ISO/IEC 20000
La norma ISO/IEC 20000 es la norma internacional para la gestión de servicios de TI: cómo se diseñan, prestan y mejoran los servicios de TI de forma disciplinada y repetible. No se trata de una norma de seguridad en sí misma, pero muchos resultados en materia de seguridad dependen, de manera implícita, de la madurez de la gestión de servicios en la que se basa: la gestión de incidentes, la gestión del cambio y la gestión de la configuración están presentes en ambos ámbitos, aunque se describan con un lenguaje diferente.
La conexión es más importante de lo que parece a primera vista. Un proceso de cambio mal controlado es tanto un problema de seguridad como un problema operativo: la mayoría de las interrupciones del servicio y un número considerable de violaciones de seguridad se remontan a un cambio que no se revisó, probó o revirtió adecuadamente. Tratar la gestión de servicios de TI (ITSM) y la seguridad como temas independientes suele significar que ambos acaban siendo más débiles de lo que deberían ser.
¿En qué punto entro yo?
Colaboro con organizaciones que persiguen la certificación ISO/IEC 20000 para garantizar que los procesos de gestión de servicios que se están desarrollando —gestión de incidentes, gestión de problemas, control de cambios— se diseñen teniendo en cuenta la seguridad desde el principio, en lugar de que la seguridad se incorpore posteriormente como un proceso independiente y paralelo. Esto implica que los procesos de asesoramiento sobre cambios planteen realmente la cuestión de la seguridad, que la categorización de incidentes permita distinguir una interrupción del servicio de un incidente de seguridad, y que la gestión de la configuración ofrezca una visión precisa de lo que realmente se está ejecutando.
Nota práctica
La certificación resulta útil como factor impulsor y como prueba ante clientes y socios, pero su verdadero valor reside en la disciplina que fomenta: saber qué ha cambiado, cuándo, por qué y quién lo ha aprobado. Esa disciplina da sus frutos independientemente de si se cuelga o no el certificado en la pared.
Si está implantando o reforzando la gestión de servicios de TI y desea que la seguridad se integre de forma nativa en lugar de añadirse a posteriori, Contacte conmigo.