Gestión de I+D+i; Gestión de la Seguridad de la Información:

ISO 27000 y 27001; ISO 20000-1 :2011 Gestión del Servicio

ANTONIO GARCIA

Capítulo 6. ISO 20000-1

Clase 7 ( corresponde a clase repaso 2)
2018-06-15

3a PARTE. ISO 200001:2011 GESTIÓN DEL

SERVICIO
Capítulo 6. ISO 200001
6.1. Introducción
6.2. Estructura de la norma
6.3. Responsabilidades de la dirección
6.4. Ciclo de vida del servicio. Diseño: servicios nuevos o
modificados
6.1. Introducción
VERSION de la norma a estudiar: año 2011
¿ que es?: Una norma que establece los requisitos para la
implementacion y operación de un sistema de gestion de servicios

• cambios de la nueva version sobre la del 2005.

• unificacion de capitulos.
• Aclaracion de requisitos.
• Mejor intergracion con ISO 9001-27001

PREGUNTA:
¿Alguna diferencia con respecto
a ISO 27001?

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
¿PREGUNTA:
¿Alguna diferencia con respecto a ISO 27001?

con respecto
a ISO 27001?

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
6.1. Introducción

EL CUMPLIMIENTO DE LAS NORMAS NO

SUSTITUYE CLOS CUMPLIMIENTOS LEGALES

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
6.1. Introducción

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
6.1. Introducción

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
6.1. Introducción

• Ideas a destacar:
• ISO 20000-1 APLICA METODOLOGIA PDCA.

– FUENTE: https://arevalomaria.wordpress.com
G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
6.1. Introducción
• BENEFICIOS:
– Mejora en la planificación de las líneas estratégicas del
negocio.
– Mejora de las cmdbs de calidad de la organización de forma
transversal a la misma aplicada a todas sus áreas.
– Mejora en la comunicación tanto con terceras partes como
aguas a dentro de la organización en la ejecución de las
actividades que componen el servicio.
– Mejora en la satisfacción del cliente al ver reflejo de un
sistema organizado de gestión que apoya al servicio del cual es
cliente.
– Disminución de costes no de calidad.

• Al operar bajo un SGSTI ofrecemos una garantía a nuestros

clientes de nuestros servicios ofertados.

• ISO 20000-1 ES CERTIFICABLE

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
LLOS PROCESOS DE GESTION DEL SERVICIO

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
6.2. Estructura de la norma

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
 6.3. Responsabilidades de la dirección
• Para implementar un alcance acorde al sistema de gestión lo que
haremos será:
– Listar los servicios que deseamos incluir dentro de la gestión.
– Identificar los requisitos estratégicos de la organización.
– Identificar los elementos necesarios para la provisión de esos
servicios.
– Requisitos legales de la aplicación debido a la naturaleza de la
organización o bien debido a las actividades que esta desarrolla.
Con dichos elementos seremos capaces de formular un
alcance suficiente.
La dirección recibe la obligatoriedad de mostrar
evidencias del compromiso: actas, revision por
Direccion, AA.CC.,…
Definicion de POLITICAS

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
6.3. Responsabilidades de la dirección

• En uno de los requisitos de documentación se establece la

necesidad de implementar un procedimiento documentado de
comunicación.
• ser propietario de licencias por la ley de propiedad intelectual, a
través del apartado 4.1.4 d), UNA DE LAS FUNCIONES DEL
REPRESENTANTE DE LA DIRECCION.

• Uno de los elementos diferenciales con la versión del 2005 es el

modo en que se interactúa con terceras partes :
• Definir contratos de colaboración.
• Nuestro proveedor debe presentar acuerdos de servicio
• El cliente será con quien acordemos nuestros niveles de
servicio por lo que es la persona que propone condiciones

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
Gobierno de los procesos operados por terceros (4.2)

• Gobierno de los procesos operados por terceros (4.2)

El proveedor del servicio debe IDENTIFICAR los procesos (o partes de
procesos) operados por terceros para los cuales hay requisitos del punto 5 al 9

• ¿Qué es gobernar los procesos operados por terceros?:

Demostrar responsabilidad sobre los procesos y autoridad para exigir

adhesión a los mismos.

Controlar la definición de los procesos e interfaces con otros.

Determinar el comportamiento de los procesos y la conformidad con

los requisitos.

Controlar la planificación y priorización de las mejoras de los procesos

El proveedor debe gestionar al suministrador mediante el proceso de gestión de

suministradores.

Si un grupo interno o el cliente opera parte de los servicios, el proveedor debe

gestionarlos a través del proceso de gestión de nivel de servicio

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
6.3. Responsabilidades de la dirección

• DOCUMENTACION.

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
6.3. Responsabilidades de la dirección

• PROVISION DE RECURSOS:
• El proveedor del servicio debe determinar y proporcionar los
recursos humanos, técnicos, de información y financieros
necesarios para:

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
6.3. Responsabilidades de la dirección

• DOCUMENTACION.
La planificación del SGS corre a través de los elementos clásicos:
políticas y objetivos; así como otros nuevos: los requisitos de
servicio. Todos los elementos considerados de la planificación
deben recogerse en un plan de gestión de servicio.

– PLAN DE GESTION DE SERVICIO

– “TRABAJO CON TERCEROS”

REVISION DE LA PLANIFICACION

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
6.3. Responsabilidades de la dirección

• DOCUMENTACION.
HERRAMIENTAS DE MONITORIZACION:
• Auditorías internas.
• Revisión por la dirección.
• La actuación sobre el sistema de gestión del servicio se articula a
través de:
– Política de mejoras.
Procedimiento documentado para las
mejoras.
– Acciones correctivas y preventivas;
Asociado a ISO 9001.

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
6.3. Responsabilidades de la dirección

• Algunas mejoras significativas:

– Tecnologías aplicadas a los servicios.
– Métodos y actividades dentro de los servicios.
– Modificaciones en los recursos asignados.
– Inclusión/exclusión de terceras partes en los servicios.

PLANIFICACION DE LAS MISMAS

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
6.4. CICLO DE VIDA DEL SERVICIO

• DISEÑO DE SERVICIOS NUEVOS O MODIFICADOS:

– Se aliena con la clausula de diseño de ISO 9001.
– MOTOR DEL SERVICIO: LA GESTION DE CAMBIOS

– DISEÑO DE NUEVO SERVICIO

– MODIFICACION DE SERVICIOS

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
6.4. CICLO DE VIDA DEL SERVICIO

SLA: ACUERDOS A NIVEL DE SERVICIO

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
6.4. CICLO DE VIDA DEL SERVICIO
• La planificación de los servicios debe ser revisada
• En el caso de servicios modificados la situación toma distintos
matices. El servicio modificado se puede deber a:
– Cambios en el entorno legal.
– Cambios generado por proveedores.
– Cambios en la tecnología.
– Cambios del cliente.
– Cambios formales solicitados por el cliente.
• ISO 20000-1 dispone de un grado elevado de interactividad entre
sus procesos
Existe un proceso para la gestión de incidentes y la gestión de
problemas.
retroinformación : USUARIO FINAL, PROVEEDORES,
CLIENTES FINALES Y CLIENTES INTERNOS,

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
6.4. CICLO DE VIDA DEL SERVICIO

• NUESTRO INTERES: ¿ CUAL ES?

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
6.4. CICLO DE VIDA DEL SERVICIO

• la provisión del servicio conforme a los requisitos establecidos a

través de los SLAs acordados por las partes debemos remarcar
las condiciones de aceptación del servicio para, así, asegurarnos
del modo en que operará nuestro servicio:
– Inicio del servicio
– Condiciones de puesta en marcha
– Duración del mismo
– Obligaciones de las partes

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
 3a PARTE. ISO 200001:2011 GESTIÓN DEL
SERVICIO
Capítulo 6. ISO 200001
6.5. Implementación
6.6. Relaciones
6.7. Resoluciones
6.8. Control

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio
27
- ANTONIO GARCIA
6.1. Introducción

• Ideas a destacar:
• ISO 20000-1 APLICA METODOLOGIA PDCA.

– FUENTE: https://arevalomaria.wordpress.com
G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
6.5. Implementación

• SLA (6.1)
• Alcance del servicio
• Glosario de términos
• Breve descripción del servicio Servicios de soporte y relacionados
• Horario del servicio
• Periodo de validez
• Exclusiones del servicio
• Propósito del servicio

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
6.5. Implementación

• EJEMPLO DE SLA

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
6.5. Implementación

• CONSIDERAR:
– impacto de los nuevos servicios.
– Estar en disposicion de satisfacer los SLA:
• https://es.wikipedia.org/wiki/Acuerdo_de_nivel_de_servicio.
– Modificacion de los SLA.
– Cancelaciones de Servicio.

– IMPORTANTE:
– NOTIFICAR RESULTADOS
– A PARTES INTERESADAS

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
6.5. Implementación

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
6.5. Implementación

• CONSIDERAR:
• SLA no tienen por que ser unicos para un servicio.
• Mantener el catalogo de SERVICIOS actualizado.
– Buena practica: implementar GUION DE OPERACIONES
dentro de proceso de control de cambio
• MAPEADO de todos los indicadores relativos al servicio.
• Monitoreo de los servicios para cambios en SLA

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
6.5. Implementación

• CONSIDERAR:
• Gran manejo de datos, prioridad: EL SERVICIO BAJO
CONTROL.
• Establecer con clientes que elementos son vitales. Y periodicidad
que desea reporting

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
LLOS PROCESOS DE GESTION DEL SERVICIO

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
6.5. Implementación
• Procesos de Provisión del Servicio (6)
• Cuando implementamos un servicio, este debe mantenerse:
• Emplearemos para ello elementos:
– Evaluaciones de riesgo
– Contratos críticos con proveedores
– Contratos preferentes con proveedores
– Personal interno
– Medios materiales
– Medios económicos
– Contactos
– CMDBS.:

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
6.5. Implementación

• Procesos de Provisión del Servicio (6)

• Gestión del nivel del servicio (6.1)
• Informes del servicio (6.2)
• Gestión de continuidad y disponibilidad del servicio (6.3)
• Elaboración de presupuesto y contabilidad de los servicios
(6.4)
• Gestión de la capacidad (6.5)
Gestión de la seguridad de la información (6.6)

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
6.5. Implementación

• Gestión del nivel del servicio (6.1)

• El proveedor del servicio debe acordar un catálogo de servicios con
el cliente, incluyendo las dependencias entre servicios y
componentes del servicio
• El SLA debe contemplar los requisitos del servicio, objetivos, cargas
de trabajo y excepciones
• Los registros, versiones y acuerdos deben estar bajo control

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
6.5. Implementación

• Informes del servicio (6.2)

• Debe documentarse y acordarse con las partes interesadas el
contenido de los reportes del servicio, incluyendo su identidad,
propósito, destinatarios, frecuencia y detalles de las fuentes de
datos que se usarán.

• El reporte y monitorización del servicio abarca todos los aspectos

medibles del servicio, permitiendo un análisis del presente e
histórico.

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
6.5. Implementación

• Gestión de continuidad y disponibilidad del servicio (6.3)

• ! El proveedor de servicios debe evaluar y documentar los
riesgos para la continuidad y disponibilidad de los servicios.

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
6.5. Implementación

• Elaboración de presupuesto y contabilidad de los servicios

(6.4)
• Debe definirse la interfase entre el presupuesto y contabilidad
para los procesos del servicio y otros procesos de gestión
financiera.

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
 6.5. Implementación

• Gestión de la capacidad (6.5)

• El proveedor del servicio debe crear, implantar y mantener un plan
de capacidad teniendo en cuenta los recursos humanos, técnicos,
de información y financieros.
• Los cambios del plan de capacidad deben estar controlados por el
proceso de gestión de cambios

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
6.5. Implementación

• Gestión de la seguridad de la información (6.6)

• Política de Seguridad de la Información
• ! La dirección debe aprobar una política de seguridad de la
información teniendo en cuenta los requisitos de los servicios,
requisitos legales y regulatorios, y las obligaciones contractuales.

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
Con toda la información recabada, para cada uno de nuestros servicios,
y mantendremos un plan de continuidad y disponibilidad de servicio. Puede integrarse, de
hecho es Una práctica habitual, dentro del plan de continuidad de negocio.

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
6.5. Implementación

• Muy cuidadosos con la Gestion del cambio.

• En la realizacion de simulacros, hacer participar a terceros.
• La facturacion: Elaboracion de presupuestos y contabilidad
• Considerar las actuaciones transversales:
• tecnologia y personal
• Imprevistos y emergencias
• Supervision de costes.
• Seguridad de la informacion.
• Cambios en el servicio a traves de un sistema de
incidencias:
– Portal de comunicación.

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
6.6. Relaciones

• Procesos relacionados con terceros:

– Realizacion de un analisis de riesgos.
– Relacion fluida con clientes y proveedores
– Gestion de un sistema de incidencias.
– Establecer limites en la subcontratacion.
– Establecer un procedimiento documentado para desacuerdos
contractuales

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
6.7. Resoluciones y 6.8 Control
• RESOLUCIONES. CLAUSULA 8
– Gestion de incidencias y problemas
– Aplicación de acciones correctivas.
• CONTROL: CLAUSULA 9
– Indicar tasa de ocupacion de cada servicio.
– Cambios sobre los servicios.
– Gestion de la entrega del servicio

G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA
 www.unir.net
G estión de I+D +i; G estión de la Seguridad de la Inform ación ISO 27000 y 27001; ISO 200001/2011 G estión del servicio

- ANTONIO GARCIA