Categoría Noticias

Ya en la gran mayoría de nuestras organización se emplean Tecnologías de la Información como soporte de los procesos de negocio, y con toda seguridad habrá oído hablar del principal Sistema de Gestión que lo gestiona: la norma ISO/IEC 20000 para la gestión de servicios. Y es difícil  imaginar una empresa en la que no se utilicen TIC, absolutamente asombroso resultaría ignorar la naturaleza vital y dinámica de cualquier marco de gestión: Ya la ISO ha publicado en septiembre 2018  la tercera edición de la norma.

Bajo el paraguas de la norma ISO 9001, de Sistemas de Gestión de la Calidad, e integrado con otros sistemas de gestión, como el de Seguridad de la Información (ISO/IEC 27001) o el de Continuidad de Negocio (ISO 22301), ISO 20000-1 define un amplio catálogo de requisitos para un desempeño eficaz y eficiente de las Tecnologías de la Información que, además, debe ser capaz de seguir el vertiginoso ritmo de unos procesos de negocio cada vez más ágiles y digitalizados. La vigente versión fue publicada en 2011 (para Colombia 2012).

Cabe recordar que, precisamente un año más tarde, en 2012, ISO establecía que toda nueva edición de un estándar para un sistema de gestión debería adecuarse a una estructura de alto nivel (HLS) común definida en el Anexo SL de ISO; es decir, el índice y, consecuentemente, parte del contenido, debían unificarse. De este modo, se favorece la comprensión de los estándares y su aplicación conjunta e integrada. Por lo tanto, éste era un ejercicio de alineamiento y convergencia pendiente para el Sistema de Gestión de Servicios ISO/IEC 20000-1.

Ya en 2015 el Grupo de Trabajo internacional ISO/IEC JTC1 SC40 WG2 inició sus trabajos bajo la dirección de la editora del estándar, Lynda Cooper, quien, a finales del pasado mes de enero, ha sometido al procedimiento de votación internacional el primer borrador “committee draft” dejando atrás tres borradores preliminares; en él se trazan las líneas maestras de lo que será la nueva edición de esta norma.

Entre las principales novedades que anticipa este borrador se encuentran las siguientes:
El proceso de gestión de niveles de servicio se dividirá en dos: gestión del catálogo de servicios y gestión de niveles de servicio. También se separan en dos, gestión de la disponibilidad y gestión de la continuidad de servicios o gestión de incidencias y peticiones de servicio. Se añaden procesos nuevos como gestión de activos, la gestión de la demanda o la gestión del conocimiento. Sin embargo, el nuevo estándar hace énfasis en que la organización por procesos es a nivel de requisitos que se han de cumplir. El número de procesos que efectivamente se implementen en cada organización pueden variar, siempre y cuando se pueda evidenciar cumplimiento de todos los requisitos.

Se elimina la necesidad de tener planes de disponibilidad o capacidad, aunque se mantiene el plan de continuidad y plan de gestión de servicios. Eso no quiere decir que no haya que planificar la disponibilidad o la capacidad, pero deja de ser obligatorio tener un documento específico para cada plan.

Los requisitos de muchos procesos se actualizan y clarifican para asegurar su aplicación en paradigmas actuales de computación como cloud computing o outsourcing. También se mejora la redacción de algunos requisitos que resultaban confusos.

Existen otro tipo de cambios, derivados de la adaptación al anexo SL de ISO que, aunque puedan parecer menores, están teniendo cierto impacto. Es el caso de tener que sustituir “proveedor de servicio” por “organización”, añadir nuevos requisitos sobre el contexto del sistema de gestión o hacer mayor énfasis en la gestión de objetivos.

Sin duda, la nueva edición de la norma aportará una mejora en el alineamiento de este sistema de gestión de servicios con otros marcos de referencia ampliamente reconocidos y, por ende, implicará un aumento de la integración y del protagonismo de las Tecnologías de la Información en unos procesos de negocio que necesitan de ellas como elemento dinamizador y diferencial.

Los nuevos requisitos del estándar en su versión 2018 afectan principalmente a:

• La planificación de servicios
• La gestión administrativa
• La gestión de activos
• Gestión de la demanda
• Servicios de entrega

Requisitos en la documentación de procesos

• Se reduce el número de procedimientos documentados requeridos
• El requisito de documentar el plan de Capacidad y Disponibilidad se sustituye por requisitos para planificar la disponibilidad del servicio y la capacidad
• Los requisitos de CMDB (configuration management database) se sustituye por nuevos requisito de información de configuración
• La definición de una Política de liberación de servicios ahora son requisitos para definir tipos de liberación y frecuencia.
• La Política de mejora continua ahora debe de considerarse en requisitos para determinar los criterios de evaluación y oportunidades de mejora
• La cláusula de notificación del servicio ahora se contempla dentro de las cláusulas para elaboración de informes

Más información aqui

ISO 22301:2012 ha sido una conclusión de los esfuerzos del ámbito empresarial internacional por obtener un estándar que nos ayude a gestionar la Continuidad de un negocio y/o actividades de una organización. Como precedente a este estándar nos encontramos con la norma Británica BS 259999 que actuó como base e impulsora de la actual ISO 22301 Gestión de la Continuidad del Negocio publicada por la Organización Internacional de estandarización ISO.

Las claves para entender la norma ISO 22301 pasan entender que se trata de:

• Establecer una base común de conocimiento para entender la continuidad del Negocio
• Desarrollar e implantar una política de Continuidad del Negocio en una organización
• Acreditar la conformidad y compromiso de una organización con las mejores prácticas internacionales en Continuidad del Negocio.

En abril de 2015 se publicó ISO/IEC  TS 38501,  la nueva guía para la implementación de gobierno de las Tecnologías de la Información y Comunicaciones (TIC). La familia 38500 es aplicable a todas las organizaciones, desde las más pequeñas hasta las más grandes, independientemente de qué tipo sea.

El objetivo de ISO / IEC 38500 es proporcionar principios, definiciones, y un modelo que los órganos de gobierno puedan utilizar para evaluar, dirigir y supervisar el uso de tecnología de la información  en sus organizaciones.

ISO / IEC 38500: 2015  hace referencia a ISO/IEC  TS 38501: 2015   Guía de implementación de gobierno de las TIC, e ISO / IEC TR 38502: 2014 Marco y modelo de Gobierno de TI.

El Informe Cadbury fue publicado por el Comité de Aspectos Financieros del Gobierno Corporativo,  en 1992.  Sirvió como fundamento para la definición de Gobierno Corporativo presentada en el documento “Principios de Gobierno Corporativo” publicado por la OECD (Organización para la Cooperación y el Desarrollo Económico) en 1999 (revisada en 2004). 

Como una extensión natural del concepto de Gobierno Corporativo surge la definición de Gobierno Corporativo de las TIC, presentado en la primera edición de la norma internacional ISO/IEC 38500 Gobierno Corporativo de las TIC, la cual se publicó en junio del 2008: El sistema por el cual el uso actual y futuro de TI es dirigido y controlado.

En febrero de 2015 fue publicada la segunda edición de ISO / IEC 38500, esta vez con el título “Gobierno de TI para la organización”.  En la cláusula de Términos y Definiciones se aclara con una nota que el gobierno corporativo es el gobierno organizacional aplicado a las corporaciones y  que la definición gobierno corporativo  se incluye para aclarar la evolución en la terminología respecto a la edición anterior.

ISO / IEC 38500: 2015  presenta los beneficios de contar con un buen gobierno de las TIC, basado en principios y un modelo  que los órganos de gobierno  pueden utilizar.  ¿Qué órganos de gobierno? El principio número uno del Informe King III nos responde diciendo “La junta directiva  debe ser responsable del gobierno de tecnología de la información”.  En las matrices RACI de COBIT 5, se puede observar que la letra “A”  por Accountability que indica la rendición de cuentas de cada una de las prácticas de gobierno está asignada al Board. En la traducción al español de ISACA de Madrid figura el Consejo de Administración. 

ISO / IEC 38501: 2015 plantea un enfoque de implementación en el que se requiere establecer y mantener un entorno apropiado para  el gobierno de las TIC y llevar a cabo una revisión continua.  Se centra en los resultados en vez de los medios para lograrlos.

ISO / IEC 38502: 2014 trata acerca del Modelo Evaluar-Dirigir-Supervisar  para el Gobierno de las TIC, hace la distinción entre gobierno y gestión de TI, y provee una guía para la aplicación del modelo, reconociendo que  para que exista un buen gobierno de TI se requiere  establecer un sistema eficaz de control interno en la organización.  Habla también de delegación e indica que los aspectos del gobierno de las TIC pueden ser atendidos por los gerentes, si tienen la responsabilidad y autoridad apropiada asignada por el órgano de gobierno.

Si considera que las TIC  juega un papel importante en su organización, debería leer y estudiar estas normas. Muchos problemas a los que se enfrentas las organizaciones hoy en día como por ejemplo: proyectos que terminan tarde y se pasan del presupuesto, entregables que no cumplen con los requerimientos, servicios interrumpidos, personal de las TIC frustrado que trabaja en un horario excesivo y que aun así no logra satisfacer la demanda, etc., no son problemas de raíz, sino apenas el síntoma de un mal mayor, la deficiencia o carencia del Gobierno de las TIC.

Más información aqui

La NTC-ISO/IEC 20000-1: 2012 es la especificación formal para la gestión de servicios de TI. Define claramente en 31 páginas todos los requisitos que necesita para ofrecer servicios de TI gestionados y alcanzando un nivel de calidad aceptable para los clientes.

Los requisitos del sistema de gestión de servicios se resumen en:

SECCIÓN 4: REQUISITOS GENERALES DEL SISTEMA DE GESTIÓN DE SERVICIOS
La alta dirección deberá proporcionar evidencia de su compromiso con la planificación, establecimiento, implementación, operación, monitoreo, revisión, mantenimiento y mejora de los SGS y los servicios a través de:

• Establecer y comunicar el alcance, la política y los objetivos para la gestión del servicio;
• Creando un plan de gestión del servicio con el fin de cumplir con la política y lograr los objetivos para la gestión del servicio y los del propio servicio;
• Comunicar la importancia de cumplir con los requisitos del servicio;
• Comunicando la importancia de cumplir con los requisitos reglamentarios y legales y las obligaciones contractuales;
• Asegurando la provisión de recursos;
• Planificar y realizar auditorías internas y revisiones de la administración;
• Asegurando que los riesgos a los servicios sean evaluados y gestionados.

GOBIERNO DE LOS PROCESOS OPERADOS POR OTRAS PARTES
(Secciones 5 a 9) Un requisito importante es la necesidad de que cualquier proveedor de servicios TI deberá identificar todos o parte de los procesos que sean operados por otras partes (es decir, un grupo interno, un cliente o un proveedor). El proveedor del servicio deberá demostrar que es quien controla y gobierna los procesos operados por otras partes.

GESTIÓN DE LA DOCUMENTACIÓN

El proveedor del servicio debe establecer y mantener documentos, incluyendo registros, para garantizar una planificación, operación y control efectivos del SGS (Sistemas de Gestión de Servicios).

ADMINISTRACION DE RECURSOS
El proveedor del servicio debe determinar y proporcionar los recursos humanos, técnicos, de información y financieros necesarios para establecer, implementar y mantener el SGS. Además, el personal debe ser competente sobre la base de formación, capacitación, habilidades y experiencia apropiadas.

ESTABLECER Y MEJORAR EL SGS
Los pasos que debe seguir el proveedor del servicio para establecer y mejorar el SGS son:

Definir el alcance del sistema de Gestión de Servicios

Planificación del SGS (Planear)

Implementando y operando el SGS (Hacer)

Monitoreo y revisión del SGS (Verificar)

Mantenimiento y mejora del SGS (Actuar )

SECCIÓN 5: DISEÑO Y TRANSICIÓN DE SERVICIOS NUEVOS O MODIFICADOS
El proceso de gestión y control de cambios contempla la necesidad de las empresas de incorporar nuevos servicios o mejorar los existentes, estableciendo requisitos para el proceso de diseñas incorporar y realizar la transición a los nuevos servicios.

Para ello se establecen requisitos para los siguientes procesos

Planificar los servicios nuevos o modificados: identificación de los requisitos de servicio para el servicio nuevo o modificado;

Diseño y desarrollo de servicios nuevos o modificados: diseño y documentación del servicio nuevo o modificado;

Transición de servicios nuevos o modificados: prueba del nuevo servicio para verificar el cumplimiento de los requisitos del servicio y diseño documentado.

SECCIÓN 6: PROCESOS DE PRESTACIÓN DEL SERVICIO
En esta cláusula se establecen requisitos para los siguientes procesos relacionados con la entrega del servicio:

Gestión del Nivel de Servicio: es una serie de actividades que incluyen

• Creando un catálogo de servicios;
• Establecer uno o más SLA (Service Level Agreement – Acuerdos de niveles de Servicio) para cada servicio;
• Monitoreo de los niveles de servicio;
• Informes sobre los resultados; y
• Revisando niveles de servicio.

Presentación de Informes de servicio: Requisitos para la descripción de cada informe de servicio, incluyendo:

• Su identidad,
• propósito,
• audiencia,
• frecuencia y
• detalles de las fuentes de datos,

Gestión de la continuidad y la disponibilidad  del servicio: el proveedor del servicio evaluará y documentará los riesgos para la continuidad del servicio y la disponibilidad de los servicios

El proveedor del servicio establecerá con los clientes y las partes interesadas los requisitos de continuidad y disponibilidad del servicio.

Además, el proveedor del servicio deberá tener un plan de continuidad y disponibilidad del servicio.
La disponibilidad de los servicios debe ser monitoreada, los resultados registrados y comparados con los objetivos acordados.

Presupuesto y  contabilidad de los servicios: requisitos para la evaluación de los costos a nivel presupuestario para permitir un control financiero efectivo y la toma de decisiones para los servicios prestados.

Gestión de la capacidad: Requisitos para identificar y acordar los requisitos de capacidad y rendimiento de los servicios con el cliente y las partes interesadas para garantizar que el proveedor del servicio tenga la capacidad suficiente para satisfacer las necesidades actuales y futuras de los clientes.

Gestión de la seguridad de la información: requisitos para

Estableces una política de seguridad de la información teniendo en cuenta los requisitos del servicio, incluyendo los requisitos legales y reglamentarios y las obligaciones contractuales.

Requisitos para garantizar que los proveedores de servicios administren efectivamente la seguridad en todas las actividades de servicio.

SECCIÓN 7: PROCESOS DE RELACIÓN
Se establecen requisitos para dos procesos de relación con respecto a la administración de los servicios TI:

Gestión de relaciones con el negocio: requisitos para establecer y mantener unas buenas las relaciones entre el proveedor de servicios y el cliente, basadas en la comprensión del cliente y sus unidades de negocio.

Gestión de los proveedores: requisitos para la gestión de proveedores con el objetivo de garantizar la prestación de servicios de calidad constante.

SECCIÓN 8: PROCESOS DE SOLUCIÓN
Esta cláusula incluye requisitos para la gestión de incidentes, solicitudes de servicio, y gestión de problemas.

Para ello la norma se fija en las mejores prácticas existentes en muchas organizaciones para procesar informes de incidentes y procesos de cambio de servicio a través de un proceso común.

La gestión de incidentes persigue el restablecimiento de la normal prestación de servicios lo antes posible ante la ocurrencia de un incidente y minimizar las interrupciones.

También es importante el establecimiento de requisitos para identificar y analizar la causa de los incidentes y así facilita la gestión de los problemas hasta el cierre de los mismos.

SECCIÓN 9: PROCESOS DE CONTROL
En esta cláusula se describen los siguientes procesos y sus requerimientos

Gestión de la configuración: Se refiere a la gestión de los activos del servicio y sus elementos de configuración (CI) para admitir otros procesos de gestión de servicios.
NOTA :Un elemento de configuración se refiere a cualquier componente que requiera ser controlado.
P. ej. Router, documentación, motor de BD, portátiles, teléfonos etc.
Se establecen requisitos para:

• Los registros de configuración y los registros de deficiencias como documentos requeridos para la administración de la configuración.
• Definir y controlar los componentes del servicio y mantener una información de configuración precisa.

Gestión del cambio: se establecerá una política de gestión del cambio que defina:

• Los elementos de configuración que están bajo el control de la gestión del cambio;
• Los criterios para determinar los cambios con potencial de tener un gran impacto en los servicios o el cliente.
• Requisitos para garantizar que todos los cambios sean evaluados, aprobados, implementados y revisados de manera controlada.

Gestión de versiones e implementaciones: el proveedor del servicio debe establecer y acordar con el cliente una política de liberación de servicios que considere la frecuencia y el tipo de puesta en marcha de un servicio.
Planificar con el cliente el despliegue de los servicios nuevos o modificados y los componentes del servicio en el entorno en vivo.
La planificación debe coordinarse con el proceso de gestión del cambio e incluir referencias a las solicitudes de cambio relacionadas, errores conocidos y problemas que se cierran a través de la puesta en marcha.
Las liberaciones de emergencia se deben administrar de acuerdo con un procedimiento documentado que se relacione con el procedimiento de cambio de emergencia.
Se debe monitorear y analizar el éxito o el fracaso de las versiones y se debe proporcionar información al proceso de gestión de cambios, los procesos de gestión de solicitudes de incidentes y servicios.

Más información aqui