PRESENTACION
JOAN
MANUEL
HIDALGO
SANCHEZ
AUDITORIA
DE SISTEMAS
ESTANDARES DE CALIDAD
3er
PARCIAL
INTRODUCCION
Los
estándares no son más que los niveles mínimo y máximo deseados, o aceptables de
calidad que debe tener el resultado de una acción, una actividad, un programa,
o un servicio. En otras palabras, el estándar es la norma técnica que se
utilizará como parámetro de evaluación de la calidad.
Una vez programadas las actividades de solución al problema de gestión, los círculos de calidad deberán definir los estándares de calidad del resultado, o los resultados esperados.
En el desarrollo de los estándares deben participar los miembros del equipo coordinador de la gestión de calidad, en la unidad de salud y representantes de los usuarios internos y externos del programa de atención integral en el cual se identificaron los problemas.
Se debe cuidar que los estándares no sean influenciados por lo que actualmente hace el personal, quienes son los responsables de la gestión o ejecución de la actividad, componente o programa con un problema. Los estándares deben ser monitoreados y evaluados periódicamente, aplicando indicadores, para saber si se está asegurando la calidad.
Una vez programadas las actividades de solución al problema de gestión, los círculos de calidad deberán definir los estándares de calidad del resultado, o los resultados esperados.
En el desarrollo de los estándares deben participar los miembros del equipo coordinador de la gestión de calidad, en la unidad de salud y representantes de los usuarios internos y externos del programa de atención integral en el cual se identificaron los problemas.
Se debe cuidar que los estándares no sean influenciados por lo que actualmente hace el personal, quienes son los responsables de la gestión o ejecución de la actividad, componente o programa con un problema. Los estándares deben ser monitoreados y evaluados periódicamente, aplicando indicadores, para saber si se está asegurando la calidad.
Y
en este trabajo procederemos a tratar con profundidad el los estándares ITIL y
COBIT.
ITIL
La Biblioteca de Infraestructura de Tecnologías de Información, frecuentemente abreviada ITIL, es un conjunto de
conceptos y buenas prácticas para la gestión de servicios de tecnologías
de la información,
el desarrollo de tecnologías de la información y
las operaciones relacionadas con la misma en general. ITIL da descripciones
detalladas de un extenso conjunto de procedimientos de gestión ideados para
ayudar a las organizaciones a lograr calidad y eficiencia en las operaciones de
TI. Estos procedimientos son independientes del proveedor y han sido desarrollados
para servir como guía que abarque toda infraestructura, desarrollo y
operaciones de TI.
CERTIFICACION ITIL
Los particulares
pueden conseguir varias certificaciones oficiales ITIL. Los estándares de
calificación ITIL son gestionados por la ITIL Certification Management Board
(ICMB) que agrupa a la OGC, a itSMF
International y a los dos Institutos Examinadores existentes:
EXIN (con sede en los Países Bajos) e ISEB (con sede en el Reino Unido).
Existen tres
niveles de certificación ITIL para profesionales:
1.
Foundation Certificate: acredita un conocimiento básico de ITIL en
gestión de servicios de tecnologías de la información y la comprensión de la
terminología propia de ITIL. Está destinado a aquellas personas que deseen
conocer las buenas prácticas especificadas en ITIL.
2.
Practitioner's Certificate: destinado a quienes tienen responsabilidad en el
diseño de procesos de administración de departamentos de tecnologías de la
información y en la planificación de las actividades asociadas a los procesos.
3.
Manager's Certificate: garantiza que quien lo posee dispone de profundos
conocimientos en todas las materias relacionadas con la administración de
departamentos de tecnologías de la información, y lo habilita para dirigir la
implantación de soluciones basadas en ITIL.
No es posible
certificar una organización o sistema de gestión como «conforme a ITIL», pero
una organización que haya implementado las guías de ITIL sobre Gestión de los
Servicios de TI puede lograr certificarse bajo la ISO/IEC 20000.
La versión 3 de
ITIL, que apareció en junio de 2007, cambió ligeramente el esquema de
Certificaciones, existiendo certificaciones puentes, se definen 3 niveles:
1.
Basic Level
2.
Management and Capability
Level
3.
Advanced Level
FORMA DE USU DE ITIL EN
MANAGEF SERVICES
ITIL postula que
el servicio de soporte, la administración y la operación se realiza a través de
cinco procesos:
1.
Manejo de
Incidentes
2.
Manejo de
problemas
3.
Manejo de
configuraciones
4.
Manejo de cambios
y
5.
Manejo de entregas
PROCESO DE MANEJO DE INCIDENTES
Su objetivo
primordial es reestablecer el servicio lo más rápido posible para evitar que el cliente se vea afectado, esto se hace con la finalidad de
que se minimicen los efectos de la operación. Se dice que el proveedor de debe
de encargar de que el cliente no debe percibir todas aquellas pequeñas o
grandes fallas que llegue a presentar el sistema. A este concepto se le llama disponibilidad (que el usuario pueda
tener acceso al servicio y que nunca se vea interrumpido).
Para este proceso se tiene un diagrama que en cada una de sus fases
maneja cuatro pasos básicos que son: propiedad, monitoreo, manejo de secuencias y comunicación.
En el proceso de
manejo de incidentes vemos que se da como primera etapa la detección del
incidente (es cuando el sistema presenta alguna anomalía o falla, y que esto se
puede traducir en un error en el sistema o que el usuario no puede hacer algo y
recurre a pedir ayuda); ya que lo tenemos identificado se hace una
clasificación del incidente (vemos si el error que se presenta es conocido o si
nunca se ha presentado) y de la mano va el soporte inicial (es el punto en el
que el cliente llega a la mesa de servicio a solicitar ayuda, porque no sabe o
no puede hacer algo); en caso de que el incidente sea conocido se hace el procedimiento de solicitud de servicio (se ejecutan los
pasos a seguir según el manual de procedimientos para poder llegar a la solución de una forma viable y
eficiente); una vez que ya que se la dio una solución al incidente por medio
del manual de procedimientos se recurre a la documentación y contabilización
del incidente, para ver qué tanta incidencia tiene este caso; finalmente se
hace una evaluación para ver si efectivamente se resolvió el incidente de forma
satisfactoria y en supuesto de ser afirmativa se cierra el incidente y el otro
supuesto seria que de la solución que se planteó no es lo suficientemente
eficiente o acertada para que resuelva el problema y se recurre a hacer una investigación y un diagnóstico de la situación para ver cómo
es que se puede atacar el problema de frente y resolverlo; una vez que se tiene
todo un contexto analizado se recurre a la ejecución de la propuesta de
solución del incidente y se hace un estudio para ver si el incidente es
recuperable o si es caso perdido (la mayoría de los casos son recuperables, peo
cuando el nivel de daño es muy fuerte, se da el caso de que se dé por
perdido); y finamente se cierra el incidente y esta solución se documenta en
una base de datos a la que se le llama base del conocimiento o Knowledge Data Base (aquí vienen
documentadas todas las soluciones, y se establecen los pasos a seguir para que
se hagan de forma eficiente) para que al momento de volverse a presentar el
incidente ya va a estar documentado y esto hace que sea más fácil, rápida y
eficiente su resolución.
PROCESO
DE MANEJO DE PROBLEMAS
El Objetivo de
este proceso es prevenir y reducir al máximo los incidentes, y esto nos lleva a
una reducción en el nivel de incidencia. Por otro lado nos ayuda a proporcionar
soluciones rápidas y efectivas para asegurar el uso estructurado de recursos.
En este proceso lo
que se busca es que se pueda tener pleno control del problema, esto se logra
dándole un seguimiento y un monitoreo al problema.
El diagrama de
este proceso es muy particular, ya que se maneja en dos fases: la primera está
relacionada con lo que es el control del problema y la segunda es con el
control del error.
En lo que respecta
a la fase de control del problema: primero se tiene que identificar el problema
en base a alguna sintomatología; ya que tenemos este antecedente, pasamos a la
clasificación de los problemas (en este proceso al igual que en el proceso de
manejo de incidentes tenemos que ver si es un problema conocido), en caso de
ser conocido, se recurre al procedimiento de solicitud de servicio, donde se
van a aplicar las soluciones de acuerdo a como están en el manual de procedimientos; y en caso de no ser conocido se
tendría que hacer una fase de investigación para ver que es lo que genera el
problema y más tarde hacer un diagnóstico; ya que tenemos un diagnóstico tenemos que hacer un RFC (Request For Change
o Solicitud de Cambio),
Esta solicitud de
cambio implica que se va a tener que implementar la solución y finalmente se va
a hacer una evaluación para ver si se resolvió el problema de raíz. En caso de
que si se funcione esta solución se pasa a la documentación.
Con lo que
respecta a la segunda fase del modelo, el control del error se hace por medio de una
identificación del error en general, posteriormente se hace una especie de registro, y este va a servir para clasificar el error; ya que
se tiene una clasificación y se recurre a una evaluación de que tanto daño género o puede llegar a generar el error, esto con la
finalidad de cuantificar los desperfectos que podría llegar a causar en caso de
que el error prevalezca y no se solucione; posteriormente se hace la resolución
o corrección del error (este puede deberse a varios aspectos: configuraciones,
falta de seguridad, inconsistencia de datos, etc.); y este modelo tiene una fase muy difícil, que es
determinar que problemas están asociados o como es que al momento de cambiar
algo el sistema, se va a cambiar de forma uniforme y no se va a alterar, y que
presente inconsistencias. Por ejemplo que es lo que pasaría si cambio algunos
de los datos en la configuración del sistema, se tendría que afectar el sistema
de manera uniforme para que siga en equilibrio y no este cambiado en algunas partes y en
otras que se quede como estaba antes.
PROCESO
DE MANEJO DE CONFIGURACIONES
Su objetivo es proveer con información real y actualizada de lo que se
tiene configurado e instalado en cada sistema del cliente.
Este proceso es de los más complejos, ya que se mueve bajo cuatro
vértices que son: administración de cambios, administración de liberaciones,
administración de configuraciones y la administración de procesos diversos.
El nivel de complejidad de este modelo es alto, ya que influyen muchas variables y muchas de ellas son dinámicas, entonces al
cambiar una o varias de ellas se afecta el sistema en general, lo que hace que
sea muy difícil de manipular. Aunque es lo más parecido a la realidad, porque
nuestro entorno es dinámico y las decisiones de unos afectan a otros.
Por ejemplo en lo que respecta a la administración de cambios vemos que
se relaciona directamente con la administración de incidentes y de problemas,
lo que conlleva una planeación, identificación, control, seguimiento del status,
verificación y auditoria de configuraciones, lo que hace que haya muchas
variables.
En otro ejemplo la implementación de cambios implica que se tiene que
hacer la liberación y distribución de nuevas versiones, esto se da por una fase
de planeación, identificación, control, revisión del status, verificación y
auditoria, y puede depender de la administración de las capacidades, ya que si
no se cuenta con el software o
con el hardware esta fase no se podría llevar a cabo; y así se
haría con todos los niveles hasta llegar al cierre del control de cambios.
PROCESO
DE CONTROL DE CAMBIOS
El objetivo de
este proceso es reducir los riesgos tanto técnicos, económicos y de tiempo al momento
de la realización de los cambios.
Este diagrama la
parecer es muy fácil de seguir, pero en realidad no lo es, ya que entre etapa y
etapa se da una fase de monitoreo para ver que no se han sufrido desviaciones
de los objetivos.
Primero vemos que
tenemos un registro y clasificación del cambio que se tiene que hacer, se pasa
a la fase de monitoreo y planeación, si el rendimiento es satisfactorio se da
la aprobación del cambio, y
en caso de que el rendimiento
sea malo se pasa a la fase de reingeniería hasta que el proceso funcione adecuadamente,
ya que se aprueban los cambio, se construyen prototipos o modelos en los que se van a hacer las pruebas, se hacen las pruebas pertinentes para ver las
capacidades del sistema, ya que el proceso está probado se da la autorización e
implementación; ya implementado se ve que no se hayan tenido desviaciones y se
ajusta a las necesidades actuales que también se le considera como revisión
post-implementación.
PROCESO DE MANEJO DE ENTREGAS
Su objetivo es planear y controlar exitosamente la instalación de
Software y Hardware bajo tres ambientes: ambiente de desarrollo, ambiente de pruebas controladas y ambiente real.
Este proceso tiene un diagrama que marca la transición que se da de acuerdo a los ambientes
por los que se va dando la evolución del proyecto.
En lo que respecta al ambiente de desarrollo vemos que se tiene que
hacer la liberación de las políticas, la liberación de la planeación, el diseño lógico de la infraestructura que se va a
implementar y la adquisición de software y hardware están entre los ambientes
de desarrollo y de pruebas controladas; ya que se requiere que ambos hagan
pruebas sobre ellos; en el ambiente de pruebas controladas vemos que se hace la construcción y liberación de las configuraciones (nivel
lógico), se hacen las pruebas para establecer los acuerdos de aceptación; se da
la aceptación total de versiones y de modelos, se arranca la planeación y
finalmente las pruebas y comunicaciones; y en lo que es el ambiente real vemos que se
da la distribución e instalación.
En la etapa del ambiente real es la que se ve de forma más concreta, ya
que muchas veces no tenemos idea de todo lo que pasa hasta antes de la instalación.
En el proceso de entrega del servicio es el punto en el que el usuario
hace uno del servicio y no sabe que detrás del servicio que está recibiendo hay
un sin fin de actividades y de decisiones que se tuvieron que tomar para que
llegar a este punto.
Este proceso es en el que más cuidado debemos de poner, ya que en caso
de haber fallas, el primero en detectarlas o en percibirlas es el usuario, y
eso nos genera que el cliente este insatisfecho o molesto. Por lo general los
usuarios no saben que para que puedan hacer uso de los servicios, se pasó por
una fase de planeación, monitoreo, análisis y por un sin fin de pruebas, con la intención de
que en caso de que algo no funcione, se de en la fase de pruebas controladas y
no en la fase de pruebas en ambiente real, donde el mayor afectado es el
cliente.
COBIT
Objetivos de Control para Información y Tecnologías Relacionadas (COBIT) es una guía de mejores prácticas presentado como framework, dirigida al control y supervisión de tecnología de la información (TI). Mantenido por ISACA (en inglés: Information Systems Audit and Control Association) y el IT GI (en inglés: IT Governance Institute), tiene una serie de recursos que pueden servir de modelo de referencia para la gestión de TI, incluyendo un resumen ejecutivo, un framework, objetivos de control, mapas de auditoría, herramientas para su implementación y principalmente, una guía de técnicas de gestión.
PARA QUE
SIRVE
Independientemente de la realidad tecnológica de cada caso concreto, COBIT determina, con el respaldo de las principales
normas técnicas internacionales, un conjunto de mejores prácticas para la seguridad, la calidad, la eficacia y la eficiencia en TI que son necesarias para alinear TI con
el negocio, identificar riesgos, entregar valor al negocio, gestionar recursos y medir el desempeño, el cumplimiento de metas y el nivel de madurez de
los procesos de la organización.
Proporciona a gerentes, interventores, y usuarios TI con un juego de medidas generalmente aceptadas, indicadores, procesos y las mejores prácticas para ayudar a
ellos en el maximizar las ventajas sacadas por el empleo de tecnología de información y desarrollo de la
gobernación apropiada TI y el control en una empresa.
Proporciona ventajas a gerentes, TI usuarios, e interventores. Los
gerentes se benefician de COBIT porque esto provee de ellos de una fundación
sobre cual TI las decisiones relacionadas e inversiones pueden estar basadas. La toma de decisiones es más eficaz porque COBIT ayuda la
dirección en la definición de un plan de TI estratégico, la definición de la arquitectura de la información, la adquisición del hardware necesario
TI y el software para ejecutar una estrategia TI, la aseguración del servicio continuo, y la supervisión del funcionamiento del sistema TI. TI usuarios se benefician de COBIT debido al
aseguramiento proporcionado a ellos si los usos que ayudan en la reunión, el
tratamiento, y el reportaje de información cumplen con COBIT ya que esto
implica mandos y la seguridad es en el lugar para gobernar los procesos. COBIT
beneficia a interventores porque esto les ayuda a identificar cuestiones de control
de TI dentro de la infraestructura TI de una empresa. Esto también les ayuda a corroborar sus
conclusiones de auditoria.
La misión COBIT es " para investigar, desarrollar, hacer público y promover un juego
autoritario, actualizado, internacional de objetivos de control de tecnología
de información generalmente aceptados para el empleo cotidiano por directores
comerciales e interventores. " Los gerentes,
interventores, y usuarios se benefician del desarrollo de COBIT porque esto les
ayuda a entender sus sistemas TI y decidir el nivel de seguridad (valor) y
control que es necesario para proteger el activo de sus empresas por el desarrollo de un modelo de gobernación TI.
COMO SE USA
Organizaciones
acertadas entienden las ventajas de tecnología de información (TI) y usan este conocimiento para conducir el valor de sus accionistas. Ellos reconocen la dependencia crítica de muchos procesos de negocio sobre TI, la
necesidad de cumplir con demandas de cumplimiento crecientes reguladoras y las
ventajas de riesgo directivo con eficacia. Para ayudar organizaciones
en satisfactoriamente la reunión de desafíos de hoy de negocio, el Instituto de
Gobernación TI ® (ITGI) ha publicado la versión 4.0 de Objetivos de Control
para la Información y ha relacionado la Tecnología (COBIT ®).
El acercamiento a
la utilización COBIT
Lo maneja - riesgos relacionados de negocio:
· El empleo bajo sobre objetivos de negocio en el Marco COBIT
· seleccionan,
procesa y controla TI apropiado por la organización de los Objetivos de Control de COBIT.
· funcionan del plan de negocio de organización.
· evalúan procedimientos y los resultados con Directrices de
Revisión de cuentas de COBIT.
· evalúan el estado de la organización, identifican factores de éxito críticos, miden
el funcionamiento con las Directrices de Dirección.
COBIT Para
desarrollar un juego sano de procesos:
· escogen los
Objetivos de Control que caben los objetivos de negocio
· identifican los
modelos de industria que proporcionan la dirección para apoyar procesos (CMMI, Poblar CMM, ITIL)
COBIT cubre cuatro
dominios:
·
Planificación y
Organización
·
Adquiera e
Instrumento
·
Entregue y Apoyo
·
Monitor y Evalúa
PLANIFICACIÓN Y
ORGANIZACIÓN
La Planificación y
el dominio de Organización cubren el empleo de tecnología y como mejor esto
puede ser usado en una empresa ayudar
alcanzar los objetivos de la empresa y objetivos. Esto también destaca la forma
de organización e infraestructura TI debe tomar para alcanzar los resultados
óptimos y generar la mayor parte de ventajas del empleo de TI. La mesa
siguiente cataloga los objetivos de control nivel altos para el dominio de
Organización y la Planificación.
PO1 Definen un Plan de TI Estratégico
PO1 Definen un Plan de TI Estratégico
PO2 Definen la
Información Arquitectura
PO3 Determinan
Dirección Tecnológica
PO4 Definen los
Procesos de TI, Organización y Relaciones
PO5 Manejan la Inversión TI
PO6 Comunican
Objetivos de Dirección y Dirección
PO7 Manejan Recursos TI Humanos
PO8 Manejan
Calidad
PO9 Evalúan y
Manejan Riesgos de TI
PO10 Manejan
Proyectos
ADQUIERA E INSTRUMENTO
Identificación
de sus exigencias TI, adquiriendo la tecnología, y poniéndolo en práctica
(realización) dentro de los procesos de negocio corrientes de la empresa. Este
dominio también dirige el desarrollo de un plan de mantenimiento que una empresa debería adoptar para prolongar la vida de un sistema TI y sus componentes. La mesa siguiente cataloga los
objetivos de control nivel altos para el dominio de Puesta en práctica y la
Adquisición.
AI1 Identifican Soluciones Automatizadas
AI2 Adquieren y
Mantienen Software De aplicación
AI3 Adquieren y
Mantienen Infraestructura de Tecnología
AI4 Permiten
Operación y Usan AI5 Procuran Recursos TI
AI6 Manejan
Cambios
AI7 Instalan y
Acreditan Soluciones y Cambios
ENTREGA Y APOYO
La Entrega y el dominio de Apoyo enfocan
en los aspectos de entrega de la tecnología de
información. Esto cubre áreas como la ejecución de los usos dentro del
sistema TI y sus resultados, así como, los procesos de apoyo que permiten la
ejecución eficaz y eficiente de estos sistemas TI. Estos procesos de apoyo
incluyen cuestiones de seguridad y educación(entrenamiento). La mesa
siguiente cataloga los objetivos de control nivel altos para el dominio de
Apoyo y la Entrega.
DS1 Definen y Manejan Niveles de Servicio
DS1 Definen y Manejan Niveles de Servicio
DS2 Manejan Servicios de Tercero
DS3 Manejan
Funcionamiento y Capacidad
DS4 Aseguran Servicio Continuo
DS5 Aseguran
Seguridad de Sistemas
DS6 Identifican y
Asignan Gastos
DS7 Educan y
Entrenan a Usuarios
DS8 Manejan
Escritorio de Servicio e Incidentes
DS9 Manejan la
Configuración
DS10 Manejan
Problemas
DS11 Manejan Datos
DS12 Manejan el Ambiente Físico
DS13 Manejan
Operaciones
MONITOR Y EVALUACION
La Supervisión y el dominio de Evaluación tratan con la estrategia de una empresa en la evaluación de las necesidades de la empresa
y si realmente la corriente TI el sistema todavía encuentra los objetivos para
los cuales fue diseñado y los mandos necesarios de cumplir con exigencias
reguladoras. La supervisión también cubre la cuestión de una evaluación
independiente de la eficacia de sistema TI en su capacidad de encontrar
objetivos de negocio y los procesos de control de la empresa por interventores
internos y externos. La mesa siguiente cataloga los objetivos de control nivel
altos para la Supervisión del dominio.
ME1 Supervisan y
Evalúan Procesos de TI
ME2 Supervisan y
Evalúan Control Interno
ME3 Aseguran
Cumplimiento Regulador
ME4 Proporcionan
Gobernación TI
CONCLUCION
ITIL y COBIT son
metodologías que nos va a ayudar a que las cosas se puedan hacer de una forma
más eficiente, ya que lo que se propone es que se adopten ciertas métricas y
procedimientos que otros proveedores de IT adoptaron y que gracias a ellas son
catalogadas como mejores prácticas.
El hecho de
adoptar mejores prácticas implica que no tengamos que descubrir el hilo negro y
que si alguien sabe cómo hacer las cosas y explotar los recursos nos podemos
apoyar en el para que nosotros también podamos hacerlo. E mayor objetivo es que
todos lleguemos a un nivel de eficiencia que se traduzca en una buena
prestación de servicios.
BILIOGRAFIA
