AENOR

Calidad  y Seguridad en la Mejora del sector TIC Español con normas ISO

Modelo de AENOR para el Gobierno y Gestión de las TICs

Dirección de Desarrollo Estratégico

AENOR

Carlos Manuel FERNÁNDEZ

Ing. en Informática. CISA, CISM. MBA

Gerente de TICs (AENOR)

Profesor Máster (UNIR/UAM/UPM)

Vocal del Colegio Profesional

de Ingenieros en Informática de Madrid (CPIICM)

Noviembre 2013

1

AENOR

AGENDA

1. QUIÉN ES AENOR

2. MODELO DE GOBIERNO Y GESTION DE AENOR

3. PRINCIPALES SISTEMAS/ESTÁNDARES DEL MODELO

4. PROCESO DE CERTIFICACION (SGSI y otros)

5. BIBLIOGRAFIA

2

AENOR

Asociación privada de Normalización y Certificación

AENOR es el representante de ISO en España y algunos países de Latinoamérica.

Sin ánimo de lucroConstitución: 1986Real decreto 2200/95AENOR CorporaciónAENOR INTERNACIONAL (12 filiales)AENOR México ( +10 años en

México DF y Delegaciones)MultisectorialNormalización Certificación productos, servicios,

sistemas de gestión y personal Servicios de FormaciónAENOR es miembro de IQNET

AENOR

3

AENOR

AENOR Datos relevantes

25.300 Certificados ISO 9000 1.200 Certificados OHSAS 18001+ 400 Certificados IS0 27001+ 120 Certificados ISO 20000-1 41 Certificados SPICE nivel 2 3 Certificados SPICE nivel 3

6.220 Certificados ISO 14000558 Certificados EMAS

Calidad y Seguridad Medioambiente

Internacional Recursos Humanos

Más de 45 Acuerdos internacionales para certificación de sistemas

Más de 40 Países donde AENOR concedido certificados

500Auditores/25 auditores TICs

Producto

Más de 89.570 Certificados

NormalizaciónMás de25.000 Normas (UNE y Ratificadas)

Cambio Climático

Más de 200 proyectos MDL, AC y Voluntarios

4

AENOR

Gestión de las TICs con criterios de negocio

• Informe Penteo:– Sólo un 21% de las cías gestionan el Dpto. de SI

con criterios de negocio– 31 % gestionan el dpto. de SI sólo con criterios

tecnológicos – 48 % gestionan con criterios híbridos

• Conclusiones:– La Dirección de las cías. Tiene una percepción

más positiva de los CIOs que siguen criterios de Negocio. Les dan el rol de líderes contribuidores de negocio en un 58%

– La Gestión de las TICs mejora el posicionamiento del dpto. de SI y del CIO

– En un futuro los CIOS más gestores y menos tecnólogos

(Encuesta a: 85 Directores de TICs, 36 Dir. Generales y 12 Presidentes)

5

AENOR

• 71% de los ejecutivos están de acuerdo que es una palanca las TI para transformar el negocio

• 62% creen que las TICs deben focalizarse en la innovación de los procesos de negocio

• 66% están de acuerdo que las TICs han implicado una gestión de riesgos más compleja en las corporaciones.

» Fuente: Ernst&Young study” What’ next for the CIO? (Enero 2011).

Una solución al gobierno y la gestión de las TICs es el modelo de AENOR de ISO en las TICs donde se realiza el gobierno y la gestión de las TICs alineadas con los objetivos de negocio.

Cómo perciben los ejecutivos los Sistemas de Información

6

AENOR

La solución: el Modelo de AENOR con ISO para las TICs

SGCNISO 22301

Sistema de Gestión Continuidad del Negocio.

Nivel de Madurez. Ciclo de Vida de SW

SPICE ISO 15504Modelo de Evaluación, Mejora y Madurez de

Software

SGSIISO 27001

Sistema de Gestión Seguridad de la Información

ISO 27002Guía de Controles

ISO 12207Ciclo de Vida de

Desarrollo de Software

SGSTIISO 20000-1

Sistema de Gestión Servicios TI

ISO 20000-2Guía de Buenas

Prácticas

Desarrollo de Software Procesos / Servicios

Adicionalmente:

• BPCE – Buenas Práctica Comercio Electrónico

• SGSI-ISO 27001 SCADA

Copyright AENOR. Diciembre 2006

Objetivo: Gobierno y Gestión de las TICs con estándares ISO.

Gobierno de TI

ISO / IEC 38500IT Governance

ISO 25000Calidad del Producto

Software

Funciones del

director de TI Calidad y

seguridad en

servicios de TI (el día a día)

Calidad en la creación

de Software

La empresa y su continuidad

según procesos críticos

Nota: tiene PDCA / Control interno Tecnologías de Información

Datacenter Green. Sostenibilidad Energética en CPDs- SE CPD-

Calidad en el

producto final

Software

AENOR

PDCA

SGSTIISO 20000-1

ISO27002ISO 20000-2

(ITIL)

LIBRERÍAINFRAESTRUCTURA

CPDISO 12207

SGSIISO 27001

Motor

Conocimiento

ISO.. ISO 15504

GUIA

S

DE

IMPLANTACION

M

E

T

R

I

C

A

S

Concepto de Motor – Conocimiento TICs

Todos estos sistemas se han basado en la ISO 9001 que tendrá una nueva versión más pragmática en el 2015. Véase www.aenor.es

8

AENOR

GUIAS DE BUENAS PRACTICAS -2CONOCIMIENTO

REPOSITORIO DE PROCESOS / PROCEDIMIENTOS / CONTROLES

“P”

“D”

Identificar Objetivos del Negocio (medibles)Tener apoyo de la DirecciónDefinir políticaEstablecer alcance del al SGSeleccionar procesos/procedimientos/controles

Implantar plan de gestión (tareas, actividades, PERT, GANTT, etc.)Implantar el SG Implantar los procesos/procedimientos/controlesAsignar recursosFormación y Concienciación

Monitorizar el SGRevisar internamente el SGRealizar auditorias internas del SGIndicadores y MétricasRevisión por Dirección

Aplicar mejora continuaPlan y Adoptar las acciones correctivasPlan y Adoptar las acciones preventivas

MODELO PDCA. (Motor –PDCA-1 y Conocimiento-2)

“C”

“A”

9

AENOR

Descripción genérica de un proceso

PROCESO-Tareas / Actividades- Procedimientos-Instrucciones Técnicas- Registros (evidencias)

Entradas Salidas

Indicadores / métricas

Relaciones con otros procesos

Un proceso es un conjunto estructurado de actividades diseñado para cumplir un objetivo concreto. Un proceso tiene entradas y salidas. Las organizaciones que persiguen la eficacia en su funcionamiento tienen que identificar y gestionar numerosos procesos que están relacionados entre sí, ya que es frecuente que la salida de un proceso pase directamente a ser la entrada del siguiente proceso.

Un proceso es un conjunto estructurado de actividades diseñado para cumplir un objetivo concreto. Un proceso tiene entradas y salidas. Las organizaciones que persiguen la eficacia en su funcionamiento tienen que identificar y gestionar numerosos procesos que están relacionados entre sí, ya que es frecuente que la salida de un proceso pase directamente a ser la entrada del siguiente proceso.

Nota: es conveniente la utilización de workflows en el proceso

10

AENOR

La gestión eficaz de la Seguridad de la Información permite a la organización preservarlas.

Re-ordenar la seguridad Cumplimiento normativo-legal en Europa

DISPONIBILIDAD CONFIDENCIALIDAD

INTEGRIDAD

Asegurar que la información es accesible solo para aquellos autorizados a tener acceso.

Garantizar la exactitud y completitud de la información y los métodos de su proceso

Asegurar que los usuarios autorizados tienen acceso cuando lo requieran a la información y sus activos asociados.

Propiedades principales asociadas a la Información

11

AENOR

Activos de SI

Sistemas de información (Base de Datos)

Software (Aplicativos)

Hardware

Telecomunicaciones

Personas

Análisis y Gestión de riesgos

R=F(X1,X2,X3,Xn)

Integridad (X1)

Confidencialidad (X2)

Disponibilidad (X3)

Amenazas (X4)

Vulnerabilidades (X5)

Impacto Económico (X6)

XN

Riesgo Residual

Activo1-------R’1

Activo2-------R’2

Aplicando

ISO/IEC 27002

(Selección de

Controles)

Procesos de Negocio / Servicios de TI

Análisis y Gestión de riesgos – Implantación de controles

12

AENOR

Sistema de Gestión del Servicio (SGS)

Diseño y transición de servicios nuevos o modificados

Procesos de control

• Gestión de la configuración• Gestión del cambio

• Gestión de la entrega y despliegue

• Gestión del nivel de servicio

• Informes del servicio

• Gestión de la Seguridad de la Información

• Elaboración de presupuestos y contabilidad de los servicios

Procesos de resolución

• Gestión de incidencias y peticiones de servicio

• Gestión del problema

Procesos de relación

• Gestión de relaciones con el negocio

• Gestión de suministradores

Fte: ISO / IEC 20000-1:2011

• Gestión de la capacidad

• Gestión de la continuidad y disponibilidad del servicio

Alcance de UNE – ISO/IEC 20000-1:2011

Procesos de Provisión del Servicio

• Responsabilidad de la Dirección

•Establecer el SGS

• Responsabilidad de la Dirección

•Establecer el SGS

•Gobierno de los procesos operados por terceros

•Gestión de la documentación

•Gestión de los recursos

13

AENOR

IPW ™: Workflow de implementación de procesos

14

AENOR

OBJETIVO DEL PROYECTO SUBVENCIONADOObjetivo:

Crear un modelo ágil para la mejora de la calidad del

desarrollo de software de las PYMES españolas

conforme a los niveles de madurez de la norma

internacional ISO/IEC 15504 utilizando los procesos de

la ISO 12207:2008.

Objetivo:

Ciclo de ingeniería del software orientado a objetivos

de negocio y requisitos de usuario (con trazabilidad y

productividad).onsultingybele AENOR

15

AENOR

MODELO DE NIVELES DE MADUREZ

MEJORA DE LA CALIDAD DE LOS

PROCESOS SOFTWARE

MODELO DE PROCESOS

• Procesos• Resultados del Proceso

(RP)

• Procesos• Resultados del Proceso

(RP)

ISO/IEC 12207:2008

MODELO DE EVALUACIÓN

• Atributos de Proceso (AP)• Componentes de los

Atributos de Proceso (CAP)

• Atributos de Proceso (AP)• Componentes de los

Atributos de Proceso (CAP)

ISO/IEC 15504

16

AENOR

Nivel 2 de madurez

PROCESOS DE LOS NIVELES 1 Y 2 DE MADUREZ

Proceso de Suministro Proceso de Definición de Requisitos de los

Stakeholders Proceso de Análisis de los Requisitos del Sistema Proceso de Gestión del Modelo de Ciclo de Vida Proceso de Planificación del Proyecto Proceso de Evaluación y Control del Proyecto Proceso de Gestión de la Configuración del Software Proceso de Gestión de la Configuración Proceso de Medición Proceso de Aseguramiento de la Calidad del Software

Nivel 1 de madurez

AP 2.1 Gestión de la realizaciónCAP 2.1.1 Definir los objetivos del procesoCAP 2.1.2 Planificar y controlar el procesoCAP 2.1.3 Adaptar la realización del procesoCAP 2.1.4 Asignar las responsabilidades del procesoCAP 2.1.5 Asignar los recursos y la informaciónCAP 2.1.6 Gestionar la comunicación entre involucrados

AP 2.2 Gestión de los productos de trabajoCAP 2.2.1 Definir los requisitos para los productos de trabajoCAP 2.2.2 Requisitos para la documentación y controlCAP 2.2.3 Identificar, documentar y controlar los productos de trabajoCAP 2.2.4 Revisar y adaptar los productos de trabajo

17

AENOR

Proceso de Gestión de InfraestructurasProceso de Gestión de Recursos HumanosProceso de Gestión de la DecisiónProceso de Gestión de RiesgosProceso de Diseño de la Arquitectura del SistemaProceso de Integración del SistemaProceso de Análisis de Requisitos del SoftwareProceso de Diseño de la Arquitectura del SoftwareProceso de Integración del SoftwareProceso de Verificación del SoftwareProceso de Validación del Software

Proceso de Gestión de InfraestructurasProceso de Gestión de Recursos HumanosProceso de Gestión de la DecisiónProceso de Gestión de RiesgosProceso de Diseño de la Arquitectura del SistemaProceso de Integración del SistemaProceso de Análisis de Requisitos del SoftwareProceso de Diseño de la Arquitectura del SoftwareProceso de Integración del SoftwareProceso de Verificación del SoftwareProceso de Validación del Software

Nivel 2 de madurez

Nivel 3 de madurez

Nivel 1 de madurez

PROCESOS DE NIVEL 3 DE MADUREZ

18

AENOR

Sistema de Gestión de Continuidad de Negocio - SGCN

ISO 22301:2012(MOTOR – PDCA)ISO 22301:2012(MOTOR – PDCA)

1. Aporta al Plan de Continuidad de Negocio -PCN el PDCA2. Análisis de Impacto en el Negocio (BIA)3. Correspondencia entre las normas ISO 9001, ISO 14001, ISO

27001 e ISO 22301

19

AENOR

La ISO 38500 tiene los siguientes componentes:• La dirección ha de gobernar las TI mediante 3 tareas

principales:– Monitorizar– Evaluar– Dirigir

Estas tres tareas se incluyen en cada uno de los principios.

Modelo de Gobierno Corporativo de TI

20

Principio 1:Responsabilidad

Principio 2: Estrategia

Principio 3: Adquisición

Principio 4: Rendimiento

Principio 5: Conformidad

Principio 6: Factor Humano

AENOR21

Familia de normas ISO/IEC 25000

Calidad del Producto

Funcionalidad Rendimiento Compatibilidad Usabilidad Fiabilidad Seguridad MantenibilidadPortabilida

d

Completitud

Corrección

Idoneidad

Comport.en el tiempo

Utilización deRecursos

Coexistencia

Interoperabilid.

Inteligibilidad

Aprendizaje

Operabilidad

Protección aErrores de

Usuario

Atractividad

Accesibilidad

Madurez

Disponibilidad

Tolerancia aFallos

Capacidad derecuperación

Confidencial.

Integridad

No repudio

Autenticidad

Responsabil.

Modularidad

Reusabilidad

Analizabilidad

Cambiabilidad

Capacidad deSer probado

Adaptabilidad

Facilidad deInstalación

Intercambiabil.

Características de Calidad de la ISO/IEC 25000

AENOR

Nota de prensa – 25 Septiembre 2013

22

AENOR

Proceso de Certificación según ISO 17021

FASE 2: REALIZACIÓN DE

LA AUDITORÍA (presencial)

ELABORACIÓN DEL PLAN DE ACCIONES

CORRECTIVAS - PAC

FASE 1: PLANIFICACIÓN DE LA AUDITORÍA Y ESTUDIO DE

DOCUMENTACIÓN (presencial)

CUESTIONARIOPRELIMINAR Y SOLICITUD

AUDITORÍAS DERENOVACIÓN

(AL TERCER AÑO)

REGISTRAR LOS RESULTADOS

CONCESIÓN DELCERTIFICADO

AUDITORÍAS DESEGUIMIENTO

(AL PRIMER AÑO)

AUDITORÍAS DESEGUIMIENTO

(AL SEGUNDO AÑO)

AENOR

Auditoría de Certificación (ISO

17021)

Audit

orí

as

de

mante

nim

iento

de la

cert

ific

aci

ón

Informe de Evaluación y

Decisión

Informe fase 1

Hoja de datos Alcance : “… de acuerdo

al XXX vigente”

Informe final

La certificación de sistemas de gestión (denominada certificación) es una actividad de evaluación de la conformidad de tercera parte

AENOR

Evaluación y DecisiónManteniendo una estructura que permita independencia e imparcialidad, en la toma de decisiones para la concesión o no de una certificación se establecen tres niveles:

Proceso de Certificación en Modelo de AENOR en TICs

Auditor Jefe

Gerente TICs - Comité

TRE (Técnico Responsable Expediente)

Revisión de Propuesta(Concesión / no concesión)

Decisión (Concesión / no concesión)

Propuesta(Concesión / no concesión)

24

AENOR

Acreditación de AENOR y Reconocimiento Internacional mutuo

25

AENOR

ISO 27001SGSI

AENOR FORMACIONTitulaciones Propias – Ver otras slides

Salidas profesionales desde el modelo de AENOR

ISO 20000SGSTI

ISO 22301SGCN

SPICEISO 15504

Madurez en ciclo de vida de software

ResponsableConsultor

Auditor interno

Auditor externo

Ídem Ídem Ídem

Otros Sistemas en Desarrollo con su titulaciónOtros Sistemas en Desarrollo con su titulación

ISO 38500Gobierno de TI

SAM – ISO 19770SGAS

EA 0044:2013SE CPD

26

AENOR

Testimoniales del Modelo de AENOR

“Tenemos un análisis de riesgos totalmente adaptado a nuestras necesidades”

Luís LopesDirector TécnicoCESCE Soluçoes Informatica. Portugal del Grupo SIA España

ISO 27001 ISO 20000-1Luis Manuel Ortiz

Director ComercialTI América. México

“La certificación garantiza a los clientes que nuestros servicios se rigen por las mejores prácticas”

Maximino Álvarez Director General Xtream . España

SPICE-ISO 15504/ISO 12207

“Base de nuestro crecimiento internacional ”ISO 22301 Cristo M. Pérez Rosquete

Área de Seguridad InformáticaSanitas. España

“Para continuar cuidando”

Luis MontalbanCEOBITWARE. España

ISO 15504 + ISO 25000

“La aplicación conjunta de ISO 15504 e ISO 25000 ha supuesto una mejora en la productividad y un ahorro de costes en el mantenimiento del 60% en el software

AENOR

Bibliografía siglo XXI. Experiencias reales (+ 500 empresas)

Con la colaboración y consenso del Ministerio de Industria al modelo de AENOR basado en ISO, mediante los planes Avanza

28

AENOR

B2CB2BBIG DATA

WEB 1.0WEB 2.0WEB 3.0?

“New Business and Tools for Business”To CEOs & CIOs

Portal CorporativoRedes SocialesWikisBYOD

e-Brandinge-Mailinge-Learning

GISRFID

CRMERPSCM

MOBILITYPdasSmartphoneBlakberry / Iphone / HTC

BUSINESS PLAN = PLAN DE TICS(Integración y Alineamiento)

FACTORIA DE TICs(Nuevos Servicios y Operaciones de TICs)

CLOUD COMPUTINGSaaS (Software As A Service)

IaaS (Infraestructure As A Service)

PaaS (Platform As A Service)

LAS TICs COMO APOYO A LA GESTION E INNOVACION EN LAS EMPRESAS

Fuente: Carlos MF – UPSAM/UPM/UAM/UAH/UNIR

AENOR

Sistemas de Gestión en las TICs. Una historia reciente

“La simplicidad es la mayor de las sofisticaciones” Leonardo Da Vinci

30

AENOR

“PDCA –Ciclo de mejora ContinuaSistema de Gestión Integrado y alineado con los Objetivos

del Negocio.

En conclusión: El modelo de AENOR aporta: confianza, calidad,

productividad-costes e innovación

¿Dormirá tranquilo el/la CIO?

¡¡Muchas Gracias!!

Un nuevo reto en las TICs

Carlos Manuel FERNÁNDEZ. CISA,CISM.

Gerente de TICs – Dirección de Desarrollo

AENORcmfernandez@aenor.es

31