CMDB, la solución

Llevo una temporada en la que, sin saber muy bien cómo, acabo metido en debates interminables que son más filosóficos que otra cosa. Y uno de los más recurrentes ha sido el relativo a la CMDB.

La CMDB es un concepto que introduce ITIL / ISO 20000 para facilitar la gestión de los servicios IT. Estrictamente, no es más que una base de datos que soporta la gestión de la configuración de los activos IT. El problema viene cuando nos adentramos en el término “configuración”. Qué es exactamente la configuración? Pues todo. Lo primero que se nos viene a la cabeza son atributos como marca, modelo, numero de serie, componentes, software instalado, procesos en ejecución o contenido de los ficheros de configuración. El problema es que la CMDB debe contemplar más que eso. Debe ser capaz de modelizar las relaciones entre activos IT y negocio, y por tanto debe definir la configuración de nuestras redes, servicios e incluso modelo de negocio en relación con los sistemas IT. Y llegados a este punto es donde las CMDBs que actualmente se comercializan empiezan a desbarrar. Es imposible desarrollar estos modelos utilizando como punto único de partida herramientas de inventario, y la capacidad que ofrecen actualmente las CMDBs para configurar un modelo de negocio relacional consistente con estos inventarios es muy limitada. Por no decir que la cohesión automática de ambos mundos es utópica, a día de hoy.

Entonces, por qué afirmo que la CMDB es la solución? Porque una CMDB que respondiera de forma efectiva a las necesidades de modelizar el negocio desde los servicios hasta los activos IT supondría un importante punto de inflexión en la gestión de las organizaciones. Los directores estarían en situación de identificar el grado de dependencia del negocio con los activos IT, los departamentos TIC podrían saber las implicaciones reales que puede tener un cambio de configuración sobre el propio negocio, y a más bajo nivel sería una herramienta ideal para identificar, en caso de caída de un switch departamental, qué procesos de negocio se pueden ver afectados, por poner un ejemplo.

Además, la CMDB es una herramienta básica a la hora de realizar un análisis de riesgos. Porque para realizar un correcto análisis de riesgos, el valor de los activos va a depender de los procesos de negocio que soporten o en los que intervengan, y las amenazas habrá que mitigarlas para todos los activos que participan en los servicios si queremos que los procesos que sustentan el negocio se desarrollen de forma segura. Integrar la CMDB como motor de clasificación de activos en una herramienta de análisis de riesgos sería clave para ser capaces de identificar, de forma automática, cómo un cambio en la configuración de un servidor web, por ejemplo, puede provocar la aparición de nuevos riesgos tecnológicos en nuestro negocio. Lamentablemente, ni las CMDBs son lo suficientemente maduras, ni están suficientemente integradas con las herramientas de análisis de riesgos. Pero no desesperemos; se ve luz al final del túnel. La herramienta de análisis de riesgos EAR / PILAR, aunque no desarrolla completamente este concepto, ya implementa un modelo relacional como punto de partida para el análisis de riesgos. Y tarde o temprano los fabricantes de CMDBs se darán cuenta de que las amenazas a las que está sujeto un activo pueden constituir un ítem de configuración tan válido como un número de factura o el coste económico de dicho activo. Además, así descubrirán que incluso se puede reintroducir la gestión de la seguridad en los procesos de ITIL, a través de las herramientas que venden como ITIL-Compliance…

Habemus reglamento?

Ayer publicaban en VNUnet una noticia esperanzadora, en términos de LOPD. Por boca del actual ministro de justicia, Juan Fernando López Aguilar, el nuevo reglamento de medidas de seguridad para la LOPD se aprobará “en el actual periodo de sesiones del Parlamento”. Es cierto que es un margen de tiempo amplio, y que su sustitución al frente de la cartera de Justicia disminuye la fiabilidad que debería tener dicho compromiso, pero al menos es la primera vez que se habla de plazos de aprobación desde fuentes ministeriales. De todos modos, en Terra se hacen eco de la misma noticia, y aunque en este caso el compromiso es del Gobierno, el plazo citado es “esta legislatura”. Y de fondo, la pregunta que me planteo es: ¿Si la noticia es la misma, cómo se produce esa divergencia? No parten del mismo comunicado de prensa? De la misma entrevista? A ver si va a resultar que la fiabilidad de la información suministrada no es suficiente… ¿Falta seguridad de la información?

Tendencias para 2007

Martín Pérez publicó el pasado 23 de Enero un interesante post en el que se hacía eco de las opiniones de Hitachi Data Systems sobre tendencias para el 2007. Me gustaría comentar algunas de ellas, dado su especial interés dentro de la materia tratada en este blog:

• Aumenta la presión por ajustar TI y Negocios: Parece evidente que esta es una tendencia creciente en los últimos tiempos. De hecho, la aparición y consolidación de referencias como ITIL, ISO 20000 o CMMI for Services no hacen más que ratificar esa tendencia. Y es algo obvio, si tenemos en cuenta la creciente dependencia que presentan las empresas en relación a su área TIC y la necesidad de justificar y optimizar las inversiones realizadas en esta materia.
• Continuidad de Negocio: Era de esperar la inclusión de este apartado, sobre todo si tenemos en cuenta el creciente número de desastres naturales (y otros de origen humano) que se han venido sufriendo a lo largo de todo el mundo durante el año pasado. Pero no sólo este es un factor clave, ya que los planes de continuidad de negocio provocan un significativo aumento de la sensación de seguridad en términos de negocio en muchos directivos. Y si la organización se lo puede permitir, este factor subjetivo ayuda enormemente a la consolidación de esta tendencia.
• Aumento de las normativas: Es previsible que en una sociedad empresarialmente madura surjan preocupaciones sobre el modo de mantener la relativa tranquilidad que impera actualmente. Y una de las técnicas más tranquilizadoras consiste en establecer normativas y regulaciones que ayuden a que, en términos de mínimos, todo siga tal y como está ahora. Aunque me gustaría añadir que no sólo desde el imperativo legal, sino desde un mercado que exige crecientes garantías y al que las distintas certificaciones parecen satisfacer.
• La Gestión del Ciclo de Vida de la Información (ILM) se convertirá en un concepto reiterativo: La sociedad de la información cada vez lo es más, y esta creciente dependencia de la información (que no los datos) ha provocado la aparición de filosofías que buscan su óptima gestión. Y si las combinamos con una gestión de su seguridad, en términos amplios, nos encontramos con dos mundos que terminarán tarde o temprano por converger…
• Aumentan los hosts de seguridad: De la mano de la creciente preocupación por la seguridad informática, y respaldado por el impulso de los fabricantes de sistemas de seguridad, es previsible que este aumento se mantenga a corto y medio plazo. El problema es que este aumento, aunque parezca mentira, no conlleva una disminución equivalente de la sensación de inseguridad que provoca la compra de estos aparatos. ¿Conseguirán los fabricantes dar con la clave? O es que los hosts de seguridad no son suficiente? Falta quizás algo de gestión?

Como se puede ver, ciertas tendencias en el mundo IT parecen encajar con la temática de este blog. Gestión de la seguridad, continuidad de negocio, gestión de servicios IT… ¿Querrá decir que el número de lectores seguirá aumentando con el paso del tiempo? Esperemos que sí! Es toda una satisfacción ver cómo las visitas van aumentando con el paso del tiempo.

El valor de los datos personales

Es curioso observar cómo el valor que se da a los datos personales varía enormemente en función de los datos en cuestión y quién los valore.

Hoy en DiarioTI publican una noticia interesante. Un sitio web estadounidense publica un servicio que permite, al introducir un número de tarjeta de crédito o una identidad, verificar si está siendo utilizado de forma fraudulenta en Internet. Evidentemente, la utilidad del servicio es clara, pero el uso que se da a los datos personales es, cuando menos, cuestionable. Y no sólo por el peligro que entraña la difusión de esos datos si la web es crackeada, sino por el propio uso que dicho servicio hace de esos datos. Su recopilación ya es algo cuestionable (para qué se pueden utilizar esos datos?), pero es que si lo miramos desde nuestra LOPD el propio servicio deja de tener sentido (debido al deber de información, nadie tendría que consultar la web para conocer si sus datos están ahí).

De todas formas, este artículo me lleva a una reflexión sobre el valor que se da a los datos personales. En este caso se les otorga un elevado valor tanto por parte de la organización, que ofrece el servicio, como por parte de los usuarios (que se supone que lo utilizarán). E incluso los críticos también los consideran importantes, aunque sea desde el punto de vista del uso que la compañía pueda hacer de ellos. Pero qué valor real les da la compañía?

Si pruebas el servicio, te das cuenta de que en realidad es un reclamo para recabar tus datos completos, a cambio de un "Free StolenID Monitor". En realidad, la compañía ofrece una aplicación, y se dedica a recopilar y organizar una enorme base de datos de tarjetas usadas de forma fraudulenta, con el objetivo final de recabar más datos personales. Y esto no es más que otro caso, porque seguro que todos conocemos un montón de campañas comerciales que te regalan productos, descuentos, y todo tipo de promesas a cambio de que les des tus datos personales completos.

Lo más llamativo de todo ésto es que los usuarios parecemos no darle demasiada importancia a ceder estos datos. En mayor o menor medida, todo el mundo está dispuesto a cederlos a cambio de los "regalos" sin mayor problema. Es curioso ver cómo el público en general damos tan poca importancia a ceder nuestros datos, mientras que las compañías les dan un valor tan alto que están dispuestas a "comprarlos" a precios de regalos de importante cuantía económica, en algunos casos. Parece existir una importante excepción, y es la referente a datos personales de carácter económico (números de cuentas, de tarjetas, ...), que aunque la ley los identifica en muchos casos como de nivel bajo, la mayor parte del público en general no está dispuesta a cederlos ni siquiera para realizar compras a través de Internet en sitios de reconocida reputación. Al final, parece que el dinero tiene en muchos casos más importancia que cualquier otro tema. Aunque muchas empresas no vean tantas diferencias...

Sistemas de Gestión: Parecidos y diferencias

Con la proliferación de diversas normas que regulan los sistemas de gestión en distintos ámbitos, en muchas ocasiones aparecen dudas sobre el contenido de cada uno de ellos. La intención de este pequeño gráfico es indicar, a grandes rasgos, sus parecidos y diferencias más importantes.

Entre los parecidos principales, todas ellas definen sistemas de gestión, y como tal definen unas actividades básicos que se tienen que desarrollar: gestión de la documentación, revisión, auditoría, gestión de incidencias, gestión de no conformidades, acciones preventivas y correctivas, ... En definitiva, todas las actividades que garantizan el cumplimiento adecuado del ciclo PDCA en el que se basan.

A partir de ahí, aparecen las diferencias. El Sistema de Gestión de la Calidad (SGC) que define la ISO 9001 cubre a priori toda la organización, exige la definición de procesos y se centra principalmente en la satisfacción del cliente. No tiene aportaciones específicas para el área TIC, aparte de los requisitos generales que se deben cumplir, y regula desde aspectos estratégicos hasta aspectos tácticos y operativos.

Por su parte, el SGSI definido por la ISO 27001 combina la satisfacción de los requisitos del cliente en materia de seguridad con los de la propia compañía. Define una serie de requisitos de seguridad a cumplir, unos a nivel general y otros específicos para el área TIC, aunque su ámbito de aplicación sea a priori toda la organización, desde el apartado estratégico hasta el operativo. Muchos de sus requisitos coinciden con los exigidos por un SGC, tal y como se puede observar en los anexos de la propia norma, e incluso su alcance se define en base a procesos.

El Sistema de Gestión de la Continuidad del Negocio (SGCN) que especifica la BS 25999 se centra de forma exclusiva en una dimensión de la seguridad, como es la disponibilidad, principalmente desde un punto de vista de exigencia propia de la organización. Sin embargo, su ámbito de actuación va más allá del exigido por el SGSI en materia de continuidad, y exige la definición específica de una serie de medidas que garanticen en la práctica la continuidad del negocio a nivel global. Los requisitos para el área TIC son grandes, pero también exige que se contemple la continuidad de la actividad desarrollada por el resto de las áreas de forma independiente a ella.

Por su parte, el Sistema de Gestión de los Servicios TIC (SGSTIC) que define la ISO 20000 se centra exclusivamente en la gestión de este área, aunque en ella contempla desde los aspectos estratégicos hasta los operativos. Amplia los requisitos que en materia de definición de procesos realiza la ISO 9001, identificando los que deben desarrollarse en dicho área, y desarrolla de forma más extensa los requisitos de seguridad contemplados en la ISO 27001, estableciendo procesos para lo que antes sólo se definian controles. Además, contempla muchos de los requisitos que la BS 25999 establece para el área TIC en materia de continuidad, aunque evidentemente su marco de actuación se restringe exclusivamente a dicho área.

En definitiva, estamos ante normas con muchos elementos en común, aunque con ámbitos de aplicación específicos y diferenciados. No obstante, una adecuada definición de los alcances en los que se aplica cada una de ellas nos va a permitir acotar los esfuerzos de implantación y aprovechar todas las coincidencias y sinergias que puedan surgir entre ellas, de modo que el desarrollo de un sistema de gestión integrado certificable contra todas ellas sea no sólo una utopía sino una realidad alcanzable si dedicamos los esfuerzos necesarios de forma adecuada. Pero ojo! Que conste que estos esfuerzos necesarios pueden ser importantes...

Nuevo año, nuevas ilusiones

Hola a todos!

Antes de nada, pedir disculpas por haber tenido el blog desatendido durante tanto tiempo. Entre las vacaciones, un comienzo de año muy ajetreado laboralmente hablando, y un ADSL que ha tardado 4 meses en llegar, la verdad es que no he sabido sacar tiempo para el blog. Pero mi intención es seguir, en la medida de lo posible, con el mismo ritmo de publicación del año pasado.

En cuanto al propio blog, como dice el título, lo retomo con nuevas ilusiones. Tengo pendientes algunos cambios de imagen, completar y depurar el apartado de etiquetas... De momento, parece que el feed RSS de blogger funciona bastante bien. Algo es algo! Y a partir de ahora, lo que toca es escribir, que lo más duro siempre es ponerse manos a la obra. Y ya veremos como va saliendo...

Saludos a todos,

Joseba