Como montar un Sistema de información y no morir en el intento

Estimados, ya se ha vuelto muy común que llamen a preguntar sobre los sistemas de información que algunos conocidos implementan en sus empresas, parece los amigos que venden paquetes de aplicativos generalmente se enfocan en ofrecer simplemente su software, metérselo por los ojos al cliente y despues en el proceso de implementación literalmente montan cualquier cosa. Generalmente las metodologías de implementación presentan los siguientes pasos:

1. Blueprint de procesos: donde se detalla la estructura funcional del negocio, lo común en esta fase es que por presiones de tiempo en el implementador el nivel de detalle no es el adecuado, son recurrentes en ésta fase frases como: Eso lo detallamos más en la parametrización, esto otro lo podemos ajustar durante las pruebas, estos se puede conectar desde otro sistema de información, no son necesarias banderas de alerta, etc.


2. Parametrización de la herramienta: durante esta fase se procede a realizar la personalización del paquete, se habilitan campos de información que se va a emplear, se define la estructura de información dentro de la plataforma (Cosa que se debió haber definido durante el blueprint), se realizan las conexiones a sistemas de información externos. Usualmente durante esta fase, se hacen cambios que cambian el modelo inicial del blueprint y no se documentan, se acomodan los procesos del negocio a los modelos de procesos que por defecto tiene la herramienta bajo la excusa "Es que asi lo maneja el paquete", y en fin empiezan un infierno de cambios que al final cuando el proceso queda sistematizado no se cuenta con la información adecuada para poder gestionar cambios posteriores generando una dependencia del implementador de la plataforma.


3. Integración con terceros: Generalmente los implementadores dicen que lo hacen, pero generalmente no miden adecuadamente el alcance del esfuerzo que implica, o las integraciones son punto a punto a nivel de base de datos, generan fallas de sincronización en los datos, etc. Es un punto álgido que se debe tener en cuenta desde el inicio del proyecto que por lo general se pasa por alto.


4. Pruebas funcionales: Es la fase que permite que los dueños del proceso verifiquen que lo que necesitan realmente se está reflejando dentro del modelo implementado, es necesario durante esta fase que el usuario funcional tenga la libertad de comprobar que lo que el negocio necesita realmente se encuentra reflejado dentro del sistema.


5. Plan de comunicaciones: Este plan inicia en el momento en que la empresa decide implementar un sistema de información, NO al final o a la mitad del proyecto. Ahora, un plan de comunicaciones no es simplemente poner pendones, ni letreros en la empresa, ni discursos o cursos para los empleados. El plan de comunicaciones debe estar enfocado en como cambiar una cultura de trabajo dentro de una organización, para ello debe garantizar que se encuentran "Sponsors" dentro de las áreas funcionales, generar incentivos para el uso de la nueva tecnología, comunicar los beneficios de la nueva herramienta y realmente hacerla útil para la compañía. (No un lastre más)


6. Kick off del sistema: Fiesta, vino, todos felices el sistema de información arrancó... y una vez empieza a operar.


7. Estabilización : Problemas de calidad de datos y consistencia de la información, auditoría a los procesos parametrizados dentro del sistema, como manejar el error (Si es un proceso de aprendizaje?)

Antes de comprar un sistema de información sería bueno que siga las siguientes recomendaciones y es posible que sobreviva a ésta aventura:

• Pregúntese para que lo quiere, si le va a generar valor a su negocio y como quiere que le genere dicho valor. Que es lo que quiere obtener de ése sistema y téngalo siempre muy claro como "norte" durante el proceso de implementación, porque los Ingenieros de sistemas querrán cambiarlo. (Esto no es como comprar un Excel)


• Identifique donde esta la información va a utilizar, es clave que tenga mucha claridad sobre las fuentes de información y como ésta hace parte de los procesos de su negocio, defina que información es indispensable dentro de su cadena de valor y cual es de soporte. Documente sus procesos asociando la información que fluye por ellos.


• Conozca y tenga claridad sobre sus procesos, en especial de todos aquellos que se soportarán en el sistema de información, identifique cuales procesos por fuera del alcance del sistema de información son insumo o dependen para aquellos que estarán automatizados. Generalmente las parametrizaciones quedan incompletas por la ausencia de éste tipo de información. Su sistema de información TIENE que reflejar su negocio y debe estar debidamente documentado; para ello existen herramientas de análisis de requerimientos que combinan aspectos funcionales con técnicos. (RUP es una de ellas)


• Piense primero en su Arquitectura de información y después en la arquitectura de tecnología, la tecnología es una HERRAMIENTA consecuencia de su estructura de información. Cualquier sistema de información es útil si se cuenta con la suficiente claridad de su uso. Por favor no pongan su negocio a depender de terceros, es absurdo que el ingeniero de sistemas termine definiendo que es lo que su negocio debe hacer.


• Busque quién tiene experiencia en el sector, en especial que el implementador conozca del negocio (Cosa que es casi imposible encontrar, además de ser riesgoso por el conflicto de intereses que pueda generar), es aconsejable realizar una combinación entre Experto funcional del sector y un Implementador técnico, dado que garantiza que no exista una relación de Juez y Parte durante el proceso de implantación. Además, cada cual a lo suyo, es muy costoso para las compañías contratar alguien que tenga ambos roles dentro del proyecto porque: puede implementar lo que más facil le quede, pierde poder de negociación frente al implementador, genera dependencia.


• Sea pesimista, piense que tanto puede crecer su negocio y pregúntese si el sistema puede crecer con él, generalmente todos dicen que pueden crecer de forma ilimitada. Ud lo cree? Piense que el otro año puede cambiar su estrategia y que se pueden enfocar en otro tipo de productos, proyectos o servicios. El sistema soporta los cambios? cuanto costarían esos cambios?


• Asegúrese de contar con "sponsors" dentro de las áreas usuarias, si no los tiene, identifíquelos, impórtelos, haga algo.. porque son la única forma para que la organización adopte la tecnología, de lo contrario se arriesga a trabajar con información basura que poco le ayudará a la gestión de su negocio y a sub utilizar la inversión que acaba de realizar.


• Pruébelo, recompruébelo y vuelva a probar, siempre esté probando la tecnología, cualquier cambio documéntelo, compruebe la calidad de su información, si tiene problemas con ella, implemente controles. Garantice que el sistema le sirve para lo que lo compró, de lo contrario busque ayuda.


• Duden de un vendedor de sistemas de información que desconozca de su modelo de negocios - Cuidado, generalmente quieren vender el paquete y siempre son expertos en medicina, banca, energía, etc. Un mar de conocimientos....

Algunas preguntas para reflexionar: Alguna vez ha sacado su sistema de información en el tiempo en que tenía planeado? ha logrado que todos los procesos hayan quedado sistematizados de forma correcta? ha tenido problemas con re-parametrizaciones? la calidad de sus datos es adecuada? cuenta con reportes de gestión adecuados con su modelo de negocios?

Señores, sus sistemas de información son el CORAZON de su negocio, es una herramienta de gestión única e irrepetible (Se imaginan que todas las empresas funcionaran de la misma forma? como competirían?), refleja cada uno de los procesos y actividades de SU NEGOCIO, si su sistema de información es flexible, escalable y adaptable a las necesidades de cambio de su modelo de negocios han hecho una buena elección. De lo contrario, corren el riesgo de tener a una "sanguijuela" dentro de su compañía que será dificil extirpar mientras ustedes no tengan clara su estructura de información, como se encuentra reflejada dicha estructura dentro de su modelo de negocios y si su sistema realmente le aporta valor al negocio.

Buena suerte con ésta aventura y cualquier cosa, me cuentan.

Centros de trazabilidad a la información - Herramienta de aseguramiento de la información

Dados los últimos acontecimientos de nuestro querido país respecto fugas e invasión de la privacidad por organismos del estado, publicaciones y juicios de valor por parte de diferentes fuentes de información y el nivel de infoxicación al que nos están llevando algunos medios de comunicación.
Vale la pena proponer herramientas que eventualmente nos conduzcan a hacerle seguimiento al flujo de la información teniendo como base la teoría de la gestión del conocimiento.


Los centros de trazabilidad de información en las empresas son herramientas útiles para identificar el patrón de comportamiento de los empleados en términos de flujo de información y generar las alertas necesarias en casos de fuga de la misma. Dicho centro de información puede ser utilizado por medios de comunicación para mapear las fuentes de información (Electrónica o digitalizada) a diferentes grados de separación. (Tal y como se muestra en la imagen que les adjunto)

El centro de monitoreo de información se focaliza en: relaciones entre los nodos de conocimiento, volumen de transacciones relacionadas con la información cursada, tipo de información, tipo de nodo (Si es nodo interno o nodo externo a la organización) y dirección del flujo de información en diferentes momentos del tiempo.

Ahora que la ley12730501 de seguridad informática está vigente en Colombia y en algunos otros países de la región existe legislación similar, un centro de monitoreo de éste estilo puede llegar a ser útil como herramienta para la comprobación de hurto de información o manipulación de la misma (Information Forensics)

Para medios de comunicación, el concepto de un centro de trazabilidad a la información permite visualizar gráficamente y a diferentes grados de relación, la forma desde donde se genera la información y la calidad de la misma, ello con el fin de poder garantizar la confiabilidad y evitar la materialización de rumores. (Perception is reality?)

A nivel corporativo, dichos centros permitirán identificar puntos de fuga de información sensible por fuera del control corporativo. Además de también tener la factibilidad de utilizar una herramienta de éste estilo con el fin de identificar patrones de comportamiento en clientes y de efectuar seguimiento a las herramientas de publicidad electrónica que utilicemos.

El objeto de éste centro es contestar a preguntas de la gerencia respecto a porque razón X se comunica con Y, que relación de información existen entre las personas que participan en los proyectos, o relaciones con clientes, saber si existen intercambio de información crítica y con que frecuencia ello sucede, quién y donde se generan rumores, entre otras funcionalidades interesantes.

El gran cuestionamiento de una herramienta de éste tipo, corresponde al punto en que la empresa invada la privacidad del individuo. (Cosa que puede ser controlada con los grados de separación de los nodos y el tipo de spyware que se utilice)

Ahora, dado éste concepto, en el entorno WEB nada quedaría descubierto por un centro de éste tipo. Bajo la premisa que se tiene la capacidad de "escuchar" la red desde diferentes puntos (Siempre existe la posibilidad de hacerlo, dado que es factible entrar a todo lado).

Ejemplos de monitoreo simples que actualmente podríamos efectuar con un centro de éste tipo:

1. La red de tráfico de voz- La VoIP se filtra para clasificar la información de la que hablan las personas (Nuestros amigos de diferentes organismos de seguridad del estado son expertos en estas actividades)
2. La intranet corporativa - Podemos clasificar la información relacionada con correos corporativos y personales.
3. Publicaciones en la WEB - Conocer quién, donde y cuando se publica información relacionada con un tópico en particular que afecte la gestión corporativa.
4. Archivos y almacenamiento - Que información guarda el usuario, como la utiliza y como la comparte.
5. Descargas, manipulación, etc.

En fin, en general podemos saber que hace el usuario con la información, con quién la comparte y sacar conclusiones. (Ir más allá de las funciones de un Security Operations Center -SOC )

Tengan muy en cuenta, que en la sociedad de la información alguien siempre tiene la capacidad de observarlos.

Para cerrar y bajo ese orden de ideas, deseo compartir con ustedes algo de un trabajo de investigación del cual llevamos cerca de 4 años de trabajo con el Ing. Juan David Cruz, próximamente aspirante a PHd (Titulo que me encantaría buscar una vez termine mi MBA y en temas afines), y por otro lado invitarlos a que nos acompañen la presentación que se realizará en San Diego (CA) el 13 de Marzo de éste año con el INSNA (http://www.insna.org/), cuyo póster pronto estará publicado, espero les sea de su agrado.

De igual forma si en algún momento desean más información de éste tipo de herramientas(SpyCrawler) no duden en entrar en contacto con nosotros. Es posible que se les pueda mostrar algo que les llame bastante la atención y les sea de utilidad en sus empresas.