Publicada ISO/IEC 27013:2012 - Integración de ISO 20000 e ISO 27001

Esta semana se ha publicado la nueva norma ISO/IEC 27013:2012, una guía de implementación integrada de un SGSI (Sistema de Gestión de Seguridad de la Información) y de un SGS (Sistema de Gestión de Servicios) según las normas ISO 27001 e ISO 20000, respectivamente.

La norma sirve tanto para integrar ambos sistemas de gestión cuando ambos ya existen como para implementar uno de ellos aprovechando la existencia del otro, e incluso para la implementación inicial conjunta de ambos. Una herramienta bastante útil para organizaciones que quieren buscar la eficiencia y eficacia de la integración de ambos sistemas de gestión...

Nos vemos en ENISE 6

El próximo martes 23 y miércoles 24 de Octubre de 2012 se celebra en León la sexta edición de ENISE, el encuentro internacional de seguridad de la información que organiza anualmente INTECO bajo el lema "La Ciberseguridad, un elemento clave para el futuro de nuestra sociedad".

Un año más estaré presente en representación de la empresa en la que trabajo, Nextel, participando en el taller T12 - Retos de ciberseguridad en la modernización de la Administración con la presentación Aprovechando oportunidades, cloud en la e-Administración. En ella contaré cómo muchas Administraciones Públicas están planteándose utilizar los servicios que ofrece el Cloud Computing como una forma de optimizar su inversión TIC, sin ser conscientes de las dificultades legales y prácticas que puede suponer el uso de estos servicios. A lo largo de la ponencia analizaré algunas de estas dificultades y presentaré posibles soluciones a ellas, para cuestionar en última instancia si estas soluciones permiten hacer uso de todos los beneficios teóricos que ofrece el Cloud Computing.

Por la tarde, como no podía ser de otra manera, también asistiré al taller T14 - Encuentro de blogueros de seguridad 2012. En este caso no participaré como ponente, aunque por supuesto estaré entre el público, tratando de aportar mi granito de arena como autor de este blog y colaborador del blog de seguridad de INTECO. 

Y por la noche... mi intención es disfrutar del excelente turismo gastronómico que se puede practicar por el barrio húmedo. De modo que si a alguno le apetece disfrutar de unas cervezas en compañía, ya sabe dónde puede encontrarme!   ;-)

Faldas y privacidad

Basta con salir un sábado por la noche para darse cuenta de que la longitud de las faldas que llevan las jóvenes (y no tan jóvenes) no se parece en absoluto a la de hace 10 ó 15 años. De hecho, si echamos la vista atrás podremos observar cómo en los últimos 100 años la cantidad de tela que cubría los cuerpos femeninos no ha hecho sino disminuir progresivamente. Durante el último siglo, la madre (ya no digamos la abuela) riñendo a la hija por la longitud de la falda ha sido un tópico repetido generación tras generación.

Lo que a veces no nos paramos a pensar es en lo que hay detrás de ese tópico. Y no estoy hablando de la teoría económica de la longitud de las faldas, sino de los motivos que llevan a las madres a insistir a sus hijas en que se tapen más. Sencillamente, consideran que están exponiendo demasiado su intimidad, al menos más de la que ellas consideran aceptable. Olvidando, por cierto, que ellas mismas hicieron lo mismo en su juventud...

En definitiva, creo que es evidente que cada generación tiende a mostrar en público más aspectos íntimos que la generación anterior. Las faldas, escotes o trajes de baño no son sino una representación muy gráfica de este hecho. Y la aparición de las redes sociales no ha hecho más que trasladar esta realidad al ciberespacio.

Mientras unos pocos (generalmente en la edad adulta) nos empeñamos en que las redes sociales implementen mayores medidas de privacidad, vemos escandalizados cómo las nuevas generaciones (nativos digitales, no lo olvidemos) no se preocupan por la cantidad de información íntima que publican en ellas. Y observamos cómo, incomprensiblemente para nosotros, no hacen prácticamente uso de las opciones de privacidad ni siquiera cuando saben que existen. Olvidando que no hacen sino trasladar a su realidad cotidiana los mismos principios que nosotros, en nuestra juventud, aplicamos a la nuestra: lucir un poco más de palmito tratando de conseguir un poco más de atención e interés por parte de los jóvenes del sexo opuesto de nuestro entorno. Al fin y al cabo, las únicas diferencias son que nuestro entorno físico era mucho más reducido que el suyo virtual, y que las posibilidades de "parecer interesantes" que tienen ellos van mucho más allá de los centímetros cuadrados de piel que estén dispuestos a enseñar.

Bajo ese punto de vista, creo que las estrategias que utilizamos para inculcar principios de privacidad entre las nuevas generaciones no son las más eficaces. Insistimos una y otra vez en que conozcan las opciones de privacidad que existen, en que sean conscientes de los peligros que acechan... ¿Acaso el clásico dicho de que "hay mucho violador suelto" ha amedrentado alguna vez a una joven para cambiar su indumentaria por una más "recatada"?

Me temo que la única estrategia que a medio plazo puede servir para tratar de inculcar una cierta preocupación por la privacidad en las nuevas generaciones es la de fijar el umbral mínimo socialmente aceptable. Lo mismo que una joven nunca estaría dispuesta a salir a la calle "vestida como una p..." (ojo, bajo su criterio, no bajo el de su madre), creo que nuestra aspiración debería ser la de definir ese nivel de privacidad mínimo que "una persona decente" no debería superar. Con la dificultad añadida no sólo de definir ese nivel (que siempre va a ser menor que el que nos gustaría), sino de lograr asociarlo a una figura "socialmente rechazable", como en el caso anterior. Y mientras tanto, resignarnos a ver cómo los jóvenes de hoy en día están dispuestos a enseñar a todo el mundo partes de sí mismos que a nosotros nos parecen íntimas y personales. Al fin y al cabo... no ha sido siempre así?

El dilema de la calidad: ¿Real Madrid o Athletic de Bilbao?

Ahora que todos estamos volviendo a la dura rutina post-vacacional, espero que un post más "polémico" de lo habitual sirva para ir calentando motores... Y para que la vuelta al trabajo se haga más llevadera. Así que hoy he decidido hablar del concepto de calidad con un par de ejemplos futboleros. A ver si consigo que algún "hincha" entre al trapo...

Por un lado, la calidad debería ser algo sencillo de entender. Al fin y al cabo, todos tenemos más o menos claro cuándo algo es bueno, no? En este caso, cuándo un equipo hace "buen fútbol"... Por éso se me ha ocurrido como ejemplo el Athletic de Bilbao, un equipo del que prácticamente todo el mundo coincide en decir que la temporada pasada hizo muy buen fútbol. ¿Si su producto es bueno, es un equipo "de buena calidad"?

Sin embargo, los estudiosos de la calidad no están del todo de acuerdo con el planteamiento anterior, y muchos defienden que calidad consiste en satisfacer al cliente, en darle lo que quiere (incluso aunque no sepa que lo quiere). Si entendemos que el cliente de un equipo de fútbol son sus hinchas (no quiero entrar en el debate de cliente Vs sociedad, dos grupos de interés muy importantes para una sociedad deportiva)... ¿Qué es lo que quieren? Buen juego sí, pero sobre todo victorias y títulos. Y aquí es donde entra el ejemplo del Real Madrid.

Prácticamente todo el mundo coincide en que el Real Madrid no ha destacado la temporada pasada por su buen juego. Sin embargo, fue el equipo que más partidos ganó, y además consiguió un título. El Athletic de Bilbao, sin embargo, no consiguió ni la mitad de victorias que el Real Madrid, y tampoco logró ningún título, pese a alcanzar dos finales. ¿Podemos decir, por tanto, que el el Real Madrid es un equipo "de buena calidad"?

Obviamente, todo es matizable. Al fin y al cabo, el Athletic de Bilbao llegó a dos finales, y el juego del Real Madrid no era desastroso, ni mucho menos. Si preferís, vamos a poner dos ejemplos más clásicos y diferenciados: la selección italiana del catenaccio y los títulos frente a la selección española del toque y la eliminación en cuartos.

Y la pregunta es la siguiente: ¿Con qué definición de calidad te quedas? ¿Qué opción prefieres? ¿Athletic de Bilbao o Real Madrid? ¿La Italia histórica o la España histórica? A ver quién se atreve a mojarse y no opta por la respuesta fácil de elegir al FC Barcelona o al Brasil histórico...

ISO 20000, camino a la excelencia

Seguro que a estas alturas todos los lectores del blog conocen la ISO 20000. Pero puede que no conozcan demasiado los modelos de excelencia empresarial (también conocida como excelencia en la gestión, o a veces Calidad Total). Son modelos de gestión que tratan de ir más allá de la gestión de la calidad clásica, entendida como "bondad" de los productos o servicios. Su objetivo es que las empresas sean "buenas" (tengan calidad) en todos los sentidos: en el aspecto productivo, en la gestión de su personal, en el papel de la empresa respecto de la sociedad, en los resultados que obtiene, ... Para ello, plantean un modelo ideal (prácticamente utópico) de empresa excelente, y tratan de medir el grado de aproximación de las empresas a ese modelo de referencia.

El modelo de excelencia adoptado a nivel europeo es el modelo EFQM. Sin embargo, cada región tiene el suyo: Iberoamérica tiene el Modelo Iberoamericano de Excelencia en la Gestión, Estados Unidos el Malcolm Baldrige... No obstante, todos son similares, y aunque el modelado en cada caso es parcialmente distinto, la filosofía que subyace en todos ellos es la misma. Por lo tanto, me voy a centrar en los modelos europeo e iberoamericano, que son los dos que mejor conozco. 

Lo que quiero plantear en este post es la posibilidad de utilizar el modelo propuesto por la ISO 20000 para la gestión de servicios como patrón de referencia para el desarrollo de un modelo organizativo compatible con los planteamientos de los modelos de excelencia. ¿Hasta qué punto sirve la ISO 20000 como palanca para avanzar hacia un modelo de excelencia?

Como primer punto de referencia, creo que es necesario recordar la insistencia de los modelos de excelencia con medir objetivamente los resultados. Obsesión compartida por la ISO 20000, que exige tener mediciones de los servicios prestados, de los procesos y del propio sistema de gestión. ¿No encaja acaso esta exigencia con los criterios de resultados en clientes y resultados clave/globales? Además, el desarrollo de estos factores encaja a la perfección con el desarrollo de los criterios de estrategia y procesos, entre otros. 

Si desglosamos la ISO 20000, también podemos encontrar un proceso enfocado a la gestión de recursos (criterio 4 en ambos modelos de excelencia), así como elementos del sistema de gestión que encajan dentro de los criterios de personas. No encontramos en la ISO 20000 un desarrollo específico del apartado de liderazgo, pero sí un requisito de designación de responsabilidades que puede encajar a la perfección en el primer criterio de ambos modelos de excelencia. 

En definitiva, el modelo de gestión planteado por la ISO 20000 puede ser un modelo de referencia perfectamente válido para asentar sobre él un sistema de gestión corporativo compatible con los modelos de excelencia empresarial vigentes en la actualidad. Y si esto es así... cuánto tardarán las organizaciones en sacar provecho de esta convergencia?

ACTUALIZACIÓN: En el blog de Euskalit, la fundación vasca para la excelencia empresarial, publican una reseña a un artículo en el que profundizo en este planteamiento de utilizar ISO 20000 como camino hacia la excelencia empresarial. Por si queréis más información...  :-)

Gestión ITILizada de vulnerabilidades

Existen multitud de referencias para la gestión de la seguridad. No obstante, dicha gestión acaba quedando traducida, habitualmente, a dos ámbitos complementarios: gestión de riesgos + gestión de incidentes de seguridad. Una simplificación que en la mayor parte de las organizaciones puede resultar suficiente, pero que a veces se pude quedar un poco corta. ¿Cómo aplica ese planteamiento para la gestión de vulnerabilidades?

El modelo de gestión de riesgos "clásico" es un modelo estático. Analizamos los riesgos una vez, y no revisamos el análisis hasta pasado un ciclo completo del proceso (normalmente, anual). Sin embargo, la gestión de vulnerabilidades es algo mucho más dinámico. De ocurrencia puntual, pero que al cabo de un mes en general tendremos que aplicar. Un ciclo excesivamente corto para el análisis de riesgos.

El modelo ITIL de gestión de incidentes aplicado a las vulnerabilidades tiene algunas dificultades. Para empezar no encaja con el planteamiento clásico (ITIL) de resolución de incidentes igual a restablecimiento del servicio, ya que no hay servicio degradado. Una vulnerabilidad no afecta al SLA del servicio, al menos no directamente. No obstante, los principios de la gestión de problemas sí que parecen encajar con la gestión que requieren las vulnerabilidades. ¿Cuál podría ser el detonante para este proceso?

Otros modelos de referencia tampoco terminan de encajar. Todos los que tienen implantados sistemas de gestión conocen la sistemática aplicable a las acciones preventivas, pero... ¿Es suficientemente ágil ese planteamiento para ser aplicado en relación a las vulnerabilidades técnicas? Teniendo en cuenta que ambas metodologías de gestión suelen quedar en manos de departamentos diferentes, tampoco parece una solución óptima.

Mi propuesta para la gestión de vulnerabilidades es hacer uso del proceso ITIL v3 de Gestión de Eventos. Este es un proceso en general infrautilizado, que se suele limitar a la monitorización de sistemas. Sin embargo, es un proceso que puede dar mucho más de si, tanto desde el punto de vista de la correlación de logs como desde el punto de vista de la gestión de vulnerabilidades.

Para empezar, la gestión de eventos es un proceso "interno" de un departamento TIC. Tiene vocación preventiva, y dos de sus principales salidas van hacia la gestión de problemas y la gestión de cambios. Por lo tanto, entre el propio proceso y aquellos con los que se relaciona se puede cubrir el ciclo completo de gestión de la vulnerabilidad:

• Aparición --> Detección y Notificación --> Registro --> Análisis --> Aplicación de WorkAround --> Análisis de causa --> Parcheo --> Cierre

Además, desde el punto de vista de proceso con uso intensivo de soluciones tecnológicas, la gestión de eventos puede ser un proceso muy apropiado para ser revalorizado desde el punto de vista de la seguridad. Por un lado, es el proceso más apropiado para la introducción de soluciones de correlación de logs y SIEM. Por otro lado, también es una tentación la introducción de soluciones de auditoría automatizada de red, que refuercen el apartado de gestión de vulnerabilidades y se integren con las herramientas de gestión de incidentes y problemas.

En definitiva, la gestión de vulnerabilidades es un proceso peculiar, para el que los modelos de gestión más habituales no terminan de encajar, pero que puede encontrar en los procesos de ITIL v3 el formato más apropiado para introducirse de forma nativa en los procesos de operación TIC de cualquier organización.

A vosotros, qué os parece la propuesta? ¿Qué ventajas e inconvenientes le veis? Estaré encantado de leer vuestros comentarios.