Gestión de servicios

ITIL es una guía que reúne prácticas que han dado resultados en la gestión de servicios de TI (ITサービスマネジメント), una colección de buenas prácticas (ベストプラクティス集) que las organizaciones consultan al crear sus propias reglas. Los requisitos de un sistema de gestión de la seguridad de la información corresponden a JIS Q 27001, es decir, ISO/IEC 27001; el cuerpo de conocimientos de la gestión de proyectos, a PMBOK e ISO 21500; y las características de calidad del software, a JIS X 25010, entre otras; ninguna de ellas es ITIL.

Un SLA (acuerdo de nivel de servicio, サービスレベル合意書) es un documento que establece el nivel de calidad del servicio de forma que se pueda juzgar objetivamente si se alcanzó. Una disponibilidad (稼働率) de al menos 99.5% puede medirse y verificarse numéricamente, por lo que es adecuada. Hacer todo lo posible no se puede medir y no funciona como acuerdo, y los lenguajes usados en el desarrollo o el sistema de personal del proveedor no son niveles de calidad del servicio, por lo que no son elementos adecuados para un SLA.

La SLM (gestión del nivel de servicio, サービスレベル管理) es la actividad de mantener y mejorar los niveles acordados en el SLA midiendo y evaluando periódicamente los resultados y continuando la mejora mediante el ciclo PDCA. Operar sin revisiones después de celebrar el acuerdo, o medir solo cuando hay fallas, no constituye una gestión continua de la calidad. Bajar mecánicamente las metas para ajustarlas a los resultados cuando no se cumplen no es una mejora y, además, requeriría el acuerdo de los usuarios, por lo que es incorrecto.

La mesa de servicio (サービスデスク) es el punto único de contacto (単一の窓口) que recibe consultas, reportes de fallas y solicitudes de los usuarios, registra lo recibido y gestiona el avance hasta su resolución. La definición de requisitos corresponde al desarrollo; la contratación y asignación, a recursos humanos; y la elaboración del presupuesto de inversión en TI, a la dirección o al área de estrategia de TI; ninguna de ellas es función de la mesa de servicio.

El propósito de la gestión de incidentes (インシデント管理) es el restablecimiento rápido del servicio: aunque la causa no se comprenda del todo, da prioridad a reanudar el negocio mediante soluciones alternativas, reinicios y similares. Eliminar las causas raíz es la gestión de problemas (問題管理); evaluar y aprobar cambios es la gestión de cambios (変更管理); y mantener la información de configuración es la gestión de la configuración (構成管理); cada una es un proceso distinto.

Evitar la recurrencia es función de la gestión de problemas (問題管理), que identifica la causa raíz (根本原因) y aplica una solución permanente (恒久対策) que la elimina. Preparar procedimientos de reinicio, redactar textos de aviso y aumentar el personal son medidas de la gestión de incidentes que agilizan la respuesta o reparten la carga; la causa en sí permanece, por lo que no evitan la recurrencia.

Implementar los cambios aprobados en el entorno de producción (本番環境) y ponerlos en operación es la gestión de versiones (リリース管理). La gestión de incidentes busca el restablecimiento rápido del servicio; la gestión de problemas, eliminar las causas raíz; y la gestión de la disponibilidad (可用性管理), mantener el servicio utilizable en el nivel acordado; ninguna de ellas es el proceso responsable de la implementación en producción.

El escalamiento (エスカレーション) es el mecanismo por el cual el personal de primera línea transfiere los casos que no puede resolver a personal más especializado o a responsables de nivel superior, asegurando que los casos se resuelvan. Publicar una FAQ apoya el autoservicio de los usuarios, contabilizar los casos es un informe de resultados y realizar capacitaciones es formación de usuarios; ninguna de ellas es escalamiento.

Un respaldo diferencial (差分バックアップ) copia cada vez todo lo modificado desde el último respaldo completo (フルバックアップ), que sirve como base. Tomar solo los cambios desde el respaldo inmediatamente anterior es un respaldo incremental (増分バックアップ); copiar todo cada vez es un respaldo completo; y la escritura duplicada en tiempo real es la duplicación en espejo (mirroring, ミラーリング), RAID 1; ninguno de ellos es un respaldo diferencial.

Un respaldo incremental (増分バックアップ) contiene solo los cambios desde el respaldo inmediatamente anterior, así que, después de restaurar el respaldo completo, hay que aplicar todos los incrementales tomados desde entonces, del más antiguo al más reciente. Por lo tanto, se necesitan el respaldo completo del domingo y los cuatro incrementales de lunes a jueves. Los incrementales solos no contienen todos los datos, y el respaldo completo más solo el incremental del jueves perdería los cambios de lunes a miércoles; esa combinación sería la correcta para respaldos diferenciales.

Un respaldo diferencial (差分バックアップ) contiene todos los cambios desde el último respaldo completo, así que el diferencial más reciente por sí solo concentra todos los cambios hasta ese momento. Por lo tanto, bastan el respaldo completo del domingo y el diferencial del jueves, 2 medios en total, para restaurar. Con 1 medio solo se tendría el completo o el diferencial, lo cual es insuficiente. Se necesitarían 5 medios con respaldos incrementales, un completo más cuatro incrementales de lunes a jueves, y 4 no coincide con la cantidad requerida por ningún método.

El respaldo completo (フルバックアップ), que copia todo cada vez, es el que más requiere, y el respaldo incremental (増分バックアップ), que toma solo los cambios desde el respaldo inmediatamente anterior, es el que menos. El diferencial queda en medio. Tenga en cuenta que el tiempo de restauración sigue el orden inverso: el completo es el más corto y el incremental el más largo. Es importante leer con atención si la pregunta se refiere al tiempo de respaldo o al de restauración.

La gestión de trabajos (ジョブ管理) define como trabajos (jobs) los procesos que deben ejecutarse en un orden y horarios fijos, como los procesos por lotes nocturnos, y ofrece arranque automático, supervisión de la ejecución y notificación de terminaciones anormales. Establecer derechos de acceso es gestión de accesos; medir el tráfico y controlar el ancho de banda es gestión de redes; y ejecutar pruebas unitarias es trabajo de desarrollo; ninguna de ellas es función de la gestión de trabajos.

El método de migración simultánea (一斉移行方式) cambia todo el sistema al nuevo en un solo momento; el período de migración es corto y los costos son bajos, pero un defecto afecta a toda la empresa. Hacer funcionar el antiguo y el nuevo al mismo tiempo es la operación en paralelo (並行運用), y cambiar por etapas es la migración por fases (段階移行). Sea cual sea el método, normalmente es necesario migrar los datos del sistema antiguo, y eso nunca deja de ser necesario.

La gestión de operaciones del sistema (システム運用管理) abarca el trabajo diario que mantiene un sistema funcionando de forma estable, como supervisar el funcionamiento, controlar el uso de recursos, recopilar y conservar los registros (logs) y realizar respaldos. La definición de requisitos y la revisión de código son fases del desarrollo de sistemas, y priorizar la inversión en TI es una actividad de gestión y de estrategia de TI; ninguna de ellas es trabajo de gestión de operaciones.

Un UPS (sistema de alimentación ininterrumpida, 無停電電源装置) usa su batería interna para suministrar energía durante un tiempo corto en un corte de luz, ganando tiempo para guardar los datos y apagar el sistema normalmente, o para pasar a un generador eléctrico propio. Cambiar de línea es redundancia de líneas; mantener la temperatura y la humedad es tarea del aire acondicionado; y la escritura duplicada en discos es la duplicación en espejo (mirroring), RAID 1; ninguna de ellas es el propósito de un UPS.

Para hacer frente a un corte de luz de horas se necesita un generador eléctrico propio (自家発電装置) que pueda seguir generando con combustible. La batería de un UPS normalmente suministra energía solo de unos minutos a unas decenas de minutos, y sirve apenas de puente hasta un apagado seguro o el paso al generador. Un protector contra sobretensiones (サージプロテクタ) protege los equipos contra altos voltajes anormales, y un cable de seguridad es un dispositivo antirrobo; ninguno de los dos puede suministrar energía durante un corte de luz.

El antipassback (アンチパスバック) es un mecanismo que niega la salida a una persona sin registro de entrada, o a la inversa, por lo que puede detectar y disuadir a quienes entraron a remolque (共連れ) sin autenticarse. Conservar los registros de lectura ayuda a rastrear después, pero no evita la entrada a remolque en sí; cambiar las contraseñas solo refuerza la autenticación personal; y los cables de seguridad evitan el robo de equipos y no pueden controlar la entrada.

Un cable de seguridad (セキュリティワイヤ) sujeta el equipo a un escritorio o pilar con un cable, lo que dificulta físicamente llevárselo; es una medida de prevención de robos. El cifrado y la autenticación biométrica evitan la fuga de información después de un robo, y aplicar parches de seguridad contrarresta los ataques que aprovechan vulnerabilidades; ninguna de ellas evita el robo en sí.

La TI verde (グリーンIT) reduce el impacto ambiental de fabricar, usar y desechar equipos de TI, por ejemplo adoptando dispositivos de bajo consumo o consolidando equipos mediante la virtualización (仮想化). Detectar accesos no autorizados es una medida de seguridad de la información, y los centros de respaldo remotos y el almacenamiento distribuido de datos son medidas de continuidad del negocio y contra desastres; no tienen como objetivo reducir el impacto ambiental.

El alto voltaje anormal momentáneo causado por rayos y otros fenómenos se llama sobretensión (サージ), y los dispositivos de protección contra sobretensiones (サージ防護デバイス), descargadores de sobretensiones (避雷器) y protectores contra sobretensiones (サージプロテクタ), la desvían lejos de los equipos. Fijar los racks es una medida contra terremotos, controlar la humedad evita la electricidad estática y la condensación, y duplicar los equipos es redundancia para continuar el servicio durante las fallas; ninguna de ellas protege contra la sobretensión en sí.

Una auditoría de sistemas (システム監査) inspecciona y evalúa, desde una posición independiente, si los sistemas de información se operan de forma segura, eficaz y eficiente y si los riesgos relacionados se gestionan adecuadamente, y asesora sobre mejoras. Diseñar y planificar el desarrollo corresponde al departamento de desarrollo; el restablecimiento rápido de fallas, a la gestión de incidentes; y la formación de usuarios, al departamento de operaciones; ninguno es el propósito de una auditoría.

Una auditoría de sistemas primero elabora el plan de auditoría (監査計画), obtiene una visión general del objeto en el estudio preliminar (予備調査) para delimitar las áreas clave, reúne evidencia de auditoría y llega a conclusiones en el estudio principal (本調査), informa en el informe de auditoría (監査報告) y luego confirma el estado de las mejoras en el seguimiento (フォローアップ). Las demás opciones realizan estudios antes de planificar o invierten el orden del informe y el seguimiento, por lo que son incorrectas.

Un auditor debe ser independiente (独立性) del departamento auditado; auditar un sistema en el que uno participó significaría evaluar el propio trabajo y destruiría la objetividad, por lo que no se permite. Encargarse a la vez de operar el sistema es inadecuado por la misma razón. Decidir los puntos de auditoría según las instrucciones del departamento auditado también viola la independencia. Mientras se garantice la independencia, el personal interno, como un departamento de auditoría interna, puede realizar auditorías, así que la afirmación de que deben ser externos también es incorrecta.

Un rastro de auditoría (監査証跡) consiste en registros como los registros de procesamiento (logs), comprobantes de entrada, registros de aprobaciones e historiales de cambios que permiten rastrear y verificar después el curso del procesamiento, y respaldan los juicios del auditor. El documento que reúne los resultados de la auditoría es el informe de auditoría; el documento que define de antemano el alcance y el momento es el plan de auditoría; y el plan de mejora es un documento elaborado por el departamento auditado; ninguno de ellos es el rastro de auditoría en sí.

El seguimiento (フォローアップ) es la actividad en la que el auditor confirma posteriormente si se han aplicado mejoras para los puntos señalados en el informe de auditoría. La responsabilidad de aplicar las mejoras recae en el departamento auditado, y si el auditor hiciera personalmente las correcciones, se perdería la independencia. La posición del auditor es asesorar, no dar órdenes, y el informe de auditoría se presenta sin esperar a que terminen las mejoras.

La segregación de funciones (職務分掌) divide los roles en lugar de concentrar la autoridad en una persona, para que funcionen los controles mutuos; separar a quien captura de quien aprueba es un ejemplo clásico. Dar a una persona la autoridad combinada, omitir la aprobación o dar a todos la misma autoridad crean situaciones en las que un fraude o un error puede completarse por una sola persona, lo cual es inadecuado para el control interno (内部統制).

La gobernanza de TI (ITガバナンス) se refiere a la responsabilidad y los mecanismos con los que la dirección orienta el uso de las TI de acuerdo con la estrategia de negocio, supervisa la ejecución y la corrige cuando es necesario. Preparar los procedimientos de comunicación ante fallas es un procedimiento operativo de la gestión de incidentes; formar al personal es gestión de recursos humanos; y mantener las instalaciones eléctricas y de aire acondicionado es gestión de instalaciones (ファシリティマネジメント); ninguno de ellos es en sí el mecanismo de control a nivel de dirección.