Sistema integral de diagnóstico de la seguridad informática

Texto completo

(1)MISC-03-1-1. Sistema Integral de Diagnóstico de la Seguridad Informática. Ing. Roberto C. Arbeláez C. 200217369. Asesor: Ing. Hugo Sin T.. TESIS DE GRADO MAESTRÍA EN INGENIERÍA DE SISTEMAS Y COMPUTACIÓN DEPARTAMENTO DE INGENIERÍA DE SISTEMAS Y COMPUTACIÓN FACULTAD DE INGENIERÍA UNIVERSIDAD DE LOS ANDES BOGOTÁ, D.C., COLOMBIA 2003-2. 1.

(2) MISC-03-1-1. “A model is neither true nor false: It is more or less useful” Stafford Beer, Diagnosing the system for Organizations.. A Roberto y Myriam, mis padres, quienes con su apoyo hicieron este trabajo posible.. 2.

(3) MISC-03-1-1. i. Tabla de Contenidos. 0. Abstracto…..5 1. Introducción…..6 1.1 Procesos tradicionales de evaluación de la seguridad informática…..6 1.1.1 Establecimiento del Entorno de Seguridad…..6 1.1.2 Establecimiento de los Objetivos de Seguridad…..7 1.1.3 Establecimiento de los Requerimientos de Seguridad…..8 1.2 Falencias de la aproximación tradicional…..8 1.2.1 Los estándares tradicionales carecen de perspectiva sistémica…..8 1.2.2 Los estándares tradicionales carecen de perspectiva organizacional…..9 1.2.3 Los estándares tradicionales carecen de perspectiva estratégica…..9 1.2.4 Los estándares tradicionales se centran en aspectos operativos …..9 1.3 Una aproximación nueva al problema de la evaluación de la seguridad informática…..10 1.3.1 La perspectiva Sistémica…..10 1.3.2 La perspectiva Organizacional y Estratégica…..11 1.3.3 La perspectiva Operativa…..11 2. Marco teórico…..12 2.1 Perspectiva Sistémica…..12 2.1.1 El modelo de Sistema Viable…..13 2.1.1.1 Identificación del sistema y sus fronteras…..14 2.1.1.2 Identificación del sistema viable del que hace parte, y los sistemas viables que lo componen…..15 2.1.1.3 Verificación de la viabilidad de los sistemas…..16 2.1.1.4 Identificación de los sistemas de apoyo…..16 2.1.1.5 Análisis de la variedad del sistema…..16 2.1.1.6 Análisis de los Canales de comunicación y los Transductores del sistema…..20 2.1.1.7 Análisis de las oscilaciones del sistema…..22 2.1.1.8 Análisis de los sistemas de auditoria…..23 2.1.1.9 Análisis del sistema de gerencia…..24 2.1.1.10 Análisis del sistema de planeación estratégica…..25 2.1.1.11 Análisis del sistema de inteligencia…..26 2.1.2 Una adaptación del MSV: El Modelo de Sistema de Información Sostenible…..26 2.1.2.1 Inaplicabilidad del concepto de Viabilidad…..27 2.1.2.2 El concepto de sostenibilidad…..27 2.1.2.3 El Modelo de Sistema Sostenible…..28 2.1.2.4 El Sistema de Información Sostenible…..29 2.1.2.4.1 Subsistema sustentativo S1 – Sistema de cómputo…..30 2.1.2.4.2 Subsistema de amortiguación S2 – Sistema de seguridad informática…..30 2.1.2.4.3 Subsistema de auditoria S3* - Sistema de auditoria informática…..31 2.1.2.4.4 Subsistema de gerencia S3 - Sistema de gerencia informática…..31 2.1.2.4.5 Subsistema de planeación estratégica S4 – Sistema de planeación estratégica informática…..32 2.1.2.4.6 Subsistema de inteligencia S5 – Sistema de inteligencia informática…..32 2.1.2.4.7 Administración de la variedad del sistema de información…..33 2.1.2.4.8 Canales de comunicación y transductores…..33 2.2 Perspectiva Organizacional…..34 2.2.1 Balanced Score Card…..35 2.2.1.1 Metodología del BSC…..37 2.2.1.1.1 Clarificar y vincular objetivos y mediciones estratégicas…..37 2.2.1.1.2 Planear, definir metas y alinear iniciativas estratégicas…..38 2.2.1.1.3 Mejorar el aprendizaje y la retroalimentación estratégica…..39 2.2.2 El BSC como un sistema de diagnóstico de seguridad informática…..41 2.2.2.1 Perspectiva Financiera…..42 2.2.2.2 Perspectiva del Consumidor…..43 2.2.2.3. Perspectiva de procesos internos del negocio…..43 2.2.2.4 Perspectiva de aprendizaje y crecimiento…..45 2.2.2.5 Una perspectiva adicional: La perspectiva de responsabilidad social…..46 2.2.3 SIMEG e Índices de Gestión…..48 2.2.3.1 Atributos de una medición…..48 2.2.3.2 Indicadores e Índices de gestión…..49. 3.

(4) MISC-03-1-1. 2.2.3.3 Premisas para la definición de índices de gestión…..50 2.2.3.4 Tipos de indicadores de gestión…..50 2.2.3.6 SIMEG y el diagnóstico de un sistema de seguridad informática…..51 2.2.3.6.1 Un patrón de diseño para indicadores de gestión…..51 2.2.3.6.2 Un patrón de diseño para índices de gestión…..52 2.3 Perspectiva Operacional…..53 2.3.1 Estándares utilizados…..53 2.3.1.1 ISO/IEC 17799…..53 2.3.1.2 ISO/IEC 15408…..54 2.3.1.3 ISO/IEC TR 13335…..54 2.3.1.4 NIST SP 800-30…..55 2.4 La perspectiva integral…..56 3. El Sistema de Diagnóstico Integral de Seguridad Informática …..58 3.1 ¿Porqué es necesario un sistema para el diagnóstico integral de la seguridad informática? …..58 3.2 Descripción general del sistema…..60 3.2.1 Establecimiento del grupo de trabajo…..61 3.2.2 Metodología de evaluación Sistémica…..61 3.2.3 Metodología de evaluación organizacional…..62 3.2.4 Metodología de evaluación operativa…..62 3.3 Cuestionario de evaluación…..63 3.3.1 Indicadores Sistémicos…..63 3.3.2 Indicadores Organizacionales…..64 3.3.2.1 Administración de riesgos informáticos…..64 3.3.2.2 Reducción de gastos de operación…..64 3.3.2.3 Mejora en la utilización de recursos…..65 3.3.2.4 Relación con los usuarios…..65 3.3.2.5 Capacidades del sistema de seguridad…..65 3.3.2.6 Actualización del sistema de seguridad…..66 3.3.2.7 Aprendizaje…..66 3.3.2.8 Responsabilidad social…..66 3.3.3 Indicadores Operativos…..67 3.3.3.1 Políticas de Seguridad…..67 3.3.3.2 Estructura organizacional…..67 3.3.3.3 Clasificación de recursos…..68 3.3.3.4 Seguridad humana…..68 3.3.3.5 Seguridad física…..68 3.3.3.6 Administración de la seguridad…..70 3.3.3.7 Control de acceso…..71 3.3.3.8 Desarrollo y mantenimiento de sistemas…..72 3.3.3.9 Administración de la continuidad del negocio…..73 3.3.3.10 Cumplimiento del marco legal y de las políticas organizacionales…..74 3.3.3.11 Auditoria de seguridad informática …..75 4. Análisis de datos…..76 4.1 Análisis de Valor, Rango e Interpretación…..76 4.2 Generación de Recomendaciones …..77 4.3 Incorporación de los procesos de medición al ciclo de vida del sistema de información…..77 5. Conclusiones…..78 6. Anexos: Formatos de Indicadores de Gestión y Recomendaciones…..80 6.1 Formato de Indicadores de Gestión Sistémicos…..81 6.2 Formato de Indicadores de Gestión Organizacionales…..86 6.3 Formato de Indicadores de Gestión Operacionales…..107 7. Bibliografía…..180. 4.

(5) MISC-03-1-1. 0. Abstracto A partir de modelos de diagnóstico sistémico y organizacional (específicamente el Viable System Model1 y el Balanced Score Card), y en conjunto con varios estándares de seguridad informática (el ISO / IEC 17799, el ISO / IEC 15408, El ISO / IEC TR 13335 y el NIST SP 800-30), se desarrolla un sistema de diagnóstico de la Seguridad Informática basado en indicadores de gestión, desde una perspectiva multidisciplinaria que permite hacer una evaluación integral y completa del estado de la Seguridad Informática en una organización. 1. Modelo de Sistema Viable.. 5.

(6) MISC-03-1-1. 1. Introducción. Tradicionalmente, la seguridad de un sistema de información ha sido tratada como un atributo de dicho sistema. Este atributo describe de manera general las fortalezas y/o debilidades que este tiene para proteger sus recursos de amenazas y vulnerabilidades, así como el riesgo de que estas sean explotadas de manera exitosa y el impacto que esto tendría en la organización2.. 1.1 Procesos tradicionales de evaluación de la seguridad informática. Los procesos de evaluación de la seguridad informática son, en términos generales equivalentes entre los diversos estándares. Sin embargo, para propósitos de establecer lo que es un proceso tradicional de evaluación de la seguridad informática podemos adoptar una perspectiva reduccionista, descomponiendo dicho proceso en los siguientes subprocesos3: • • •. Establecimiento del Entorno de Seguridad Establecimiento de los Objetivos de Seguridad Establecimiento de los Requerimientos de Seguridad. 1.1.1 Establecimiento del Entorno de Seguridad. El entorno de seguridad debe describir el medio ambiente en el que se desempeñan tanto el sistema de información, como el sistema de seguridad que lo protege. Para establecer el entorno de seguridad, se deben analizar las políticas de seguridad organizacionales4 y la infraestructura existente (instalaciones, hardware, software, usuarios, logística, información, conectividad, etc.). Al final de este proceso se debe obtener una descripción de las reglas y políticas de seguridad relevantes para el sistema de información, así como una descripción de los recursos del sistema, de las amenazas a la seguridad que los afectan, y de los recursos que necesitan protección. Las políticas de seguridad organizacionales deben describir la normatividad que adopta la organización para regir el funcionamiento de su sistema de información, y para administrar 2. NIST SP 800-30 Figure 1 - Risk Assessment Methodology; ISO/IEC 15408-1 Figure 4.1 – Security concepts and relationships 3 ISO/IEC 15408-1 4.3.1 Security Environment, 4.3.2 Security Objectives, 4.3.3 Security Requirements. 4 En caso de que las políticas de seguridad no existan, se hace necesario como primer paso, la creación de dichas políticas.. 6.

(7) MISC-03-1-1. la seguridad de su información5 y la infraestructura asociada, teniendo en cuenta la normatividad legal del país que la alberga6. La infraestructura se define realizando un inventario completo de los recursos del sistema y clasificándolos de acuerdo a diferentes categorías7. Para cada uno de las categorías, se debe identificar las amenazas que la afectan8 y establecer para cada recurso si es vulnerable a la amenaza9 y si existe algún tipo de control de seguridad que lo proteja10, pudiéndose de esta manera establecer cuáles recursos necesitan protección y cuáles no.. 1.1.2 Establecimiento de los Objetivos de Seguridad. Una vez se ha definido y analizado cuál es el entorno en el cual se desempeñan tanto el sistema de información como su sistema de seguridad asociado, se deben conocer las limitaciones del sistema de seguridad, y como consecuencia directa de estas limitaciones, las vulnerabilidades que presenta el sistema de información, de tal forma que se puedan establecer los objetivos que se deben lograr para asegurar el sistema, para satisfacer los requerimientos impuestos por las políticas de seguridad. Se hace evidente entonces que los objetivos de seguridad deben buscar contrarrestar las amenazas al sistema, o solucionar problemáticas generadas por las políticas de seguridad. Es muy importante en la definición de objetivos tener en cuenta los factores económicos, y estos deben reflejar las decisiones de aceptar o no ciertos riesgos al sistema11 en caso de que los costos de protegerse ante un riesgo determinado sean muy altos con respecto al impacto que tendría que dicho riesgo se materialice en un ataque exitoso12.. 5. ISO/IEC 17799 3. Security Policy ISO/IEC 17799 3.1.1 Information Security Policy Document 7 Las categorías varían un poco de acuerdo al estándar consultado, pero de ISO/IEC 17799 5.1.1 Inventory of Assets, ISO/IEC 15408-1 4.3.1 Security Environment, NIST SP 800-30 3.1 System Characterization, AS/NZS 4444.2 4.3 Asset classification and control se puede establecer un listado común, que comprende Hardware, Software, Información, Personas, Logística e Interfaces y conectividad. 8 NIST SP 800-30 3.2.1 Threat Source Identification 9 NIST SP 800-30 3.2.2 Vulnerability Analysis 10 NIST SP 800-30 3.2.3 Control Analysis 11 NIST SP 800-30 4.5 Residual Risk 12 Por ejemplo, una organización puede determinar que existe un riesgo muy pequeño de cortes en el fluido eléctrico, y que el impacto en el desempeño de la organización es bajo. Este riesgo se podría contrarrestar comprando una planta generadora de electricidad, pero debido al alto costo de éstas, y al bajo impacto que tiene un corte del fluido eléctrico, la organización puede determinar que es mejor asumir el riesgo, y no comprar la planta generadora de electricidad. 6. 7.

(8) MISC-03-1-1. 1.1.3 Establecimiento de los Requerimientos de Seguridad. Una vez se han logrado definir los objetivos de seguridad, a partir de ellos se puede obtener un conjunto de requerimientos de seguridad, que si son satisfechos, deben cumplir con los objetivos de seguridad definidos para el sistema. Obtener requerimientos a partir de objetivos es una tarea de extrema importancia, en cuyos resultados se fundamenta el proceso de ingeniería de seguridad que debe ser llevado a cabo posteriormente, garantizando que el diseño de una solución que realmente satisfaga la problemática de seguridad del sistema de información sea posible. El obtener requerimientos basándose en los objetivos de seguridad requiere entonces de un conocimiento profundo de la organización, sus políticas de seguridad, del sistema de información, de su sistema de seguridad, y de los recursos con que se cuenta. Para garantizar que los requerimientos describan de manera adecuada las necesidades de seguridad del sistema de información, se deben agrupar en requerimientos funcionales y requerimientos de aseguramiento. Los requerimientos funcionales describen requerimientos que se deben satisfacer a través de funciones que de manera específica soporten la seguridad informática, mientras que los requerimientos de aseguramiento especifican el nivel de seguridad asociado a dichas funciones, y describen niveles de seguridad que se deben obtener en el sistema13.. 1.2 Falencias de la aproximación tradicional. Una de las tesis que propone este documento es el hecho de que la aproximación tradicional al problema de la evaluación de la seguridad de un sistema de información es limitada e insuficiente. Esto se sustenta en las siguientes razones:. 1.2.1 Los estándares tradicionales carecen de perspectiva sistémica. Los estándares tradicionales consideran la seguridad como un atributo más de un sistema de información, cuando en realidad la seguridad debe ser dada por uno de sus componentes: 13. Por ejemplo, un requerimiento funcional puede ser proteger la confidencialidad de la información sensible, controlando el acceso a la información a través de contraseñas para que solo puedan ser accesados por sus dueños. Un requerimiento de aseguramiento asociado a dicha funcionalidad, puede ser que la contraseña utilizada sea de al menos 8 caracteres de longitud, y que incluya mayúsculas, minúsculas, números y otro tipo de caracteres, para que la funcionalidad dada por la encripción con contraseña provea un nivel adecuado de seguridad.. 8.

(9) MISC-03-1-1. un sistema de seguridad informática14 independiente y autónomo de otros componentes del sistema de información, cuya tarea primordial es la de proteger al sistema de información y a todos sus componentes15.. 1.2.2 Los estándares tradicionales carecen de perspectiva organizacional En los estándares tradicionales, se omite casi por completo16 el hecho de que el sistema de cómputo y el sistema de seguridad informática hacen parte de un sistema de información, y que este a su vez hace parte de una organización, y como tales deben estar alineados con las metas, los objetivos y las políticas organizacionales; que como parte de la organización, reciben un presupuesto y deben mostrar resultados (retorno respecto a la inversión), deben cumplir con estándares de calidad organizacionales, promover y cuidar la imagen organizacional, deben adaptarse al entorno para seguir sirviendo de manera eficiente a la organización y deben mantener ciertos niveles de desempeño y productividad.. 1.2.3 Los estándares tradicionales carecen de perspectiva estratégica. Aunque la mayoría de estándares tradicionales especifican que la seguridad debe ser evaluada y reajustada periódicamente para adaptarse a nuevos amenazas y a nuevos riesgos que aparezcan en el entorno17, este proceso se realiza de manera reactiva, careciendo por completo de una perspectiva estratégica que permita anticiparse al entorno en vez de reaccionar a él.. 1.2.4 Los estándares tradicionales se centran en aspectos operativos. Los estándares se centran en aspectos operativos, siendo aplicables únicamente a bajo nivel en la organización, sin que la gerencia esté en capacidad real de involucrarse en los proceso 14. El concepto de sistema de seguridad informática es primordial en el desarrollo de este trabajo, su carácter sistémico es la base sobre la cual se elabora todo el marco teórico que da sustento a los preceptos que busca establecer esta tesis. 15 El concepto de que la seguridad de un sistema de información este dado por un sistema de seguridad informática, independiente del sistema de cómputo puede parecer a primera vista dudoso. Sin embargo, no se está aseverando que el sistema de cómputo ni el sistema de seguridad sean sistemas viables, según la definición de Stafford Beer en su Modelo de Sistema Viable. Simplemente se está aseverando que ambos sistemas son componentes diferentes a un mismo nivel de recursión dentro de un sistema más grande (el sistema de información) que los contiene. 16 El tema es mencionado de manera tangencial en ISO/IEC 17799 3. Security Policy, 4. Organizational Security y en ISO/IEC TR 13335-2 8.Organizational aspects of IT security pero de manera muy superficial y centrándose en el área de TI, sin incluír los aspectos organizacionales ya mencionados. 17 ISO/IEC 15408-1 4.6 Assurance Maintenance; ISO/IEC 17799 3.1.2 Review and Evaluation; ISO/IEC TR 13335-2 16.1 Maintenance, NIST SP 800-30 5. Evaluation and Assessment. 9.

(10) MISC-03-1-1. de optimización del sistema de información y del sistema de seguridad informática, ni de recibir retroalimentación directa de los resultados de dicho proceso, ni de cuantificar estos resultados e incorporarlos, por ejemplo, al reporte financiero de la organización.. 1.3 Una aproximación nueva al problema de la evaluación de la seguridad informática. Habiendo enumerado las limitaciones de los estándares de seguridad existentes, y teniendo claros los aspectos en los cuales dichos estándares son insuficientes para llevar a cabo un proceso adecuado de optimización organizacional (en lo que a la seguridad del sistema de información se refiere), se hace necesario proponer una nueva aproximación a dicha problemática, que cubra las faltantes dejadas por los estándares tradicionales de seguridad informática. Se hace necesario entonces, abordar el problema desde tres perspectivas diferentes: • • •. La perspectiva Sistémica La perspectiva Organizacional y Estratégica La perspectiva Operativa. 1.3.1 La perspectiva Sistémica. La seguridad informática para que sea efectiva, debe dejar de ser tratada como un atributo asociado a un sistema de información; la seguridad debe dejar de ser provista de manera descentralizada por los diversos componentes del sistema de información, para ser provista por un sistema de seguridad centralizado, pensado con el único propósito de proveer seguridad para todo el sistema de información. El sistema de seguridad informática, como todo sistema, tiene un propósito18 (que es proteger de manera integral a todos los componentes del sistema de información de la organización), y hace parte de un conjunto de componentes19 del sistema, entre los cuales se pueden mencionar componentes operativos20, componentes reguladores21, componente de control22, componentes de 18. Beer, Stafford. Diagnosing the system for organizations. pg.8, pg.13. El sistema de seguridad no es un sistema viable per se ya que no produce a la organización, sino que busca estabilizar el ambiente interno del sistema que lo contiene, es decir, ayuda a la homeóstasis del sistema. Sin embargo, es un sistema independiente. 19 A pesar de que el sistema de seguridad no es un sistema viable (ya que no produce a la organización), debe contener todos los componentes de un sistema viable para poder lograr su propósito de manera eficiente. Este concepto es introducido en este trabajo como una evolución del MSV de Beer, y es denominado el “Modelo de Sistema de Seguridad Informática” (Ver marco teórico). 20 Beer, Stafford. Diagnosing the system for organizations. Pg. 19,20. Componentes de producción (S1). Esta noción será usada de manera muy amplia para describir los componentes operativos del sistema de seguridad. 21 Beer, Stafford. Diagnosing the system for organizations. Pg. 41, 66-68, componentes reguladores o de amortiguación (S2). 22 Beer, Stafford. Diagnosing the system for organizations. Pg. 86-89, componente de control (S3).. 10.

(11) MISC-03-1-1. auditoria23, componente de planeación estratégica24 y componente de inteligencia 25. Estos componentes tienen una dinámica interna, e interactúan con su entorno, permitiendo que el sistema funcione de manera adecuada en el presente, replanteándose y repensándose continuamente para que siga funcionando de manera adecuada en el futuro.. 1.3.2 La perspectiva Organizacional y Estratégica. El sistema de seguridad informática hace parte de una organización con objetivos, visión y estrategia. Estos objetivos, esta visión, se dan desde 5 perspectivas diferentes26: Financiera, del Cliente, de Procesos Internos del Negocio, de Crecimiento y Aprendizaje y de Responsabilidad Social. Una vez identificados los objetivos y la visión de la organización, se define una estrategia27 que debe ser seguida para garantizar el logro de los objetivos, y que debe ir adaptándose28 a los cambios en el entorno. Debido a ello, se debe hacer que el sistema de seguridad informática se alinee con los objetivos organizacionales en cada una de las diferentes perspectivas, adoptando las medidas locales que promuevan la consecución de las medidas globales de la organización29.. 1.3.3 La perspectiva Operativa. La perspectiva operativa es tratada de manera adecuada por los estándares tradicionales de seguridad informática. En ellos se describen estrategias y procedimientos para adecuar el sistema de seguridad a los requerimientos impuestos por las políticas de seguridad de la organización, por su sistema de información y sus componentes, y por los riesgos existentes en su entorno. Esta optimización se realiza de manera estructurada y metodológica, haciendo que dichos estándares sean adecuados para ser aplicados en la mejora de los procesos operativos del sistema de seguridad, del sistema de información de la organización.. 23. Beer, Stafford. Diagnosing the system for organizations. Pg. 82-84, componente de auditoría (S3*). Beer, Stafford. Diagnosing the system for organizations, Pg. 111-120 Componente de planeación estratégica (S4). 25 Beer, Stafford. Diagnosing the system for organizations, Pg . 124-128 Componente de inteligencia(S5). 26 Kaplan, Robert. Norton, David. The Balanced Scorecard, Pg. 8, 25; Serna, Humberto. Índices de Gestión. Pg. 5. 27 Kaplan, Robert. Norton, David. The Balanced Scorecard. Pg. 13, 14 28 Kaplan, Robert. Norton, David. The Balanced Scorecard. Pg. 15 29 Kaplan, Robert. Norton, David. The Balanced Scorecard. Pg. 13 24. 11.

(12) MISC-03-1-1. 2. Marco teórico. El marco teórico establece un marco conceptual de referencia, en el que se elaboran los conceptos sobre los que se fundamentan los desarrollos de este documento, desde las perspectivas sistémica, organizacional y operativa.. 2.1 Perspectiva Sistémica. Un sistema de información, antes que cualquier otra cosa, es un sistema. Y existen ciertas reglas que definen lo que es un sistema: Todo sistema de información tiene un propósito (que puede ser procesar la información de la organización, dar soporte informático a la gestión organizacional, proveer canales de comunicaciones, entre muchos otros), y unos componentes30 entre los cuales se pueden mencionar componentes operativos31, componentes reguladores32, componente de control33, componentes de auditoria34, componente de planeación estratégica35 y componente de inteligencia36. Para que un sistema pueda funcionar de manera adecuada, necesita ser completo (tener todos los componentes) y que estos puedan interactuar entre sí de manera adecuada. Un ejemplo de un sistema es el cuerpo humano. El cuerpo humano tiene un propósito (nacer, crecer, reproducirse y morir), tiene todos los componentes sistémicos necesarios (los subsistemas digestivo, nervioso, circulatorio, respiratorio, endocrino etc.), y estos pueden interactuar entre sí de manera adecuada, para que el sistema funcione. Si uno de los subsistemas deja de funcionar, el cuerpo como sistema, deja de funcionar. Si los subsistemas no pueden interactuar entre sí, el cuerpo como sistema, deja de funcionar. Un sistema de información también es un sistema. Debe tener un propósito. Y debe tener todos los componentes necesarios para funcionar adecuadamente. Y estos subsistemas deben tener una dinámica interna, e interactuar con el entorno, permitiendo que el sistema 30. A pesar de que el sistema de información no es un sistema viable (ya que no produce a la organización), debe contener todos los componentes de un sistema viable para poder lograr su propósito de manera eficiente. Este concepto es introducido en este trabajo como una evolución del MSV de Beer, y es denominado el “Modelo de Sistema de Información Sostenible (SIS)”. 31 Beer, Stafford. Diagnosing the system for organizations. Pg. 19,20. Componentes de producción (S1). Esta noción será usada de manera muy amplia para describir los componentes operativos del sistema de seguridad. 32 Beer, Stafford. Diagnosing the system for organizations. Pg. 41, 66-68, componentes reguladores o de amortiguación (S2). 33 Beer, Stafford. Diagnosing the system for organizations. Pg. 86-89, componente de control (S3). 34 Beer, Stafford. Diagnosing the system for organizations. Pg. 82-84, componente de auditoria (S3*). 35 Beer, Stafford. Diagnosing the system for organizations, Pg. 111-120, componente de planeación estratégica (S4). 36 Beer, Stafford. Diagnosing the system for organizations, Pg . 124-128, componente de inteligencia(S5).. 12.

(13) MISC-03-1-1. funcione de manera adecuada en el presente, replanteándose y repensándose continuamente para que siga funcionando de manera adecuada en el futuro. El análisis sistémico permite diagnosticar si un sistema cumple todos los requisitos para seguir siendo un sistema, para sobrevivir; la perspectiva sistémica es desarrollada, basándose en el modelo de sistema viable (MSV) de Stafford Beer.. 2.1.1 El modelo de Sistema Viable. El modelo de sistema viable (MSV) es un modelo desarrollado por Stafford Beer en 1985 en su libro “Diagnosing the System for Organizations”37. En su libro, Beer desarrolla una metodología de diagnóstico de sistemas organizacionales, basada en la comparación de la organización con un modelo abstracto de sistema organizacional, que Beer considera “viable” porque cumple con ciertos requisitos específicos. 37. Beer, Stafford. Diagnosing the system for organizations, John Wiley & Sons, Chichester, 1985. 13.

(14) MISC-03-1-1. El éxito de una organización es posible únicamente si la organización es viable en su entorno. Luego, si se compara una organización con el MSV, y la organización se acoge a los preceptos definidos en el MSV, se puede decir que la organización es “viable”. El hecho de que una organización sea “viable”, no implica que de manera automática se pueda garantizar su éxito; pero si una organización no es viable, está destinada a fracasar, por que no está en condiciones de sobrevivir. Luego, cumplir con los requisitos de “viabilidad” del MSV es un buen indicador de la coherencia sistémica de una organización. Para el MSV, un sistema viable es un sistema que sea capaz de sobrevivir en un entorno definido, que tenga identidad propia, que pertenezca a un sistema viable más grande en el que está contenido, y que sea recursivo. Para establecer si un sistema es viable o no, se debe realizar el siguiente proceso:. 2.1.1.1 Identificación del sistema y sus fronteras. Es muy importante identificar sin ambigüedades el sistema que se desea estudiar. Según Beer, “Al usar el MSV, es importante primero que todo determinar de manera precisa cuál es la organización a modelar, y especificar sus fronteras”.38 Las fronteras organizacionales no siempre son claras y tienen la particularidad que están sujetas a cambios a medida que la organización evoluciona en el tiempo;39 sin embargo, debido a que el sistema tiene una identidad establecida, podemos apoyarnos en este concepto para establecer de manera definida sus límites. Pero el sistema no existe en tan solo una dimensión. Una organización puede hacer parte del aparato productivo de una nación, y ser identificada y sus fronteras definidas desde esta perspectiva. Pero también puede ser vista desde una perspectiva internacional, donde puede ser identificada de manera diferente, y tener fronteras mucho más amplias y difusas. Y podría ser vista desde una perspectiva social, cultural, militar, etc. Según Beer, “solamente una apreciación apropiada de la dimensionalidad permite una determinación útil de las fronteras sistémicas”.40. 38. Beer, Stafford. Diagnosing the system for organizations, Pg. 2. Beer, Stafford. Diagnosing the system for organizations, Pg. 2 40 Beer, Stafford. Diagnosing the system for organizations, Pg. 7 39. 14.

(15) MISC-03-1-1. 2.1.1.2 Identificación del sistema viable del que hace parte, y los sistemas viables que lo componen. Uno de los postulados principales de Beer es que los sistemas viables siempre son autoreferentes41, es decir, se pueden explicar en términos de sí mismos, son recursivos. Un sistema viable siempre hace parte de un sistema viable más grande que lo contiene, y a su vez está compuesto por sistemas viables más pequeños, a los que contiene. Según Beer, cuando se quiere estudiar una organización usando el MSV, “el mejor plan es considerar un trío de sistemas viables en un tiempo determinado: La organización que debemos estudiar, aquella en la que esta contenida y el conjunto de organizaciones contenidas en ella”.42 Es importante recordar que solamente deben ser tenidos en cuenta los sistemas más pequeños contenidos en la organización a estudiar que cumplen con los postulados de viabilidad (capacidad de supervivencia, identidad, pertenencia, recursividad), es decir, los subsistemas viables que componen el sistema que se desea estudiar. Estos sistemas tienen la particularidad de que son los que “producen” a la empresa, los que generan el producto o servicio que la empresa vende. Estos sistemas productivos son los denominados sistemas S1 en el MSV.. 41 42. Beer, Stafford. Diagnosing the system for organizations, Pg. 4 Beer, Stafford. Diagnosing the system for organizations, Pg. 4. 15.

(16) MISC-03-1-1. 2.1.1.3 Verificación de la viabilidad de los sistemas. Es importante asegurarse de que la organización a estudiar sea realmente un sistema viable. Según Beer, “Si la organización es un sistema viable, deberá contener sistemas viables en un nivel de recursión mas bajo, que la produzcan”.43 Asimismo, un sistema viable deberá cumplir con los preceptos de viabilidad ya mencionados. Es de vital importancia asegurarse de identificar correctamente los sistemas viables, debido a que “la mayoría de las inferencias incorrectas (y de los diagnósticos y recomendaciones inoportunos) realizados al aplicar el MSV se derivan de nominar actividades que no son por sí mismas sistemas viables, como si lo fueran”44.. 2.1.1.4 Identificación de los sistemas de apoyo. No todos los sistemas que componen un sistema viable son sistemas viables. Algunos sistemas no “producen”. Sin embargo, cumplen con tareas necesarias para que el sistema funcione de manera adecuada, para que mantenga un estado de homeóstasis (equilibrio) que le permita sobrevivir. Podríamos entonces hablar de que todo sistema viable está compuesto por subsistemas viables y subsistemas de apoyo, donde los subsistemas viables. 16.

(17) MISC-03-1-1. Pero la variedad del entorno no es necesariamente la que le es posible o rentable ofrecer a los subsistemas productivos de una organización. En el entorno pueden haber un gran número de clientes, con gustos y tallas que exhiben una variedad casi ilimitada, pero usualmente las organizaciones deciden no producir sino ciertos modelos en un rango limitado de tallas y con una variedad pequeña de colores, que son los mas pedidos y por tanto las más rentables de producir, por lo que se puede aseverar que los subsistemas productivos de la organización siempre tienen una menor variedad que el entorno. Pero las relaciones de variedad no se dan solo entre los componentes productivos y el entorno, también se dan entre los subsistemas de la organización, y la gerencia. El funcionamiento de los subsistemas de la organización puede ser manejado a través de la manipulación de muchas variables, que la gerencia no está en capacidad o no tiene el tiempo de manejar. Según Beer, “la alta gerencia es en principio incapaz de manejar la variedad de cualquiera (mucho menos de todos) los sistemas viables subsidiarios que lo constituyen”48. Luego, la gerencia, aunque tiene el poder de intervenir directamente sobre el funcionamiento de los subsistemas de la organización, no está en capacidad de manejar toda la carga de trabajo que implica controlar al detalle todas las variables de todos los subsistemas bajo su control porque tiene una menor variedad que los sistemas que administra49 por lo que debe abstenerse de hacerlo. Según Beer, siempre se cumple que “la variedad del entorno excede en gran manera la de la operación que lo sirve o lo explota, y esta (la variedad de la operación) a su vez excede en gran manera la variedad de la gerencia que la regula o controla”.50 Es algo inherente a las organizaciones, e inevitable. Sin embargo, un sistema viable debe manejar de manera adecuada el desbalance de variedad, para garantizar su supervivencia. Para Beer, “la alta variedad debe ser…atenuada al número de posibles estados que la entidad que los recibe puede manejar”51. Esto se hace diseñando atenuadores de variedad. Pero, ¿cómo se diseñan los atenuadores de variedad, por ejemplo, para atenuar la variedad entre los subsistemas productivos y el entorno? Una respuesta podría ser con investigación de mercados”.52 La investigación de mercados permite establecer cuales son los productos más rentables de producir, y de esa manera atenúa la variedad del entorno, haciendo posible que los subsistemas de producción 48. Beer, Stafford. Diagnosing the system for organizations, Pg. 37 Beer, Stafford. Diagnosing the system for organizations. “La prerrogativa (de la alta gerencia) de intervenir indiscriminadamente no tiene variedad requerida, no pude ser realizada de manera competente… ejercitar la autoridad que confiere un rango superior es un amplificador de la autoridad indudable de la alta gerencia, y un atenuador de la variedad propia de la criatura subordinada, pero la homeóstasis que resulta es momentánea y por ello, incompetente”. Pg. 38 50 Beer, Stafford. Diagnosing the system for organizations. Pg. 22 51 Beer, Stafford. Diagnosing the system for organizations. Pg. 23 52 Beer, Stafford. Diagnosing the system for organizations, Pg. 23,24 49. 17.

(18) MISC-03-1-1. puedan ser eficientes; para Beer “la idea es reducir las expresiones imprácticas y no viables económicamente de la demanda, a un rango que pueda ser manejado por producción”.53 Luego, un atenuador de variedad reduce la variedad entre un sistema con mayor variedad y uno con menor variedad.. Pero que pasa si el problema es que el sistema con menor variedad no está en capacidad de manejar la variedad del sistema con mayor variedad? Si, por ejemplo, los estudios de mercado dicen que es necesario producir artículos en 10 colores diferentes para ser competitivos y los subsistemas de producción solo están en capacidad de producir 5 colores? Cuando “un atenuador ha reducido la variedad por debajo del umbral de respuesta requerido, decimos que el sistema no exhibe variedad requerida”,54 en este caso, los subsistemas de producción no exhiben la variedad requerida por el entorno. Y ante esto, “el recurso más obvio es reducir el nivel de atenuación”.55 Para lograrlo, se deben diseñar amplificadores de variedad. “Los amplificadores de variedad son usados para restaurar la variedad requerida, y de esta manera crear 53. Beer, Stafford. Diagnosing the system for organizations, Pg. 25 Beer, Stafford. Diagnosing the system for organizations. Pg. 26 55 Beer, Stafford. Diagnosing the system for organizations, Pg. 26 54. 18.

(19) MISC-03-1-1. condiciones para la regulación homeostática”56; los amplificadores de variedad aumentan la variedad de un sistema, de manera que “la baja variedad es mejorada o amplificada al numero de posibles estados que la entidad que la recibe necesita si se espera que esta sea regulada”.57. La solución en el caso del ejemplo de los subsistemas de producción que no exhiben la variedad de colores requerida por el mercado es aumentar su variedad, es decir, aumentar la gama de colores de sus productos para satisfacer lo que requieren sus clientes. En el caso de desbalances similares entre subsistemas y la gerencia, en los que la gerencia no presenta la variedad requerida, se pueden implementar mecanismos de regulación,58 que actúan como amplificadores de la variedad gerencial. De esta manera, todos los posibles cursos de acción que los subsistemas pueden adoptar son limitados a tan solo unos cuantos, por los mecanismos de regulación de la gerencia, reduciéndose la variedad que exhiben los subsistemas a niveles que esta pueda manejar. 56. Beer, Stafford. Diagnosing the system for organizations, Pg.28 Beer, Stafford. Diagnosing the system for organizations, Pg. 27 58 Beer, Stafford. Diagnosing the system for organizations. “La transmisión de planes, programas y procedimientos de la gerencia al círculo operacional deben ser vistos como un acto de regulación”. Pg. 41; “La regulación amplifica la variedad gerencial…esta regulación también atenúa la variedad operacional”. Pg. 41 57. 19.

(20) MISC-03-1-1. Como conclusión lógica, se puede enunciar que las variedades entre los componentes de la organización deben ser equivalentes59 para que el sistema pueda alcanzar la homeóstasis.60 Esta es la única forma de que se pueda garantizar su viabilidad.61 Y para lograrlo se deben analizar los desbalances de variedad entre el entorno, los subsistemas de producción y la gerencia, y diseñar atenuadores y amplificadores de variedad (esta tarea es conocida como “ingeniería de variedad”) en donde sea necesario para garantizar que ningún componente reciba más variedad de la que sea capaz de manejar de manera eficiente.. 2.1.1.6 Análisis de los Canales de comunicación y los Transductores del sistema. Es importante dentro del contexto del MSV, diferenciar entre datos y variedad. Según Beer, “los datos son los posibles estados distinguibles de un sistema, pero son generados por/a través de clasificaciones, categorías, definiciones…Estas son las que determinan la variedad, y está en nuestro poder diseñarlas”62 La variedad está dada, entonces, por clasificaciones que son diseñadas por personas. Las clasificaciones pueden corresponder a materiales, a sabores, a precios, a tallas, a colores, etc. Los datos son información relacionada con dicha variedad (por ejemplo, cuántas prendas de color rojo, talla 8 se produjeron este mes). Los datos son los que se transmiten entre los diferentes subsistemas, y entre ellos y el entorno, no la variedad. Estos datos tienen que ser transmitidos de alguna manera. Según Beer, cuando se implementan actividades para balancear la variedad, “la pregunta no (solamente) es si las actividades generan variedad requerida…sino si existe capacidad de canal para los flujos de datos involucrados”.63 Para ilustrar este punto, sigamos con el ejemplo de la variedad de colores de los artículos que produce una organización: Si el subsistema de producción genera la variedad requerida por el entorno, ampliando la gama de colores de sus productos de 5 a 10 colores diferentes, y su canal de comunicaciones con el entorno es un catálogo de productos que se le envía a sus clientes, ¿será posible que a través de dicho canal se le pueda comunicar a los clientes 59. Beer, Stafford. Diagnosing the system for organizations. “No deberemos encontrarnos contando el número de posibles estados (dado por la varianza), sino buscando garantías de que las variedades contrapuestas sean a grosso modo iguales”. Pg. 29; “Debemos encontrarnos satisfechos con que a medida que la interacción dinámica entre entidades se desenvuelva, hayamos hecho previsiones para que ninguna entidad vaya a ser ahogada por la proliferación de la variedad de otra entidad”. Pg. 29 “Las variedades gerenciales, operacionales y de entorno que se difunden a través de un sistema institucional tienden a igualarse y deben ser diseñadas para que lo puedan hacer”. Pg. 30 60 Beer, Stafford. Diagnosing the system for organizations. “Estamos buscando el balance a través de la variedad requerida”. Pg. 29; “La ley de la variedad requerida…solo la variedad puede absorber variedad”. Pg. 26 61 Beer, Stafford. Diagnosing the system for organizations. “La esencia de la viabilidad es…percibir los reguladores homeostáticos que no han salido a la superficie, diseñarlos adecuadamente y permitirles absorber la variedad de unas y otras entidades”. Pg. 29; 62 Beer, Stafford. Diagnosing the system for organizations. Pg. 24 63 Beer, Stafford. Diagnosing the system for organizations. Pg. 44. 20.

(21) MISC-03-1-1. que los productos están disponibles en 5 colores nuevos? ¿Tiene capacidad el catálogo para incluir fotografías de cada producto en 5 colores adicionales? ¿Hay presupuesto para ampliar el “canal” y hacer un catálogo de más páginas? Se hace evidente de este ejemplo la importancia que tienen los canales. Para Stafford Beer, es claro que las dos formas de gerencia64 son: • •. ¿Cuáles estrategias ofrecen la variedad requerida? ¿Qué canales hay instalados para contener la variedad del flujo de información y de transmisión de datos?. Pero no solo los canales son importantes. La información debe ser codificada de alguna manera para ser transmitida. Los transductores65 se encargan de codificar la información para que pueda ser entendida por el que la recibe. Siguiendo con el ejemplo de la variedad de colores de los artículos que produce una organización: El código de producción V2NT612C1-10 en el listado de producción puede representar que se produce un artículo determinado en un rango de tallas y colores específicos. Si se desea informar a los clientes que este artículo está disponible, es necesario usar un transductor para codificar esta 64 65. Beer, Stafford. Diagnosing the system for organizations. Pg. 42 Beer, Stafford. Diagnosing the system for organizations, Pg. 53. 21.

(22) MISC-03-1-1. información de manera que el cliente pueda entenderla. V2NT6-12C1-10 se podría codificar como: El artículo (V2N) está disponible en tallas de la 6 a la 12 (T6-12), en toda nuestra gama de 10 colores (C1-10). Los requerimientos de ancho de banda de los canales de comunicación, y de transductores adecuados deben ser cumplidos para que el sistema pueda alcanzar la homeóstasis y ser considerado “viable”. Beer resume dichos requerimientos de la siguiente manera: “Los 4 canales direccionales cargando información entre la unidad de gerencia, la de operaciones y el entorno deben tener una mayor capacidad de transmitir una cantidad de información dada relevante a una selección de variedad en un tiempo dado, que el subsistema que la origina tiene de generarla en ese mismo tiempo”.66 Si esto se cumple, se garantiza que ningún componente va a transmitir más información de la que el canal es capaz de manejar de manera eficiente, y que la información va a poder ser interpretada de manera adecuada.. 2.1.1.7 Análisis de las oscilaciones del sistema. Las oscilaciones son creadas por perturbaciones en el sistema. El estado ideal de un sistema, según el MSV, es la homeóstasis, es decir el balance, el equilibrio. Las oscilaciones sacan el sistema de equilibrio, y atentan contra su estabilidad, y por ende, contra su viabilidad. Las oscilaciones ocurren, según Beer, porque “todo elemento (dentro de un sistema) está tratando continuamente de ajustarse a todo otro elemento, nada se estabiliza nunca…La oscilación es la enfermedad de la homeóstasis. Y la cura para la enfermedad: La oscilación debe ser amortiguada”. 67 66 67. Beer, Stafford. Diagnosing the system for organizations, Pg. 45 Beer, Stafford. Diagnosing the system for organizations, Pg. 65. 22.

(23) MISC-03-1-1. Un ejemplo de una fuente de oscilaciones en un sistema puede ser varios subsistemas compitiendo por recursos de la empresa (Beer utiliza el ejemplo de una universidad, en la que los diferentes departamentos y cursos compiten por salones). Para Beer, “Todas (las organizaciones) son amenazadas por el desbalance inducido por la oscilación entre sus elementos, que la gerencia no tiene la variedad requerida para resolver por dictamen en el eje central de mando (aunque muchas gerencias intentan este truco imposible)”.68 En el ejemplo de la universidad, la rectoría claramente no posee la variedad requerida para establecer, por medio de órdenes, quien tiene derecho a utilizar los salones, y cuando.. Para poder contrarrestar el efecto nocivo de las oscilaciones en una organización, se deben crear sistemas de amortiguación. Dichos sistemas “reflejan decisiones gerenciales pero no las crean, son aceptados como autoritarios a través de (los subsistemas de) producción, no porque se ‘tomen’ la autoridad, sino porque son aceptados como un servicio; son rígidos en circunstancias de rutina y por ello son un atenuador de variedad, y son flexibles cuando un elemento de producción esta en problemas”.69 Siguiendo el ejemplo de la universidad, un sistema de amortiguación sería un horario. El horario asigna recursos a los diferentes departamentos de manera clara, y evita así que los departamentos tengan conflictos por su utilización. El horario refleja decisiones de distribución de recursos de la rectoría, pero no las crea; es considerado como la “autoridad” definitiva a la hora de decidir quién tiene derecho a usar un recurso dado en un momento del tiempo; no es considerado “autoritario”, sino que más bien es considerado un “servicio” por todos los departamentos, y es rígido, pero en caso de que exista un “evento especial” es lo suficientemente flexible para satisfacer las necesidades que se presenten, reasignando temporalmente los recursos que administra. Se hace necesario, entonces, para garantizar la “viabilidad” del sistema, identificar todas las fuentes de oscilación en el sistema, y diseñar sistemas de amortiguación (denominados sistemas S2 en el MSV) que permitan que el sistema pueda llegar a la homeóstasis.. 2.1.1.8 Análisis de los sistemas de auditoria. Según Beer, Las auditorias “son conjuntos completos de prácticas gerenciales aceptadas que no se ven envueltas en la centralización del poder manifiesto y que apropiadamente diseñadas son capaces de generar una enorme variedad…trabajan esporádicamente y por acuerdos con gerencia de producción, penetran directamente a las operaciones”. 70 68. Beer, Stafford. Diagnosing the system for organizations, Pg. 66 Beer, Stafford. Diagnosing the system for organizations, Pg. 69 70 Beer, Stafford. Diagnosing the system for organizations, Pg. 82 69. 23.

(24) MISC-03-1-1. Las auditorias son un amplificador de la variedad gerencial, y le dan a la gerencia las herramientas para poder controlar de manera más directa las operaciones de los subsistemas y poder intervenir en ellas cuando así lo estime necesario, sin afectar sus operaciones regulares. Se hace necesario diseñar sistemas de auditoria (denominados sistemas S3* en el MSV) que permitan que la gerencia pueda controlar e intervenir de manera más eficiente los subsistemas bajo su cargo, permitiendo así que el sistema pueda alcanzar la homeóstasis bajo la guía siempre presente de la gerencia, y pueda ser considerado como un sistema “viable”.. 2.1.1.9 Análisis del sistema de gerencia. El sistema de gerencia (denominado sistema S3 en el MSV) es el encargado de guiar la gestión de los subsistemas de la organización. Sus tareas incluyen “comandar, tomar decisiones,… y (está en capacidad de)…aumentar su capacidad de absorber variedad a través de (los sistemas de amortiguación y de auditoria) S2 y S3*”.71 El sistema de gerencia “es responsable por las funciones internas e inmediatas de la empresa: la gerencia del ‘aquí y ahora’, de todos los días. Es responsable de las funciones antioscilatorias de S2, aunque no las conduce”.72 Los componentes de S3 son: Negociación de recursos/Alocación de recursos/Contabilidad, Soporte para sistemas S2, y Soporte para sistemas S3*.73 Los componentes de soporte para sistemas de amortiguación y para sistemas de auditoria proveen la infraestructura y el soporte necesarios para que estos sistemas puedan realizar sus labores de manera adecuada. Los componentes de negociación y alocación de recursos tienen como función negociar con los subsistemas la distribución de los recursos de la organización, y lo que se va a hacer con dichos recursos. Como es un proceso de negociación y no de imposición, los recursos son asignados de manera que cumplen parcialmente las expectativas del sistema de gerencia, así como las de los subsistemas, y el propósito y los objetivos de la organización son acordados entre las partes negociadoras. Idealmente, se debe alcanzar un punto intermedio entre las pretensiones los sistemas que negocian. Un ejemplo de esto es la negociación para distribuir el presupuesto que se da entre un gobierno central, el congreso y entes territoriales, y lo que se debe realizar con dicho presupuesto. 71. Beer, Stafford. Diagnosing the system for organizations, Pg. 94 Beer, Stafford. Diagnosing the system for organizations, Pg. 86 73 Beer, Stafford. Diagnosing the system for organizations, Pg. 92 72. 24.

(25) MISC-03-1-1. Este punto intermedio es denominado por Beer como el “compromiso de propósito”. Este punto de equilibrio se alcanza de la siguiente manera: “El sistema (de gerencia negocia con los otros sistemas y) converge en un compromiso de propósito. (El propósito de la organización es obtenido de esta negociación y) no es el que el nivel de recursión mas alto querría ver realizado, ni el que el sistema viable querría realizar”. 74 Es necesario entonces que el sistema de gerencia esté correctamente diseñado, y cumpla con sus tareas de comando y toma de decisiones, así como de apoyo a los sistemas de amortiguación y auditoria, de acuerdo a lo establecido por el MSV, para que el sistema pueda ser regulado de manera eficiente, y pueda alcanzar un estado homeostático que permita garantizar su “viabilidad”.. 2.1.1.10 Análisis del sistema de planeación estratégica. La supervivencia de una organización no está únicamente asociada a que esta sea “viable”, sino a que permanezca “viable” con el correr del tiempo. Es por ello, que “si S3 (el sistema de gerencia) ha sido discriminado como el responsable del adentro-y-ahora, también deberemos discriminar S4 (el sistema de planeación estratégica) como el responsable de manejar el afuera-y-después”.75 Según Beer, “toda planeación es un proceso continuo que lleva a comprometer recursos ahora para que el futuro pueda ser diferente”.76 Lo que se desea por medio de la planeación estratégica es detectar eventos futuros que puedan tener un impacto sobre la viabilidad de la empresa, y a través de un compromiso de recursos hacer que el futuro sea diferente, es decir, que los eventos no ocurran, o que si ocurren no tengan mayor impacto sobre la viabilidad del sistema organizacional. Para lograr esto, el sistema de planeación estratégica “presenta opciones, (y) crea modelos de acciones posibles”77 que permitan hacer frente a la amenaza de manera exitosa. Pero el sistema de planeación estratégica “no está sólo comprometido con la administración del afuera-y-después, sino que también provee autoconocimiento (self-awareness) al sistema”,78 es decir, para estar en capacidad de poder predecir la manera en la cual eventos futuros van a afectar la organización, y pensar en opciones y en modelos a seguir, es necesario conocer de manera detallada y completa cómo es y cómo funciona la organización en el presente, y como ha sido y cómo ha funcionado la organización en el pasado. Este conocimiento único hace del sistema de planeación estratégica una fuente invaluable de información sobre el estado actual de la organización, y como este estado ha 74. Beer, Stafford. Diagnosing the system for organizations, Pg. 99 Beer, Stafford. Diagnosing the system for organizations, Pg. 111 76 Beer, Stafford. Diagnosing the system for organizations, Pg. 100 77 Beer, Stafford. Diagnosing the system for organizations, Pg .128 78 Beer, Stafford. Diagnosing the system for organizations, Pg. 115 75. 25.

(26) MISC-03-1-1. evolucionado a partir de estados anteriores; son esa sucesión de estados anteriores, “la infinita regresión de imágenes propias la que permite el autoconocimiento (self-awareness) característico de los sistemas viables”79 y las que le dan una perspectiva única de la organización. Estos procesos se llevan a cabo a través de dos ciclos que continuamente retroalimentan con información al sistema de planeación estratégica: El “ciclo alfa: Proyecta su imagen en el entorno del afuera-y-después como su preocupación continuada. Qué esta ocurriendo que sea relevante para nosotros?”80, es decir, los eventos presentes que pueden desembocar en eventos futuros que puedan llegar a comprometer la viabilidad futura de la organización y el “ciclo Beta: (Es igual que el ciclo alfa pero) está anclado en el futuro desconocido”.81. 2.1.1.11 Análisis del sistema de inteligencia. El sistema de inteligencia define las políticas que rigen todo el sistema y toma decisiones sobre los planes diseñados por el sistema de planeación estratégica; “Si S4 presenta opciones, crea modelos de acciones posibles, S5 piensa sobre las acciones y toma decisiones respecto a ellas”82. El sistema de inteligencia es el que define el marco dentro del cual el sistema de planeación estratégica realiza sus funciones, es el que define las “reglas” que regulan dicha actividad y todas las actividades de la organización. Otra de sus funciones es mantener la homeostasis entre el sistema de gerencia y el sistema de planeación estratégica, y recibir señales de alerta (Beer las llama las “señales algedónicas”) de todos los componentes del sistema en caso de que se presenten condiciones que amenacen la viabilidad organizacional.. 2.1.2 Una adaptación del MSV: El Modelo de Sistema de Información Sostenible. El MSV de Stafford Beer es un modelo orientado al diagnóstico de organizaciones. Debido a la perspectiva eminentemente organizacional que le dio Beer a su modelo, éste es inadecuado para llevar a cabo la evaluación de un sistema de información, y mucho menos la evaluación de un sistema de seguridad informática. Es por ello necesario retomar las ideas fundamentales de teoría de sistemas en las que se basó Beer, y adaptarlas para construir un modelo adecuado para dicho propósito. El propósito es esbozar de manera muy general los principios de dicho modelo, para poder aplicar de manera correcta los postulados del MSV en un sistema de información y más 79. Beer, Stafford. Diagnosing the system for organizations, Beer, Stafford. Diagnosing the system for organizations, 81 Beer, Stafford. Diagnosing the system for organizations, 82 Beer, Stafford. Diagnosing the system for organizations, 80. Pg. 116 Pg. 119 Pg. 119 Pg. 128.. 26.

(27) MISC-03-1-1. específicamente, en su sistema de seguridad informática, sin llegar a ser muy detallados en su construcción que claramente escapa a los alcances de este documento.. 2.1.2.1 Inaplicabilidad del concepto de Viabilidad. Para empezar a desarrollar un modelo sistémico de seguridad informática, basado en el MSV, es necesario apartarnos por completo de la noción de viabilidad en la que se basa este modelo. Para Beer, un sistema viable es aquel que • • • •. Es capaz de sobrevivir en un entorno definido Tiene identidad propia Pertenece a un sistema viable más grande en el que está contenido Es recursivo. Un sistema viable es capaz de producirse, de producir recursos para subsistir por sí mismo sin depender de otros sistemas. Es aquel sistema que genera a través de su labor, de su trabajo, los recursos que necesita para poder seguir existiendo. Claramente, un sistema de información no cumple con los requisitos de viabilidad definidos por Beer. Sin embargo, proponemos el concepto de sostenibilidad, como similar al concepto de viabilidad de Beer, que pueda ser “reemplazado” por este en el MSV y que nos permita utilizar el MSV para diagnosticar sistemas no-viables.. 2.1.2.2 El concepto de sostenibilidad. Es importante aclarar que el concepto de sostenibilidad aquí desarrollado difiere del utilizado en otras ramas del conocimiento, especialmente en humanidades y específicamente en economía. Un sistema sostenible (en el marco de referencia definido por este documento) es aquel que no puede sobrevivir por si mismo en un entorno definido, debido a que no es capaz de producir los recursos necesarios para su subsistencia. Sin embargo, es capaz de sobrevivir asociado a un sistema viable, que le da los recursos necesarios para su subsistencia. Esta relación es posible debido a que es rentable para el sistema viable sostener a su sistema asociado, ya que dicho sistema lo provee de algún servicio o producto necesario para su adecuado funcionamiento.. 27.

(28) MISC-03-1-1. Al sistema viable le conviene “sostener” a su sistema asociado (de ahí el adjetivo de “sostenible” que se le asigna al sistema asociado), siempre y cuando los recursos que éste consume sean retribuidos con productos o servicios de similar (o mayor) valía, es decir, mientras que al sistema viable le sea “rentable” esta relación. En el momento en el que el sistema asociado empiece a consumir demasiados recursos, o deje de proveer al sistema viable con los productos o servicios que éste necesita, el sistema deja de ser “sostenible” (ya no vale la pena sostenerlo), y el sistema viable deja de darle recursos y busca abastecerse de otra fuente.. 2.1.2.3 El Modelo de Sistema Sostenible. Un sistema sostenible es aquel que • • • • •. No es capaz de sobrevivir por si mismo en un entorno, luego debe existir asociado a un sistema que le provea los recursos necesarios para su subsistencia; dicho sistema “contiene” al sistema sostenible. No tiene identidad propia, pero tiene una identidad “compartida” que se deriva de su asociación con el sistema viable, y que lo define como una parte de este. Tiene fronteras bien definidas que le permiten diferenciarse de otros subsistemas. Su existencia depende de su sostenibilidad. El sistema existe mientras que sea sostenible; si deja de ser sostenible, desaparece. Depende de una relación simbiótica con un sistema viable para poder sobrevivir, y aunque su existencia depende de la del sistema viable, la del sistema viable no depende de la suya.. La sostenibilidad, al igual que la viabilidad no son absolutas: son relativas, y van cambiando a medida que pasa el tiempo. Un sistema que sea sostenible en el presente, puede no serlo en el futuro. Luego, un sistema es sostenible mientras ayude a la homeóstasis de su sistema viable, mientras que lo que le provee le sea necesario, o al menos útil, mientras a este le sea más rentable sostener al sistema que no sostenerlo, mientras perciba que la inversión en recursos que hace es retribuida de manera al menos equitativa por los productos o servicios que recibe y mientras que no pueda obtener estos productos o servicios de otra fuente que exija menos recursos por ellos. Los sistemas viables y los sistemas sostenibles tienen una relación muy estrecha: Todos los componentes no-viables (sistemas de apoyo) de un sistema viable son sistemas sostenibles. Un sistema sostenible está compuesto por los mismos subsistemas que un sistema viable; la las diferencias con los sistemas viables son las siguientes:. 28.

(29) MISC-03-1-1. • •. •. El objetivo de todos los subsistemas de un sistema sostenible, y por ende el de todo el sistema es seguir siendo sostenibles. Todos sus subsistemas trabajan para alcanzar la homeóstasis y mantener la “sostenibilidad” del sistema. Los subsistemas de producción de un sistema sostenible, aunque no “producen” al sistema de la forma en la que lo hacen los subsistemas de producción en el caso de los sistemas viables, son los que generan los productos y/o servicios que “sostienen” al sistema al ser intercambiados con un sistema viable por recursos83. La recursión implícita en los sistemas viables no está presente en los sistemas sostenibles. Sin embargo, Los sistemas sostenibles están contenidos dentro de sistemas viables.. Haciendo estas abstracciones en el MSV, definimos entonces el Modelo de Sistema Sostenible (MSS), y podemos aplicarlo para diagnosticar sistemas no-viables en organizaciones.. 2.1.2.4 El Sistema de Información Sostenible. 83. Se podría decir entonces que en los sistemas viables, los subsistemas S1 “producen” al sistema, y que en los sistemas viables, los subsistemas S1 “sostienen” al sistema. Y si los subsistemas S1 de un sistema viable son denominados “sistemas productivos”, los que lo producen, los subsistemas S1 de un sistema sostenible pueden ser denominados “sistemas sustentativos”, los que le proveen sustento, los que lo sostienen.. 29.

(30) MISC-03-1-1. Un sistema de información sostenible debe cumplir con los preceptos de sostenibilidad definidos en el MSS, y debe estar estructurado de la siguiente manera:. 2.1.2.4.1 Subsistema sustentativo S1 – Sistema de cómputo. Es el que realiza tareas de procesamiento de información, soporte informático de gestión, comunicaciones, y otras tareas que pueda desempeñar un sistema de información. Es el componente S1 del sistema, y de su adecuado funcionamiento depende la sostenibilidad de todo el sistema. Está compuesto84 por infraestructura computacional (hardware), infraestructura de comunicaciones (interconectividad), infraestructura de apoyo (planta física, fuentes de electricidad, etc.), componente lógico (software), componente de información (datos) y componente humano (usuarios, administradores, auditores, etc), y nos referiremos a él de ahora en adelante, como el “sistema de cómputo”.. 2.1.2.4.2 Subsistema de amortiguación S2 – Sistema de seguridad informática. 84. Los componentes varían un poco de acuerdo al estándar consultado, pero de ISO/IEC 17799 5.1.1 Inventory of Assets, ISO/IEC 15408-1 4.3.1 Security Environment, NIST SP 800-30 3.1 System Characterization, AS/NZS 4444.2 4.3 Asset classification and control se puede establecer un listado común, que comprende Hardware, Software, Información, Personas, Logística (apoyo) y conectividad.. 30.

(31) MISC-03-1-1. El Sistema de Seguridad Informática evita las oscilaciones en el sistema, disminuyendo la variedad del sistema de cómputo y del entorno85. Se basa en el “documento de políticas de utilización del sistema de información” para llevar a cabo su función de atenuador de las oscilaciones86 en el sistema de información. Es un subsistema independiente, aunque puede (o no) compartir componentes con el sistema de cómputo. Las políticas de utilización del sistema de información, o las “políticas” como nos referiremos a ellas de ahora en adelante, reflejan decisiones gerenciales pero no las crean, son aceptadas como autoritarias a través del sistema, no porque ‘usurpen’ la autoridad, sino porque se considera que prestan un servicio; son rígidas en circunstancias de rutina y por ello son un atenuador de variedad, y son flexibles cuando se presentan situaciones fuera de lo normal que así lo ameriten. Las políticas de utilización del sistema de información incluyen el denominado documento de “”políticas de seguridad informática”, mencionado en todos los estándares tratados en este documento, pero va un poco más allá, modelando la utilización del sistema en aspectos tales como políticas adecuadas de interacción, etiqueta, utilización permitida de recursos, etc.. 2.1.2.4.3 Subsistema de auditoria S3* - Sistema de auditoria informática. El sistema de auditoria informática es un sistema completamente independiente del sistema de cómputo y del sistema de seguridad informática (tal y como debería ser). Está encargado de auditar las labores de estos dos sistemas, y verificar que estén cumpliendo sus tareas de manera adecuada. Pero los sistemas de auditoria informática también cumplen otro papel importante: Evitar que se concentre demasiado poder en los administradores del sistema y en los encargados del sistema de seguridad informática, evitando que esto lleve a excesos y a abusos con el sistema de información.. 2.1.2.4.4 Subsistema de gerencia S3 - Sistema de gerencia informática. El sistema de gerencia informática es el encargado de guiar la gestión de los subsistemas del sistema de información. Sus tareas incluyen comandar, tomar decisiones, y dar apoyo a la gestión de los sistemas de seguridad informática y de auditoria informática. El sistema de gerencia es responsable por las funciones internas e inmediatas del sistema de información: la gerencia del ‘aquí y ahora’, de todos los días. Además, es responsable de 85. El sistema restringe el conjunto de acciones que pueden realizarse en el sistema de información, y esta restricción aplica no solo para los usuarios del sistema, sino también para el entorno (si es un sistema interconectado), disminuyendo de esta manera la variedad, y evitando incidentes que generen oscilaciones en el sistema. 86 Los incidentes de seguridad informática son una clara fuente de oscilaciones: Si la homeóstasis es un estado de equilibrio, y el sistema está en homeóstasis, una violación a la seguridad informática claramente saca el sistema de su estado de equilibrio, constituyéndose así en una fuente de oscilaciones innegable.. 31.

(32) MISC-03-1-1. las funciones del sistema de seguridad informática, aunque no las conduce. Esto es determinante: La gerencia tiene una clara inferencia en la gestión del sistema de seguridad informática.. 2.1.2.4.5 Subsistema de planeación estratégica S4 – Sistema de planeación estratégica informática. La supervivencia de un sistema de información no está únicamente asociada a que este sea “sostenible”, sino a que permanezca “sostenible” con el correr del tiempo. Es por ello que el sistema de planeación estratégica existe, para encargarse de manejar su “afuera-ydespués” y garantizar su adaptabilidad a condiciones externas y/o futuras que amenacen su sostenibilidad a medida que pase el tiempo. La tarea primordial del sistema de planeación estratégica informática, es, entonces, detectar eventos futuros que puedan tener un impacto sobre la viabilidad del sistema de información, y a través de un compromiso de recursos hacer que el futuro sea diferente; asimismo, es la fuente primaria de autoconocimiento (self-awareness) del sistema, es quien mejor conoce cómo es y cómo funciona el sistema de información en el presente, y como ha sido y cómo ha funcionado en el pasado, es una fuente invaluable sobre el estado actual del sistema, y como este estado ha evolucionado a partir de estados anteriores.. 2.1.2.4.6 Subsistema de inteligencia S5 – Sistema de inteligencia informática. El sistema de inteligencia define las políticas que rigen todo el sistema y toma decisiones sobre los planes diseñados por el sistema de planeación estratégica; es el que piensa sobre los modelos de acción propuestos por este, tomando decisiones respecto a ellos. Asimismo, es el que define el marco dentro del cual el sistema de planeación estratégica realiza sus funciones, y es el que define las “reglas” que regulan dicha actividad y todas las actividades del Sistema de Información. Usualmente, esta área es liderada por un gerente del área de informática87 subordinado a la alta gerencia organizacional, aunque la tendencia a finales de los noventas, es que esté encabezada por un gerente del mismo nivel que el gerente general de la organización, que le reporta directamente a la junta directiva.88 Otra de sus funciones es mantener la homeostasis entre el sistema de gerencia y el sistema de 87. Usualmente esta área es liderada por un alto gerente a nivel organizacional, p.e. el vicepresidente de tecnología, el gerente de informática, etc. 88 Si el Oficial Ejecutivo en Jefe (Chief Executive Officer – CEO) de una organización es la cabeza visible de la organización, el Oficial de Tecnología en Jefe, o el Oficial de Información en Jefe (Chief Technology Officer – CTO o Chief Information Officer – CIO) son la cabeza visible del área de tecnología, poseen un cargo al mismo nivel jerárquico que el CEO, y reportan directamente a la junta directiva. La razón de esta tendencia es la elevada dependencia tecnológica de las organizaciones modernas, y los rápidos cambios que se presentan en el entorno tecnológico, que hacen necesario que una persona se encargue exclusivamente de su administración para garantizar que esta área tan importante para las labores de la organización sea exitosamente gerenciada.. 32.