CMDB, la solución

Llevo una temporada en la que, sin saber muy bien cómo, acabo metido en debates interminables que son más filosóficos que otra cosa. Y uno de los más recurrentes ha sido el relativo a la CMDB.

La CMDB es un concepto que introduce ITIL / ISO 20000 para facilitar la gestión de los servicios IT. Estrictamente, no es más que una base de datos que soporta la gestión de la configuración de los activos IT. El problema viene cuando nos adentramos en el término “configuración”. Qué es exactamente la configuración? Pues todo. Lo primero que se nos viene a la cabeza son atributos como marca, modelo, numero de serie, componentes, software instalado, procesos en ejecución o contenido de los ficheros de configuración. El problema es que la CMDB debe contemplar más que eso. Debe ser capaz de modelizar las relaciones entre activos IT y negocio, y por tanto debe definir la configuración de nuestras redes, servicios e incluso modelo de negocio en relación con los sistemas IT. Y llegados a este punto es donde las CMDBs que actualmente se comercializan empiezan a desbarrar. Es imposible desarrollar estos modelos utilizando como punto único de partida herramientas de inventario, y la capacidad que ofrecen actualmente las CMDBs para configurar un modelo de negocio relacional consistente con estos inventarios es muy limitada. Por no decir que la cohesión automática de ambos mundos es utópica, a día de hoy.

Entonces, por qué afirmo que la CMDB es la solución? Porque una CMDB que respondiera de forma efectiva a las necesidades de modelizar el negocio desde los servicios hasta los activos IT supondría un importante punto de inflexión en la gestión de las organizaciones. Los directores estarían en situación de identificar el grado de dependencia del negocio con los activos IT, los departamentos TIC podrían saber las implicaciones reales que puede tener un cambio de configuración sobre el propio negocio, y a más bajo nivel sería una herramienta ideal para identificar, en caso de caída de un switch departamental, qué procesos de negocio se pueden ver afectados, por poner un ejemplo.

Además, la CMDB es una herramienta básica a la hora de realizar un análisis de riesgos. Porque para realizar un correcto análisis de riesgos, el valor de los activos va a depender de los procesos de negocio que soporten o en los que intervengan, y las amenazas habrá que mitigarlas para todos los activos que participan en los servicios si queremos que los procesos que sustentan el negocio se desarrollen de forma segura. Integrar la CMDB como motor de clasificación de activos en una herramienta de análisis de riesgos sería clave para ser capaces de identificar, de forma automática, cómo un cambio en la configuración de un servidor web, por ejemplo, puede provocar la aparición de nuevos riesgos tecnológicos en nuestro negocio. Lamentablemente, ni las CMDBs son lo suficientemente maduras, ni están suficientemente integradas con las herramientas de análisis de riesgos. Pero no desesperemos; se ve luz al final del túnel. La herramienta de análisis de riesgos EAR / PILAR, aunque no desarrolla completamente este concepto, ya implementa un modelo relacional como punto de partida para el análisis de riesgos. Y tarde o temprano los fabricantes de CMDBs se darán cuenta de que las amenazas a las que está sujeto un activo pueden constituir un ítem de configuración tan válido como un número de factura o el coste económico de dicho activo. Además, así descubrirán que incluso se puede reintroducir la gestión de la seguridad en los procesos de ITIL, a través de las herramientas que venden como ITIL-Compliance…