8 maneras de sortear [asumir] fallas

Todo profesional relacionado con las TI ha oído hablar de la ley de Murphy. Algunos creen no haberla experimentado; otros dicen no haberla experimentado; otros niegan haberla experimentado. Tal vez [aún] no se han dado cuenta.

Sabemos que un error es causa de una falla, y ambos pueden ocurrir por diferentes razones -pero, como dijo Churchill, por ni una sola excusa; y que una falla (que, dependiendo del impacto, podríamos considerar como problema), puede conducir a uno o más incidentes. Con una adecuada formación en gestión de servicios podremos determinar los ámbitos de actuación de cada uno de estos términos.

Siguiendo a Deming, luego que resolvemos la condición negativa que se presentó [y que impactó el servicio o la seguridad de la información relacionada], ¿tomamos alguna acción? ¿Evaluamos los resultados de los cambios implementados en el valor de los servicios que se entregan, y/o en la seguridad de la información? Verificar el éxito del cambio ejecutado para [al menos] mantener la calidad del servicio entregado o su seguridad es bueno pero, en adición, debemos validar que la necesidad del cambio haya sido satisfecha, desde el punto de vista de la entrega de valor del servicio (SLA, clientes) como para los stakeholder (beneficios, cumplimiento, reguladores, regulaciones, evitar demandas o pago de moras, entre otros aspectos a considerar).

La tecnología juega un papel importante en todo esto, como también lo hace la cultura [organizacional, de servicio, de calidad, de seguridad, …].

En lugar de tratar con una, digamos, oportunidad de mejora, de forma individual -y hasta aislada, ¿realmente aprendemos de esta(s) tras aplicar mecanismos sistémicos apropiados y de manera oportuna y correcta? ¿está nuestra cultura [institucional] lo suficientemente madura para esto? ¿somos realmente un referente en esto –o al menos buscamos estar en camino de serlo? ¿utilizamos herramientas apropiadas para analizar la causa raíz de las oportunidades de mejora? ¿Son estas herramientas utilizadas por colaboradores competentes? ¿Gestionamos apropiadamente el triángulo procesos-personas-tecnología? ¿Qué tan proactivos somos al respecto? ¿Están clara y completamente identificados todos los involucrados, así como los límites, restricciones, expectativas, y presiones relacionados? ¿Hay vacas sagradas o el cliente es nuestra meta, no sólo de palabra sino con acciones concretas, duela a quien le duela? ¿Entendemos que habrá efectos negativos si hacemos mal las cosas?

¿Aprendemos de los errores de los demás? A propósito de las últimas noticias sobre ransomware. ¿Están los procesos establecidos y son seguidos? ¿Tienen las evidencias necesarias –ya mismo?

¿Sabemos qué información está disponible para las personas que trabajan en resolver problemas y qué tan rápido pueden obtenerla, para que puedan desarrollar pautas claras para evitar complicar el problema debido al estrés, la confusión o la fatiga? Información contextual, oportuna, clara, correcta, vigente, y completa, así como, objetividad y enfoque en la tarea, son condiciones primordiales en estos casos.

Tal vez nos centramos en buscar culpables, primero y siempre, afectando la moral –y perdiendo tiempo valioso, sin que nos importe nuestro cliente. Evitamos, consciente (limitaciones, presiones, carencias, inexperiencia, otros) o inconscientemente (confiamos ciegamente que la acción correctiva evaluada, elegida, y llevada a cabo es la definitiva), responder a la pregunta: si asumimos que podría ocurrir nuevamente, ¿cómo responderíamos mejor esta vez? ¿Son nuestros reportes del tipo ‘lecciones aprendidas’ (en sentido positivo) o del tipo ‘post mortem’ (en sentido negativo)?

Claro, errar es humano, y las estadísticas nos dicen que el ‘error humano’ bordea el 70% como causa de accidentes de tránsito en Lima. Bueno, tenemos factores como condiciones físicas del conductor (estado de alerta/lucidez, velocidad de reacción, ingestión de elementos alucinógenos o de bebidas alcohólicas, fatiga-cansancio-somnolencia), atención a la tarea –y no al celular, a la radio, al copiloto(a), exceso de confianza, temeridad, condiciones del vehículo, velocidad, estado de las vías, [des]conocimiento del reglamento de tránsito, señalización adecuada (bueno, si ‘Pepe el vivo’ las respeta porque ‘no hay policía que me vea’ ‑cuando el policía debía estar dentro nuestro), estilos de conducta en contextos de tráfico en relación a las variables: edad cronológica; estado civil; grado de instrucción; lugar de procedencia; pertenencia del vehículo; la conducción como ocupación principal; tiempo en la conducción; accidentes de tránsito; papeletas recibidas por infracciones; problemas de salud; problemas auditivos; problemas de motricidad; problemas familiares y problemas emocionales, entre otros. Nos damos cuenta que hay fallos activos (errores y violaciones, actos inseguros que tienen un impacto directo y son cometidos por los trabajadores que operan el ‘sistema’), y condiciones latentes (resultado de decisiones de los diseñadores y gerentes, las que se expresan en las condiciones del entorno, la política y cultura organizacional; influyendo así el desempeño de los trabajadores). Listo, introduje la palabra ‘sistema’ así que no nos salvamos y aplicamos el caso a las TIC. El verdadero problema son las herramientas y los procesos que no impiden (o al menos emiten advertencias sobre) los errores inevitables que la gente hace, o la falta de automatización que significa, en primer lugar, que alguien está haciendo una labor manual –posiblemente propensa a errores y con errores en la fuente. Por ejemplo, podría haber carencia u obsolescencia de documentación, procesos, procedimientos; tal vez exista un desconocimiento del ecosistema tecnológico en la empresa; podría no existir o ser inadecuado o estar mal programado el monitoreo, control, supervisión; podría no haber auditoría interna de seguimiento o ser aceptados y trabajados sus resultados; podrían no darse de manera oportuna y completa, o no sustentarse apropiadamente las inversiones necesarias desde el punto de vista del valor para el negocio; entre otros factores de consideración.

Tengamos presente que los errores podrían ser tolerados, pero no el ocultarlos o encubrirlos. Entendamos que hay valor en invertir en el desarrollo y el fomento de una cultura en la que los colegas reconozcan errores y errores de juicio, y apoyarlos para que reporten aquellas cosas que casi originaron una falla. Tratar la TI y la seguridad como un servicio del negocio en lugar de un punto de control ayuda a crear ese tipo de cultura.

No olvidemos la deuda técnica -el costo y los intereses a pagar por hacer mal las cosas (presión en el cronograma, escasez o carencia de recursos apropiados o suficientes, entre otros factores, que obligan a saltarse pasos [o funcionalidad]) –y que no se ven desde fuera, pero causan daño dentro –no nos engañemos con la falacia del “costo hundido”. La famosa filosofía “si funciona, no lo toques”, puede ser un grave error. La modernización tecnológica (de los activos críticos del servicio) y su seguridad ([in]cumplimiento, riesgos para el negocio si el activo se ve comprometido) es algo mandatorio en estos tiempos; sin embargo, es necesario planificar esta modernización.

Recordemos que la información resultante debe transparentarse, difundirse, utilizarse, proactivamente. Evitemos reinventar la rueda. Avancemos. Contribuyamos con el conocimiento. ¿Somos lo suficientemente maduros verdad? Se nos mide por lo que hacemos, no por lo que decimos que hacemos.

22 maneras de lograr reuniones más productivas -y seguras

22 maneras de lograr que las reuniones sean más productivas -y seguras

Para los no expertos, u olvidadizos, conviene recordarlas –aunque no sean las únicas. No olvidemos, sin embargo, la seguridad de la información.

El objetivo de toda reunión es lograr algo –ideas, avanzar en los proyectos, resolver problemas, mejorar servicios, entre otros. Buscamos un efecto positivo en la moral de los colaboradores, así como en el rendimiento del equipo y de la organización. Los líderes dirigen reuniones para hacer el trabajo.

Las reuniones pueden ser realmente productivas, de calidad, si contamos con las herramientas de colaboración adecuadas y configuradas apropiadamente para reducir las fallas de seguridad de las aplicaciones, y así evitar que los datos de toda la organización sean vulnerables (utilizando cifrado de datos, contraseñas seguras, evitar descargas automáticas, entre otras medidas) y, lo que es más importante, la mentalidad correcta, con la capacitación apropiada en cuanto a seguridad de la información.

La colaboración es una habilidad muy personal, y cada uno de nosotros trabaja de manera diferente (consideremos la generación en que nacimos), usamos herramientas diferentes –lo que crea problemas de seguridad de la información.

Unos prefieren una videoconferencia sobre una llamada telefónica o comunicación vía WhatsApp; otros prefieren utilizar el chat o el correo electrónico (cuidando la netiquette -reglas de convivencia/etiqueta en la red) para intercambiar archivos, por ejemplo; otros, el teletrabajo; otros utilizar sus propios dispositivos de comunicación (BYOD), buscando siempre movilidad (y asegurar que esa movilidad no comprometa la seguridad); por ejemplo. Como vemos, aparecen muchos riesgos de seguridad.

Con respecto a las reuniones, debemos considerar, entre otras cosas, pero no limitadas a, las siguientes:

  1. Determinar la necesidad de la reunión que se convoca. ¿No podemos obtener los mismos resultados mediante una llamada telefónica o un correo electrónico, por ejemplo?
  2. Designar el facilitador. Conviene un líder que puede reforzar las grandes ideas articuladas en la reunión, ayudar a una discusión positiva y asignar actividades de seguimiento.
  3. El objetivo de la reunión (por qué necesitamos reunirnos, qué ha ocurrido que demanda reunirnos). Las reuniones más eficaces son aquellas donde los objetivos son claros (enfocados, accionables/realizables con autorizaciones y recursos, oportunos). Este tipo de reuniones son las que generan un impacto positivo en el negocio, sobre las medidas de productividad, innovación y cuota de mercado.
  4. Programar una agenda pensando en tareas y no en tópicos ayuda, estableciendo a priori el tiempo que invertiremos en cada tarea propuesta (tiempo sincerado en relación con el alcance del trabajo que se espera completar de dicha tarea), y estableciendo la persona directamente responsable a cada tarea. ¿Serán suficientes 30 minutos en total?, considerando lo anterior o, como dicen, menos es mejor, si contamos con alguna estadística interna.
  5. La sensibilidad de la información que se tratará, las herramientas que se utilizarán, y los medios que se emplearán, todo antes, durante y después de la reunión. Necesitamos identificar los mecanismos de seguridad que serán empleados en cada caso, por todos los participantes, directos e indirectos (asesores internos y externos, asistentes, entre otros).
  6. Anticipar reacciones fuertes o negativas durante la reunión –considerando los posibles participantes, y condiciones que originan la necesidad de reunirse. El silencio podría ser considerada una reacción fuerte –y debemos aprender a tolerarlo. Tal vez una retroalimentación utilizando herramientas colaborativas puede ser útil, para evitar una relación ‘cara a cara’ que podría tomar tiempo.
  7. La zona horaria en que se encuentran los posibles participantes –o la posible situación a tratar, para realizar la convocatoria en SU horario, no el nuestro. Se supone que, aunque lejanos, hemos mantenido el contacto siempre ¿verdad?
  8. El mejor horario para agendar las reuniones y evitar distracciones ¿de martes a jueves tal vez? (luego que las cosas ocurridas el fin de semana han sido resueltas, y antes de los preparativos del siguiente fin de semana) ¿entre las 09:00 y las 11:00 horas? (después del desayuno y antes de la hora del almuerzo) ¿o entre las 14:00 y las 16:00 horas? (después del almuerzo y antes de la hora de salida) Cada organización tiene –y mantiene- sus tiempos en que se encuentran más alertas.
  9. Con qué información necesitamos contar -antes de la reunión para ser difundida y trabajada por los asistentes con anticipación.
  10. Asegurar la puntualidad (de inicio y de fin), un factor de respeto en equipos de trabajo –y además porque todos andamos muy ocupados ¿verdad? ¿Ofrecemos premios a los puntuales y castigo para los tardones? O nos basamos en la ética y respeto mutuo.
  11. Debemos establecer expectativas claras para la participación. Debe quedar claro lo que realizaremos (trabajar algo, coordinar algo, decidir sobre algo –aunque hay cosas que no pueden esperar a las reuniones); así, los participantes pueden expresar responsabilidad personal por una determinada acción. Si utilizamos una reunión para informar algo, que sea realmente crítico, o buscar emplear otros medios. Bueno, depende de la cultura organizacional.
  12. Tener en claro la información que necesitamos obtener, como resultado de la reunión. Esto implica una gestión de conocimiento.
  13. Identificar o programar con tiempo el tipo de reunión que sostendremos (presencial, remota/virtual), asegurando que todos los participantes contemos con lo necesario en cada caso y con la debida anticipación. No olvidemos repasar la “tarea” de la última reunión. Cuánta anticipación dependerá, dirán muchos, de la urgencia, sin considerar el trabajo previo a realizar, cuya calidad no estará garantizada.
  14. Convocar a las personas en la correcta cantidad (cuantos menos sean, mejor), con la adecuada competencia y experiencia, cantidad y nivel de información requerida, nivel de responsabilidad y autoridad para asignar y designar recursos, y a los que necesiten los resultados de la reunión. En otras palabras, convocar a los esenciales.
  15. La preparación previa que requiramos, como conocer la presentación que haremos para no leer las presentaciones y aburrir a los participantes, conocer a quién nos dirigimos, conocer cuáles son sus intereses, conocer el balance de su poder e influencia, entre otros aspectos.
  16. La comodidad del lugar (ubicación, sonoridad, control ambiental, espacio personal, tamaño del lugar, mobiliario apropiado y en buenas condiciones – ¿una mesa redonda tal vez?, iluminación, disponibilidad y acceso a los servicios, entre otros aspectos). Tal vez convenga realizar una determinada reunión fuera del salón de clase (la sala de reuniones habitual), especialmente si son pocos participantes. Igual, dependerá de la cultura organizacional y, quizá, también, de lo que se vaya a tratar.
  17. La herramienta a emplear –incluso utilizar algunas que hasta hace un tiempo podrían no haber sido autorizadas en la empresa, pero que ahora son necesarias para “mantenerse on-line” (fuera del lugar de trabajo, en cualquier sitio, y a toda hora).
  18. El medio a emplear (video conferencia, audio conferencia, por ejemplo), y no olvidemos antes y durante la reunión a aquellos que asisten de forma virtual –también son participantes.
  19. Asegurar, por supuesto, que no haya distracciones al utilizar dispositivos personales y otra agenda personal (realizando trabajos que no tienen relación con el propósito de la reunión, generando distracción y, por tanto, retrasos). Utilicemos las herramientas que realmente necesitemos, apaguemos lo demás, por respeto a los participantes.
  20. Cómo lograr no ser el único que habla (no estamos dando una disertación) –cuidemos el ego. Recordemos que la participación es lo que hace una reunión ya que tienen la oportunidad de proporcionar otras perspectivas sobre la tarea a realizarse, a hacer que las ideas fluyan. Todos tenemos derecho a defender nuestras ideas y a trabajar a partir de la crítica honesta -y constructiva por supuesto.
  21. Cómo hacemos para permanecer en el tema porque, puede ser inevitable que existan desvíos, por la cultura organizacional o de los propios participantes o interés de alguno de los participantes. Por ejemplo, si la conversación está saliendo del tema, lideremos el asunto (re-enfoquemos la reunión, el punto tratado), no tengamos miedo de intervenir y traer la conversación de nuevo a los temas descritos, y registremos todos los puntos relevantes planteados para una futura discusión.
  22. No olvidar recapitular al final de la reunión lo trabajado, los acuerdos (compromisos) tomados (las fechas objetivo concretas, los siguientes pasos, las tareas a ejecutar), de registrar todo convenientemente, y de realizar el seguimiento correspondiente (hecho de una manera que promueve la reflexión y el aprendizaje, y minimice las reacciones defensivas), previa difusión de lo realizado para que todos sepan que se hará con las decisiones tomadas.

Muchos de nosotros sabemos lo difícil que es hacer nuestro mejor trabajo y permanecer comprometidos con los resultados mutuos en un ambiente donde las reuniones no nos comprometen a aportar nuestras mejores ideas de manera eficiente y efectiva. Nadie desea críticas, reclamos, quejas, echar la culpa, aburrimiento o pensar que hemos malgastado nuestro valioso tiempo o el de nuestros colaboradores, y peor si hemos tenido que desplazarnos para nada.

Una vez que se hayan establecido estándares para reuniones eficientes, eficaces y entretenidas, su equipo seguirá [los estándares] – y las reuniones pueden comenzar a ser la mejor parte de su día de trabajo.

¿Algo que agregar o mejorar?

Bueno, hemos visto bastante sobre cómo realizar reuniones efectivas y planteando un esquema de seguridad en ellas.

Con respecto a la seguridad de la información antes, durante, y después de estas reuniones, cabe considerar, entre otras cosas, pero no limitadas a, las siguientes:

  1. Si la cultura organizacional interviene, ¿dónde queda la política de seguridad de la empresa?
  2. El asunto se complica si consideramos a los terceros en esto – ¿podremos hacer que se sujeten a nuestras reglas/políticas de seguridad o utilicen nuestras herramientas? ¿qué opinan?
  3. ¿Qué opciones tecnológicas podríamos ofrecer –o necesitamos implementar en adición- en estos casos?
  4. ¿Requeriremos (y podremos lograr) una transformación digital?
  5. ¿Cuáles serían las nuevas restricciones?
  6. ¿Propondremos herramientas en la nube –incluidas las redes sociales?
  7. ¿Qué protección brindaríamos y cómo mantendremos la seguridad si utilizamos la nube o redes sociales –y la sincronización de la información para evitar ‘malos entendidos’ o ‘desfase’, o excusas similares?
  8. ¿Qué políticas, normas o procedimientos nuevos estableceremos –o cómo afinamos, agilizamos, flexibilizamos lo existente?
  9. ¿Qué pasa con los cuidados que los propios usuarios debemos tener presente durante el uso de los servicios en nube o de redes sociales, como por ejemplo, a quién entregamos nuestro número de teléfono o correo electrónico?
  10. ¿Qué hay sobre los dispositivos o componentes que dejamos de lado en favor de los nuevos (independiente del motivo del reemplazo)? ¿Tenemos como norma adoptada y accionable destruirlos o borrar su contenido?
  11. Si utilizamos esquemas de comunicación como teletrabajo, ¿cómo garantizamos la identidad del interlocutor? ¿Cómo garantizamos la confidencialidad de la información tratada?
  12. ¿Deberá ser necesaria la firma de acuerdos de confidencialidad?
  13. ¿Podremos controlar que no se utilicen dispositivos (personales o provistos por la empresa) que hayan sido objeto de rooting, jailbreaking u obteniendo de otro modo acceso privilegiado al dispositivo?

En general, no sólo se trata de crear una ilusión de seguridad, es necesario medir la efectividad del esfuerzo. Queda abierto el debate.

¿Quién más desea ser un design thinker?

Para desarrollar una estrategia digital, tendremos que aprender (y usar) nuevas técnicas como el design thinking.

Este método está enfocado en fomentar la innovación en las organizaciones [con base en las personas, en sus conocimientos y en su habilidad por imaginar lo diferente] de una forma eficaz y exitosa.

Las organizaciones que son capaces de crear un clima de Innovación encuentran las grandes ventajas de la participación activa y entusiasta de sus equipos humanos, con ideas nuevas y proyectos motivadores.

Es obvio de lo anterior que el equipo de trabajo es la clave.

Hoy, a medida que el terreno de la innovación se expande para abarcar procesos y servicios centrados en el ser humano, así como productos, las empresas están pidiendo a los diseñadores que creen ideas en lugar de simplemente hacerlas estéticamente atractivas.

El design thinking lleva implícita la necesidad de observar a los usuarios [clientes] con el objetivo de buscar soluciones que se centren en ellos.

Entonces, en el ámbito actual de los negocios, podríamos anotar que es un enfoque en la empatía de los clientes y las soluciones de prototipado rápido a los problemas de los clientes (un sentido de urgencia para evitar que el pez chico se coma al grande), de una forma que sea tecnológicamente factible y comercialmente viable (que se obtenga valor para el cliente). Hablamos, por supuesto, del prototipado de las ideas más prometedoras, y no lo confundamos con el de una pantalla de menú de una aplicación de recursos humanos, por ejemplo.

Tradicionalmente son cinco pasos que se siguen [no precisamente de forma línea]:

  1. Empatizar con las personas que disfrutarán de nuestro trabajo, mediante observación y entrevistas, hay que entenderlas, intentar sentir lo que sienten, identificar lo que les interesa, es buscar descubrir y comprender los supuestos personales y organizacionales y las inclinaciones alrededor de un punto focal –cómo abordo el desafío.
  2. Definir, para identificar cuáles son sus actuales ideas, y poder seleccionar qué necesidades concretas del cliente vamos a solucionar, es identificar e interpretar las tendencias y patrones –cómo interpreto mis hallazgos.
  3. Idear, ya estamos listos para uno de los momentos más atractivos del método, la eclosión creativa para generar ideas (las reglas innegociables en toda sesión de lluvia de ideas son: no criticar las aportaciones de los demás, generar cuantas más ideas mejor y hacerlo en un clima distendido y de diversión profesionalizada), es desarrollar conjuntos de mapas divergentes y provocativos utilizando creatividad, datos, intuición e investigación –qué es lo que creo.
  4. Prototipar, convertir las mejores ideas en diseños reales que las personas puedan ver, tocar y con las que puedan interactuar, es informar esfuerzos de planeamiento de largo aliento, inspirar innovación, y crear hoy el futuro –cómo construyo mi idea.
  5. Testear, con una pequeña muestra, dejar que toquen y experimenten, aguantar la respiración [y esperar pacientemente saber qué funcionó y que no], sin perder la sonrisa, y escuchar sus opiniones finales (la bendita, esperada y preferible retroalimentación) –cómo pruebo y mejoro la idea

Bueno, creo que algunos de nosotros hemos estado utilizando este modelo (independiente a la profesión), por varios años, aunque no le llamamos así; de hecho, no le poníamos nombre y, a mi entender, y en algunos aspectos, es una cuestión de sentido común que se va ganando con la experiencia, compromiso y perseverancia.

No me malentiendan, evidenciarlo ahora, aunque no sea nuevo en concepto, resulta útil para todos, con o sin experiencia.

Design thinking no se trata de crear productos o empresas, sino de tomar medidas concretas para hacer de nuestro mundo un lugar mejor.

Es una forma de pensar, está centrada en las personas, es colaborativa, es optimista, es experimental. Busca una perspectiva adaptable, resistente y transformacional.

Seis factores críticos para crear una mejor estrategia de seguridad de TI

¿Qué necesitamos para establecer una hoja de ruta funcional de la seguridad de las TI de la empresa?

Recordemos que un solo tipo y un solo nivel de seguridad de la información podría no ser suficiente para una determinada organización. ¿Qué modelo de defensa en profundidad adoptaría, de entre los varios que existen? Tampoco debemos olvidar la estrategia a seguir si ocurriera alguna brecha en esta seguridad de la información.

Pero, debemos empezar, y lo hacemos de la siguiente manera:

  1. Identificar, clasificar, y etiquetar los recursos, los activos de información, considerando su importancia –o implicancia en los procesos de la organización, ya sean estos recursos físicos o virtuales, tangibles o intangibles.

Debemos responder con certeza el por qué debo considerarlos.

¿Convendría que los mismos sistemas que se han puesto en marcha se actualicen automáticamente en una base de datos ad-hoc a medida que cambia el inventario de recursos?

Las organizaciones deben tener pleno conocimiento de lo que tienen, valorar lo que tienen y lo que no pueden permitirse perder, además de crear un plan integral para proteger estos activos críticos.

Tendríamos, entonces, que pensar en un conjunto automatizado de herramientas para rastrear y clasificar los recursos.

  1. Proteger el acceso a los recursos, tratarlos conforme a su clasificación y prioridad establecida, de acuerdo a su impacto en el negocio (las consecuencias).

Claro, tenemos que sincerar el cómo realizaremos la protección para lo cual seguramente necesitaremos realizar primero un análisis de brecha. ¿Hemos realizado nuestro FODA?

Consideremos las nuevas tendencias para crear valor de TI, e incluso de los usuarios al emplear la tecnología como shadow IT o BYOD.

Tendríamos, entonces, que establecer una línea base correcta y sincerada –de todo, sin olvidar o menospreciar los recursos y capacidades existentes, desde el punto de vista del valor que se espera del servicio de TI.

El intercambio de información –correcta, completa, contextual, oportuna, clara- se vuelve crítico.

  1. Detectar amenazas y ataques, considerando el triángulo procesospersonas-tecnología, identificando riesgos en las operaciones que es donde se provee el valor de un servicio.

Tendríamos, entonces, que entender y asegurar que todos en la organización tengan claro que la detección de amenazas (un sospechoso siguiéndote a tu casa –bueno, tal vez una amenaza algo más sofisticada, especializada, escalable -¿que afecte la privacidad?, ¿porque el enemigo está adentro?), detección de vulnerabilidades (una ventana abierta –situación que se advierte con un escaneo de vulnerabilidades [y no debemos remitirnos solamente al perímetro]), y detección de ataques (el sospechoso metiéndose a tu casa por la ventana abierta) son tres cosas distintas.

De hecho, es crucial el dominio del tema, la provisión de la tecnología apropiada, y hacer y dejar hacer.

¿Recordamos los honeypot? De repente ya hemos sido víctimas de un hacker y aún no lo sabemos.

  1. Responder a las amenazas y ataques, considerando que posiblemente requiramos apoyo externo o una mayor capacitación y experiencia internas.

¿Cuáles serían las estrategias que adoptaríamos?

Tendríamos, entonces, que tomar medidas proactivas sobre un riesgo identificado y preparar las reactivas (de acción inmediata ante la ocurrencia del evento) –evitando acciones bomberiles.

Las medidas proactivas deberían ser pensadas, planeadas, diseñadas, implementadas, probadas, afinadas, y con responsabilidad asignada, con recursos y capacidades presupuestados, que den cumplimiento a normas internas y/o legales, que busquen evitar deudas, multas, pagos no presupuestados, litigios, pérdida de confianza y clientes, daños a la reputación y pérdida de confianza de las partes interesadas, publicidad negativa y pérdida de activos, entre otros aspectos negativos.

Es decir, una verdadera proactividad en una empresa con alto nivel de madurez, que está preparada para el cambio.

Realizar lo importante para evitar [en lo posible] las emergencias –o, al menos, reducir su frecuencia o impacto.

Ciertamente el error humano sigue siendo una amenaza para la seguridad, pero si trabajamos la cultura organizacional seguramente podremos compensar algunos riesgos de seguridad y privacidad de la información empresarial –los internos a la organización, por lo menos, concientizar al usuario.

  1. Es claro entonces que la educación en ciberseguridad debe ser parte integral de la cultura del lugar de trabajo, es hacer que la ciberseguridad sea tarea de todos. Sabemos que esta educación en ciberseguridad no significa asistir a un [solo] curso o seminario –por único que sea en su género, significa hacer de la seguridad una iniciativa cultural colaborativa y continua.

Es ayudar a todos en la empresa a comprender que los ciber delincuentes representan una amenaza no sólo para la empresa, sino también para ellos y sus familias, también (filtración de datos personales, por ejemplo, y las posibles amenazas que esto conlleva).

Sin embargo, cuando ocurra una brecha de seguridad, evitemos actitudes incorrectas en un líder o equipo de infosec porque pueden resultar en una peor violación de privacidad / seguridad y en una afectación negativa a la moral y motivación en el entorno laboral –lo que, potencialmente, podría conducir a la aparición de más riesgos o a elevar la graduación de los existentes.

La importancia de tener una actitud positiva y fuerte de seguridad y privacidad es tal que tanto los líderes como los empleados deben ver la privacidad como un valor que desean experimentar, promover, proteger y formar.

  1. Mejorar la analítica (para una mejora continua de todo el proceso).

Tendríamos, entonces, que realizar una labor analítica de predicción, porque nos dice dónde reforzar la protección –un poco de inteligencia de negocio siempre ayuda. Lo que implica un estado de cambio constante en los servicios y su gestión, lo que implica además gestionar proyectos.

Todo lo anterior es una tarea realizada de forma periódica (¿una auditoría particular o integrada?) o por demanda del mercado (¿tal vez necesidad?), siempre en evolución (nuevos hallazgos de día-cero, ahora además con la IoT –agregamos complejidad a lo complicado), un espacio, una oportunidad para mejorar.

Sigamos el ciclo de Deming, de mejora continua.

Tengamos presente que hemos pasado de un modelo donde se hacía hacking por diversión o fama, a la ciberguerra propiamente dicha, con objetivos claros y concretos, como destrucción, negación de un servicio, destruir la imagen de una empresa, incluso de monetizar la información obtenida.

 

Cómo crear un plan contra violación de datos en 9 pasos

Cómo crear un plan contra violación de datos en 9 pasos

Primero tengamos presente que se pueden considerar varios escenarios posibles en un plan contra violación de datos.

Esto porque no podemos anticiparnos a todas las situaciones posibles en que un determinado hackeo se puede desarrollar, y aun así este plan debe ser flexible, como un planeamiento para la recuperación de desastres y planificación de continuidad de negocio (la colaboración en lugar del aislamiento) –y veremos que es muy parecido. Interesante, varios proyectos pueden salir de este esfuerzo.

De hecho, conviene realizar un análisis de los procesos de negocio y las necesidades de continuidad, sin olvidar las necesidades de seguridad de la información, algo que cada empresa debe emprender, y dependerán de los objetivos de la organización sobre el punto de recuperación (RPO) y el tiempo de recuperación (RTO).

Bueno, al grano –y con anticipación porque es importante, de modo que podamos reducir las urgencias o el riesgo durante las urgencias.

  1. Sabemos que debemos empezar con una evaluación de riesgos, para priorizar qué sistemas recuperar y restaurar primero (establecer los componentes esenciales –inventario de por medio del hardware necesario y del software requerido para restaurar la producción; los datos, su tipo y sensibilidad, almacenado/procesados/transportados haciendo uso de estos componentes) –porque ponernos a pensar durante la emergencia podría ser contraproducente. Conviene realizar un análisis de impacto sobre el negocio (BIA) para identificar los procesos críticos (con sus procedimientos por supuesto) y priorizarlos de acuerdo con su impacto en la organización.
  2. No olvidemos implementar controles preventivos (con sus procesos estandarizados, normalizados, documentados), como primer paso tras analizar las brechas, de seguridad de la información, y de recursos y capacidades existentes (financieros, organizacionales, de personal, competencias, experiencia, entre otros).
  3. Conviene establecer umbrales y adecuarlos a los niveles correspondientes de respuesta que hayamos establecido –o que podamos establecer, así como los criterios de evaluación correspondientes al tipo de datos que se verían comprometidos, con base en nuestros recursos y capacidades internos o los que podamos conseguir.
  4. Así como los médicos en la sala de urgencias seleccionan y clasifican a los pacientes para evaluar la prioridad de su atención de acuerdo con sus posibilidades de supervivencia y recursos disponibles, igual debemos realizarlo nosotros, determinando el alcance de ese impacto, cuáles son los sistemas más importantes (misión crítica) y datos (más importantes) y que, por lo tanto, necesitan atención en primer lugar, cómo aislar y proteger los datos (nivel de seguridad necesario para los datos y aplicaciones, ubicación), y cuánto tiempo se espera que dure la interrupción –antes de activar otros medios de continuidad.
  5. De hecho, debemos construir flexibilidad de modo que la empresa pueda responder de la manera que, coyunturalmente (no siempre contará con los recursos y capacidades suficientes o apropiados), le convenga (para no incurrir en problemas legales por incumplimiento con la ley de protección de datos personales, por ejemplo).
  6. Es muy importante establecer, difundir, y mantener vigente la matriz RACI correspondiente, y que ésta sea lo más granular posible, para asegurar que los roles, funciones, y responsabilidades (del personal clave tanto interno como externo, y de apoyo, considerando su disponibilidad y la capacidad de su ubicación oportuna) sobre un conjunto de actividades sean conocidas, claras, justas, entendidas, asumidas, adoptadas, interiorizadas, comprometidas, evitando una situación de juez y parte. Por ejemplo, habría que identificar las personas en la organización que tienen la autoridad para declarar un desastre y por ende, colocar el plan en efecto.
  7. No olvidemos detallar cuándo y cómo invertir en el equipo ejecutivo de gestión de crisis para que se cumplan los requisitos legales y normativos adecuados con respecto a las infracciones de datos. Las personas de relaciones públicas de la compañía pueden ayudar a informar adecuadamente a los clientes y consumidores.
  8. El negocio deberá establecer sistemas alternativos, como decidir cuál de las funciones de la organización son esenciales, y repartir el presupuesto disponible conforme a este criterio, o a establecer acciones manuales (considerando por supuesto la sensibilidad de los datos) que se disparan ante un evento, en la medida que sea posible lo que requeriría posiblemente un esfuerzo de capacitación adicional.
  9. Por supuesto, debemos ejecutar simulacros [lo más reales posibles] de eventos basados en tipos específicos de desastres [no idea, sino realidad], incluyendo brechas de seguridad. Así, la organización deberá proveer los recursos necesarios, establecer si necesita ayuda externa, planificar y programar los simulacros (al elefante nos lo comemos por tajadas), difundir su realización, establecer las estrategias de recuperación, diseñar los escenarios, priorizarlos, evaluar cada qué tiempo realizarlos y obtener la autorización del cuándo realizarlos (no vaya a ser que programemos una prueba justo cuando existe en el mismo día un evento crucial para la organización), cómo los va a realizar (la creación previa de plantillas de verificación ayuda a simplificar este proceso), afinar los planes y mantenerlos vigentes (como dijo Dwight ‘Ike’ Eisenhower, “el plan es nada, la planificación lo es todo”), entre otros factores.

¿Gestionas el cambio como un experto?

¿Gestionas el cambio como un experto?

Ya habíamos hablado de gestionar el cambio en una entidad pública. De hecho, también de limitaciones para un apropiado cambio, y máxime si se trata de proyectos.

Tenemos el know-how pero carecemos de la madurez para afrontar el cambio y reconocer dónde empezar.

Muchas veces esto está condicionado por el ambiente y la cultura de la empresa, lo que nos hace fallar y pensar que utilizamos una herramienta o contratamos el personal inadecuado o contratamos un consultor inexperto, y hasta que fuimos estafados –claro, fácil es echarle la culpa al otro ¿verdad?

Las organizaciones deben adaptarse a los cambios de escenario con proyectos cada vez más complejos, y entornos de gran incertidumbre y volatilidad. En toda empresa se realiza periódicamente un esfuerzo por determinar la mejor dirección para el negocio.

La cultura organizacional, su estructura, sus procesos, políticas, procedimientos y hasta sus valores pueden no estar en sintonía con ese cambio que se nos avecina y que demandará una nueva forma de interactuar, de pensar, de actuar.

El establecer controles que antes no existían ocasionará que, en la mayoría de los casos, las personas se resistan y respondan sólo por obligación a las exigencias de la organización.

De hecho, la cultura organizacional cambiará en la medida que cambien las personas y la posición que estas personas adopten frente al cambio, ya que son las personas las que hacen el cambio sostenible en el tiempo.

Una vez identificados los cambios que debemos realizar para asegurar esa dirección (entendiendo la necesidad del cambio y beneficios luego del cambio en el ecosistema de la organización), debemos establecer el valor del cambio y priorizar los principales ajustes (en procesos nuevos -o actualizándolos o complementándolos, procesos que pueden ser medidos, verificados y por ende adaptados en pro de la mejora continua, roles, estructura organizativa si es necesaria), entender a quién alcanza el cambio y cómo le beneficia (a clientes y stakeholders), establecer el compromiso e involucramiento de los participantes (recursos provistos en la oportunidad y cantidad requerida, personal suficiente, apropiado, capacitado, motivado), realizarlos (aplicando las 6W-2H), y mejorarlos.

Es sabido que el trabajo colaborativo genera pertenencia, nos permite apropiarnos del conocimiento, las habilidades y las actitudes que nos hace falta desarrollar para lograr los objetivos planteados. Es necesario entonces un poco de inteligencia emocional en el momento oportuno y de la manera apropiada y personalizada para sensibilizar a las personas ante lo que está por venir y así canalizar sus emociones –o motivación. Es importante entonces desarrollar una estrategia de comunicación y monitorizar la comunicación porque es clave para realizar ajustes cuando sea necesario.

¿Quién desea una TI Bimodal?

¿Quién desea una TI Bimodal?

Según Gartner, bimodal es la práctica de la gestión de dos estilos distintos pero coherentes de trabajo: uno centrado en la previsibilidad; la otra en la exploración.

Revisemos:

  • El Modo 1 (más gobierno, menos cambio) está optimizado para las áreas que son más predecibles y son bien entendidas. Lidiamos aquí con, pero no limitados a, estabilidad, robustez, estándares, planificación cuidadosa, cumplimiento, gobierno, riesgos, eficiencia, seguridad, precisión, disponibilidad, presupuestos, niveles de servicio y requisitos.
  • El Modo 2 (menos gobierno, más cambio) es exploratorio [pero requiere un enfoque riguroso y disciplinado -para que las cosas no se escapen de las manos], experimentando para resolver nuevos problemas, agilidad centrada en el tiempo de lanzamiento al mercado [velocidad], la rápida evolución de la aplicación y, en particular, la estrecha alineación con las unidades de negocio.

En la siguiente figura Gartner gráfica lo anterior:

Estas iniciativas a menudo comienzan con una hipótesis que se prueba y se adapta durante un proceso que implica iteraciones cortas, adoptando potencialmente un enfoque de producto viable mínimo (MVP) -experimentación.

Tengamos presente que un equipo de TI exploratorio no es fácil porque tienes que desafiar el pensamiento convencional [de las personas, claro], aceptar los riesgos [la empresa] y sentirte cómodo con un ritmo de cambio [motivación de todos] que es muy diferente de la forma actual en que opera TI.

Ninguna iniciativa es igual a otra, dadas las particularidades de cada negocio, mercado, o empresa. Cada empresa debe conocer su ecosistema, para adaptarse conforme convenga, e innovar rápidamente para responder a las amenazas y oportunidades.

Sabemos que, en el contexto empresarial, el estilo de trabajo, el modelo de decisión y la gobernanza, son los que hacen la diferencia; por tanto, cada empresa debe evaluar -a través de prueba y error- cómo enfrenta este paradigma, porque seguramente requerirá equipos multidisciplinarios [manpower], consultorías, nuevos contratos de soporte, nuevas negociaciones, nuevas herramientas, nuevos procesos, nuevas competencias, nuevas habilidades, nuevos conocimientos, nuevos recursos, y nuevas capacidades. No dejemos de lado el costo total de propiedad y los niveles de servicio acordados.

Seguramente deberemos considerar incluir cosas como aplicaciones móviles y su desarrollo, experiencia para el lado del cliente, IoT [Internet de las cosas] para obtener cierta experiencia en la captura de grandes flujos de datos y analizarlos desde diferentes dispositivos, ya sean estos dispositivos de consumo, dispositivos industriales, lo que se tenga a mano. Podría acabar ocurriendo que los ingenieros recién entrenados quieren usar nuevas técnicas en sistemas antiguos, y crear silenciosamente work-arounds en lo que se ha conocido como “shadow IT“. Trataríamos entonces de incorporar y estandarizar esta shadow IT y permitir a los innovadores innovar, pero dentro de la estructura corporativa. Esto implicaría una reingeniería de la gestión tecnológica y del papel de la empresa en su implementación.

Pero, tengamos presente que no por utilizar métodos ágiles o DevOps ya somos bimodales. La organización también está involucrada, no solo es un asunto de pura tecnología. Tampoco significa dedicarse a producir código porque se arriesga una mayor complejidad arquitectónica y de aplicación, lo que reduce la agilidad de la empresa. Recordemos que la cadena se rompe por el eslabón más débil, ¿o será que avanzaremos siempre al paso del más lento? [el impacto en los clientes, específicamente, es parte del segundo efecto secundario].

Ambos modos son esenciales, según Gartner, [tienen una relación simbiótica] para crear un valor sustancial, e impulsar un cambio organizativo importante, ninguno es estático y, probablemente, para el futuro tampoco sean suficientes. Combinar [y balancear] una evolución más predecible de productos y tecnologías (Modo 1) con lo nuevo e innovador (Modo 2) es la esencia de una capacidad bimodal empresarial. Ambos modos juegan un papel esencial en la transformación digital.

Sin embargo, el Modo 1 podría erróneamente considerarse negativo [¿desmotivación por creer que debe mantenerse con lo legacy (islamiento), con el día a día, aunque exista la nube?]. Y no vemos que se debería centrar en la explotación de lo que se conoce, pero renovando a la vez el entorno heredado a un estado que es apto para un mundo digital –renovar el core es la clave. De igual modo, el Modo 2 podría considerarse erróneamente positivo, (siempre iterando / ¿arriesgando, sobre simplificando, sin normas, con prácticas no lineales?), y siempre debería siempre estar ¿planeando para el futuro? [¿flexibilidad?, ¿motivación por mantenerse en lo nuevo?]. Capacidad de respuesta frente a estabilidad.

¿Y si cambiamos el ejemplo de los corredores a las velocidades de una bicicleta de carrera? ¿o de blanco y negro al espectro de colores? ¿cuán segregada/dividida/segmentada podrían estar TI? Esto sugiere que este modelo bimodal podría ser una sobre simplificación de lo realmente requerido. Por ejemplo, una mejor alternativa, según John C. McCarthy, analista de Forrester, es que las organizaciones trabajen más para entender sus desafíos y hacer “los cambios necesarios para conducir la simplicidad”. El enfoque en los clientes, más que la velocidad o una disciplina en particular, es el diferenciador crítico en las empresas que están teniendo éxito.

También debemos tener cuidado y considerar que los modos podrían competir inevitablemente por los fondos, recursos, habilidades y la atención de la dirección, sin dejar de lado estándares, disciplina, reducir complejidad, gestionar riesgos, en todo momento. Ambos conceptos pueden funcionar mejor cuando son compartidos por los elementos front-end y back-end del ecosistema de TI. Iterar es bueno, pero con la verificación y la metodología de las TI tradicionales de back-end.

Doxware, una variante del ransomware o del extortionware

Doxware, ¿es una evolución, una variante de malware, una nueva tendencia, o sólo un nuevo nombre? –porque nos gustan los nombres nuevos, sobre todo para lo que resulte amenazante[1].

Según la RAE, secuestrar es “Retener indebidamente a una persona para exigir dinero por su rescate, o para otros fines”; extorsión es “Presión que se ejerce sobre alguien mediante amenazas para obligarlo a actuar de determinada manera y obtener así dinero u otro beneficio”.

Ransomware suele instalarse en un sistema a través de un archivo adjunto de correo electrónico malicioso [usualmente de modalidad phishing], una descarga de software infectado y / o visitando un sitio o enlace malicioso. Cuando el sistema (independiente de la víctima) está infectado con ransomware, se bloquea, se cifran los archivos del usuario o se restringe el acceso del usuario a las funciones clave del equipo[2]. No se necesita mover datos, sólo cifrarlos[3]. Para evitar ataques, no sólo de ransomware, asegúrese de que todos los sistemas y software estén actualizados, proteja su red con tantas capas de seguridad como su presupuesto lo permita, cifre los datos sensibles, trate de no poner todos los huevos en la misma canasta, prevenga, eduque. El Grupo Smartekh nos ofrece un análisis gratuito de riesgo por ransomware.

Haciendo un poco de historia, la palabra doxxing; doxxing o doxing es un derivado de la palabra “docs” [“documentos” en idioma inglés]; el término es una versión abreviada de “dropping dox”, un método de venganza (algo así como dejar datos de alguien en el baño) que se remonta a la cultura hacker (y no tan hacker) de principios de los años 90[4].

Cuando doxxing y ransomware se combinan, esta combinación letal se conoce como Doxware[5]. Doxware entonces es el término usado para la técnica de acoso de encontrar, [secuestrar, extraer] y luego publicar información personal sensible de un usuario, incluyendo direcciones, números de teléfono e incluso números de Seguro Social[6].

Doxware normalmente escanea los archivos buscando frases clave que indican que son comunicación privilegiada, confidenciales o privados; así, el alcance de los archivos que doxware tiene como objetivo es menor que el ransomware ordinario, que se dirige a los discos duros completos[7].

Más preocupante es que los ciber delincuentes pueden tener acceso permanente a los datos personales y pueden exigir un rescate más de una vez. Incluso si se cede al chantaje, no hay ninguna garantía de que los archivos que han exfiltrado se eliminarán (apareció el extortionware). Los ataques basados en extorsión probablemente no aumentarán para el público en general, pero puede ser preocupante para los objetivos de alto valor, conocidos por tener datos valiosos. Con doxware el ataque es más personal, más selectivo, busca los blancos más atractivos, los que rindan más beneficios, los que maximicen el ROI. Es más, doxware puede exponer a las víctimas a acoso y humillación, pero también puede dejarlas vulnerables al robo de identidad[8].

El shadow IT, las redes sociales, el autoservicio de TI, hummmm. De hecho, preocupa a más de uno.

Confiamos en que evitamos la pérdida de los datos con los respaldos que realizamos, y en que recuperamos los servicios desde ahí, pero, en adición al tiempo y esfuerzo relacionados con el retorno real a la operación (dependiendo de la plataforma tecnológica desplegada, las capacidades existentes, y el tamaño del recurso comprometido), y del costo total de propiedad inherente, ¿qué fue de la pérdida de privacidad de los datos, no sólo por en dónde estaban sino, además, de quién son? ¿qué hay de un usufructo no alcanzado u oportunidades perdidas? ¿qué hay de los datos que son publicados y/o de posibles acciones legales por exposición no autorizada? ¿qué hay de la confianza perdida?, entre muchas otras interrogantes.

Recordemos, la ignorancia no es una defensa y el anonimato percibido no es un escape[9].

[1]       Fuente: http://searchdatacenter.techtarget.com/es/cronica/Doxware-Nueva-amenaza-de-ransomware-o-solo-extortionware-renombrado; disponible en marzo/2017

[2]       Fuente: https://www.techopedia.com/definition/4337/ransomware; disponible en marzo/2017

[3]       Fuente: http://www.networkworld.com/article/3174678/security/the-latest-ransomware-threat-doxware.html; disponible en marzo/2017

[4]       Fuente: http://computer.howstuffworks.com/what-is-doxxing.htm; disponible en marzo/2017

[5]       Fuente: https://www.topsec.com/it-security-news-and-info/what-is-doxware-ransomware; disponible en marzo/2017

[6]       Fuente; https://www.merriam-webster.com/dictionary/dox; disponible en marzo/2017

[7]       Fuente: https://www.techopedia.com/definition/32411/doxware; disponible en marzo/2017

[8]       Fuente: https://www.quora.com/What-is-Doxware-Malware; disponible en marzo/2017

[9]       Fuente: http://www.independent.co.uk/life-style/gadgets-and-tech/news/online-abuse-internet-sexting-doxxing-trolling-new-legal-guidelines-crime-prosecution-service-a7353536.html; disponible en marzo/2017

Internet de las cosas -IoT

Según Gartner, el “Internet de las cosas (IoT) es la red de objetos físicos que contienen tecnología incorporada para comunicarse y detectar o interactuar con sus estados internos o con el entorno externo”[1]; y añade que “el valor real del Internet de las cosas va más allá de los dispositivos interconectados”[2][3].

La interacción crea más datos (más complejidad en su tratamiento, más aplicaciones, mejores y más seguras que los traten, mayor necesidad de almacenamiento y procesamiento); la comunicación acarrea más riesgos que deben ser apropiadamente gobernados, una necesidad de mayor y mejor gestión de servicios (decisiones de toda índole más difíciles, para usuarios y operadores); las condiciones actuales y posibilidades futuras requieren recursos y capacidades diferenciados para asegurar que se mantiene el valor de los servicios (que promulga ITIL®) que entregamos –la sostenibilidad operativa.

Todos estamos involucrados y somos responsables del buen o mal uso que hagamos del IoT, en todo nivel. Además, debemos considerar que hay muchas cosas que considerar[4]: capacitación, público objetivo, requisitos de construcción, servicios incorporados, dispositivos (tipos, compromiso de seguridad, manipulación no autorizada[5], otros), disponibilidad, aplicaciones, redes, conectividad, plataforma tecnológica, ecosistema, riesgos directos e indirectos, actualizaciones de firmware o de software, aplicaciones que incorporen la seguridad desde el diseño, la arquitectura de las aplicaciones a este respecto, cifrado de datos, protección de datos personales, categorización de datos, datos sensibles en general, control de acceso, normativas, regulaciones, estándares, metadatos de los dispositivos, sistemas de monitorización y de protección contra intrusiones y ataques, tanto a nivel individual como colectivo[6], monitoreo continuo, localización de los datos porque lo que es delito informático en un país puede no serlo en otro, resiliencia[7], confidencialidad, integridad y disponibilidad, entre muchas otras posibilidades.

IoT no es una cosa; es la integración de varias cosas en una solución de negocio, es el corazón del negocio digital –bueno, cuando ya no sea una buzzword y realmente se de una transformación digital y contemos con tecnología concreta utilizable hasta en nuestros hogares[8] y por todos (refrigeradoras que podrán avisar a sus dueños cuando no haya alimento en ellos[9] es la promesa ¿recuerdan?). Sería bueno saber cuántos y cuáles dispositivos están accediendo a nuestra red local, y algo ‘raro’ como deshabilitar el bluetooth y las funciones que los dispositivos no usan todo el tiempo[10]. No queremos que “alguien” nos haga “gastar” más electricidad de lo habitual. Ya conocemos las deficiencias de seguridad existentes, que no nos pesquen desprevenidos, por ellas al menos[11].

[1]       Fuente: http://www.gartner.com/it-glossary/internet-of-things/; disponible en marzo/2017

[2]       Fuente: http://www.gartner.com/technology/research/internet-of-things/?s=1; disponible en marzo/2017

[3]       Fuente: http://view.ceros.com/gartner/iot/p/1; disponible en marzo/2017

[4]       Fuente: https://ricveal.com/blog/10-retos-seguridad-iot/; disponible en marzo/2017

[5]       Fuente: http://aunclicdelastic.blogthinkbig.com/el-reto-de-la-seguridad-en-iot/; disponible en marzo/2017

[6]       Fuente: http://www.csuc.cat/es/internet-of-things-un-reto-para-la-seguridad; disponible en marzo/2017

[7]       Fuente: http://www.ibm.com/developerworks/ssa/library/iot-trs-secure-iot-solutions1/index.html; disponible en marzo/2017

[8]       Fuente: http://techcetera.co/el-reto-para-la-seguridad-para-el-internet-de-las-cosas/; disponible en marzo/2017

[9]       Fuente: http://www.nacion.com/tecnologia/informatica/Seguridad-principal-reto-Internet-Cosas_0_1571442852.html; disponible en marzo/2017

[10]     Fuente: http://techcetera.co/tiene-el-internet-de-las-cosas-iot-algun-riesgo-para-su-hogar/; disponible en marzo/2017

[11]     Fuente: http://www.symantec.com/content/en/us/enterprise/media/security_response/whitepapers/insecurity-in-the-internet-of-things.pdf; disponible en marzo/2017

Revisemos lo de cultura de productividad

Una de las premisas de la propuesta lean es que se debe fallar rápido. Ojo, no bastante, que es lo que veo cuando reviso los reportes de QC de la organización donde laboro. No se preocupen, como en otra entidad donde hace unos años hubo oportunidad de realizar mejoras, ya estoy involucrándome aquí.

Este concepto de fallar rápido (o probar temprano) también se asocia con las diferencias entre los enfoques de cascada (que propicia una entrega final y completa, y que funciona bien cuando la demanda es [o era] estable[1]) y ágiles (que propicia entregas incrementales, y donde se requiere personal con versatilidad y agilidad de aprendizaje) para el desarrollo de software[2]. Inherentemente, propugna que el conocimiento obtenido de un intento fallido en realidad aumenta la probabilidad de un eventual éxito.

Claro, debemos tener en cuenta las especializaciones, certificaciones, cultura organizacional, apetito por el riesgo, orientación, vocación, necesidades propias de la empresa, demanda de ciertas habilidades (encontrar el candidato perfecto con exactamente las calificaciones adecuadas, la educación y las expectativas salariales puede ser una tarea desalentadora – si no imposible[3]), preponderancia de género[4], esquemas de reclutamiento, línea de carrera, motivación, incentivos, entre otros, y no sólo de la empresa, importante considerar al diferenciador clave por sus capacidades individualizadas: el colaborador comprometido.

Al respecto, hoy escuché que si alguien está interesado por la calidad, aporta a ella. Es un buen pensamiento. Lo lamentable es que el equipo de calidad tuvo que ser llamado por ese alguien porque ninguno había  comenzado a trabajar. Lo peor, en mi opinión, es que ese alguien evidenció que la calidad le interesaba por motivos egoístas de ganar un premio –como ya lo había hecho antes. Bueno, todos trabajaremos en disque mejorar la productividad de unos pocos para satisfacer el ego de un alguien que muy pronto se retira de la institución y desea dejar a su sucesor sólo la tarea de presentar la documentación para la evaluación del premio. Me pregunto si habrán pensado en la sostenibilidad y sustentabilidad futuras.

El departamento de TI debe cambiar su conjunto de habilidades[5], no sólo por el advenimiento de la nube y su posible [o ya existente] adopción, sino porque los cambios exigidos por el entorno serán cada vez más frecuentes y diversos e impactarán incluso en la seguridad de la información o, por lo menos, en cómo la manejamos, incluso cuando vivimos hoy una cultura global de movilidad y cuya gestión no puede permanecer estática[6]. De hecho, Gartner nos informa que en 2017[7], cada organización tenderá a contar con una mezcla de cinco plataformas tecnológicas digitales: Sistemas de información, experiencia del cliente, análisis e inteligencia, Internet de las Cosas y ecosistemas empresariales. Debemos tomar en serio la gestión del riesgo de TI (no sólo el riesgo cibernético y el cumplimiento). Tengamos presente que las organizaciones están desarrollando iniciativas de transformación digital para mejorar los procesos de negocios, servicio al cliente[8], entre otras. Así, resulta vital asegurarnos que nuestro equipo de TI esté comprometido con la estrategia digital de la organización[9].

Como dijimos, el tema es aprender, transformar información en verdadero conocimiento y éste en sabiduría. Lo único constante es el cambio (Heráclito)[10]. Algunas mejores prácticas apoyan en esto del cambio a través de la formulación y operación de servicios; otras mejores prácticas permiten lograrlo a través del desarrollo de proyectos.

[1]  Fuente: http://searchcio.techtarget.com/tip/CIO-outlook-2017-Five-elements-of-the-new-IT-operating-model?utm_medium=EM&asrc=EM_NLN_70027032&utm_campaign=20161221_CIO%20outlook:%20Five%20imperatives%20for%202017&utm_source=NLN&track=NL-1808&ad=911795&src=911795; disponible en dic/2016

[2]  Fuente: http://whatis.techtarget.com/definition/fail-fast; disponible en dic/2016

[3]  Fuente: http://searchcio.techtarget.com/definition/IT-skills-gap-information-technology-skills-gap; disponible en dic/2016

[4]  Fuente: http://searchdatacenter.techtarget.com/es/cronica/Industria-de-datacenter-enfrenta-crisis-de-habilidades-al-reemplazar-a-ingenieros; disponible en dic/2016

[5]  Fuente: http://searchdatacenter.techtarget.com/es/cronica/Diez-tendencias-de-la-nube-para-2017-segun-Tableau; disponible en dic/2016

[6]  Fuente: http://searchdatacenter.techtarget.com/es/cronica/Los-administradores-de-servicios-de-TI-ven-un-rol-para-ITIL-en-la-transformacion-digital-del-negocio?utm_medium=EM&asrc=EM_EDA_69283048&utm_campaign=20161207_El%20rol%20crucial%20de%20ITIL%20en%20la%20transformaci%C3%B3n%20digital&utm_source=EDA; disponible en dic/2016

[7]  Fuente: http://www.gartner.com/smarterwithgartner/gartners-top-10-technology-trends-2017/; disponible en dic/2016

[8]  Fuente: http://searchdatacenter.techtarget.com/es/cronica/Las-iniciativas-de-transformacion-digital-cosechan-valor-de-negocios; disponible en dic/2016

[9]  Fuente: http://searchdatacenter.techtarget.com/es/consejo/Cuatro-formas-de-crear-impulsores-de-valor-para-la-tecnologia-digital?utm_medium=EM&asrc=EM_EDA_69897476&utm_campaign=20161219_Principales%20tendencias%20de%20almacenamiento%20de%20datos%20para%202017&utm_source=EDA; disponible en dic/2016

[10]                Fuente: http://www.asesoriaterapeutica.com/blog/187-%E2%80%9Clo-%C3%BAnico-constante-es-el-cambio%E2%80%9D-her%C3%A1clito.html; disponible en dic/2016