Tu Otra Identidad - Identidad 2.0

Afirmar que las redes sociales hayan llegado para quedarse es hoy en día indiscutible. Las propias cifras lo demuestran claramente: 700 millones de usuarios en Facebook, 200 millones en Twitter y más de 7 millones para la española Tuenti hacen que el no estar en una red social sea cada vez más la excepción a la regla. Esta irrupción de las redes sociales en nuestras vidas presenta nuevos e importantes retos desde el punto de vista de la privacidad o la protección de datos y la seguridad en general.

La Identidad 2.0 o también conocida como identidad digital, es el nuevo concepto de identidad. Por definición es el rastro que cada usuario de internet deja en la red como resultado de su interrelación con otros usuarios o con la generación de contenidos en portales web y redes sociales. Es decir, estamos hablando de una consecuencia directa de la evolución tecnológica y de comunicación, concretamente del término bautizado como comunicación 2.0.

Los elementos que integran la identidad digital, y que por tanto permiten a las personas diferenciarse frente a otras en ámbitos concretos, son los rasgos de identidad o atributos informativos. Forman parte de estos datos tu nombre y apellidos, la dirección de correo electrónico, los datos de contacto, las fotografías o vídeos, tu información laboral, aficiones o incluso preferencias políticas, religiosas o sexuales. En definitiva, es un rasgo de identidad cualquier pieza de información personal que forme  parte del puzle de la identidad online.  

En general, hay dos categorías principales que componen tu identidad digital:

• Categoría Profesional – es tu huella profesional  y es fácil de entender, se refiere a tu trabajo, tu profesión, tu puesto, y es información que compartes en lugares como LinkedIn, tu blog o el sitio web de tu empresa. 

• Categoría Personal – en este caso es un poco más complicado de identificar, cuando pensamos ‘personal’ lo relacionamos tal vez con privado,. Sin embargo redes sociales como Facebook y Google+, hacen que el concepto de   vida privada lo sea un poco menos, aun sin ser conscientes de los riesgos que esto conlleva desde el punto de vista de la seguridad y el tratamiento de nuestros datos.

Por tanto es muy importante  tener en cuenta que tu identidad digital la vas definiendo tú mismo con lo que compartes, tu presencia e interacción en las diferentes redes sociales, blogs, foros, sitios web, etc. El quién eres, es una pregunta que vas contestando incluso en ocasiones sin darte cuenta, realmente al final del camino somos nosotros como usuarios quien determinamos a través de la información que publicamos que tanto de privacidad queremos tener en la red.

Hoy en día ya es todo un habito “Googlear” el nombre de alguien para conocer quién es, por eso es importante cuidar tu identidad online.

Es de lógica entonces que nuestra identidad digital también conlleve una reputación digital, que nos va a ser difícil separar de nuestro yo. Los problemas se pueden agravar aún más por la propia persistencia de la información en Internet. Todo lo que se hace, bueno o malo, queda grabado casi para siempre. Y, asumiendo que Internet se extiende cada vez más a todos los ámbitos, sin duda este será otro de los aspectos que provoque que el “derecho al olvido” vaya a ser uno de los caballos de batalla de la privacidad en Internet durante la próxima década.

Gestionar este término conocido también como Reputación 2.0 para una persona física ya se ha visto que puede ser complicado, pero si hablamos de una entidad u organización empresarial el tema se complica en exceso.

Una entidad jurídica tiene, por descontado, su propia identidad en la red y con ello su consecuente reputación, pero ¿hasta qué punto está reputación se puede ver afectada por la reputación de un usuario que en su categoría profesional tenga indicaciones de la entidad para la que trabaja?

Es algo difícil de evaluar y actualmente también prácticamente imposible de gestionar sin un adecuado marco de gobierno. Todo lo expuesto invita a reflexionar en la inminente necesidad de crear procedimientos para gestión de la identidad digital en el ámbito corporativo con a finalidad de garantizar la protección de la imagen o reputación. 

La solución pasa por controlar mediante la aplicación de políticas corporativas el uso que los empleados puedan hacer de su identidad en el ámbito laboral dentro de las redes sociales, para evitar con ello problemas de imagen sobre la empresa para la cual una persona física presta sus servicios.

Por eso se debe tener en mente que lo que se comparta online y firmes con tu persona, tarde o temprano puede ser visto por cualquiera. Así hay que procurar no compartir nada que realmente no se quiera compartir con TODO el mundo y que por tanto desde ese momento  sea de dominio público.

Se puede afirmar que aprender a interactuar con terceros y manejar aspectos básicos de personal  o construcción de una marca personal puede convertirse en algo esencial para el desarrollo de la personalidad y el futuro social y profesional.

Sin duda la conclusión que mejor se adapta al mensaje que se quiere transmitir es una frase de Julio Alonso, fundador y Director General de Weblogs SL, una de las principales empresas españolas de contenidos especializados en Internet donde dice: “Dedicar esfuerzo a construir tu propia identidad digital ya no es opcional. Es un acto de pura responsabilidad”.

Cómo resolver el problema de la ejecución

Uno de los grandes problemas de los CIOs, sino el más importante, consiste en ser capaces de generar cambios en el comportamiento y forma de trabajar de su equipo. Muchas veces, la Dirección de TI se encuentra con la necesidad o el objetivo de implementar metodologías, mejores prácticas que “profesionalicen” el funcionamiento del departamento y permitan hacer un uso más eficaz y eficiente de los recursos de TI.

Estamos hablando, por ejemplo, de proyectos encaminados a mejorar el gobierno y gestión de los servicios de TI que soporta y ofrece el Departamento de TI, o de proyectos asociados a la mejora, también, del gobierno y gestión de la seguridad de TI tanto en el ámbito de riesgos como en el de cumplimiento.

Algunas veces la escasez de personal, otras la exigente operativa diaria y muchas veces la propia resistencia al cambio de las organizaciones, hacen muy difícil la puesta en marcha de estos proyectos de mejora. En estos casos el reto está en la ejecución, es decir, en cómo ejecutar estos proyectos de manera que puedan convivir con el día a día y obtener, a su vez, los resultados esperados.

Al ser este un problema más común de lo habitual he querido compartir con vosotros una aproximación que descubrí hace tiempo y que recuperé últimamente. Se trata de “The 4 Disciplines of Execution” (4DX) de Chris McChesney, Sean Covey y Jim Huling. Al final os dejo un par de enlaces donde podréis encontrar información.

Básicamente 4DX trata de explicar cómo conseguir alcanzar objetivos importantes efectuando el cambio necesario en el comportamiento del personal que permita su consecución. Las 4 disciplinas son:

1. Focalizarse en lo realmente importante.
2. Actuar sobre los indicadores de rendimiento (KPIs).
3. Utilizar un cuadro de mando que garantice el compromiso contínuo.
4. Crear una cadencia de rendición de cuentas.

http://www.franklincovey.com/tc/solutions/business-execution-solutions

http://www.aumc.org/pdf/The_4_Disciplines_of_Execution.pdf

Gobierno de la Seguridad de la Información

El marco de Gobierno de la Seguridad de la Información es el sistema mediante el cual se dirigen y controlan las actividades de seguridad de la información de la organización.

La Gobernanza de la seguridad busca alinear los objetivos y estrategias para la seguridad de la información con los objetivos y estrategias del negocio …

… teniendo en cuenta la legislación vigente, regulaciones y contratos …

… mediante la guía e implementación de una aproximación basada en riesgos …

… soportada por un sistema de control interno.

Los principios que establece la norma ISO 27014 establecen una buena base para la implementación de los procesos de gobierno de la seguridad de la información:

1. Establecer responsabilidad con respecto a la seguridad de la información en toda la organización. En este sentido:

• ¿La seguridad de la información se gestiona a un nivel de la organización que permita la toma de decisiones?
• ¿Las actividades asociadas a la seguridad lógica y física se realizan de forma coordinada?.
• ¿La responsabilidad y rendición de cuentas con respecto a la seguridad se establece a través del ciclo completo de las actividades de la organización incluidos terceros?.

2. Adoptar una aproximación basada en el riesgo. En este sentido:

• ¿Las decisiones se toman en función del riesgo?.
• El nivel aceptable de seguridad ¿se basa en el apetito al riesgo de la organización?, ¿se incluye en él la posible pérdida de ventaja competitiva, riesgos de cumplimiento y responsabilidad, interrupciones operativas, pérdida financiera y daño a la reputación?.
• ¿Se asignan los recursos apropiados para implementar la gestión de riesgos en la organización?.

3. Establecer la dirección de las decisiones de inversión en seguridad de la información. En este sentido:

• ¿La estrategia de inversiones en seguridad de la información se establece en función de los resultados de negocio alcanzados?.
• ¿Las inversiones en seguridad se integran con los procesos generales existentes para las inversiones y gastos de la organización?.

4. Asegurar conformidad con los requerimientos internos y externos. En este sentido:

• ¿Se garantiza que las políticas y prácticas son conformes con la regulación y legislación existente, con los compromisos y contratos de la organización y con otros requerimientos internos o externos?.
• ¿Se realizan auditorías de seguridad independientes?.

5. Fomentar un entorno positivo respecto de la seguridad. En este sentido:

• A la hora de implementar la gobernanza de la seguridad, ¿se tiene en cuenta el comportamiento humano, incluyendo la evolución de las necesidades de las partes interesadas?
• ¿Se exige, promueve y apoya la coordinación de las actividades de las partes interesadas para alcanzar una dirección coherente de la seguridad (educación, formación y programas de concienciación)?.

6. Revisar el rendimiento en relación a los resultados de negocio. En este sentido:

• ¿La aproximación tomada para proteger la información es adecuada al propósito de apoyar la organización proporcionando niveles acordados de seguridad de la información?.
• ¿Se mantiene la seguridad en los niveles requeridos para alcanzar los requerimientos actuales y futuros del negocio?.
• ¿Se evalúa la seguridad en relación a su impacto en el negocio y no sólo en base a la eficacia y eficiencia de los controles?.

El modelo para la implementación del gobierno de la seguridad de la información, según la norma ISO 27014 es el siguiente:

De la Continuidad Tecnológica a la Continuidad de Negocio

Es indudable que en los últimos años ha crecido la preocupación en las organizaciones por garantizar la continuidad de las operaciones críticas del negocio.   Esta tendencia  puede ser debida a diversos factores, como las numerosas normas o estándares que abordan esta problemática (ISO 27000, la BS 25999 o la ISO 22301…),  los marcos metodológicos que aúnan buenas prácticas en la materia (COBIT, ITIL®…), organizaciones sin ánimo de lucro que tratan y fomentan la temática (ISACA, Business Continuity Institute…) o los numerosos antecedentes de eventos no deseados  que han provocado impactos muy importantes  en organizaciones muy conocidas. Todos recordareis el incidente del WindSord, el ataque sufrido por la plataforma PlayStationNetwork de Sony, el atentado a las Torres Gemelas, la reciente caída del servicio WhatsApp…

El problema que se encuentran muchas organizaciones que quieren proteger sus operaciones críticas es, dentro de la complejidad que tiene cada negocio, cómo comenzar a aplicar buenas prácticas en materia de continuidad de negocio.  Lo recomendable en una situación de este tipo es comerse el elefante en pequeños trozos que permitan ir expandiendo el foco. Y justo en este momento nos acordamos de las tecnologías de la información y comunicaciones (en adelante TIC).  Hay que tener en cuenta que gran parte de la operativa de las compañías está soportada por TICs y que  la tendencia tecnológica al alza en la que vive el mundo actual ha hecho que haya aumentado la dependencia que el negocio tiene de ellas.

Nuestra experiencia nos dice que el departamento de TI es un excelente punto de partida para, partiendo de un plan de contingencia de TI (identificar procesos críticos, sistemas TI clave, tiempos de recuperación mínimos, puntos de recuperación objetivos, existencia de procesos manuales alternativos, definición de estrategias de recuperación, establecimiento de Roles y Responsabilidades y del Plan de Recuperación frente a Desastres…) extender el concepto de continuidad hacia los niveles superiores de la organización, dando un paso clave de madurez en una compañía… “de la continuidad tecnológica a la continuidad de negocio”.

Para dar este paso es muy importante que el CIO asuma tanto el liderazgo como  el reto de transmitir a la Alta Dirección que “su” hoja de ruta simplifica las cosas, porque ya hay una estructura de roles y responsabilidades (Cultura de Comités, Equipos de Recuperación, Responsable de Continuidad…), ya se habla de riesgos, de cómo mitigarlos, de procesos críticos, de estrategias de recuperación, de planes de recuperación asociados…. y que si la organización aprovecha esa inercia obtenida a partir del plan de contingencia será más fácil impulsar y elevar el concepto de “continuidad”. En ese momento el CIO trasladará la “pelota” al techo de la Alta Dirección, que comenzará a pensar en términos de continuidad, identificando necesidades y fomentando la toma de decisiones.  Si se consigue captar el interés de la Alta Dirección  se percibirá la necesidad. A veces esto se consigue de manera curiosa, recuerdo una reunión en la que los miembros del Comité de Dirección no entendían la diferencia entre una incidencia normal y otra que diera lugar a la activación del plan de continuidad. El conocimiento que el CIO había obtenido le permitió  explicarles que necesitaban el Análisis de Impacto en el Negocio (BIA) porque introducía un elemento fundamental, la variable temporal. Esta variable era lo que convertía una incidencia de un tipo en una de otro.
  

Esta hoja de ruta es la que aconsejamos seguir en clientes de muy diversos sectores y con problemáticas de muy diversos tipos. En próximas entradas explicaré cómo mantener el sistema de Gestión de Continuidad de Negocio a través de la implantación de una Oficina de Continuidad. 

Gestión de Licencias de Software

Las organizaciones se gastan una fortuna en licencias cada año y muchas veces no tienen implementados los mecanismos de gestión adecuados para garantizar que 1) sólo tienen instalado software legal y 2) sólo se han comprado e instalado las licencias necesarias.

Por tanto, la gestión de las licencias de software ha de servir para garantizar que se mantiene un número óptimo de licencias para apoyar los requerimientos del negocio y que el número de licencias en propiedad es suficiente para cubrir el software instalado en uso.

La primera fase para implementar una gestión de licencias de software consiste en realizar una auditoría con el objetivo de conocer:

• ¿Qué licencias hemos comprado y a qué contratos van asociadas?. Podemos tener licencias de todo tipo: licencias numeradas, concurrentes, asociadas a Enterprise Agreements (EA), OEM, de evaluación, free…
• ¿Cuánto nos están costando?
• ¿Qué instancias de software tenemos instaladas?
• ¿Quién está usando este software?
• Y si realmente lo está usando, ¿es necesario?

Para responder a las dos primeras preguntas sería muy bueno disponer de una herramienta de gestión de activos que permitiera a la organización gestionar de forma adecuada todo el ciclo de vida de los mismos. Si no es así, habrá que recurrir a un inventario manual. Para responder a las tres últimas, es necesario utilizar una herramienta de auditoría de software que realice el inventario de todo el software existente en los equipos.

Una vez respondidas las preguntas anteriores, es necesaria una segunda fase de análisis en la que comparemos el número de instancias de software instalado con el número de licencias de propiedad. En caso de que dichas instancias sean inferiores al número de propiedad, se deberá decidir si existe la necesidad de mantener o cancelar las licencias, teniendo en cuenta la posibilidad de ahorrar en costes de mantenimiento innecesario, capacitación y otros costes.

Cuando las instancias instaladas sean superiores a las de propiedad, será interesante plantearse la posibilidad de desinstalar licencias no necesarias o justificadas o, si es necesario, comprar las licencias que faltan para cumplir con los acuerdos de licenciamiento. La herramienta de auditoría de software nos puede ayudar a conocer el uso del software instalado y justificar la desinstalación de aquellas licencias no usadas.

Por último, en una tercera fase debemos:

• Implementar los procesos necesarios para gestionar el ciclo de vida del software. Mantener actualizada una línea base de software comprado e instalado mediante la implementación de políticas de usuario y del proceso de gestión de peticiones de servicio que  lleven asociada una instalación, retirada o actualización de software. 
• Asignar las responsabilidades necesarias para mantener y mejorar dicho proceso.
• Regularmente, analizar si podemos obtener más valor para el negocio a través de la actualización o renovación de productos y licencias.

Publicada la norma ISO27013: Integración de ISO20000 e ISO27000

La reciente publicación de la norma ISO/IEC 27013:2012 ofrece una guía sobre cómo implementar de forma integrada los sistemas de gestión descritos por las normas ISO27001 e ISO20000-1. De esta forma se aprovechan sus aspectos comunes para la creación de un sistema conjunto de gestión.

El propósito de la ISO/IEC 27013:2012 es ofrecer una guía a las organizaciones que:

• Ya disponen de uno de los sistemas de gestión y desean implementar el otro.
• Desean implementar conjuntamente la ISO/IEC 27001 y la ISO/IEC 20000-1.
•  Desean integrar ambos sistemas ya existentes en la organización.

Con la publicación de esta norma se demuestra nuevamente la visión estratégica de integrar y homogeneizar cada vez más los sistemas de gestión existentes. Así se facilita a las organizaciones la optimización de los recursos dedicados a la implementación y mantenimiento de sus sistemas de gestión.

COBIT 5: “Por fin un verdadero marco de referencia de Gobierno Corporativo TIC”

Es curioso, llevamos años hablando del concepto de Gobierno TIC, actualmente está muy de “moda” el término  GRC (Gobierno, Riesgos y Cumplimiento) y en el sector desde hace años se difunden estándares, conjuntos de buenas prácticas y marcos de referencia (ISO 38500, Cobit 4…) que hacen suyo el concepto. Muchas de las organizaciones que implementaban los procesos de Cobit 4 o de ITIL proclaman que en su organización se Gobiernan las TIC.

En los últimos años me he preguntado constantemente si ese Gobierno TIC que se difundía era el verdadero ideal que permitía alinear los objetivos de las TIC con los del Negocio y así entregar valor, alineación estratégica, gestionar riesgos, gestionar recursos y medir el desempeño…

Me gustaría centrar el foco en especial en Cobit (Objetivos de Control para las Tecnologías de la Información), ya que su eslogan desde los últimos años ha sido el Gobierno TIC. En sus primeras versiones, Cobit se definía como un marco de control para auditores de TI. En la revisión del año 2000, Cobit 3, incluía como producto/documento aparte  las Management Guidelines o  guía de gestión para la dirección, con una orientación más cercana al concepto de Gobierno TI. Posteriormente ISACA desarrolla el marco Cobit 4 y vende el mismo como la “biblia del Gobierno TIC” y estructura el mismo en 4 dominios (Planificar y Organizar, Adquirir e Implementar, Entregar y dar Soporte y Medir y Reportar) que contemplan un conjunto total de 34 procesos. De esta forma implementando este conjunto de procesos teóricamente la organización estaba Gobernando las TIC. Más tarde ISACA lanza otros productos complementarios como VAL IT y RISK IT abarcando dos “patas” en mi opinión claves en el Gobierno TIC y que la versión 4.1 de Cobit no incluía, la Gestión de Inversiones TIC (Val IT) y la Gestión de Riesgos TIC (Risk IT).  Aunque ISACA difundió estos marcos como producto de la familia Cobit, entre los profesionales comenzó a hablarse de un Cobit 4 incompleto que dejaba de lado dos parámetros clave como son la inversión y los riesgos. Surgieron las dudas entre aquellos que habían creído  que Cobit 4 era la “panacea” de la Gobernanza TIC.

Así mismo en 2008 sale al mercado el estándar internacional ISO 38500 y las dudas aumentan al no verse clara la relación entre los procesos de Cobit 4 y el ciclo de Gobernanza expuesto por el estándar: “Evaluar, Dirigir y Monitorizar”

Por fin ISACA reacciona, se da cuenta de su eslogan fallido en la versión 4, desarrollando y publicando hace mes y medio Cobit 5, entre una gran expectación entre los profesionales TIC. 

Esta nueva versión tiene un carácter clarificador, integrando COBIT 4, Val IT y RISK IT en su modelo de referencia de procesos. Asimismo, COBIT 5 ha sido adaptado para alinearse con la norma ISO/IEC 38500 de Gobierno TI y con el marco GEIT del ITGI (IT Governance Institute). Así en esta versión, se dividen los procesos de Gestión de los de Gobierno (se incluye una nueva capa de procesos específicamente de Gobierno) en claro alineamiento con la norma, ISO 38500.

Por fin, después de años de dudas, tengo claro que ahora ya existe un marco de Gobierno TIC y que se desarrolla en Cobit 5. Gracias ISACA pero nos has tenido muy despistados unos cuantos años.

¿Cuánto cuestan los servicios de TI?

Actualmente, los responsables de TI se encuentran en una situación compleja:

• Por un lado aumenta, cada vez más, la dependencia del negocio de las TI. Cada vez hay más servicios críticos, mayor demanda de nuevas tecnologías, el usuario recibe servicios aparentemente similares a un precio inferior, la organización se extiende a clientes, proveedores, etc.

• Por otro lado, la difícil situación económica exige al responsable de TI reducir los costes a la vez que se mantiene o incluso mejora la calidad de los servicios de TI.

Ante la pregunta ¿Cómo podemos reducir los costes de TI?, se impone la respuesta obvia: conociendo los costes de TI.

Es, por tanto, URGENTE identificar, calcular y gestionar los costes asociados a los servicios de TI de tal manera que se haga una gestión rentable de los activos y recursos de TI usados en la provisión y soporte de dichos servicios.

Para ello, es necesario disponer de los mecanismos y de las herramientas que permitan al gestor de TI “controlar la infraestructura” y “medir a las personas…y proveedores”.

Dicho control y medición debe ir dirigido a los siguientes 3 ámbitos: gestión de activos, gestión de los servicios y gestión de los proyectos de TI.

La gestión de activos nos permite responder a las siguientes preguntas: ¿Qué tenemos?, ¿dónde está?, ¿Cuánto nos está costando?, ¿tiene mantenimiento?, ¿se debería actualizar?, ¿está funcionando correctamente?, ¿qué servicio o proceso de negocio soporta?, etc.

El 80% del presupuesto en TI, según Pinkelephant, se dedica a la operativa diaria. Parece claro que una gestión más eficiente y eficaz de las operaciones de TI a través de la introducción de una serie de actividades, estructuradas como procesos o no, en función del tamaño del departamento de TI, nos tiene que ayudar a reducir dicho presupuesto. Hablamos de gestión de incidencias, problemas, configuración (la gestión de activos es un subconjunto), cambios, etc.

El 70% de los proyectos de TI no cumplen objetivos de plazos, coste y calidad según Gartner. Es imprescindible una correcta planificación que tenga en cuenta todas las dimensiones del proyecto, así como un adecuado seguimiento y control que nos permita detectar y reaccionar ante desviaciones en los costes.

Por último, si bien el coste es imprescindible a la hora de definir el servicio, de cara a establecer comparaciones con otro tipo de servicios externos al departamento de TI, es necesario añadir dos características más: garantía y utilidad. Si no lo hacemos así, corremos el riesgo de estar comparando peras con manzanas.

Insisto, elijamos aquella aproximación que se adecúe más a nuestras necesidades pero abordémoslo con urgencia si no queremos que sean otros departamentos y unidades de la organización los que elijan por nosotros el camino a seguir.

Tres herramientas para la asignación de responsabilidades

La falta de una asignación formal de tareas está detrás de muchos de los problemas de eficiencia en las organizaciones. Por ello presentamos tres herramientas que permiten gestionar dicha asignación de una forma sencilla.

Si no está claro quién debe realizar una determinada tarea, tarde o temprano aparecen situaciones de duda o de conflicto que acaban teniendo un impacto en la organización. Ante esta situación, cuando surge un problema es frecuente oír frases como: “Es que esto no es cosa mía...”, “A mí nadie me dijo que lo hiciera…” o “Yo pensaba que se encargaba él…”.

La tendencia natural a esquivar los problemas o a dedicarnos a aquello que más nos gusta produce estas situaciones tan perjudiciales para el correcto desarrollo de la operativa diaria.

También es muy importante aclarar que nada tiene que ver la flexibilidad con la falta de asignación de funciones y obligaciones. Una organización o departamento puede ser extremadamente flexible y que todo el mundo en cada momento tenga claro cuáles son sus responsabilidades, simplemente se trata de gestionar adecuadamente estas asignaciones.

Cuando una organización desea solucionar estos problemas puede recurrir a una serie de herramientas, que de forma complementaria, ayudan a la gestión de las funciones y obligaciones del personal:

1. Descripción del puesto de trabajo (Job description):  Muy habitual en el ámbito de recursos humanos, se trata de una lista de tareas generales, funciones y responsabilidades de un determinado cargo. A menudo también incluye a quién debe reportar, y las cualificaciones y habilidades necesarias para el correcto desarrollo de sus funciones. Con esta herramienta se consigue una doble función, por un lado que todo trabajador tenga una visión en alto nivel de qué es lo que se espera de él y de cuáles son sus competencias, y por otro que la organización tenga claro qué es lo que se le puede exigir un determinado perfil. 

2. Matriz de asignación de responsabilidades: Todo proceso / procedimiento organizativo debería estar documentado, y como parte de dicha documentación deberían incluirse aspectos relacionados con la asignación de responsabilidades. Para ello, se suelen utilizar las denominadas matrices de asignación de responsabilidades, entre las que destaca la denominada “RACI”.

El mecanismo es sencillo, en las columnas se representan los diversos implicados, y en las filas las tareas a realizar. Así, para cada actividad se establece qué implicado ostenta los siguientes roles:

• R (Responsible): Encargado/s de la ejecución de la actividad.
• A (Accountable): Responsable final de que la actividad se ejecute adecuadamente (sólo debe haber un "accountable" por actividad).
• C (Consulted): Rol de soporte para la ejecución de la actividad, dispone de información o capacidad necesaria para la ejecución de la actividad.
• I (Informed): Interesado en la ejecución de la actividad que debe ser informado del avance de la misma.

De esta forma se consigue asignar las responsabilidades de cada uno de los implicados. La matriz RACI resulta especialmente útil cuando para la ejecución de un determinado proceso, intervienen diversos grupos de trabajo o áreas organizativas.

3. Tableros visuales: Esta herramienta es especialmente útil cuando exiten grupos de trabajo en entornos muy dinámicos. Por ejemplo, suelen ser muy utilizados en el desarrollo de software. Basados en conceptos de teoría de colas, a simple vista una persona puede comprobar qué actividades tiene asignadas, y el estado de las mismas.

Existe una gran variedad de ejemplos de tableros visuales, un posible modelo podría ser el siguiente: En primer lugar se crea un tablero en forma de matriz con la siguiente información: en forma de columna los tres estados de una actividad (pendiente, en progreso y finalizado), y en las filas se representan las personas implicadas. Se descomponen las actividades de forma que sean sencillas de gestionar, y cada una de ellas se representa en una tarjeta que se irá moviendo por el tablero en función de la persona responsable y del estado de la misma.

Utilizando este tablero como sistema de gestión de actividades es fácil balancear dinámicamente las cargas de trabajo.

                                                                                                                                                                                                             

Existen otras muchas más herramientas para la asignación de responsabilidades, pero tanto por su sencillez y como por el valor que aportan, estas son las más utilizadas.

Reducir los costes de TI gracias a una buena gestión de activos

Parto de una premisa que consiste en considerar que el coste de TI está directamente relacionado con la gestión de TI, de manera que una buena gestión puede permitirnos reducir los costes del departamento.

En este sentido, el primer paso para reducir costes es entender qué es lo que tenemos.

• ¿Tenemos alguna manera de evaluar adecuadamente los contratos con terceros?
• ¿Tenemos alguna manera de evaluar si es interesante consolidar dichos contratos, adecuar los niveles de servicio u obtener mejores precios?
• ¿Usamos todo el software que tenemos licenciado?
• ¿Necesitamos todas las aplicaciones que tenemos instaladas?
• ¿Es relativamente fácil detectar y retirar activos obsoletos que pueden suponer costes de licenciamiento y soporte elevados?

Para poder responder a estas preguntas es necesario disponer de un sistema eficaz de control que garantice un correcto seguimiento del ciclo de vida de los activos de TI y sus servicios relacionados (instalación, soporte, mantenimiento…) que permita aumentar el control financiero y operativo.

Gracias a una correcta gestión de activos podremos, entre otras cosas:

• Realizar el seguimiento de los costes totales: costes directos asociados a los costes de adquisición y arrendamiento. Costes indirectos asociados a la instalación, mantenimiento, actualizaciones, gestión de cambios, etc.
• Gestionar las licencias de software.
• Gestionar el ciclo de contratación (solicitudes, pedidos, recibos).
• Gestionar los contratos.
• Gestionar las finanzas (presupuestos, centros de coste, cargos).
• Gestionar la obsolescencia (terminación, datos de limpieza y eliminación...)

¿Por qué necesito un Catálogo de Servicios?

Según la definición que nos ofrece la edición 2011 de ITIL® un Catálogo de Servicios (Service Catalogue) es una base de datos o documento estructurado con información sobre todos los servicios de TI en producción (Live IT), incluyendo aquellos disponibles para la implementación. El Catálogo de Servicios forma parte de la Cartera de Servicios (Service Portfolio) y contiene información relativa a dos tipos de servicios de TI: los orientados al cliente que son visibles para el negocio; y los de soporte que son requeridos por el proveedor para la provisión de los primeros (ITIL® 2011 Edition: Service Design & Service Strategy Glossary).

Imaginemos una organización cualquiera y supongamos que quiero conocer los servicios de TI que soportan sus procesos de negocio. En la mayoría de los casos la situación será la siguiente:

• El área de TI podrá ofrecer una relación, más o menos detallada, de los servicios que proporciona, aunque probablemente sólo sean los principales, que son los primeros que vienen a la mente cuando se piensa en ello, o corresponden a los que se acepta como propios; porque quién no ha oído alguna vez: “¿y esto lo hacemos nosotros?”.

• El colectivo de clientes y/o usuarios ofrecerá una relación mucho más corta y menos detallada, puesto que la mayoría de ellos, o bien no conoce el concepto servicio de TI, o bien no siempre lo asocia a las prestaciones que recibe, o simplemente no los percibe como tal.

Las consecuencias más habituales de esta situación son la ambigüedad, el desconocimiento, los retrasos en la provisión de algunos servicios, el recurso a apoyarse en “casos precedentes”, los malos entendidos,...En resumen, la mala imagen del área de TI.

¿En qué nos ayuda un Catálogo de Servicios? En mi opinión, las razones son principalmente dos:

1. Sistematización
2. Difusión y comunicación

Recordemos la definición anterior: “documento estructurado”. La sistematización como método proporciona una aproximación analítica a los procesos que se desarrollan en una organización. Lleva implícito su ordenamiento. Por tanto, el esfuerzo realizado en las actividades de registro y de clasificación va a posibilitar el acceso, el control y el manejo ágil de la información.

El ejercicio de pensar, tipificar y clasificar los servicios de TI, y plasmarlo en un documento estructurado, nos lleva al segundo beneficio: facilita su difusión y comunicación.  Difusión que se realizará en dos sentidos, hacia el usuario final y/o cliente, que a través del Catálogo no sólo conocerá realmente los servicios de TI, sino que también podrá percibir el valor que se le ofrece en la entrega de los mismos; y a la vez, hacia la propia área de TI, que ejercerá un mayor control sobre esos servicios y sobre las condiciones específicas de su provisión.

Por tanto, el Catálogo de Servicio va a ser el vehículo, el medio principal que va a proporcionarnos un doble beneficio: conocernos y darnos a conocer mejor.

“La ciencia más útil es aquella cuyo fruto es el más comunicable” 

Leonardo Da Vinci


“ITIL® is a Registered Trade Mark of the Office of Government Commerce in the United Kingdom and other countries"

Integrar personas y procesos. El reto de la gestión de TI

No basta con definir un proceso para que éste funcione. Lo complicado es conseguir que las personas involucradas los sigan de manera eficiente, estén convencidas y participen en su mejora.

Esto es un reto, no sólo a la hora de implementar procesos de gestión de servicios de TI sino a la hora de implementar cualquier nuevo proceso en la empresa. Esto es especialmente complejo en empresas de gran tamaño.

Para que los procesos funcionen de manera eficiente, necesitamos apoyarnos en la tecnología. Para ello implantamos herramientas de gestión de TI que nos permiten automatizar la ejecución de los procesos, consolidar y relacionar los datos involucrados y proporcionar información útil para la gestión y toma de decisiones.

Sin embargo, en muchas implementaciones de procesos de TI hemos olvidado involucrar a las personas. La idea es hacer partícipes a las personas involucradas en dichos procesos para que no perciban su implementación como una imposición sino como algo suyo. De esta manera creerán en el proyecto y se aunarán esfuerzos para conseguir hacerlo con éxito. Si no lo hacemos así, podemos generar una sensación del tipo “esto lo tengo que hacer así porque lo dice alguien y no sé por qué hemos de trabajar de una manera diferente si hasta el momento funcionábamos más o  menos bien”.

Una buena manera de conseguir lo anterior consiste en empezar realizando reuniones de trabajo para la definición de los procesos en los que participe la gente afectada, de diferentes departamentos y con diferentes funciones, con el objetivo de conocer cómo lo harían los involucrados.

Es imprescindible que en estas reuniones participen los consultores y técnicos externos con el objetivo de 1) guiar a los participantes en base a las recomendaciones que proporcionan las mejores prácticas y metodologías existentes y 2) proporcionar el expertise técnico necesario sobre la manera de cómo implementar en la herramienta, de manera eficiente y eficaz, las ideas y requisitos resultantes de dicha reunión.

Generalmente sin participación no suele haber compromiso. Es necesario que los responsables de TI practiquen una política de gestión de su personal basada en la transparencia, participación y delegación, sin olvidar el ejercicio de las actividades de control necesarias para asegurar que 1) se mantiene el rumbo, es decir, se va en el camino correcto para la consecución de los objetivos de TI y 2) se ha llegado a buen puerto, es decir, esos objetivos se han alcanzado.

Gestión TIC. Obsesionado por lo básico

Si me pongo en la piel del Director de TI creo que me sentiría algo así como abrumado. Continuamente están bombardeados con información acerca de nuevas tecnologías y metodologías, o la actualización o refundación de las ya existentes, con la promesa de aumentar la productividad, reducir costes, etc. A esto se une la sensación de que si no te subes al carro de las mismas te puedes quedar obsoleto o desactualizado.

Además, hemos de tener en cuenta que, si somos una pequeña o mediana empresa, para ser efectivos necesitamos tener en cuenta el hecho de que dispondremos de unos recursos y opciones limitados. Será necesario evitar toda la burocracia innecesaria y proponer soluciones que sean atractivas y adecuadas para la manera de ser de este tipo de empresas.

Para abordar esta avalancha de información, así como los retos específicos de nuestra empresa o sector, hay que realizar una parada de sincronía y volver a lo básico. Para mí, este volver a lo básico significa, en cualquier ámbito de la vida, responder a la pregunta ¿Para qué hago lo que hago?. En el mundo de las TIC, para responder a esta pregunta, tanto nosotros como la Dirección de la empresa, necesita entender, básicamente, cuatro cosas:

A nivel de seguridad

• Entender las obligaciones. Es imprescindible tener un buen conocimiento de los requerimientos legales, comerciales o regulatorios que aplican al negocio y, además, este conocimiento debe permanecer constantemente actualizado.

• Entender los riesgos. Es imprescindible conocer a qué riesgos de seguridad está expuesto el negocio, es decir, sus procesos, actividades y activos.

A nivel de servicios de TI

• Entender qué procesos de negocio y que actividades principales de los mismos existen y, en particular, cuales forman la cadena de valor de la organización.

• Entender qué servicios de TI soportan dichos procesos y cómo los soportan en cuanto a garantía y utilidad. ¿Por qué hablar de servicio de TI, de garantía y de utilidad?. Simplemente porque es el lenguaje que nos va a permitir entendernos e involucrar a la Dirección de nuestra empresa.

Volviendo a la pregunta inicial de para qué hago lo que hago, responderíamos que básicamente para:

• Cumplir con las obligaciones del negocio
• Reducir o eliminar los riesgos del negocio o el impacto asociado a la materialización de las amenazas asociadas a los mismos.
• Mejorar la garantía o utilidad de los servicios que ofrecemos y soportamos.

Teniendo claro el mapa de situación en base a qué obligaciones, qué riesgos, qué procesos, y qué servicios, podemos abordar nuestros proyectos TIC con la garantía de que vamos por buen camino.

Evolucionar o morir

Las "best practices" o buenas prácticas... casi todo el mundo ha oído hablar de ellas, casi todo el mundo conoce, en general, sus principios y sus beneficios. Entonces, ¿Por qué no se utilizan?. ¿Por qué representa una dificultad trabajar con ellas y no se entienden como un beneficio?. Ante estas preguntas, suele ser común argumentar cuestiones relacionadas con costes e inversiones, por no hablar de recursos, sobrecarga de trabajo, etc., aunque desde mi opinión y siendo un tanto generalista, la parte más importante de la dificultad reside en un aspecto conceptual: la preponderancia de un tipo de pensamiento tecnicista. Una forma de pensamiento impermeable muy común y extendida entre muchos de los especialistas del sector, que hace que se perciban como una "Filosofía" en vez de hacerlo como una experiencia práctica que ha demostrado su eficacia y su utilidad en el contexto en el que se ha aplicado. ¡El eterno binomio de la teoría y la práctica!, a pesar de que ambos términos no sean semánticamente opuestos.

No resulta sorprendente que bajo este prisma se perciba negativamente, si se tiene en cuenta que el principio central, o dicho de otro modo, lo que lo hará posible, se fundamenta en un cambio de mentalidad. ¿Filosofía, entonces? En parte y sólo en parte.

Analizando la evolución de género humano, resulta curioso que el mayor logro a nivel de desarrollo (sin tener en cuenta aquí el desarrollo físico) se dé fundamentalmente en el ámbito tecnológico. A lo largo de millones de años de evolución, hemos sido capaces de pasar de la "ingeniería" lítica más arcaica a la ingeniería tecnológica más innovadora. ¿Cuál ha sido el denominador común de semejante logro? Simplificándolo mucho:

a) La predisposición mental que ha permitido ir un paso más allá, no sólo visualizando el resultado, sino que también asumiendo la dificultad e incluso el riesgo implícito. En resumen: el cambio.

b) La sistematización y optimización de procesos productivos mecanizables basados en los principios de la mejora continua (Plan - Do - Check - Act).

Vemos pues que ambos conceptos son complementarios y forman parte de un todo. Ahora bien, el segundo sólo será posible si el primero ha tenido lugar, estamos entonces ante una decisión trascendente:

Evolucionar o morir