octubre 2010


Cualquiera que afirme que el principal objetivo de un empresa privada  -frente a la pretendida, a priori, finalidad social de las empresas públicas-  es el excesivamente simplista “¡ganar dinero!“, estará incurriendo en un grave error. Por encima de cualquier otra consideración, la principal meta de toda compañía privada es   -desde una perspectiva de Buen Gobierno Corporativo, habrá de ser-  garantizar su perdurabilidad, la permanencia y continuidad de su actividad, en el tiempo. Sólo de ese modo tendrá sentido plantearse otros objetivos. [Presumiblemente, el más importante  -pero en segundo lugar-,  el referido más arriba].

La obviedad del anterior razonamiento es evidente, por simple: la inexistencia, la desaparición, de la empresa invalidará automaticamente cualquier otra pretensión de rentabilidad y beneficio  -por ejemplo, para los que hasta ese momento hayan sido sus propietarios o accionistas-.  ¡Sencillamente, ya no aplicará!

El cortoplacismo que, en gran medida, rige, hoy, la vida corporativa  -lamentablemente, no es la única que rige-  es uno de los principales inhibidores de la continuidad de los negocios. El caso ENRON, por lo muy documentado y divulgado  -véase “ENRON. Los tipos que estafaron a América“-,  resulta uno de los más paradigmáticos. En él  -y en el propio documental-  queda ampliamente reflejada la incompatibilidad entre la meta de “ganar dinero”, planteada como meta prioritaria, y la de mantenerse en el mercado. ¡Pregúntenles, si no, a los accionistas de la compañia! Eso, por no hablar de sus empleados y, por tanto, futuros jubilados, destinatarios últimos de sus fondos de pensiones.

El tema, ampliamente discutido en los foros profesionales sobre Buen Gobierno Corporativo, se materializa en la “contaminación”  -desde la perspectiva del conflicto de intereses-  que muestran los consejos de administración, cuando en ellos participan miembros de los propios equipos directivos de las compañías. Estos consejeros ejecutivos, particularmente, cuando haya suculentas primas por resultados sobre la mesa, deberán equilibrar dos fuerzas contrapuestas: a) de un lado, su particular interés por alcanzar un rápido crecimiento, garantizándose, con ello, su gratificación personal; b) y, de otro, el de sus representados en el Consejo, esto es, la Junta de Accionistas  -y, por extensión, el de toda la propiedad-,  quienes, presumiblemente, querrán ver el beneficio mantenido en el tiempo y no sólo en un momento puntual. ¡Ni Lay, ni Skilling alcanzaron dicho equilibrio!

Al hilo de esta necesidad de garantizar una larga vida a los negocios, como premisa de otros éxitos empresariales, Manolo Palao acerca a Gobernanza de TI este nuevo Texticulillo™ en el que expone el papel que, en este asunto,  juegan las Tecnologías de la Información y las Comunicaciones.

 

Texticulillo™ nº 12: Continuidad del Negocio y Auditoría de Sistemas (1)(2)

En otro artículo de esta serie, he descrito la revolución que, para la ASITIC (3), supuso la publicación, en 1996, de CobiT, por el Instituto para la Gobernanza de los SITIC, a su vez, parte de ISACA (4).

CobiT es un instrumento para la gobernanza de los SITIC, puesto a disposición de directivos y auditores, para facilitar el buen gobierno y el control de los sistemas de que aquellos se ocupan.

La revolución que CobiT supuso fue la de plantear la gestión de la totalidad de los SITIC al servicio de la empresa (u organismo).

Y uno de los objetivos primordiales de toda empresa es la continuidad de sus operaciones; al menos, las vitales.

El enfoque hacia la Gestión de la Continuidad del Negocio ha ido evolucionando con el tiempo, adoptando en los últimos años formas más estratégicas e integradas.

Comenzó hablándose de Recuperación ante Desastres, después se habló de Reanudación de la Operativa del Negocio y, sólo posteriormente, se ha tratado la Continuidad del Negocio (5). Yo me atreví, hace unos años, a pronosticar que ese planteamiento evolucionaría hacia el de la Continuidad de la Cadena Logística.

A toda empresa le interesa sobrevivir, con costes controlados, a una alteración o interrupción de sus operaciones.

Los atentados del 11-S, y sus consecuencias, han aumentado la concienciación por estos temas. Los accidentes también acarrean, en ocasiones, graves consecuencias.

Cuando escribo estas líneas la prensa dice que “La compañía Iberia logró ayer por la mañana, tras 21 horas de caos absoluto, resolver la avería que le ha obligado a cancelar 48 vuelos y provocó retrasos en otros 970” (6).

Convencionalmente, podemos clasificar las perturbaciones a la buena marcha de la empresa como incidencias, siniestros y catástrofes.

Las incidencias son disfunciones menores  -en ocasiones usuales-  que el sistema productivo absorbe (y, a veces, corrige automáticamente). Ejemplos de ellas pueden ser las averías locales, las interrupciones breves, los errores corregibles con un esfuerzo limitado.

Los siniestros son perturbaciones mayores que pueden causar interrupciones de horas o días y conllevar costes  -de prevención, de detección y/o de corrección-  significativos.

Las catástrofes son siniestros mayores que pueden suponer una larga interrupción de las operaciones y llevar al cierre definitivo de la empresa. Según un estudio de la Universidad de Tejas (7), relativo a fábricas, “tras una catástrofe, un 43% nunca reabre, un 51% sobrevive, pero está fuera del mercado en 2 años y sólo el 6% logra sobrevivir a largo plazo“.

Incidencias, siniestros y catástrofes pueden ser directos o indirectos  -a través de los SITIC, que es lo que aquí nos concierne; o por otros servicios (el eléctrico, por ejemplo)-.  Un fuego en la fábrica sería un siniestro directo; una inundación en el centro de cálculo lo sería indirecto para la empresa entera, con la concepción de la informática al servicio de la empresa antes expuesta. Muchas empresas tienen una alta y creciente dependencia de sus SITIC, lo que desdibuja esa distinción entre directo e indirecto.

La empresa debe partir de una clasificación de sus SITIC. Una clasificación usual permite hablar de sistemas críticos  -no pueden ser reemplazados por métodos manuales; el coste de la interrupción es muy alto-,  vitales  -durante un período breve pueden ser ejecutados a mano-,  sensibles  -pueden realizarse manualmente durante períodos largos, a costes razonables-  y no críticos  -pueden interrumpirse durante plazos largos, a coste bajo-.

Un estudio de la Universidad de Minesota (8) citado por el Prof. Dr. Jorge Ramió Aguirre (9) del Departamento de Lenguajes, Proyectos y Sistemas Informáticos de la UPM indica “períodos críticos de recuperación”  -para no poner en peligro su supervivencia-  de los sistemas de información: inferiores a los siete días (con carácter general, en todos los sectores), e inferiores a los dos días (en el sector financiero).

Para los distintos sistemas  -y según su criticidad en el tiempo-  hay que tener previstas medidas, que deben estar recogidas en un Plan integrado de Continuidad del Negocio, debidamente actualizado, difundido  -Kodak, por ejemplo, lo hace por su intranet-  y probado.

Entre las medidas preventivas figuran el tener copias actualizadas de programas y datos en un almacén remoto, disponer de líneas de comunicaciones redundantes y tener probado un centro de cálculo alternativo, también, remoto. Esto último admite diversas variantes  -de distinto coste y eficacia-,  desde un acuerdo de reciprocidad de ayuda con otra empresa, a tener centros de cálculo redundantes, con una instalación más o menos básica, o con una completa.

Los ASITIC tienen formación y experiencia especializadas para ayudar a establecer dichos planes y para comprobar la idoneidad de su gestión.

CobiT contiene excelentes recomendaciones para Directivos y Auditores de SITIC en relación con la Continuidad del Negocio.

El portal Contingency Planning (10)  -lamentablemente sólo en inglés-  reúne una variedad de informaciones y servicios relacionados con la continuidad del negocio. Nadie interesado en este tema debería dejar de registrarse y estudiarlo.

En su sección dedicada a “Defensas ante Interrupciones” (del inglés, “Disruption Defenses“) (11), trata los diversos riesgos con un amigable formato de ficha técnica, con los siguientes apartados: “Causa y Efecto“; “Dónde y Cuándo“; “Medidas Mitigadoras“; “Tras el Siniestro“; “Consejo del Experto” y “Un Caso Real“.

No me resisto  -por si alguien cree que ya tiene su plan de continuidad bastante completito–  a ofrecer la lista de los riesgos cubiertos en esas fichas:

Accesos no Autorizados; Adicciones en el Puesto de Trabajo; Apagones; Ataques con Virus [biológicos]; Ataques de Denegación de Servicio; Clima Invernal; Conflictos Laborales; Crimen de Cuello Blanco; Disfunciones en Entregas; Emergencias Médicas; Espionaje; Factor Humano; Falta de Mano de Obra; Falta de Registros; Fallos de Ordenador; Fallos de Energía; Fuego; Fusiones y Adquisiciones; Piratas Informáticos; Huracanes; Instalaciones con Varias Empresas Usuarias; Interrupciones de Transporte; Inundaciones; Moral de los Empleados; Planificación de Sucesiones; Problemas Legales; Publicidad Negativa; Reubicación del Negocio; Riesgos Biológicos; Riesgos Medioambientales; Síndrome del Edificio Enfermo; Temas relacionados con la Plantilla; Terremotos; Tormentas Invernales; Tormentas de Nieve; Tormentas Eléctricas; Tornados; Tumultos; Violencia en el Puesto de Trabajo; Virus de Ordenador.

 

Artículos relacionados

  1. DC y Auditoría de Sistemas (por Manolo Palao)
  2. San Agustín y la Auditoría de Sistemas (por Manolo Palao)
  3. El Burro Flautista y la Auditoría de Sistemas (por Manolo Palao)
  4. Riesgo y Auditoría de Sistemas (por Manolo Palao)
  5. Fraude y Auditoría de Sistemas (por Manolo Palao)
  6. Evidencia y Auditoría de Sistemas (por Manolo Palao)
  7. Competencia y Auditoría de Sistemas (por Manolo Palao)
  8. Independencia y Auditoría de Sistemas (por Manolo Palao)
  9. Teseo y la Auditoría de Sistemas (por Manolo Palao)
  10. Juvenal y la Auditoría de Sistemas (por Manolo Palao)
  11. Arquímedes y la Auditoría de Sistemas (por Manolo Palao)
  12. Promoviendo el Buen Gobierno Empresarial [… ¿de las TI?]

 

(1) Copyright 2002-2010, Manolo Palao, CGEIT, CISM, CISA, CobiT Foundation Certificate, Accredited CobiT Trainer.

(2) Publicado inicialmente en el invierno de 2002 a 2003 por la Asociación de Auditores y Auditoría y Control de los Sistemas y Tecnologías de la Información y las Comunicaciones (ASIA)  -hoy, Capítulo 183 de ISACA-.

(3) Auditoría/Auditor de Sistemas de Información y Tecnologías de la Información y las Comunicaciones.

(4) Antigua Asociación para el Control y la Auditoría de los Sistemas de Información (del inglés, Information Systems Audit and Control Association) con una audiencia objetivo que se extiende, en la actualidad, a todo profesional con intereses en torno a  las Tecnologías de la Información.

(5) El término de moda, hoy, es, sin duda, ‘resilience‘ -la ‘resiliencia‘ como, con toda probabilidad, diría Palao-,  la elasticidad de que deberían estar dotadas las organizaciones a fin de ser capaces de resistir ante adversidades importantes que afecten a sus sistemas de información y de recuperar su “forma” original, su operativa previa al impacto. Piense en el comportamiento de los modernos edificios japoneses tras recibir el envite de un terremoto.

(6) Fuente: Diario “El País“. Verónica Martín/Carlos E. Cué. Madrid, 9 de noviembre de 2002. URL: http://www.elpais.com/articulo/espana/Iberia/repara/averia/despues/21/horas/caos/48/vuelos/cancelados/elpepiesp/20021109elpepinac_4/Tes.

(7) El tiempo transcurrido desde la publicación inicial de este Texticulillo™ ha hecho imposible recuperar la referencia original. No obstante, documentos posteriores, más recientes, apuntan al Emergency Management Forum americano como fuente de la cita.

 (8) Como en (7), la referencia al documento original se ha perdido.

(9) Véase (8).

(10) El autor hace referencia, en este punto, al antiguo portal de Internet “Contingency Planning” localizado a finales de 2002 en la URL http://www.contingencyplanning.com. Hoy día, la misma remite a la dirección-e http://contingencyplanning.com que alberga la sede web de la conferencia y exposición “Contingency Planning & Management“.

(11) Véase (10).

Anuncios

Gobernanza de TI les acerca esta nueva prueba de la fecundidad literaria de Manolo Palao, en la que  -en el habitual formato de sus  “Texticulillos™“-  el autor vuelve a hacer gala de una aguda ironía al exponer sus reflexiones sobre ciertos aspectos del Control Interno; específicamente, sobre determinados mecanismos de control dirigidos, de forma inequívoca, a salvaguardar  -de su corrupción, o uso indebido-  la información y sus sistemas y tecnologías asociados.

Concluirá recordando cómo un uso descuidado  -negligente-  de tales artilugios de control será garantía, más que suficiente, de su fulminante pérdida de eficacia.

 

Texticulillo™ nº 11: DC y Auditoría de Sistemas (1)(2)

DC, para cualquier globalizado o globalizable  -o sea, la mayoría-,  es el apellido de Washington. No George Washington, sino Washington, DC.

DC, District of Columbia, es el único distrito federal de los EEUU. Aprobado por el Artículo 1 de su Constitución de 1787, éste autorizaba a constituir un reducido espacio federal para la capitalidad del estado. El 1 de diciembre de 1800 la capital se movió de Filadelfia, a su actual y maravilloso enclave, a orillas del Potomac.

Sin perjuicio de todo lo que “DC” ha dicho, y haya de decir, acerca de la ASITIC (3), lo que hasta ahora, histórica y prácticamente, importa es lo que viene diciendo ISACA (4)  -internacionalmente, la más reputada  entidad normalizadora en este campo-  desde su sede en Rolling Meadows, Illinois.

Pero el motivo de estas líneas es otro DC  -u otros , como se verá-.

Entre nosotros, DC significa, más generalmente, “dígito de control”.

Los  “caracteres de control”  -uno o varios; dígitos o no-  se suelen añadir, en posición predeterminada, a números o textos, que aquí llamaremos “códigos”, para comprobar que no ha habido error en su transcripción, transmisión o tratamiento. Suelen ser breves y fijos, en número de caracteres (5). Se computan con un algoritmo barato, pues su cálculo va a ser frecuente. Una vez que se tiene un código ampliado con sus caracteres de control, para validar el código se vuelven a calcular los caracteres de control que le corresponden y se comparan con los que llevaba el código ampliado. Si hay coincidencia, se entiende que el código no ha sido alterado. El algoritmo empleado debe satisfacer diversas características para impedir, o dificultar, que un código que sí ha sido alterado arroje los mismos caracteres de control que el original. Hay diversos algoritmos muy adecuados, entre ellos los que se usan para la “firma digital”.

Los ASITIC creemos que los DC son una técnica excelente y recomendable para validar datos de entrada en un sistema de información. Esto es particularmente importante cuando esos datos, como el DNI (6), pretenden ser datos clave  -identificadores únicos-  en una base de datos.

La redundancia  -los dígitos añadidos-  supone un coste extra en transcripción, tratamiento, transmisión y almacenamiento; pero está justificada por las ventajas que aporta.

Un número dígito es, en la numeración decimal, cualquiera de los caracteres comprendidos desde el ‘0’ al ‘9’, como confirma el Diccionario de la RAE. Ello prueba el encomiable trabajo de revisión de los académicos. La edición del Diccionario que yo tengo en mi estantería es del siglo pasado  -¡1970!-  y dice que número dígito es “el que puede expresarse con un solo guarismo; en la numeración decimal lo son los comprendidos desde el uno al nueve, ambos inclusive”, escamoteando así, no sólo un 10% de los dígitos, sino el esencial para una aritmética posicional.

[Aprovecho para prevenir al lector, que estuviera tentado, de que se limite a entrar en el diccionario por “número“, porque si se le ocurriese hacerlo por “dígito” se encontraría con la académica definición: “Cada una de las doce partes iguales en que se divide el diámetro aparente del Sol y el de la Luna en los cómputos de los eclipses.” …

… No es seguro, pero sí muy probable, que defender en público semejante definición de “dígito” pudiera acarrear a tal defensor tener que cambiar su modelo preferido de camisa por una con correas y las mangas atadas.]

Todo el que tenga y use una cuenta corriente bancaria, y ordene o reciba transferencias de otras, sabe probablemente que los dígitos  -de izquierda a derecha-  9º y 10º del “número de cuenta”  -o, más modernamente, los 13º y 14º del IBAN, el identificador internacional bancario-  son los dos DCs (aunque se les llama “el DC”).

Quienquiera que dé los datos de su DNI/CIF (7),  probablemente sabe que el último/primer carácter  -de nuevo, de izquierda a derecha, como buenos cristianos-  es el de control: una letra.

Lástima que, en el caso del DNI, esa fácil identificación única la haya desvirtuado la propia Administración al reasignar números de DNI a otras personas.

¿Es que no sabemos, o que no queremos? Porque los tratamientos son distintos.

 

Artículos relacionados

  1. San Agustín y la Auditoría de Sistemas (por Manolo Palao)
  2. El Burro Flautista y la Auditoría de Sistemas (por Manolo Palao)
  3. Riesgo y Auditoría de Sistemas (por Manolo Palao)
  4. Fraude y Auditoría de Sistemas (por Manolo Palao)
  5. Evidencia y Auditoría de Sistemas (por Manolo Palao)
  6. Competencia y Auditoría de Sistemas (por Manolo Palao)
  7. Independencia y Auditoría de Sistemas (por Manolo Palao)
  8. Teseo y la Auditoría de Sistemas (por Manolo Palao)
  9. Juvenal y la Auditoría de Sistemas (por Manolo Palao)
  10. Arquímedes y la Auditoría de Sistemas (por Manolo Palao)
  11. Confianza en, y valor de, los sistemas de información

 

(1) Copyright 2002-2010, Manolo Palao, CGEIT, CISM, CISA, CobiT Foundation Certificate, Accredited CobiT Trainer.

(2) Publicado inicialmente en el invierno de 2002 a 2003 por la Asociación de Auditores y Auditoría y Control de los Sistemas y Tecnologías de la Información y las Comunicaciones (ASIA)  -hoy, Capítulo 183 de ISACA-.

(3) Auditoría de Sistemas de Información y Tecnologías de la Información y las Comunicaciones.

(4) Antigua Asociación para el Control y la Auditoría de los Sistemas de Información (del inglés, Information Systems Audit and Control Association) con una audiencia objetivo que se extiende, en la actualidad, a todo profesional con intereses en torno a  las Tecnologías de la Información.

(5) Constituyen un hash (literalmente, triturado/picado, como la carne picada). En Informática, código resumen, resultado de la aplicación de una función homónima sobre un dato  -“código” en palabras del autor-  (documento, registro, archivo, …) original.

(6) En España, Documento Nacional de Identidad de las personas físicas, en referencia a su código de identificación  -el número de DNI-  que acaba con un carácter alfabético (una letra).

(7) En España, Código de Identificación Fiscal de las personas jurídicas, en referencia a su código de identificación  -el número de CIF-  que comienza con un carácter alfabético (una letra).

El próximo martes, día 5 de octubre de 2010, la Asociación Española para la Calidad (AEC), a través de su Comité de la Calidad en los Sistemas y Tecnologías de la Información y las Comunicaciones, organiza una nueva edición  -la octava-  de su Congreso anual dedicado a las TIC: CSTIC 2010.

El encuentro  -gratuito-  se celebrará, en esta ocasión, en las instalaciones de la Universidad Pontificia de Comillas, ubicada en el número 23 de la calle Alberto Aguilera, de Madrid.

Bajo el lema “Gestión de las TIC: Calidad y Sostenibilidad“, CSTIC 2010 pretende servir de foro para el intercambio de ideas y experiencias entre los profesionales del sector con intereses en aspectos de las TI relativos a la Calidad del Software, a la Gestión de los Servicios de TI, a la Seguridad de la Información y a la Gobernanza de las TIC.

Con ese objetivo se ha diseñado un programa en el que, bajo la batuta de D. Domingo Gaitero Gordillo, Vicepresidente del AEC/CSTIC, que actuará de presentador/moderador, participarán los siguientes ponentes invitados: Dña. Jenis Chirino (CAELUM), Dña. Maite Atienza (INDRA), D. Antonio Folgueras Marcos (itSMF España), D. Boris Delgado Riss (AENOR), D. Luís Miguel Hidalgo Gutiérrez (INTECO), D. Félix González Durán (Tecnocom) y D. Miguel García Menéndez (ISACA, Capítulo de Madrid), que ofrecerán una serie de conferencias, respectivamente, sobre:

  • “Evaluación de organizaciones software mediante el modelo CMMI” (Chirino);
  • “Sistema de gestión para entornos TIC deslocalizados” (Atienza);
  • “La teoría de la evolución según Gestión del Servicio TI” (Folgueras Marcos);
  • “Certificación ISO 20000” (Delgado Riss);
  • “Seguridad en el uso de las TIC: conductas delictivas e ilícitas” (Hidalgo Gutiérrez);
  • “Experiencia de integración en un sistema de gestión TI” (González Durán); y,
  • “Un lugar para el Gobierno Corporativo de TI: errores, ortodoxia y expectativas” (García Menéndez).

¡No lo deje pasar!

 

Artículos relacionados

  1. Calidad en los Sistemas y Tecnologías de la Información y las Comunicaciones