPERVISORES DE PLANTA - (SAP) GUAYAQUIL, ECUADOR HP LASER MF345 SERIES PCL
HP LASERJET 4000
ECGUP038 172.25.85.205 PRODUCCION C. CALIDAD - (SAP) GUAYAQUIL, ECUADOR HP LASER MF345 SERIES PCL
HP LASER MF345
ECGUP039 172.25.85.206 GERENCIAS - (SAP) GUAYAQUIL, ECUADOR HP LASER MF345 SERIES PCL
66
Tabla 4.3: Inventario de Impresoras (Continuación)
NOMBRE IP COMENTARIO UBICACION MODELO DRIVERS

GUAYAQUIL, HP LASER MF345
ECGUP040 172.25.85.207 COMPRAS - (SAP) ECUADOR HP LASER MF345 SERIES PCL
BODEGA M. PRIMA - GUAYAQUIL, HP LASERJET 4000
ECGUP041 172.25.85.208 (SAP) ECUADOR HP LASER MF345 SERIES PCL
GERENCIA GUAYAQUIL, HP LASERJET 4000

ECGUP042 172.25.84.251 FINANCIERA - (SAP) ECUADOR HP LASER MF345 SERIES PCL
GERENCIA VENTAS GUAYAQUIL, HP LASERJET 4000
ECGUP043 172.25.84.253 - (SAP) ECUADOR HP LASER MF345 SERIES PCL
GUAYAQUIL, HP LASERJET 4000
ECGUP044 172.25.85.209 VENTAS KCP ECUADOR HP LASER MF345 SERIES PCL
GUAYAQUIL, HP LASER MF345

ECGUP045 172.25.84.211 LOGISTICA ECUADOR HP LASER MF345 SERIES PCL

67
Servidores de Repuesto:
Tabla 4.4: Servidores de Repuesto
Server Name ECGUFN02

Server Model Compaq Proliant ML370
Server Description DC & SMS Secondary or Contingecy Server
Server Role BDC
Operating System Windows Server 2003
Workgroup/Domain KCUS
Server Stage OFF
Building M.I.S. Office (Computer Center)
Site server will be built M.I.S. Office (Computer Center)
Must supply a temp ID if the request is for a
IP to build with
BDC
Supported By INTERNATIONAL MIS
System Owner Clark S.A.
RAM 768 MB
CPU model/speed 1.3 GHz Pentium III
NIC HP NC3163 Fast Ethernet NIC
IP for NIC
SN# (Required) D150FRV1K063
Hard Drives Qty. 5
Hard Drives capacity
(GB) 36.4
Remote Management
(iLO) Yes
Generation G3
KCC S/Number 53500316
Owner Carlos Pelaez
68
Software:
Aplicativo de Nómina ADAMS, realizado en Visual Basic 6.0 con
SQL Server 2000.
Proceso SAP (Planificación de Recursos Empresariales)
Microsoft SQL Server 2000
Microsoft Office 2007
Todos los paquetes adquiridos y utilizados en la compañía Clark
S.A. se registran con licencia corporativa que es adquirida por la
misma para poder utilizarla en todas sus filiales a nivel mundial.
De acuerdo a estándares corporativos no se debe utilizar ningún
software Open Source por seguridad de la empresa.

69
Telecomunicaciones:
Switch y Routers:
Tabla 4.5: Inventario de Switch y Routers

Location Name Category Serial Number O/S Information Model IP Address Subnet Mask
CI-NAME CI-CATGRY CI-SN CI-OS-INFO CI-MODEL CI-IP CI-SUB-MSK
SMARTS SMARTS Manual entry SMARTS SMARTS Manual entry Manual entry
Required? – Required? - Required? -
Yes Yes Required? - Yes Required? - Yes Required? - Yes Yes Required? - Yes
SISTEMAS ECGUCR1 Router JHY0834K01A Version 12.3(5c) C3725-IPVOICE-M 172.25.84.254 255.255.254.0
SISTEMAS ECGUNS1 Switch FOC0843W12F Version 12.1(22)EA1 WS-C2950G 172.25.84.221 255.255.254.0
SISTEMAS ECGUNS2 Switch FAB0546P06Z Version 12.0(5.3)WC(1) WS-C3548 172.25.84.222 255.255.240.0
SISTEMAS ECGUNS3 Switch FAB0546Q08Y Version 12.0(5.3)WC(1) WS-C3548 172.25.84.223 255.255.240.0
KCP ECGUNS4 Switch FAB0545Q22T Version 12.0(5.3)WC(1) WS-C3548 172.25.84.224 255.255.240.0
KCP ECGUNS5 Switch FAB0546P06T Version 12.0(5.3)WC(1) WS-C3548 172.25.84.225 255.255.240.0
CONTROL DE CALIDAD ECGUNS6 Switch 172.25.84.226 255.255.240.0
LOGISTICA ECGUNS7 Switch FOC0833X1WT Version 12.1(22)EA6 WS-C2950G 172.25.84.217 255.255.240.0
SALA CAP. 2 ECGUNS8 Switch FOC0833X1XH Version 12.1(11r) EA1 WS-C2950G 172.25.84.240 255.255.240.0
LIBRE ECGUNS9 Switch FOC0833X1XJ Version 12.1(11)EA1 WS-C2950G-48 172.25.84.241 255.255.240.0
LIBRE ECGUNS11 Switch FAA040F1EQ Version 12.0(5) WC3b WS-C3524-XL-EN
KCP ECGUNS10 Switch FOC0646S05N WS-C2950G-24 172.25.84.244
BABAHOYO ECBACR1 Router 26759573 Version 12.2(12a) C3640-IS-M 172.25.87.254 255.255.255.0
BABAHOYO ECBANS1 Switch FAB0546P071 Version 12.0(5.3)WC(1) WS-C3548-XL-EN 172.25.87.254 255.255.255.0
QUITO ECQTCR1 Router JHY0726K039 Version 12.2(12a) C2600-IS-M 172.25.86.254 255.255.240.0
QUITO ECQTNS1 Switch FAB0546P06Q Version 12.0(5.3)WC(1) WS-C3548-XL-EN 172.25.86.253 255.255.255.0
70
Tarjetas RAS:
Tabla 4.6: Inventario de Tarjetas RAS

No Localidad Usuario Area Proceso ID PIN ID Ras Status
48 Guayaquil Gonzalez, Danny Finanzas Finanzas C11401 30718999 Operativa
58 Guayaquil Isidro Reyes Ventas Ventas C12134 39059363 Operativo
16 Guayaquil Jaime Ferrer Produccion Produccion L40017 Operativa
59 Guayaquil Isasi, Rodrigo Ventas Ventas L60160 39059367 Operativo
8 Guayaquil Diego Alvarez Del Villar Mercadeo Mercadeo L60193 30735408 Operativa
61 Guayaquil Gonzalez, Alejandro Ventas Ventas L71391 21022485 Operativo
11 Guayaquil Geovanni Tapia LAO LAO L80029 Operativa
29 Guayaquil Maria Sol Solines Mercadeo Mercadeo L80047 30718998 Operativa
38 Guayaquil Rafael Hincapie KCP KCP L80096 30735399 Operativa
23 Quito Ketty Mariano Ventas Ventas L80152 8015 30735398 Operativa
28 Quito Maria Sol Cepeda Mercadeo Mercadeo L80322 8032 30735405 Operativa
43 Guayaquil Sergio Cruz Presidencia Presidencia L80329 Operativa
32 Guayaquil Monica Costa Mercadeo L80330 Operativa
19 Guayaquil Jorge Bustamante Mercadeo Mercadeo L80334 30719003 Operativa
14 Guayaquil Homero Lucio Sistemas Sistemas L80335 1263 27647511 Operativa
1 Guayaquil Adrian Arroba Mercadeo Mercadeo L80343 30719005 Operativa
56 Guayaquil José Santos Ventas Ventas L80409 39059368 Operativo
34 Guayaquil Oscar Gamarra LAO LAO L83002 Operativa
71
4.2. DESCRIPCIÓN DE PROVEEDORES DE SERVICIOS EXTERNOS
La compañía Clark S.A. requiere los servicios personalizados de
proveedores externos que contribuyan a la calidad de sus funciones y
orientados a alcanzar los objetivos corporativos.
La función al contratar un proveedor externo para el área de IT es brindar
apoyo intelectual a la compañía. La empresa cuenta con sistemas y
equipos suficientes para las operaciones diarias, esta provee las
herramientas necesarias a los operadores de empresas Outsourcing.
A continuación se detalla la tabla 4.7. que muestra la lista de empresas
proveedoras externas con su respectivo líder.
Tabla 4.7: Proveedores de Servicios Externos
Título Nombre
IMSERIES PCLAT Enrique Erazo
Proveedor de Enlace
Nacional
PACIFICTEL Marcia Moreno
Proveedor de Enlaces
Internacionales
TRANSFERDATOS Eladio Vera
Proveedor de Ultima Milla
INFONET Ramiro Rodas
Proveedor de Enlaces
Internacional-Quito
72
Tabla 4.7: Proveedores de Servicios Externos (Continuación)
Título Nombre
SONDA del Ecuador Xavier Robles
Proveedor de Equipos,
Partes HP
SYSTELECOM Luis Caiza
Proveedor Soporte en
Telefonía
TELEFONICA Darío Ojeda
Proveedor Soporte
Equipos Comunicación
Repuestos de Equipos:
Antecedentes.-
Según contrato de servicios firmado el 2 de junio del año 2005 entre
CLARK S.A., en calidad de Cliente y la Compañía TELEFONICA S.A.,
ECUAPHONE, en calidad de Proveedor, Clark S.A. obtendrá los
servicios de Soporte técnico, mantenimiento y backup de equipos de
comunicación durante la vigencia del mencionado contrato.
Descripción de Servicios:
Telecomunicaciones
• Equipos de Backup
73
Tabla 4.8: Equipos Backup
Cantidad Equipo Marca Modelo
1 Routers Cisco 1700
1 Switch Cisco Catalyst WS-C3524

• Equipos cubiertos con Soporte y Mantenimiento (On Site)
Tabla 4.9: Equipos On Site
Cantidad Equipo Marca Modelo
1 Routers Cisco 2650MX
1 Switch Cisco Catalyst 3524
4 Switch cisco Catalyst 3548
4 Switch cisco Catalyst 2950G-48
1 Switch cisco Catalyst 2950G-24
1 Access Point cisco 1231

74
4.3. Análisis del Costo de la Infraestructura
En está sección analizamos el costo de operación que resulta invertir en
un plan de continuidad de negocio (BCP) para la Cía. Clark S.A., para el
cuál evaluamos si conviene o no invertir en un BCP. Para esto
resolvemos la siguiente fórmula donde nos indica el costo de invertir en
un BCP sobre el stock del producto final que es el core business de la
compañía.
Tabla 4.10: Detalle de Cuentas
Detalle Cuentas Saldos
Ingresos 27,830,320.31
Family Care 40% 11,132,128.12
Papel Higiénico 87% 9,684,951.47
Costo de BCP 139,824.60

Costo de BCP
Costo de Operación =
Stock del Pr oducto Final
139,824.60
Costo de Operación = X 100 = 1.44% ⇒ % Costo Beneficio.
9,684,951,46788
75
El presupuesto del proyecto es bajo 1.44% con respecto a lo que voy a
proteger, es decir invierto $139,824.60 en implementar un BCP para la
compañía que prevenga cualquier contingencia que provoque la
interrupción de las actividades diarias del negocio para proteger
$9,684,951.47 que es el core business del negocio.
Además analizamos el % de rentabilidad que nos permite estar asegurar
si conviene o no invertir en un BCP.
Costo de BCP
% Utilización de Re ntabilidad =
Utilidad
139,824.60
Costo de Operación = X 100 = 0.50%
27,830,320.31
Como se observa al resolver la fórmula vemos que el valor no es tan
representativo con respecto a la rentabilidad o beneficio neto que me
queda. El 0.50% es porción que tomo de los beneficios netos para
proteger mi negocio. Lo cuál resulta conveniente invertir en un BCP para
la compañía como se ha mostrado, ya que el beneficio es mayor al costo
que genera la inversión. Aunque está decisión la puede tomar el
ejecutivo de la compañía ya que el valor no es representativo, en caso
de que fuera representativo lo evalúan los accionistas de la compañía.

CAPÍTULO V
5. FABRICACIÓN Y PRODUCCIÓN
5.1. PORTAFOLIO DE PRODUCTOS
La Compañía Clark S.A. ofrece lo último en innovación, tecnología y la
más alta calidad mediante la comercialización de todos los productos.
Diariamente contribuye a la satisfacción y al bienestar de los
consumidores ecuatorianos a través de la difusión de la higiene y la
limpieza para bienestar de los clientes.
Existen dos divisiones comerciales: De consumo con las Categorías de
Cuidado Familiar y la otra división comercial es la de productos
institucionales Clark Profesional.
A continuación clasificamos los productos en las siguientes categorías
como muestra la tabla:

77
Tabla 5.1: Portafolio de Productos
PRODUCTOS CATEGORIAS
Papel Higiénico Jumbo.
Papel Higiénico Papel Higiénico Bulk pack.
Papel Higiénico Convencional.
Servilletas dispensadas.
Servilletas Servilletas convencionales.
Servilletas de lujo.
Toallas de Mano dobladas.
Toallas de Mano Toallas de Mano en rollo vertical.
Toallas de Mano en rollo horizontal.
Pañuelos Faciales 100 hojas – caja
grande.
Pañuelos Faciales
pequeña.
grande.
Pañuelos Faciales
pequeña.
Jabones uso personal.
Jabones Jabones antibacterial.
Jabones uso industrial.
Toallas desechables para el cuerpo
Toallas desechables
Toallas desechables funda
78
5.2. PROCESO DEL PRODUCTO ESTRELLA
La empresa elabora su producto principal que se convierte en sinónimo
de suavidad, calidad, limpieza, cuidado y confort. El objetivo de la
compañía es el de fabricar un papel de superior calidad, confeccionado
enteramente con hebras de lino y algodón.
El proceso de confección del papel sanitario se realiza continuamente, a
través de una máquina que se alimenta de pulpa y de los aditivos
correspondientes, y produce rollos de papel de las características
deseadas.
Primero se bombean las materias primas que son las fibras y los aditivos
químicos con agua a la cabeza de máquina, la cual alimenta
continuamente la sección de mallas, que es una cinta larga y elástica (de
hasta 35 m de longitud) y cuyo ancho es el de la máquina. El agua que
acompaña a la pulpa comienza a escurrirse por los huecos de la maya,
arrastrando consigo las fibras más finas las cuál son reaprovechadas
más tarde. Se pierde un alto porcentaje del agua que contiene la pulpa,
cuando la pulpa llega al final de la cinta de mallas, se ha convertido en
una hoja de papel, pero aún muy húmeda y de muy baja resistencia.
79
Luego se pasa al área de prensado, que está formada por una serie de
cilindros pesados a través de los cuales pasa el papel húmedo. En ellos,
la humedad es escurrida y retirada por succión. Después el papel pasa al
área de secado. En está área existen un gran número de cilindros
desecadores, calentados por vapor a una temperatura ligeramente
superior a los 100ºC. La hoja de papel pasa a través de estos cilindros
hasta que el papel se seque completamente. En la parte final del banco
de cilindros se encuentra el área de calandrado, que consiste mejorar el
acabado del papel mejorando la lisura de la superficie y haciendo el
papel más brillante. El tratamiento se efectúa en la satinadora, máquina
compuesta por cilindros de hierro colado con la superficie dura y brillante
y cilindros con fibra con la superficie elástica y compresible.
La siguiente área es el estucado, que es una operación donde se
modifican las características del papel permitiendo mejorar los resultados
de la impresión y alcanzando un mayor grado de blancura. El proceso
consiste en aplicar sobre una de las caras del papel una capa de
adhesivos y pigmentos que forman una película de barniz (el estuco) que
da al papel gran finura y uniformidad.
Una vez obtenida la pulpa de papel en condiciones adecuadas para la
confección del tipo de papel deseado se realiza la conversión a papel
sanitario.
80
5.3. SECTORES Y PROMESA DE VENTA
9 Sector Oficinas
Brindamos soluciones innovadoras para mejorar el ambiente de
trabajo haciendo que sus empleados se sientan a gusto y que sus
clientes se lleven la mejor impresión.
• Satisfacción para su gente
• Imagen en su empresa
• Calidad y rendimiento
9 Sector Industrial
Le damos soluciones versátiles para mejorar la productividad y
eficiencia de su negocio.
• Hacemos “más con menos”
• Eficiencia para maquinarias
• Seguridad a sus empleados

81
9 Sector Salud
• Proporcionamos un ambiente altamente higiénico para evitar que
las áreas de atención a sus pacientes no tengan riesgo de contagio.
• Seguridad a pacientes y visitantes.
• Seguridad en su lugar de trabajo.
9 Sector Hotelería y Turismo
Ponemos los detalles que hacen que sus huéspedes se sientan como
en casa.
• Satisfacción para sus huéspedes, clientes e invitados.
• Imagen
9 Sector Procesadora de Alimentos y Restaurantes
• Los alimentos que ingerimos deben estar procesados con calidad,
ayudamos para que el proceso tenga la garantía de higiene que su
negocio necesita y sus clientes buscan.
• Seguridad, Imagen, Calidad y Servicio.

82
9 Sector Alto Tráfico
Somos capaces de atender de manera higiénica y segura a un gran
número de personas con sistemas que resisten el uso y el abuso.
• Confianza y seguridad
• Alto rendimiento
5.4. ANÁLISIS DE PRODUCTIVIDAD
El análisis del índice de productividad nos muestra la eficiencia
operativa de la misma. Detallamos y calculamos los siguientes
parámetros de rentabilidad, tomamos los valores de los Estados
Financieros, tanto el Balance General y el Estado de Pérdidas y
Ganancias al 31 de Diciembre de 2008 para el cálculo, los cuáles se
muestran en la siguiente tabla:
Tabla 5.2: Saldos de los Ef´s
CUENTAS EF´S SALDOS

Ventas 104,398,975.48
Costo de Ventas 76,568,655.17
Utilidad Neta 27,830,320.31
Activos Fijos Netos 10,306,300.26
Total Activos 65,817,136.20
83
Margen de Utilidad:
Ventas − Costo de Ventas 104,398,975.48 − 76,568,655.17

ROS = = = 0.26 = 26%
Ventas 104,398,975.48
Este valor indica que la empresa ganó 42 centavos por cada venta que
realiza pagado todos sus productos.
Rotación de Activos Fijos:
Ventas 104,398,975 .48

ROE = = = 10.13 veces
Activos Fijos Netos 10,306,300 .26
Este valor indica que la empresa rota sus activos 10.13 veces al año.
Retorno sobre Activos (Inversión):
Utilidad Neta 27 ,830 ,320 .31

ROI = = = 0 .42 = 42 %
Total Activos 65 ,817 ,136 .20
Este valor indica que la empresa ganó 42 centavos por cada dólar de
inversión en activos.
Leyenda:
ROS: Parámetro que mide la rentabilidad sobre las ventas que realiza.
ROE: Parámetro que mide el rendimiento sobre sus activos fijos.

84
ROI: Parámetro que mide el rendimiento de la inversión sobre el activo
total.
Análisis:
La compañía Clark S.A. muestra un retorno de rentabilidad alto sobre las
ventas (26%), esto indica un buen control sobre sus costos. Su retorno
sobre activos es del (42%), lo cuál significa que la compañía, rota más
rápido sus activos, es decir mantiene el uso eficiente de los activos en el
balance general.
La empresa mantiene un índice de ventas muy elevado (10.13 veces)
sobre sus activos fijos (planta y equipo), lo cuál indica de nuevo que rota
rápidamente los activos. La utilidad de la compañía es alta, muestra
liquidez y rentabilidad. Su nivel de productividad es alto, lo cuál emplea la
mano de obra y el equipo en la forma más eficiente y al costo más bajo.

CAPÍTULO VI
6. FASE DE RECUPERACIÓN
6.1. ESTRATEGIA DE RECUPERACIÓN
La Administración ha reconocido las pérdidas potenciales asociadas
con una interrupción de las operaciones de ITS, así como la
importancia de mantener estrategias de continuidad viables para
mantener el servicio de MIS disponible para nuestros clientes. Para
que un Plan de Continuidad sea útil, debe tener estrategias
desarrolladas para 1) comunicar, controlar el proceso de reanudación,
asegurar que el personal sea capaz de ejecutar sus
responsabilidades, y 2) obtener el hardware para el procesamiento en
un tiempo oportuno, así como de definir localidades alternas para el
procesamiento y asegurar que la información respaldada pueda ser
obtenida y procesada efectivamente.
Estas oficinas han implementado ó están en el proceso de revisión de
las estrategias para la reanudación de sus operaciones críticas,
funciones de procesamiento computarizado así como de su
infraestructura de hardware.
86
Una vez de que la gerencia indique a ITS la decisión de proceder con

los trabajos de recuperación se mantendrá el siguiente esquema de
comunicación.
Gráfico 6.1: Diagrama Paso a Paso de Recuperación

Fuente: Clark S.A. Ver Anexo 3: Simbología
86
Tabla 6.1: Estrategia de Recuperación
Categoría Estrategia de Recuperación
Notificación del Incidente El Gerente encargado del Sitio (Oficina Central o Planta de producción) o el Administrador de LAN notificarán al
personal si una situación de desastre ocurre en la Planta. El Plan de Continuidad de Negocios contiene una “Lista de
control para Potenciales Desastres de MIS” para determinar si hay una situación de desastre de MIS. En la
notificación del incidente, el Administrador de LAN se encontrará en la Planta con el propósito de realizar una
valoración preliminar para comunicar a la gerencia de planta del estado de la emergencia. El Administrador de LAN
comenzará las actividades contenidas en el Plan de Continuidad de Negocios, para determinar si un desastre
necesita ser declarado y las actividades de reanudación necesitan ser activadas.
Notificación al Personal El Plan de Continuidad de Negocios se usará para la notificación del personal de MIS y Administrativo, en relación a
Interno las acciones específicas a ser tomadas. El Gerente de planta notificará al Gerente General si el evento constituye una
crisis o una potencial crisis, el Gerente de planta tomara acciones apropiadas definidas en el Procedimiento de
Respuesta para Averías Específicas de MIS o la sección de Sabotaje u otras secciones incluidos en los
Procedimientos corporativos sobre administración de crisis.
Notificación Externa Existen clientes externos que requieren ser notificados. Los números de contactos estarán contenidos en el plan de Continuidad de
Negocio.
Localización del Control de la Existen en Ecuador dos sitios (Oficina Quito y Oficina de Fibra Secundaria) que pueden ser usados como un centro de control para
Emergencia administrar los incidentes de desastre.
Ejercicios de prueba Las aplicaciones críticas serán probadas en servidores alternos anualmente. MIS realizará una revisión anual con el personal
apropiado.

87
Tabla 6.2: Estrategia de Recuperación de Hardware
Localidad de
Categoría Método de
Categoría Estrategia de Recuperación de Hardware Localidad de Reanudación Almacenamiento
detallada Backup Archivos
de Backup
Mainframe N/A
AS/400 N/A
Windows ECGUFN01 El proveedor Leasing de SONDA/HP, Todos los archivos de datos VERITAS Banco Bolivariano,
2003 enviara el servidor o las partes que se serán restaurados en el casillero 44B
ECGUAX02 requieran para tener el servidor en óptimas servidor de reemplazo por el
condiciones. administrador local; las cintas
ECGUFN02
de respaldo se encuentran en
El administrador de la red en conjunto con un sitio fuera de la compañía
ECGUNDC0
el “Enterprise Server Team” de Clark S.A. en el casillero del Banco
ECGUASM1 se encargara de reinstalar el sistema Bolivariano.
operativo.
ECGUAS02
ECGUAF01
ECGUAS01
ECGUAS01-N
ECQTNDC0
ECQTFN01
88
Tabla 6.2: Estrategia de Recuperación de Hardware (Continuación)
Localidad de
de Backup
Comunicacio Routers Los Routers están incluidos en un contrato El coordinador de Clark-UIO
nes de Datos SMART NET, el proveedor SONDA, infraestructura realizara el
ECGUFNR1 enviara el router en un plazo máximo de 1 procedimiento necesario para
dias; que el Network Management
ECGUFNR2
team instale la configuración
El coordinador de infraestructura en del Router.
conjunto con el Network Management team
se encargara de reinstalar el equipo.
CSU/DSU El proveedor SONDA reemplazara el El proveedor SONDA instalara SONDA

CSU/DSU en un plazo máximo de 24 el nuevo CSU/DSU en el sitio
horas, con el fin de garantizar que el específico. ver lista de
circuito Frame Relay este operativo. contactos, Sect App
K.
Console El coordinador de infraestructura El coordinador de Departamento de

Modems suministrara el MODEM de consola, en un infraestructura instalara el Sistemas.
plazo máximo de 48 horas después de nuevo MODEM de consola en
estar declarada la situación de desastre; el sitio específico.
este equipo es requerido para acceder el
Router.
89
Localidad de
de Backup
Facility El departamento de sistemas tendrá en El coordinador de Departamento de
Modems inventario módems que serán utilizados infraestructura instalara el Sistemas.
para reemplazar los equipos que se nuevo MODEM de consola en
destruyan en el desastre. el sitio específico.
Switches Los Switches están incluidos en un contrato El coordinador de SONDA

SMART NET (ver Sect App T), el proveedor infraestructura instalara el
SONDA, enviara el Switche en un plazo nuevo Switche en el sitio
máximo de 1 dia; el coordinador de específico.
infraestructura se encargara de reinstalar el
equipo.
Cable El proveedor SONDA reemplazara los El proveedor SONDA instalara SONDA

Infrastructure cables de Fibra Optica, controllers, router y el nuevo cable para CSU/DSU,
cable para CSU/DSU en un plazo máximo controllers o routers, en el sitio
de 24 horas después de estar declarada la especifico.
situación de desastre.

90
Localidad de
de Backup
Impresoras ECGUP011 El proveedor HP reemplazara las partes o Hasta que la impresora sea Departamento de
las impresoras en el momento que se reemplazada, todos los compras.
ECGUP012 requiera en un plazo máximo de 24 horas archivos que el usuario
después de estar declarada la situación de requiere imprimir deben ser
ECGUP013 desastre. enviados a otra impresora del
ECGUP014 sitio específico o a otra
impresora en otra ubicación.
ECGUP015
ECGUP016
ECGUP017
ECGUP018
ECGUP019
ECGUP003
PCs El proveedor Leasing SONDA, enviara los Todos los archivos de datos Banco Bolivariano.
PC’S o las partes que se requieran para serán restaurados en el PC de
tener el PC en óptimas condiciones. reemplazo por el administrador
local; las cintas de respaldo se
El administrador de la red se encargara de encuentran en un sitio fuera de
reinstalar el sistema operativo. la compañía en el Banco B.
91
Localidad de
de Backup
UPS FV Best 35 El proveedor Cotel suministrara el servicio La alimentación del sistema Proveedor Cotel
kva Centro de y soporte para reparación o el cambio de regulada el centro de computo
Computo las partes que se requieran para el optimo principal esta conectado al ver lista de
servidores funcionamiento del equipo. generador principal de contactos, Sect App
emergencia como K.
contingencia para la UPS de
35Kva.


92
6.1.1. Procedimiento de Contingencia para transporte de Equipos
Procedimientos de embarque de equipos (Router, switches,
cintas, provisiones, etc.) para una instalación en la cual se
pueda activar la contingencia.
En la oficina de Quito se cuenta con la infraestructura necesaria
para conectar el router con el fin de tener activos todos los
enlaces nacionales; para llevar a cabo con éxito esta
contingencia se deben seguir los siguientes pasos:
1. Contactar proveedor de equipos y telecomunicaciones
(SONDA)
2. Contactar personal de Network Team en Clark S.A.
3. Contactar empresa para transportar y empacar los equipos
(Servientrega)
4. Contactar coordinador administrativo oficina Quito
5. Contactar agencia de Viajes (TAME)
6. Enviar equipos
7. Trasladar personal de MIS

93
6.1.1.1. Procedimiento de Notificación
Contactar el Gerente General y notificarle que la oficina se
encuentra en una situación de emergencia y que se esta
activando el plan de contingencia. Se debe mirar la lista de
información de contactos.
6.2. MANUAL DE ADMINISTRACIÓN DE CRISIS
6.2.1. Plan de Unidad
Una crisis se define como algún evento el cual:
♦ Envuelve pérdidas de vida reales o potenciales o heridas
serias a clientes, empleados u otros afectados por las
operaciones de la compañía; o
♦ Causa daños importantes a los activos de la compañía y
necesariamente causa al menos una interrupción temporal
de la producción normal de la unidad afectada; o
♦ Presenta un posible efecto adverso significante a las
operaciones continuas de la compañía, reputación de los
negocios o resultados financieros.

94
El equipo central decidirá si un evento particular es una crisis, si
es así, debería ser manejado bajo este procedimiento o un
procedimiento de la Unidad.
Los siguientes son ejemplos de eventos que pueden ser
considerados como crisis corporativa. Esta lista no comprende
todo y se incluye únicamente cómo una guía:
♦ Fuego o explosión mayor en las instalaciones
manufactureras, envolviendo muertos o heridos graves y
la necesaria cesación de operaciones en esa instalación.
♦ Recepción de informes indicando que los clientes de
CLARK S.A. pueden estar en peligro por el uso de uno de
los productos de la Corporación, como resultado de un
defecto de manufactura o como resultado de falsificación
de los productos.
♦ Un escape de gas tóxico, derrame de químico, u otro
evento similar afectando una comunidad localizada donde
hay instalaciones de CLARK S.A.
♦ Violencia Civil, Desastres Naturales.

95
6.2.2. Principios de Administración de Crisis
Es la intención de la Corporación planear anticipadamente y
estar preparado a intervenir rápida y positivamente con crisis
que afectan a CLARK S.A. o sus operaciones en cualquier lugar
del mundo
La Planeación de Administración de crisis dentro de CLARK
S.A. es importante para hacer énfasis de:
♦ Prevenir la ocurrencia de un evento de crisis;
♦ Asuntos prominentes con respecto a consumidores,
clientes, empleados y seguridad de la comunidad;
♦ Mantener la alerta y responder oportunamente a signos de
alarmas de posibles eventos de crisis;
♦ Reportes internos rápidos y exactos de la ocurrencia de
eventos de crisis y comunicación completa, exacta y
oportuna de la información relacionada con tales eventos
dentro la corporación y para el público en general;
♦ Protección de la reputación de los negocios y activos de la
corporación;
♦ Continuidad de las operaciones de la corporación las
cuales no son afectadas por un evento de crisis y

96
♦ Buena voluntad para aprender de eventos de crisis
pasados y un compromiso para continuar mejorando en la
futura planeación de administración de crisis.
6.2.3. Preparación Anticipada
Han sido desarrollado procedimientos de respuesta para
categorías específicas de crisis potenciales (“Procedimientos de
Respuesta”). Estos procedimientos de respuesta incluyen los
pasos iniciales de respuesta a la crisis, una lista de contactos
claves internos y externos y sus responsabilidades y una lista
de chequeo de asuntos específicos a ser dirigidos.
Procedimientos de respuesta para otras categorías de crisis
serán desarrolladas cuando el Equipo Central lo considere
necesario.
Cada unidad debe desarrollar un plan de respuesta a la crisis el
cuál tiene como propósito:
1. La prevención de eventos de crisis en primera instancia,
2. Una respuesta a un evento de crisis si ocurriera.

97
6.2.4. Procedimiento de respuesta a crisis corporativa
Los pasos para reportar y administrar una crisis son los
siguientes:
6.2.4.1. Informe al equipo central de la crisis
♦ Cualquier persona que identifique una crisis (o
potencial crisis) usando el criterio especificado en la
sección de arriba. Informará a su líder para que se
active la comunicación al apropiado jefe o líder de la
unidad.
♦ Si el líder de la unidad determina que hay una crisis,
se informará a el o a su respaldo designado.
♦ El Líder o su respaldo informará del evento a otros
miembros del equipo central.
6.2.4.2. Organización del Equipo de Trabajo de Administración
de Crisis
♦ El equipo central decidirá si la crisis será manejada
por un equipo corporativo o por un equipo de la
unidad. Generalmente, crisis las cuales tendrán un
impacto sobre toda la Corporación serán manejadas

98
por un Equipo Corporativo y crisis que afecten
únicamente un segmento de la Corporación serán
manejadas por el equipo de la Unidad.
♦ El equipo central es responsable de dirigir las
actividades diarias relacionadas con una crisis hasta
que esta se asigne a un equipo de una Unidad.
♦ Si la crisis es para ser manejada por equipo
Corporativo, el equipo central designará los
miembros del equipo corporativo y asignará
responsabilidades específicas teniendo en
consideración la naturaleza de la crisis. El equipo
central establecerá las políticas finales con respecto
a las crisis. El equipo Corporativo será el responsable
de implementar las políticas y estrategias
establecidas por el Equipo Central e informará al
equipo central de toda la información relevante.
♦ Si el equipo central decide que una crisis específica
va ser manejada por un equipo de la unidad, tal
equipo deberá mantener informado al equipo Central
de sus actividades.
99
6.2.4.3. Plan de Acción a Implementar / Desarrollo
Se efectúa la recolección y análisis de la Información.
Las personas designadas por el Equipo Central manejarán
y reunirán los hechos con respecto a la crisis, incluyendo:
♦ Que pasó y cuales han sido las respuestas de la
Corporación.
♦ La naturaleza y extensión de algunos heridos o
muertos;
♦ La naturaleza y extensión de algunos daños a los
activos de la Corporación;
♦ La naturaleza y extensión de algunos daños al medio
ambiente;
♦ La causa de la crisis (basado en una investigación
profunda); y
♦ Si sigue existiendo riesgos a clientes, empleados o
comunidades afectadas.
Los hechos recolectados con relación a la crisis serán
analizados para determinar cual es el problema real y para
desarrollar los pasos de acción que encausen el problema y
sus causas. Este paso es importante para el éxito
administrativo de la crisis.
100
6.2.4.4. Desarrollo e Implementación del Plan de Respuesta a
la Crisis
Un plan específico para responder a la crisis
inmediatamente será preparado por el equipo de la unidad
el cual es responsable de administrar tal crisis, bajo la
dirección del Equipo Central. Este plan de respuesta
estará basado en los procedimientos aquí contenidos y en
los procedimientos de respuesta aplicable a dicha crisis.
Un plan de respuesta reflejará los siguientes principios:
◊ Asuntos prominentes con respecto a
consumidores, clientes, empleados y seguridad de
la comunidad - LAS PERSONAS SON PRIMERO.
◊ Comunicación exacta, completa y oportuna de la
información clave para dentro y fuera de la
Compañía, con comunicaciones externas
manejadas por o coordinadas por Recursos
Humanos con autorización de Presidencia. Las
comunicaciones deben seguir estos lineamientos:

101
⇒ Tome la iniciativa - No espere que otros
reporten primero; (terceros que no
pertenecen a la Compañía)
⇒ Responda a todas las preguntas de los
medios rápidamente;
⇒ Corregir objetivamente los malos entendidos
que afecten la imagen pública de la
compañía;
⇒ Mantener informados a los empleados de la
Compañía. antes de anuncios públicos, si es
posible y nunca más tarde que los anuncios
públicos.
◊ Protección a la reputación de los negocios, activos
físicos y la viabilidad de la continuidad económica
de la compañía. Una primera meta debe ser
retornar a la operación normal a la unidad
afectada tan pronto como sea posible mientras se
preservan los negocios y las relaciones con los
clientes.
102
∗ Un plan de respuesta debe ser claro e
identificar los objetivos de la Compañía
relacionados con resolver la crisis, los
nombres y responsabilidades de todas las
personas quienes participarán en la
respuesta y las acciones requeridas. El
equipo de la unidad manejará la
implementación del plan de respuesta bajo la
supervisión del Equipo Central.
6.2.4.5. Evaluación Posterior a la Crisis
Una evaluación posterior a la crisis de las razones de las
crisis y de lo adecuado de la respuesta de la Compañía
debe ser hecha para determinar mejorar para el futuro
para manejar eventos similares y asegurar que los pasos
necesarios para prevenir su recurrencia son tomados.
6.2.5. Responsabilidades de revisión, actualización y
entrenamiento
La Presidencia de CLARK S.A. tiene la responsabilidad de
designar individuos para:

103
∗ Revisar este procedimiento y todos los procedimientos de
respuesta al menos anualmente.
∗ Controlar el entrenamiento continuo de personas que son
identificadas en este procedimiento como miembros
potenciales del Equipo Corporativo.
∗ Aconsejar a los líderes de las unidades con respecto a la
preparación de los Procedimientos de Respuesta,
programas de entrenamiento y planes de respuesta a la
crisis y revisión de tales procedimientos, programas y
planes de respuesta.
∗ Controlar el cumplimiento determinado en este
procedimiento.
Las personas identificadas en el Apéndice II como responsables
de actualización de Procedimientos de Respuesta suministrarán
copias de tales Procedimientos de Respuesta actualizados a las
personas apropiadas quienes tienen la responsabilidad de revisar
tales procedimientos.
El líder de la Unidad asegurará que el plan de respuesta a la
crisis para sus unidades de negocios e instalaciones de
producción es preparados y actualizados y tendrán el
entrenamiento apropiado dentro la compañía.

104
6.2.6. Procedimientos de respuesta para categorías específicas
de crisis.
INTERRUPCIÓN IMPORTANTE DE LA PRODUCCIÓN
(FUEGO, EXPLOSIÓN, INUNDACIÓN, DESASTRE
NATURAL, ETC.)
Propósito
El propósito de este procedimiento de respuesta es facilitar a
los Gerentes de la Unidad intervenir pronta y efectivamente
cuando hay interrupción importante en la producción.
Aplicación
Este procedimiento de respuesta aplica a cualquier pérdida
inesperada de capacidad de producción o inventario de
producto terminado el cual resulte en imposibilidad para
producir y/o despachar producto en un período de tiempo
significante. Ejemplos de una interrupción importante de la
producción son:
♦ Daño de planta o equipo causado por fuego, explosión,
inundación, tornado, falla del equipo, etc., los cuales resultan

105
en incapacidad para producir/distribuir producto.
♦ Falla en el proveedor para suministrar una materia prima
crítica necesaria para producción de producto.
♦ Paro nacional de transportadores que resulte en incapacidad
para entrega de materias primas y/o distribución de
productos terminados.
♦ Acción legal, paro, o resultado de una decisión para
discontinuar las operaciones
Este procedimiento no pretende cubrir reparaciones menores
por fallas en equipo, interrupción de la producción por paro de
trabajadores cuyo plan de contingencia ha sido desarrollado, o
faltantes temporales de la producción resultantes de calidad,
salud o seguridad.
Procedimientos adicionales de respuesta pueden ser aplicables
dependiendo de la causa de la interrupción (muerte accidental,
medio ambiente, amenaza de bomba, etc.). Además, este
procedimiento no intenta reemplazar los procedimientos de

106
emergencia desarrollados para Fuego, terremoto, inundación u
otro desastre natural.
Acciones a ser tomadas:
Las siguientes acciones deben ser tomadas inmediatamente en
el evento de una interrupción importante en la producción
1. Notifique a su líder de equipo o gerente de la unidad
(dependiendo de la disponibilidad) inmediatamente.
No permita que un posible evento de crisis no sea reportado por
alguna razón. Si usted identifica interrupción importante de
la producción, usando los ejemplos y el criterio general
especificado anteriormente, usted debe informar a su líder de
equipo de todos los hechos disponibles para fomentar una
pronta comunicación (si la situación así lo demanda) al Gerente
de la unidad. Si el gerente de la unidad determina que el evento
constituye una crisis o crisis potencial, se debe informar al
Gerente General
Contener la Crisis de Inmediato
Conjuntamente con las acciones descritas anteriormente y
hasta que el administrador de la crisis haya sido asignado y un

107
plan haya sido desarrollado, actuar rápida y prudentemente
para contener la crisis inmediatamente. Dependiendo de la
naturaleza y seriedad del accidente, usted debe tomar las
siguientes acciones:
1. Implemente todos los procedimientos de seguridad de
emergencia aplicables para fuego, terremoto, inundación u
otro desastre natural, como sea apropiado.
2. Determinar si procedimientos de administración de crisis
adicionales deben ser implementados tales cómo muerte
accidental o heridas graves, medio ambiente, amenaza de
bombas, etc.
3. Establecer la seguridad de los empleados y de la
comunidad local y tomar todas las acciones apropiadas
para resolver todas las condiciones de inseguridad.
4. Llamar ambulancias y a hospitales si es apropiado
5. Asegurar el sitio accidentado/dañado, el lugar de la planta
y establecer la seguridad en el área de producción y
unidad.
6. Notificar a las autoridades locales aplicables y a las
agencias de administración de emergencias
(Departamento de Bomberos, Departamento de Policía,
etc.) si es apropiado.
108
7. Notificar al Departamento de Recursos Humanos para
desarrollar plan de comunicaciones.
8. Notificar a Administración de Riesgos
9. Efectuar la primera estimación de los daños en productos
terminados o ambientales
10. Notifique al líder del sindicato, si es apropiado.
Definir la Crisis
Una vez la situación inmediata ha sido estabilizada y pendiente
de instrucciones adicionales del equipo de administración de
crisis, continúe recolectando hechos en un esfuerzo para definir
la crisis. Comience una investigación objetiva para determinar
la causa del accidente, la naturaleza y extensión de las heridas
sufridas y algún daño relacionado con la propiedad y algún otro
hecho que considere material para un entendimiento del
incidente. Estar preparado para efectuar resúmenes de sus
investigaciones al equipo principal. Como parte de su
investigación, usted debe:
1. Determinar la naturaleza y extensión de la interrupción.
2. Recoger los nombres, direcciones y números telefónicos de
todos los testigos del incidente y todos las otras personas

109
heridas o de alguna forma comprometidas.
3. Tomar fotografías, hacer dibujos y si es posible, grabaciones
de la escena del accidente tan pronto como sea posible.
4. Determine la causa del evento o incidente y liste todas las
respuestas tomadas en este momento.
5. Determine la naturaleza y extensión de algunos heridos o
muerte.
6. Determine la naturaleza y extensión de algunos daños a los
activos de la corporación.
7. Determine la naturaleza y extensión de algún daño al medio
ambiente.
8. Determine la naturaleza y extensión de algún daño a la
comunidad.
9. Determine el impacto potencial sobre la fuerza de trabajo
(reducción de la programación, hacer asignaciones nuevas,
plan temporal, etc.)
10. Establecer algún riesgo vigente para los empleados, clientes
o comunidad.
Tomar las Siguientes Acciones Adicionales:
1. Comunicar y considerar programar nuevamente todas las

110
Materias Primas y Productos Terminados.
2. Comunicar la pérdida de producción y/o capacidad de
despacho a transportadores y ventas, e indicar las
comunicaciones a ser seguidas de despachos y distribución.
3. Considerar las alternativas de fuentes estratégicas.
4. Considerar estrategias de distribución de productos
5. Revise con el Departamento Legal para ver si los contratos
con el vendedor o cliente pueden ser violados.
6. Coordinar la estrategia de distribución del producto con
Mercadeo, Publicidad y Ventas.
7. Considerar temporalmente la alternativa de planes de
espacio para continuar la producción hasta que la reparación
o construcción se lleve a cabo.
8. Coordinar el flujo de los servicios públicos con las
compañías de servicios para coincidir con la salida de
producción.
9. Si es apropiado, desarrollar estrategias para retornar la
planta y el equipo a su operación normal.
10. Considerar opciones para modificar y convertir equipos
alternos que reúnan las demandas de producción.
11. Indicar fuentes alternas de capacidad de producción.
(Internacional, Contratos externos Etc.)
12. Considerar la identificación y cancelación de activos.

111
13. Si es apropiado, coordinar la terminación y presentación
de los papeles de trabajo del reclamo de seguros.
Revisión de la Crisis
Revise la efectividad de este procedimiento y todos los sistemas
y recursos utilizados en el manejo de la crisis. Identifique
cambios que deben efectuar y otras acciones correctivas.
1. Que tan efectivos fueron los procedimientos de contención,
definición y respuesta a la crisis?
2. Como fue la respuesta y la disponibilidad de los recursos
claves cuando fueron llamados para soportar los esfuerzos
de administración de crisis?
3. Que tan efectivo fue el equipo de la crisis para responder la
crisis?
4. Qué consejo adicional es necesario para los individuos
afectados por la crisis?
CONTACTOS CLAVES.
Departamento de Policía 101
Departamento de Bomberos 102
Hospital 911
Ambulancia 911
112
RELACIONES CON EMPLEADOS (HUELGAS, PARADAS DE
TRABAJO, ETC)
Propósito
los Gerentes de la Unidad intervenir pronta y efectivamente con
un evento de crisis de relación con empleados.
Aplicación
Este procedimiento de respuesta aplica a cualquier problema de
relación con empleados que pueden afectar seriamente a la
compañía para cumplir sus objetivos de seguridad de los
activos y empleados, financieros, producción y servicio al
cliente. Ejemplos de eventos de crisis de relaciones con
empleados son:
Una huelga iniciada en una unidad sindicalizada en conjunto
con el convenio normal de obligaciones.
Una parada en la unidad sindicalizada o no iniciada por
empleados en protesta por algunas acciones administrativas o
en un intento por forzar un punto de vista.

113
La potencial seriedad de tales eventos debe ser evaluada en
términos de potenciales efectos adversos sobre la seguridad de
los empleados, producción, servicio al cliente, finanzas
corporativas y presiones y reacciones públicas.
dependiendo de la causa o efecto del evento (interrupción
importante de la producción, publicidad adversa, etc.). Además,
este procedimiento no intenta reemplazar y planes detallados
para huelgas que hayan sido desarrollados por la
administración del sindicato de la unidad con guías del
Departamento de Recursos Humanos y Departamento Legal.
Más bien este procedimiento intenta establecer esfuerzos para
respuestas iniciales para todos los eventos de crisis en
relaciones con empleados.
Las siguientes acciones deben ser tomadas inmediatamente en
el evento de una interrupción importante en la producción.
1. Notifique a su líder de equipo o gerente de la unidad
(dependiendo de la disponibilidad) inmediatamente.

114
No permita que potencial evento de crisis no sea reportado por
alguna razón. Si usted identifica interrupción importante de
la producción, usando los ejemplos y el criterio general
especificado anteriormente, usted debe informar a su líder de
equipo de todos los hechos disponibles para fomentar una
pronta comunicación (si la situación así lo demanda) al Gerente
de la unidad. Si el gerente de la unidad determina que el evento
Gerente General
Contener la Crisis de Inmediato
Después de notificar apropiadamente el evento de crisis del
medio ambiente y hasta que el administrador de la crisis haya
sido asignado y un plan haya sido desarrollado, actuar rápida y
prudentemente para contener la crisis inmediatamente.
Dependiendo de la naturaleza y seriedad del problema, usted
debe tomar las siguientes acciones:
Determinar si procedimientos adicionales de administración de
crisis deben ser implementados tal cómo interrupción
importante de la producción, publicidad adversa, etc.

115
Instituir las condiciones del plan de huelga de la unidad, si es
aplicable
Contactar todos los empleados y motivarlos/persuadirlos para
que continúen trabajando, si es pertinente.
Empezar una investigación para conocer las causas de la crisis
de relación con empleados, y averiguar soluciones que serán
necesarias para disminuir la operación como económica y
seguramente sea posible.
Notificar a recursos humanos corporativos
Notificar al Departamento Legal
Notificar a seguridad corporativa, discutir y desarrollar planes
que pueden ser la mejor protección para los empleados, equipo
e instalaciones de la Compañía.
Notificar al Departamento de Policía local de la situación y una
posible necesidad de asistencia.

116
Definir la Crisis
la causa del problema, la naturaleza y extensión de las heridas
sufridas y algún daño relacionado con la propiedad y algún otro
hecho que considere material para un entendimiento del
incidente. Estar preparado para efectuar resúmenes de sus
investigaciones al equipo principal. Como parte de su
investigación, usted debe:
Determinar la naturaleza, extensión y causa de la crisis de
relación con empleados, compile y actualice continuamente un
registro o resumen objetivo y cronológico del evento de crisis,
incluyendo todas las respuestas de la compañía a la crisis.
Si es aplicable prepare listas identificando todos los empleados
envueltos en la huelga, parada de trabajo, también como
aquellos empleados no envueltos en la crisis de relación con
empleados.
117
Si es aplicable, compile una lista de los nombres y direcciones
de todos los líderes sindicales locales e internacionales.
Si es posible, averiguar la lista “prioridad de demandas de los
líderes de los empleados envueltos en el evento (líderes del
sindicato, si es aplicable).
Determine el impacto potencial sobre la fuerza de trabajo
(reducción de la programación, hacer asignaciones nuevas,
plan temporal, fuentes alternas de producción etc.)
Tomar las siguientes acciones adicionales:
• Establecer un comando central y comunicaciones
continuas entre el personal del sitio y el equipo de
administración de crisis.
• Si es apropiado, desarrolle y suministre toda la
información necesaria para Recursos Humanos para
posible emisión de pronunciamientos.
• Mantener un archivo central de todos los papeles de
trabajo y otros registros relacionados con los eventos
de la crisis.
• Desarrollar un plan para salvar los ingresos y egresos

118
de la localidad, acomodando empleados
temporalmente, proveedores, contratistas externos,
empleados no comprometidos y administración.
• Considerar que la producción y servicio al cliente son
los más esenciales y hacer recomendaciones para su
Jefe de sector/unidad de servicio en cuanto tales
productos y servicios deben continuar sin interrupción.
• Comunicar pérdida potencial de la producción y/o
capacidad de despachos para transporte y ventas.
• Trabajar con el Dpto. Legal, Considerar la necesidad
de identificar y contactar consejeros legales locales
externos.
• Reportes de progreso sobre todas las investigaciones
al equipo de administración de crisis
Que tan efectivos fueron los procedimientos de contención,

119
Como fue la respuesta y la disponibilidad de los recursos claves
cuando fueron llamados para soportar los esfuerzos de
administración de crisis?
Que tan efectivo fue el equipo de la crisis para responder la
crisis?
Qué consejo adicional es necesario para los individuos
Contactos Claves
Hospital 911
Ambulancia 911
AVERÍA DEL COMPUTADOR O SABOTAJE
Propósito
los Gerentes de la Unidad intervenir pronta y efectivamente
cuando hay eventos de sabotaje y fallas de la computadora

120
Aplicación
Este procedimiento de respuesta aplica a cualquier situación
que pueda originar daños físicos o pérdida del procesamiento
computarizado de algún período. La falla puede resultar de una
pérdida del funcionamiento del procesamiento, la inhabilidad
para obtener acceso a la computadora o una falla externa
resultante de la inhabilidad para procesar información en un
período de tiempo. Los siguientes ejemplos son eventos de
fallas de la computadora:
Una explosión en las instalaciones de la computadora que
impiden las operaciones de la unidad.
Se dañan las comunicaciones que suministran servicio a una
porción importante de la red de datos.
Los archivos de datos son saboteados por un hacker dando
información no confiable.
dependiendo de la causa o efecto del evento. Cada instalación
computarizada de CLARK S.A. debe mantener un plan de
continuidad de los negocios, incorporando procedimientos de

121
recuperación de emergencias para restaurar las funciones de
procesamiento de la computadora Además, este procedimiento
no intenta reemplazar los procedimientos o planes
desarrollados para restaurar el proceso de computadora, en el
evento de una falla en la computadora.
Las siguientes acciones deben ser tomadas en el evento de un
sabotaje o falla en la computadora.
Notificar inmediatamente a su supervisor o Jefe de
Sector/Unidad de Servicio
No permita que un posible evento de crisis se quede sin
reportar por alguna razón. Si usted identifica un evento de falla
en la computadora, usando los ejemplos y criterio especificado
anteriormente debe informar inmediatamente al Gerente de la
unidad y a seguridad corporativa de todos los detalles
disponibles. Si el gerente de la unidad determina que el evento
Gerente General.
122
Contener la Crisis Inmediatamente
Después de notificar apropiadamente la falla de la computadora
o sabotaje y hasta que el administrador de la crisis haya sido
asignado y un plan haya sido desarrollado, actuar rápida y
prudentemente para contener la crisis inmediatamente.
Dependiendo de la naturaleza y seriedad del evento, usted
debe tomar las siguientes acciones:
Establezca la seguridad de los empleados y de la comunidad
local y tome las acciones apropiadas para resolver las
condiciones inseguras.
Llame a las ambulancias, hospitales, y agencias de
administración de emergencias (Departamento de Bomberos,
Policía, etc.) si es apropiado.
Seguridad en las instalaciones computarizadas dañadas.
Determine si procedimientos adicionales de administración de
crisis necesitan ser implementados tales como muerte
accidental o heridos graves, interrupción importante de la
producción, amenaza de bomba, etc.

123
Notifique a Recursos Humanos para desarrollar un plan de
comunicaciones. Refiera alguna averiguación de los medios a
Recursos Humanos.
Notifique a mantenimiento/ingeniería de la unidad para que
establezca el daño en las instalaciones de la computadora
Nombre un administrador para coordinar la recuperación de las
operaciones computarizadas y el plan de Continuidad de los
Negocios.
Notifique a los miembros del equipo definidos en el Plan de
Continuidad de los negocios para asistir en la recuperación de
las instalaciones de la computadora y comunicaciones en red.
Notifique a administración de riesgos
Definir la crisis
la causa del evento, la naturaleza de algún daño en la

124
propiedad y algún otro hecho que considere material para un
entendimiento del incidente. Estar preparado para efectuar
resúmenes de sus investigaciones al equipo principal. Como
parte de su investigación, usted debe:
Determine la naturaleza y extensión de algunos heridos o
muerto
Recoger los nombres, direcciones y números telefónicos de
todos los testigos del incidente y todas las otras personas
heridas o de alguna forma comprometidas.
Tomar fotografías, hacer dibujos y si es posible, filmaciones de
las áreas y equipos afectados.
Determine la naturaleza y extensión de algún daño al equipo
computarizado y las comunicaciones en red.
Determine la causa del evento o incidente y liste todas las
respuestas tomadas en este momento.
Determine el impacto potencial sobre los empleados.

125
Determine la naturaleza y extensión de algún daño al medio
ambiente
Determine la naturaleza y extensión de algún daño a la
comunidad
Establecer algún riesgo vigente para los empleados o la
comunidad.
Tomar las siguientes acciones adicionales:
• Considerar la estrategia de procesamiento en un
computador alterno para continuar con la actualización
de las operaciones.
• Notificar al proveedor local de una situación de
desastre.
• Recobrar la información de respaldo almacenada en
un lugar fuera del sitio
• Considerar un mensaje para llamadas de ayuda de
escritorio para comunicar a todos los usuarios de
computadores el progreso de la recuperación.
• Notificar a los usuarios propietarios de aplicaciones
críticas de negocios sobre el progreso de un proceso

126
de recuperación de desastres.
• Considerar el establecimiento de un Centro de Control
de Emergencia para coordinar y monitorear el proceso
de recuperación.
• Considerar una oficina alterna para continuar
recuperando las operaciones computarizadas.
• Coordinar el flujo de servicios públicos (electricidad,
teléfono, etc.) con las empresas públicas, para que
coincida con la recuperación de las operaciones del
computador
• Considerar la identificación de activos y cancelarlos
• Coordinar la restauración de los equipos de cómputo
destruidos.
Que tan efectivos fueron los procedimientos de contención,

127
Como fue la respuesta y la disponibilidad de los recursos claves
cuando fueron llamados para soportar los esfuerzos de
administración de crisis?
Que tan efectivo fue el equipo de la crisis para responder la
crisis?
Qué consejo adicional es necesario para los individuos
Qué medidas deben ser incluidas en un plan de prevención
para asegurar que no ocurrirá otro incidente?
Que información debe ser comunicada a otras unidades
computarizadas de CLARK S.A. que pueden potencialmente
tener situaciones similares?
Contactos Claves:
Hospital 911
Ambulancia 911
CAPÍTULO VII
7. PLAN DE CONTINGENCIA
7.1. ESTRUCTURA DEL PLAN
Durante las operaciones normales de negocio existe la probabilidad de
pérdidas potenciales o interrupciones no programadas asociadas con
un desastre o contingencia mayor, por lo que es importante el
desarrollo de un plan viable y factible de recuperación que asegure la
continuidad de las operaciones de la Compañía.
El planeamiento adecuado, la preparación, y la comunicación son los
ingredientes necesarios para un exitoso plan de recuperación en caso
de contingencia o desastre.
En el caso de una situación de contingencia o desastre, es importante
disponer de una estrategia de recuperación que pueda proveer el
reinicio del negocio en un tiempo razonable y predeterminado. Por lo
tanto, la importancia de un Plan de contingencias y recuperación en
caso de desastres es vital.

129
El presente documento ilustra los posibles tipos de contingencias y
desastres, y los planes de acción para la recuperación de la
información y la continuidad del negocio de la oficina principal.
Definición de contingencia
Una contingencia se define como cualquier evento no planeado que
hace que las actividades de negocio no sean operadas normalmente
durante un determinado periodo de tiempo, para la cual existe una
solución que permite la recuperación en un tiempo razonable.
Las contingencias comunes se deben normalmente a los eventos
como:
1. Falla de la red en una localidad.
2. Falla en los enlaces de telecomunicaciones entre localidades.
3. Falta de suministro de corriente eléctrica.
4. Fallas humanas en la operación de la red o equipos de cómputo.
Esto implica que deben existir equipos de repuesto, redes de datos
alternas o suministro in-interrumpido de fluido eléctrico para minimizar
el impacto de una contingencia. El plan de recuperación en caso de
contingencia o desastre considera el disponer de mecanismos para
reanudar las actividades de negocio mientras exista dicha
contingencia.
130
También hay que indicar que todos los servicios de aplicaciones y las
bases de datos que soportan SAP R/3, por lo que hay una alta
dependencia en las telecomunicaciones para acceder a estos
servicios. Mantener y soportar la disponibilidad de las
telecomunicaciones en Ecuador se convierte en una actividad vital que
asegura la continuidad de las operaciones de negocio de manera
normal.
Definición de desastre
Un desastre se define como cualquier evento no planeado que hace
un lugar inoperable o inaccesible. Diversos tipos de desastre pueden
ocurrir y varían de:
1. Comunes:
• Fallos masivos.
• Daños accidentales.
2. Extraordinarios:
• Robo.
• Destrucción del centro de cómputo.
• Incendio.
• Guerra.
• Atentado Terrorista.
131
3. Naturales:
• Terremoto.
• Inundación.
• Huracán.
• Nevadas intensas.
• Erupción volcánica.
• Tormentas eléctricas.
Los desastres naturales y extraordinarios no serán considerados en
este plan ya que estos ameritan procedimientos incluidos en el
“Manual de Administración de Crisis” de CLARK S.A.
El presente plan de contingencias y recuperación en caso de desastre
considerará los siguientes desastres:
• Tormentas eléctricas que destruyan parcial o totalmente la red de
datos.
• Fallas físicas en la red de datos y o comunicaciones.
Dichos eventos pueden ocurrir tanto en localidades de CLARK S.A.
Andino. Los efectos de estas situaciones hacen importante el
mantener la continuidad del negocio cuando SAP R/3 este parcial o
totalmente no disponible.
132
Localidades físicas y ambiente de trabajo
La Cía Clark S.A. se compone de varias localidades separadas
geográficamente de las cuales la oficina principal de Ecuador hace
parte de ellas.
OBJETIVOS
Los objetivos del plan de recuperación en caso de desastre incluyen,
pero no están restringidos a:
• Minimizar los efectos de una contingencia o desastre en las
funciones críticas al proveer de un conjunto de procedimientos y
tareas a ser usados en el evento.
• Responder a una situación de contingencia o desastre rápida y
efectivamente.
• Reunir al personal necesario para reactivar el proceso con las
interrupciones menores respecto al servicio al cliente.
• Restauración por fases en el tiempo de todas las aplicaciones y
servicios posteriormente a la interrupción a causa de la
contingencia o desastre.
133
Este plan busca minimizar:
• El número de decisiones que deben ser hechas después de una
contingencia o desastre.
• La necesidad de desarrollar, probar, y corregir nuevos
procedimientos durante el desastre.
• Depender de la participación de cualquier persona específica o
grupo de personas durante el proceso de recuperación.
• El período de tiempo tomado para el proceso de recuperación.
• Las pérdidas asociadas con la interrupción de las actividades del
negocio.
• La confusión y la exposición a errores.
• La duplicación de esfuerzos.
El alcance de estos objetivos asegurará la estabilidad operacional a
través de un proceso de recuperación.
ENUNCIADO DE LA POLITICA
Se reconoce la importancia de establecer métodos que permitan a los
usuarios internos, mantener la continuidad del negocio y proveer el
servicio a nuestros clientes en el evento de una contingencia o
desastre en alguna de las localidades de CLARK S.A.

134
Es la política del Departamento de Sistemas, mantener un “Plan de
Contingencias y Recuperación en Caso de Desastres” viable operativa
y económicamente, para soportar el restablecimiento de las
operaciones de servicio en el evento de una interrupción.
El Plan de Contingencias y Recuperación en Caso de Desastre ha
sido desarrollado para alcanzar los estándares corporativos de CLARK
S.A. con base en el CFI No. 07-01, Apéndice K - Sistemas de
Información. Operaciones exitosas de recuperación dependen de los
siguientes puntos:
• Llevar a cabo pruebas amplias del plan.
• Modificar el plan con base en las pruebas hechas.
• Mantener un plan actualizado.
• Brindar entrenamiento al personal asignado en las diferentes
secciones del plan.
• Soporte para el “Crisis Management” de CLARK Corporation.
ALCANCES
Este plan no es un plan completo para todas las operaciones de
CLARK S.A. No documenta las acciones específicas de los
departamentos del negocio o una estrategia de recuperación global
corporativa. Otros planes de recuperación y los procedimientos

135
correspondientes respecto a recuperación en caso de desastre son
responsabilidad de los departamentos específicos.
El plan considera los siguientes aspectos:
• Reestablecimiento de los equipos y enlaces de telecomunicaciones
vitales para la operación del negocio.
• Reestablecimiento de las áreas vitales de la red de computadoras.
El plan no considera los siguientes aspectos:
1. Emergencias de edificios y procedimientos de evacuación.
2. Valoración de riesgos en los edificios.
3. Evaluación y declaración de desastres en edificios.
4. Recuperación de las diferentes unidades y departamentos de la
Compañía.
5. Equipos no relacionados con la red de datos (PBX, máquinas de
fax, fotocopiadoras, etc.)
6. La red de telecomunicaciones de Corporación.
7. Operaciones relacionadas con el TCC de Corporación.

136
PREMISAS
Los siguientes supuestos fueron hechos al desarrollar el plan:
1. El TCC de CLARK S.A. Corporation en USA es responsable de:
• Mantener copias actualizadas de respaldo de todos los archivos
y programas apropiados en un lugar fuera de la Compañía. En
este plan no se establece este procedimiento, pues se asume
que existe.
• Restaurar los archivos y software más actualizado residentes en
el lugar de respaldo fuera de la compañía.
• Soportar el acceso a la red global total o parcialmente en eventos
extraordinarios o desastres naturales ocurridos en la localidad
donde opera el TCC.
• Mantener un Plan de Contingencias y Recuperación de
Desastres actualizado para el TCC.
2. El Departamento de Sistemas de Información es responsable de:
• Soportar el acceso local a la red global de datos.
• Soportar el acceso a la red de datos andina y las redes locales
de cada uno de los países.

137
• Mantener un Plan de Contingencias y Recuperación en caso de
Desastre local actualizado.
• Mantener contratos con proveedores conforme se requiera.
• Entrenar al personal clave para llevar a cabo las funciones
definidas dentro del plan.
• Notificar a los usuarios de aplicaciones críticas que se está en
una situación de contingencia o desastre.
• Participar en las acciones definidas en el “Crisis Management” de
CLARK S.A. cuando sea notificado.
3. El plan supone que:
• El edificio del TCC donde se encuentran los servidores de
aplicaciones y datos principales, y su red de datos no han sido
destruidos o se encuentran inaccesibles para el personal. En
caso contrario, el “Crisis Management” prevé soluciones al
respecto, lo mismo que el plan desarrollado por el TCC.
• La situación de contingencia o desastre ocurrirá en el peor
tiempo posible.
138
• Las cajas de seguridad -dispuestas por el TCC- situadas fuera
de la compañía y los materiales que contiene, no han sido
afectados por el desastre o por características de la misma.
• Secciones del plan global podrán ser utilizadas para
recuperación de interrupciones menores.
• Desastres de escala nacional estarán considerados dentro del
plan, siempre y cuando el desastre no afecte a los servicios
vitales de la compañía como: Imposibilidad de obtener
suministro de electricidad, daño total en las instalaciones, etc.
• Los respaldos han sido hechos correctamente por el TCC y los
medios magnéticos en los cuales se encuentran pueden ser
leídos.
• Existen mecanismos para proporcionar infraestructuras alternas
de emergencia tales como plantas eléctricas, equipo y red de
datos y telecomunicaciones de emergencia.
• Establecimiento de alianzas con proveedores críticos para el
funcionamiento de toda la infraestructura de telecomunicaciones
y datos.
139
7.2. PROCEDIMIENTO PARA ATENCIÓN DE FALLAS EN
INFRAESTRUCTURA
9 Conexión física a la red local
Tabla 7.1: Análisis de la Conexión Física
Problema: No hay acceso a la red de datos.
Acción: 1. Determinar si el usuario está conectado a

la red.
2. Corregir problemas de nivel físico,
conectores, LAN Jack, Switch.
3. Si se determina que el problema es una
avería que va a ser resuelta por más de 6
horas, habilitar puntos de red de
emergencia.
9 Acceso al Enterprise Network
Tabla 7.2: Análisis del Enterprise Network
Problema: No hay acceso al Global Desktop.
Acción: 1. Revisar entorno de red.

2. Si no hay acceso al GDXP, reportar enlace
al proveedor local.
3. Si la falla y/o resolución del problema se
demora más de 6 horas comunicar a
usuarios claves el acceso alternativo vía
RAS
4. Si se determina que el problema es en KCC,
contactar al responsable en KCC.

140
9 Acceso al File&Print Server
Tabla 7.3: Análisis de las Impresoras
Problema: Problema no se puede imprimir o acceder

archivos en el servidor.
Acción: 1. Revisar acceso tipo share.

2. Revisar si puede imprimir desde Windows.
3. Revisar los servicios del servidor.
4. Contactar a “Help-Desk” MIS Local.
9 Acceso al Correo Electrónico
Tabla 7.4: Análisis de Acceso al e-mail
Problema: No hay acceso al correo electrónico.
Acción: 1. Revisar si hay acceso al Address Book.

2. Enviar y/o recibir correo.
3. Si no se pueden realizar las acciones
anteriores, contactar al Help Desk de MIS
Local.
141
Errores en comunicación de datos
9 Esquema de comunicaciones
Comunicaciones Oficina Principal Ecuador con TCC
Dentro de este grupo se encuentran los enlaces de
comunicaciones de datos considerados centro de
comunicaciones en el TCC en USA
Gráfico 7.1: Comunicación Ecuador – Neenah – USA

M
AT
8 K
04
K/2
96
40
Fuente: Cía Clark S.A

142
9 Enlace Internacional
En la actualidad existe un enlace con capacidad
4096K/2048K por donde fluye el trafico de la red hacia la
corporación y en condiciones normales.
Para la contingencia existe un servicio de RAS que se
conecta de manera automática con el TCC cada vez que
falla la conexión internacional.
9 Enlaces ISDN De Contingencia Oficina Locales
Planta Mapasingue, Oficina de Distribución Quito se
utilizan líneas ISDN/RDSI en cada sitio, que hacen
conexión al sitio central en Guayaquil; cuando un enlace
Frame Relay falla el sistema marcara automáticamente al
sitio principal.
Gráfico 7.2: Enlace Local
Fuente: Cía Clark S.A

143
En la Oficina de Quito, existe un segundo circuito
redundante que opera como contingencia en caso de
falla del primero, la contingencia es activada de forma
automática cuando el enlace primario falla. Los demás
sitios deben utilizar el acceso RAS por línea conmutada o
banda ancha.
9 Resumen Enlaces – Contingencia
Tabla 7.5: Enlaces - Contingencia
SITIO ENLACE CONTINGENCIA
Oficina Quito Frame Relay – ISDN
34000K
Of. Distribución Banda Ancha – Acceso RAS
350K
Of. Ventas Frame Relay – Acceso RAS
1024K
Bodega de Frame Relay – Enlace redundante
Productos 2048
Bodega de Fibra Frame Relay – Enlace
2048 Redundante
CAPÍTULO VIII
8. PRUEBA DEL PLAN DE CONTINGENCIA
8.1. ANTECEDENTES
Nombre del Plan: Plan de Continuidad de Negocios.
Fecha Ejercicio: Enero de 2009
Localidad: Oficinas de Clark S.A.
Participantes: Dpto. ITS
Acciones a seguir:
9 Aplicaciones del negocio
1. Preparar y documentar carta de aceptación de aplicaciones.
2. Terminar documentación de recuperación de aplicación
mantenimiento de planta.
9 Estrategia de Continuidad de Negocio
1. Completar información de los IDFs.
2. Actualizar información en el sitio de administración de red
corporativa.
3. Obtener y confirmar información de redes inteligentes para
equipos de comunicaciones.
145
4. Confirmar revisión y aprobación de procedimientos de
recuperación y plan de continuidad de negocios con el LAO
grupo de servicios computarizados.
9 Almacenamiento respaldos fuera de las oficinas
1. Mejorar el lugar de almacenamiento y rotulado de respaldos
diarios.
2. Confirmar que el respaldo de información vital para el negocio
se esté almacenando adecuadamente.
9 Actividades de respuesta
1. Agregar números telefónicos de casas de habitación en la lista
de contactos.
2. Incluir lista de chequeo de tareas en el Procedimiento de
Recuperación en caso de Desastre.
9 Actividades de reanudación
1. Los números de teléfono de las casas del personal de ITS
necesitan ser incluidos.
2. Coordinar con LAO servicios computarizados y la red para la
creación de una estrategia de recuperación definida para la
restauración de enrutadores y switches.

146
9 Consideraciones Generales
1. Almacenar copias del plan en sitios autorizados fuera de las
Oficinas de Clark S.A.
9 Procedimientos de Referencia Externos
1. Verificar la existencia del procedimiento de Control Interno en
las Oficinas de Clark S.A.
2. Verificar la existencia de un Manual de Emergencias para las
Oficinas de Clark S.A.
9 Capacitaciones periódicas al personal
1. Informar acerca de la existencia del manual de contingencia.
2. Capacitación constante (cada trimestre) al personal sobre
evacuaciones y seguridad.
3. Incentivar al personal e informar mediante folletos, volantes,
evacuaciones y evaluaciones sobre que hacer en caso de
desastres.
8.2. PRUEBAS Y VERIFICACIÓN DE LA LISTA DE CHEQUEO
Aplicaciones del Negocio:
Verifique que las aplicaciones de negocio están documentadas
para cada plataforma computacional de la planta, y que cada
aplicación haya sido identificada como crítica o no crítica.

147
Asegúrese que los nombres de ITS y usuarios dueños y
responsable de cada aplicación estén identificados y correctos.
Comentarios: Todas las aplicaciones están incluidas e
identificadas como críticas ó no críticas.
Verifique que cartas de aceptación del usuario hayan sido
desarrolladas para cada aplicación.
Verifique que se hayan desarrollado Planes de Recuperación en
Caso de Desastre.
Comentarios: Se encontraron Procedimientos de Recuperación en
caso de desastres para las siguientes aplicaciones:
9 Nómina – Adam
9 Mantenimiento Planta – MMS: Existe un procedimiento parcial
que debe ser terminado.
9 Fuerza de Ventas – Sysgold
Verifique que las copias de las cartas de aceptación del usuario y
los Procedimientos de Recuperación en Caso de Desastre hayan
sido enviadas al Coordinador Corporativo de Continuidad del
Negocio.
148
Estrategia de Continuidad del Negocio
Verifique que las especificaciones técnicas de los servidores estén
correctas.
Comentarios: Los servidores están apropiadamente incluidos.
Verifique que la información de comunicaciones de datos esté
correcta (MDF and IDF’s)
Comentarios: Existe una adecuada documentación del MDF en el.
Verifique que los Diagramas de Red estén actualizados con los que
tiene la administración corporativa de red.
Comentarios: La información si está actualizada.
Asegúrese que todo el equipo de repuesto necesitado en la planta
ha sido identificado y almacenado en una localidad segura.
Los contratos SMARTNETS de enrutadores y switches principales
están activos con cada uno de los Proveedores.
Verifique que las estrategias de cambio de hardware (Ej.: equipo de
repuesto, suministrado por el proveedor, equipo redundante, sitio
alterno, etc.) haya sido identificado para restaurar las aplicaciones

149
dentro de las expectativas de tiempo y costo, con mínimo riesgo
para la planta.
Comentarios: Los contratos de servidores con la compañía
SONDA DEL ECUADOR permiten reemplazar partes y servidores,
de acuerdo al contrato establecido.
Se tiene un contrato de redes inteligentes para enrutadores y
switches principales con el proveedor Emtelco.
Asegúrese que todo el personal (Ej., de ITS, proveedores, cliente,
etc.) involucrados con las estrategias de hardware son concientes
de sus responsabilidades.
Comentarios: Las estrategias de recuperación de servidores y
equipos de telecomunicaciones están a cargo del LAN Admin y del
ITS Manager.
Verifique que las estrategias de recuperación han sido aprobadas
por la administración y LAO servicios computarizados.
Respaldos fuera de las oficinas
Asegúrese que la Valoración del Riesgo para la planta esté
documentada.
Comentarios: La Valoración del Riesgo se realizó en Mayo 2008
y está documentado.
150
Verifique que los respaldos están siendo realizados y estén
documentados.
Comentarios: El procedimiento ITS define la estrategia de
respaldo. En el se identifican los mecanismos de revisión de los
respaldos, periodicidad y almacenamiento (revisar lugar, rotulado,
documentación de respaldo diario).
Verifique que los suministros necesitados para la recuperación
estén documentados.
Comentarios: ITS no es responsable de la provisión de
suministros en las oficinas de Quito.
Verifique que los registros vitales necesarios para la recuperación
estén documentados.
Verifique que el lugar en donde se almacenan los respaldos está a
una distancia aceptable no sujeta a los mismos riesgos que la
localidad primaria y esté documentado.
Comentarios: Los respaldos semanales y mensuales son
guardados en las instalaciones del Banco Bolivariano localizados a
15 KM de las oficinas de Clark S.A.

151
Verifique que los procedimientos de respaldo estén documentados.
Comentarios: La estrategia de respaldo está documentada en el
procedimiento ITS, el cual puede ser accedido en la Intranet de
Clark S.A.
Actividades de respuesta
Revise la lista de Contactos y verifique los nombres y números de
teléfono del personal que será llamado para responder a la
Verifique los nombres del personal que puede declarar una
Comentarios: El desastre puede ser declarado por el ITS Manager
ó el LAN Admin.
Asegúrese que existan tareas y procedimientos para responder a
una situación de desastre.
Actividades de Reanudación
Revise la lista de contactos y verifique que los nombres y teléfonos
de los empleados, proveedores y clientes puedan ser llamados
para recobrar el ambiente e infraestructura computacional.

152
Asegúrese que los procedimientos de notificación, transporte y de
contratos estén debidamente documentados.
Asegúrese que las tareas, procedimientos de soporte técnico, y/o
manual existan para recobrar el quipo computacional e
infraestructura de soporte.
Consideración General
Verifique que la gente responsable de responder y recuperar el
procesamiento computacional o la infraestructura de soporte
tengan acceso a copias del plan fuera de las oficinas.
Verifique que una copia del plan esté guardada en un sitio fuera de
las instalaciones principales.
Referencias a Procedimientos Externos
Asegúrese que el plan es compatible con los Controles Internos de
la planta.
Asegúrese que el plan esté referenciado o sea compatible con el
Manual de Emergencia de la planta.
8.2.1. Verificación de las Aplicaciones
Suposiciones
Hay una serie de suposiciones hechas por cada dueño de
Aplicación para recuperar totalmente una Aplicación, que asume

153
que ITS cuenta con una serie de Procedimientos para resolver la
Recuperación de los componentes de una Aplicación. (Agregar o
remover suposiciones según requerido):
¾ Equipo de Continuidad de Negocio: Provee el Procedimiento para la
Recuperación de la Aplicación en el caso de un Desastres.
¾ Equipo de Seguridad al Sistema: Recuperar la seguridad de la
Aplicación y los grupos de seguridad de administración de redes,
utilizando los Procedimientos establecidos para Recuperación en
caso de Desastres de seguridad de los sistemas.
¾ Grupo de administración de servicios Corporativos: Recuperar o
reconstruir los servidores de la Aplicación con todo el software y
hardware necesario, además de los componentes del activo
utilizando los Procedimientos de Recuperación en caso de
Desastres.
¾ Equipo de administración de la base de datos: Recuperar las bases
de datos de la Aplicación utilizando los Procedimientos para la
Recuperación en caso de Desastres.
¾ Administración, Web-Notes, Internet: Recuperar, recobrar o
reconstruir componentes específicos de la Aplicación utilizando los
Procedimientos de Recuperación en caso de Desastre del grupo
Web-Notes/Intranet.
154
Participantes del Test:
Para cada elemento de la lista de chequeo, identifique cual equipo es
responsable de proveer información sobre la pregunta.
Tabla 8.1: Test de Chequeo de Aplicaciones
Lista de Chequeo Comentarios

Contacto del personal
Está actualizada la lista de contactos de Si
ITS en quien corrige la Aplicación?
Los miembros del grupo de ITS Si.
responsables de la Aplicación conocen
como utilizar y actualizar el Quien corrige
(Whofixes)?
Tiene el equipo de ITS de la Aplicación una Si, se encuentra en la carpeta
lista actualizada de como contactar a los COBTFN01\Share\Santillana\MIS\Desarrol
actuales usuarios y números de teléfono los\Sysgold\
para cualquier usuario que necesite ser
localizado, para darle soporte a la La lista de Contactos se encuentra al final
Recuperación de la Aplicación? Si la del procedimiento:
respuesta es si, en donde están http://cosaaw01.kcc.com/Auditoria/PROC
almacenados la lista de contactos y los EDIMIENTOS/index.htm
teléfonos? Procedimiento ITS – 023.
Quién tiene acceso a lista de contactos de Carlos Londoño. Líder ITS
usuarios?
Tiene el equipo de ITS de la Aplicación una Si, existe. Referencia Plan de Continuidad
lista actualizada de como contactar del Negocio.
cualquiera de los clientes externos y/o
proveedores que sean necesario localizar,
si ocurre un desastre? Si la respuesta es
si, en donde están almacenados la lista de
contactos y los teléfonos?
Quién tiene acceso a la lista de clientes y Carlos Pelaez, Jaime Valderrama, Adriana
proveedores? Gomez.
Está el equipo de ITS de la Aplicación Si.
seguro de que Procedimiento de
Recuperación en caso de Desastres de la
Aplicación provee suficiente detalle de
cuáles grupo de servicios del sistema
deben ser contactados?
155
Tabla 8.1: Test de Chequeo de Aplicaciones (Continuación)

Carta de aprobación del usuario
Está la carta de aprobación del usuario Ya se encuentra creada y firmada.
actualizada y en concordancia con el nombre(s)
incluido en el reporte Bi-mensual de
Recuperación en caso de Desastres de la
Aplicación emitido por el Coordinador
Corporativo de Business Continuity? Si no,
cuando se obtendrá una nueva carta de firmas.
En donde se almacena la carta de aprobación Carlos Londoño tiene la copia impresa.
del usuario? (Se necesitan versiones La electrónica está en el directorio
electrónicas e impresas). COBTFN01\Share\Santillana\MIS\Desa
rrollos\Sysgold\
Procedimientos interinos del usuario
Se han desarrollado Procedimientos interinos Si se han desarrollado. Existe un
para los usuarios de la Aplicación? Si la procedimiento para la toma manual de
respuesta es si, quien verificó que los pedidos.
Procedimientos de Recuperación en caso de
Desastres de la Aplicación son todavía actuales
y compatibles con los Procedimientos del
usuario?
En donde se han almacenado los El procedimiento está en poder del
Procedimientos interinos de usuario? Quien Gerente de Ventas. Carlos Londoño
tiene acceso al Procedimiento? (Se necesitan tiene una copia impresa.
versiones electrónicas e impresas).
Cuando se verificaron los Procedimientos Se han verificado cuando los
interinos de usuario o planean ser verificados? vendedores por alguna razón tienen un
problema con la máquina, mientras no
tienen acceso al sistema por el
inconveniente entonces se aplica el
procedimiento interino.
Los clientes del negocio mantienen pistas No en todos los casos.
diarias de la información entrada en la
Aplicación? Serían ellos capaces de recuperar
la información que se puede perder debido a un
Desastres?
156

Procedimiento de almacenaje
En donde se han almacenado los Están disponibles en la Intranet de Perú,
Procedimientos de Recuperación de la http://cosaaw01.kcc.com/Auditoria/PROCE
Aplicación en caso de Desastres, a fin de DIMIENTOS/index.htm
que estén disponibles para el personal de los Procedimiento ITS – 023.
sistemas de negocio (Se necesitan versiones
electrónicas e impresas).
Conocen todos los miembros del team de ITS El responsable es Carlos Londoño, quien
responsables de la aplicación como obtener conoce en donde obtener una copia.
una copia del procedimiento? Si no, cuando También el Jefe de ITS tiene copia impresa
serán notificados? de todos los procedimientos.
Tienen los miembros del team de ITS Carlos Londoño cuenta con la
responsables de la Aplicación otra documentación del sistema. Se localiza en
documentación de soporte del sistema la ruta :
(electrónica e impresa) que esté disponible y COBTFN01/Santillana/MIS/Desarrollos/SYS
actualizada? Si es así, donde se puede GOLD
localizar y ser obtenida fácilmente? Cuando
fue verificada o se planea verificar?
Verifique exactitud del Procedimiento
Quién además del revisor revisó y verificó la El auditor de sistemas, Juan Daniel Giraldo
exactitud de este Procedimiento de verificó el procedimiento en Octubre 2007.
Recuperación de la Aplicación en caso de
Desastres? En qué fecha fue verificada o se
planea verificar?
El team de ITS de la Aplicación está seguro Carlos Londoño manifiesta estar seguro.
de que los programas ó cronogramas de
backup (archivos y datos) están en sincronía
si una Recuperación fuera necesaria? Si los
cronogramas de backup no pueden ser
coordinados, está el team de ITS de la
Aplicación conciente de las diferencias en el
cronograma?
Está el team de ITS de la Aplicación Carlos Londoño verifica los respaldos
conciente de las horas de ejecución del realizados periódicamente.
software de respaldo y ha verificado que este
se complete antes de que sea recogido para
el almacenaje off-site?
El team de ITS de la Aplicación ha revisado Si
este Procedimiento y ha verificado que los
pasos de Recuperación son todavía
relevantes?
Está el team de ITS de la Aplicación Si
conciente de cualquier cinta o archivos que
son críticos para la Recuperación de la
aplicación y se han asegurado que estos
estén documentados en este procedimiento.
157

El team de ITS de la aplicación ha No hay ninguna secuencia en particular.
documentado si existe cualquier cinta(s) ó
archivos dentro de la Recuperación de esta
Aplicación que deba ser recuperada antes
que otros?
Para aplicaciones basadas en servidor, el Si. El SQL Server, IIS y servicios de FTP
team de ITS de la Aplicación requiere deben estar correctamente instalados y
cualquier componente específico de la configurados.
Aplicación que deba ser instalado en el
servidor? Se han hecho revisiones a los
componentes específicos desde la última
actualización del Procedimiento de
Recuperación de la Aplicación en caso de
Desastres, a fin de incluir los nuevos
componentes?
Si la aplicación está basada en ambiente La aplicación no es ambiente WEB.
web y requiere seguridad en páginas web El servidor tiene un grupo de control de
específicas, se han documentado esos usuarios, que tienen capacidad de FTP.
requerimientos específicos en este Además los usuarios deben estar
Procedimiento de Recuperación de la habilitados para hacer conexiones tipo
Aplicación en caso de Desastres? RAS y contar con tarjetas SecurID.
Si la aplicación tiene grupos de seguridad Si está seguro.
asignados en el Group Manager, el team de
ITS de la aplicación está seguro de que
éstos son listados en este procedimiento?
Test reales del Procedimiento
Se han probado los Procedimientos de La última prueba se realizó en Febrero
Recuperación de la Aplicación en caso de 2008.
Desastres durante una prueba real de .
recuperación de la plataforma? Si es así, en
cual fecha fue probada y/o para cuando se
ha programado la siguiente prueba?
Si fue así, quienes fueron los participantes Los participantes fueron Carlos Londoño,
(ITS/usuarios)? Juan B. Mesa, Andrés Felipe García y
personal de Sysgold.
Se hicieron cambios a los Procedimientos Si se creó un manual de la nueva
de Recuperación de la Aplicación en caso instalación el cual se encuentra en:
de Desastres para resolver problemas que S:\Santillana\MIS\Desarrollos\Sysgold\Man
surgieron durante el ultimo test de uales\Sysgold - Guia de Instalacion
Recuperación? mSales Web Server.doc
Para las aplicaciones críticas corriendo en N/A
mainframes, están los nombres de los data
sets incluidos en la sección C.x.d del
Procedimiento de Recuperación de la
Aplicación? En que fecha se verificó o se
planea verificar?
158

Para las aplicaciones críticas corriendo en N/A
mainframes, están los nombres de las
bases de datos de acuerdo a lo
documentado en la Sección C.x.c?
Para aplicaciones tipo legacy que corren N/A
en mainframes, están los data sets de los
respaldos off-site identificados en el
Procedimiento de Recuperación Sección
D.2? ? En que fecha se verificó o se
planea verificar?
La aplicación requiere respaldo de No requiere.
archivos por aspectos legales, contables o
de impuestos? Si es así, están estos
respaldos guardados off-site con el
apropiado requerimiento de retención de
registros de acuerdo al estándar
corporativo?
Verificación final del Procedimiento
En que año entró en producción esta Entró en producción Julio 1999.
aplicación? Se ha asegurado usted que
todos los componentes de infraestructura,
los requerimientos del volumen de datos,
cronogramas de respaldos, grupos de
seguridad, etc. que son utilizados por la
Aplicación, han sido verificados y
documentados dentro de este
Procedimiento de Recuperación de la
Aplicación en caso de Desastres, a fin de
asegurarse de que todavía son precisos y
exactos ?
Tiene usted confianza de que en el evento Carlos Londoño, responsable
de un desastre, este procedimiento de la aplicación, manifiesta que
proveerá toda la información requerida sí.
para que la aplicación sea recuperada
transparente y exitosamente? (Se
recomienda que se piense sobre los pasos
reales tomados para recuperar esta
Aplicación).

159
Modelo de Aprobación
Preparado Por:
Nombre Firma Título / Departamento Fecha

ITS
Aprobado Por:

ITS
Autorizado Por:

ITS
160
8.3. MODELO DE ACTA DE PRUEBA DEL PLAN DE CONTINGENCIA
LOGISTICA-FACTURACIÓN – 2008
Con la premisa de que debemos estar preparados para cualquier tipo de
eventualidades parciales o totales de nuestras instalaciones. El
departamento de ITS se ha preparado para realizar la siguiente prueba del
plan de contingencia.
El siguiente documento respalda las diferentes actividades realizadas
durante el proceso.
1. INFRAESTRUCTURA DEL LOCAL.
Entre el 12 y 16 de noviembre de 2008 se ha procedido a dejar listo el
sitio de contingencia dejando instaladas los paquetes y probando con
éxito el enlace de Internet. Y el ingreso al sistema SAP y su
correspondiente impresión.
2. PROCEDIMIENTOS Y FORMATOS UTILIZADOS
El procedimiento que se esta aplicando es el STM08, este
procedimiento es para continuación de la operación. Los formatos
utilizados serán documentos para facturas y guías de remisión.
3. ÁREAS INVOLUCRADAS.
Las áreas involucradas en el ejercicio del plan son:

161
ITS KCE (Vicente Vanegas). Créditos (Patricia Guzman).
Logística (Nelson Alvarado). Auditoria(Manuel Ruiz)
Las asignaciones por usuario las dará cada uno de los encargados de
las áreas involucradas, los cargos que intervienen están el
procedimiento de recuperación del negocio.
4. PRUEBAS DE CONTINGENCIA.
Para el día 17 de diciembre del 2008 se realizó la prueba de
contingencia con el personal ya comunicado por mail. Esta prueba es
una capacitación del plan, la prueba se baso en realizar un simulacro
de contingencia, para lo cuál se movilizó al personal a la ciudad de
Babahoyo donde quedan las instalaciones del centro de computo
alterno, se tomaron los tiempos para medir el punto y tiempo de
recuperación. Las pruebas son sustentadas con toda la información
recolectada y los resultados que arrojaron los hechos.
5. DOCUMENTACIÓN
Una vez realizada la prueba se procedió a las respectivas
correcciones del caso y actualizaciones del plan de contingencia en
los diferentes sitios (Banco, Caja de seguridad y documentos
internos).
CAPÍTULO IX
9. ANÁLISIS Y CONCLUSIONES
9.1. ANÁLISIS
En nuestra visita a las instalaciones del área de sistemas de la
Compañía Clark S.A. observamos situaciones que fueron expuestas a
análisis, para lo cuál podemos decir:
Los resultados que arrojaron fueron favorables para la compañía,
está a su vez debe analizar la implementación de un BCP que
salvaguarden sus activos.
No existieron dificultades para la realización del plan ya que la
empresa nos dio todas las facilidades para cumplir con el trabajo.
Los resultados a través de pruebas de control fueron los
esperados, aunque está expenso a modificaciones cuando se
amerite.
Las actividades que no fueron visualizadas en el proceso son:
1. Emergencias de edificios y procedimientos de evacuación.
2. Recuperación de las diferentes unidades y departamentos de la
Compañía.
3. Equipos no relacionados con la red de datos (PBX, máquinas
de fax, fotocopiadoras, etc.)

163
Para la realización del plan contamos con la colaboración de todos
los que conforman el departamento de sistemas y el área de
administración de seguridad de la misma.
El plan justifica su implementación mediante el análisis financiero y
operacional, debido a que mayor es el beneficio que obtiene la
empresa a los costos que se incurren al implementarlo.
9.2. CONCLUSIONES
Luego del análisis y desarrollo del Plan de Continuidad de Negocios
del área de Sistemas para la empresa Clark S.A. podemos concluir lo
siguiente:
El plan es eficiente ya que cumple con todos los procedimientos
específicos para su realización, el mismo está soportado en su
análisis financiero y operacional.
Este plan fue diseñado para una empresa industrial, se puede
implementar para los demás sectores con ciertas estructuraciones,
ya que la plataforma es la misma.
La manufactura y el portafolio de productos que ofrece la compañía
es pensando en la necesidad y satisfacción del cliente, cumpliendo
así con todos los estándares de calidad para lo cuál el esfuerzo

164
diario que realiza con sus colaboradores hacen que las operaciones
de la misma sean eficientes.
La compañía tiene ciertos procesos establecidos que aseguran el
bienestar de sus empleados, su infraestructura y equipos. Estos
procesos son monitoreados por departamento de Administración de
Seguridad de la compañía.
La asignación de recursos se efectúa mediante una planificación
financiera que es dirigida por la gerencia. Los recursos de la
compañía son administrados eficientemente por cada
departamento.
La Cía. Clark S.A. cuenta con la infraestructura adecuada, la
cumple con los estándares más altos de seguridad apropiados para
sus operaciones diarias.
La Cía. Clark S.A. cuenta con el personal adecuado y capacitado
según la responsabilidad y actividad que realice. Además
observamos que para el departamento de Sistemas el perfil de
cada colaborador es el adecuado para ocupar el cargo
correspondiente.
La Cía. Clark S.A. tiene los sistemas de información necesarios
para su funcionamiento, además cuenta con el soporte que
proporcionan sus proveedores que le brindan un servicio de calidad.

165
La Cía. Clark S.A. cuenta con buenas expectativas a futuro ya que
cuenta con el respaldo de sus componentes principales que le
agregan valor: los clientes que están satisfechos con el producto,
los colaboradores que están cómodos con el ambiente de trabajo y
los beneficios de la compañía, y la eficiente administración de sus
recursos hace que vean el crecimiento admirable de la misma,
siempre innovando con nuevas oportunidades para presentarlas al
mercado y ante todo ayudando al medio ambiente. Esto hace que la
compañía tenga permanencia y sea sostenible en el tiempo.
Finalmente agregamos que la mayor parte de los problemas que se
sucitan en la compañía son operativos, pero estos a su vez son
suplidos por manuales departamentales para el debido caso.
Citamos algunos ejemplos de los problemas que se presentan:
Área de Producción:
9 Daño de maquinaria, Instalación y mantenimiento de la misma
Área de Logística y Distribución:
9 Guías de remisión
Área de IT:
9 Desconfiguración de equipos, instalación de programas.
9 Sobrecarga de Transacciones.
ANEXOS
ANEXO 1: Serias Exposiciones al riesgo
La siguiente tabla identifica las exposiciones mas serias de la localidad que se

encuentra la compañía. La información fue basada en registros obtenidos del
K-C Propery Insurance Carrier (FM Global). Las localidades listadas en la tabla
deberían usar esta información para ayudarse a identificar y clasificar la
vulnerabilidad a estas amenazas, y así determinar una localidad apropiada
para almacenar los respaldos de información.
Exposición a Terremoto Altos

Localidad inundaciones
100 años 500 años Zona 40 VIENTOS
Argentina (ambas localidades) X
Australia, Warwick Farm X X
Bolivia (todas las localidades) X
Bolivia, Santa Cruz X X
Brasil, El dorado X X
Chile (todas las localidades) X
Colombia, Cali X
Colombia, Pereira X
Costa Rica (todas las localidades) X
Costa Rica, Cartago X X X
Ecuador (todas las localidades) X
El Salvador X
France, Rouen X X
Germany, Mainz X X
Guatemala X
Honduras X
Indonesia X
Italy, Patrica X X
Italy, Romagnano X X
Italy, Villanovetta X X
Korea, Taejon X X
Mexico (todas las localidades, excepto) X
Ramos)
Peru (todas las localidades) X
Philippines (todas las localidades) X
Switzerland, Balsthal X X
Taiwan, Tayuan X X
Thailand, Panthumthani X
Thailand, Samut Prakern X X
Thailand, Songkhla (SafeSkin) X X
USA, Chester PA (Mill) X X
USA, East Ryegate VT X
USA, Fullerton, CA X X
USA, Haltom City TX (Technol) X X
USA, Jenks X
USA, Mobile X
USA, Neenah WI (Neenah Paper) X X
USA, New Milford CT X X
USA, Owensboro KY X X
USA, Paris, TX X
USA, San Diego (SafeSkin) X
ANEXO 2: Lista de chequeo de las instalaciones Computacionales
La siguiente tabla contiene una lista de chequeo general de preguntas, para

ayudar en la determinación de las vulnerabilidades potenciales de las
instalaciones computacionales. Responda cada pregunta y provea
comentarios tanto como sean necesarios. Basada en las instalaciones de
procesamiento, no todas las preguntas serían relativas a todas las
instalaciones. Indique No Aplicable (N/A) para aquellas preguntas que no
serían aplicables a esas instalaciones.
Lista de chequeo de las Instalaciones Si No Comentarios

Computacionales
Access Controls
¿Está el acceso a la sala de computadoras X Existe un sistema de control de

restringida a personal seleccionado? Si es así acceso a la sala de servidores y
cómo. telecomunicaciones, el cual se
basa en un software, tarjetas
magnéticas, puntos de acceso a
puertas (candados) y un equipo
de control principal.
¿Está la lista de accesos actualizada, y que tan X Los accesos se registran
a menudo se hace? automáticamente en el software
de control, cada vez que el
personal autorizado utiliza su
tarjeta magnética para abrir la
puerta de la sala.
¿Dónde se localiza la lista de acceso? Cómo es X Las listas de accesos residen en
controlada? una base de datos, el cual corre
en una PC físicamente instalada
en la sala de la PBX. Sólo el LAN
Administrator y el ITS Manager
tienen acceso a esta sala y ambos
tienen acceso al software.
¿Son utilizados llaves, candados o algún otro X Se utilizan las tarjetas magnéticas.
dispositivo para controlar el acceso?
¿Como se controlan las llaves? Las tarjetas son provistas por el
Coordinador Administrativo. Luego
estas se codifican en el software,
para habilitarlas el acceso a la
sala de servidores y
telecomunicaciones.
¿Se han establecido procedimientos para X Para permitir el acceso a las
visitantes? Si es así, son estos efectivos? instalaciones de las oficinas, el
LAN Adm. o el MIS Manager debe
solicitar el permiso al encargado
de seguridad del edificio,
indicando objetivo, fecha de
entrada y salida y compañía a la
que representa. Todo visitante es
acompañado por el LAN Admin el
ITS Manager mientras está en la
sala. Existe una bitácora de
entrada de visitantes a la sala de
servidores y telecomunicaciones.
¿Si se utilizan tarjetas de acceso, están éstas X Si se lleva control
inventariadas y controladas?
Computacionales
Access Controls
¿Existe energía de reserva para operar las X Si la energía falla el mecanismo

puertas controladas electrónicamente, durante electrónico de control de acceso,
un fallo de energía? Si no es así, cómo se existe un candado convencional
controlan las puertas durante una falla de que se abre desde afuera. La llave
corriente? de este candado está custodiada
por el MIS Manager.
¿Cómo se controla el acceso a la sala de El personal de mantenimiento es
computadores para el personal de custodia, acompañado por el LAN Admin el
eléctrico y de mantenimiento? ITS Manager mientras está
realizando su trabajo, su fecha y
hora de entrada y salida es
anotada en la bitácora existente
en la sala para el control de
acceso.
Limpieza
¿Son la sala de computadores, el piso y X Actualmente el personal de
oficinas limpiadas y aspiradas regularmente? limpieza hace el aseo cada 2
semanas. Se hace registro en la
bitácora de control de acceso.
¿Está prohibido comer y fumar dentro de la sala X
de computadores?
¿Existe un área separada para el descanso del X Todo personal de ITS, al igual que
personal de operaciones? el resto de empleados de utiliza
una cafetería localizada dentro de
las oficinas.
¿Son las cubiertas del equipo y servicios X La labor de limpieza se realice
limpiados regularmente? cada 2 semanas.
FUEGO
¿Son los operadores entrenados X Se realiza un entrenamiento anual
periódicamente en técnicas de combate contra en el cual participan todos los
el fuego, y tienen responsabilidades asignadas empleados de la compañía,
individualmente? incluyendo el personal de ITS.
¿Los individuos asignados están familiarizados X El personal de ITS está entrenado
con sus responsabilidades en emergencias? para responder en caso de
emergencias.
¿Están el papel y otros suministros, excepto X Existe una pequeña bodega en
aquellos requeridos para operar, almacenados donde se guardan tarjetas, y
fuera del área de computadores? switches de repuesto.
¿Están las salidas de incendios marcadas X
claramente?
¿Están los Planes de Emergencia en caso de X El Edificio es propiedad de la
Incendio claramente publicados? compañía, se rige por las normas
de seguridad.
¿Existen extinguidotes portátiles localizados X Existe un extintor de incendio
estratégicamente alrededor del área, con localizado dentro de la sala de
indicaciones claramente visibles? servidores y telecomunicaciones,
y otro localizado afuera de la sala,
contiguo a la puerta de entrada.
¿Ha sido el personal de operaciones X El personal de ITS recibe una
claramente instruido en las acciones requeridas capacitación anual para
en el evento de una emergencia? reaccionar en el caso de un
desastre.
Computacionales
FUEGO
¿El sistema de detectores de humo/fuego es X Fecha de ultima verificación –
probado regularmente Junio 05- -2004
¿Se conducen ejercicios de incendio X Junio-11-2004 se realizo un

regularmente Cuándo se condujo el ejercicio simulacro de evacuación en el
por última vez? edificio.
¿Existen luces de emergencia de baterías a X Ubicadas en todos los centros de
través de la sala de computadores? Si así, son cableado
operacionales?
¿Las salidas están marcadas claramente X
¿Las luces de salida son operacionales? X Cada centro de comunicaciones
tiene las respectivas luces de
salida.
¿La cuadrilla de emergencia tendría acceso a la X El LAN Adm. y ITS Manager son
sala e computadores sin retardo? parte de la cuadrilla de
emergencia. Pero nadie más de
la cuadrilla de seguridad podría
tener acceso en emergencia.
Hardware
¿Son las actividades de mantenimiento X
programadas y monitoreadas para asegurar
rendimiento y confiabilidad apropiados?
¿Es el mantenimiento realizado sobre una base X
de programación regular?
Procedimientos de Operación Las Oficinas de ITS no tienen
personal dedicado a realizar
funciones e operación.
¿Están los procedimientos de operación N/A
vigentes?
¿El sistema de distribución previene que N/A
personas autorizadas reciban reporte con
información sensitiva y/o clasificada? Los
procedimientos son adecuados?
Existen procedimientos para procesar, marcar y N/A
manejar material clasificado?
¿El personal de operaciones está familiarizado N/A
con los procedimientos?
¿Como son reportadas las violaciones? N/A
¿Existen procedimientos para el shut down de X Si existe y se encuentra impreso
los sistemas operativo? en la sala de Servidores
¿Se han establecido procedimientos que X Procedimiento ITS-004
provean una guía sobre los pasos a seguir en el
evento de una falla de los equipos?
¿Está el personal de operaciones familiarizado N/A
con los términos de los contratos de
mantenimiento, en relación con los períodos
principales y los períodos por llamada?
¿Está el personal de operaciones N/A
completamente instruido sobre las técnicas N/A
para mantener un ambiente apropiado en la
sala de computadores?
Computacionales
Suministros Los suministros son controlados
por el Administrador de las
oficinas, no por ITS.
¿Existe un sistema que asegure que un N/A
adecuado pero no excesiva provisión de
suministros está disponible (cintas magnéticas,
cartuchos de impresoras, papel tabulado y
formas especiales)?
¿Existen áreas de almacenamiento adecuados N/A
y éstas cumplen los estándares ambientales
requeridos para el almacenamiento de
suministros?
Training
Is there an effective cross training program? X
Are individual training records up-to-date? X
Has a training coordinator been appointed? X
Are manufacturers operating manuals kept in X AS400
the computer room? If so. Are they current?
Are operator run books kept in an up-to-date N/A
condition in the computer room?
ANEXO 3: Simbología del Diagrama Paso a Paso de Recuperación
Principio/ Fin, parada de proceso.
Proceso en general. Operaciones definidas que
originan cambios.
Modificación de programa; instrucción que modifica
a otra, o inicialización de rutinas.
Secuencia y dirección del flujo

BIBLIOGRAFÍA
1. AKHTAR SYED PH.D, AFSAR SYED BMATH “Business Continuity
Planning”, 2004.
2. STANLEY B. BLOCK, GEOFFREY A. HIRT “Fundamentos de
Gerencia Financiera”, MC GRAW-HILL. NOVENA EDICIÓN, 2002.

Tesis - DRP

Cargado por

Copyright:

Formatos disponibles

Tesis - DRP

Cargado por

Información del documento

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Tesis - DRP

Cargado por

Copyright:

Formatos disponibles

ESCUELA SUPERIOR POLITÉCNICA DEL LITORAL

Instituto de Ciencias Matemáticas

Ingeniería en Auditoría y Control de Gestión

Plan de Continuidad de Negocios (BCP) para el Área de Sistemas de

Previo a la obtención del título de:

Johanna Mariela Sánchez Torbay

Este proyecto está dedicado a dios y a

nuestros padres, hermanos, familiares y

amigos por su apoyo incondicional y por

alentarnos día a día.

Sánchez Torbay Johanna Mariela

Fierro Fariño Luis Alberto

Un especial agradecimiento ante todo a

nuestro Dios por brindarnos sabiduría y

fortalecer la fe, a nuestros maestros que

nos ayudaron en nuestra formación

académica, a nuestro director de tesis

por su apoyo, a la ESPOL por brindarme

la oportunidad de forjar nuestros

conocimientos y a todas las personas

que de una u otra manera colaboraron

en la realización de este trabajo.

Sánchez Torbay Johanna Mariela

Fierro Fariño Luis Alberto

Ing. Jacqueline Mejía Ing. Daltón Noboa

"La responsabilidad del contenido de esta tesis de grado, me corresponde

exclusivamente; y el patrimonio intelectual de la misma a la ESCUELA

SUPERIOR POLITÉCNICA DEL LITORAL"

Luis Fierro Fariño Johanna Sánchez Torbay

El presente trabajo abarca la investigación, análisis y proceso que debe

contener un plan de continuidad de negocio en caso de contingencia o desastre

que afecte a la continuidad de las operaciones de la compañía Clark S.A. La

desastres naturales, humanos, tecnológicos y operacionales esto causa un

impacto grave que produciría pérdidas humanas y económicas según la

severidad del desastre en caso de no tener implementado un BCP.

Para la realización de nuestro trabajo nos enfocamos en analizar los controles,

políticas y procedimientos establecidos por la gerencia para el área de Sistemas

vulnerabilidades y riesgos en los procesos de IT. Además se determinó la

realización de pruebas de control que permita verificar el correcto

funcionamiento del plan, también se estableció el proceso de recuperación de

las actividades y un manual de crisis que permita a la compañía enfrentar

cualquier tipo de contingencia. Como herramientas de ayuda para nuestro

la ejecución del plan. El trabajo presenta nueve capítulos que explica el

relevante de un plan de continuidad de negocio aplicado a nuestro trabajo, tales

como definiciones claves que nos permite entender que es un plan de

continuidad y todo el proceso de análisis y ejecución a tener en cuenta.

El segundo capítulo abarca la identificación de la empresa. Para el desarrollo del

mismo obtenemos una breve descripción del conocimiento del negocio;

analizamos causas, riesgos, probabilidad y vulnerabilidad de los procesos, que

conlleven a una interrupción del negocio; identificamos el core business,

desarrollamos el análisis de impacto de negocio (BIA) que permita analizar las

consecuencias de una ruptura en los componentes del sistema.

Para los demás capítulos identificamos las áreas de trabajo de recuperación, su

infraestructura, los datos críticos, vitales, sensitivos y no críticos para luego

información recaudada y proceder a hacer pruebas al plan donde se apruebe el

correcto funcionamiento del mismo.

recomendaciones de nuestro trabajo es decir, determinar si conviene o no

realizar un BCP, el impacto que provoca el no implementarlo y lo que debería

hacerse para proteger la continuidad del negocio.

TABLA DE CONTENIDO………………………………………… VIII