4. DESARROLLO
4.3 COBIT y Gestión de la Resiliencia de Software
La manera más factible que se analizó para implementar unas prácticas y recomendaciones
de resiliencia de software es sobre el proceso de TM Gestión de la Tecnología, como se
indicó en el anterior apartado, debido a las relaciones en áreas de proceso que tuvo en cuenta
el CERT-RMM. De este modo, es importante que basado en el marco de gestión de TI que
siga la organización se tengan en cuenta las prácticas necesarias para llevar a cabo la gestión
de la resiliencia, y así poder asignar responsables a cada una de las prácticas propuestas.
Antes de establecer estas relaciones, se realizará una breve contextualización del marco de
control COBIT en su versión 5, pues en este marco tenemos una mayor convergencia entre
la gobernanza de TI, la gestión de TI, la gestión de riesgos, la gestión de la seguridad de la
información y la gestión de servicios de TI.
COBIT 5 define un marco para el gobierno y la gestión de las TI de la empresa, pero
también dentro de su familia de productos publica la implementación y una guía de
catalizadores de COBIT 5, en las que se discuten en detalle los catalizadores para el
gobierno y gestión.
El marco COBIT 5 [COBIT5] se construye sobre cinco principios básicos:
Principio 1. Satisfacer las Necesidades de las Partes Interesadas. Establece la
importancia de la creación de valor en las organizaciones, así como la relación entre
beneficios, optimización de riesgos y uso de recursos. Y es el aporte que da COBIT 5
57
a través de la definición de los procesos y catalizadores que permiten que se aporte
valor al negocio mediante TI.
Principio 2: Cubrir la Empresa Extremo-a-Extremo. COBIT 5 considera la
integración del gobierno y la gestión de TI en el gobierno corporativo, pues realiza el
cubrimiento de las funciones y procesos de la organización –no solo en la función de
TI, además propone los catalizadores a nivel de toda la empresa.
Principio 3: Aplicar un Marco de Referencia único integrado. La alineación de
COBIT con otros estándares y marcos de trabajo es muy importante, pues le da ese
aporte a las propuestas que establece como prácticas, y le da una visión integrada.
Principio 4: Hacer Posible un Enfoque Holístico.
Para mantener el enfoque
holístico, COBIT 5 define un conjunto de catalizadores (enablers) para apoyar la
implementación de un sistema de gobierno y gestión global para las TI de la
empresa. Estos catalizadores son aportes para la consecución de las metas de la
empresa, y son definidos en siete categorías (Principios, Políticas y Marcos de
Trabajo, Procesos, Estructuras Organizativas, Cultura, Ética y Comportamiento,
Información, Servicios, Infraestructuras y Aplicaciones, Personas, Habilidades y
Competencias).
Principio 5: Separar el Gobierno de la Gestión. Como se había indicado en el
estado del arte, es necesario entender la diferencia que hay entre gobierno y gestión,
pues cada una tiene diferentes metas, actividades y responsables. COBIT 5 establece:
o
Gobierno. “El Gobierno asegura que se evalúan las necesidades, condiciones
y opciones de las partes interesadas para determinar que se alcanzan las
metas corporativas equilibradas y acordadas; estableciendo la dirección a
través de la priorización y la toma de decisiones; y midiendo el rendimiento y
el cumplimiento respecto a la dirección y metas acordadas” [COBIT5].
58
El gobierno es responsabilidad del comité de dirección bajo el liderazgo del
presidente, aunque hay algunas responsabilidades que se pueden delegar
dependiendo de la complejidad de la organización.
o
Gestión. “La gestión planifica, construye, ejecuta y controla actividades
alineadas con la dirección establecida por el cuerpo de gobierno para alcanzar
las metas empresariales”. [COBIT5]
La gestión es responsabilidad de la dirección ejecutiva bajo el liderazgo del
Director General Ejecutivo (CEO).
El objeto de este trabajo no es el estudio al detalle de COBIT 5, sin embargo si es nuestro
objetivo basarnos en un marco que nos oriente en la aplicación de la gestión de la resiliencia
software dentro de un entorno de empresa, utilizaremos COBIT 5 como referente para
relacionar las metas corporativas que implica la resiliencia organizacional con las metas de
TI, y poderlo relacionar con los procesos, estos nos servirá de orientación para relacionar las
prácticas de resiliencia para cada tipo de software que se indicaron anteriormente.
La organización primero debería plantearse qué le motiva a establecer resiliencia
operacional y específicamente resiliencia de software en la organización. En nuestro caso
tomaremos que el gobierno y la gestión considera las siguientes preguntas: ¿He contemplado
todos los riesgos relacionados con TI? ¿Estoy ejecutando una operación de TI eficiente y
robusta? ¿Cómo es de crítica la TI para para la sostenibilidad de la empresa? ¿Qué pasaría si
la TI no estuviera disponible? Estas preguntas nos relacionarían con al menos tres de las
metas corporativas que se establece, sin embargo nos centraremos en una que es común y
que nos lleva a uno de los objetivos de la resiliencia operacional y específicamente la
relacionada con tecnología, “Continuidad y disponibilidad del servicio de negocio”, y esto
justificado que se busca garantizar la operación del servicio en condiciones de estrés o
interrupción.
En la Tabla 14 se encuentran las metas corporativas que relaciona COBIT. Se subrayó en
amarillo la que se relaciona con la “continuidad y disponibilidad del servicio de negocio”.
En rojo se subrayaron las metas relacionadas con TI asociadas a la meta corporativa de
nuestro interés.
59
Si analizamos estas metas, tienen una estrecha relación con el planteamiento inicial de la
resiliencia operacional hecha en CERT-RMM, y podrían ser mapeadas a la hora de
establecer la guía en la organización:
Alineamiento de TI y la estrategia de negocio (Secundario). Como se pudo ver,
concuerda con el CERT-RMM específicamente en el planteamiento de las metas
generales. Es necesaria la alineación de TI y negocio como punto de partida para el
establecimiento de la resiliencia operacional.
Riesgos de negocio relacionados con las TI gestionados (Primario). Es
fundamental tener en cuenta un marco de gestión de riesgos. También concuerda con
CERT-RMM.
Entrega de servicios de TI de acuerdo a los requisitos del negocio (Secundario).
La gestión de servicios se debe tener en cuenta para lograr esta meta corporativa, y
también concuerda con CERT-RMM.
Uso adecuado de aplicaciones, información y soluciones tecnológicas
(Secundario) Esta corresponde directamente a la gestión de TI, es decir que también
tiene concordancia con CERT-RMM.
Seguridad de la información, infraestructuras de procesamiento y aplicaciones
(Primario) La gestión de la seguridad es uno de los pilares del planteamiento de la
resiliencia operacional para CERT-RMM
60
Tabla 14. Mapeo entre las Metas Corporativas de COBIT 5 y las Metas Relacionadas
con las TI [COBIT5] Resaltado por Autor
1616 ‘P’ para principal, cuando hay una importante relación, es decir, las metas relacionadas con TI que son el pilar imprescindible para conseguir los objetivos de la empresa.
– ‘S’ para secundario, cuando todavía hay un vínculo fuerte, pero menos importante, es decir, las metas relacionadas con TI son un soporte secundario para los objetivos de la empresa.