domingo, 25 de octubre de 2009

La virtualización está de moda

En los últimos meses vengo recibiendo la visita de comerciales de diferentes empresas de servicios informáticos para explicarme, y lógicamente intentar venderme, las soluciones de virtualización.

Parece ser que ahora esta de moda virtualizarlo todo, ¿pero realmente siempre es beneficioso? ¿merece siempre la pena?

Primero voy a hacer una primera introducción de los que supone la virtualización.

¿En que consiste la virtualización? Dicho de una manera sencilla, se trata de optimizar los servidores al máximo, implementando los servicios de varios servidores en uno solo.

Aunque lo más habitual es virtualizar servidores, también existen otras opciones de virtualización. Básicamente existen cinco opciones de virtualización:

- Virtualización de sesiones
- Virtualización del sistema operativo
- Virtualización de aplicaciones
- Virtualización del puesto de trabajo
- Virtualización de los datos

Virtualización de sesiones. Nos permite iniciar varias sesiones en el mismo equipo, todos nos acordamos del Terminal Server de Microsoft. Esto algunos no lo entienden como una virtualización.

Virtualización del sistema operativo. Nos permite tener varios sistemas operativos funcionando a la vez en la misma maquina. Esta es la virtualización más habitual a día de hoy.

Virtualización de aplicaciones. Permite ejecutar aplicaciones en los equipos locales sin estar instalados en los mismos.

Virtualización del puesto de trabajo. Es lo último, permite disponer de la misma configuración, escritorio, aplicaciones, correo, etc, independientemente del PC en el que estemos trabajando. Esta opción de virtualización también se llama virtualización del desktop o escritorio, y requiere de una red de comunicaciones estable. Es la que está más en pañales y la que se está empezando a implantar en entornos de muchos PCs.

Virtualización de datos. Consigue reducir el coste de almacenamiento de los datos y permite la creación de espacios de nombre para la gestión de los datos. El primer objetivo es permitir a los usuarios acceder a su información de ficheros de una manera lógica, sin tener que recordar la ubicación física de esos ficheros y el segundo es permitir a los administradores gestionar este nivel físico sin dificultar el acceso de los datos a los usuarios, proporcionando más flexibilidad en el tratamiento de los datos y permitiendo la gestión integrada de componentes lógicos y físicos. Respecto a lo que se refiere al almacenamiento en concreto, la virtualización es la centralización de los sistemas de almacenamiento de datos distribuidos que pueden ser entonces considerados y gestionados como unidades individuales. La virtualización implica la agrupación de datos de varios tipos de sistemas heterogéneos de almacenamiento y de diferentes proveedores. En definitiva, la virtualización de datos y las aplicaciones de gestión de ficheros pueden ayudar en gran medida a resolver muchos de los problemas urgentes de almacenamiento en grandes empresas.

¿Y aquí se detiene la virtualización? pues me temo que no, lo siguiente es la virtualización de terminales móviles como PDAs y teléfonos móviles, tiempo al tiempo...

Plataformas existentes

Actualmente las dos plataformas de virtualización de servidores más extendidas y utilizadas son ESX Server de VMware y Hyper-V de Microsoft. Ambas plataformas llevan tiempo en el mercado y han sido ampliamente probadas en entornos de producción, sin embargo la cuota de mercado de VMware es superior al de Microsoft, con un 42% y un 18% respectivamente en el primer trimestre de 2008. Hay que tener encuenta también que VMware lleva más tiempo en el mercado que la plataforma de Microsoft.

Los servicios de virtualización se implementan por encima de una pequeña capa de código, que se llama hipervisor, que se coloca por encima del hardware. El primer propósito de los hipervisores es el re-direccionamiento de las peticiones entre múltiples máquinas virtuales y el hardware de manera que cada máquina virtual crea que se trata de propio hardware. Por lo tanto, esa pequeña pieza de código puede constituir un arma importante para ambos fabricantes. Hyper-V es rápido, está profundamente integrado con Windows Server 2008, y Microsoft piensa ofrecerlo con su sistema operativo de forma casi gratuita. Por tanto, las empresas que opten por el hipervisor de Microsoft poseerán una solución altamente integrada, de elevado rendimiento, escalable y prácticamente sin coste para la virtualización Windows.

Pros y contras

Gran parte de las virtudes de la virtualización provienen de aspectos vinculados con el área de la denominada “green IT”: los grandes ahorros en costes y eficiencia energética que pueden obtenerse gracias a la virtualización de servidores.

La reducción más habitual en los CPDs es de 4:1, cuatro máquinas virtuales sobre cada ordenador físico, lo que supone una reducción de un 75%, aunque por experiencia se puede llegar incluso a ratios de 10:1, es decir una reducción del 90%. El paso a máquinas virtualizadas supone un incremento del tiempo de funcionamiento efectivo (reducción del downtime), un incremento de la flexibilidad en caso de averías de hardware (una máquina virtual puede ser trasladada a otra plataforma de manera prácticamente inmediata), así como mayores facilidades de cara a la realización de backups y procedimientos de recuperación en caso de desastre.

Teniendo en cuenta las ventajas y desventajas de la virtualización, lo primero que uno ve, y con mucha razón, es que con la virtualización existe el peligro de tener todos los huevos en la misma cesta, con el riesgo que eso conlleva. La solución, duplicar el servidor poniéndolo en cluster, lo que supone en duplicar los costes en cuanto a equipos.

Por lo tanto hay que tener cuidado con las visitas de los comerciales alabando las ventajas de la virtualización, uno, que ya tiene muchos años de experiencia como director de IT, enseguida hace números en su cabeza y empieza a sumar… coste de las licencias del software de virtualización, coste de la implantación por terceros, dedicación de recursos propios, incorporación de nuevos servidores, etc. Lógicamente a este resultado también hay que restarle los ahorros en electricidad, almacenamiento, equipos, licencias de programas, etc. A lo que hay que sumarle una serie de vantajas como las majoras en la recuperación de desastres, y por tanto de la continuidad del negocio, facilidad de gestión y administración, etc.

Resumiendo que dependiendo de la estructura IT que tenga la empresa la ecuación anterior puede que resulte negativa o positiva, es decir, que puede ocurrir que no se tan ventajoso implementar una virtualización de los sistemas porque sí. Se necesita un estudio personalizado, pormenorizado e independiente que acredite que efectivamente la virtualización es una opción interesante para la empresa y además identificar que servicios se deben virtualizar, por poner un ejemplo, a día de hoy SAP no recomienda la virtualización de sus sistemas en producción. Lo que está claro es que cuanto más grande sea el CPD más ventajosa será la virtualización y generalmente las empresas se inclinan por la virtualización cuando toca realizar un cambio de máquinas.

jueves, 15 de octubre de 2009

La seguridad informática II (Experiencia personal)

Una vez realizado en el blog anterior un breve repaso sobre la seguridad informática, me gustaria comentar mi experiencia personal respecto de la misma.

Desde que en el año 1999 realice el primer curso de Auditoría y Seguridad Informática impartido por el Colegio Oficial de Ingenieros Informáticos, he participado en innumerables consultorías de seguridad informática en diferentes empresas, tanto públicas como privadas.

Para plasmar mi experiencia en dichas consultorías, voy a segmentar los resultados según el tamaño de las empresas estudiadas.

Pymes

En las Pymes los mayores problemas detectados corresponden a la falta de simulacros de incidencias, lo cual se solventaría con una simple prueba de restauración de las copias de seguridad. Es entonces cuando se llevan la sorpresa de que las copias de seguridad que se realizan no sirven y por lo tanto se produce una perdida de datos. En cuanto a la prevención de incidencias cabe destacar la generalización del uso de discos RAID que proporcionan una seguridad adicional ante el fallo de uno de los discos duros. En las pymes, debido a su coste, es difícil ver servidores duplicados en cluster o unidades de almacenamiento SAN.

En cuanto a la seguridad software, a pesar de disponer de antivirus la instalación de aplicaciones no deseadas incluso troyanos o virus suelen ser habituales. Muchas veces ni siquiera disponen de seguridad perimetral como firewalls que proteja la red LAN de Internet.

Por lo general las pymes no aplican un plan de seguridad completo sino que toman parte de las recomendaciones del estándar ISO/IEC 27001.

Grandes empresas

Generalmente en las grandes empresas suele existir un departamento de seguridad informática dedicado a definir el plan de seguridad, asegurándose de hacer cumplir las normas del plan de seguridad. En este tipo de empresas generalmente cumplen en su totalidad con los estándares ISO/IEC 27001 de Sistemas de Gestión de Seguridad de la Información y BS 25999 de continuidad del negocio. Es muy importante que el departamento de seguridad mantenga el plan de seguridad actualizado, llevando un control exhaustivo de los cambios que se produzcan en el área IT , tanto a nivel de desarrollo como a nivel de infraestructuras/sistemas.

Este tipo de grandes empresas suelen disponer de medidas de seguridad adecuadas, como servidores en cluster, unidades de almacenamiento SAN, copias de seguridad en cintas mediante robot, bastionamiento de servidores, etc. Disponen de salas acondicionadas con climatización, sistemas de backup eléctrico (UPS), medidas antiincendios, etc.

Por otro lado disponen de sistemas de seguridad perimetral como firewalls que impiden los accesos del exterior a través de redes externas y sistemas de monitorización de red que controlan el flujo de la información en las diferentes redes.

El mayor problema se suele dar en las grandes empresas es precisamente con la seguridad de los datos, es decir la integridad y confidencialidad de los datos, como accesos no autorizados, modificación de datos, eliminación y creación de registros, etc. Por otro lado se ha incrementado la copia no autorizada de ficheros y datos en dispositivos móviles como PDAs y memorias USB.
Hoy en día ya existen herramientas para evitar este tipo de incidencias, impidiendo guardar datos en dispositivos móviles.

En una interesante jornada sobre seguridad tuve la oportunidad de comprobar que incluso empresas en las que la seguridad es prioritario, se producen incidencias sobre todo con la integridad y confidencialidad de los datos por parte de los usuarios cuyos efectos cada vez son menores debido a la implementación de medidas de detección prematuras, anticipandose a los posibles daños que puedan ocasionar.

En definitiva, que la aplicación de medidas de seguridad es indudablemente es cara, y de lo que se trata es de buscar un equilibrio entre la fortaleza de las medidas de seguridad a implantar y el coste de una contingencia en nuestro sistema.

lunes, 12 de octubre de 2009

La FVEM y Telefónica impulsarán las nuevas tecnologías en las empresas del Metal de Bizkaia


La Federación Vizcaína de Empresas del Metal (FVEM) y Telefónica Movistar han firmado en Bilbao un convenio de colaboración para impulsar el uso de las nuevas tecnologías en las empresas del Metal de Bizkaia, según han informado hoy en un comunicado.

En el transcurso de la firma del convenio, el responsable de Telefónica destacó la "creciente" importancia de las nuevas tecnologías en el camino hacia "un modelo productivo más eficiente" y subrayó la necesidad de que las pymes las incorporen en sus sistemas de producción, "como un elemento básico en la innovación y en la mejora de la competitividad en la actual coyuntura económica".

Por su parte, Ignacio Saénz de Gorbea aseguró que la "supervivencia" de muchas de las empresas dependerá de la "agilidad" con la que sean capaces de incorporar e implementar las nuevas tecnologías "en la mejora de su competitividad" y, en este sentido, se felicitó del convenio suscrito.

VENTAJAS

En virtud del mismo, las empresas asociadas a FVEM accederán en condiciones preferentes a la oferta de servicios de telecomunicaciones de Telefónica, tanto en servicios de voz fija como en móviles, Internet y transmisión de datos.

Además, también se incluye el apoyo y asesoramiento de Telefónica Movistar para el desarrollo de proyectos relacionados con las nuevas tecnologías de la información y las comunicaciones.

El acuerdo permitirá a las empresas integradas en FVEM desarrollar nuevos servicios basados en la banda ancha, como el teletrabajo, la teleformación, el trabajo colaborativo o la televigilancia. Asimismo, Telefónica proporcionará servicios de mantenimiento en estos proyectos y pondrá a disposición de las empresas vizcaínas las tecnologías "más avanzadas existentes en el mercado".

UN MILLON DE LINEAS EN BIZKAIA

Telefónica destacó que cuenta con más de un millón de líneas en Bizkaia, incluyendo sus clientes de telefonía fija, móvil, Internet de banda ancha (ADSL) y la televisión digital Imagenio. 

Las infraestructuras de la compañía en el territorio incluyen una red de más 43.000 kilómetros de fibras ópticas y 660 estaciones base de telefonía móvil.

El sector siderometalúrgico constituye el área de actividad industrial con mayor concentración y tamaño en la Comunidad Autónoma del País Vasco. La Federación Vizcaína de Empresas del Metal representa los intereses sectoriales de las empresas siderometalúrgicas de este territorio. FVEM agrupa a 1.060 firmas, que son las más significativas del ámbito del metal y que dan empleo a más de 40.000 trabajadores.


Fuente: Europa Press


La seguridad informática I

La seguridad informática es un área de total trascendencia e importancia para cualquier empresa, dado que corremos el peligro no solo de perder datos sino de tener a parte de la plantilla de la empresa sin poder trabajar. Si tenemos en cuenta que hoy en día prácticamente en 100% de los procesos de negocio están informatizados, el coste de una contingencia podría ser elevadísimo.

Para evitar esto basta con implantar unos criterios de seguridad informática, de tal manera que en caso de una contingencia el daño sea el menor posible. Para ello existen desde hace algún tiempo una serie de guias y de normativas que nos ayudan a implantar en nuestra empresa un verdadero plan de seguridad informática.

El estándar de seguridad más utilizado para establecer un plan de seguridad es la ISO/IEC 27001 de Sistemas de Gestión de Seguridad de la Información, por otro lado como el plan de seguridad debe estar alineado con el plan de continuidad de negocio también deberemos seguir el estándar BS 25999 de gestión de la continuidad del negocio.

El estudio de la seguridad informática se puede plantear desde dos enfoques distintos pero complementarios.

- La Seguridad Física: Consiste en la protección del sistema frente a amenazas física, incendios, inundaciones, control de accesos de personas, errores físicos del hardware, etc.

- La Seguridad Lógica: protección de la información, mediante el enmascaramiento de la misma, integridad de los datos (consulta, modificación, …), encriptación, etc.

La gestión de la seguridad está en medio de las dos, implantando planes de contingencia, políticas de seguridad, normativas, etc.

Las medidas de control se implementan para que tengan un comportamiento efectivo, eficiente y sean fáciles de usar y apropiadas al medio. Es decir:

- Efectivo: que funcionen adecuadamente en el momento adecuado.
- Eficiente: que optimicen los recursos del sistema
- Apropiadas: que pasen desapercibidas para el usuario.

Las debilidades de un sistema informático se pueden desglosar en cuatro áreas:

- Hardware: pueden producirse errores en la alimentación, errores de conexión, fallos de hardware, etc.
- Software. Ejecución errónea de programas, defectos de llamadas al sistema.
- Datos: Alteración en el contenido, introducción de datos falsos, manipulación de los datos, etc.
- Memoria: Infección por un virus, bloqueo del sistema, etc.
- Usuarios: Suplantación de identidad, acceso no autorizado, visualización de datos confidenciales.

Entrando en detalle en la seguridad de los datos, existen tres elementos básicos de la seguridad de los mismos:

- Confidencialidad: Los datos serán accesibles solo por los usuarios autorizados.
- Integridad: Los datos solo pueden ser creados y modificados por los usuarios autorizados.
- Disponibilidad: Los usuarios autorizados deben tener disponibles todos los datos que necesiten cunado así lo deseen.

Ahora viene la pregunta, ¿y entonces como protejo la información?. La respuesta depende de los dos tipos de seguridad que había que implantar:

Seguridad Lógica
- - Uso de herramientas de protección de la información en el mismo medio que se genera o transmite.
- Protocolos de autenticación entre cliente y servidor.
- Aplicación de herramientas de seguridad y monitorización en redes.
- Instauración de políticas de seguridad, planes de contingencia, de recuperación de desastres, aplicación de normativas, etc.

Seguridad Física
- Control de accesos
- Bloqueo de unidades externas
- Sistemas de suministro continuo de corriente UPS.
- Etc

Para determinar las póliticas de seguridad también hay que tener encuenta la LOPD, referente a los datos de caracter personal. Según la LOPD los datos de caracter personal se agrupan en tres niveles:

Nivel básico de seguridad que han de cumplir todos los ficheros que almacenen datos de carácter personal.

Nivel medio, que habrán de cumplir aquellos ficheros en los que se contengan datos relativos a
- La comisión de infracciones administrativas o penales
- Hacienda Pública
- Servicios financieros
- Relativos a la prestación de servicios de información sobre solvencia patrimonial y crédito.

Nivel alto
- Ideología
- Religión
- Creencias
- Origen racial
- Salud
- Vida sexual
- Los que contengan datos recabados con fines policiales.

Las medidas de seguridad que hay que adoptar según esta clasificación de los datos de caracter personal son:

Nivel básico
- Realización de Copias de Seguridad, al menos una vez por semana (si hay cambios)
- Identificación y Autenticación del personal autorizado.
- Cambio de las contraseñas con "cierta periodicidad", y almacenamiento de forma ininteligible.
- Control de Acceso (sólo usuarios autorizados).

Nivel medio
- Todas las medidas del Nivel Básico más...
- Limitación del número de intentos reiterados de acceso fallidos.
- Control de acceso físico a los locales donde se encuentran los sistemas de información.
- Realización de una auditoría interna o externa, al menos cada dos años.

Nivel alto
- Todas las medidas del Nivel Básico y Medio más...
- Encriptación de datos.
- ACL's. De cada acceso deberán guardarse al menos, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si éste ha sido denegado oautorizado..
- Encriptación de datos si se transmiten a través de redes de comunicación, u otros soportes.

Pero antes de implantar un plan estratégico de seguridad hay que realizar un análisis de riesgo, esté análisis nos permite identificar y evaluar los riesgos de sufrir un ataque y perder datos, tiempo y horas de trabajo, comparándolo con el costo que significa la prevención de la contingencia.

Su análisis no sólo nos lleva a establecer un nivel adecuado de seguridad, sino que permite conocer mejor el sistema que vamos a proteger.

Existen herramientas de libre distribución para el análisis de riesgo, una de ellas es Magerit V2, elaborado por el Consejo Superior de Administración Electrónica.

Por otro lado, una vez implantado el plan de seguridad, es primordial hacer un seguimiento diario de los logs, información registrada en los elementos de seguridad y servidores, así como de las incidencias que se produzcan. Esto nos permitirá solventar los problemas de seguridad en cuanto se detecten y adelantarnos a los futuros problemas que se puedan producir (control preventivo).

Además, es muy importante que el departamento de seguridad mantenga el plan de seguridad actualizado, llevando un control exhaustivo de los cambios que se produzcan en el área IT , tanto a nivel de desarrollo como a nivel de infraestructuras/sistemas.

sábado, 10 de octubre de 2009

El outsourcing informático

El oursourcing o la externalización de servicios consiste en la subcontratación a una empresa externa de servicios o procesos de negocio de algún área de actividad de la empresa.

En las empresas habitualmente se externalizan servicios como la limpieza, la vigilancia y la gestoría administrativa, pero en los últimos años está tomando más fuerza el outsourcing informático debido sobre todo a la constante evolución de las TICs.

La búsqueda por parte de las empresas de formulas que permitan reducir costes, aumentar los beneficios, conseguir una mayor eficiencia en el trabajo y acceder a la tecnología punta con la mínima inversión está haciendo que en los últimos años muchas empresas se decanten por el outsourcing informático.

Los motivos principales que llevan a las empresas a contratar outsourcing informático son, entre otros:

- Garantizar una buena calidad de servicio
- Permite a las empresas centrase en las actividades principales de su negocio
- Convertir las TIC en una herramienta eficaz para aumentar la competitividad
- Adecuación tecnológica. Adaptarse rápidamente a los cambios
- Mejorar el servicio al cliente
- Controlar y reducir los costes
- Incrementar la productividad
- Incrementar los beneficios

Pero hasta hace poco tiempo, la externalización de los servicios empresariales muchas veces se ha encontrado con las reticencias de los directivos de las empresas a dejar en manos de terceros servicios críticos para su negocio.

Es imprescindible, por tanto, exigir a nuestro proveedor unas condiciones básicas pactadas previamente, que se agrupan en un documento denominado SLA (Service Level Agreement) o documento de Acuerdo de Nivel de Servicio, en el que se definirá el nivel de calidad del servicio prestado. Este documento tiene una gran importancia ya que en él se definirán los horarios de trabajo, los tiempos de respuesta y de solución, las penalizaciones en caso de no cumplir los tiempos indicados, etc. Por experiencia os recomiendo que tengáis cuidados con esto de los tiempos de repuesta y de solución, el tiempo de respuesta solo hace referencia al tiempo en que el técnico se ponga en contacto con el cliente para determinar el problema, por contra el tiempo de solución hace referencia al tiempo en que se comprometen a dar solución a dicha incidencia.

Los principales puntos a cubrir por el SLA deben ser:

- Tipo de servicio prestado/contratado
- Seguridad y confidencialidad de los datos
- Garantías del sistema
- Tiempos de respuesta
- Disponibilidad del sistema
- Soporte a clientes y asistencia
- Comunicaciones y conectividad
- Penalizaciones por downtime o caida del sistema

Dentro del outsourcing informático se distinguen tres grandes segmentos con diferente grado de demanda:

- Outsourcing de Infraestructuras (66,2%)
- Outsourcing de Aplicaciones (27,9%)
- Business Proces Outsourcing (5,9%)

Dentro del segmento de outsourcing de infraeestructuras, el servicio que más está creciendo en los últimos años es el del Hosting/Housing o, lo que es lo mismo, la ubicación de las infraestructuras de sistemas en las instalaciones del proveedor. Las ventajas más destacables de este servicio son:

- Climatización óptima
- Seguridad y vigilancia 24h
- Suministro de energía ininterrumpido, incluso con doble acometida eléctrica
- Redes de comunicación redundantes, incluso con acceso a punto neutro
- Monitorización de los sistemas 24h
- Actualización de los sistemas
- Mantenimiento y renovación de los equipos

En definitiva, el outsourcing informático puede ser una opción interesante para las empresas, siempre y cuando se realice una buena negociación de las condiciones del contrato de ousourcing y por otro lado se lleve un control exhaustivo del servicio prestado.

viernes, 9 de octubre de 2009

e-Learning como estrategia de formación

Hoy en día, el mundo del e-learning es más exigente que el presencial puesto que es más participativo, requiere de mayor precisión y el retorno de la inversión es más evidente.

Sin embargo, a pesar del rápido crecimiento que ha tenido el e-learning puro y duro, la combinación de e-learning con formación presencial, lo que se conoce como e-learning blended, es el que ha experimentado mayores niveles de crecimiento en los últimos años.

Con el e-learning blended, conseguimos superar ciertas limitaciones de la formación e-learning clásica, como la presencia de un profesor fisco para solventar dudas, exponer otros puntos de vistas, etc, que una solución e-learning clásica no nos permiten por su rigidez.

Vamos a ver las fortalezas y debilidades de la formación e-learning:

Fortalezas

- Flexibilidad horaria y geográfica
- Uso de las nuevas tecnologías
- Amplia oferta formativa
- Herramientas comunicativas
- Apoyo de la administración pública
- Facilidad de acceso
- Seguimiento y evaluación del aprendizaje
- Formación adaptada al alumno
- Aprendizaje acyivo y colaborativo



Debilidades

- Barreras tecnológicas
- Desconocimiento del e-Learning
- Barreras metodológicas
- Desmotivación del alumno
- Falta de expertos
- Coste de la plataforma

En cuanto al tipo de plataformas e-Learning utilizadas, se constata la tendencia a externalizarlas, siendo en su mayoría en modo ASP (a través de Internet), aunque también se constata la tendencia a adquirir soluciones de terceros, en detrimento de las plataformas de desarrollo propio.

En cuanto a los contenidos que se imparten a través del e-learning, se constata un descenso de las formación en productos, seguramente debido a la proliferación de Internet donde se encuentra mucha información sobre esta materia. En cambio, ha aumentado en gran medida la formación en habilidades directivas, de liderazgo y motivación, junto con las técnicas de ventas y las TICs.

Si valoramos los grupos de empresas que más utiliza la formación e-learning, en cabeza estarían las grandes empresas con un 18%, seguido de las administraciones públicas con un 13% y por último los agentes sociales (organizaciones empresariales y sindicales) con un 12%.

En mi opinión, la formación e-learning se queda coja, debido a la rigidez de las plataformas, y se deben complementar con tutorías presenciales; por eso el futuro está en la formación e-learning blended.

 
Design by Free WordPress Themes | Bloggerized by Lasantha - Premium Blogger Themes | Blogger Templates
popstrap.com