Consejos para la ISO 20000

Probablemente, en estas fechas muchas empresas del sector TIC puedan estar pensando en si meterse o no en un proyecto de implantación de un Sistema de Gestión de Servicios TI (SGSTI) certificable bajo ISO 20000. Si esa es vuestra situación, aquí van unos consejos que os pueden servir como ayuda para tomar esa decisión:

• No te metas en un proyecto de ISO 20000 si no estás dispuesto a "hacer ruido" en toda la organización. La ISO 20000 en una empresa que venda servicios TI afecta directamente al negocio de la organización, toca de lleno las actividades productivas y de venta. Por tanto, un SGSTI según ISO 20000 no es un sistema de gestión que se pueda implantar "con vaselina". Si no estás dispuesto a remover los cimientos de la organización, este no es tu sistema de gestión.



• No te metas en un proyecto de ISO 20000 si no vendes servicios. Si tu modelo de negocio está basado en la venta de productos o proyectos, este no es un sistema de gestión para ti. No estoy hablando de que la organización no realice proyectos (de hecho, el proceso de gestión de la entrega es el enlace con ellos), pero esos proyectos deben estar encaminados a la prestación de un servicio continuado. Si a día de hoy tu organización no vende servicios TI, o estás dispuesto a hacer un cambio radical en (al menos) parte del modelo de negocio o este sistema de gestión no es el más adecuado para ti.



• No te metas en un proyecto de ISO 20000 si no eres partidario de la estandarización de tus servicios. Si tu modelo de negocio se basa en la provisión de soluciones llave en mano, diseñadas exactamente al gusto del cliente, este sistema de gestión no te conviene. La ISO 20000 permite personalizaciones, por supuesto, pero dentro de unos parámetros acotados. Su filosofía se basa en la normalización de los servicios y en su "industrialización", de modo que el margen de actuación que permite es limitado. Si eres partidario de la prestación de servicios diseñados completamente a medida es muy probable que el modelo no te encaje.



• No te metas en un proyecto de ISO 20000 si tu modelo de negocio se centra en el consumo de los servicios prestados. La ISO 20000 se centra en la calidad de los servicios TI prestados, no en la cantidad de servicios consumidos (independientemente de que dicho consumo se mida por ancho de banda, tiempo de procesador o de dedicación de recursos humanos). La ISO 20000 se centra en fijar y garantizar el cumplimiento de unos niveles de servicio determinados, acordados con el cliente en un SLA (Service Level Agreement), de modo que la cantidad de servicio consumido pasa a un segundo término. Está claro que ese es un parámetro clave para el servicio prestado, y por eso existe un proceso específico encargado de gestionar la capacidad del servicio, pero si tu preocupación principal es el consumo del servicio probablemente la ISO 20000 no sea una referencia apropiada para ti.



• No te metas en un proyecto de ISO 20000 si no eres partidario de la transparencia hacia el cliente. Si no eres partidario de ofrecer información detallada al cliente acerca del nivel de servicio que realmente le estás prestando, de los problemas internos que haya podido tener el servicio o del consumo del servicio que realmente está realizando el cliente, posiblemente este sistema de gestión no sea el modelo apropiado para ti. La ISO 20000 tiene un proceso específico de gestión de informes del servicio cuyo objetivo es, en definitiva, ser más transparente de cara al cliente, y puede que proporcionar tanta información no encaje con la filosofía de negocio de la organización, por múltiples motivos. Por tanto, si no estás dispuesto a "enseñar tus vergüenzas" al cliente, este modelo probablemente no te encaje.

Podría extenderme más en otro tipo de consejos más asociados a la implantación de un sistema de gestión genérico tipo ISO (disposición a dedicar recursos extra a nuevas actividades, disposición a ser auditado, disposición a mantener un programa de formación específico, etc.), pero creo que estos puntos pueden resumir las principales consideraciones de negocio que nos hemos encontrado en este tipo de proyectos. De todas formas, seguro que cualquiera que conozca suficientemente el modelo es capaz de ampliar esa lista a la hora de pensar en su propia organización...

Y no quería terminar el post de hoy sin hacer una reflexión final:

Si no tienes miedo a remover los cimientos de tu organización, si vendes servicios TI, si quieres estandarizar internamente esos servicios, si tu principal preocupación es su calidad, si eres partidario de la transparencia con el cliente... No tengas ninguna duda: la ISO 20000 es tu modelo a seguir. ¿a qué esperas para empezar?

Cuantos errores de seguridad cometes?

Es muy habitual que, hablando de seguridad, la gente trate de encontrar un método sencillo para saber, de forma rápida y medianamente fiable, cuánta es la seguridad de su organización. A poder ser, de forma autónoma y obteniendo un resultado cuantitativo. Por eso, cuando el otro día leí en ComputerWorld un artículo en el que hablaban de Los diez errores más comunes de los administradores de redes, me resultó muy sencillo hacer una propuesta de auto-evaluación rápida. ¿Cuántos de estos errores evita tu organización de manera sistemática (sin que evitarlos dependa de la iniciativa personal de un administrador de redes preocupado por la seguridad)? El número de errores evitados sería, directamente, la "nota" en seguridad. ¿Cuántos de estos errores se evitan en tu organización?:

1. No cambiar las claves por defecto de los equipos (servidores, routers, switches, etc.).
2. Compartir una misma contraseña en múltiples dispositivos
3. No buscar vulnerabilidades de inyección SQL en las aplicaciones web
4. No definir listas de control de accesos en los dispositivos de red
5. Permitir accesos remotos y software de administración inseguros
6. No probar las aplicaciones no críticas frente a vulnerabilidades básicas
7. No proteger apropiadamente los servidores frente al malware
8. No configurar los routers para prohibir tráfico saliente no deseado
9. No saber dónde se almacenan los datos críticos de la organización (todas sus ubicaciones, considerando todas las copias existentes de los mismos)
10. No seguir estándares de seguridad básicos (en el artículo se habla de PCI DSS, pero me vale cualquier estándar de mínimos de seguridad).

¿Cuál es tu nota? ¿Apruebas en seguridad? ¿Echas en falta alguna medida de seguridad básica de red? Si quieres hablar de ello, los comentarios están a tu disposición.

Si no cumples con tu perfil

Es cierto, las redes sociales cada vez están más de moda. Es más, yo creo que es el momento de dejar de pensar que son una moda y empezar a pensar en que, sencillamente, nuestras vidas se están "digitalizando". Es un proceso lento, muy irregular y muy poco homogéneo, pero creo que es un proceso imparable. Poco a poco, todos tendremos que ir aprendiendo a convivir con nuestras "dos vidas", la física (la de toda la vida, o la real, como dirían algunos) y la digital, virtual o como quiera que se acabe llamando la vida que "vive" nuestra identidad digital, que queramos o no también es parte de nosotros.

¿Cuál es el problema de llevar esta "doble vida" (real y virtual)? Sencillamente, que esa duplicidad es una falacia. En realidad esa doble vida no existe, son sólo dos visiones de una vida única, la nuestra. Dos visiones distintas, desde perfiles diferentes, pero de una única realidad.

El problema de la "doble vida" no es nuevo. De hecho, es tan antiguo como la sociedad en la que vivimos. Todos tenemos distintos perfiles en la vida real: el profesional, el personal, el familiar... Perfiles distintos, en los que tratamos de potenciar distintas características, pero que normalmente siempre tratamos de que sean coherentes entre sí. Al fin y al cabo, no es tan difícil que los distintos perfiles acaben mezclándose, y si algo tenemos claro es que detrás de cada perfil siempre está uno mismo.

El problema con nuestros perfiles digitales es que a veces nos olvidamos de que nos siguen representando a nosotros. Y de que son perfiles mucho más ubicuos, persistentes y permeables, con muchas más posibilidades de mezclarse y expandirse. Y claro, si no son coherentes entre sí y con los de la "vida real", podemos tener un problema...

Ese problema de falta de coherencia entre perfiles es el que ha tenido la protagonista de la noticia que acabo de leer, acerca de una chica que ha perdido la pensión por depresión por estar alegre y de fiesta con sus amigas. Parece que su perfil "profesional real" (de baja por depresión) no era coherente con su perfil "personal virtual" (fotos en facebook de fiesta con las amigas), y debido a esa incoherencia la empresa aseguradora ha decidido suspender la remuneración que tenía asignada.

No voy a entrar en la pertinencia o no del hecho, y menos voy a analizar la legalidad o no de la decisión, sobre todo desde el punto de vista de las leyes españolas. Prefiero quedarme sólo con el fondo del asunto: ¿estamos preparados para gestionar adecuadamente nuestros perfiles digitales? ¿Hasta qué punto puede ser "la seguridad" la herramienta para llevar a cabo esta gestión? Y lo que es más importante: ¿Existen los medios para hacerlo? ¿O estamos intentando ponerle puertas al campo? Si alguien quiere hacer comentarios al respecto, ya sabe que aquí puede hacerlo.

Publicada ISO/IEC TR 20000-3:2009

Lo sé, hace más de un mes que no publico ningún post. La verdad es que últimamente ando envuelto en una vorágine profesional bastante agotadora... Aunque ya se empieza a ver la luz al final del tunel.

Hoy sencillamente quiero destacar la publicación hace un mes del estándar ISO/IEC TR 20000-3:2009, la tercera parte de la cada vez más conocida ISO 20000. Esta parte, cuyo título oficial es Information technology -- Service management -- Part 3: Guidance on scope definition and applicability of ISO/IEC 20000-1, es un "informe técnico" en el que se dan pautas sobre cómo se puede definir el alcance de un SGSTI (Sistema de Gestión de Servicios TI) en línea con las exigencias de la ISO 20000. Habla de la aplicabilidad de la ISO 20000 y de los principios generales para la definición de alcances, y sobre todo proporciona distintos ejemplos y escenarios para la definición de alcances válidos.

Para terminar, y en línea con este tema, para todo aquél que quiera profundizar en la definición de alcances para un SGSTI según ISO 20000 también puede consultar el documento "itSMF ISO/IEC 20000 Certification Scheme - Scoping Guidelines", que aunque date de 2006 sigue siendo perfectamente válido, y tiene la ventaja de que está redactado en un tono mucho más divulgativo que el documento anterior.

Peligros en la nube

La verdad es que hoy no estoy demasiado inspirado. Me cuesta escribir, no consigo que me salga algo fluido y medianamente motivador, al menos como para que alguien quiera seguir leyendo hasta el final del post... Sin embargo, me he decidido a escribir algo más que nada por no dejar pasar la oportunidad de comentar muy brevemente un par de artículos que me han gustado.

El primero de ellos, en dos partes, es del que he sacado el título del post: Hack in the Box, el peligro está en la nube. Un artículo en el que su autora nos cuenta cómo el ciber-crimen se está orientando hacia la nube, a la par del incremento de popularidad de este tipo de soluciones. Era algo previsible, que no nos permite olvidarnos de una de las principales premisas en esto de la seguridad: las mayores amenazas siempre serán aquellas que siguen los devenires del negocio. O lo que es lo mismo, visto desde el lado contrario: allí donde se concentre un mayor volumen de negocio es el lugar óptimo para centrar los ataques intencionados. Obvio, pero no está de más recordarlo de vez en cuando, no sea que las típicas discusiones Windows Vs Linux vayan a transformarse, en su versión 2.0, en una discusión Nube Vs Local, y acabemos cayendo en los mismos fundamentalismos...

El segundo, sobre el que no he investigado demasiado pero que me parece muy interesante por su aproximación innovadora, es la idea de luchar contra las ciber-amenazas mediante el uso de hormigas digitales. La verdad es que no me queda muy claro si eso de crear tipos concretos de hormigas para luchar contra amenazas específicas puede ser una solución apropiada (me recuerda a la filosofía de los antivirus del uso de firmas, aunque es una interpretación totalmente personal), pero el simple hecho de buscar soluciones alternativas a un problema que actualmente no está siendo apropiadamente resuelto me parece una idea estupenda, más allá del éxito real que vaya a tener la solución concreta. Y yendo un poco más allá... ¿Habría más modelos de la naturaleza susceptibles de ser aplicados para solucionar el problema del malware? Al fin y al cabo, los animales llevan millones de años estableciendo mecanismos de lucha contra sus propios virus, bacterias y demás "malware"... ¿Serán estas hormigas los glóbulos blancos electrónicos que estamos buscando? El futuro lo dirá.

Integrando Sistemas de Gestión

En este blog he hablado muchas veces de los requisitos comunes a cualquier sistema de gestión "tipo ISO", y de las ventajas que puede tener la integración de todos ellos. Sin embargo, últimamente me he encontrado con algunos casos que, usando la integración como slogan, lo único que pretendían era aprovechar la existencia de un sistema de gestión (normalmente de calidad, ISO 9001) para reutilizar algunos de sus elementos en el nuevo sistema de gestión que estaban montando, ya sea de gestión medioambiental (ISO 14001), de seguridad de la información (ISO 27001) o cualquier otro. No es que me parezca mal (de hecho, me parece algo lógico y recomendable, dado que sirve para optimizar recursos), pero con lo que no estoy en absoluto de acuerdo es con que a éso se le llame Sistema de Gestión Integrado. Y como no me ha gustado que en un blog me hayan eliminado un comentario esbozando este planteamiento (aunque lo entiendo, ya que es un blog corporativo, y puede ser comprensible que la organización no quiera que aparezcan posturas críticas en una herramienta de marketing), he decidido presentarlo aquí.

Como decía, existen ciertas prácticas que pueden ser recomendables a la hora de solapar o superponer (creo que cualquiera de estos dos términos sería más apropiado) sistemas de gestión. Es conveniente reutilizar las prácticas de gestión desarrolladas, lo que a nivel tangible se convierte en reutilizar la documentación, usando, por ejemplo, los mismos procedimientos de gestión documental y/o de registros o los mismos procedimientos de auditoría. No obstante, no hay que olvidar la especificidad de cada sistema de gestión, y por tanto habrá que ampliar el ámbito de actuación de dichas prácticas a los diversos entornos, de la forma que corresponda en cada caso. Eso nos puede llevar, entre otras cosas, a fusionar en un único documento textos equivalentes en distintos sistemas de gestión, consiguiendo, por poner un ejemplo, un documento único que recoja la política de calidad y seguridad de la información. Del mismo modo podremos acabar teniendo documentos únicos para ambos sistemas de gestión en los que se hable de responsabilidades de la dirección, mejora continua, gestión de no conformidades, ... Si pensamos en el apartado de roles y responsabilidades, algo que también suele ser habitual a la hora de solapar sistemas de gestión es intentar aprovechar las estructuras de gestión existentes (Responsable, Comité, etc.) para el nuevo sistema de gestión. Aunque claro, aquí puede no ser tan sencilla la reutilización, dado que en cada caso se requieren una capacitación y conocimientos específicos y diferenciados, y saber gestionar, por ejemplo, la calidad, no implica saber hacerlo con el medioambiente o la seguridad de la información.

Llegados a este punto es cuando hay que ver qué hemos conseguido al solapar distintos sistemas de gestión: tener una manera común de gestionar cosas distintas. Y ese creo que es precisamente el problema. Si buscamos el término integrar en el diccionario, vemos que hace referencia a la constitución de un todo, de algo global que sintetice las partes. Por lo tanto, creo que no basta con "integrar" la sistemática de gestión (que en realidad ya era la misma), sino que la clave para conseguir un sistema de gestión integrado es ser capaz de integrar aquello que se gestiona, es decir, poder gestionar de manera integrada la calidad, la seguridad o lo que corresponda en cada caso.

Para mí el primer requisito (necesario, pero no suficiente) de un Sistema de Gestión Integrado es, sin duda, que el alcance de ambos sea coincidente. Es más, no creo que se pueda hablar de que cosas distintas puedan estar integradas si su ámbito de aplicación no coincide. A partir de ahí, creo que para hablar de integración de verdad (permitidme que me centre en calidad y seguridad de la información, que es lo que mejor domino) tenemos que ser capaces de considerar de forma simultánea la calidad y la seguridad, y poder entender la una como parte de la otra (y viceversa). No creo que se pueda hablar de integración entre ambos sistemas de gestión si no consideramos la seguridad de la información en en nuestros procesos productivos, si la seguridad no es un factor intrínseco en la selección de proveedores, o si en nuestros análisis de riesgos no consideramos factores de riesgo relacionados con la calidad. En definitiva, creo que para hablar de un Sistema de Gestión Integrado tenemos que centarnos fundamentalmente en integrar aquello que se gestiona (que es lo difícil, obviamente). Y creo que esto es mucho más importante que tratar de que el responsable de calidad y el de seguridad sean la misma persona, ya que incluso se podría hablar de sistemas de gestión integrados en el caso de que sean distintos responsables.

En definitiva, creo que a veces las organizaciones pierden un poco el norte con tanto sistema de gestión normalizado, y se olvidan de que las empresas lo que deberían tener es un único sistema de gestión, el de la organización, independientemente de que el sistema cumpla o no los requisitos de más o menos sistemas de gestión normalizados, o de que ese cumplimiento esté o no certificado por alguien. La preocupación de cualquier organización debe ser el negocio, y negocio no sólo es calidad, o seguridad, sino la suma de todo ello y de mucho más. Así que estaría bien pensar un poco más en tener un sistema de gestión del negocio, que integre la gestión de todos los elementos que lo componen, y no preocuparnos tanto por modas o certificaciones que, si hacemos las cosas bien, se acaban integrando "solas"...