2. ESTADO DEL ARTE
2.8 Resiliencia operacional
Antes de llegar al análisis de lo que es Resiliencia operacional, primero se debe definir el
concepto de Resiliencia. Hay diferentes definiciones en diversos campos, sin embargo
tomaremos la definición de WordNet: “Propiedad física de un material cuando puede volver
a su posición o forma original después de una deformación que no excede su límite
elástico”
5.
La definición de resiliencia considerada anteriormente, fue adaptada por el CERT (Computer
Emergency Response Team) del SEI (Software Engineering Institute) de Carnegie Mellon,
quienes definen la Resiliencia operacional “Resiliencia operacional es la propiedad
emergente de una organización que puede continuar llevando a cabo su misión después
de una interrupción que no excede su límite operacional”
6[CRMM10].
Es un hecho que las organizaciones cada vez tienen mayor complejidad, y se desarrollan en
ambientes complejos tanto a nivel de negocio como operativo. Dicha complejidad ha hecho
que se enfrenten a situaciones de estrés e incertidumbre que provocan interrupciones en la
operación efectiva de la organización. Este estrés puede ser producido por la masificación de
los avances tecnológicos y la tecno-dependencia de la compañía para hacer eficaces los
procesos de negocio y por tanto la complejidad que añade la tecnología a nivel de
vulnerabilidades y riesgos; también lo produce la evolución de las organizaciones a nivel de
proveedores, asociaciones, outsourcing, etc., crean nuevos ambientes de riesgo; así como la
globalización y expansión geográfica de las organizaciones que les obliga a considerar
nuevos riesgos y amenazas. [CRMM10]
5 Traducido por Autor. Original: “The physical property of a material when it can return to its original shape or position after deformation that does not exceed its elastic
limit” [wordnet.princeton.edu].
6 Traducido por Autor. Original: “Operational Resilience is the emergent property of an organization that can continue to carry out its mission after disruption that does
19
La importancia de considerar la resiliencia operacional en las organizaciones, como se puede
ver, es su aportación a la Gobernanza Corporativa, pues será una medida para garantizar que
se consiga la misión de la organización, manteniendo operativos los servicios en condiciones
degradadas, y este sería el fin de establecer un marco de Gestión de Resiliencia operacional.
A diferencia de los temas indicados anteriormente, no hay estándares definidos, pero si se
encontró un modelo realizado por el CERT del SEI, y es el Modelo de Gestión de Resiliencia
(CERT Resilience Management Model) CERT-RMM, que es definido como “una manera
innovadora y transformadora de abordar el reto de gestionar la resiliencia operacional en
ambientes complejos y con riesgos en evolución. Es el resultado de años de investigación
sobre las formas en que las organizaciones gestionan la seguridad y la supervivencia de los
activos que aseguran el éxito de la misión. Incorpora conceptos de una comunidad en
procesos de mejora establecidos que permite a las organizaciones madurar holísticamente sus
capacidades de seguridad, continuidad del negocio, y gestión de operaciones de TI y mejorar
la previsibilidad y éxito en las operaciones de sostenimiento cuando se produce una
interrupción.” [CRMM10]
7La gestión de la resiliencia operacional deberá considerar la complejidad de estos ambientes,
y como base se tendrá que considerar los riesgos que implican cada actividad. En el modelo
CERT-RMM consideran el concepto de “convergencia” como fundamental para la gestión de
la resiliencia operacional. Se define convergencia como la armonización de las actividades de
gestión de riesgo operacional que tienen objetivos y resultados similares. Dentro de las
actividades considera:
1.
Planeación y Gestión de la Seguridad,
2.
Gestión de la Continuidad del Negocio y Recuperación de desastres, y la
3.
Gestión de Operaciones y Entrega de Servicios de TI y
4.
Gestión de servicios de TI.
7 Traducido por Autor. Original: “is an innovative and transformative way to approach the challenge of managing operational resilience in complex, risk-evolving
environments. It is the result of years of research into the ways that organizations manage the security and survivability of the assets that ensure mission success. It incorporates concepts from an established process improvement community to allow organizations to holistically mature their security, business continuity, and IT operations management capabilities and improve predictability and success in sustaining operations whenever disruption occurs” [CRMM10]
20
Otras actividades de apoyo pueden involucrarse, como la gestión financiera, las
comunicaciones, gestión de recursos humanos y capacitación organizacional y
sensibilización. Ver Figura 9. [CRMM10].
Figura 9. Convergencia de las Actividades de la Gestión de Riesgo Operacional
[CRMM10]
CERT-RMM indica que las organizaciones han llegado a entender que estas tres áreas
involucran funciones con la misma meta, mejorar y sostener la resiliencia operacional. La
importancia de la convergencia es que cuando funciones y actividades llegan a compartir los
mismos objetivos, soluciones y competencias, se puede realizar un alcance común. También
se pueden eliminar actividades redundantes (y costos asociados), se puede establecer
colaboración entre actividades que tienen objetivos similares y que se hace un enfoque hacia
la misión. La convergencia afecta directamente el nivel de resiliencia operacional y afecta la
habilidad para cumplir la misión de la organización.
Esta convergencia de conceptos de Gestión de TI, Gestión de servicios de TI, Seguridad de la
Información y Continuidad del Negocio con la Resiliencia operacional nos da idea de lo que
quiere lograr a modo general para las organizaciones, y es establecer un soporte a los riesgos
comunes y alinear las prácticas de cada área con el fin de obtener el mayor beneficio para el
alcance de la misión de la organización ofreciendo los servicios no solo con las mejores
prácticas sino en cualquier situación, de manera óptima en funcionamiento normal, y de
manera productiva en condiciones de estrés o interrupción a través de la Gestión de la
Resiliencia operacional.
21
El modelo CERT-RMM está influenciado por diferentes bases de conocimiento y modelos,
además de códigos de mejores prácticas, marcos y estándares mencionados anteriormente
como ISO 27001, COBIT, ITIL, BS25999 y CMMI
8(Figura 10).
Figura 10. Influencias de CERT-RMM [CRMM10]
“La resiliencia operacional dirige la capacidad de la organización para adaptarse a los
riesgos que afectan sus capacidades operacionales básicas. Es una propiedad emergente de la
gestión de riesgos operacional eficaz y eficiente”. [CRMM10].
La Gestión de la Resiliencia operacional se encargará de la definición de procesos y prácticas
relacionadas que una organización utiliza para diseñar, desarrollar, implementar y controlar
las estrategias para proteger y mantener (por ejemplo, hacer operacionalmente resiliente) los
8 “Integración de modelos de madurez de capacidades o Capability maturity model integration (CMMI) es un modelo para la mejora y evaluación de procesos para el
desarrollo, mantenimiento y operación de sistemas de software.
Las mejores prácticas CMMI se publican en los documentos llamados modelos. En la actualidad hay tres áreas de interés cubiertas por los modelos de CMMI: Desarrollo, Adquisición y Servicios.
La versión actual de CMMI es la versión 1.3 la cual corresponde a CMMI-SVC, liberada el 1 de noviembre de 2010. Hay tres constelaciones de la versión 1.2 disponible:
CMMI para el Desarrollo (CMMI-DEV o CMMI for Development), Versión 1.2 fue liberado en agosto de 2006. En él se tratan procesos de desarrollo de productos y servicios.
CMMI para la adquisición (CMMI-ACQ o CMMI for Acquisition), Versión 1.2 fue liberado en noviembre de 2007. En él se tratan la gestión de la cadena de suministro, adquisición y contratación externa en los procesos del gobierno y la industria.
CMMI para servicios (CMMI-SVC o CMMI for Services), está diseñado para cubrir todas las actividades que requieren gestionar, establecer y entregar Servicios.”