Norma Iso 20000-1 2005-español 2y2p2i

NORMA INTERNACIONAL

ISO/IEC 20000-1 Primera edición 2005-12-15

Tecnología de la Información — Gestión del Servicio — Parte 1: Especificación Technologies de l'information — Gestion de services — Partie 1: Spécifications

Número de referencia ISO/IEC 20000-1:2005(E)

1

Contenido

Página

Introducción ------------------------------------------------------------------------------------------------------------------- 3 1 Objeto y campo de aplicación ------------------------------------------------------------------------------------ 3 2 Términos y definiciones -------------------------------------------------------------------------------------------- 4 3 Requisitos para un sistema de gestión ------------------------------------------------------------------------ 5 3.1 Responsabilidad de la dirección --------------------------------------------------------------------------------- 5 3.2 Requisitos de la documentación -------------------------------------------------------------------------------- 6 3.3 Competencia, toma de conciencia y formación -------------------------------------------------------------- 6 4 Planificación e implementación de la gestión del servicio ------------------------------------------------ 6 4.1 Planificación de la gestión del servicio (Planificar) --------------------------------------------------------- 7 4.2 Implementación de la gestión del servicio y prestación del servicio (Hacer) ------------------------ 8 4.3 Seguimiento, medición y revisión (Verificar)------------------------------------------------------------------ 9 4.4 Mejora Continua (Actuar) ------------------------------------------------------------------------------------------ 9 4.4.1 Política ------------------------------------------------------------------------------------------------------------------ 9 4.4.2 Gestión de las mejoras --------------------------------------------------------------------------------------------- 9 4.4.3 Actividades ------------------------------------------------------------------------------------------------------------ 9 5 Planificación e implementación de nuevos servicios o servicios modificados ----------------------- 5 6 Proceso de prestación del servicio ------------------------------------------------------------------------------ 11 6.1 Gestión del nivel de servicio -------------------------------------------------------------------------------------- 11 6.2 Presentación de informes del servicio ------------------------------------------------------------------------- 12 6.3 Gestión de la continuidad y disponibilidad del servicio ---------------------------------------------------- 12 6.4 Presupuesto y contabilidad de los servicios de tecnología de la información ----------------------- 13 6.5 Gestión de la capacidad ------------------------------------------------------------------------------------------- 13 6.6 Gestión de la seguridad de la información -------------------------------------------------------------------- 14 7 Procesos de relación------------------------------------------------------------------------------------------------ 15 7.1 Información general ------------------------------------------------------------------------------------------------- 15 7.2 Gestión de las relaciones proveedor-cliente------------------------------------------------------------------ 15 7.3 Gestión de proveedores externos ------------------------------------------------------------------------------- 15 8 Procesos de Solución----------------------------------------------------------------------------------------------- 17 8.1 Información general ------------------------------------------------------------------------------------------------- 17 8.2 Gestión de incidentes ----------------------------------------------------------------------------------------------- 17 8.3 Gestión de problemas ---------------------------------------------------------------------------------------------- 17 9 Procesos de control ------------------------------------------------------------------------------------------------- 18 9.1 Gestión de la configuración --------------------------------------------------------------------------------------- 18 9.2 Gestión de los cambios -------------------------------------------------------------------------------------------- 19 10 Proceso de puesta en producción ------------------------------------------------------------------------------- 19 10.1 Proceso de gestión de versiones -------------------------------------------------------------------------------- 19

2

INTRODUCCIÓN Esta parte de ISO/IEC 20000 promueve la adopción de un enfoque de procesos integrados para proveer servicios de manera eficaz, con el fin de cumplir los requisitos del negocio y del cliente. Para que una organización funcione eficazmente, tiene que identificar y gestionar numerosas actividades relacionadas entre sí. Se puede considerar como un proceso una actividad que utiliza recursos y que se gestiona a fin de permitir la transformación de entradas en salidas. A menudo, la salida de un proceso es la entrada de otro. Coordinar la integración y aplicación de los procesos de gestión del servicio proporciona control continuo, una mayor eficiencia y oportunidades para la mejora continua. La realización de las actividades y los procesos requiere de una adecuada organización y coordinación del personal de las áreas de mesa de servicio, soporte, operación y prestación de servicios. También se requieren herramientas adecuadas para garantizar que los procesos sean eficaces y eficientes. Se supone que la ejecución de las disposiciones de esta parte de la norma ISO / IEC 20000 está a cargo de personal calificado y competente. Una norma internacional no pretende incluir todas las disposiciones necesarias de un contrato. Los s de normas internacionales son responsables de su correcta aplicación. El cumplimiento de una norma internacional no confiere inmunidad ante las obligaciones legales. 1. OBJETO Y CAMPO DE APLICACIÓN Esta parte de la norma define los requisitos para que un proveedor del servicio entregue servicios gestionados con calidad aceptable para sus clientes. Esta norma puede ser utilizada: a) por negocios que ofrecen sus servicios; b) por negocios que requieren un enfoque consistente por parte de todos los proveedores de servicios en una cadena de suministro; c) por proveedores de servicios para el estudio comparativo de la gestión de su servicio de tecnología de la información; d) como una base para una evaluación independiente; e) por una organización que necesita demostrar su capacidad para proveer servicios que satisfagan los requisitos del cliente; y f) por una organización que tenga como meta mejorar la calidad del servicio.

Figura 1. Procesos de gestión del servicio 3

Esta parte de la norma especifica varios procesos de gestión de servicios estrechamente relacionados, tal como se indica en la Figura 1. Las relaciones entre los procesos dependen de su aplicación dentro de una organización y por lo general son demasiado complejos de modelar. Por lo tanto, las relaciones entre los procesos no se ilustran en este diagrama. La lista de objetivos y controles que contiene esta parte de la norma ISO/IEC 20000 no es exhaustiva, y una organización puede considerar que son necesarios objetivos y controles adicionales para cumplir las necesidades particulares de su negocio. La naturaleza de la relación de negocio, entre el proveedor del servicio y el negocio, determinará cómo los requisitos de esta parte de la norma ISO/IEC 20000 serán implementados con el fin de cumplir el objetivo global. Como norma basada en procesos, esta parte de la norma ISO/IEC 20000 no está destinada a la evaluación del producto. Sin embargo, las organizaciones que desarrollan herramientas, productos y sistemas de gestión de los servicios pueden utilizar tanto esta parte en la norma como el código de práctica para facilitar el desarrollo de herramientas, productos y sistemas que dan soporte a las mejores prácticas de la gestión del servicio. 2- TÉRMINOS Y DEFINICIONES Para los propósitos de este documento, se aplican los siguientes términos y definiciones. 2.1 Disponibilidad (Availability). Capacidad de un componente o servicio para llevar a cabo su función requerida en un instante determinado o durante un período determinado de tiempo. NOTA. Por lo general, la disponibilidad se expresa como una relación entre el tiempo en el que el servicio está realmente disponible para su uso por parte del negocio y las horas de servicio acordadas. 2.2. Línea base (baseline). Registro que evidencia el estado de un servicio o de un elemento de configuración individual en un instante de tiempo (véase el numeral 2.4). 2.3 Registro de cambio (Change record). Registro que contiene detalles de cómo y cuáles elementos de configuración (véase el numeral 2.4) son afectados por un cambio autorizado. 2.4 Elemento de configuración (Configuration Item [CI]). Componente de una infraestructura o un elemento que está o estará bajo el control de la gestión de la configuración. NOTA. Los elementos de configuración pueden variar ampliamente en complejidad, tamaño y tipo, cubriendo desde un sistema total que incluya todo el hardware, el software y la documentación, hasta un módulo individual o un componente menor del hardware.

2.5. Base de datos de la gestión de la configuración (Configuration Management DataBase [CMDB]) . Base de datos que contiene todos los detalles pertinentes de cada elemento de configuración y detalles de las relaciones importantes entre ellos. 2.6 Documento (Document) Información y su medio de soporte. NOTA 1. En esta norma, los registros (véase el numeral 2.9) se diferencian de los documentos por el hecho de que funcionan como evidencias de las actividades y no como evidencias de las intenciones. NOTA 2. Ejemplos de documentos son las declaraciones de políticas, planes, procedimientos, acuerdos de nivel de servicio y contratos.

2.7 Incidente (Incident). Cualquier evento que no forma parte de una operación normal de un servicio y que causa o puede causar una interrupción o reducción de la calidad del servicio. NOTA. Esto puede incluir solicitudes tipo pregunta, por ejemplo, las llamadas “¿Cómo hago……?”

4

2.8 Problema (Problem). Causa subyacente desconocida de uno o más incidentes. 2.9 Registro (Record). Documento que establece los resultados alcanzados o que brinda evidencias de las actividades desarrolladas. NOTA 1. En esta norma, los registros se diferencian de los documentos por el hecho de que ellos funcionan como evidencia de las actividades, y no como evidencia de las intenciones. NOTA 2. Ejemplos de registros incluyen informes de auditoría, solicitudes de cambio, informes sobre incidentes, registros de entrenamiento individual y facturas emitidas a los clientes.

2.10 Versión (Release). Conjunto de elementos de configuración nuevos o modificados que están probados y se producen en forma conjunta en el ambiente de producción. 2.11 Solicitud de cambio (Request for Change). Formulario impreso o en pantalla que se utiliza para registrar detalles de una solicitud de cambio a cualquier elemento de configuración de un servicio de infraestructura. 2.12 Mesa de servicio (Service Desk). Grupo de soporte de cara al , que realiza la mayor porción del trabajo de soporte. 2.13 Acuerdo de nivel del servicio (Service Level Agreement [SLA]). Acuerdo escrito entre un proveedor del servicio y un cliente, el cual documenta los servicios y los niveles de servicio acordados. 2.14 Gestión del Servicio (Service Management). requisitos del negocio.

Gestión de servicios para cumplir con los

2.15 Proveedor de Servicio (Service Provider). Organización que tiene como meta lograr cumplir la norma ISO/IEC 20000. 3 REQUISITOS PARA UN SISTEMA DE GESTIÓN Objetivo: Proporcionar un sistema de gestión que incluya políticas y un entorno de trabajo para permitir la gestión y la implementación efectiva de todos los servicios de tecnología de la información. 3.1 RESPONSABILIDAD DE LA DIRECCIÓN A través de sus acciones y liderazgo, la alta dirección debe evidenciar su compromiso para desarrollar, implementar y mejorar la capacidad de gestión de sus servicios dentro del contexto del negocio de la organización y de los requisitos del cliente. La alta dirección debe: a) establecer la política, los objetivos y los planes de gestión del servicio; b) comunicar la importancia de cumplir con los objetivos de la gestión de servicio y la necesidad de la mejora continua; c) garantizar que se determinan y cumplen los requisitos satisfacción del cliente; 5

del cliente con el fin de mejorar la

d) designar a un miembro de la alta dirección como responsable de la coordinación y la gestión de todos los servicios; e) determinar y suministrar los recursos para planificar, implementar, monitorear, revisar y mejorar la prestación y la gestión del servicio., por ejemplo, contratar al personal adecuado, gestionar la rotación del personal; f) gestionar los riesgos para la organización de la gestión del servicio y para los servicios: y g) llevar a cabo revisiones de la gestión del servicio, a intervalos planificados, para garantizar la continua conveniencia, suficiencia y eficacia. 3.2 REQUISITOS DE DOCUMENTACIÓN Los proveedores de servicios deben suministrar documentos y registros que garanticen la planificación, operación y control eficaces de la gestión del servicio. Esta documentación debe incluir: a) políticas y planes documentados de la gestión del servicio; b) acuerdos documentados de nivel de servicio; c) procesos y procedimientos documentados que se requieren según esta norma; d) registros requeridos por esta norma. Se deben establecer los procedimientos y las responsabilidades para la creación, revisión, aprobación, mantenimiento, disposición y control de los diversos tipos de documentos y registros. NOTA: La documentación puede estar en cualquier forma o tipo de medio.

3.3 COMPETENCIA, TOMA DE CONCIENCIA Y FORMACIÓN Se deben definir y mantener todas las funciones y responsabilidades de la gestión del servicio junto con las competencias que se requieren para ejecutarlas de manera eficaz. Las necesidades de entrenamiento y las competencias del personal se deben revisar y gestionar para permitir que el personal ejecute su función de manera eficaz. La alta dirección debe garantizar que sus empleados estén conscientes de la pertinencia y la importancia de sus actividades y de la forma en que ellos contribuyen al logro de los objetivos de la gestión del servicio. 4 PLANIFICACIÓN E IMPLEMENTACIÓN DE LA GESTIÓN DEL SERVICIO NOTA. La metodología conocida como “Planificar-Hacer-Verificar-Actuar” (PHVA) se puede aplicar a todos los procesos. La metodología PHVA se puede describir de la siguiente manera: a) Planificar: establecer los objetivos y los procesos necesarios para entregar resultados acordes con los requisitos del cliente y las políticas de la organización;

6

b) Hacer: implementar los procesos; c) Verificar: monitorear y medir los procesos y servicios en comparación con las políticas, los objetivos y los requisitos, y reportar los resultados; d) Actuar: tomar acciones para mejora continua del desempeño de los procesos.

Requisitos del negocio

Gestión de servicios Resultados de negocio

Responsabilidad de la dirección Requisitos del cliente

Solicitud de servicios nuevos o modificados

Otros procesos, por ejemplo negocios, proveedores, clientes

Satisfacción del cliente

Planificar Planificar la gestión del servicio

Hacer Implementar la gestión del servicio

Actuar Mejora continua

Otros procesos, por ejemplo negocios, proveedores, clientes

Mesa de servicio

Otros equipos, por ejemplo seguridad, operaciones de tecnología de la información

Servicios nuevos o modificados

Verificar Monitorear, medir y revisar

Satisfacción del equipo y de las personas

Figura 2. Metodología de Planificar-Hacer-Verificar-Actuar para los procesos de la gestión del servicio. El modelo que se ilustra en la Figura 2 muestra el proceso y las relaciones de los procesos que se presentan en los numerales 4 a 10. 4.1 PLANIFICAR LA GESTIÓN DEL SERVICIO (PLANIFICAR) Objetivo: Para planificar la implementación y la prestación de la gestión del servicio. La gestión de servicios se debe planificar. Los planes deben definir, como mínimo: a) el alcance de la gestión del servicio del proveedor de servicios; b) los objetivos y los requisitos que se deben alcanzar por parte de la gestión del servicio; c) los procesos que se deben ejecutar; d) La estructura de roles y responsabilidades de la dirección, incluido el directivo de alto nivel responsable, el dueño del proceso y la dirección de los proveedores externos;

7

e) las interfaces entre los procesos de gestión del servicio y la forma en que las actividades deben coordinarse; f) el enfoque que se debe tomar para identificar, evaluar y gestionar problemas y riesgos para el logro de los objetivos definidos; g) el enfoque para realizar la interfaz con los proyectos que están servicios;

creando o modificando los

h) los recursos, instalaciones y presupuestos necesarios para lograr los objetivos definidos; i) las herramientas que sean adecuadas para sustentar los procesos; y j) la forma en que la calidad del servicio se va a gestionar, auditar y mejorar. Debe existir una dirección clara de la gestión y responsabilidades documentadas de la revisión, autorización, comunicación, implementación y mantenimiento de los planes. Todos los planes específicos de procesos que se elaboren deben ser compatibles con este plan de gestión del servicio.

4.2 IMPLEMENTAR LA GESTIÓN DEL SERVICIO Y PRESTAR EL SERVICIO (Hacer) Objetivo: Implementar los objetivos y el plan de la gestión del servicio. El proveedor del servicio debe implementar el plan de la gestión del servicio para realizar la gestión y la prestación de los servicios, incluyendo: a) la asignación de fondos y presupuestos; b) la asignación de funciones y responsabilidades; c) documentación y mantenimiento de políticas, planes, procedimientos y las definiciones de cada proceso o grupo de procesos; d) la identificación y gestión de los riesgos para el servicio; e) equipos para la gestión, por ejemplo, contratación y desarrollo del personal adecuado y gestión de la continuidad del personal; f) la gestión de los recursos y el presupuesto; g) la gestión de los grupos de trabajo incluidos la mesa de servicio y operaciones; h) informar sobre el progreso en comparación con los planes; y i) coordinar los procesos de la gestión del servicio.

8

4.3 MONITOREAR, MEDIR, Y REVISAR (Verificar) Objetivo: Monitorear, medir y revisar el cumplimiento de los objetivos y del plan de la gestión del servicio. El proveedor del servicio debe aplicar los métodos adecuados para monitorear y, cuando sea conveniente, medir los procesos de la gestión del servicio. Estos métodos deben demostrar la capacidad de los procesos para alcanzar los resultados planificados. La dirección debe llevar a cabo revisiones a intervalos planificados para determinar si los requisitos de la gestión del servicio: a) satisfacen el plan de la gestión del servicio y los requisitos de esta norma; y b) están implementados y se mantienen de manera eficaz. Se debe planificar un programa de auditorías que tome en consideración del estado y la importancia de los procesos y las áreas que se van a auditar así como los resultados de las auditorias anteriores. Los criterios, el alcance, la frecuencia y los métodos de auditoría se deben definir en un procedimiento. La selección de los auditores y la realización de las auditorias deben garantizar la objetividad e imparcialidad del proceso de auditoría. Los auditores no deben auditar su propio trabajo. El objetivo de las revisiones, evaluaciones y auditorias de la gestión del servicio se deben registrar junto con los hallazgos de tales auditorias, revisiones y toda acción correctiva identificada. Cualquier no conformidad o preocupación que presente un área significativa, se debe comunicar a las partes pertinentes. 4.4 MEJORA CONTINUA (Actuar) Objetivo: Mejorar la eficacia y la eficiencia de la gestión y la prestación del servicio. 4.4.1 POLÍTICA Debe existir una política publicada sobre la mejora del servicio. Toda no conformidad con las normas o con los planes de la gestión del servicio se debe corregir. Las funciones y responsabilidades de las actividades de mejora del servicio se deben definir claramente. 4.4.2 GESTIÓN DE LAS MEJORAS Todas las sugerencias para la mejora del servicio se deben evaluar, registrar, priorizar y autorizar. Se debe utilizar un plan para el control de esta actividad. El proveedor del servicio debe tener un proceso implementado para identificar, medir, informar y gestionar las actividades de mejora de manera continua. Este debe incluir: a) mejoras a un proceso especifico que el dueño del proceso pueda implementar con los recursos de personal habituales, por ejemplo, realización de acciones correctivas y preventivas especificas; y b) mejoras en toda la organización o en más de un proceso. 4.4.3 ACTIVIDADES El proveedor del servicio debe llevar a cabo actividades para: 9

a) recolectar y analizar datos para establecer la línea base y comparar la capacidad del proveedor de servicios para la gestión y prestación de servicios y los procesos de gestión de estos; b) identificar, planificar e implementar las mejoras; c) consultar con todas las partes involucradas; d) establecer metas para las mejoras en la calidad, los costos y la utilización de los recursos; e) considerar todas las entradas pertinentes acerca de las mejoras que provienen de todos los procesos de la gestión del servicio; f) medir, informar y comunicar las mejoras del servicio; g) revisar políticas, procesos, necesario; y

procedimientos y planes de la gestión del servicio cuando sea

h) garantizar que todas las acciones aprobadas se llevan a cabo y que éstas logran sus objetivos previstos. 5. PLANIFICACIÓN MODIFICADOS

E

IMPLEMENTACIÓN

DE

NUEVOS

SERVICIOS

O

SERVICIOS

Objetivo: Garantizar que los nuevos servicios y los cambios a los servicios se podrán prestar y gestionar con el costo y la calidad del servicio acordados. Las propuestas para los servicios nuevos o modificados deben tener en cuenta el costo, el impacto organizacional, técnico y comercial que se podría producir como resultado de la prestación y la gestión del servicio. La implementación de servicios nuevos o modificados, incluyendo la eliminación de un servicio, se debe planificar y aprobar a través de la gestión formal de cambios. La planificación e implementación deben incluir los fondos y recursos adecuados para hacer los cambios necesarios para la prestación y la gestión del servicio. El plan debe incluir: a) los roles y responsabilidades de la implementación, operación y mantenimiento del nuevo servicio o de un servicio modificado, incluidas las actividades que se deben desarrollar por parte de los clientes y los proveedores externos; b) los cambios en los servicios y en la estructura para la gestión del servicio existente; c) la comunicación con las partes correspondientes; d) contratos y acuerdos nuevos o modificados para estar acordes con los cambios en la necesidad del negocio; e) requisitos de contratación y recursos humanos; 10

f) requisitos de entrenamiento y habilidades, por ejemplo: soporte técnico, s; g) procesos, mediciones, métodos y herramientas que se han de utilizar en relación con el servicio nuevo o modificado, por ejemplo: gestión de la capacidad, gestión financiera; h) presupuestos y cronogramas; i) criterios de aceptación del servicio; y j) los resultados esperados mensurables.

por la operación del nuevo servicio, expresados en términos

Los servicios nuevos o modificados deben ser aceptados por el proveedor del servicio antes de su implementación en el entorno real. El proveedor del servicio debe informar sobre los resultados alcanzados por el servicio nuevo o modificado después de su implementación en comparación con los resultados planificados. Se debe llevar a cabo una revisión posterior a la implementación que compare los resultados reales frente a los planificados. 6. PROCESOS DE PRESTACIÓN DEL SERVICIO 6.1 GESTIÓN DEL NIVEL DEL SERVICIO

Objetivo: Definir, acordar, registrar y gestionar los niveles de servicio. Las partes deben pactar el rango completo de servicios que se van a prestar junto con las metas del nivel correspondiente del servicio y las características de la carga de trabajo y esta información debe estar registrada. Cada servicio prestado debe estar definido, acordado y documentado en uno o más acuerdos de nivel del servicio (SLA). Los SLA junto con los acuerdos que soportan el servicio, los contratos con proveedores externos y los procedimientos correspondientes deben ser pactados por todas las partes correspondientes y se deben registrar. Los acuerdos deben estar bajo control del proceso de gestión de cambios. Los SLA se deben mantener mediante revisiones regulares por todas las partes con el fin de garantizar que están actualizados y continúan siendo eficaces con el paso del tiempo. Los niveles del servicio se deben monitorear y reportar en comparación con las metas, presentando tanto la información actual como la de tendencia. Se deben reportar y revisar las razones de las no conformidades. Las acciones para la mejora que se identifiquen durante este proceso se deben registrar y debe suministrar entrada para un plan de mejora del servicio.

11

6.2 PRESENTACIÓN DE INFORMES DE SERVICIO Objetivo: Producir informes exactos, acordados, oportunos y confiables que permitan una toma de decisiones fundamentada y una comunicación eficaz. Debe existir una descripción clara del informe de cada servicio incluyendo su identificación, propósito, audiencia y detalles de la fuente de datos. Los informes del servicio se deben elaborar con el fin de satisfacer las necesidades identificadas y los requisitos del cliente. La presentación de informes del servicio debe incluir: a) desempeño en comparación con las metas del nivel del servicio; b) problemas y no conformidades, por ejemplo: frente a los SLA, brechas de seguridad; c) características de la carga de trabajo, por ejemplo: volumen, utilización de recursos; d) presentación de informes de desempeño inmediatamente después de eventos principales, por ejemplo: incidentes y cambios importantes; e) información de tendencias; f) análisis de satisfacción. Las decisiones de la dirección y las acciones correctivas deben considerar los hallazgos de los informes del servicio y se deben comunicar a las partes correspondientes. 6.3 GESTIÓN DE LA CONTINUIDAD Y DISPONIBILIDAD DEL SERVICIO Objetivo: Garantizar que la continuidad acordada del servicio y los compromisos de disponibilidad para los clientes se pueda cumplir en todas las circunstancias. Los requisitos de disponibilidad y continuidad de los servicios se deben identificar con base en los planes del negocio, los SLA y las evaluaciones de riesgo. Los requisitos deben incluir los derechos de y los tiempos de respuesta, así como la disponibilidad total de los componentes del sistema. Los planes de disponibilidad y continuidad del servicio se deben desarrollar y revisar por lo menos anualmente con el fin de garantizar que se cumplen los requisitos que han sido acordados en todas las circunstancias, desde el servicio normal hasta las pérdidas importantes del servicio. Estos planes se deben mantener para garantizar que reflejan los cambios acordados requeridos por el negocio. Los planes de disponibilidad y continuidad del servicio se deben someter nuevamente a prueba con cada cambio principal en el entorno del negocio. El proceso de gestión de cambios debe evaluar el impacto de cualquier cambio en el plan de disponibilidad y continuidad del servicio. Se debe medir y registrar la disponibilidad. La falta de disponibilidad no planificada se debe investigar y se deben tomar las acciones apropiadas. 12

NOTA.

Cuando sea posible, se deberían predecir los problemas potenciales y tomar las acciones preventivas .

Los planes de continuidad del servicio, las listas de os y la base de datos de gestión de la configuración deben estar disponibles incluso en el caso en que no sea posible el normal a las oficinas. El plan de continuidad del servicio debe incluir el retorno al funcionamiento normal. El plan de continuidad del servicio se debe evaluar de acuerdo con las necesidades del negocio. Todas las pruebas de continuidad se deben registrar y las fallas se deben formular en planes de acción. 6.4 PRESUPUESTOS Y CONTABILIDAD DE LOS SERVICIOS DE TECNOLOGÍA DE LA INFORMACIÓN Objetivo: Realizar el presupuesto y la contabilidad para el costo de la prestación del servicio. NOTA Esta sección comprende la elaboración del presupuesto y la contabilidad para los servicios de tecnología de la información. En la práctica, muchos proveedores de servicio estarán involucrados en el cobro de estos servicios. Sin embargo, dado que la actividad de cobro es una actividad opcional, no se trata en esta norma. Se recomienda a los proveedores de servicio que, cuando se esté utilizando la actividad de cobro, el mecanismo para hacerlo esté totalmente definido y todas las partes lo entiendan claramente. Todas las prácticas de contabilidad que se utilizan deberían estar acordes con las prácticas de contabilidad más utilizadas de la organización del proveedor del servicio.

Deben existir políticas y procesos claros para: a) presupuestar y contabilizar todos los componentes incluyendo los bienes de tecnología de la información, los recursos, gastos generales, servicios que se suministran externamente, personas, seguros y licencias; b) distribución de costos indirectos y asignación de costos directos a los servicios; c) autorización y control financiero eficaz. Los costos se deben presupuestar con suficiente detalle para permitir el control financiero y la toma de decisiones de manera eficaz. El proveedor del servicio debe monitorear e informar los costos frente al presupuesto, la revisión de las previsiones financieras y la gestión de los costos correspondientes. Los cambios en los servicios deben ser costeados y aprobados a través del proceso de gestión de cambios. 6.5 GESTIÓN DE LA CAPACIDAD Objetivo: Garantizar que el proveedor del servicio tiene, en todo momento, la capacidad suficiente para satisfacer las demandas acordadas actuales y futuras de las necesidades del negocio del cliente. La gestión de la capacidad debe producir y mantener un plan de capacidad. La gestión de la capacidad debe tratar las necesidades del negocio e incluir: 13

a) la capacidad y los requisitos de desempeños actuales y previstos; b) la identificación de los cronogramas, los umbrales y los costos para las mejoras del servicio; c) la evaluación de los efectos de las mejoras previstas en el servicio, las solicitudes de cambio, las nuevas técnicas y tecnologías, sobre la capacidad; d) el impacto previsto de los cambios externos, por ejemplo legislativos; e) los datos y procesos para permitir el análisis de predicción. Se deben identificar los métodos, procesos y técnicas para monitorear la capacidad del servicio, ajustar el desempeño del servicio y proporcionar una capacidad adecuada. 6.6 GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN Objetivo: Gestionar la seguridad de la información de manera eficaz dentro de todas las actividades del servicio. NOTA. La norma ISO/IEC 27002, Tecnología de la información. Técnicas de Seguridad. Código de Práctica para la Gestión de la Seguridad de la Información proporciona directrices sobre la gestión de la seguridad de la información.

La dirección con la autoridad adecuada debe aprobar una política de seguridad de la información que se debe comunicar a todo el personal pertinente y a los clientes, cuando corresponda. Los controles adecuados de seguridad deben operar para: a) implementar los requisitos de la política de seguridad de la información; b) gestionar los riesgos asociados con el al servicio o los sistemas. Los controles de seguridad deben estar documentados. La documentación debe describir los riesgos con los cuales se relacionan los controles, y la forma de operación y mantenimiento de los controles. El impacto de los cambios en los controles se debe evaluar antes de implementar el cambio. Los acuerdos que implican a organizaciones externas que tienen a los sistemas y los servicios de información se deben basar en un acuerdo formal que defina todos los requisitos de seguridad necesarios. Se deben implementar mecanismos para permitir que los tipos, volúmenes e impactos de los incidentes de seguridad y el mal funcionamiento se puedan cuantificar y monitorear. Las acciones de mejora identificadas durante este proceso se deben registrar y brindar entradas para el plan de mejora del servicio.

14

7. PROCESOS DE RELACIÓN 7.1 INFORMACIÓN GENERAL Los procesos de relación describen los dos aspectos asociados a la gestión del proveedor y con la gestión de relaciones proveedor-cliente. 7.2 GESTIÓN DE LAS RELACIONES PROVEEDOR-CLIENTE. Objetivo: Establecer y mantener una buena relación entre el proveedor de servicio y el cliente basada en el entendimiento del cliente y su negocio. El proveedor del servicio debe identificar y documentar las partes involucradas y los clientes del servicio. El proveedor del servicio y el cliente deben asistir a una revisión del servicio para discutir todos los cambios en el alcance del servicio, los SLA, el contrato (si existe) o las necesidades del negocio por lo menos una vez al año y deben realizar reuniones intermedias a intervalos acordados para discutir el desempeño, los logros y los problemas en los planes de acción. Estas reuniones se deben documentar. Otras partes involucradas en el servicio también pueden participar en las reuniones. Los cambios en los contratos, si existen, y los SLA deben ser consecuencia de estas reuniones. Estos cambios deben estar sujetos al proceso de gestión de cambios. El proveedor del servicio debe conocer las necesidades del negocio y los cambios principales con el fin de prepararse para responder a estas necesidades. Debe existir un proceso de reclamaciones. La definición de una reclamación formal del servicio debe estar acordada con el cliente. El proveedor del servicio debe registrar todas las reclamaciones formales del servicio y además investigar, tomar acción, informar y cerrar de manera formal las reclamaciones. Cuando una reclamación no se resuelva a través de los canales normales el cliente debe contar con otras instancias. El proveedor del servicio debe asignar a un individuo o varios individuos que sean responsables de la gestión de la satisfacción del cliente y de todos los procesos de relaciones del negocio. Debe existir un proceso para obtener retroalimentación de las mediciones regulares de satisfacción del cliente y para actuar sobre ellas. Las acciones para la mejora identificadas durante este proceso se deben registrar e ingresar en un plan para la mejora del servicio. 7.3 GESTIÓN DE PROVEEDORES EXTERNOS Objetivo: Gestionar los proveedores externos para garantizar la prestación continua del servicio con calidad. NOTA 1. El alcance de esta norma excluye la búsqueda y selección de proveedores externos. NOTA 2. El proveedor del servicio puede utilizar proveedores externos para entregar alguna parte del servicio. Es el proveedor del servicio quien necesita demostrar el cumplimiento de los procesos de gestión de estos proveedores externos. Se pueden presentar relaciones complejas como se demuestra en el diagrama a continuación, el cual se usa como ejemplo:

15

Proveedor Externo 1

Proveedor del servicio (puede ser interno o externo)

Proveedor Externo 2

Proveedor Externo subcontratado 4

Negocio

Proveedor Externo líder 3

Figura 3. Ejemplo de la relación entre proveedores de servicios y proveedores externos El proveedor del servicio debe tener procesos documentados para la gestión de los proveedores externos y debe nombrar a un director de contratos responsable de cada proveedor externo. Los requisitos, el alcance, el nivel de servicio y los procesos de comunicación que debe suministrar el proveedor externo deben estar documentados en los SLA o en otros documentos y deben ser pactados por todas las partes. Los SLA con los proveedores externos deben estar en línea con los SLA con el negocio. Las interfaces entre los procesos utilizados por cada una de las partes deben estar documentadas y pactadas. Todas las funciones y las relaciones entre el proveedor externo líder y los subcontratados deben estar claramente documentadas. Los proveedores externos líderes deben tener la capacidad de demostrar procesos que garanticen que los proveedores externos subcontratados cumplen los requisitos contractuales. Se debe implementar un proceso para una revisión importante del contrato o el acuerdo formal por lo menos una vez al año para garantizar que las necesidades del negocio y las obligaciones contractuales aún se satisfacen. Los cambios en los contratos, si existen, y los SLA se deben deducir de estas revisiones según sea adecuado o en otros momentos, según se requiera. Todos los cambios deben estar sujetos al proceso de gestión de cambios. Debe existir un proceso para tratar las disputas contractuales. Se debe implementar un proceso para tratar la finalización esperada del servicio, la finalización temprana del servicio o la transferencia del servicio a otra de las partes. Se debe monitorear y revisar el desempeño en comparación con las metas del nivel de servicio. Las acciones de mejora identificadas durante este proceso se deben registrar en e ingresar en un plan para la mejora del servicio.

16

8 PROCESO DE SOLUCIÓN 8.1 INFORMACIÓN GENERAL La gestión de incidentes y problemas son procesos separados, aunque están ligados estrechamente. 8.2 GESTIÓN DE INCIDENTES Objetivo: Restaurar el servicio estipulado para el negocio tan pronto sea posible o responder a las solicitudes del servicio. Todos los incidentes se deben registrar. Se deben adoptar procedimientos para gestionar el impacto de los incidentes. Los procedimientos, deben definir el registro, la prioridad, el impacto en el negocio, la clasificación, la actualización, escalamiento, la resolución y el cierre formal de todos los incidentes. El cliente debe permanecer informado sobre el progreso de los incidentes que reportó o de las solicitudes de servicio y se debe alertar con anticipación si sus niveles de servicio no se pueden satisfacer, así como sobre la acción acordada. Todo el personal implicado en la gestión de incidentes debe tener a la información pertinente, como por ejemplo: los errores conocidos, las soluciones de problemas y la base de datos de gestión de la configuración. Los incidentes importantes se deben clasificar y gestionar de acuerdo con un proceso. 8.3 GESTIÓN DE PROBLEMAS Objetivo: Minimizar la interrupción del negocio mediante la identificación proactiva y el análisis de la causa de los incidentes y mediante la gestión de los problemas hasta su cierre. Todos los problemas identificados se deben registrar. Se deben adoptar procedimientos para identificar, minimizar o evitar el impacto de los incidentes y los problemas. Tales procedimientos deben definir el registro, la clasificación, la actualización, el escalamiento, la resolución y el cierre de todos los problemas. Se deben realizar acciones preventivas para reducir los problemas potenciales, por ejemplo seguir el análisis de tendencia de volúmenes y tipos de incidentes. Los cambios que se requieren con el fin de corregir la causa subyacente de los problemas deben pasar por el proceso de gestión de cambios. La solución de problemas se debe monitorear, revisar e informar para que sean eficaces. La gestión de problemas debe ser responsable de garantizar que la información actualizada sobre los errores conocidos y los problemas corregidos esté disponible para la gestión de incidentes. 17

Las acciones para la mejora identificadas durante este proceso se deben registrar e ingresar en un plan de mejora del servicio. 9. PROCESO DE CONTROL 9.1 GESTIÓN DE LA CONFIGURACIÓN Objetivo: Definir y controlar los componentes del servicio y la infraestructura, así como mantener información exacta sobre la configuración. Debe existir un enfoque integrado para la planificación de la gestión de la configuración y del cambio. El proveedor del servicio debe definir las interfaces con los procesos de contabilidad de los bienes financieros. NOTA. La contabilidad de los bienes financieros está fuera del alcance de esta sección.

Debe existir una política sobre lo que se define como elemento de configuración y sus componentes constitutivos. La información que se debe registrar para cada elemento debe estar definida y debe incluir las relaciones y la documentación necesarias para la gestión eficaz del servicio. La gestión de la configuración debe brindar los mecanismos parta identificar, controlar y rastrear versiones de componentes identificables del servicio y la infraestructura. Se debe garantizar que el grado de control es suficiente para satisfacer las necesidades del negocio, el riesgo de falla y la criticidad del servicio. La gestión de la configuración debe brindar información al proceso de gestión de cambios sobre el impacto de un cambio solicitado en las configuraciones del servicio y la infraestructura. Los cambios en los elementos de configuración se deben poder rastrear y auditar cuando corresponda, por ejemplo para los cambios y movimientos del software y el hardware. Los procedimientos de control de configuración deben garantizar que se mantiene la integridad de los sistemas, los servicios y los componentes del servicio. Se debe establecer una línea base de los elementos de configuración correspondientes, antes de llevarlo a un entorno de producción. Las copias maestras de los elementos de configuración digital deben ser controladas en bibliotecas electrónicas o físicas seguras y deben tener referencia a los registros de configuración, por ejemplo software, productos de prueba, documentos de soporte. Todos los elementos de configuración deben tener una identificación única y se deben registrar en la base de datos de gestión de configuración, a la cual el de actualización debe estar estrictamente controlado. La base de datos de la gestión de la configuración se debe gestionar de forma activa y se debe verificar con el fin de garantizar su confiabilidad y exactitud. El estado de los elementos de configuración, sus versiones, ubicación, cambios relacionados, problemas y documentación asociada deben estar visibles para aquellos que lo requieran. 18

Los procedimientos de auditoría de la configuración deben incluir el registro de deficiencias, iniciación de acciones correctivas y presentación de informes sobre los resultados.

9.2 GESTIÓN DE CAMBIOS Objetivo: Garantizar que todos los cambios se evalúan, se aprueban, implementan y revisan de manera controlada. Los cambios en el servicio y la infraestructura deben tener un alcance claramente definido y documentado. Todas las solicitudes de cambio se deben registrar y clasificar, por ejemplo en urgentes, de emergencia, mayor o menor. Las solicitudes de cambio se deben evaluar para determinar sus riesgos, impactos y beneficios para el negocio. El proceso de gestión de cambios debe incluir la forma en la que se va a revertir o remediar el cambio si éste no tiene éxito. Los cambios se deben aprobar y después verificar, y se deben implementar de manera controlada. Todos los cambios se deben revisar para determinar el éxito y todas las acciones realizadas después de la implementación. Deben existir políticas y procedimientos para controlar la autorización e implementación de los cambios de emergencia. Las fechas programadas de implementación de los cambios se deben utilizar como base para los programas de cambios y puesta en producción. Un programa que contenga detalles de todos los cambios aprobados y las fechas propuestas para su implementación se debe conservar y comunicar a todas las partes pertinentes. Los registros de cambios se deben analizar con regularidad con el fin de detectar niveles crecientes de cambios, los tipos que reaparecen con frecuencia, las tendencias emergentes y otra información pertinente. Se deben registrar los resultados y las conclusiones obtenidas en el análisis de cambios. Las acciones para la mejora identificadas en la gestión de cambios se deben registrar e ingresar en un plan de mejora del servicio. 10. PROCESO DE PUESTA EN PRODUCCIÓN 10.1 PROCESO DE GESTIÓN DE VERSIONES Objetivo: Entregar, distribuir y mantener trazabilidad de uno o más cambios en una versión en el entorno de producción. NOTA. El proceso de gestión de versiones debería integrarse con los procesos de gestión de cambios y gestión de la configuración.

19

Se debe documentar y acordar la política de versiones que establezca la frecuencia y el tipo de versiones. El proveedor del servicio debe planificar con el negocio la puesta en producción de servicios, sistemas, software, hardware. Todas las partes pertinentes, por ejemplo, clientes, s, personal de operaciones y de soporte, deben autorizar y pactar los planes sobre la manera de implementar una versión. El proceso debe incluir la forma en que la versión se debe revertir o remediar si no tiene éxito. Los planes deben registrar las fechas y los entregables de la puesta en producción y hacer referencia a las solicitudes de cambio, los errores conocidos y los problemas relacionados. El proceso de gestión de versiones debe suministrar información adecuada al proceso de gestión de incidentes. Se deben evaluar las solicitudes de cambio para determinar su impacto en los planes de puesta en producción. Los procedimientos de gestión de versiones deben incluir la actualización y el cambio de la información de configuración y los registros de cambio. Las versiones de emergencia se deben manejar de acuerdo con un proceso definido que esté estrechamente relacionado con el proceso de gestión de cambios de emergencia. Se debe establecer un entorno de prueba de aceptación controlado para construir y probar todas las versiones antes de su distribución. La puesta en producción y distribución deben tener un diseño y una implementación que permitan mantener la integridad del hardware y el software durante la instalación, la manipulación, el empaque y la entrega. Se debe medir el éxito y el fracaso de las versiones. Las mediciones deben incluir los incidentes relacionados con una versión en el período posterior a su puesta en producción. El análisis debe incluir la evaluación del impacto en el negocio, las operaciones de tecnología de la información y los recursos del personal de soporte, y también debe suministrar una entrada para un plan de mejora del servicio.

20