Toda la técnica en casa y aun así sin TI
Una empresa de software está llena de gente que sabe cómo funcionan los sistemas, y casi nunca tiene a nadie cuyo trabajo sea la TI corporativa. Portátiles, accesos, contraseñas y la prueba que pedirá un cliente acaban en el técnico veterano que menos sabe decir que no. Esta página trata de esa parte, y de dónde nos mantenemos alejados de su producto.
El producto está resuelto; la organización de alrededor no
No es dejadez. Es el resultado lógico de una empresa donde todo el mundo trabaja en el producto.
En una empresa tecnológica la infraestructura del producto suele estar muy bien resuelta: hay control de versiones, hay entornos, hay un proceso de publicación y hay gente que lo entiende. La TI corporativa de al lado casi nunca lo está. Los nuevos reciben su portátil de quien tenga un rato, los permisos crecen con quien los pide y nadie sabe cuántas suscripciones hay activas hasta que las cifras trimestrales lo señalan.
Mientras la empresa es pequeña eso funciona. Se rompe en dos momentos: al crecer, cuando entra gente cada mes y el primer día falla de forma estructural, y con el primer cliente grande, cuando llega un cuestionario sobre su propia seguridad.
El cuestionario de su cliente
En cuanto vende a organizaciones grandes, su propia configuración pasa a formar parte del proceso de compra de ellas. Llega una lista de preguntas sobre gestión de accesos, gestión de dispositivos, bajas de personal, copias de seguridad y notificación de incidentes, y las respuestas deben ser demostrables y no verosímiles. Quien empieza a ordenarlo en ese momento pierde semanas en un ciclo de venta donde no las tiene.
Lo que hacemos ahí es montar el lado corporativo para que esas preguntas se respondan con un hecho: acceso por rol con verificación múltiple, equipos gestionados y cifrados, un procedimiento de baja demostrable y una copia cuya restauración se ha ensayado. Si después quiere obtener ISO 27001 o SOC 2 es decisión suya y ese camino pasa por un auditor; nosotros aportamos la configuración y el registro sobre los que se apoya ese juicio.
Aquí una flota mixta es la norma
Desarrolladores en macOS o Linux, ventas y administración en Windows, y cada uno con sus herramientas. Eso no es desorden que haya que recoger sino una realidad a la que debe ajustarse la gestión: gestión de dispositivos capaz de cubrir las tres plataformas sin ahogar a los desarrolladores en su trabajo. Una política que sí los ahoga se esquiva en un mes, y entonces es peor que no tener política.
Qué asumimos en una empresa tecnológica
Usted elige lo que necesita. Todo queda bajo un contrato, un informe y un interlocutor.
- Acceso por rol, con las bajas resueltasLas cuentas siguen la función, con verificación múltiple y cierre inmediato a la salida. Esto último está en todos los cuestionarios de cliente y es lo que más se queda sin hacer por dentro.
- Gestión de dispositivos en tres plataformasmacOS, Windows y Linux en la misma gestión, con cifrado y actualizaciones demostrablemente activos, sin que un desarrollador pierda el uso de su máquina.
- Un primer día que no se improvisaAl crecer, la incorporación es el proceso que se rompe primero. Equipo, cuentas y accesos están listos en la fecha de alta y no la semana siguiente.
- Suscripciones y licencias a la vistaQué hay activo, a nombre de quién y cuándo se renueva. En este sector eso crece más rápido que en ningún otro, porque cualquiera puede crear una cuenta.
- Copia de seguridad del lado corporativoNo su entorno de producción sino lo que está al lado: documentos, correo, la administración y los archivos fuente que no existen en ningún otro sitio.
- Respuesta al cuestionarioLa configuración y el registro que permiten responder con un hecho a las preguntas de seguridad de un cliente, en lugar de con una explicación.
Cómo empezamos en una empresa tecnológica
En este orden, porque aquí el riesgo no es que no haya nada sino que nadie sepa qué hay.
Averiguar qué corre y a nombre de quién
Qué servicios se usan, quién es el propietario y quién los paga. En este paso casi siempre aparece un servicio a nombre de la cuenta personal de un exempleado.
Arreglar accesos y bajas
Permisos de vuelta al rol y un procedimiento de salida que realmente funcione. Es el paso más barato y el que más riesgo elimina.
Fijar la frontera con el producto
Qué gestionamos nosotros y qué se queda su propia gente, por escrito. Sin esa línea aparece una zona gris alrededor del entorno de producción y nadie quiere trabajar ahí.
Corregir con lo que vemos
El informe recoge avisos, plazos y causas recurrentes. En pleno crecimiento esa es la señal de que un proceso va a romperse antes de que se rompa.
Los servicios que más aparecen aquí
Estos componentes son los que más aparecen en una empresa tecnológica.
Seguir mirando
¿Reconoce el cuadro pero trabaja en otro ramo? Eche un vistazo a los demás sectores.
Preguntas que nos hacen sobre esto
Las más habituales, respondidas en breve.
¿También nos desarrollan software?
No. No tocamos su producto ni su entorno de producción. Lo que hacemos es la TI corporativa de al lado: portátiles, accesos, suscripciones, copia del lado de oficina y la prueba que le piden sus clientes.
¿Nos pueden llevar a ISO 27001 o SOC 2?
Aportamos la configuración y el registro sobre los que se apoya ese juicio: acceso por rol, gestión de dispositivos, un procedimiento de baja demostrable y una recuperación ensayada. El certificado lo emite un auditor y va a su nombre; ese trayecto no lo recorremos por usted.
Nuestros desarrolladores trabajan en Linux y macOS, ¿supone un problema?
No, y aquí es más la norma que la excepción. La gestión debe cubrir las tres plataformas sin ahogar a nadie en su trabajo. Una política que sí lo hace se esquiva en un mes y entonces es peor que no tener política.
No tocamos su producto
No construimos software ni tocamos su entorno de producción. Cuéntenos lo que hay al lado del producto: los portátiles, los accesos, las suscripciones y el cuestionario que ha llegado. Alrededor de eso lo montamos.