8 maneras de sortear [asumir] fallas

Todo profesional relacionado con las TI ha oído hablar de la ley de Murphy. Algunos creen no haberla experimentado; otros dicen no haberla experimentado; otros niegan haberla experimentado. Tal vez [aún] no se han dado cuenta.

Sabemos que un error es causa de una falla, y ambos pueden ocurrir por diferentes razones -pero, como dijo Churchill, por ni una sola excusa; y que una falla (que, dependiendo del impacto, podríamos considerar como problema), puede conducir a uno o más incidentes. Con una adecuada formación en gestión de servicios podremos determinar los ámbitos de actuación de cada uno de estos términos.

Siguiendo a Deming, luego que resolvemos la condición negativa que se presentó [y que impactó el servicio o la seguridad de la información relacionada], ¿tomamos alguna acción? ¿Evaluamos los resultados de los cambios implementados en el valor de los servicios que se entregan, y/o en la seguridad de la información? Verificar el éxito del cambio ejecutado para [al menos] mantener la calidad del servicio entregado o su seguridad es bueno pero, en adición, debemos validar que la necesidad del cambio haya sido satisfecha, desde el punto de vista de la entrega de valor del servicio (SLA, clientes) como para los stakeholder (beneficios, cumplimiento, reguladores, regulaciones, evitar demandas o pago de moras, entre otros aspectos a considerar).

La tecnología juega un papel importante en todo esto, como también lo hace la cultura [organizacional, de servicio, de calidad, de seguridad, …].

En lugar de tratar con una, digamos, oportunidad de mejora, de forma individual -y hasta aislada, ¿realmente aprendemos de esta(s) tras aplicar mecanismos sistémicos apropiados y de manera oportuna y correcta? ¿está nuestra cultura [institucional] lo suficientemente madura para esto? ¿somos realmente un referente en esto –o al menos buscamos estar en camino de serlo? ¿utilizamos herramientas apropiadas para analizar la causa raíz de las oportunidades de mejora? ¿Son estas herramientas utilizadas por colaboradores competentes? ¿Gestionamos apropiadamente el triángulo procesos-personas-tecnología? ¿Qué tan proactivos somos al respecto? ¿Están clara y completamente identificados todos los involucrados, así como los límites, restricciones, expectativas, y presiones relacionados? ¿Hay vacas sagradas o el cliente es nuestra meta, no sólo de palabra sino con acciones concretas, duela a quien le duela? ¿Entendemos que habrá efectos negativos si hacemos mal las cosas?

¿Aprendemos de los errores de los demás? A propósito de las últimas noticias sobre ransomware. ¿Están los procesos establecidos y son seguidos? ¿Tienen las evidencias necesarias –ya mismo?

¿Sabemos qué información está disponible para las personas que trabajan en resolver problemas y qué tan rápido pueden obtenerla, para que puedan desarrollar pautas claras para evitar complicar el problema debido al estrés, la confusión o la fatiga? Información contextual, oportuna, clara, correcta, vigente, y completa, así como, objetividad y enfoque en la tarea, son condiciones primordiales en estos casos.

Tal vez nos centramos en buscar culpables, primero y siempre, afectando la moral –y perdiendo tiempo valioso, sin que nos importe nuestro cliente. Evitamos, consciente (limitaciones, presiones, carencias, inexperiencia, otros) o inconscientemente (confiamos ciegamente que la acción correctiva evaluada, elegida, y llevada a cabo es la definitiva), responder a la pregunta: si asumimos que podría ocurrir nuevamente, ¿cómo responderíamos mejor esta vez? ¿Son nuestros reportes del tipo ‘lecciones aprendidas’ (en sentido positivo) o del tipo ‘post mortem’ (en sentido negativo)?

Claro, errar es humano, y las estadísticas nos dicen que el ‘error humano’ bordea el 70% como causa de accidentes de tránsito en Lima. Bueno, tenemos factores como condiciones físicas del conductor (estado de alerta/lucidez, velocidad de reacción, ingestión de elementos alucinógenos o de bebidas alcohólicas, fatiga-cansancio-somnolencia), atención a la tarea –y no al celular, a la radio, al copiloto(a), exceso de confianza, temeridad, condiciones del vehículo, velocidad, estado de las vías, [des]conocimiento del reglamento de tránsito, señalización adecuada (bueno, si ‘Pepe el vivo’ las respeta porque ‘no hay policía que me vea’ ‑cuando el policía debía estar dentro nuestro), estilos de conducta en contextos de tráfico en relación a las variables: edad cronológica; estado civil; grado de instrucción; lugar de procedencia; pertenencia del vehículo; la conducción como ocupación principal; tiempo en la conducción; accidentes de tránsito; papeletas recibidas por infracciones; problemas de salud; problemas auditivos; problemas de motricidad; problemas familiares y problemas emocionales, entre otros. Nos damos cuenta que hay fallos activos (errores y violaciones, actos inseguros que tienen un impacto directo y son cometidos por los trabajadores que operan el ‘sistema’), y condiciones latentes (resultado de decisiones de los diseñadores y gerentes, las que se expresan en las condiciones del entorno, la política y cultura organizacional; influyendo así el desempeño de los trabajadores). Listo, introduje la palabra ‘sistema’ así que no nos salvamos y aplicamos el caso a las TIC. El verdadero problema son las herramientas y los procesos que no impiden (o al menos emiten advertencias sobre) los errores inevitables que la gente hace, o la falta de automatización que significa, en primer lugar, que alguien está haciendo una labor manual –posiblemente propensa a errores y con errores en la fuente. Por ejemplo, podría haber carencia u obsolescencia de documentación, procesos, procedimientos; tal vez exista un desconocimiento del ecosistema tecnológico en la empresa; podría no existir o ser inadecuado o estar mal programado el monitoreo, control, supervisión; podría no haber auditoría interna de seguimiento o ser aceptados y trabajados sus resultados; podrían no darse de manera oportuna y completa, o no sustentarse apropiadamente las inversiones necesarias desde el punto de vista del valor para el negocio; entre otros factores de consideración.

Tengamos presente que los errores podrían ser tolerados, pero no el ocultarlos o encubrirlos. Entendamos que hay valor en invertir en el desarrollo y el fomento de una cultura en la que los colegas reconozcan errores y errores de juicio, y apoyarlos para que reporten aquellas cosas que casi originaron una falla. Tratar la TI y la seguridad como un servicio del negocio en lugar de un punto de control ayuda a crear ese tipo de cultura.

No olvidemos la deuda técnica -el costo y los intereses a pagar por hacer mal las cosas (presión en el cronograma, escasez o carencia de recursos apropiados o suficientes, entre otros factores, que obligan a saltarse pasos [o funcionalidad]) –y que no se ven desde fuera, pero causan daño dentro –no nos engañemos con la falacia del “costo hundido”. La famosa filosofía “si funciona, no lo toques”, puede ser un grave error. La modernización tecnológica (de los activos críticos del servicio) y su seguridad ([in]cumplimiento, riesgos para el negocio si el activo se ve comprometido) es algo mandatorio en estos tiempos; sin embargo, es necesario planificar esta modernización.

Recordemos que la información resultante debe transparentarse, difundirse, utilizarse, proactivamente. Evitemos reinventar la rueda. Avancemos. Contribuyamos con el conocimiento. ¿Somos lo suficientemente maduros verdad? Se nos mide por lo que hacemos, no por lo que decimos que hacemos.

Algunas ‘mejores prácticas’ de TI para el fracaso –y algunas ‘mejores prácticas’ para evitarlo

Así es, una mejor práctica no es una receta de cocina. La preparación que hagamos de un ‘platillo’ y su resultado depende de muchos factores referidos a las herramientas, nosotros mismos como çocineros’, de los ‘comensales’ y su entorno.

Una real mejor práctica es considerar la preparación del ‘platillo’ para garantizar su resultado. Así, intervienen el ecosistema tecnológico en operación –moderno, vigente, legacy, integrado, interconectado- plataforma tecnológica e infraestructura de soporte, la cantidad necesaria de especialistas con el perfil apropiado, la experiencia, competencias (conocimientos, aptitudes, actitudes), orientación técnica o de gestión, requisitos del negocio, apetito de riesgo, intereses personales, los recursos para la producción del servicio (en adición al ecosistema tecnológico y el personal de apoyo, se necesita información, aplicaciones, recursos financieros) y capacidades para asegurar el rendimiento esperado (modelo de gestión, organización implementada, procesos establecidos, conocimiento gestionado), ambos activos de servicio necesarios para entregar el servicio con el valor esperado (con la utilidad y la garantía de rendimiento esperada), aparte claro del presupuesto, coyuntura socio-económica, entorno regulatorio y legal, mercado (cultura, exigencias, demografía, restricciones, gobierno, importación/exportación).

Estamos propensos a decir sí o no a todo y esto varia como buena práctica de acuerdo a la cultura y clima organizacional, buscando no quedar mal –aunque esto es lo que ocurre al no cumplir si accedemos o no entregar si era posible y alguien después nos lo hizo ver.

Una real buena práctica es explicar qué debe hacer para satisfacer las solicitudes, luego de realizar el análisis previo correspondiente. Lo que sigue será una conversación más que una excusa.

Tampoco es una buena práctica blandir que se cumple con el acuerdo de nivel de servicio (SLA) aceptado por el cliente, o con el nivel de servicio organizacional (OLA) requerido y comprometido por las áreas internas de la empresa, cuando es evidente la existencia de reclamaciones al respecto, y tratamos de minimizar el impacto haciendo bromas a costa de clientes, usuarios –o peor, de nuestro soporte- ‘inexperto’. Puede haber un contrato en ambos casos, pero no es bueno mantener las relaciones a distancia.

Una real buena práctica es identificar y enfrentar cambios –incluso sustanciales, investiguemos con transparencia. Recuerde que las relaciones requieren confianza, que la confianza no sucede a menos que reconozca a los colegas y clientes como personas reales que, si les gusta, trabajarán con usted para arreglar lo que falla y que el propósito de los contratos no es definir las relaciones -es definir lo que sucede cuando no hay confianza y algo va seriamente mal.

Tomamos como buena práctica poner nombre a nuestros proyectos, desde hace poco incluso, no siempre ha sido así. Pero esta buena práctica de la dirección de proyectos la utilizamos para nombrar el proyecto como una implementación de software (y nos preocupamos de que el producto software funcione) y no como los resultados esperados por el negocio (no establecemos los requisitos y criterios de validación necesarios para el entregable). El trabajo de TI se realiza cuando el software satisface los requisitos y cumple con las especificaciones –se ha hecho el aseguramiento y control de calidad apropiados al producto software, su verificación. Entonces sabemos quién es culpable de no alcanzar los resultados esperados por el negocio ¿verdad?

Una real buena práctica implica identificar al real sponsor del proyecto. Me refiero no al que ha sido nombrado (otra ‘buena práctica’), sino al que le interesa el éxito del proyecto porque su reputación está en juego y actúa en beneficio del negocio, y no asume el encargo sólo por intereses personales. Otra es designar correctamente a alguien realmente encargado de realizar las validaciones oportunas, correctas y apropiadas.

Insistir en un retorno de inversión de la plataforma actual al instaurar la buena práctica del gobierno de TI es también una perjudicial para los proyectos donde la tecnología puede ayudar a los departamentos de negocios a ofrecer mejores resultados más rápido, o para aquellos proyectos que buscan ayudar a impulsar la satisfacción del cliente.

No podemos discutir que estos proyectos son críticos, por lo que una real buena práctica es que se necesita establecer correctamente los casos de negocio oportunos, necesarios y apropiados, y la organización debe implementar los cambios que sean identificados con prontitud.

El aumento de la eficacia de la misión y la eficiencia operativa son beneficios clave que se pueden lograr con el cloud computing. Recordemos la definición del NIST. Pero aplicar una estrategia al respecto es otra cosa, considerando por supuesto la seguridad en la nube. Tomamos como buena práctica la mera adopción de una solución comercial enfocada en IaaS, PaaS o SaaS. Sí hay orientaciones al respecto, pero dependerá de cada organización su definición y el éxito de su implementación ya que se deberá mantener las evaluaciones tecnológicas y las inversiones alineadas con las estrategias empresariales. Es una buena práctica reutilizar el recurso humano (exigirle más, por decirlo amablemente), pero debemos considerar que, probablemente, se requiera una reorganización de la organización de TI para ofrecer mayor agilidad empresarial y soporte a iniciativas empresariales clave.

Es una real buena práctica recordar que el ser humano es adaptable pero no es una máquina multitarea y tiene dignidad. Entonces conviene planificar –una buena práctica que muchas veces olvidamos por las presiones del mercado. Una buena planificación es muy importante porque en ella establecemos roles, responsabilidades, alcance del modelo de despliegue y servicios a emplear o entregar, controles, aspectos de diseño y de operación (que seguramente será necesario afinar), cumplimiento regulatorio y legal, integración de tecnología legacy con la nueva, cargas de trabajo, procesos establecidos, exposición al riesgo o apetito de riesgo, sponsor (real), ámbito de influencia, gobernabilidad, plazos, presupuestos, valor real para el negocio considerando las inversiones con base en su estrategia de negocio digital, entre otros muchos factores a considerar.  Otra real buena práctica es que todos los proyectos que se lancen deberían estar totalmente equipados, con “personal completo”, lo que significa que el proyecto nunca esperará a que un miembro del equipo esté disponible para trabajar en él.

Una buena práctica es emplear métodos ágiles, pero el pretender combinarla con la premisa de abaratar costos ya no lo es. La combinación es factible pero complicada en su control y gestión, y hasta contraproducente en cuanto a resultados esperados. Esto sólo si hablamos de contar con recursos y capacidades internas al país (on-shore); sin hablar de los recursos y capacidades que podrían verse interesantes fuera del país (off-shore).

Una real buena práctica es realizar una apropiada planificación tras reconocer que están implicados diferentes aspectos, no sólo el costo del recurso humano con el perfil adecuado, sino los costos de la tecnología a emplear y los mecanismos de seguridad necesarios, así como aspectos de locación, demográficos, culturares, idiomáticos, entre muchos otros.

¿Quién desea una TI Bimodal?

¿Quién desea una TI Bimodal?

Según Gartner, bimodal es la práctica de la gestión de dos estilos distintos pero coherentes de trabajo: uno centrado en la previsibilidad; la otra en la exploración.

Revisemos:

  • El Modo 1 (más gobierno, menos cambio) está optimizado para las áreas que son más predecibles y son bien entendidas. Lidiamos aquí con, pero no limitados a, estabilidad, robustez, estándares, planificación cuidadosa, cumplimiento, gobierno, riesgos, eficiencia, seguridad, precisión, disponibilidad, presupuestos, niveles de servicio y requisitos.
  • El Modo 2 (menos gobierno, más cambio) es exploratorio [pero requiere un enfoque riguroso y disciplinado -para que las cosas no se escapen de las manos], experimentando para resolver nuevos problemas, agilidad centrada en el tiempo de lanzamiento al mercado [velocidad], la rápida evolución de la aplicación y, en particular, la estrecha alineación con las unidades de negocio.

En la siguiente figura Gartner gráfica lo anterior:

Estas iniciativas a menudo comienzan con una hipótesis que se prueba y se adapta durante un proceso que implica iteraciones cortas, adoptando potencialmente un enfoque de producto viable mínimo (MVP) -experimentación.

Tengamos presente que un equipo de TI exploratorio no es fácil porque tienes que desafiar el pensamiento convencional [de las personas, claro], aceptar los riesgos [la empresa] y sentirte cómodo con un ritmo de cambio [motivación de todos] que es muy diferente de la forma actual en que opera TI.

Ninguna iniciativa es igual a otra, dadas las particularidades de cada negocio, mercado, o empresa. Cada empresa debe conocer su ecosistema, para adaptarse conforme convenga, e innovar rápidamente para responder a las amenazas y oportunidades.

Sabemos que, en el contexto empresarial, el estilo de trabajo, el modelo de decisión y la gobernanza, son los que hacen la diferencia; por tanto, cada empresa debe evaluar -a través de prueba y error- cómo enfrenta este paradigma, porque seguramente requerirá equipos multidisciplinarios [manpower], consultorías, nuevos contratos de soporte, nuevas negociaciones, nuevas herramientas, nuevos procesos, nuevas competencias, nuevas habilidades, nuevos conocimientos, nuevos recursos, y nuevas capacidades. No dejemos de lado el costo total de propiedad y los niveles de servicio acordados.

Seguramente deberemos considerar incluir cosas como aplicaciones móviles y su desarrollo, experiencia para el lado del cliente, IoT [Internet de las cosas] para obtener cierta experiencia en la captura de grandes flujos de datos y analizarlos desde diferentes dispositivos, ya sean estos dispositivos de consumo, dispositivos industriales, lo que se tenga a mano. Podría acabar ocurriendo que los ingenieros recién entrenados quieren usar nuevas técnicas en sistemas antiguos, y crear silenciosamente work-arounds en lo que se ha conocido como “shadow IT“. Trataríamos entonces de incorporar y estandarizar esta shadow IT y permitir a los innovadores innovar, pero dentro de la estructura corporativa. Esto implicaría una reingeniería de la gestión tecnológica y del papel de la empresa en su implementación.

Pero, tengamos presente que no por utilizar métodos ágiles o DevOps ya somos bimodales. La organización también está involucrada, no solo es un asunto de pura tecnología. Tampoco significa dedicarse a producir código porque se arriesga una mayor complejidad arquitectónica y de aplicación, lo que reduce la agilidad de la empresa. Recordemos que la cadena se rompe por el eslabón más débil, ¿o será que avanzaremos siempre al paso del más lento? [el impacto en los clientes, específicamente, es parte del segundo efecto secundario].

Ambos modos son esenciales, según Gartner, [tienen una relación simbiótica] para crear un valor sustancial, e impulsar un cambio organizativo importante, ninguno es estático y, probablemente, para el futuro tampoco sean suficientes. Combinar [y balancear] una evolución más predecible de productos y tecnologías (Modo 1) con lo nuevo e innovador (Modo 2) es la esencia de una capacidad bimodal empresarial. Ambos modos juegan un papel esencial en la transformación digital.

Sin embargo, el Modo 1 podría erróneamente considerarse negativo [¿desmotivación por creer que debe mantenerse con lo legacy (islamiento), con el día a día, aunque exista la nube?]. Y no vemos que se debería centrar en la explotación de lo que se conoce, pero renovando a la vez el entorno heredado a un estado que es apto para un mundo digital –renovar el core es la clave. De igual modo, el Modo 2 podría considerarse erróneamente positivo, (siempre iterando / ¿arriesgando, sobre simplificando, sin normas, con prácticas no lineales?), y siempre debería siempre estar ¿planeando para el futuro? [¿flexibilidad?, ¿motivación por mantenerse en lo nuevo?]. Capacidad de respuesta frente a estabilidad.

¿Y si cambiamos el ejemplo de los corredores a las velocidades de una bicicleta de carrera? ¿o de blanco y negro al espectro de colores? ¿cuán segregada/dividida/segmentada podrían estar TI? Esto sugiere que este modelo bimodal podría ser una sobre simplificación de lo realmente requerido. Por ejemplo, una mejor alternativa, según John C. McCarthy, analista de Forrester, es que las organizaciones trabajen más para entender sus desafíos y hacer “los cambios necesarios para conducir la simplicidad”. El enfoque en los clientes, más que la velocidad o una disciplina en particular, es el diferenciador crítico en las empresas que están teniendo éxito.

También debemos tener cuidado y considerar que los modos podrían competir inevitablemente por los fondos, recursos, habilidades y la atención de la dirección, sin dejar de lado estándares, disciplina, reducir complejidad, gestionar riesgos, en todo momento. Ambos conceptos pueden funcionar mejor cuando son compartidos por los elementos front-end y back-end del ecosistema de TI. Iterar es bueno, pero con la verificación y la metodología de las TI tradicionales de back-end.

Doxware, una variante del ransomware o del extortionware

Doxware, ¿es una evolución, una variante de malware, una nueva tendencia, o sólo un nuevo nombre? –porque nos gustan los nombres nuevos, sobre todo para lo que resulte amenazante[1].

Según la RAE, secuestrar es “Retener indebidamente a una persona para exigir dinero por su rescate, o para otros fines”; extorsión es “Presión que se ejerce sobre alguien mediante amenazas para obligarlo a actuar de determinada manera y obtener así dinero u otro beneficio”.

Ransomware suele instalarse en un sistema a través de un archivo adjunto de correo electrónico malicioso [usualmente de modalidad phishing], una descarga de software infectado y / o visitando un sitio o enlace malicioso. Cuando el sistema (independiente de la víctima) está infectado con ransomware, se bloquea, se cifran los archivos del usuario o se restringe el acceso del usuario a las funciones clave del equipo[2]. No se necesita mover datos, sólo cifrarlos[3]. Para evitar ataques, no sólo de ransomware, asegúrese de que todos los sistemas y software estén actualizados, proteja su red con tantas capas de seguridad como su presupuesto lo permita, cifre los datos sensibles, trate de no poner todos los huevos en la misma canasta, prevenga, eduque. El Grupo Smartekh nos ofrece un análisis gratuito de riesgo por ransomware.

Haciendo un poco de historia, la palabra doxxing; doxxing o doxing es un derivado de la palabra “docs” [“documentos” en idioma inglés]; el término es una versión abreviada de “dropping dox”, un método de venganza (algo así como dejar datos de alguien en el baño) que se remonta a la cultura hacker (y no tan hacker) de principios de los años 90[4].

Cuando doxxing y ransomware se combinan, esta combinación letal se conoce como Doxware[5]. Doxware entonces es el término usado para la técnica de acoso de encontrar, [secuestrar, extraer] y luego publicar información personal sensible de un usuario, incluyendo direcciones, números de teléfono e incluso números de Seguro Social[6].

Doxware normalmente escanea los archivos buscando frases clave que indican que son comunicación privilegiada, confidenciales o privados; así, el alcance de los archivos que doxware tiene como objetivo es menor que el ransomware ordinario, que se dirige a los discos duros completos[7].

Más preocupante es que los ciber delincuentes pueden tener acceso permanente a los datos personales y pueden exigir un rescate más de una vez. Incluso si se cede al chantaje, no hay ninguna garantía de que los archivos que han exfiltrado se eliminarán (apareció el extortionware). Los ataques basados en extorsión probablemente no aumentarán para el público en general, pero puede ser preocupante para los objetivos de alto valor, conocidos por tener datos valiosos. Con doxware el ataque es más personal, más selectivo, busca los blancos más atractivos, los que rindan más beneficios, los que maximicen el ROI. Es más, doxware puede exponer a las víctimas a acoso y humillación, pero también puede dejarlas vulnerables al robo de identidad[8].

El shadow IT, las redes sociales, el autoservicio de TI, hummmm. De hecho, preocupa a más de uno.

Confiamos en que evitamos la pérdida de los datos con los respaldos que realizamos, y en que recuperamos los servicios desde ahí, pero, en adición al tiempo y esfuerzo relacionados con el retorno real a la operación (dependiendo de la plataforma tecnológica desplegada, las capacidades existentes, y el tamaño del recurso comprometido), y del costo total de propiedad inherente, ¿qué fue de la pérdida de privacidad de los datos, no sólo por en dónde estaban sino, además, de quién son? ¿qué hay de un usufructo no alcanzado u oportunidades perdidas? ¿qué hay de los datos que son publicados y/o de posibles acciones legales por exposición no autorizada? ¿qué hay de la confianza perdida?, entre muchas otras interrogantes.

Recordemos, la ignorancia no es una defensa y el anonimato percibido no es un escape[9].

[1]       Fuente: http://searchdatacenter.techtarget.com/es/cronica/Doxware-Nueva-amenaza-de-ransomware-o-solo-extortionware-renombrado; disponible en marzo/2017

[2]       Fuente: https://www.techopedia.com/definition/4337/ransomware; disponible en marzo/2017

[3]       Fuente: http://www.networkworld.com/article/3174678/security/the-latest-ransomware-threat-doxware.html; disponible en marzo/2017

[4]       Fuente: http://computer.howstuffworks.com/what-is-doxxing.htm; disponible en marzo/2017

[5]       Fuente: https://www.topsec.com/it-security-news-and-info/what-is-doxware-ransomware; disponible en marzo/2017

[6]       Fuente; https://www.merriam-webster.com/dictionary/dox; disponible en marzo/2017

[7]       Fuente: https://www.techopedia.com/definition/32411/doxware; disponible en marzo/2017

[8]       Fuente: https://www.quora.com/What-is-Doxware-Malware; disponible en marzo/2017

[9]       Fuente: http://www.independent.co.uk/life-style/gadgets-and-tech/news/online-abuse-internet-sexting-doxxing-trolling-new-legal-guidelines-crime-prosecution-service-a7353536.html; disponible en marzo/2017

Internet de las cosas -IoT

Según Gartner, el “Internet de las cosas (IoT) es la red de objetos físicos que contienen tecnología incorporada para comunicarse y detectar o interactuar con sus estados internos o con el entorno externo”[1]; y añade que “el valor real del Internet de las cosas va más allá de los dispositivos interconectados”[2][3].

La interacción crea más datos (más complejidad en su tratamiento, más aplicaciones, mejores y más seguras que los traten, mayor necesidad de almacenamiento y procesamiento); la comunicación acarrea más riesgos que deben ser apropiadamente gobernados, una necesidad de mayor y mejor gestión de servicios (decisiones de toda índole más difíciles, para usuarios y operadores); las condiciones actuales y posibilidades futuras requieren recursos y capacidades diferenciados para asegurar que se mantiene el valor de los servicios (que promulga ITIL®) que entregamos –la sostenibilidad operativa.

Todos estamos involucrados y somos responsables del buen o mal uso que hagamos del IoT, en todo nivel. Además, debemos considerar que hay muchas cosas que considerar[4]: capacitación, público objetivo, requisitos de construcción, servicios incorporados, dispositivos (tipos, compromiso de seguridad, manipulación no autorizada[5], otros), disponibilidad, aplicaciones, redes, conectividad, plataforma tecnológica, ecosistema, riesgos directos e indirectos, actualizaciones de firmware o de software, aplicaciones que incorporen la seguridad desde el diseño, la arquitectura de las aplicaciones a este respecto, cifrado de datos, protección de datos personales, categorización de datos, datos sensibles en general, control de acceso, normativas, regulaciones, estándares, metadatos de los dispositivos, sistemas de monitorización y de protección contra intrusiones y ataques, tanto a nivel individual como colectivo[6], monitoreo continuo, localización de los datos porque lo que es delito informático en un país puede no serlo en otro, resiliencia[7], confidencialidad, integridad y disponibilidad, entre muchas otras posibilidades.

IoT no es una cosa; es la integración de varias cosas en una solución de negocio, es el corazón del negocio digital –bueno, cuando ya no sea una buzzword y realmente se de una transformación digital y contemos con tecnología concreta utilizable hasta en nuestros hogares[8] y por todos (refrigeradoras que podrán avisar a sus dueños cuando no haya alimento en ellos[9] es la promesa ¿recuerdan?). Sería bueno saber cuántos y cuáles dispositivos están accediendo a nuestra red local, y algo ‘raro’ como deshabilitar el bluetooth y las funciones que los dispositivos no usan todo el tiempo[10]. No queremos que “alguien” nos haga “gastar” más electricidad de lo habitual. Ya conocemos las deficiencias de seguridad existentes, que no nos pesquen desprevenidos, por ellas al menos[11].

[1]       Fuente: http://www.gartner.com/it-glossary/internet-of-things/; disponible en marzo/2017

[2]       Fuente: http://www.gartner.com/technology/research/internet-of-things/?s=1; disponible en marzo/2017

[3]       Fuente: http://view.ceros.com/gartner/iot/p/1; disponible en marzo/2017

[4]       Fuente: https://ricveal.com/blog/10-retos-seguridad-iot/; disponible en marzo/2017

[5]       Fuente: http://aunclicdelastic.blogthinkbig.com/el-reto-de-la-seguridad-en-iot/; disponible en marzo/2017

[6]       Fuente: http://www.csuc.cat/es/internet-of-things-un-reto-para-la-seguridad; disponible en marzo/2017

[7]       Fuente: http://www.ibm.com/developerworks/ssa/library/iot-trs-secure-iot-solutions1/index.html; disponible en marzo/2017

[8]       Fuente: http://techcetera.co/el-reto-para-la-seguridad-para-el-internet-de-las-cosas/; disponible en marzo/2017

[9]       Fuente: http://www.nacion.com/tecnologia/informatica/Seguridad-principal-reto-Internet-Cosas_0_1571442852.html; disponible en marzo/2017

[10]     Fuente: http://techcetera.co/tiene-el-internet-de-las-cosas-iot-algun-riesgo-para-su-hogar/; disponible en marzo/2017

[11]     Fuente: http://www.symantec.com/content/en/us/enterprise/media/security_response/whitepapers/insecurity-in-the-internet-of-things.pdf; disponible en marzo/2017

¿Recordamos cómo resolver problemas?

Mi esposa y yo visitamos ayer una pareja amiga, un poco mayor que nosotros, que no veíamos hace tiempo, y durante la deliciosa velada uno de los temas de conversación que surgió fue, por la coyuntura, el de la educación actual.

Nuestro amigo recordaba sus días de colegio y cómo, a pesar de que las cosas en apariencia han cambiado, de que los colegios piden libros nuevos cada año, la información contenida en los libros no ha cambiado, no se ha actualizado, y su nieto aprende cosas que tienen más de 50 años de antigüedad. Nos recuerda cómo sus dos hijos menores regresaban del colegio y tenían que hacer la tarea de matemática encargada por el docente (o la docente, ya no incidí por la igualdad de género): resolver problemas. El problema era que en clase sólo se habían desarrollado, en el mejor de los casos, unos ejercicios. ¿Recuerdan cuando el docente sacaba a la pizarra un grupo de alumnos y hacía concurso para ver quién de ellos terminaba más rápido?

Bueno, ejercicios y problemas son cosas bien distintas[1]. Un ejercicio es una aplicación práctica de una fórmula o un algoritmo de cálculo; las cosas están predefinidas, las acciones son fijas, los resultados únicos. Sin embargo, para resolver un problema, nos recordaba mi amigo, se necesita planear la operación que se utilizará para, una vez realizada, obtener una solución. En general, esto no ha cambiado, pero nuestros educandos parece no utilizan este proceso –y, por costumbre, nuestros profesionales tampoco.

Bien, siendo un poco más académicos[2], un problema necesita ser entendido para definir un plan de cómo resolverlo, poner en práctica el plan, y finalmente comprobar los resultados. ¿Requeriré desarrollar un proyecto? ¿Tendré suficientes recursos y capacidades para enfrentar el reto o necesitaré apoyo? ¿Qué requisitos de calidad, de mejora continua o de seguridad de la información deberé considerar?

En otras palabras, necesitamos toda la información posible, saber en qué consiste el problema, qué conocemos para resolverlo, qué se requiere, cuáles son las condiciones en que se da, como mínimo; debemos establecer una estrategia de solución; llevar adelante el plan, comprobar que hemos alcanzado la solución –muchas veces creemos haber resuelto un problema y luego no es así, repetir el proceso si es necesario; establecer las lecciones aprendidas –cómo llegamos a la solución o por qué no, cuáles son las equivocaciones y cuáles los aciertos, cuál fue el proceso seguido, por ejemplo.

Debemos conocer pero, sobre todo, saber aprender[3]. Hay expertos que conocen los procesos pero un verdadero maestro es quien domina el proceso de aprender sobre un proceso. En general, el método de la analogía es buena, como base comparativa, pero hay que saber cuándo y cómo aplicarlo –por los paradigmas que seguramente tenemos arraigados y que enfrentamos (potencialmente limitativos) cuando aplicamos la filosofía del kaizen.

Usualmente enfrentamos los problemas buscando el qué debemos hacer para solucionarlos, y no consideramos que deberíamos preguntarnos qué necesitamos aprender. Realizamos ciertas acciones y esperamos que algo pase, o que aprendamos algo. ¿Qué aprendimos de pasos anteriores, qué resultados necesitamos lograr de los siguientes pasos? Puede ser difícil responder esto último ya que todos estamos condicionados a pensar en términos de elementos de acción, no de resultados[4]. ¿Se dieron cuenta del aspecto PDCA involucrado?

Tomamos información limitada, la extrapolamos en una falsa comprensión total y ofrecemos un diagnóstico y tratamiento[5]. Incorrecto el proceso. Debemos controlar nuestro ímpetu a tratar de saltar a una solución sin tener todo lo necesario para tomar decisiones informadas.

[1]   Fuente: http://soymatematicas.com/resolver-problemas-de-matematicas/; disponible en dic/2016

[2]   Fuente: http://www.portaleducativo.net/tercero-basico/567/Como-resolver-problemas-matematicos; disponible en dic/2016

[3]   Fuente: http://theleanthinker.com/2010/04/12/knowing-vs-knowing-how-to-learn/; disponible en dic/2016

[4]   Fuente: http://theleanthinker.com/2016/07/07/the-improvement-kata-next-step-and-expected-result/; disponible en dic/2016

[5]   Fuente: http://theleanthinker.com/2016/11/12/its-what-must-we-learn-not-what-should-we-do/; disponible en dic/2016

Transformación digital

McKinsey[1] nos dice que la transformación es quizás el término más usado en los negocios. A menudo, las empresas lo aplican libremente, a cualquier forma de cambio, por pequeño o rutinario que sea.

Así, el término “transformación digital” se ha utilizado para describir cualquier cosa, desde una aplicación técnica hasta el desarrollo de una estrategia de medios sociales, pero en realidad la verdadera transformación necesita involucrar mucho más que el producto final[2].

Veamos.

Las empresas han evolucionado, como lo muestra la siguiente figura, que propone una combinación de fuerzas económicas y tecnológicas que han cambiado el mundo y han creado y crean disrupción –nadie está a salvo. Interesante el trío de tecnologías habilitadoras:

the-digital-enterprise-wave

Fuente: High Level Digital Transformation Diagnostic, Agile Elephant

Forrester[3] nos alerta que el mundo se ha vuelto digital ‑la competencia se basa cada vez más en la fuerza de sus experiencias digitales y negocios digitales. Así, buscamos realizar hoy una transformación digital para competir mañana y lo hacemos por diversas razones:

  • Porque hemos fallado en evolucionar como empresa, nuestros proyectos no han sido exitosos, y es una cuestión de transformar o perecer[4], ya que la competencia lo está haciendo. Forrester nos informa que 46% de los ejecutivos encuestados por creen que para el año 2020 lo digital tendrá un impacto en más de la mitad de sus ventas[5].
  • Porque buscamos crecer. PWC[6] nos informa lo que los negocios realmente quieren tras esta iniciativa: aumentar las ganancias; aumentar los ingresos; crear una mejor experiencia del cliente.

pwc-chasing-digital-value

Fuente: PWC, 2015 Digital IQ Survey

  • Porque es una transformación del negocio lo que buscamos siendo que lo digital está [o debería estar] ya imbuido en el negocio y porque lo digital está muy arraigado en el consumidor actual o, como dice Altimeter[7] “un realineamiento de modelos de negocio y procesos para generar un nuevo valor para los clientes y empleados con el fin de competir efectivamente en una economía digital en constante cambio” –lo que podría potencialmente abarcar a todos los clientes.
  • Porque los proyectos de transformación digital deben producir algo valioso para el consumidor y el negocio y esto requiere de una visión clara del líder para que el negocio la compre y se comprometa, ‑porque si no, nada se transforma. Liderar el cambio digital requiere que los gerentes tengan una visión de cómo transformar su empresa para enfrentar un mundo digital. Algo valioso para el usuario podría ser, por ejemplo, la experiencia en la navegación y personalización, considerando además un muy probable comportamiento cambiante. Para el negocio, algo valioso podría ser, por ejemplo, una capacidad superior de analítica de datos (grandes volúmenes de datos y una aplicación avanzada), integración de tecnologías, agilidad y flexibilidad operativas para enfrentar nuevos requerimientos –teniendo siempre en cuenta el costo total de propiedad.
  • Porque buscamos una manera de decir que nos movemos a la nube [primero[8]], en cuyo caso, deberemos conocer los pasos que deberemos seguir, determinar si debemos crear nuevos puestos de trabajo o contratar consultorías especializadas, establecer la garantía del servicio, por ejemplo.

Lo cierto es que la transformación digital es imperativa para cualquier negocio, grande o pequeño ‑declaración bastante trillada además. Pero tengamos presente que la transformación digital implica invertir en la tecnología que sea y cuando sea apropiada, porque la tecnología por sí sola no es una solución –es un medio, no una estrategia; es un viaje, no un destino.

Según un artículo del MIT Sloan Management Review[9], cuanto mayor sea la madurez digital de una empresa, mejores serán sus resultados financieros. La madurez digital está dada por la intensidad digital, que es el nivel de inversión en iniciativas que son posibles con la tecnología y que significan cambiar la forma en que opera la empresa; y por la intensidad en la gestión de la transformación, que es el nivel de inversión en las capacidades de liderazgo necesarias para crear la transformación digital dentro de una organización, y el gobierno correspondiente. Y Deloitte[10] nos dice que es la estrategia digital la que impulsa la madurez digital, y la agenda digital se conduce desde arriba. El líder digital debe tener la capacidad de articular el valor de las tecnologías digitales con el futuro de la organización –no precisamente ser un experto en tecnología. Las empresas van desde una madurez temprana, pasando por un estado de desarrollo de la madurez, y van madurando digitalmente.

De hecho, PWC ha identificado las siguientes diez capacidades críticas que se correlacionan con un fuerte rendimiento financiero –evidentes, por cierto, todos los puntos, y especialmente el de ciberseguridad: liderazgo, de arriba para abajo, compromiso, estrategia compartida en toda la organización, abordar los temas desde afuera, impulsado por la ventaja competitiva, uso eficiente de los datos del negocio (analítica, tecnología adicional a las propuestas por Agile Elephant: nube, social, móvil), ciberseguridad, ruta digital clara, medición consistente y continua.

digital-iq-survey

Fuente: PWC, 2015 Digital IQ Survey

Crear una nueva forma interna de trabajar y comunicarse es parte del proceso. Es un cambio cultural para muchas organizaciones. Las personas, sus habilidades y la cultura de la organización son esenciales para que una transformación tenga éxito. Agile Elephant[11] nos sugiere emplear el modelo de las 7 S de McKinsey[12] para diseñar la transformación, y no olvidarnos de la parte “blanda” anterior, ya que usualmente nos enfocamos sólo en la parte “dura”, y es que la transformación digital es un problema de personas, y agregaría, motivadas:

mckinsey-7-s-model

Debemos fomentar la innovación [sin grandes volúmenes de datos de calidad que “alimente” la innovación, el proceso se detendrá], la capacidad de innovación, y nuevos modelos de negocio[13], buscar cambiar la organización de un enfoque legacy a nuevas formas de trabajar y pensar usando tecnologías digitales, sociales, móviles y emergentes con la finalidad de propiciar cambios en las relaciones con clientes, procesos internos y propuestas de valor[14]. Lo cual implica, según Gartner[15], modernizar las aplicaciones nucleares, extender las capacidades de estas aplicaciones, transicionar a nuevos modelos de consumo como SaaS, entre otras posibilidades de abordar el tema. Gartner también nos sugiere construir software diferenciado, innovador y no estándar o software con servicios profesionales (para requisitos de personalización e integración), o soluciones cada vez más originarias de empresas emergentes, disruptores o proveedores locales especializados, y no comprar aplicaciones ya hechas. ¿No les parece una ola esto?; es decir, ¿no lo habían escuchado antes?

Operar dentro de los límites de los paradigmas tradicionales sin propósito ni visión desafía finalmente la dirección, la capacidad y la agilidad para prosperar en una economía digital. El camino hacia la transformación suele ser moldeado por la persona o el grupo que dirige el esfuerzo, lo cual puede limitar la implementación de una transformación holística, persistente y significativa en toda la empresa; por ejemplo, impulsando las inversiones digitales desde una perspectiva operativa o tecnológica sin la empatía del cliente o el conocimiento de cómo y por qué las nuevas expectativas, preferencias y valores que generan la disrupción de los mercados. Crean lo que Schumpeter acuñó como “destrucción creativa”[16].

El cambio cultural requiere que las organizaciones desafíen continuamente el statu quo, experimenten a menudo –tomar riesgos es una norma cultural, y se sientan cómodos con el fracaso. El compromiso con los empleados y gerentes necesita tener un contexto, una visión y un llamado a la acción que resuene con cada persona individualmente. Este tipo de personalización es lo que motiva a una fuerza de trabajo. La incorporación de los procesos y enfoques de trabajo de la transformación en actividades cotidianas deben darse desde el inicio de la transformación para asegurar que el impulso del rendimiento continúe acelerándose después de la transformación.

Además, necesitamos saber dónde está ocurriendo el cambio[17], dónde tiene el mayor impacto –y cuán rápido está ocurriendo. Es importante mirar más allá de su propio sector: la interrupción digital no respeta las fronteras de la industria.

La optimización del contacto que tiene el cliente con la marca obliga a una empresa a identificar todas las herramientas y tecnologías –apropiadas para la tarea, procesos, capacidades y transiciones necesarias para ofrecerle una gran experiencia[18] -e incrementar el valor de vida del cliente[19] por supuesto.

La forma en que las organizaciones han estado planificando y administrando cambios a gran escala ya no funciona, se necesita ahora un enfoque iterativo, ágil (el ritmo del cambio en el mundo digital es [muy] rápido), automatizado, basado en los resultados y orientado a la experiencia del cliente. La transformación no es ensamblar cosas o combinar soluciones de las plataformas empresariales existentes. Es cuestionar cómo funciona la estructura y lo que se necesita para hacerlo mejor, no sólo reunir todo lo existente –incluyendo lo legacy- de formas diferentes –o “innovadoras”.

Así, es vital: la colaboración interna; la creación de procesos holísticos y no fragmentados[20] que apoyen la visión, no sólo la propuesta de actividades o metas; la creación de equipos multifuncionales que integren diversas funciones en el negocio, conformados por el personal correcto y adecuado para ejecutar la estrategia[21], competente, bien entrenado y capacitado, con la mentoría apropiada, o los proyectos fallarán; el desarrollo de incentivos para compartir por una entrega –final- exitosa; y cuidar de no subestimar necesidades o recursos y capacidades.

Para crear impulso, los equipos multifuncionales necesitan un apoyo visible de la alta dirección, un mandato claro para hacer las cosas con el empoderamiento oportuno y apropiado, suficientes recursos para construir un programa de trabajo donde las inversiones deberían estar ligadas al progreso y no a ciclos presupuestales fijos, y responsabilidad por las ganancias y pérdidas y rendición de cuentas.

Debemos tener presente que deberemos eliminar barreras y contar con una estrategia de visión transformadora, que nuestra cultura debe tender a ser integrada e innovadora, con un talento humano realmente comprometido que sigue un liderazgo con buenas habilidades digitales.

[1]      Fuente: http://www.mckinsey.com/business-functions/mckinsey-recovery-and-transformation-services/our-insights/transformation-with-a-capital-t; disponible en dic/2016

[2]      Fuente: https://www.marketingweek.com/2016/04/14/what-does-digital-transformation-really-mean/; disponible en dic/2016

[3]      Fuente: https://solutions.forrester.com/consulting/digital-business/; disponible en dic/2016

[4]      Fuente: https://enterprisersproject.com/what-is-digital-transformation; disponible en dic/2016

[5]      Fuente: http://blogs.forrester.com/nigel_fenwick/15-12-08-the_state_of_digital_business_2016_to_2020; disponible en dic/2016

[6]      Fuente: http://www.pwc.com/gx/en/advisory-services/digital-iq-survey-2015/campaign-site/digital-iq-survey-2015.pdf; disponible en dic/2016

[7]      Fuente: http://www.altimetergroup.com/pdf/reports/Six-Stages-of-Digital-Transformation-Altimeter.pdf; disponible en dic/2016

[8]      Fuente: http://www.businesswire.com/news/home/20151104005180/en/; disponible en dic/2016

[9]      Fuente: http://sloanreview.mit.edu/article/the-advantages-of-digital-maturity/; disponible en dic/2016

[10]    Fuente: https://dupress.deloitte.com/content/dam/dup-us-en/articles/digital-transformation-strategy-digitally-mature/15-MIT-DD-Strategy_small.pdf; disponible en dic/2016

[11]    Fuente: http://www.theagileelephant.com/digital-transformation-diagnostic/; disponible en dic/2016

[12]    Fuente: http://www.12manage.com/methods_7S_es.html; disponible en dic/2016

[13]    Fuente: http://www.theagileelephant.com/what-is-digital-transformation/; disponible en dic/2016

[14]    Fuente: http://sloanreview.mit.edu/article/the-nine-elements-of-digital-transformation/; disponible en dic/2016

[15]    Fuente: http://www.gartner.com/newsroom/id/3119717; disponible en dic/2016

[16]    Fuente: http://www.centroschumpeter.org/2015/05/la-innovacion-proceso-destruccion-creativa/; disponible en dic/2016

[17]    Fuente: http://www.mckinsey.com/business-functions/organization/our-insights/nine-questions-to-help-you-get-your-digital-transformation-right; disponible en dic/2016

[18]    Fuente: http://www.i-scoop.eu/digital-transformation/#Digital_transformation_and_the_customer_experience; disponible en dic/2016

[19]    Fuente: http://www.marketingguerrilla.es/que-es-el-customer-lifetime-value/; disponible en dic/2016

[20]    Fuente: http://www.cmswire.com/digital-experience/7-reasons-your-digital-transformation-project-may-fail/; disponible en dic/2016

[21]    Fuente: https://cloudfabrix.com/blog/digital-transformation/why-most-of-the-digital-transformation-projects-are-failing/; disponible en dic/2016

Autoservicio de TI

Desplegar tecnología para lograr que los usuarios de ésta se ayuden cuando tienen dificultades con la tecnología (sí, más tecnología para la tecnología) es algo que por mucho tiempo se ha tratado –y en algunos casos esta “innovación” ha funcionado y en otros no; bueno, siempre hay espacio para mejorar.

Los medios de acceso son variados. Existen versiones de respuesta humana o incluso robótica. Las interfaces son cada vez más útiles y usables. Sistemas de información y flujos de trabajo unos más integrados –y útiles- que otros. Actividades unas mejor implementadas que otras, como emisión y renovación de la identificación del usuario, entrenamiento, disponibilidad de opciones tipo push-pull para instalaciones o actualizaciones, ejecución de políticas de retención, solicitudes variadas (provisión de recursos, programación de atenciones, consultas sobre funcionalidad u operación, requerimientos de reparación, de información), entre otras[1]. Todos gozan de una interesante y mayor agilidad, los que entregan (TI tradicionalmente), y los que reciben (siempre el usuario). La experiencia de usuario está garantizada –depende del usuario calificarla.

fig1

Empoderar a los consumidores (usuarios y clientes) de servicios especializados para que ellos mismos se auto atiendan cuando tienen necesidades relacionadas con la tecnología de la información está muy de moda hoy en día[2].

Los usuarios finales obtienen las herramientas que necesitan para maximizar la productividad, tienen acceso a una vasta base de conocimiento[3] –y hasta a información a la que antes no tenían acceso (y no hablo de seguridad sino de alcance, disponibilidad, re-utilización porque esta iniciativa depende de la calidad y cantidad de información disponible y las facilidades disponibles para accederla[4] y generarla, incluso por comunidades de usuarios[5], y las medidas adoptadas para retener su control), y los departamentos de TI reducen la tensión cotidiana de las llamadas que llegan al servicio de atención al cliente[6].

Interesante. Se reducen costos al pasar del “modo bombero” a un estado de eficiencia y efectividad, y se re-enfoca la mesa de servicio a incrementar la satisfacción del cliente o del usuario.

Sí, nada nuevo hasta aquí. Pero, Gartner[7] nos alerta de las generalidades en que hemos incurrido antes, lo cual nos fuerza a sincerar los resultados frente a las expectativas de esta innovación –y preparar un buen caso de negocio primero.

  • El autoservicio de TI reduce costos en el soporte nivel 1 principalmente con relación a las solicitudes varias que ya comentamos. Algunas cosas todavía requerirán una llamada al servicio de TI o la asistencia de un técnico de soporte. Es una mezcla cuyo balance debe ser cuidadosamente considerado con respecto al valor esperado, con el objetivo de no incurrir en gastos innecesarios –aunque suene trillado esto último.
  • El autoservicio de TI requiere cuidado y actualización constante; no es una inversión que se realiza una sola vez y nos olvidamos luego. Es un continuo asegurar que el servicio lo seguimos entregando ‑como área de TI- como fue comprometido, y nuestro “consumidor” lo sigue recibiendo –su apreciación del valor- de forma oportuna, consistente y constante. El conocimiento, hemos mencionado, juega un papel vital y como tal debe ser gestionado apropiadamente para mantener su vigencia y utilidad.
  • Los usuarios finales acudirán a los autoservicios sólo si no tienen alternativa, lo cual dependerá de la estrategia que implemente la organización para su “adopción”, ya que la inclinación a su aceptación potencialmente será variada –tanto como la cultura organizacional, la mentalidad de los usuarios, la brecha generacional, así como los plazos límite que se establezcan.
  • Para una implementación exitosa del autoservicio de TI se requiere de requisitos previos que lo complementen, como un conjunto correctamente seleccionado de herramientas y procesos, adecuados, probados, afinados, y mantenidos, por personas con roles y competencias técnicas apropiadas, que apoyen, por ejemplo: la automatización de las actividades antes enumeradas, entre otras; y a los usuarios en las decisiones que deben tomar y en las tareas que deben realizar. Si se implementa adecuadamente, el autoservicio puede mejorar la satisfacción del cliente, proporcionar análisis de tendencias de incidentes, identificar oportunidades de capacitación, permitir ejecutar escenarios del tipo “que pasa si” para determinar a dónde llegarán las finanzas de la compañía para el trimestre, y consolidar el conocimiento que existe actualmente en los silos en toda la organización de soporte. La retroalimentación obtenida de un piloto o varios] es atractiva –y útil, para identificar la diversidad de información que sea requerida y permitir flexibilidad y agilidad en satisfacerla.
  • Así es, no dejemos de lado la utilidad, usabilidad, garantía, no sólo de los servicios entregados, con base en procesos gestionados y sujetos a una mejora continua, sino también de los medios utilizados para su entrega, como la interface de usuario utilizada –portal bien diseñado, amigable e intuitivo por supuesto, con el que sea fácil pedir ayuda.

Como siempre, una buena venta del valor del servicio ayudará a que los usuarios lo adopten voluntariamente (menor rechazo inicial; servicios conscientes del contexto que conocen su rol, ubicación y equipo[8]; adopción más rápida; disponibilidad de diferentes medios de contacto; apoyo a las aplicaciones actualmente en uso –aunque no hayan sido provistas por el departamento de TI; naturalidad, facilidad y flexibilidad en el procesamiento de solicitudes; compromiso consciente; finalmente interiorización), buscar qué necesitan hacer, qué quisieran hacer y no pueden –aún, qué les ha funcionado, qué les molesta, y otros posibles aspectos a considerar[9] -una mejora continua de funcionalidad y alcances, promocionar lo realizado, buscando cada vez una mayor aceptación. Identificar los temas correctos que ayudarán a los usuarios a ayudarse a sí mismos, toma tiempo y esfuerzo, no olvidemos considerar el costo total de propiedad de la solución integral.

[1]        Fuente: http://www.techrepublic.com/blog/10-things/10-ways-it-can-use-self-service/; disponible en dic/2016

[2]        Fuente: http://www.computerworld.com/article/2500959/enterprise-applications/self-service-it.html; disponible en dic/2016

[3]        Fuente: http://www.servicenow.com/products/express/it-self-service-portal-for-smb.html; disponible en dic/2016

[4]        Fuente: http://whatis.techtarget.com/definition/customer-self-service-CSS; disponible en dic/2016

[5]       Fuente: https://www.atlassian.com/it-unplugged/best-practices-and-trends/technologies-for-self-service-success; disponible en dic/2016

[6]        Fuente: http://www.axiossystems.com/solutions/end-user-self-service; disponible en dic/2016

[7]        Fuente: http://www.gartner.com/newsroom/id/1426813; disponible en dic/2016

[8]        Fuente: http://www.bmc.com/it-solutions/it-self-service.html; disponible en dic/2016

[9]        Fuente: http://www.informationweek.com/strategic-cio/team-building-and-staffing/7-ways-to-avoid-self-service-it-pitfalls/a/d-id/1297292; disponible en dic/2016

Algo sobre ciberseguridad

Cierto, la ciberseguridad nos preocupa[1] y por ello debemos ocuparnos en entender nuestros propios ambientes de operación y por controlar las puertas y ventanas abiertas en el plano digital de nuestro ecosistema, identificar los riesgos y determinar el verdadero impacto que un incidente podría tener para nuestro negocio.

¿Sería bueno esforzarnos en realizar un FODA de nuestra seguridad de la información? No sólo situacional sino, además, estratégico. ¿Mantenemos actualizados nuestros activos de información? ¿Qué dejamos de proteger y por qué? ¿Qué nos falta por hacer o mejorar? ¿Qué recursos y capacidades están involucrados, han sido desplegados y han sido comprometidos en los servicios que entregamos[2]? ¿Existen limitaciones o restricciones, cuáles y por cuánto tiempo lo serán? ¿Hemos implementado algún tipo de ‘ciber’ defensa como los antiguos honey pot ¿los recuerdan?, con la finalidad de conocer el comportamiento de algún atacante dentro de nuestra plataforma tecnológica así como las técnicas que podría utilizar? ¿Es mejor invertir en herramientas de seguridad, o en la construcción de sistemas –no sólo de información- con un menor número de vulnerabilidades? ¿Cuáles herramientas, cuáles sistemas? ¿Empezamos?, ¿con qué empezamos? ¿Hemos desarrollado algún cronograma para realizar las evaluaciones? ¿Qué hay de las acciones de monitoreo y control? ¿Cuáles son los sistemas críticos para la operación de la empresa, de su día a día? ¿Qué servicios de TI que ya gestionamos o estamos todavía diseñando son los primeros que debemos considerar en nuestra evaluación de su seguridad de la información? ¿Cuáles serán los criterios de aseguramiento de calidad y de control de calidad que estableceremos para esa evaluación? ¿Consideramos la mejora continua en todos los casos? ¿Cómo han sido personalizados y configurados estos servicios cuya información debe permanecer segura? ¿Estamos gestionando los cambios a los servicios que podrían afectar la seguridad del ecosistema actual? ¿Estamos gestionando las configuraciones de los servicios en cuanto a la seguridad de la información? Humm.

No nos es extraño que cuanta mayor y mejor tecnología exista, más elaborados son los ataques y en mayor cantidad, y que no precisamente son realizados por gurús. Además, cada vez es más complicado y toma tiempo identificar el punto de entrada y el número de registros o dispositivos que se han visto comprometidos. Seguramente ya pasamos por el mantra de: conocer dónde se encuentran los datos, sobre todo los identificados, catalogados y tratados como sensibles –sin olvidar cómo, dónde y con qué se procesan o transmiten (no olvidemos a dónde y de qué manera); monitorizar el ciclo de vida de los datos; otorgar permisos según la política consabida de necesidad de conocer, gestionando identidades y autorizaciones según corresponda –recordemos el concepto IAM[3]; protegernos del malware; utilizar apropiadamente (adoptar y adaptar) el concepto BYOD; utilizando las capacidades integradas de los dispositivos móviles; aislando y ocultando dispositivos terminales según sea necesario o prudente; educación, interminable, constante, continua, actualizada, personalizada, activa y de calidad, entre otros atributos; concientizar; comunicar; entender para prevenir, descuidos y comportamientos de los usuarios con relación a la seguridad de la información.

Entonces, entendiendo nuestra organización, qué se debe proteger, y los riesgos que enfrenta, debemos enfocar lo mejor posible nuestros esfuerzos en cuanto a gestionar el riesgo a fin de motivar la adopción de una postura acorde con el grado de exposición y lo crítico de una situación porque sabemos que existen muchas variables a considerar de forma responsable, entre otras, las operativas, humanas, funcionales y tecnológicas. No olvidemos que los riesgos permanecen en cambio constante, más con el grado actual de globalización el cual incrementa el entorno de las amenazas modernas alterando –por decirlo gentilmente, y si está vigente, cualquier plan de respuesta a incidentes.

Es decir, debe existir una estrategia de seguridad exhaustiva con objetivos de seguridad y medidas alineadas con las estrategias empresariales y metas, donde la seguridad sea una prioridad en la mente de todos y sujeta a una evaluación y reevaluación continua, con alternativas de análisis de datos de calidad que ayuden a proteger información confidencial –para que funcionen realmente opciones como DLP y SIEM, y que podamos determinar cuáles posturas de seguridad que se han adoptado han sido las más efectivas.

[1]      Fuente: http://docs.media.bitpipe.com/io_13x/io_131511/item_1334211/HB_Consejos%20de%20ciberseguridad%20para%20las%20empresas%20de%20hoy_final.pdf; disponible en julio/2016

[2]      Fuente: http://learn.alienvault.com/5-security-controls-or-an-effective-soc/home; disponible en julio/2016

[3]      Fuente: http://www.itnews.com/article/3088084/security/gartner-s-top-10-security-predictions.html?token=%23tk.ITN_nlt_ITnews_Daily_2016-06-24&idg_eid=0f3e0907b81179ebb4f3b209b6424bae&utm_source=Sailthru&utm_medium=email&utm_campaign=ITnews%20Daily%202016-06-24&utm_term=ITnews_Daily; disponible en julio/2016

Espacio para ¿mejorar? -para la mejora continua

A estas alturas de nuestro deambular entre los peligros de la inseguridad, ya debemos estar convencidos que siempre hay espacio para mejorar. Bueno, una palabra elegante para establecer que no nos quedamos estáticos; y en seguridad, no podemos darnos ese lujo.

Mejorar implica primero conocer. Según la RAE[1], conocer significa “averiguar por el ejercicio de las facultades intelectuales la naturaleza, cualidades y relaciones de las cosas”; “entender, advertir, saber, echar de ver a alguien o algo”; “percibir el objeto como distinto de todo lo que no es él”.

6W-2H ¿solamente?

Significa tener información y conocimiento, saber, entender, comprender, dominar lo que hacemos. Y para esto podemos ayudarnos con la aplicación de nuestra vieja conocida, la técnica 6W-2H[2] [3] [4]:

6w-2h

Luego podemos buscar dónde se encuentra la oportunidad para mejorar, y también podemos apoyarnos para esto en la técnica 6W-2H. Según la RAE, buscar significa “hacer lo necesario para conseguir algo”; “hacer algo para hallar a alguien o algo”. Significa hacer o decir algo para provocar una reacción; intentar localizar, conseguir, o encontrar. Bueno, una palabra sencilla para establecer que debemos ser proactivos. Según la RAE, proactivo significa “que toma activamente el control y decide qué hacer en cada momento, anticipándose a los acontecimientos”. Esto es, asumir la responsabilidad de hacer que las cosas sucedan –y no esperar a que algo suceda, es asumir el pleno control de una conducta activa, lo que implica tomar la iniciativa en el desarrollo de acciones creativas y audaces para generar mejoras, haciendo prevalecer la libertad de elección sobre las circunstancias del contexto[5]. Significa tener iniciativa y capacidad para anticiparse a lo que pueda suceder[6]. Desarrollar una conducta proactiva ayuda a afrontar problemas, prever consecuencias y orientarse a la innovación, de manera que cada persona pueda mejorar su competencia personal y profesional[7].

Mejoremos

Sin embargo, buscar oportunidades de mejora es algo que puede ser complicado. Hay muchos factores que contribuyen a esta dificultad y variables que alteran la percepción de las alternativas que podríamos formular o caminos que podríamos tomar, entre otros pero no limitados a: conocimiento y experiencia de quien formula las preguntas (análisis y evaluación de situación); el contexto en que ocurre la oportunidad de mejora (diagnóstico); los recursos y capacidades con las que contamos –o podríamos contar; la utilidad; la garantía; la productividad esperada; el rendimiento esperado en cumplimiento de la demanda comprometida; las ganancias esperadas; las metas estratégicas a lograr; la disponibilidad de métricas apropiadas y mediciones realizadas; el haber definido con anticipación y propiedad los factores críticos de éxito y sus correspondientes indicadores clave de rendimiento.

Así, encontramos en la literatura actual innovaciones interesantes a esta técnica:

  • With [what], con qué recursos se cuenta (materiales y dinero), se realiza[8].
  • Wins, beneficios a alcanzar, beneficios alcanzados[9], tangibles e intangibles.
  • Which are the objectives?, con el plan de acción propuesto ¿estamos asegurando el logro de los objetivos?[10]

Podemos buscar mejorar, con respecto a servicios y seguridad de la información, entre otros aspectos pero no limitados a el conocimiento, la capacitación, la confianza en los servicios provistos, el manejo y utilización de herramientas, el cumplimiento de políticas, el despliegue de herramientas avanzadas, la respuesta a incidentes, el planeamiento, los diseños, la gestión de configuraciones, la gestión de cambios, pases a producción, la operación, el monitoreo y control, la respuesta coordinada ante amenazas[11], y muchos otros.

En general, lo que buscamos es encontrar la causa raíz de aquello que nos está afectando o aquello que buscamos mejorar –y ¿por qué no?, ¿servirá también para evaluar riesgos, y gestionarlos?, ¿para establecer y afinar nuestros procesos?, ¿para diseñar e implementar nuestros servicios de TI, y gestionar estos servicios?, ¿para establecer los controles de seguridad informática que debemos implementar, y gestionar la seguridad de la información?

Claro que sí. Cualquier esfuerzo resulta ligero con el hábito –Tito Livio.

[1]      Fuente: http://www.rae.es/; disponible en junio de 2016

[2]      Fuente: https://enterprisezine.jp/iti/detail/812; disponible en junio de 2016

[3]      Fuente: http://president.jp/articles/-/3448; disponible en junio de 2016

[4]      Fuente: http://www.progressalean.com/5w2h-tecnica-de-analisis-de-problemas/; disponible en junio de 2016

[5]      Fuente: https://es.wikipedia.org/wiki/Proactividad; disponible en junio de 2016

[6]      Fuente: http://www.wikilengua.org/index.php/proactivo; disponible en junio de 2016

[7]      Fuente: http://www.csintranet.org/competenciaslaborales/index.php?option=com_content&view=article&id=164:proactividad&catid=55:competencias; disponible en junio de 2016

[8]      Fuente: https://empreendendoaprendendo.wordpress.com/tag/6w2h/; disponible en junio de 2016

[9]      Fuente: http://es.slideshare.net/VeraLessa1/ferramenta-6w2h; disponible en junio de 2016

[10]    Fuente: http://www.javeriana.edu.co/personales/hbermude/contrapartida/Contrapartida347.docx; disponible en junio de 2016

[11]    Fuente: http://docs.media.bitpipe.com/io_10x/io_102267/item_465972/Room-for-Improvement-Building-confidence-in-data-security.pdf; disponible en junio de 2016