ENS, ENI y sociedades públicas

A estas alturas no creo que ninguno de los lectores de este blog desconozca la Ley 11/2007 (LAECSP) ni los Reales Decretos que se derivan de ella (ENS y ENI, respectivamente). Pero sí que me gustaría abordar una cuestión sobre la que muchos pasan de puntillas, pero que me parece muy importante: ¿Aplican estas regulaciones a las sociedades públicas?

Uno de los análisis "oficiales" más profundos que conozco respecto de la aplicabilidad del ENS es el realizado por el CCN en sus FAQ. En ellas viene a decir que, en el ámbito de las sociedades públicas, cada caso es diferente y que hay que analizarlos uno por uno. Sin embargo (y disculpad mi osadía, supongo que se debe a que no soy jurista), yo tengo la sensación de que hay muchas similitudes entre ellas, y que se pueden establecer algunas pautas generales.

En general, yo soy de la opinión de que TODAS las sociedades públicas DEBEN CUMPLIR con el ENS/ENI. Al menos, en parte de sus servicios. Me explico.

Hasta donde yo sé (y espero que si hay algún jurista que lea esto y detecte algún error, me lo notifique), todas las sociedades públicas están sujetas al régimen de licitación pública. Y ese régimen entiendo que es un derecho de los ciudadanos y/o un deber de las administraciones públicas. Por lo tanto, debería ser accesible electrónicamente según la Ley 11/2007 (de hecho, la mayoría de las sociedades públicas tienen un "perfil del contratante" en Internet)... y por consiguiente, debería cumplir con el ENS y el ENI. Al menos, el servicio de licitaciones públicas debería hacerlo.

Por otro lado, entiendo que cualquier sociedad pública cuyos servicios impliquen la concesión de becas, subvenciones y/o ayudas económicas utilizando dinero público también realiza esa concesión de dinero en régimen de derecho público... y de nuevo dicho servicio de concesión de ayudas debería estar sujeta a la LAECSP y por tanto al ENS y al ENI.

En definitiva, creo que hay una gran cantidad de sociedades públicas cuyos servicios se prestan en régimen de derecho público y que implican la interacción con los ciudadanos y el ejercicio de derechos y/o deberes. Y lo que me parece destacable es que, hasta donde yo sé, tengo la sensación de que el sector está pasando de puntillas sobre este hecho... dejando pasar oportunidades de negocio y dejando sin las garantías asociadas a dicho cumplimiento legal a los ciudadanos que utilizan dichos servicios.

ISO 27000, la familia crece

En este último par de meses han visto la luz algunas nuevas normas de la familia ISO 27000 (la serie de normas relacionadas con la seguridad de la información). En concreto, me parece muy destacable la publicación de:

• ISO/IEC 27007:2011: Guía para realizar auditorías de SGSIs, publicada el mes pasado.
• ISO/IEC TR 27008:2011: Guía técnica para auditar controles de seguridad de la información, publicada en Octubre.

En conjunto, me parecen un complemento muy interesante para realizar auditorías de sistemas de gestión basados en ISO 27001, ya que incorporan matices específicos en torno a la seguridad de la información y constituyen una guía sobre cómo realizar una auditoría de seguridad completa (sistema de gestión + controles). Eso sí, que nadie espere encontrar en ellos un checklist de verificaciones ni nada similar, ya que este tipo de estándares son metodologías, no guia-burros.

Y si crece la familia de normas de seguridad de la información, también lo hace el número de empresas certificadas en ISO 27001 a nivel mundial. Según el extracto de prensa del último ISO Survey, con datos de 2010, la certificación ISO 27001 ha crecido un 21%, alcanzándose los 15625 certificados mundiales en 117 países.

En definitiva, parece que la seguridad de la información no sufre la crisis... al menos, con datos de 2010.

Procesos y actividades

Con los conceptos aparentemente más sencillos suelen surgir las dudas filosóficas más profundas. Uno de estos casos, siempre recurrente, es el asociado al concepto de proceso.

En sí mismo, un proceso no es más que un conjunto de actividades realizadas de manera coordinada para conseguir un fin. En términos de organización empresarial, además, consideramos que ese conjunto de actividades se realiza para transformar una serie de entradas (inputs) en algo diferente, las salidas (outputs), aportando un valor añadido en dicha transformación (el fin buscado). Parece sencillo, verdad?

Las dudas surgen habitualmente al hablar del "tamaño" del proceso. ¿Cuál es el número mínimo de actividades que hay que "agrupar" para hablar de proceso? ¿Y qué ocurre cuando hablamos de sub-procesos? No obstante, cuando los pilares del concepto se empiezan a tambalear es cuando nos damos cuenta de las implicaciones existentes en función del "tipo de salidas" que produce, que pueden ser tanto productos como servicios. Y por si fuera poco, a alguien se le ocurre meter en este poutpurri el concepto de procedimiento, para terminar de liar las cosas...

Pero si lo pensamos bien, veremos que el tema tampoco es tan complejo:

• Un procedimiento es la forma de hacer algo. Lo más habitual es que sea un documento donde se explica cómo se hace algo. Y ése algo puede ser tanto una única actividad (apretar una tuerca) como un proceso completo (por ejemplo, montar una mesa). Por lo tanto, es un elemento "colateral" a cualquier actividad o conjunto de actividades.
• La diferencia entre actividad y sub-proceso y proceso es más sutil, ya que radica en el concepto de "valor añadido". Por poner un ejemplo, montar un coche puede ser un proceso, considerando que uno de sus sub-procesos puede ser montar el motor, ya que también aporta un valor añadido concreto, aunque menor. Una pista suele ser que el resultado (output) de cualquier sub-proceso es algo concreto, identificable de forma individual. Otra pista puede ser que las personas y/o los recursos que se utilizan para realizar cada sub-proceso son diferentes. Otra más sería que en el punto en el que se produce la salida de un sub-proceso se realiza una verificación de su resultado, ya que su correcta o incorrecta realización depende de ese sub-proceso en cuestión. Pero quizás la definición más elegante pueda ser que un conjunto de actividades sólo puede tener entidad de sub-proceso si la gestión requerida por el hecho de serlo genera menos carga que el valor que aporta en su conjunto. En cualquier caso, es el concepto más subjetivo de todos.
• La relación entre procesos, servicios y productos es sencilla: la salida de cualquier proceso siempre va a ser un producto o servicio (o al menos parte de él). Por tanto, puede haber procesos "materiales" (la salida es un producto) e "inmateriales" (la salida es un servicio). Pero no los confundamos, sobre todo en este último caso: las actividades son el proceso, los resultados de esas actividades son el servicio.
• Y por último, no olvidemos la cantidad de parámetros que podemos encontrar en un proceso:
• Objetivos (fin del proceso)
• Condicionantes (exigencias que afectan al proceso: propias, de clientes, legales, etc.)
• Entradas
• Actividades que lo componen
• Recursos (materiales y humanos)
• Registros (resultados parciales de las actividades)
• Salidas (resultados del proceso completo)
• Indicadores (parámetros que permiten medir el funcionamiento del proceso)

¿Ahora está más claro? Espero que el post haya sido de ayuda...

Continuidad preventiva

Es curioso ver que, en un mundo que cada vez avanza más deprisa, hay ciertos temas que parecen atemporales, como si el paso del tiempo estuviera detenido para ellos. Y lo más llamativo es que sólo la periódica aparición de deja-vus te recuerda que todo sigue igual, que el mundo parece no haber evolucionado nada en ese ámbito.

Uno de estos temas es el relacionado con la continuidad de negocio. O mejor dicho, con la forma de abordar la continuidad del negocio por parte del sector de la consultoría. Echando la vista atrás, hace más de 4 años que en este mismo blog criticaba la visión reactiva de la continuidad que tienen algunos autores. Y hoy es el día que me encuentro con un estupendo artículo titulado Gestión integral de crisis: La nueva Continuidad de Negocio que, escrito el pasado mes, viene a decir prácticamente lo mismo. ¿Qué estamos haciendo mal? ¿Por qué no hemos evolucionado nada en estos últimos 5 años?

De todos modos, este caso me parece especialmente hiriente, ya que ni siquiera hemos hecho caso a la sabiduría popular, que desde tiempos inmemoriales incluye en el refranero el máximo exponente de esta filosofía: "más vale prevenir que curar". ¿Por qué no somos capaces de incorporar el conocimiento histórico adquirido en las "nuevas" filosofías de gestión?

A partir de ahora, además, se abre un nuevo campo en el que aplicar la filosofía de la continuidad: la protección de las infraestructuras críticas. Quizás no sea nuevo en el fondo, pero sí que se ha renovado en la forma, en cómo encarar el problema, en cómo gestionarlo. ¿Seremos capaces de aplicar por fín la filosofía preventiva a la continuidad de estas infraestructuras? ¿Nos obligará su singularidad (son críticas por definición) o el coste de las medidas reactivas a cambiar la forma de afrontar este ámbito de la continuidad? ¿O no seremos capaces de aprender de nuestros errores? Espero que en esta ocasión aprendamos... por el bien de todos.

Seguridad multimedia

Todo evoluciona. Incluso la seguridad de la información, un tema que, seamos sinceros, no es especialmente interesante para el público en general, se puede hacer más atractivo y cercano con el correspondiente "toque multimedia". Y como a mí no se me dan demasiado bien esas herramientas, prefiero dejaros un par de referencias multimedia sobre seguridad de la información de dos reconocidos actores del sector.

La primera de ellas es un webinar sobre la implantación de un SGSI basado en ISO 27001, gratuito, impartido por Dejan Kosutic, en el que se va a profundizar en las similitudes, diferencias y convergencias entre la ISO 27001 y la ISO 9001. El único inconveniente para los hispano-hablantes es que el webinar se imparte en inglés, aunque no creo que a la mayoría les deba suponer demasiado problema en un sector en el que el spanglish es casi una obligación...

La segunda referencia es la intypedia, y en particular la última lección publicada hasta el momento, sobre el análisis y gestión de riesgos. Un complemento perfecto al webinar anterior que se centra en el núcleo del análisis de riesgos, y que cuenta con el guión de un reconocido experto en la materia como es Jose A. Mañas.

En definitiva, una forma más amena de acercarse al mundo de la seguridad, por si la versión "clásica" en modo texto no nos gusta demasiado...

Y ya que hablamos de contenido multimedia, no puedo dejar de referenciar las ponencias de ENISE, cuyos vídeos ya están disponibles. Espero que las disfrutéis...

ITIL en la vida cotidiana

Aunque a veces no nos damos cuenta, el mundo de la gestión TIC es muy pequeño. Para el común de los mortales, completamente desconocido. Pero además es un mundo muy endogámico, del que muchas veces nos cuesta trabajo salir.

Por eso, hoy quiero plantear una simple propuesta: ¿Cuántos servicios utilizáis en vuestra vida cotidiana, en vuestro día a día? ¿Os habéis planteado alguna vez cómo sería su gestión siguiendo las directrices de ITIL / ISO 20000?

Pensemos en la sanidad. Cuando nos ponemos enfermos... no tenemos, en realidad, una incidencia? ¿Qué pasaría si la atención primaria fuese nuestro CAU? Os imagináis a un médico de cabecera, al que le hayan asignado nuestra "incidencia", haciendo el seguimiento de nuestro tatamiento de principio a fin? Quizás podría mejorar el servicio prestado, aunque... qué os parece eso de no tener un médico de cabecera asignado, sino un pool de médicos atendiendo? Pero si seguimos un poco más allá... ¿Podríamos ver las operaciones de quirófano como un cambio/entrega? ¿Os gustaría que la sanidad tuviese una CMDB en la que cada uno de nosotros fuera un elemento de configuración? Y para rizar el rizo... ¿En qué consitiría el proceso de relaciones con el negocio (con los clientes)? ¿Realmente la sanidad se preocuparía por nuestra satisfacción real?

Pensemos en la administración pública. Cuando solicitamos un padrón (o una subvención), o cuando renovamos un DNI... ¿No estamos realizando, en el fondo, una petición de servicio? ¿No sería genial que existiera un punto único de interlocución con el que pudiésemos tramitar, de princpio a fin, todas nuestras necesidades? Y si hubiera que interactuar con otras administraciones públicas... ¿No debería ser el propio proceso de gestión de suministradores de nuestra administración pública quien se encargase de esos trámites? ¿Os imagináis que existiera un SLA con la administración pública contra el que pudiésemos reclamar? ¿O que pudiésemos recibir informes sobre los servicios que hemos utilizado?

Estos son sólo dos ejemplos de cómo se pueden aplicar los principios de la gestión de servicios TIC a cualquier clase de servicios. En el fondo, cualquier servicio, sea o no sea TIC, tiene una capacidad, seguridad o disponibilidad determinada, y podremos mejorarlo si gestionamos estos aspectos adecuadamente. Por suerte o por desgracia, la tecnología es compleja, y hemos tenido que desarrollar sistemáticas elaboradas para poder gestionarla mejor. ¿Por qué no hacemos uso de esas sistemáticas para gestionar servicios cuyo nivel de complejidad también sea elevado? La nueva versión de la ISO 20000 ya ha dado ese paso, librándose de la "coletilla" TIC... ¿Por qué no lo hacemos también nosotros?