Modelos F4 4xd5z

Modelos y Estándares de Seguridad Informática Guía de Actividades

Wilfrido Trujillo Niebles Cód.: 91.444.523

Fase 4. Planear los servicios ITIL

Ing. Salomón González García

Universidad Abierta y a Distancia - UNAD Especialización en Seguridad Informática Barrancabermeja 2017

Teniendo en cuenta la Biblioteca de Infraestructura de Tecnologías de Información (ITIL). Evaluar Servicios: ITIL FASE II: DISEÑO DEL SERVICIO (PRIMERA PARTE) Metas y Objetivos: Diseñar nuevos servicios de TI. Esto incluye el diseño de servicios nuevos, así como cambios y mejoras de los existentes 

Valor para el Negocio:



Contribuir a los objetivos del negocio



Contribuir al ahorro de tiempo y dinero



Minimizar o prevenir riesgos



Contribuir a satisfacer necesidades presentes y futuras del mercado



Evaluar y mejorar la eficacia y eficiencia de los servicios de TI.



Apoyar el desarrollo de políticas y estándares para los servicios de TI



Contribuir a mejorar la calidad de los servicios de TI

Diseñar nuevos servicios de TI. Esto incluye el diseño de servicios nuevos, así como cambios y mejoras de los existentes. Que debemos resolver: ¿Cuáles son los requisitos y necesidades de nuestros clientes?

2

¿Cuáles son los recursos y capacidades necesarias para prestar los servicios propuestos? ¿Los servicios son seguros, ofrecen la disponibilidad necesaria y se garantiza la continuidad del servicio? ¿Son necesarias nuevas inversiones para prestar los servicios con los niveles de calidad propuestos? ¿Están todos los agentes involucrados correctamente informados sobre los objetivos y alcance de los nuevos servicios o de las modificaciones a realizar en los ya existentes? ¿Se necesita la colaboración de proveedores externos?

A fin de garantizar e integrado entorno coherente en los procesos de TI y las actividades y, básicamente, en toda la organización un enfoque holístico debe ser desarrollada y aprobada en el servicio de diseño. Tal actitud se asegurará de alta calidad de los servicios prestados, así como a extremo de continuidad de negocio de gama. Para asegurarse de que el diseño de servicios esté debidamente aprobada hay cuatro P que deben ser considerados cuando se trata de diseño de servicios:

3

La gente (People) tiene que tener las habilidades y competencias poper posee con el fin de participar en la prestación de servicios de TI Productos (Products) que están en la gestión de los sistemas de tecnología utilizada en el proceso de prestación de servicios de TI Procesos (Processes ) de funciones y actividades tienen que estar en estrecha relación el uno al otro Socios (Partners) que son los principales proveedores, 3 empresas de software, fabricantes, proveedores involucrados en la prestación de servicios de TI. (LIZARDO, 2017) 1. Teniendo en cuenta la Biblioteca de Infraestructura de Tecnologías de Información (ITIL). Evaluar Servicios: Evaluar los principales servicios que posee la organización. Para realizar la evaluación de los servicios del hotel Pipatón, tendremos nos apoyaremos en esta fase, del diseño de los servicios. Desarrollaremos estos ítems para cuestionar nuestros servicios que debemos resolver. 1. ¿Cuáles son los requisitos y necesidades de nuestros clientes? 2. ¿Cuáles son los recursos y capacidades necesarias para prestar los servicios propuestos?

4

3. ¿Los servicios son seguros, ofrecen la disponibilidad necesaria y se garantiza la continuidad del servicio? 4. ¿Son necesarias nuevas inversiones para prestar los servicios con los niveles de calidad propuestos? 5. ¿Están todos los agentes involucrados correctamente informados sobre los objetivos y alcance de los nuevos servicios o de las modificaciones a realizar en los ya existentes? 6. ¿Se necesita la colaboración de proveedores externos? SERVICIOS OFRECIDOS POR EL HOTEL PIPATON

MEJORAR LOS TIEMPOS EN LA REALIZACIÓN DE LOS CHECK IN. 1. ¿Cuáles son los requisitos y necesidades de nuestros clientes? Mejorar los tiempos de la realización del proceso de huésped al momento de su llegada al hotel.

Check in, registrar al

2. ¿Cuáles son los recursos y capacidades necesarias para prestar los servicios propuestos? Dos (2) computadores de mesa Un personal de cuatro (4) recepcionistas 3. ¿Los servicios son seguros, ofrecen la disponibilidad necesaria y se garantiza la continuidad del servicio? El servicio de ingreso al hotel, cuenta con turnos de recepcionista o auditores durante las 24 horas del día, con su respectivo equipo y sistemas de información

5

para la atención de los huéspedes o clientes. 4. ¿Son necesarias nuevas inversiones para prestar los servicios con los niveles de calidad propuestos? Para la parte de check in, es necesario realizar inversiones en cuanto a capacitaciones o reentrenamientos al personal del área en el manejo del sistema utilizado. Además de contar con equipos de mejor rendimientos. 5. ¿Están todos los agentes involucrados correctamente informados sobre los objetivos y alcance de los nuevos servicios o de las modificaciones a realizar en los ya existentes? La gerencia, la jefe de recursos humano y el personal del área está en pleno conocimiento de los fallas presentadas en la recepción con check in. Y las propuestas para la mejora o corrección de las fallas presentadas. 6. ¿Se necesita la colaboración de proveedores externos? La capacitación del personal del área, por los funcionarios de la empresa que suministra en software hotelero el cual es el utilizado por el hotel.

MEJORAR LA COBERTURA DE LA RED WIFI A LOS HUÉSPEDES Y CLIENTES DEL HOTEL 1. ¿Cuáles son los requisitos y necesidades de nuestros clientes? Mejorar la cobertura y ancho de banda de la red WIFI a los huéspedes y clientes del hotel. 2. ¿Cuáles son los recursos y capacidades necesarias para prestar los servicios propuestos? Cuatro (4) Access point de 54 mbps Dos switch de 16 puertos Un (1) router Un Modem con salida de 5 Mb de ancho de banda

6

3. ¿Los servicios son seguros, ofrecen la disponibilidad necesaria y se garantiza la continuidad del servicio? El servicio de internet inalámbrico en la actualidad cuenta con solo seis (6) Access point para la cobertura de todas las áreas del hotel, en algunos casos con conexiones abiertas. 4. ¿Son necesarias nuevas inversiones para prestar los servicios con los niveles de calidad propuestos? Es necesario inversiones para mejorar los equipos actuales ya que se cuenta con la capacidad de dispositivos necesarios para cubrir todas las zonas del hotel. Además de tener actualmente un canal de ancho de banda muy pequeño para todos los posibles equipos conectados a la red WIFI. 5. ¿Están todos los agentes involucrados correctamente informados sobre los objetivos y alcance de los nuevos servicios o de las modificaciones a realizar en los ya existentes? La gerencia conoce las falencias presentadas en la conexión de los s y clientes del hotel en algunas áreas del hotel. 6. ¿Se necesita la colaboración de proveedores externos? El proveedor del servicio de internet, para la ampliación del canal utilizado por el hotel.

7

Recomendaciones a servicios: En base a la evaluación realizada, se debe elaborar un conjunto de recomendaciones basadas en ITIL para mejorar los servicios que ofrece la organización. Teniendo en cuenta la norma ITIL v.3, capitulo 3 diseño del servicio, gestión de la continuidad. Se recomienda al hotel Pipatón tener en cuenta este método ITIL para mejorar los servicios ofrecidos y anteriormente mencionados. A continuación se describen los pasos de la gestión de la continuidad: Gestión de la Continuidad El objetivo de la Gestión de la Continuidad (IT Service Continuity Management ITSCM) es garantizar que la infraestructura y los servicios más importantes de la Organización puedan superar la ocurrencia de un desastre en el menor tiempo posible, restaurando la normalidad. Un desastre puede ser natural (terremotos, inundaciones, tormentas, etc.), provocado por el ser humano (incendios, inundaciones, etc.) o informáticos (virus, ataques globales, hackers, etc.). El proceso de Gestión de la Continuidad se despliega sobre dos formas de actuar: - La preventiva: se trata de procedimientos que tratan de impedir la ocurrencia de desastres (normalmente informáticos o humanos). - La activa: es la que pone en marcha el servicio tras la ocurrencia de un desastre.

8

Para disponer de este tipo de actuaciones, previamente la Organización debe poner en marcha un proceso de Gestión de la Continuidad que contemple al menos las siguientes actividades: ACTIVIDADES DEL PROCESO 1.1. FASE 1. INICIO: 1.1.1. ALCANCE Y POLÍTICA ITSCM No hay que confundir Gestión de la Continuidad del Servicio con Gestión de Continuidad del Negocio (Business Continuity Management), ya que esta segunda engloba a la primera. La Gestión de la Continuidad del Servicio debe estar integrada y ser coherente con la Estrategia de Continuidad del Negocio, y así, este alcance, debe reflejarse en su política. La definición del alcance para la política es un aspecto importante ya que desde ahí se construirán los futuros cambios, la formación de las personas implicadas en la continuidad, los recursos necesarios y la financiación derivada a la Gestión de la Continuidad. La política será el reflejo de estas decisiones que habrá de hacerse pública dentro de la organización. 1.2. FASE 2. ESTRATEGIA 1.2.1. ANÁLISIS DEL IMPACTO DEL NEGOCIO

9

- Es necesario determinar cuánto costaría a la empresa la interrupción de algún servicio. Distinguir qué tipos de servicios son de más valor para la Organización es una buena práctica a tener en cuenta de manera que se pueda determinar los presupuestos dedicados a prevención y restauración. - Para definir el servicio y las acciones a llevar a cabo se debería evaluar: •

Pérdida de imagen de la empresa por interrupción

•

Cuota de mercado

•

Rentabilidad por interrupción del servicio

•

Compromisos del SLA

•

Tiempo de Recuperación

•

Dificultad de Recuperación

•

Coste de Recuperación

•

Etc.

1.2.2. IDENTIFICACIÓN DE ACTIVOS - De cara a una correcta evaluación del impacto del negocio y de una rápida restauración de los servicios, es necesario realizar una identificación de los activos más importantes de los servicios definidos anteriormente como de más valor para la Organización.

10

- Esta identificación debe ir encaminada a definir recursos, componentes, personas, software, localización, etcétera, de estos servicios, pormenorizando por tanto en el futuro sobre qué y dónde actuar de cara a optimizar los esfuerzos. 1.2.3. EVALUACIÓN DE RIESGOS - El objetivo de la Evaluación de Riesgos es determinar a qué tipo de riesgos están expuestos los servicios. - Para detectarlos es necesario conocer muy profundamente el Servicio, para lo que la información de entrada de la identificación previa de activos es muy importante. Así mismo, un análisis de estos activos, conociendo sus amenazas y vulnerabilidades posibles (y potenciales) dará fuerza a esta evaluación para comenzar a plantear medidas que aseguren la Continuidad del Servicio. Estas medidas pueden ser de prevención y de recuperación, y serán adoptadas según la posibilidad que se estime tienen de ocurrir desastres o la potencialidad de riesgos, unida a su coste en esfuerzo y económico. 1.2.4. ESTRATEGIA DE CONTINUIDAD - A partir de la evaluación de riesgos se han de establecer las Estrategias de Prevención o de Recuperación. La suma de ambas será la Estrategia de Continuidad de los Servicios de la Organización. - El equilibrio de ambas se dirime por cuestiones financieras. Los planes de Prevención suelen ser más caros que los de Recuperación, por lo que según la

11

Evaluación de Riesgos y la Gestión Financiera la Organización se decantará por cómo Gestionar la Continuidad de sus Servicios. - Planes de Prevención: - Los planes de prevención se relacionan con otros aspectos de gestión de la organización, como la Gestión de la Continuidad del Negocio y la Gestión de la Seguridad. En ambos casos las medidas que se toman son comunes con la Gestión de la Continuidad del Servicio. - Las acciones a llevar a cabo para plantear un Plan de Prevención se derivan del refuerzo de los aspectos que impiden el a la infraestructura. - Planes de Recuperación: - Dependiendo del nivel de importancia del Servicio (de cara al cliente) a recuperar y de su importancia económica para la Organización, se pueden establecer diferentes soluciones que tienen también un coste creciente, ya que requieren mantenimiento de infraestructuras de replicación continua, alojamientos en otros lugares, equipos de mantenimiento y otros servicios contratados. 1.3. FASE 3. IMPLEMENTACIÓN - La implementación o puesta en marcha tiene como objetivo la definición de los procedimientos de continuidad del servicio y hacer que se desplieguen por toda la Organización. 1.3.1. DESPLIEGUE DE LA ESTRATEGIA 12

- El despliegue de la estrategia requiere hacer llegar a toda la organización, que tenga implicación con el servicio, la documentación e información definida en los Planes de Prevención y Recuperación, detallada en los siguientes procesos: •

Plan de Respuesta ante Emergencias

•

Plan de Recuperación

•

Plan de Evaluación

1.3.2. DESARROLLO DE LA DOCUMENTACIÓN A partir del despliegue, y una vez conocidas las responsabilidades y funciones, se elaboran los planes anteriormente citados. Plan de Respuesta ante Emergencias: Su objetivo es dar responsabilidades y formar a personas que se encarguen de restablecer el servicio evitando reacciones inadecuadas por falta de entrenamiento y formación. En esta situación la comunicación y colaboración con los diferentes actores es fundamental. Con el cliente para comunicarle la caída del servicio (causa propia o ajena), internamente para actuar debidamente y con celeridad y con los proveedores para involucrarlos en la restauración. Plan de Recuperación:

13

Los Planes de Recuperación han sido definidos con la información de entrada recabada en la Estrategia de Continuidad. La puesta en marcha de un Plan de Recuperación ocurre cuando todas las medidas preventivas han fallado o bien porque no era posible contener el riesgo, llamándose a este estado Contingencia. Llegado este momento no puede llevarse nada a cabo si no estaba planificado, probado y validado. Este plan supone realizar una serie de actuaciones, como las siguientes: •

Reorganizar al personal implicado.

•

Restablecer los sistemas de hardware y software necesarios.

•

Recuperar la información

•

Reiniciar el servicio TI.

Los planes de recuperación deben contener al menos los siguientes apartados: •

Introducción donde se describa el Plan de Recuperación

•

Apartado de Cambios, donde se incluyen las modificaciones al documento

•

Clasificación de las Contingencias, por grados de necesidad o gravedad

14

•

Apartados por funciones y responsabilidades; el plan debe dividirse en

secciones a las que cada persona acudirá según sea su responsabilidad en la solución de la Contingencia. Plan de Evaluación: Se ha de planificar una Evaluación de las medidas y actuaciones planteadas en los Planes de Respuesta ante Emergencias, Recuperación y Prevención. Esta evaluación podrá ser realizada cada cierto tiempo, con el fin de valorar si las medidas son efectivas para conseguir el objetivo del Proceso de Gestión de la Continuidad. Si se realiza por primera vez, será la Prueba Inicial. 1.3.3. PRUEBA INICIAL - La prueba inicial se realiza como evaluación interna para comprobar si los planes de emergencia y recuperación, así como las medidas preventivas son válidas. - Esta prueba ha de llevarse a cabo la primera vez con el fin de realizar un informe que plantee mejoras para evitar la existencia de fallos que no permitan recuperar un servicio en un tiempo acordado con el cliente y que provoque pérdidas a la Organización. 1.4. FASE 4. MEJORA

15

- El objetivo de la mejora del proceso es mantener viva dentro de la Organización (y más concretamente en las personas de las que depende este proceso) la Gestión de la Continuidad del Servicio. - La mejora continua, como en otros procesos ITIL se realiza a través de dos fases principales: •

Formación: una formación continua en Continuidad es una formación en

nuevos riesgos, nuevas soluciones, vigilancia tecnológica aplicable, gestión de conflictos, gestión del tiempo, etc. Es un aspecto totalmente diferenciador de este proceso. •

Una vez el personal encargado dispone de las herramientas necesarias

debe formar al personal no encargado de la Infraestructura e incluso al que no tiene conocimientos o relación con los aspectos informáticos del Servicio para garantizar la preparación durante los procesos de Recuperación. •

Seguimiento: informes de seguimiento que arrojen información

de

consecución de objetivos. •

Auditorías: al igual que en la Gestión de la Seguridad, las auditorías, tanto

internas como externas aportan algo más de confiabilidad al Proceso definido. (Biable Management)

16

Bibliografía Biable Management, E. a. (s.f.). ITIL v3 Manual íntegro. Recuperado el 10 de Julio de 2017, de http://www.biable.es/wp-content/s/2014/ManualITIL.pdf LIZARDO, M. E. (23 de Mayo de 2017). EL LIDERAZGO ES UNA OPORTUNIDAD DE SERVIR, NO DE LUCIRSE. HAY QUE UNIRSE, NO PARA ESTAR JUNTOS, SINO PARA LOGRAR RESULTADOS EXCELENTES. Recuperado el 09 de Julio de 2017, de https://arevalomaria.wordpress.com/category/itil/

17