A la búsqueda de estándares para una mejora del servicio La adopción de estándares nos permite disponer de una gestión que asegure nuestros procesos de Negocio y el tratamiento de los datos propios o de terceros. Su elección y como combinar sus bondades es el desafío a emprender.

1. Procesos, Calidad y Cumplimiento
A la búsqueda de estándares para una mejora del servicio
La adopción de estándares nos permite disponer de una gestión que asegure nuestros
procesos de Negocio y el tratamiento de los datos propios o de terceros. Su elección y
como combinar sus bondades es el desafío a emprender.
El objetivo de conseguir mejores resultados en la prestación de servicios nace a partir de la
planificación estratégica de la empresa, y para ello, esta planificación debe estar sustentada
por una Política Corporativa que incluya en forma expresa las pautas de calidad,
gobernabilidad de la tecnología y seguridad de la información.
El tener en claro esta necesidad y conocer el proceso funcional de nuestro Negocio ¿Nos
permite ver en forma completa otros subprocesos asociados? ¿Necesariamente podré
indicar que el proceso principal y cada uno de sus subprocesos están debidamente
asegurados desde su funcionalidad hasta los servicios tecnológicos que le dan soporte,
permitiendo alcanzar los objetivos de calidad y cumplimiento?
Como principal ventaja, el empleo de estándares le permite revisar cada proceso de la
Organización, ya sea funcional o tecnológico, ajustándolo así a las necesidades propias del
Negocio en función de su entorno de gestión. Debido a ello, es que la decisión estratégica de
adoptar estándares surge de la necesidad de mejorar los procesos de Negocio para facilitar
el cumplimiento de leyes y regulaciones, ajustándolos a sus Políticas Corporativas.
Los estándares son una herramienta que le
Leyes y Regulaciones del Negocio
permite contar con un Sistema de Gestión
Integral, enfocado a la Calidad, Gobernabilidad y
Adopción de estándares
Seguridad. El Gobierno de IT y la Seguridad de la
Políticas, Normas y Procedimientos
Información son los principales servicios para
obtener de forma indefectible Calidad en las
prestaciones que brindamos a nuestros
Proceso Funcional
Pacientes y Afiliados y Calidad al brindar un
entorno seguro de trabajo a nuestros Médicos y
Proceso de Servicios Tecnológicos y de Seguridad al Negocio
Prestadores referente a la información y procesos
Áreas de Negocio
funcionales claros y registrados adecuadamente.
Satisfacción del Afiliado, Confiabilidad de Servicios y
Eficiencia de los Procesos son los objetivos que deben
movernos a la implementación de estándares. Para
nuestro ejemplo podemos tomar tres estándares
certificables que pueden ser implementados en
cualquier tipo de organización elaborados por la
Organización Internacional para la Estandarización
(ISO), y utilizando su combinación le ayuda a
“Satisfacción del Afiliado,
Confiabilidad de Servicios y
Eficiencia de los Procesos
son los objetivos que deben
movernos a la
implementación de
estándares.”
© 2013 CYBSEC 1

2. cumplimentar un Sistema de Gestión Integral:
ISO 9.001 Norma que permite establecer una gestión de la calidad bajo una
estructura operacional de trabajo, bien documentada e integrada a
los procedimientos técnicos y gerenciales, para guiar las acciones de
la fuerza de trabajo, la maquinaria o equipos, y la información de la
organización de manera práctica y coordinada y que asegure la
satisfacción del cliente y bajos costos para la calidad.
ISO/IEC 20.000 Orientada a una entrega efectiva de los servicios de TI como base
crucial para el soporte a procesos de Negocio en las empresas, tanto
si se proporciona servicios internamente a clientes como si se está
subcontratando proveedores. Es totalmente compatible con la ITIL
(IT Infrastructure Library), o guía de mejores prácticas para el
proceso de Gestión de Servicios de IT (GSTI).
ISO/IEC 27.001 Estándar para la seguridad de la información que especifica los
requisitos necesarios para establecer, implantar, mantener y mejorar
un Sistema de Gestión de la Seguridad de la Información (SGSI).
Involucra a todos los procesos, tecnológicos o no, en los cuales se
tratan los datos abarcando todo su ciclo de vida.
Cada una de estas Normas son aplicables a cualquier tipo de organización y de cualquier
sector, y cuya estandarización organizativa se basa en el conocido “Ciclo de Deming”: PDCA
- acrónimo de Plan, Do, Check, Act (Planificar, Hacer, Verificar, Actuar). Esto permite
establecer una diferencia entre estos estándares y otros indicadores de buenas prácticas, ya
que en ellas se establecen controles y pautas de medición que permiten su auditabilidad y
análisis de la madurez del Sistema de Gestión supervisando continuamente su rendimiento y
mejora frente a un conjunto establecido de requisitos.
Es importante que sepa que independientemente de elegir certificar en uno solo de los
estándares mencionados, los otros dos deben formar parte para cubrir el cumplimiento del
otro ya que son complementarios desde una visión orientada al aseguramiento de la calidad
en los procesos de negocio. Como muestra de ello podemos ver como la mayoría de los
estándares se apoyan en los conceptos de documentación de 9001, y el COBIT en su
versión 5 e ITIL 2011 han integrado a sus módulos la seguridad de la información
relacionando la integridad y disponibilidad, además de los aspectos de confidencialidad de la
misma.
“El empleo de estándares
En lo relacionado a los servicios de salud, e
para normalizar nuestros
independientemente de la responsabilidad a nivel legal
procesos ayudará a ordenar
respecto de la confidencialidad de los datos de los
todas las actividades
Afiliados, el empleo de estándares para normalizar
asociadas a la Integridad y
nuestros procesos ayudará a ordenar todas las
Disponibilidad de la
actividades asociadas a la Integridad y Disponibilidad de
información médica”
© 2013 CYBSEC 2

3. la información médica, permitiendo el tratamiento adecuado de los riesgos que ponen en
peligro la vida de aquellos que debemos cuidar en caso de fallas en los procesos funcionales
o tecnológicos que soportan al servicio médico.
Implementar estándares asociados al Gobierno, Riesgo y Cumplimiento permite la
integración y orquestación de Sistemas de Gestión que aporten valores de calidad y
seguridad a los procesos funcionales y tecnológicos para convertir a la Institución más fiable,
íntegra y con buena reputación.
Esta implementación requiere de un apoyo concreto de la Dirección y Alta Gerencia no solo a
través de las Políticas publicadas y la gestión diaria, sino también a través de un
acompañamiento en cada una de las actividades relacionadas con los controles internos
haciendo cumplir los requisitos de gestión y continuidad de la prestación de servicios y
respetar las leyes y normativas que sean de aplicación para los servicios de salud, lo que
permite demostrar a los Prestadores y Afiliados que la calidad de servicios y la seguridad de
su información es primordial.
Bajo este apoyo es que iniciará las actividades relacionadas con la implementación, fijando el
alcance que le dará al identificar aquel Servicio que quiera certificar o bien aplicarle un
estándar para ponerlo bajo un Sistema de Gestión. Este alcance debe ser provisto por la
Dirección y Alta Gerencia como resultado de las diferentes estrategias adoptadas e incluidas
en su Plan de Negocios. Como resultante de ello, definirá un Comité que tendrá a cargo la
coordinación de las actividades de implementación.
Como primera medida contemple dos hitos de definición importantes. Como primera medida,
establecer un glosario o “idioma” a través del cual se convenga un vocabulario propio a
utilizar tanto en los documentos como en las diferentes comunicaciones. Esto es
importantísimo, ya que personalmente considero que gran parte del éxito está basado en que
todos hablemos un mismo idioma y tengamos un mismo criterio para las definiciones y
conceptos a expresar en Normas, Procedimientos, mails de comunicación de políticas o de
campañas de concientización, etc.
Al momento de iniciar la implementación de estándares, la buena comunicación interna
aporta un valor positivo (más que agregado) para:
1. Cumplir objetivos regulatorios del Negocio
2. Claridad en los requerimientos operativos del Negocio y sus procesos manuales y
tecnológicos
3. Facilitar la coordinación de los diferentes equipos al establecer roles específicos ante
proyectos de respuesta al Negocio y así crear ambientes colaborativos con pautas claras
y roles definidos que aporten a la concreción de los objetivos establecido por el Negocio.
Recomendación; cada vez que decida iniciar un proyecto, identifique una fase de
capacitación para el entendimiento de la operación, identificación de intervinientes, alcances
y roles dentro del proyecto, necesidades de cumplimiento legal y de Negocio, y
fundamentalmente las necesidades de servicio por parte de las áreas tecnológicas (IT, redes,
© 2013 CYBSEC 3

4. comunicaciones) y de seguridad (seguridad de la información, o bien seguridad física y
seguridad informática)
El otro gran punto es el identificar los recursos actuales estableciendo un mapa de procesos
y subprocesos involucrados en el Servicio a gestionar, y a partir de allí asociar los siguientes
puntos clave:
· Responsables dentro de cada proceso del Servicio
· Relación funcional entre cada proceso, con sus puntos de contacto
· Actividades principales involucradas en cada proceso del Servicio
· Soporte de servicios tecnológicos utilizados para cada actividad principal identificada
(aplicativos inicialmente, lo relacionado con hardware y software de base va a surgir
luego)
· Identificación de riesgos asociados a cada proceso del Servicio, basado en cada una
de sus actividades y servicios tecnológicos asociados que nos ayudará a desarrollar la
Matriz de Riesgos vinculada directamente con el Servicio a gestionar.
· Marco Normativo (Normas y procedimientos existentes) o documentación asociada a
los procesos del Servicio
Este relevamiento inicial le aporta la información necesaria para poder trazar un mapa
integral relacionando cada proceso del Servicio con los servicios (valga la redundancia) que
brindan calidad, seguridad y gobernabilidad a través del empleo de los estándares
adoptados. Este mapa puede asemejarse al gráfico que se acompaña, que responde al
empleo de una solución integral de GRC (Governance, Risk & Compliance) como concepto
de implementación de un Sistema de Gestión Integral orientada al Negocio.
© 2013 CYBSEC 4

5. Una vez concebido este mapa y teniendo en claro con qué cuenta y con qué debería contar
puede continuar con los siguientes dominios relacionados con Seguridad y Cumplimiento, ya
que en el mapa puede relacionar ambos dominios con:
· Una gestión de riesgos asociada al Servicio con una visibilidad amplia al reconocer
cada parte integrante del mismo, ya sea funcional o tecnológico; cuáles son los puntos
de control; definir donde es necesario obtener registros/pistas de auditoría y de que
tipo; identificar el tipo de servicio tecnológico para securitizarlo debidamente
permitiendo la confidencialidad, integridad y disponibilidad de datos, verificar si la
asignación de roles está debidamente segregada,
· Si la documentación obtenida y utilizada es insuficiente para el cumplimiento legal y
regulatorio, o bien si no es la adecuada para los procesos identificados; qué debe
cambiar o desarrollar para su Marco Normativo al documentar cada actividad y tarea
del proceso para que pueda ser gestionada adecuadamente y se alinee al estándar
adoptado, adecuar los medios de capacitación al personal técnico y usuarios finales,
fijar el método documental basado en el Servicio gestionado.
Esta metodología de trabajo le permite minimizar el esfuerzo de reorganización o desarrollo
para el alcance de los objetivos en la aplicación de un Sistema de Gestión Integral basado en
estándares, le permite organizar mejor el proceso de evaluaciones a aquellas áreas
dedicadas a la revisión de controles o auditorías internas y dar una respuesta más eficaz a
las auditoría externas o de certificación.
Y principalmente le permite asegurar a sus Afiliados y Prestadores que a través de su
Institución brinda servicios y condiciones de trabajo con la calidad y seguridad requerida para
la atención de la salud.
Fabián Descalzo
Gerente de Governace, Risk & Compliance (GRC)
Cybsec S.A. – Security Systems
Fabián Descalzo es Gerente de Governance, Risk & Compliance (GRC) en Cybsec S.A., certificado ITIL v3-
2011 y auditor ISO 20000, con 20 años de trayectoria en Seguridad de la Información. Posee amplia
experiencia en la implementación y cumplimiento de Leyes y Normativas Nacionales e Internacionales en
compañías de primer nivel de diferentes áreas de negocio en la optimización y cumplimiento de la seguridad en
sistemas de información, Gobierno de TI/SI y Continuidad del Negocio. Actualmente es responsable de
servicios y soluciones en las áreas de Gobierno, Riesgos y Cumplimiento asociados al aseguramiento del
Negocio.
CYBSEC S.A. desde 1996 se dedica exclusivamente a prestar servicios profesionales especializados en
Seguridad de la Información. Su área de servicios cubre América y Europa y más de 400 clientes acreditan la
trayectoria empresaria. Para más información: www.cybsec.com.
© 2013 CYBSEC 5