SGSI · ISO/IEC 27001:2022 — Concordia
Dominio Continuidad y Respaldos
Dos subtemas que se apoyan: respaldos (§5.1 h) sostienen la continuidad (A.5.29/5.30). Bien poblado de documentación — la única pieza nueva es la Política de Copias de Seguridad.
La estructura del dominio respaldos → continuidad
Respaldos · §5.1(h)
Política
Política de Copias de Seguridad
nueva — decidida (resuelve la referencia huérfana)Procedimiento
PRO-GES-BACKUPS
existeRegistro
Evidencia de copias de seguridad
existeA.8.13A.8.14Continuidad · A.5.29 / A.5.30
Planes
PLAN-CONTINUIDAD · PLAN-RECU-DESASTRES
existenRegistros
PRUEBA-CONTINUIDAD · BIA
prueba de restauración + Análisis de Impacto — existenA.5.29A.5.30La Política de Copias de Seguridad gobierna los respaldos y remite a PRO-GES-BACKUPS (el cómo). La continuidad no requiere política propia (no es tema §5.1) — la gobiernan los dos planes + la política madre. Los respaldos son el insumo de la continuidad: sin copias fiables no hay recuperación.
Qué debe abordar la Política de Copias de Seguridad
Alcance
Qué se respalda: sistemas e información crítica dentro del SGSI.
Reglas de respaldo
Tipos (completo/diferencial/incremental), periodicidad, RPO, cifrado de las copias, ubicación y retención.
Restauración
Pruebas periódicas y RTO — evidenciadas en PRUEBA-CONTINUIDAD.
Roles y remisiones
Gerente TI, Encargado de Soporte. Remite a PRO-GES-BACKUPS (procedimiento) y a los planes de continuidad.
Controles del dominio
| Control | Título | Hogar |
|---|---|---|
A.8.13 | Copia de seguridad de la información | Política de Copias de Seguridad + PRO-GES-BACKUPS |
A.8.14 | Redundancia de instalaciones de procesamiento | PRO-GES-BACKUPS |
A.5.29 | Seguridad de la información durante la interrupción | PLAN-CONTINUIDAD · PLAN-RECU-DESASTRES |
A.5.30 | Preparación de las TIC para la continuidad | PLAN-CONTINUIDAD · PLAN-RECU-DESASTRES |
A.8.6 | Gestión de la capacidad | ← absorbido de POL-TEC-OPS TI (retirada) |
📎 Registro de subsunción: absorbe de POL-TEC-OPS TI (RETIRADA) la Gestión de la Capacidad (A.8.6, sección 3.2) — capacidad = disponibilidad. Pila reanclada aquí: sus registros Evidencia de autoscaling y Evidencia de monitoreo y proyección de capacidad (no tiene procedimiento — es política + evidencia). La Gestión del Cambio (A.8.32) + su pila van a Desarrollo. El resto de POL-TEC-OPS ya remitía a otros documentos → POL-TEC-OPS se retira/obsoleta.
Observaciones a corregir de la revisión previa
- PLAN-CONTINUIDAD — infraestructura desactualizada. Describe PlanetScale, Cloudflare y GitHub pese a la migración a AWS. La revisión anual renovó la fecha sin actualizar el contenido crítico.
- Inconsistencia de RPO. El Plan de Continuidad declara RPO de 1 hora; el Plan de Recuperación ante Desastres declara 24 horas. Deben alinearse.
- PRO-GES-BACKUPS — trazabilidad del registro. La v1.1 eliminó del registro la protección aplicada, el lugar de almacenamiento y los responsables; conviene reponer la trazabilidad del respaldo.
- Referencia huérfana resuelta. El procedimiento nombra "la política de respaldo" — que ahora se materializa con esta Política de Copias de Seguridad.