La ISO 20000-7, garantía de confianza en los servicios en la nube

Diego Berea, director de Ozona Consulting.

Disponer de certificaciones de calidad como la ISO 20000 es, sin lugar a dudas, un factor diferencial ante la competencia. En el caso de los servicios en la nube, esta diferenciación se acentúa aún más si cabe por la necesidad de generar confianza en el proveedor, ya que en el paradigma cloud el cliente pierde el control de parte del servicio.

Con la aplicación de la ISO 20000 a servicios cloud se permite evidenciar que un proveedor gestiona sus servicios con calidad, que son confiables, que se diferencian de su competencia y que existe una vocación permanente de alinear los servicios con los requisitos que les marca el negocio, aunque estos vayan variando en el tiempo.

La ISO 20000 se consolidará en los próximos años en la garantía de confianza imprescindible para todo proveedor de servicios cloud.

El enfoque de la ISO 20000-7

La ISO 20000 es un estándar escrito desde el punto de vista del proveedor de servicios TI. Identifica requisitos que debe cumplir un proveedor para implantar un sistema de gestión que asegure la provisión de servicios de calidad a un coste adecuado. Sin embargo, la mayor parte de la literatura de cloud computing está escrita desde la perspectiva del cliente y no de la del proveedor.

Por ejemplo, una de las características esenciales de los servicios en la nube, de acuerdo con la definición del NIST (Instituto americano de Estándares y Tecnología), es el “autoservicio bajo demanda”. El cliente puede contratar más recursos –o liberarlos- de acuerdo con sus necesidades y habitualmente mediante un sistema automático de provisión y una interfaz de autoservicio.

Para este ejemplo de autoservicio, desde el punto de vista del cliente, algunos de los aspectos clave a tener en cuenta están relacionados con la seguridad de la información, con la localización de los datos, con el control de la infraestructura, etc. En función del uso que va a recibir el servicio, existen restricciones legales sobre la ubicación de los datos, exigencias sobre protección de datos, etc. que el cliente podría tener dificultades para satisfacer al tratarse de un servicio en la nube sobre el que no tiene un control total.

Desde el punto de vista del proveedor, sin embargo, dentro del mismo escenario existen otros aspectos críticos que deben ser abordados, como la gestión de la capacidad. Es necesario asegurar que habrá recursos disponibles para atender la demanda de los clientes–una demanda que, por definición, puede sufrir variaciones drásticas y arbitrarias a lo largo del tiempo- y, al mismo tiempo, asegurar que no habrá un exceso de recursos ociosos que inviabilicen la prestación del servicio.

La ISO 20000-7 se centra en este segundo punto de vista. Identifica los aspectos de la gestión de servicios de TI que el proveedor debe tener especialmente en cuenta cuando se trata de servicios cloud.

El punto de vista del cliente se abordará en la ISO 20000-15 sobre la confiabilidad, cuyo desarrollo se iniciará en los próximos 1 a 3 años.

Aspectos clave de la ISO 20000-7

La ISO 20000-7 se organiza en un conjunto de escenarios en los que se demuestra la aplicabilidad de todos y cada uno de los procesos de la ISO 20000 al ciclo de vida de un servicio en la nube: diseño de un nuevo servicio cloud, provisión de un catálogo de servicios cloud, establecimiento y finalización de un contrato, on-boarding del servicio, portabilidad de un servicio, etc.

Entre los aspectos clave que se recogen en el texto de la ISO 20000-7 se encuentran todos aquellos relacionados con la provisión de servicios:

• – Qué características debería tener un catálogo de servicios en la nube.
• – Qué aspectos esenciales debe incluir un acuerdo de nivel de servicio (SLA) para un servicio cloud.
• – Cuáles son los aspectos clave de la gestión de la disponibilidad, la capacidad y los niveles de servicio.
• – Qué aspectos de la gestión de la seguridad de la información son especialmente relevantes.
• – Cómo gestionar la relación con proveedores y clientes.
• – Cómo asegurar una correcta gestión de la configuración y de cambios en entornos cloud.