Archivo de la categoría: Gestión de TI
Procesos de gobierno y administración de las Tecnologías de la Información para alinearlos con los objetivos organizacionales.
COBIT 2019: Midiendo el desempeño del Gobierno de TI
Estamos en agosto de 2019. Hace siete años escribía en este mismo blog sobre el lanzamiento de COBIT 5. Pues bien, el tiempo pasa y la siguiente evolución de este marco de gobierno ya se ha dado. De hecho, fue lanzado en noviembre de 2018, pero recibió el nombre de COBIT 2019. Escribo hasta ahora al respecto, porque creo que si tengo resistencia al cambio en el tema de los marcos de gobierno y normas de gestión de TI en general. Igual me pasó hace siete años, yo la pasaba muy bien con COBIT 4 y no le veía por qué tener una nueva versión. En siete años he tenido la oportunidad de ir asimilando, en las diferentes experiencias de trabajo que he afrontado, la razón por la que este marco de referencia tenía que evolucionar. Como siempre hablando desde la experiencia profesional en El Salvador, no tuve la oportunidad de ver una sola implementación de COBIT 5 en el área. ¡En siete años! Puede ser sorprendente, sin embargo, así es nuestro medio, va evolucionando poco a poco, tanto así que un ciclo de 7 años parece no afectar en el cambio de prácticas de gestión de TI. Sí debo decir que los que ya tenían COBIT 4 siguieron con su implementación y las diferencias no les obligaron a cambiar. Nuevamente, la resistencia al cambio se manifiesta.
Pero profundizando un poco en el porqué de una nueva versión, debo admitir que ha esta versión si le veo mucho sentido y espero que los Gerentes de TI y los responsables de la adopción de Tecnologías de la Información en las empresas también lo entiendan. Me parece que el principal cambio en esta versión radica en hacer énfasis en el desempeño. No es que desde antes no existiera, pero es importante recalcarlo porque muchos Gerentes de TI al momento de pensar en sus procesos de gestión de TI se olvidan de que el diseño es una fase, mientras que la ejecución es el día a día, constituyéndose en la forma de entregar valor a la organización. COBIT 2019 introduce el término COBIT Performance Management (CPM) y es importante porque el desempeño es importante para el logro de objetivos, en primera instancia, y para la mejora continua, en el mediano y largo plazo. El Gobierno y la Gestión de TI no terminan cuando el proyecto de implementación de COBIT termina, ahí recién comienza. Cumplir con métricas mes a mes es importante para garantizar que los procedimientos funcionan, que el alineamiento de TI con el negocio permanece funcionando de la manera adecuada. Aún desde COBIT 4, las mejores implementaciones que he visto han incluido un Cuadro de Mando que permite, de un vistazo, conocer el estado de la Gestión de las Tecnologías de la Información. CPM está soportado por un conjunto de principios muy consistentes con las mejores prácticas observadas a través de los años. Incluso, haciendo énfasis en la autoevaluación, además de la evaluación formal, aspecto que es representativo de un sistema de control interno maduro, muy desarrollado.
En conclusión, sí ha cambiado el contexto en el cual usamos las Tecnologías de la Información en siete años, por lo que tiene sentido que se actualice el marco de gobierno para considerar una mejora en sus características. Por un lado, TI nos puede proporcionar más beneficios, pero hay que gestionarla de manera eficiente, midiendo el desempeño. Pero por otro, las Tecnologías de la Información nos han llevado a escenarios de implementación más complejos, que a la par de las ventajas traen diferentes amenazas que tienen que ser controladas, también con un nivel de desempeño óptimo. Por lo que es importante que los interesados en mejorar el desempeño de la inversión que su empresa ha realizado en las Tecnologías de la Información recurran a COBIT 2019 para buscar la mejor manera de asegurar los beneficios del uso de las Tecnologías de la Información gestionando eficientemente los riesgos y la complejidad.
Controles para la Seguridad de la Información
Sin importar el tipo o tamaño de una empresa, todas pueden ser impactadas por fallas en la gestión de la seguridad. El efecto final puede ser experimentado de diferentes formas, como daños a sus equipos, pérdida de información o una disminución en los tiempos de respuesta de los equipos utilizados por los empleados para trabajar. Los usuarios finales normalmente se quejarán de estos problemas diciendo cosas como “no hay sistema”, “el sistema está lento” o “¿No encuentro mis datos?”. El impacto en el negocio dependerá de qué tan crítico sea el momento en el que no hay sistema, o en el que la respuesta es lenta o de la importancia de los datos perdidos.
La Gerencia de Sistemas debe poner la debida atención a entender y analizar los riesgos relacionados con la seguridad de la información y a establecer todos los controles necesarios que permitan reducir la posibilidad de que eventos no deseados les impacten. Durante muchos años he sido testigo de muy buenas intenciones de muchos gerentes de sistemas para establecer los controles necesarios para brindar seguridad a la información de su organización, pero estas intenciones no son compartidas con los gerentes generales o gerentes financieros, que objetan iniciativas, por considerar que los gastos son excesivos. Los segundos a veces cambian de mentalidad cuando se ha sufrido un ataque que implicó pérdidas financieras, daños a la reputación o serios retrasos en las operaciones.
En todo caso, para tranquilidad de todos, los Gerentes de Sistemas tienen que realizar un análisis de riesgos de seguridad de la infraestructura y presentar a la organización el listado de posibles amenazas visualizadas, estableciendo su probabilidad de ocurrencia y el impacto que tendría cada una de ellas en las operaciones, a efectos de que sea claramente entendible por todos la ventaja o desventaja de establecer un control adicional, aunque esto requiera de alguna inversión. Esta práctica es efectiva para visualizar los riesgos, pero debe optimizarse a través de la identificación de controles que permitan, a un costo razonable, mitigar el riesgo.
Los riesgos, para ser entendidos, deben de ser expresados en función de la jerga del negocio. Por ejemplo, si se enuncia como una amenaza el que un virus tome control de un servidor y lo deje inoperante, nuestro riesgo real es que los negocios que se realizan con las aplicaciones existentes en ese servidor se vean interrumpidos porque el servidor fue atacado por un virus. Establecer el impacto en función de la amenaza de perder o retrasar el ingreso de efectivo si llevará al negocio a invertir en tener un sistema antivirus instalado en el servidor y en equipos clientes que tengan relación con el mismo. Si bien en este caso el control primario es el sistema antivirus, y este representa una inversión, se debe de ser muy analítico para decidir la conveniencia o no de implementar controles adicionales, que tal vez no incluyan inversión, pero que requieren del cuidado del personal. Pongamos un par de ejemplos. Si consideramos que para garantizar el éxito de un antivirus, este debe de estar actualizado, tanto en su software, como en las definiciones de virus, podemos entender que es necesario asegurar que la persona responsable del mantenimiento del software antivirus, realiza revisiones rutinarias que verifiquen que el software está funcionando y que resuelva cualquier problema que cause que la solución de antivirus no funcione de la mejor manera posible. Estas revisiones también constituyen un control. Los gerentes deben de exigir a los técnicos que realizan estas funciones que dejen evidencia del monitoreo realizado y de acciones correctivas que se han tomado. Un segundo control podría ser la restricción de utilizar dispositivos de memoria usb en equipos sensitivos. Aquí la decisión debe ser basada en el siguiente razonamiento “Si los puertos usb no son necesarios para mi negocio, los bloqueo”. Esto reduce la posibilidad de que un virus entre directamente al equipo por estos dispositivos. Este control nos llevaría a desactivar la capacidad de que los usuarios administren sus equipos y por lo tanto no puedan sobrepasar la configuración que desactive los puertos usb. También para esto es necesario tener un control del número de equipos existentes en la organización, para garantizar que en todos está debidamente configurada esta configuración.
Como el lector podrá deducir, la amenaza de un virus, estaría siendo mitigada con tres controles. Uno requiere inversión, pero los otros dos requieren de la definición de prácticas de trabajo que ayuden a confirmar la efectividad de la inversión realizada en el antivirus. No implementar estos controles adicionales podría ponernos en la situación en la que se ha invertido en un software de antivirus y aun así se materializa el riesgo.
Esto nos lleva a la conclusión de que los controles de seguridad no están basados totalmente en la inversión que realiza una organización, sino más bien en la aplicación constante de un análisis de los riesgos existentes y la adopción de medidas que mitiguen al máximo la posibilidad de ocurrencia.
La Gestión de la Seguridad de la Información
Escribo este blog en abril de 2014. Este mes, ha sido excepcional para el área de la Seguridad de la Información, debido al descubrimiento de una vulnerabilidad en una implementación del protocolo SSL que podría haber proporcionado una gran capacidad a un potencial atacante para penetrar en servidores y tener acceso a información que no debería de ser conocida. Es un hecho que los conocedores de seguridad se han quedado perplejos ante las dimensiones de la vulnerabilidad detectada. Pero todavía más relevante, es el hecho de que la pieza de código afectada fue publicada en mayo del año 2012, por lo que ha estado operando por 2 años sin que se detectara esta vulnerabilidad. Es importante mencionar que la vulnerabilidad es indetectable desde cualquier infraestructura privada, porque existe en el enlace de comunicaciones, que es público y por lo tanto, se tenía que realizar una prueba de penetración muy detallada, para interceptar los paquetes de información “encriptados” y detectar una forma de acceder a la información que se estaba transportando. Esto ilustra la complejidad del tema de la seguridad. Varias acciones de remediación pueden realizarse en las empresas vulnerables a este problema. Se habla de renovar certificados, de realizar los parches correspondientes, de actualizar palabras secretas (passwords) y cosas similares. Pero si analizamos desde el punto de vista de la Gestión de la Seguridad de la Información, estamos hablando de las mismas actividades que se definen, ejecutan, monitorean y ajustan en un Plan de Seguridad. Esto constituye un indicador claro de la efectividad que proporciona el tener formalmente implementado un Plan de Seguridad de la Información, incluyendo su revisión bianual por parte de un auditor certificado. Es inconcebible, por ejemplo, que en este caso en el que se ha tenido una exposición de más de dos años, los passwords y los certificados sigan siendo los mismos, cuando es una recomendación primaria de seguridad de la información la renovación frecuente. Este es un principio básico, mediante el cual renuevo el mecanismo de seguridad al actualizarlo, logrando que si las credenciales de autenticación han sido comprometidas, la vulnerabilidad generada quede sin efecto al descartarlas. Quiero recalcar aquí, que hasta la tarea de concientización sobre la seguridad de la información es importante. Si tomamos como ejemplo el cambio de passwords, a muchas personas no les gusta o no entienden la necesidad de realizar el cambio y ven la tarea como una tediosa y ridícula petición de la Gerencia de TI. He visto como en algunos lugares se implementa la autenticación con dos factores, lo cual incrementa el trabajo de ingreso a un sistema para el usuario, por lo que para no ser tan autoritativos o molestos, se proporciona como una opción para los usuarios que quieran estar más seguros. Puesto en estos términos, la tasa de usuarios que deciden pasar por el trabajo de utilizar el segundo factor de autenticación resulta baja. Esto definitivamente no es servicio al cliente, en términos de seguridad. Se debe de entender claramente que los usuarios en una organización no son los dueños de la información, por lo cual, deben de acatar todos las regulaciones establecidas para tener segura la información de la organización, que es el fin último de la medida. Todavía más allá, la concientización debe ayudar a dejar claro a un usuario sobre las amenazas existentes, la existencia de posibles vulnerabilidades, haciendo énfasis en esta naturaleza probabilística de su existencia, estableciendo que podrían existir o no, más sin embargo, las medidas de seguridad nos ayudan a estar preparados, logrando prevenir su ocurrencia, detectar su materialización o disminuir su impacto en el logro de objetivos. Así vemos que hasta la tarea de concientización tiene un rol importante en la gestión de la Seguridad de la Información. Por supuesto, medidas más técnicas, como las implementadas en la red de comunicaciones, la utilización de software antivirus, la ejecución de respaldos, la creación de un plan de contingencia y demás, deben de formar un Plan de la Seguridad de la Información completo, que identifique, mitigue y responda a eventos que pongan en peligro la pérdida de confidencialidad, integridad o disponibilidad de nuestra información.
La importancia del Plan de Contingencia de TI
El objetivo de este blog es establecer que es un Plan de Contingencia de TI y su importancia en las organizaciones.
El Plan de Contingencia de TI es una herramienta que mitiga el riesgo de no poder continuar con las operaciones por períodos que se prolongan más allá de lo soportado por los procesos de negocio. Es decir, no estamos hablando de interrupciones debidas a un corte de energía eléctrica. Un corte de energía eléctrica en los países centroamericanos es tan frecuente, que para poder operar, los centros de datos y lugares críticos de procesamiento de datos, deben de tener implementados sistemas de redundancia eléctrica, protección ante los cambios de voltaje y la generación de energía alterna a la fuente primaria. Por supuesto, la inversión a realizar en la protección eléctrica debe ser en proporción a la importancia que tiene el proteger los activos y mantener las operaciones funcionando. Si ponemos de ejemplo un Banco, seguramente para no interrumpir el flujo de atención a clientes, la protección eléctrica incluirá hasta plantas de generación eléctrica con capacidad para mantener operando todas las oficinas de manera continua. No hacer esto, implicaría además de un impacto financiero, al retrasar la percepción de ingresos, un daño a la imagen del Banco, que tendría a los clientes esperando a que se reanuden los servicios.
El Plan de Contingencia de TI va más allá. Cuando el centro de datos falla, junto con todos sus mecanismos de protección primaria, cuando se pone en riesgo no sólo las operaciones, sino la integridad física de las personas, el Plan de Contingencia debe de ser la guía que indica qué hacer. Responde a preguntas como: ¿Qué pasa si se inunda mi área de operaciones? ¿Qué pasa si se incendia el edificio? ¿Qué pasa si un terremoto destruye el edificio? ¿Qué pasa si un volcán hace erupción y me obliga a parar operaciones? En todos estos casos, la ejecución de negocios de manera normal no es posible, por lo que el Plan de Contingencia de TI debe prever como se trasladarán las operaciones, las tareas que hay realizar, quién será el responsable de realizarlas, como se comunicarán los equipos y la ejecución de procedimientos de contingencia para que se reconecten los vínculos con clientes, proveedores y empleados. Definitivamente, un Plan de Contingencia de TI es uno de esos planes que uno quisiese no tener nunca que ejecutar, pero llegado el momento de un desastre, es considerado un activo valioso de la empresa, preparada para afrontar problemas y seguir adelante con la ejecución de planes.
La creación de un Plan de Contingencia de TI inicia con las priorización de todos los activos de información, entendiendo en cada caso el nivel de criticidad para los objetivos de la empresa. Posiblemente, en una organización grande existan servicios que facilitan labores secundarias que no son precisamente en las que hay que enfocarse. Esta categorización debe ser realizada con la participación con los dueños de la información, comenzando con la alta dirección. Como resultado de este análisis, quién realiza el Plan de Contingencia de TI conocerá exactamente el orden en el que deben de afrontarse las contingencias, los servicios que deben iniciarse primero y todos los recursos involucrados. Esta priorización debe ser realizada tanto a nivel cualitativo como a nivel cuantitativo. Debe establecerse claramente el monto de pérdida por el cese de operaciones para poder establecer un plan de contingencia que con una inversión razonable minimice la pérdida. Esto es, el Plan de Contingencia no debe de ser más costoso que la pérdida, porque si ese fuera el caso, no tendría viabilidad financiera. Esto permite concluir que el Plan de Contingencia de TI es importante desde el punto de vista financiero para una organización, reduciendo la pérdida y el impacto en el negocio en caso de un desastre.
COBIT 5 en El Salvador
Estamos en Octubre del 2013. Hace aproximadamente un año, en Noviembre del 2012, escribí el blog “Las certificaciones de COBIT 5 están en pleno desarrollo”, en el comenté sobre los anuncios que ISACA estaba realizando sobre la nueva versión de su Marco de Gestión de las Tecnologías de la Información. Pues bien, casi un año después, COBIT 5, ha sido totalmente lanzada y su partes más importantes están ya disponibles para los que quieran iniciar su conocimiento y puesta en práctica. Como anticipé en el 2012, no existe una gran cantidad de implementaciones durante el año 2013, pero las organizaciones que se preparan para el 2014 ya están pensando en su adopción e iniciando su aprendizaje. Cuando el blog que mencioné cumpla un año, el 5 de Noviembre de 2013, estaremos a un día de inaugurar el primer curso de Fundamentos de COBIT 5 en El Salvador, iniciando un ciclo de aprendizaje sobre la metodología COBIT 5 en este país.
En esta versión, más aún que una metodología, COBIT 5 se define como un marco de negocio para el gobierno y la gestión de la empresa. Este es un término muy amplio, que envuelve todo el quehacer de una organización. Pero si lo pensamos, la Tecnología de la Información ya es así, amplia y envuelve todo el quehacer de una organización. La misma evolución de la Tecnología de la Información es la que ha originado un Marco de Trabajo que ayuda a coordinar entre los objetivos de la organización y los objetivos del uso de la Tecnología, mientras se crean más servicios y se adopta más tecnología en las empresas. Este ha sido el patrón normal de crecimiento del uso de la Tecnología y nada indica que pueda cambiar en los próximos años. Los negocios que saquen mayor provecho de los avances tecnológicos y los adopten de manera eficiente, tendrán una verdadera ventaja competitiva en el mercado. COBIT 5 invita a las empresas no solo a invertir, pero también a mantener gobierno sobre las inversiones, asegurando los beneficios y mitigando los riesgos del uso de las Tecnologías de la Información. Los que trabajamos en el área centroamericana, podemos hacer un uso bastante productivo de este enfoque, tomando ventaja de una metodología de Gobierno de la Tecnología de la Información que algunas legislaciones en el área apenas empiezan a vislumbrar como necesarias para garantizar que los entes regulados no defrauden la confianza que los ciudadanos ponen en ellos. Esto es especialmente cierto en el área financiera, pero es de igual valor a empresas que han invertido en Tecnologías de la Información y necesitan entender como esa inversión les está aportando valor. Esto implica que no sólo los Gerentes de TI se benefician de la existencia de COBIT 5, sino que también quienes dirigen las empresas y toman las decisiones de inversión, esto es Gerentes Generales, Presidentes, Directores, miembros de junta directiva, entre otros.
COBIT 5 incluye varios componentes, de acuerdo a los diferentes roles que una organización necesita para mantener gobierno de las tecnologías de la información: los inversionistas, la gerencia general, los responsables de la gestión de TI, los responsables de la seguridad de información, auditores de sistemas, responsables de la gestión de riesgos, entre otros. Actualmente se puede ver como un cuerpo de conocimientos abierto, que puede añadir en el futuro más componentes para audiencias más especializadas. Por supuesto, también existe documentación para el proceso de implementación y para la evaluación. Es un cuerpo de conocimiento que requiere de aprendizaje para los que necesitan gobernar las tecnologías de la información. Hasta que se entiende todo su contexto, pueden las empresas iniciar planes de implementación de COBIT 5 que van de acuerdo con sus necesidades y que les permiten hacer un uso eficiente y efectivo de las Tecnologías de la Información.
Organizando las funciones de TI siguiendo estándares
Los Gerentes de TI deben de apoyar sus decisiones en los estándares ampliamente consensados en la industria. Normas de seguridad, marcos de referencia de control y mejores prácticas para proporcionar servicios de TI son las áreas básicas que deben de ayudar a definir las políticas, funciones, procedimientos operativos y prácticas de gestión de TI. En un país como El Salvador, que tiene que aprovechar todas las ventajas ya generadas por los estándares creados para cada situación, los Gerentes de TI deben de considerar la gama de estándares y revisar su propia realidad para identificar oportunidades de mejora.
El ejercicio es básico. En primer lugar, hay que identificar en base a los requerimientos del negocio, en qué áreas la función de TI debe de apoyar significativamente la creación de valor. Muchos estándares, como los de Continuidad de Negocios, no deben pensarse exclusivamente desde el punto de vista de TI, debido a que los procesos de negocios se logran a través de una combinación de tecnología, proporcionada por el departamento de TI, y recursos humanos, totalmente independientes de TI. Igual podría pasar con los estándares de seguridad. Existen lineamientos generales por industria o requerimientos basados en la imagen y reputación de la organización que deben de considerarse para establecer que tan lejos se debe de llegar en la implementación de un Plan de Seguridad de la Información. Es importante priorizar los requerimientos para tener un criterio de decisión al momento de planificar los proyectos de implementación de estándares.
Posterior a la clarificación de requerimientos del negocio, se debe de realizar un proceso de selección de los estándares que se adoptarán. El resultado de esta selección debe de indicar un camino a seguir, los criterios a utilizar para definir qué procesos se implementarán, como se realizarán, como será medido el éxito en la ejecución de los servicios de TI, no necesariamente una sucesión de proyectos para implementar estándares. Es importante no considerar los estándares como el fin último. No se trata de llegar a decir: “hemos implementado un número determinado de estándares”. Se trata de ser efectivos y eficientes en el soporte a los proceso de negocio, eliminando riesgos y aportando valor a la organización. Estos elementos, la organización no los mide por el número de estándar implementados, sino por tiempos de respuesta cortos, sistemas de información robustos, resolución de problemas eficiente, que son cosas que permiten realizar negocios sin interrupciones, soportando el logro de los objetivos organizacionales.
Finalmente, la implementación de estándares tiene que materializarse incluyendo sus recomendaciones y prácticas en las políticas, procedimientos y controles necesarios en los procesos de gestión de TI que permitan garantizar un buen uso de los recursos de tecnología de la información de la organización. Esta parte es la que cuesta más a los Gerentes de TI. Ocurre muchas veces que se reciben capacitación sobre los estándares, pero no se establecen medidas que implementen estos estándares en las operaciones de TI. En la mayoría de los casos, se debe a una deficiencia general en el proceso de adopción de estándares, en la que se pretende crear proyectos de implementación “por estándar”, creando conflicto con las prácticas existentes o con la implementación de otros estándares. Es importante en este paso, crear el propio marco de organización de la organización, basado en varios estándares, pero respondiendo a los requerimientos de negocios planteados desde un inicio. De esta forma la gestión de TI sacará provecho de los estándares, logrando un verdadero impacto en la forma en la que la organización percibe el apoyo de TI.
Los Procesos de Gestión de TI
COBIT 5 ha generado una serie de procesos de referencia para el Gobierno de TI. El libro que describe estos procesos se llama «COBIT 5 Enabling Processes» y la traducción oficial del libro es «COBIT 5 Procesos Catalizadores». A los que no estamos en el mundo de la química, nos puede parecer difícil asimilar el término en el área de las Tecnologías de la Información.
Un catalizador es, según la Real Academia de la Lengua Española, un cuerpo (químico) capaz de producir una transformación catalítica. La Catálisis está definida, por el mismo ente, como el “Favorecer o acelerar el desarrollo de un proceso”. Sin embargo, el concepto no está limitado al área química, es por lo tanto, genérico. En el caso que nos ocupa, se trata de favorecer o acelerar el desarrollo del proceso de Gobierno de TI.
El concepto de “catálisis” queda bien al Marco de Referencia COBIT. Cuando un Gerente de TI en la década de inicio de este siglo se sentaba a dirigir las operaciones de TI de una organización, la principal dificultad era el identificar qué se tenía que llevar a cabo para una gestión exitosa, mientras la Alta Dirección presionaba por resultados inmediatos, mejoras en el servicio de TI para la organización y lo más exigentes o visionarios, la agregación de valor al negocio a través del uso de las Tecnologías de la Información. La situación era crítica para muchos que sólo tenían estudios relacionados con la Ingeniería de Sistemas, las Ciencias de la Computación y similares. Les iba mejor a los que tenían segundas o primeras carreras en áreas como Administración de Empresas, Ingeniería Industrial o incluso Maestrías en Administración de Negocios. Estos últimos identificaban rápidamente puntos críticos del negocio y tomaban decisiones rápidamente. También eran más habilidosos para obtener el presupuesto necesario para implementar los procesos de gestión de TI y la adquisición de herramientas que permitieran implementaciones efectivas y sólidas.
La función de TI es eminentemente técnica, pero requiere de otras habilidades no técnicas para lograr resultados de manera exitosa. Esto implica la necesidad de procesos catalizadores. De esta manera, aparte de encender equipos y operar sistemas, un gerente de TI debe de conocer que hacer en la Gestión de TI.
Lo que debe de hacer la gestión de TI ha sido definido por la Asociación de Auditoría y Control de Sistemas de Información, ISACA, a través de la investigación exhaustiva de las mejores prácticas y su uso en empresas de diferentes tamaños y tipos. Los procesos que la Gerencia de TI debe de adoptar ya están definidos y son considerados catalizadores porque acelerarán la gestión exitosa de TI, sin ser un fin en sí mismos. Por esta razón, las habilidades técnicas deben de seguir siendo el principal eje de acción de la Gerencia de TI, para planificar la adecuada infraestructura tecnológica, la selección de software a desarrollar o adquirir, los procesos de desarrollo del personal técnico y usuario de la tecnológica, con el fin importante, de apoyar significativamente los procesos de negocio. Los procesos de gestión de TI permitirán que estas importantes funciones sean mejor administradas, controladas, analizables y mejorables, proporcionando una ruta a seguir en la mejora de la Gestión de TI. Siendo redundantes, podemos decir que ayudan a mejorar la Gestión de TI, mientras se mejoran los resultados que TI provee al negocio.
La Evaluación de los Procesos de TI
Esta semana ISACA liberó los libros de evaluación de los procesos de TI de la versión 5 de COBIT. Los libros incluyen tanto el modelo de evaluación, como la guía para asesores y herramientas de diagnóstico. Revisando los documentos, recordé los momentos en los que me ha tocado discutir con gerentes de TI sobre el nivel de cumplimiento sobre un determinado proceso y la tendencia que las gerencias de TI tienen a pretender cumplir un requerimiento regulatorio con procedimientos con fallas de diseño, que a veces no son los más efectivos al momento de su implementación y que aunque no están aportando valor a la gestión del negocio, se mantienen porque no existe un criterio que defina el nivel de cumplimiento, especificando qué es y cómo se evidencia, monitorea y evalúa un determinado proceso o control. De alguna manera, esta tendencia es alimentada por pobres requerimientos regulatorios, que emiten la necesidad de implementar un control, pero no especifican medidas de evaluación objetivas, soportadas por evidencia, que muestren claramente la naturaleza auto evaluadora del control interno y su fin último de mejorar las operaciones del negocio. He visto muy pocas legislaciones que tengan ese nivel de detalle, tal vez contadas con los dedos de una mano.
En el caso de COBIT, desde la versión 4 implemento un Modelo de Evaluación de Procesos, que definitivamente ayuda a establecer una metodología de revisión, que incluso está soportada por un estándar internacional, el “ISO/IEC 15504-2:2003, Information Technology-Process assessment-part 2: Performing an assessment”. Seguir una metodología ayuda a evitar las discusiones sobre el nivel de cumplimiento o el nivel de desempeño que un control de TI debe de tener para ser considerado el necesario para el cumplimiento de los objetivos de negocios de la organización. Es definitivamente algo recomendable.
La implementación exitosa de procesos de TI se puede lograr en ambientes en los que la evaluación se entiende como un proceso independiente de aseguramiento de que los controles de TI cumplen con los requerimientos establecidos, tienen criterios de diseño bien definidos y estos son cumplidos y se ejecutan con un nivel de desempeño adecuado para el cumplimiento de los requerimientos del negocio. Esto deja claro que debe de existir en la Gerencia de TI el conocimiento de las variables por las que serán evaluados los procesos de TI y debe de ser parte de sus funciones el asegurar su implementación, funcionamiento, así como la mejora el desempeño.
La Gerencia de TI debe de pensar de manera integral la implementación de procesos de TI, teniendo una idea clara de los procesos de TI que requiere, del nivel de implementación requerido y de la forma en la que debe de autoevaluar el funcionamiento de los procesos. Esto proporciona una ruta de mejora, que permitirá a la función de TI desarrollarse mejor. Esta claridad también permitirá la división de funciones, asignando tareas de diseño e implementación a unas personas y permitiendo el ingreso de evaluadores independientes a realizar la evaluación de los procesos. Esta es la forma en la que un Framework como COBIT ayuda a comunicarse mejor, entender qué se está evaluando, aportar objetividad y facilitar la mejora continua.
El Control Interno de TI
Desde mi propia experiencia, aprender sobre el control interno no es fácil. Aunque la palabra control aparece en todos los libros de Gestión de Empresas y Producción de Bienes y Servicios, parece que a la mayoría de los profesionales nos entusiasma más el hacer cosas que el controlarlas sistemáticamente. Así, vemos industrias que se desarrollan haciendo cosas, con controles precarios o sin control y son exitosas. Estas experiencias exitosas en las que la falta de control no fue obstáculo para lograr objetivos, llevan a muchos profesionales de la Gestión a pensar que el control no es necesario. Tal vez sólo cuando se administra dinero, como pasa en las organizaciones financieras y entidades comerciales que manejan mucho dinero en efectivo, como los supermercados y almacenes, es que las actividades de control parecen naturales. Es decir, como se puede pensar en darle efectivo a una persona, permitirle que reciba ingresos de efectivo de los clientes y al final del día dejar que se vaya a su casa sin rendir cuentas minuciosamente de todas las transacciones realizadas durante el día. En este caso, incluso se ven controles adicionales, como el de la seguridad del lugar de trabajo, la ejecución de cortes de caja frecuentes para reducir riesgos de robo o pérdida y otros más. Esto implica que cuando se trata de ingresos, se entiende la necesidad de control. ¿Por qué no se entiende de la misma forma la protección de activos informáticos? A pesar de que han existido casos de fraude en lo que se no se roba dinero en efectivo, sino que se aplican transacciones ficticias, como pagos a créditos o descuentos no autorizados a ciertos clientes. Incluso, cosas más allá del ambiente interno, como el que se roben la información de tarjetas de crédito de los clientes de un almacén, perdiendo la confidencialidad de las operaciones. O que tal de los casos en los que se han tomado el sitio Web de una organización, perdiendo reputación. Y existen muchos casos más, pero todos estos casos, parecen no tener efecto en el entendimiento de que se necesita crear un ambiente de control interno en las operaciones de TI.
El Control Interno, es definido en COBIT 4.1. como “las políticas, procedimientos, prácticas y estructuras organizacionales diseñadas para brindar una garantía razonable de que los objetivos del negocio se alcanzarán y de que los eventos indeseables serán prevenidos o detectados y corregidos”. Esta es una definición simple, fácil de seguir, que nos enseña que el control interno se trata de simples reglas a seguir, para documentar la forma en la que se realizan las actividades, como se realizan, como se supervisan, como se organización la empresa para asignar responsabilidades de supervisión y control. Esto permite evitar desviaciones que nos alejen de los objetivos institucionales, agregando valor y eliminando riesgos. Es cierto que en el caso de las Tecnologías de la Información las complejidades técnicas pueden llevarnos a tener dificultades para comunicar los mecanismos de control, pero por ejemplo, el especificar una política de seguridad de la información, acompañado de un plan documentado de seguridad y un manual de procedimientos de seguridad, proporcionan una mayor garantía a la Alta Dirección, de que la Gestión de TI esta efectivamente manteniendo un ambiente de control interno sano, que ha identificado los controles necesarios y los está ejecutando. Después de todo, le toca a la Auditoría Interna el verificar el diseño y efectividad de los controles, por lo que la Alta Dirección tiene así un balance de funciones para quienes le soportan todas sus operaciones y por lo tanto, no necesita conocer el detalle técnico de cada cosa. Los Auditores si necesitan saber detalles técnicos y por eso existen los Auditores de Sistemas, que normalmente son profesionales en las Tecnologías de la Información, con experiencia y certificaciones que garantizan a las organizaciones que las auditorías realizadas tendrán la calidad requerida y aportarán valor a la organización, a través del fortalecimiento del control interno.
La Formulación de la Estrategia de TI
Podemos realizar cualquier acción, incluyendo la Gestión de TI, con o sin estrategia. La diferencia será que sin estrategia perderemos ventajas en la utilización de los recursos, desenfocaremos el resultado final e incrementaremos los riesgos. Tener una visión estratégica en TI es fundamental para el éxito de cualquier operación de negocios. La Gestión de TI debe de ser liderada por una sólida estrategia, formulada para apoyar los objetivos de negocio y anticiparse a los retos que el negocio mismo le impondrá en el futuro.
Una característica de la Gestión Estratégica de TI es la visión completa de la función de TI. Carecer de visión completa implica empezar a dejar vacíos en el soporte al negocio. Todos sabemos que los negocios no van a parar por la carencia de soporte tecnológico, por lo que al dejar vacíos, estos serán llenados con “soluciones innovativas” de parte de los usuarios de tecnologías o servicios de TI proporcionados por terceras personas. Definitivamente, no tener en el radar todas las funciones de soporte de TI, permite que se generen múltiples versiones de soporte de TI en las empresas. Es importante entender que tener visión completa no necesariamente implica tener las soluciones en el presente. Más bien, implica conocer las necesidades de TI de la organización y el momento en el que son requeridas y por lo tanto estar listos para esos momentos de verdad que toca vivir en toda administración de TI.
La generación de una estrategia de TI pasa por el reconocimiento de las capacidades actuales y el establecimiento de la brecha real y la brecha permitida por las necesidades del negocio, así como todas las acciones necesarias para cerrar esa brecha en el momento oportuno. También incluye la predicción de cambios en las tecnologías, en el soporte que los fabricantes de la tecnología que usamos darán y la integración futura de tecnologías, para tomar decisiones de recambio, nuevas adquisiciones, mejoras en la capacidad y similares. Una gestión de TI con una buena estrategia debe de tener formulada su ruta de proyectos para un periodo de 5 años, 2 de los cuales deben de estar a detalle, con presupuestos financiados y recursos asignados para garantizar la operatividad de la estrategia.
Ahora que nos acercamos a el final del año 2012, es conveniente que no sólo revisemos nuestro presupuesto para el 2013, sino también que revisemos como va la ejecución de la estrategia de TI. Si el caso es que la estrategia no existe, también es tiempo para formular una. Para tomar una iniciativa que definitivamente apoyará al negocio de cualquier organización. Es el momento de evaluar desde todo punto de vista, por lo que mi recomendación es para todos los Gerentes de TI, que tengan una reunión de evaluación con todas las áreas de negocio que sirven, para que les comenten su opinión sobre el apoyo que la Gestión de TI proporciona y a partir de ahí decidan si su estrategia esta bien o requiere de ajustes.
Gestión y Auditoría de TI 