Ideas para hacer un Plan Estratégico de TI

Repasando artículos interesantes en mi bandeja de entrada de Evernote, me he reencontrado con un artículo de Jerry Bishop en su blog blog.thehigheredcio.com. El artículo se titula 5 – S’s to IT Strategic Planning. Las 5 S se refieren a Strategic, Simplification, Service, Sustainability y Savings. La idea del artículo es articular un Plan Estratégico de TI entorno a estos 5 conceptos.

Resumiendo, os aconsejo que leáis el artículo, podemos decir que el Plan Estratégico debe articularse de la siguiente manera:

• Pensar en dos o tres iniciativas para ayudar a vuestra organización a alcanzar sus objetivos estratégicos. Estos pueden ser, entre otros, el crecimiento del negocio y la mejora de los márgenes o, como decía un financiero con el que trabajé, “simplemente” vender, facturar y cobrar.

• Pensar en cómo eliminar la complejidad y, en consecuencia, sus costes y falta de calidad asociados. En tanto que ofrecemos servicios de TI dicha complejidad puede estar presente en la tecnología, los procesos, las personas o incluso la relación con nuestros proveedores. En este punto, por tanto, podemos tener la tentación de disminuir drásticamente la complejidad asociada a la operación y gestión de nuestras TI, pero ojo con hacerlo a costa de perder totalmente el control de las mismas o de casarnos con alguien para luego acordarnos de lo bien que vivíamos solos.

• Pensar en dos o tres servicios a mejorar que, por supuesto, estén directamente relacionados con las iniciativas encaminadas a ayudar a los objetivos estratégicos de la empresa y en los que sea posible y adecuado aplicar medidas de simplificación (eliminación de la complejidad).

• Pensar en términos de sostenibilidad, es decir, en proyectos de continuidad y en proyectos asociados al Green IT.

• Por último, en base a las acciones planificadas de simplificación y sostenibilidad,  estimar como pueden disminuir los costes asociados a mantener y operar las TI con el objetivo de asignar estos recursos económicos a los proyectos estratégicos. En este punto, el autor nos aconseja seguir el modelo run, grow and transform de Gartner. Por supuesto esta es la parte más compleja en tanto en cuanto hay departamentos de TI que, a estas alturas, ven comprometido el presupuesto operativo ya más que rebajado durante estos últimos años.

Cuando lo leí me pareció un artículo muy interesante porque establece de una manera clara, concisa y con sentido común el mapa básico sobre el que trabajar. Como se suele decir, si bien el mapa no es la ruta, si usamos un mapa erróneo o incompleto podemos acabar siguiendo el camino – siguiendo una moda, eligiendo el proyecto, implantando la solución, apostando por una tecnología…- equivocado.

SANS Institute publica una nueva versión de los 20 controles críticos de seguridad

EL SANS Institute ha publicado una nueva versión de los 20 controles críticos de seguridad.

En el siguiente enlace podréis encontrar una descripción bastante detallada de cada uno de ellos y, en especial, de cómo los hackers pueden explotar la ausencia de los mismos y de como implementarlos, automatizarlos y medir su efectividad.

http://www.sans.org/critical-security-controls/

En este otro enlace podréis ver un poster con soluciones de mercado basadas en los fabricantes que han esponsorizado el estudio asociado.

http://www.sans.org/critical-security-controls/spring-2013-poster.pdf

Si bien es una publicación realmente muy interesante, dejadme que insista en que el objetivo de implementar y operar dichos controles es el de administrar los riesgos de seguridad de la información de las organizaciones en el marco de sus riesgos empresariales generales. 

No olvidemos, por tanto que los controles a implementar se deben basar en los resultados y conclusiones de una evaluación de riesgos previa, en los requisitos legales o reglamentarios, en las obligaciones contractuales y en las necesidades empresariales de la organización en materia de seguridad de la información.

Entre otras cosas, lo anterior conlleva el establecimiento de una serie de criterios de aceptación del riegos que deben ser aprobador por la Dirección de la organización.

Para mi, la gran ventaja de esta aproximación para los departamentos de TI, es que aborda la seguridad desde el punto de vista del negocio y no desde un punto de vista puramente técnico con las ventajas que ello conlleva. dejadme que me cite a mi mismo y reproduzca un párrafo de la entrada anterior:

"...parece claro que la única manera de huir de la comoditización, y de ser vistos única y exclusivamente como un centro de coste, es creando y demostrando valor. Y la mejor manera de hacerlo es conociendo qué es importante para el negocio en general y para las diferentes áreas y sus responsables en particular.."

Consumerización de TI

Partamos de la premisa de que parece claro que la comoditización y consumerización de las TI está acelerando la transición hacia los servicios básicos (commodity) de TI a la vez que está permitiendo la toma de decisiones sobre TI, fuera del departamento de TI, por parte del resto de líneas o áreas de negocio de la organización.

La comoditización lleva inevitablemente al Director de TI o CIO a discutir de precios con el negocio, a que determinados servicios que presta el departamento de TI se vean únicamente cómo un coste. Esto es así porque el negocio no aprecia valor en ellos y no está dispuesto a gastar más de lo necesario por un servicio que considera básico.

La consumerización, especialmente a través de las soluciones y servicios cloud, pone al alcance de los responsables de negocio un abanico ingente de soluciones fácilmente parametrizables (aunque no necesariamente integrables) al margen del control del departamento de TI. Esto les ayuda a tener la sensación, a veces real, de que por fin las TIC se mueven a su misma velocidad, la del negocio.

Respecto de la comoditización, parece claro que la única manera de huir de ella, y de ser vistos única y exclusivamente como un centro de coste, es creando y demostrando valor. Y la mejor manera de hacerlo es conociendo qué es importante para el negocio en general y para las diferentes áreas y sus responsables en particular.

Respecto de la consumerización, el Departamento de TI tiene básicamente dos opciones. La primera consistiría en tratar de “poner puertas al campo” restringiendo el uso de tecnología internamente y, en consecuencia, acabando con la innovación que les solicita el negocio. En la segunda opción, el departamento de TI proporcionaría servicios centrales de apoyo al uso de dichas tecnologías proporcionando, además, un marco de cumplimiento, gestión e incluso operación de las mismas.

Parece claro, por tanto, que como respuesta a estas dos tendencias, el Departamento de TI debe potenciar la provisión de sus servicios profesionales de TI. Es decir, de aquellos servicios que asesoran al negocio en base la experiencia en determinadas áreas conocimiento específico.

Me estoy refiriendo a servicios de alto valor para el negocio que debe realizar o liderar el departamento de TI. Un ejemplo podría ser la realización de un Plan Director de Seguridad, de un Plan Director de Sistemas, de un Plan de Contingencia de TI (BIA y Análisis de Riesgos incluido) o de un análisis de los riesgos o implicaciones del uso de aplicaciones de social media para comunicarse con los usuarios o clientes. Incluso, y debido al carácter transversal del Departamento de TI, éste puede ser el mejor preparado para realizar un Plan de Continuidad de Negocio o un análisis de riesgos operacionales del negocio.

Gestión de Licencias de Software

Las organizaciones se gastan una fortuna en licencias cada año y muchas veces no tienen implementados los mecanismos de gestión adecuados para garantizar que 1) sólo tienen instalado software legal y 2) sólo se han comprado e instalado las licencias necesarias.

Por tanto, la gestión de las licencias de software ha de servir para garantizar que se mantiene un número óptimo de licencias para apoyar los requerimientos del negocio y que el número de licencias en propiedad es suficiente para cubrir el software instalado en uso.

La primera fase para implementar una gestión de licencias de software consiste en realizar una auditoría con el objetivo de conocer:

• ¿Qué licencias hemos comprado y a qué contratos van asociadas?. Podemos tener licencias de todo tipo: licencias numeradas, concurrentes, asociadas a Enterprise Agreements (EA), OEM, de evaluación, free…
• ¿Cuánto nos están costando?
• ¿Qué instancias de software tenemos instaladas?
• ¿Quién está usando este software?
• Y si realmente lo está usando, ¿es necesario?

Para responder a las dos primeras preguntas sería muy bueno disponer de una herramienta de gestión de activos que permitiera a la organización gestionar de forma adecuada todo el ciclo de vida de los mismos. Si no es así, habrá que recurrir a un inventario manual. Para responder a las tres últimas, es necesario utilizar una herramienta de auditoría de software que realice el inventario de todo el software existente en los equipos.

Una vez respondidas las preguntas anteriores, es necesaria una segunda fase de análisis en la que comparemos el número de instancias de software instalado con el número de licencias de propiedad. En caso de que dichas instancias sean inferiores al número de propiedad, se deberá decidir si existe la necesidad de mantener o cancelar las licencias, teniendo en cuenta la posibilidad de ahorrar en costes de mantenimiento innecesario, capacitación y otros costes.

Cuando las instancias instaladas sean superiores a las de propiedad, será interesante plantearse la posibilidad de desinstalar licencias no necesarias o justificadas o, si es necesario, comprar las licencias que faltan para cumplir con los acuerdos de licenciamiento. La herramienta de auditoría de software nos puede ayudar a conocer el uso del software instalado y justificar la desinstalación de aquellas licencias no usadas.

Por último, en una tercera fase debemos:

• Implementar los procesos necesarios para gestionar el ciclo de vida del software. Mantener actualizada una línea base de software comprado e instalado mediante la implementación de políticas de usuario y del proceso de gestión de peticiones de servicio que  lleven asociada una instalación, retirada o actualización de software. 
• Asignar las responsabilidades necesarias para mantener y mejorar dicho proceso.
• Regularmente, analizar si podemos obtener más valor para el negocio a través de la actualización o renovación de productos y licencias.

5 razones para realizar un Plan Director de Seguridad

Actualmente, las empresas y organizaciones han de hacer frente a diversos retos en lo que respecta a la gestión de la seguridad de la información.

• Un marco de cumplimiento legal y normativo cada vez más amplio y complejo.
• Una creciente dependencia, diversidad y complejidad tecnológica.
• Una organización cada vez más extensa donde clientes, proveedores, partners y empleados quieren y/o necesitan acceder a información en cualquier momento y desde cualquier lugar.
• Nuevos entornos tecnológicos, de relación y gestión como las redes sociales, la tecnología móvil, el cloud, etc.

Además, las organizaciones en general y los departamentos de TI en particular han de afrontar estos retos intentando aportar valor al negocio y ajustando los costes asociados a las Inversiones y al soporte y entrega de los servicios de TI.

Para abordar esta situación es imprescindible identificar los requerimientos de seguridad y el nivel adecuado de gestión que ha de implementar la organización. La respuesta para poder cumplir con estos requerimientos de seguridad e idoneidad consiste en la definición e implementación de controles de tipo técnico, legal, procedimental y organizativo que se han de establecer en el marco de un Plan Director de Seguridad.

El Plan Director de Seguridad nos va a permitir:

1. Reducir los riesgos. Es necesario conocer a qué riesgos ha de hacer frente el negocio mediante un análisis de los mismos con el objetivo de eliminarlos o minimizar el impacto asociado a la materialización de las amenazas existentes.
2. Ahorrar costes. Racionalización de los recursos en base a la eliminación de Inversiones o costes innecesarias o ineficientes debidos a la infra o sobreestimación de los riesgos.
3. Cumplir con la legislación vigente. Aseguramiento del cumplimiento del marco legal y normativo que protege a la empresa eliminando los riesgos y sanciones asociados.
4. Disponer de una visión integral de la seguridad desde una visión estratégica de la misma que desemboque en planes y medidas tácticas y operativas. Visión integral que permite aunar esfuerzos a la hora de implementar y gestionar controles idénticos o similares que provienen de requerimientos diferentes (LOPD, SOX, ISO27000, PCI, etc…). El objetivo final es disponer de un cuadro de mando de la seguridad que llegue a permitirnos conocer el nivel de riesgo de la organización.
5. Mejorar la competitividad en el mercado. Mejorar la confianza en el negocio entre clientes, proveedores y socios con los que se comparte e intercambia información.

Reducción costes vs Inversión en nuevas tecnologías

El reto del CIO continúa estando relacionado con la reducción de costes versus la inversión en nueva tecnología. La idea es que es necesario recortar en algunos sitios para poder invertir en aquellos otros que puedan ayudar al negocio a ser más competitivo.

Respecto al recorte del gasto, a día de hoy ya se ha recortado en todo aquello que es obvio o fácilmente identificable, por lo que la aplicación de nuevos recortes seguramente será bastante más compleja y requerirá análisis coste-beneficio más detallados y elaborados.

Respecto a la inversión en tecnología que ayude a empujar el negocio parece claro que debe ir entorno al cloud, la tecnología móvil y el social media. Es lo que recomienda Gartner quien nos urge a encontrar dinero para invertir en estas tecnologías. De ahí la necesidad de recortar en otros sitios.

¿Dónde podemos recortar u optimizar el departamento de TI?. Básicamente en ideas o medidas que ya están aplicando la mayoría de empresas en mayor o menor medida:

• Racionalizando el uso de la infraestructura. Eliminando infraestructura duplicada o infrautilizada, consolidando centros de datos.
• Racionalizando el uso de aplicaciones. Cuestionando su utilización por que no son estratégicas, su mantenimiento es muy caro, se utiliza un porcentaje bajo toda su funcionalidad, su función la realiza otra aplicación o el ERP de turno, etc. En definitiva, intentando maximizar todo el potencial o la inversión de dichas aplicaciones y de la infraestructura que las soporta.
• Monitorizando el uso del software para racionalizar el coste de licenciamiento.
• Monitorizando el nivel de servicio de los proveedores y revisando los contratos y procesos asociados a la adquisición de dichos servicios.
• Mejorando la eficiencia en base a la optimización de los procesos de gestión de la organización de TI. Implementando mejoras rápidas (el tan manido concepto de quick wins) y haciendo participe a los usuarios en la reingeniería de dichos procesos.

Para todo lo anterior es imprescindible tener un conocimiento profundo de qué servicios de TI ofrecemos, cómo los estamos soportando y entregando y cómo están ayudando a los procesos de negocio de la organización.

Respecto a la inversión que nos propone Gartner, es imprescindible que el CIO tome el liderazgo tecnológico con el fin de garantizar el buen gobierno y gestión de las TIC gracias a su visión transversal de los procesos de la compañía. ¿Por qué?. Básicamente porque las líneas de negocio  y los usuarios cada vez tienen la posibilidad de disponer de más tecnología por sí mismos y de hacerlo al margen del departamento de TI. De nuevo, según Gartner, a final de la década, un muy alto porcentaje del gasto en tecnología de las empresas se realizará fuera de TI.

El Data Privacy Institute publica el libro “Estudio de impacto y comparativa con la normativa española de la propuesta de Reglamento General de Protección de Datos de la Unión Europea”

Desde que viera la luz el pasado 25 de enero de 2012 el borrador del Reglamento General de Protección de Datos de la Unión Europea, surgió la necesidad entre los profesionales de la privacidad de evaluar el “gap” que suponía este reglamento con respecto a la legislación vigente a nivel nacional en materia de protección de datos, es decir la Ley 15/1999 y el RD 1720/2007.

Este duro y necesario trabajo lo ha realizado los profesionales que conforman el Data Privacy Institute que durante 9 largos meses se han dedicado a analizar detalladamente este borrador de Reglamento General, generando un libro que compara cada  articulo del mismo con la legislación vigente a nivel nacional. Este libro es sin duda una base de conocimiento inicial y esencial que deben obtener las empresas de cara al cambio sustancial que se aproxima.

He de recordar que este futuro Reglamento (que deberá aprobarse antes de marzo de 2014) tendrá una aplicación directa sobre todas las organizaciones europeas que tienen que cumplir con la normativa, logrando una armonización inexistente hoy en día. Sin embargo, este Reglamento General nace con el reto de coexistir con la normativa nacional de los Estados miembros, hecho donde quizás en España tengamos cierta ventaja ya que existe una cultura y conocimiento de la protección de datos gracias a las normas publicadas desde el año 1992 (LORTAD, LOPD, RMS y RD 1720/2007 principalmente) aunque en este borrador existen novedades que sin duda requerirán de esfuerzos importantes en el seno de las empresas españolas.

No pretendo en este artículo explicar en detalle el conjunto de novedades que se exponen en este borrador, (para ello recomiendo este libro) pero si me gustaría hacer hincapié en la nueva visión que aporta este borrador, describiendo un marco de GRC (Gobierno, Riesgo y Cumplimiento)  donde se alineen los objetivos de negocio con requerimientos de privacidad, analizando los riesgos y teniendo en cuenta la privacidad desde la concepción de los sistemas de tratamiento de datos. Es aquí donde nacen los conceptos de Accountability, Privacy by Design, Privacy by Default y el Privacy Impact Assesment que obligaran a las empresas a preocuparse de la privacidad desde el primer momento que se implementen nuevos procesos en las empresas. En mi opinión será necesario hacer un importante esfuerzo entre los profesionales de la privacidad para hacer ver al negocio que los requerimientos de privacidad no son un impedimento al negocio sino que puede ser desencadenantes de retornos de la inversión a través de un reforzamiento de la imagen, un mejor posicionamiento en el mercado y una mayor confianza de los stakeholders.

Otros puntos novedosos a destacar es la incorporación de la figura del Delegado de Protección de Datos una figura que deberá existir en organizaciones de más de 250 empleados y que será la encargada de velar por la privacidad en la organización. Será un rol directivo cuya misión deberá ser trasladar los requerimientos de privacidad a la Dirección y cuyo reto deberá residir en el retorno de la inversión como valor añadido al cumplimiento legal. Otras novedades son la aparición de mecanismos y procedimientos como las consultas previas, certificaciones orientadas a privacidad, la notificación de violaciones de seguridad, el establecimiento de los derechos al olvido y a la portabilidad de datos, la evaluación del impacto desde el punto de vista de la privacidad de los nuevos sistemas de tratamiento de datos (Privacy Impact Assesment) y los cambios sustanciales que se producen tanto en el ámbito de aplicación de la norma como los criterios sancionadores.

A modo de conclusión es importante señalar que este borrador define una serie importante de novedades, algunas con impactos mínimos pero otras con impactos severos como hemos comentado y que requerirán esfuerzos muy importantes por parte de las organizaciones. La mayor incógnita reside en las dudas existentes en cuanto a cómo va a ser la estrategia de evolución entre el modelo europeo y el nacional, cuestión todavía por definir.  Sin duda alguna se aproximan tiempos de duro trabajo tanto para los profesionales de la privacidad como para las empresas europeas.