Resolución Nº 290 - Política de Respaldos de Información de la Agencia Ecuatoriana de Aseguramiento de la Calidad del Agro (AGROCALIDAD)

1. Objetivo: magnéticos, con base en las disposiciones técnicas y jurídicas vigentes; Garantizar la continuidad de las operaciones del Que, mediante Acción de Personal No. 290, de 19 de junio negocio para minimizar el impacto por la pérdida del 2012, el señor Javier Ponce Cevallos, Ministro de total o parcial de datos y emplear los recursos Agricultura, Ganadería, Acuacultura y Pesca, nombra informáticos de forma eficiente, mediante la como Director Ejecutivo de AGROCALIDAD, al Ing. implementación de Políticas y Procedimientos para Diego Alfonso Vizcaíno Cabezas; la ejecución de respaldos de información considerada crítica para AGROCALIDAD. Que, mediante Acción de Personal N° 0495085 de 11 de agosto del 2014, el Señor Ing. Diego Alfonso Vizcaíno 2. Introducción: Cabezas designa al Dr. Javier Vargas Estrella como Director Ejecutivo subrogante de la Agencia Ecuatoriana En el mundo actual, dentro del entorno empresarial de Aseguramiento de la Calidad del Agro- la relación entre las áreas del negocio y el área de Registro Oficial Nº 610 Lunes 19 de octubre de 2015 -- 35 tecnología es cada vez más estrecha debido a la 4.2.3. El sitio de custodia de la información deberá alojarse administración de la información. La información es en un lugar seguro y con acceso restringido y, de ser el activo más importante de una organización, la posible, distinto al sitio físico de origen de la data. misma que se incremente con gran velocidad. Existen riesgos a los que están expuestos los 4.2.4. Se debe contar con un sistema que permita la Sistemas de Información, y la infraestructura recuperación de versiones diarias, semanales y informática y de comunicaciones, así como la mensuales de los datos. información generada, procesada, y almacenada por estos sistemas. Es así como nace la necesidad de 4.2.5. Los respaldos deberán ser almacenados en un medio contar con un Plan de Respaldos, que especifique las digital o magnético. políticas y procedimientos que contemplen la ejecución, seguimiento, control de respaldos y 4.2.6. De debe verificar aleatoriamente la integridad de la recuperación de la información. información a respaldar, para evitar el respaldo de información corrupta que no presente beneficio y

3. Propósito: desperdicie recursos. Contar con un Plan de Respaldos y Recuperación de 4.2.7. Se debe validar periódicamente la información que la Información que permita asegurar la reanudación se respalda para garantizar que, en caso de existir del proceso normal del negocio, y su disponibilidad, una falla, los respaldos se pueden recuperar de forma en caso de cualquier interrupción ya sea ocasionada íntegra y en el menor tiempo posible. por un desastre natural, falla tecnológica, error humano; o procesos de cambios controlados, para 4.2.8. El respaldo debe poder ser restaurado en el origen mejoramiento de los sistemas y/o corrección de y/o en otra ubicación determinada. de ser requerido. errores. 4.2.9. El tiempo de retención de un respaldo, debe ser La realización de respaldos en muchas ocasiones no determinado por las necesidades del negocio, recibe la importancia requerida. Es una actividad que normativa y regulaciones. requiere tiempo y recursos necesarios para su adecuada ejecución, considerando que pueden estos 4.2.10. Se debe especificar en forma clara, qué se debe recursos ser utilizados para actividades "más respaldar; cuándo se va a respaldar; y con qué productivas y rentables". Sin embargo, se debe frecuencia se van a realizar los respaldos. considerar la afectación en el caso de la perdida de la información, y/o interrupción de los servicios, así 4.3. Tipos como el costo para retomar las operaciones normales en el menor tiempo posible. 4.3.1. Respaldo completo: copia completa de la Información. Consecuentemente, se busca proveer continuidad a las operaciones y servicios de la institución. 4.3.2. Respaldo incremental: copia de todos los archivos que han sido modificados desde la ejecución del último respaldo de cualquier tipo.

4. Proceso de respaldos y recuperación de información 4.3.3. Respaldo diferencial: copia de todos los archivos modificados desde la ejecución del último respaldo 4.1. Roles dentro del proceso completo. Dentro del proceso de Respaldos y Recuperación, 5. Políticas de respaldos y recuperación de pueden identificarse los siguientes roles: Información 4.1.1. Responsable de seguridad: responsable de verificar 5.1. De los respaldos de información el cumplimiento del plan de respaldos, por parte del custodio de la información, ejecución de pruebas 5.1.1. Se debe efectuar respaldos periódicos de acuerdo a periódicas (máximo cada tres meses) de validación como corresponda: incremental de forma diaria; de recuperación. diferencial de forma semanal; y completo de forma mensual. 4.1.2. Custodio de la información: responsable de la 5.1.2. Todos los archivos de configuración del sistema ejecución, validación, registro, y almacenamiento de operativo de los servidores deberán ser respaldados. los respaldos. 5.1.3. Se debe realizar un “respaldo completo” antes de: 4.2. Características del proceso a. Poner en producción una nueva aplicación, o una 4.2.1. El respaldo debe ejecutarse en forma autónoma sin nueva versión de una ya existente, afectar las actividades de los usuarios. b. Instalar parches o actualización de sistema 4.2.2. El respaldo debe ejecutarme con mecanismos que operativo, y garanticen la integridad, oportunidad y confiabilidad de los datos. c. Ejecutar cambios de archivos de configuración. 36 -- Lunes 19 de octubre de 2015 Registro Oficial Nº 610 5.1.4. Todos los sistemas en producción en Agrocalidad b. Tipo, y deben tener definido, en base a un análisis de sensibilidad de la información, un esquema de c. Nombre respaldos, mismo que se calculará tomando en cuenta: 5.3.3. El sitio de almacenamiento debe cumplir con los estándares ambientales recomendados por el a. Descripción de la información que se requiere fabricante para la conservación de los medios de respaldar, almacenamiento externos. Así mismo, debe contar con medidas de seguridad estrictas en cuanto al b. Ubicación de la información, acceso al lugar de custodia de los medios. c. Impacto en caso de pérdida, y 5.3.4. Se deberá precautelar la disponibilidad de medios de almacenamiento adiciones para los casos emergentes, d. Tiempo de retención de la información. como por ejemplo, en respaldos cuya información ocupe más de un medio de almacenamiento, o en los 5.1.5. Si un respaldo falla, éste deberá ser re-ejecutado casos en los medios de almacenamiento presenten siempre y cuando la tarea de respaldo no interfiera fallas. con las operaciones del negocio. 5.3.5. Los ambientes donde se depositan los medios de 5.1.6. Se dispondrá de los siguientes repositorios para la almacenamiento de la información contarán con ejecución de los respaldos de información adecuadas condiciones de temperatura, humedad, institucional entre otras. Estos ambientes dispondrán de medidas de seguridad físicas adecuadas. a. Servidor de archivos (Agrobox) en los cuales se ejecutarán los procesos y políticas descritas en este 5.3.6. Los ambientes donde se encuentran los medios de documento. almacenamiento serán de acceso restringido, sólo estará autorizado el ingreso al personal responsable b. Carpeta por defecto para documentos (Ej.: de la Seguridad de la Información. D:/Documentos) en el cual se ejecutarán los procesos de respaldos con previa solicitud formal. 5.4. De la auditoría de los respaldos 5.1.7. La información institucional no comprende archivos 5.4.1. La información histórica debe ser información personales como: música, fotos personales, juegos, accesible a auditorías internas o externas y debe ser entre otras. mantenida por el período de retención calculado o definido por la ley. 5.2. De las pruebas de los medios de respaldo 5.4.2. El Responsable de Seguridad será el encargado de 5.2.1. Las pruebas periódicas de los medios de respaldo son auditar el cumplimiento de la presente norma. esenciales para asegurar que las copias de seguridad se encuentren disponibles y puedan ser utilizadas en 5.4.3. Se deberá coordinar con el Custodio de la cualquier momento. Se debe seleccionar un respaldo Información la realización de pruebas periódicas a aleatorio cada tres meses para la pruebas de los medios de respaldo de manera aleatoria e recuperación de la información. independientemente 5.2.2. Se deberá documentar todas las pruebas de respaldo 5.4.4. Se realizarán revisiones periódicas de los registros de realizadas, incluyendo los atributos y resultados de la los sistemas de respaldo con el motivo de asegurar misma. que los procesos de copias de seguridad se realicen y culminen correctamente como han sido programados. 5.2.3. De detectarse algún problema durante las pruebas, se deberán tomar acciones para aislar y responder a 5.4.5. Se realizara revisión del inventario de medios de dicho problema. respaldo en custodia por lo menos una vez al año. 5.3. Del almacenamiento de los respaldos 5.4.6. Se revisara que todo sistema que ya ha sido puesto en producción tenga el adecuado plan de respaldos. 5.3.1. La información generada en los sistemas y la información almacenada en los servidores de 5.4.7. Revisión de Políticas de Respaldo y Retención de archivos centrales deberán ser respaldadas en medios Información Histórica de acuerdo a las necesidades de almacenamiento externos o en el repositorio de del Negocio. respaldos, acorde a la importancia. 5.5. Consideraciones Adicionales: 5.3.2. Los medios de respaldo deben ser fácilmente identificables, por lo que deberán ser debidamente 5.5.1. Tener instalado en los equipos únicamente etiquetados, indicando: el software necesario reduce el riesgo de corrupción de datos, y mantener el control en caso de a. Fecha, recuperación. Registro Oficial Nº 610 Lunes 19 de octubre de 2015 -- 37 5.5.2. Mantener un inventario de software permite asegurar una adecuada reinstalación de aplicaciones en caso de un desastre. 5.5.3. Mantener accesos de lectura a la mayor cantidad de recursos de red, reducir puntos de entrada en la red, establecer los permisos a usuarios acorde a las necesidades del negocio, permite reducir el impacto de propagación de virus y/o ataques externos e internos, que pueden provocar daños en la información.