Seguridad en CMMI

El tema de seguridad es crítico en el desarrollo de los productos actuales. El incremento en ataques de diferentes formas que ponen en riesgo las instalaciones y la información que manejan las organizaciones ha incrementado los requisitos y estándares de seguridad por los clientes, la industria y gobiernos.

El CMMI Institute publicó una nota técnica "Security by Design with CMMI for Development v1.3"  que constituye una guía de aplicación para la mejora de procesos de productos seguros. El documento estructura una serie de prácticas agrupadas en cuatro áreas de proceso que cubren elementos de ingeniería, gestión de proyectos y gestión de procesos, que se integran con las áreas de proceso existentes en CMMI DEV. Como resultado las actividades, funciones, métodos y herramientas que se utilizan en el desarrollo del producto ayudan a proporcionar la seguridad que necesita el cliente. 

Evaluación de atributos binarios

La evaluación de atributos binarios es una técnica de evaluación y priorización de los riesgos. Se basa en la evaluación de parámetros de manera binaria. Permite de manera fácil y rápida obtener un resultado con base en la experiencia o percepción del riesgo. 

El modelo CMMI establece en las prácticas de PP o bien en RSKM la necesidad de evaluar los riesgos para determinar las acciones de mitigación que pueden evitar su ocurrencia o minimizar su efecto. Esta técnica por su forma sencilla puede facilitar la práctica y establecer una base para la evaluación posterior.

Riesgos, incidentes, transición y continuidad

El trabajo y los proyectos que se realizan día a día están condicionados por problemas potenciales y reales que deben ser adecuadamente atendidos y canalizados para evitar afectaciones en los resultados. En el modelo CMMI SVC para la creación y operación de los servicios se presta atención a estas situaciones para garantizar la operación de los servicios y satisfacción del cliente. 

Las áreas de proceso de Gestión de riesgos (RSKM), Resolución y prevención de incidentes(IRP), Transición del sistema de servicio (SST) y Continuidad del servicio (SCON) contienen prácticas asociadas con estos elementos. Entender el contexto de aplicación de cada una ayuda a no duplicar esfuerzos en acciones que por su naturaleza requieren un uso eficiente de recursos y resultados efectivos.

Elementos para el control de riesgos

La gestión de riesgos en el modelo CMMI se considera en el área de proceso de Risk Management (RSKM) en particular y es utilizado en diferentes prácticas por otras áreas de proceso. De acuerdo con el glosario es el proceso analítico y organizado que se utiliza para identificar lo que puede causar daños o pérdidas (Identificación de riesgos), evaluar y cuantificar los riesgos identificados, y desarrollar y, si es necesario, implementar un enfoque apropiado para prevenir o controlar las causas de los riesgos que pueden resultar en daños significativos. 

Resumen de Continuidad del servicio en CMMI SVC v1.3

El área de proceso de Service Continuity (SCON) en el modelo CMMI SVC corresponde al nivel 3 en la representación por etapas y está ubicada en la categoría de procesos de Gestión de proyecto y trabajo para la representación continua. Tiene como propósito establecer y actualizar los planes para asegurar la continuidad del servicio durante y después de una ruptura significativa en la operación normal. 


SCON está relacionado con la preparación para recuperar el servicio ante un desastre y poder continuar ofreciendo el servicio. Está muy relacionada con las prácticas de gestión de riesgo en el caso particular de los que tienen que ver con afectaciones a la operación normal del servicio y son complementadas con las prácticas requeridas para garantizar la continuidad del servicio. Se considera una ruptura la situación en la que un evento o secuencia de eventos hace prácticamente imposible para un proveedor de servicio continuar operando de manera normal. 


A diferencia de los incidentes que se presentan en la operación normal del servicio, las interrupciones requieren especial atención producto que pueden afectar al negocio al dejar el servicio inoperable. Es importante identificar y diferenciar los servicios que no pueden ser interrumpidos y los que pueden ser interrumpidos y durante cuánto tiempo.


Las prácticas para garantizar la continuidad del servicio consideran el desarrollo, prueba y actualización del plan de continuidad del servicio. Para ello se requiere capturar información sobre las funciones vitales para el servicio, los recursos requeridos, daños potenciales y el impacto que tienen en el servicio.

Resumen de Prevención y resolución de incidentes en CMMI SVC v1.3

El área de proceso de Incident Resolutión and Prevention (IRP) en el modelo CMMI SVC corresponde al nivel 3 de madurez en la representación por etapas y está ubicada en la categoría de procesos de Establecimiento y prestación del servicio para la representación continua. Tiene como propósito la prevención y resolución en tiempo y efectiva de las incidencias en el servicio, según corresponda. 


IRP tiene que ver con el manejo de las interferencias reales o potenciales en el servicio y en la prevención de que no ocurran. La idea es que el servicio se pueda mantener en operación aún cuando se identifique que algo va mal, mientras se trabaja en la incidencia para reducir los costos y otros impactos adversos por interrupción del servicio. Considera también la atención a quejas por parte del cliente o usuarios del servicio.


La práctica para la resolución de los incidentes considera la revisión de las causas subyacentes y la implementación de acciones para atender las causas o buscar soluciones alternativas que permitan resolver el incidente, en situaciones donde no es viable eliminar las causas del incidente. 


Las tres metas específicas en IRP consideran la preparación para la prevención y resolución de incidencias, la identificación, control y atención a los incidentes que se presentan y finalmente analizar y atender las causas y el impacto de incidentes seleccionados. 

Resumen de Gestión de la capacidad y disponibilidad en CMMI SVC v1.3

NASA Ames Research Center

El área de proceso de Capacity and Availability Management (CAM) en el modelo CMMI SVC corresponde al nivel 3 de madurez en la representación por etapas y está ubicada en la categoría de procesos de Gestión de proyectos y trabajo para la representación continua. Tiene como propósito garantizar la ejecución eficaz del sistema de servicio y que los recursos son proporcionados y utilizados de manera efectiva en apoyo a los requisitos del servicio.


CAM busca que los recursos que se requieren para ofrecer el servicio estén disponibles y sean suficientes en el momento que se requiera, dentro de los costos establecidos. Contribuye a incrementar la satisfacción del cliente al garantizar la disponibilidad del servicio, mientras controla los costos y reduce los riesgos de falla en los servicios. 


Se entiende la capacidad como un atributo de calidad que se refiere a la cantidad máxima de servicios o el número máximo de solicitudes de servicio que el sistema de servicio puede atender exitosamente en un periodo de tiempo. La disponibilidad es el atributo de calidad que se refiere al conjunto de tiempo, lugares y otros elementos que se consideran para el ofrecimiento del servicio. La gestión de la capacidad proporciona los medios para lograr la disponibilidad permanente para cubrir los requisitos del servicio.


El uso de modelos, simuladores, diagramas, mapas y prototipos que permiten representar el sistema de servicio facilitan el análisis del comportamiento del servicio de acuerdo con volúmenes de trabajo y variedades específicas. 


Las prácticas del área de proceso consideran los elementos para planificar los elementos para gestionar la capacidad y disponibilidad así como monitorizarlos y analizarlos para gestionar los recursos y nivel de demanda. 

Plan de contingencias para servicios

La gestión de riesgos es una de las disciplinas fundamentales en la gestión de un proyecto. Obtiene los mayores beneficios en el logro de los objetivos y es un elemento fundamental para el éxito, pero a su vez es de la menos consideradas o utilizadas. 
El modelo CMMI establece un área de proceso en RSKM para considerar las prácticas que se requieren, adicionalmente a ciertos elementos contemplados en otras áreas como PP y PMC. Desde esta perspectiva se parte del establecimiento de una estrategia general para la gestión de riesgos, que permite periódicamente identificar y analizar los riesgos para establecer planes específicos para controlarlos y evitar que afecten los resultados del proyecto.
Finn Orfano publicó en Bright Hub el artículo "Sample IT Risk Management Plan" donde muestra la estructura general del plan de gestión de riesgos, en particular para el manejo de contingencias, del que tomo algunos elementos para presentarlos aquí.

SEI Virtual Forum: Cloud computing y Seguridad

jscreationzs

El SEI realizó el pasado 20 de octubre un foro virtual tecnológico, donde presentó las líneas de trabajo e investigación que está desarrollando o difundiendo actualmente. El foro contó con especialistas y expertos de primer nivel dentro de la institución, quienes expusieron para mil participantes de más de 50 países, conectados en línea, los diferentes tópicos en temas como: Métodos Agile, Cómputo en la Nube, CMMI y TSP. 
En paralelo se enviaron mensajes de Twitter que permitían hacer un seguimiento de lo que estaba pasando en el foro. Tomando esa información y las presentaciones mostradas, pretendemos hacer un resumen de los principales temas.
Grace Lewis presentó los avances en “cloud computing” y las implicaciones en la arquitectura.

Revisiones con la Dirección

El modelo CMMI establece como práctica genérica, para todas las áreas de proceso, la necesidad de realizar revisiones de las actividades, estado y resultados del proceso con la dirección y solucionar las desviaciones (GP 2.10). Esta revisión más que la ejecución del proceso busca proporcionar visibilidad sobre su cumplimiento. 
¿Cuál es el propósito, necesidad y características de esta revisión?

Modelado de procesos con BPMN

BPMN (Business Process Modeling Notation) permite definir procesos con una notación sencilla y entendible por el usuario. Los objetos gráficos, que considera la notación, permiten establecer el flujo del proceso y complementarlo con la descripción de las actividades y características de los diferentes elementos.

En CMMI un subproceso muy recurrente tiene que ver con la identificación y seguimiento de acciones. PMC en SG2 establece las prácticas que se requieren para implementar la gestión de acciones correctivas hasta su cierre. Revisemos como se pueden establecer estas prácticas en un flujo con BPMN.

El valor de las prácticas en CMMI

Un estudio realizado en el año 2003 con 103 ejecutivos de TI, entre CIOs, CTOs, vicepresidentes y directores, y presentado en un artículo, por Richard Pastore y Lorraine Cosgrove, bajo el título “The Best Best Practices”, considera, en segunda posición, que las metodologías de mejora de la calidad, como Six Sigma y CMMI, son las prácticas menos efectivas y más difíciles de implementar. (En la primera posición se menciona establecer el precio de los servicios de TI en relación con su valor).

Esta percepción puede ser altamente influenciada por el hecho de que se perciben de poco valor y burocráticas, mientras que la realidad demuestra que, muchas veces, son inadecuadamente aplicadas o no consideran las necesidades reales de la organización.

Estrategia para gestión de riesgos

El área de gestión de riesgos RSKM requiere en su primera meta específica el establecimiento de la estrategia que sirve como base para la ejecución de la disciplina en el proyecto u organización. La estrategia define la forma en que se identifican, analizan y mitigan los riesgos a partir de las fuentes de riesgo, categorías y parámetros establecidos, los métodos, técnicas y herramientas definidos y las métricas y periodicidad para evaluar el estado de los riesgos. 


Una adecuada gestión de riesgos permite incrementar la probabilidad de éxito de un proyecto y reduce los resultados negativos de los riesgos que no pueden ser evitados o al menos llevar su efecto a límites aceptables. En un artículo publicado por Karl E. Wiegers en Software Development Magazine, 1998 “Know your enemy: Software Risk Management” plantea elementos de interés que se pueden considerar como parte de la estrategia de gestión de riesgos.