Mostrando entradas con la etiqueta seguridad de la información. Mostrar todas las entradas
Mostrando entradas con la etiqueta seguridad de la información. Mostrar todas las entradas

viernes, 30 de junio de 2023

La Evolución en el tiempo de los Sistemas de Calidad

Tras los procesos de implementación de los Sistemas de Gestión de Calidad en las organizaciones transcurre un periodo de tiempo donde dichos sistemas se van asentando en los ritmos de trabajo diarios de las empresas. Generalmente los primeros años se acometen pequeñas mejoras en relación al sistema inicial implementado, con objeto de ir perfeccionando y afinando la sistemática inicial, corrigiéndose, por lo general, áreas débiles de la dinámica de trabajo y control establecida.



Estas mejoras generalmente acometen los procesos operativos principales de la organización, tales como la gestión comercial, el control de proveedores y gestión de compras, por supuesto la dinámica de prestación de servicio o producción de la entidad y aspectos relacionados con los recursos humanos y la infraestructura de la empresa, que son considerado importantes. Reseñarse que muchas de estas actuaciones vienen validadas por los sucesivos análisis de riesgos y oportunidades que se van efectuando, generalmente con periodicidad anual, donde las organizaciones consideran también el contexto donde opera su negocio así como la evolución de los requisitos de sus partes interesadas (principalmente clientes, proveedores y personal).

Con el paso del tiempo y dependiendo del tipo de organización, y en especial de sus líderes, los sistemas de gestión van incorporando la gestión de procesos más allá de los requisitos de la norma de referencia (generalmente la 9001). De este modo las entidades incorporan en sus análisis parámetros económicos y financieros y aspectos relacionados con la gestión de los recursos humanos (desde la perspectiva del capital humano y organizativo). Reseñarse que estos dos “enfoques” conceden a los Sistemas de Gestión una evolución natural hacia el planteamiento y control mediante la implementación de Cuadros de Mando Integrales así como lo correspondientes Mapas Estratégicos cuya implementación se basa en el principio de que “no se puede controlar lo que no se puede medir.”

En relación al primer punto, la incorporación de variables económicas en los sistemas de calidad logra una mayor vinculación entre la calidad y la gestión financiera de la organización, al dotar a la primera de variables numéricas en relación a rentabilidades de las actuaciones programadas y ampliar el marco de información relativa en relación a la evolución de los diferentes procesos de la organización. Por otro lado las decisiones relevantes de la organización toman en consideración, aparte de los parámetros económicos, aspectos que van más allá de los números abriendo el campo a una visión más holística en el planteamiento de la estrategia empresarial.

Por su parte la ampliación de variables a controlar en relación a la gestión de los recursos humanos se va imponiendo en los últimos años en las organizaciones. Aspectos vinculados a la seguridad laboral y a garantizar una mayor “comodidad” por parte de las organizaciones hacia sus trabajadores en el desempeño de sus funciones van generando información que se incluyen actualmente como valores de referencia contrastados en los sistemas de gestión. La participación de los trabajadores en la gestión operativa de las empresas comienza a ser una realidad y la consideración de su opinión comienza a ser tenida en cuenta en muchas entidades para el desempeño de la mejora continua de los propios sistemas de gestión. Ratios de capacitación, de actuaciones formativas, bajas laborales, etc. comienzan a ser habituales en los diferentes Cuadros de Mando de las empresas.



En los últimos años otros dos factores se han ido integrando dentro de los Sistemas de Gestión de Calidad. Por un lado tenemos el conjunto de datos y procesos relacionados con el medio ambiente  y su correspondiente enfoque por parte de las organizaciones. El control de aspectos ambientales tales como los consumos de energía, combustible, etc. así como la correcta gestión de sus residuos son puntos que se han integrado como parámetros de control en las empresas. La consideración de políticas ambientales y el planteamiento de actuaciones con el objetivo de mejorar nuestro comportamiento ambiental se han convertido en objetivos planificados dentro de muchos Sistemas de Gestión de Calidad. Otro de los factores que comienzan a “barnizar” los sistemas de calidad está relacionado con la digitalización e informatización de las empresas. La necesidad de gestionar los sistemas de seguridad de la información, la gestión de las aplicaciones empleadas por la organización en su operativa así como la relevancia tanto de gestionar accesos, copias de seguridad, diversa infraestructura informática y “defensa” ante ataques tanto externos como internos han conllevado al desarrollo por parte de las entidades de sistemas de gestión de todos estos puntos que en gran medida se “conectan” e integran con la calidad de la organización.

La Calidad, en los últimos años, ha pasado de abarcar y desarrollar únicamente los requisitos de sus referenciales a ir incluyendo puntos relacionados con los valores económicos, de recursos humanos, factores ambientales y aspectos de seguridad de la información, entre otros. La gestión e integración de estos procesos en el “cuerpo central” de los sistemas de gestión los está dotando de una mayor profundidad alcanzando, de este modo, una gestión más integral de la organización y concediendo tanto a trabajadores como a directivos una visión más amplia tanto de las operaciones de la empresa como una mayor garantía del cumplimiento normativo actual.  La Calidad ha pasado, de un modo efectivo, a ser una gran herramienta estratégica que puede ser empleada por parte de las organizaciones para su desarrollo competitivo.


“Lo que no se define no se puede medir. Lo que no se mide, no se puede mejorar. Lo que no se mejora, se degrada siempre”. Lord Kevlin físico y matemático británico del siglo XIX

  

Autor. J. Daniel Blanco

 

 

lunes, 31 de enero de 2022

La Seguridad de la Información en los actuales Sistemas de Gestión

Con la evolución de la tecnología cada vez más información empresarial se encuentra recogida en diferentes medios informáticos. Los Sistemas de Gestión y en especial los dedicados a la calidad han ido integrando este cambio dentro de sus procesos operativos. La adaptación sin embargo nos ha llevado a los consultores a tener valorar las nuevas amenazas que han ido apareciendo.


Desde hace ya algunos años la gestión de las no conformidades dentro de las organizaciones acreditadas en un Sistema de Gestión de Calidad ya viene incluyendo diversos incidentes informáticos en relación a ataques o pérdidas de información y que no en pocas ocasiones su impacto en las organizaciones está siendo muy importante.

El empleo de aplicaciones para el control de toda la gestión empresarial que abarca desde la realización de las ofertas a clientes hasta la facturación del servicio conlleva la introducción de todos los datos de los correspondientes encargos o servicios efectuados así como la vinculación correspondiente con los artículos y proveedores asociados. 

Este empleo de la tecnología ha conllevado una agilización en la búsqueda y requerimiento de la información que pueda ser necesaria y ha mejorado la trazabilidad de los trabajos efectuados como bien sabemos los que nos dedicamos a la consultoría. Sin embargo su integración en las organizaciones lleva implícita una serie de riesgos que las empresas deben estudiar y analizar para evitar incidentes no deseados.

En relación a todo el ámbito de la gestión de la seguridad de la información por parte de las organizaciones además de la correspondiente legislación relacionada con protección de datos y de derechos digitales en los últimos años la familia “ISO” se visto ampliada por la aparición de la Norma 27001 que básicamente abarca las líneas de actuación que las entidades deben gestionar para certificar estos sistemas.

Esta norma se encuentra alineada con el resto de normas de la familia ISO al tener definida su estructura de alto nivel. La diferencia se sitúa en que su “marco operativo” se “coloca” en el ámbito de la gestión de la seguridad de la información y como las actuales normas ISO su planteamiento mantiene como punto principal la delimitación y el tratamiento de los riesgos, manteniendo la necesidad de analizar los requisitos de las correspondientes partes interesadas y analizar el contexto en el que “se mueve” la entidad.

Como el resto de sistemas de gestión la implicación del liderazgo y la delimitación de la correspondiente Política son requisitos indispensables en el correcto desarrollo del proceso de implementación. Por otro lado mantiene el “espíritu de la mejora continua” basado en el ciclo de Deming como piedra angular para el desarrollo de actuaciones y objetivos empresariales.

Como puntos “particulares” y relevantes de la 27001 se encuentran la necesidad de efectuar un listado de activos donde queden referidos todos los puntos relacionados tanto con la seguridad informática como con la información gestionada. Por otro lado las organizaciones deben elaborar la llamada “Declaración de Aplicabilidad” donde se delimita el conjunto de controles que están implementados o se van a implementar para garantizar de un modo razonable la seguridad de la información y de un modo asociado se delimitará un Plan de Tratamiento de Riesgos de modo que se de cumplimiento a la mencionada “Declaración”.

Reseñarse que la norma cuenta con un Anexo A bastante completo donde se recoge un listado de objetivos de control y controles que deben ser revisado de cara a su aplicación por parte de las organizaciones. 

La norma no “marca” como obligatorios dichos controles pero su definición abarca diferentes partes del sistema de seguridad que sirven como base para la implementación de dichos sistemas y el análisis de los apartados que pueden ser relevantes en la entidad.

Un aspecto muy relevante a tener en cuenta en las dinámicas de implementación y mejora continua de este tipo de sistemas de gestión es la definición del correspondiente “listado de activos” donde se delimitan, por parte de la organización, el conjunto de equipos, aplicaciones, información, etc. de carácter relevante en el desarrollo del trabajo. Su correcta definición cobra especial relevancia de cara a determinar tanto los riesgos correspondientes como las actuaciones necesarias para su salvaguarda.

De un modo similar a los sistemas de calidad, ambientales, de seguridad laboral, energía, etc. los sistemas de seguridad de la información prestan especial atención al “flujo de información” de la organización tiene con sus partes interesadas; en especial con sus proveedores y clientes. En relación a los primeros la información suministrada tanto para la adquisición de materias primas como la relacionada con actuaciones subcontratadas debe ser controlada y “vigilada”. Por su parte la relación con los clientes en muchos casos nos obliga a “archivar” información sobre ellos que en algunos casos puede ser de carácter sensible o relevante.

En resumen y teniendo en cuenta que la información se está convirtiendo en el activo intangible estratégico más relevante para las organizaciones en los últimos años (siempre lo ha sido) y que dicho activo se encuentra actualmente “guardado” en su mayor parte de soporte digital la necesidad de garantizar su control, acceso, etc. y de la adopción de actuaciones preventivas para garantizar su buen uso y aplicabilidad se ha convertido en una premisa necesaria en el trabajo diario de cualquier entidad. Su correcto control y gestión constituye actualmente una necesidad para cualquier empresa de cara a permanecer y evolucionar en cualquier mercado.

 

“Sed quis custodiet ipsos custodes? (¿Quién vigila a los vigilantes?)”

Décimo Junio Juvenal, poeta romano (siglo I)

  

Autor: Daniel Blanco