Marcos de Referencia para la gestión de servicios de TI

Gestión de Servicios de las Tecnologías de la Información

La gestión de servicios de tecnologías de la información es una disciplina basada en procesos, enfocada en alinear los servicios de TI proporcionados con las necesidades de las empresas, poniendo énfasis en los beneficios que puede percibir el cliente final. GSTI propone cambiar el paradigma de gestión de TI, por una colección de componentes enfocados en servicios de punta a cabo usando distintos marcos de trabajo con las "mejores prácticas". Como ejemplos de ellas podemos mencionar a ITIL y COBIT.

Elementos de un sistema de gestión de servicios de TI

ITIL

Desarrollada a finales de los 80s, ITIL se ha convertido en un estándar para la administración de servicios. En sus inicios en la Gran Bretaña permitió que se administrara de manera eficaz y eficiente los costos de los recursos; por que demostró ser útil a las organizaciones en todos los sectores.

¿Qué es ITIL?

ITIL, Information Technology Infrastructure Library, es una colección de las mejores prácticas observadas en la industria de TI. Es un conjunto de libros en los cuales se encuentran documentados todos los procesos referentes a la provisión de servicios de tecnología de información hacia las organizaciones.

ITIL por medio de procedimientos, roles, tareas, y responsabilidades que se pueden adaptar a cualquier organización de TI, genera una descripción detallada de mejores practicas, que permitirán tener mejor comunicación y administración en la organización de TI. Proporciona los elementos necesarios para determinar objetivos de mejora y metas que ayuden a la organización a madurar y crecer.

ITIL esta dividido en 10 procesos, mismos que están divididos en 5 procesos operacionales (libro azul) y 5 tácticos (libro rojo), además de incluirse dentro de los procesos operacionales una función que es la de service desk.

Libro azul

• Incident management

• Problem management

• Configuration management

• Change management

• Release management

• Función de service desk

Libro rojo

• Service Level management

• Financial management for IT service

• Availability management

• Capacity management

• IT service continuity management

• Security management

Visión General de ITIL y elementos que lo conforman

Las ventajas de ITIL para los clientes y usuarios

• Mejora la comunicación con los clientes y usuarios finales a través de los diversos puntos de contacto acordados.

• Los servicios se detallan en lenguaje del cliente y con más detalles.

• Se maneja mejor la calidad y los costos de los servicios.

• La entrega de servicios se enfoca mas al cliente, mejorando con ello la calidad de los mismos y relación entre el cliente y el departamento de IT.

• Una mayor flexibilidad y adaptabilidad de los servicios.

Ventajas de ITIL para TI

• La organización TI desarrolla una estructura más clara, se vuelve más eficaz, y se centra más en los objetivos de la organización.

• La administración tiene un mayor control, se estandarizan e identifican los procedimientos, y los cambios resultan más fáciles de manejar.

• La estructura de procesos en IT proporciona un marco para concretar de manera mas adecuada los servicios de outsourcing.

• A través de las mejores prácticas de ITIL se apoya al cambio en la cultura de TI y su orientación hacia el servicio, y se facilita la introducción de un sistema de administración de calidad.

• ITIL proporciona un marco de referencia uniforme para la comunicación interna y con proveedores.

Desventajas de ITIL

• Tiempo y esfuerzo necesario para su implementación.

• Que no de se de el cambio en la cultura de las área involucradas.

• Que no se vea reflejada una mejora, por falta de entendimiento sobre procesos, indicadores y como pueden ser controlados.

• Que el personal no se involucre y se comprometa.

• La mejora del servicio y la reducción de costos puede no ser visible.

• Que la inversión en herramientas de soporte sea escasa. Los procesos podrán parecer inútiles y no se alcancen las mejoras en los servicios.


Entendiendo ITIL con un ejemplo de la vida real 

VER VIDEO --> https://www.youtube.com/watch?v=vBguassbAzo

COBIT

¿Qué es COBIT?

Objetivos de Control para Información y Tecnologías Relacionadas (COBIT, en inglés: Control Objectives for Information and related Technology) es una guía de mejores prácticas presentado como framework, dirigida al control y supervisión de tecnología de la información (TI). Mantenido por ISACA (en inglés: Information Systems Audit and Control Association) y el IT GI (en inglés: IT Governance Institute), tiene una serie de recursos que pueden servir de modelo de referencia para la gestión de TI, incluyendo un resumen ejecutivo, un framework, objetivos de control, mapas de auditoría, herramientas para su implementación y principalmente, una guía de técnicas de gestión.

Principios de COBIT

Misión de COBIT

La misión de COBIT es investigar, desarrollar, publicar y promocionar un conjunto de objetivos de control generalmente aceptados para las tecnologías de la información que sean autorizados (dados por alguien con autoridad), actualizados, e internacionales para el uso del día a día de los gestores de negocios (también directivos) y auditores. 

Gestores, auditores, y usuarios se benefician del desarrollo de COBIT porque les ayuda a entender sus Sistemas de Información (o tecnologías de la información) y decidir el nivel de seguridad y control que es necesario para proteger los activos de sus compañías mediante el desarrollo de un modelo de administración de las tecnologías de la información.

Ventajas de COBIT

• Optimizar los servicios el coste de las TI y la tecnología
• Apoyar el cumplimiento de las leyes, reglamentos, acuerdos contractuales y las políticas
• Gestión de nuevas tecnologías de información

Entendiendo COBIT

VER VIDEO --> https://www.youtube.com/watch?v=Y8kqh9q3Jwg

Riesgo y Conformidad

¿Qué es la administración de riesgos?

La Administración del Riesgo Empresarial (Enterprise Risk Management-ERM) es el proceso por el cual la dirección de una empresa u organización administra el amplio espectro de los riesgos a los cuales está expuesto (tanto sean de mercado como operacionales) de acuerdo al nivel de riesgo al cual están dispuestos a exponerse según sus objetivos estratégicos. Así, ya en el terreno del impacto de la TI sobre este tema, la evaluación de riesgos y vulnerabilidades ayuda a identificar y evaluar los riesgos operativos, poniendo énfasis en los activos de IT físicos y lógicos, pudiendo incluir una revisión de las instalaciones y la seguridad de los elementos lógicos y físicos. 

Uno de los desafíos claves es recolectar y analizar numerosos datos (de acuerdo al rango de riesgos definido), así Riesgos, Conformidad a Normas y Funciones de TI enfrentan la paradoja de tener que disponer de mayor volumen de datos de los sistemas corporativos para contar con más información dinámica y compleja, pero al mismo tiempo seguir manteniendo los costos de implementación y los riesgos bajo control. De esta manera, se obtiene una mayor comprensión de las exposiciones que suponen los mayores riesgos en la interrupción de su empresa, de modo que se puedan implementar las técnicas de mitigación apropiadas. 

Desafios

A medida que dependen cada vez más del continuo funcionamiento de los sistemas de información, las empresas actuales enfrentan una creciente exposición a los riesgos informáticos. En el mundo actual, hasta la máxima dirección está preocupada por los riesgos informáticos, ya que la tecnología informática claramente sostiene cada proceso comercial de la empresa. 

Los riesgos informáticos típicos incluyen pérdida de productividad o negocios debido al tiempo de inactividad, responsabilidad por brechas de seguridad que exponen la información de los clientes, multas por violaciones de normas y la imposibilidad de defenderse de demandas debido a la conservación inadecuada de registros. No todos los riesgos provienen de sucesos inevitables, como una inundación o un terremoto. Muchos de los riesgos informáticos son provocados por contratiempos operacionales, procesos inadecuados, mayores requisitos normativos u otros factores más controlables.

Soluciones

Para evitar ello, es preciso combinar un conjunto de las mejores prácticas que se desprenden de numerosas organizaciones, grandes y complejas, para hacer frente a los riesgos informáticos de sus entornos a los efectos de poner en marcha una administración de riesgos informáticos efectiva mediante priorizar y planificar opciones de mitigación, calcular los impactos comerciales de los riesgos informáticos, diseñar soluciones, alinear los riesgos informáticos y los costos con la empresa para optimizar las inversiones y construir una capacidad unificada para administrar los riesgos informáticos de manera continua.

Beneficios

Permite identificar los activos empresariales que están en máximo riesgo, valuar las vulnerabilidades y los impactos potenciales, y proponer resguardos y tácticas de mitigación, lo que permitirá: 

• Priorizar y establecer niveles de riesgo para sus procesos y recursos empresariales críticos. 

• Pasar de un enfoque de mitigar el riesgo a prevenir proactivamente las fallas. 

• Tomar decisiones más informadas sobre cómo proteger su empresa. 

• Evaluar las tácticas y los costos de la administración de riesgos relacionados con los diferentes niveles de protección. 

• Prepararse adecuadamente para las auditorías de las agencias de control

Problemas que se atacan

• Identificar eventos o amenazas que podrían tener impacto en la continuidad de las operaciones empresariales, en la imagen o en la reputación de la marca, y la probabilidad de que ocurran. 

• Realizar un análisis detallado de amenazas o establecer planes de avance para mitigar riesgos. 

• Determinar cómo las nuevas iniciativas empresariales o la nueva tecnología tendrán impacto en la empresa. 

• Establecer planes de avance para mitigar riesgos. 

• Identificar las exposiciones con respecto al cumplimiento reglamentario.

Estudio sobre los mitos comunes que contribuyen a las fallas de TI 

Symantec dio a conocer en enero su Informe de Administración de Riesgos de TI, Volumen II, el cual revela que la administración de riesgos de TI está cobrando más importancia, pero también menciona que siguen existiendo algunos mitos sobre el tema. 

Aún cuando los resultados muestran que los profesionales están adoptando un enfoque más equilibrado que incluye riesgos de disponibilidad, seguridad, cumplimiento y desempeño, los malos entendidos de la administración de riesgos de TI pueden producir fallas potenciales y, como consecuencia, impactar la continuidad del negocio. 

El informe también indica que los problemas en los procesos generan más de la mitad de los incidentes de TI, mientras que el departamento de TI generalmente da poca importancia a la frecuencia con que se presentan los incidentes de pérdida de datos. El informe está basado en el análisis de más de 400 encuestas realizadas a profesionales de todo el mundo, en el que se identifican importantes aspectos, tendencias y análisis al tiempo que disipa los cuatro mitos asociados a los riesgos de TI, entre los cuales están: 

1.- La administración de riesgos de TI está enfocada sólo en la seguridad. Contrario a las percepciones tradicionales que generalmente asocian los riesgos de TI con los riesgos de seguridad, los resultados de la encuesta muestran el surgimiento de una visión más amplia entre los profesionales de TI. Un 78% de los participantes calificaron los riesgos de disponibilidad como “críticos” o “graves”, mientras que los riesgos de seguridad, de desempeńo y de cumplimientos obtuvieron una calificación de 70, 68 y 63% respectivamente. 

2.- La administración de riesgos de TI es un proyecto. El mito de que el control de riesgos de TI se puede realizar en un sólo proyecto o incluso como una serie de ejercicios puntuales por periodos o años de presupuestos, desconoce la naturaleza dinámica del entorno de riesgos internos y externos de TI. La administración de riesgos debe verse como un proceso continuo para mantener la estabilidad ante el cambiante panorama que los negocios enfrentan actualmente. 

3.- La tecnología por sí sola puede manejar los riesgos de TI. Los incidentes de seguridad, cumplimiento, disponibilidad y desempeño de TI atacan a la organización moderna a una velocidad alarmante. El reporte muestra que las organizaciones más efectivas tienen un enfoque más integral. Sin embargo, muchas organizaciones parecen estar fallando en la implementación de controles fundamentales de riesgos. 

4.- La administración de riesgos de TI se ha convertido en una disciplina formal. El reporte deja claro que la administración de riesgos de TI es una disciplina en evolución, pues se basa en la experiencia acumulada de los individuos y las organizaciones que se van adaptando a los cambios en el ambiente de negocios y tecnología. El informe reveló una mayor comprensión entre los profesionales sobre cómo la administración de riesgos de TI incorpora elementos de manejo de riesgos en la operación, control de calidad y gobernabilidad de las mismas.

Marcos de Referencia y Gobierno de TI

Con un alcance amplio o específico, todos los marcos pretenden lograr el “Gobierno de TI”:

Dirigir: Alinear la gestión de TI al negocio

Crear: Asegurar la creación de valor

Proteger: Administrar los riesgos

Actuar: Administrar el uso de los recursos

Monitorear: Administrar el desempeño

Los marcos de Referencia deben:

. Promover la visión de TI como proveedor de servicios

· Fomentar el foco en el cliente

· Posicionar TI en la cadena de valor

· Estandarizar procesos

· Mejorar la comunicación Negocio-TI gracias a un lenguaje común

Así como lograr una gestión de TI Predecible:

· Mejor calidad, funcionalidad y facilidad de uso

· Entrega más rápida de información

· Mejora de los niveles de servicio

· Disminución de los costos

· Garantías de continuidad


Perspectiva general sobre los marcos de referencia para la gestión de servicios de TI

Ver video -----> http://youtu.be/nYaCluxVETk