La narrativa sobre el daño financiero derivado de cambios en IT que salen mal existe desde que existen los ordenadores y sus redes en las empresas. En el entorno actual, nunca ha sido tan relevante ni tan arriesgado.

La infraestructura de TI es más grande y compleja, y aunque los sistemas son más ágiles, los cambios deben ocurrir más rápido y es más difícil supervisarlos.

Y el mayor riesgo financiero proviene de los cambios apresurados.

La investigación ha demostrado que el costo medio de un tiempo de inactividad no planificado supera los $14,000 por minuto, cifra que se eleva a casi $24,000 para las grandes empresas.

Por supuesto, estos costos varían según factores como el sector y el entorno interno de la empresa. Pero las causas raíz de las interrupciones no planificadas son demasiado familiares.

La realidad es que la mayoría de las caídas y fallos de auditoría provienen de cambios no gestionados – ya sea una actualización rutinaria antes de que finalice un periodo de soporte o un problema de configuración que pasó inadvertido. Pero la modernización debe estar impulsada por un control y una visibilidad continuos de los sistemas, no por plazos próximos.

Entonces, ¿cuál es el costo del cambio no gestionado y de un incidente de IT? ¿Y cómo pueden las empresas hacer que el riesgo sea visible?

Los costos del cambio no rastreado y apresurado

Un tiempo de inactividad no planificado puede generar costos inmediatos muy altos. Las firmas de servicios financieros pueden ver entre $5 y $7 millones en costos por hora, debido a paros de negociación y fallos en transacciones. Los minoristas enfrentan pérdidas por ventas y carritos abandonados, mientras que las empresas manufactureras pueden sufrir paradas de producción y disrupciones en la cadena de suministro.

Pero no solo están en juego los daños financieros inmediatos: estos incidentes provocan daño reputacional y desperdicio operativo, así como posibles multas regulatorias.

En serio, estos costos provienen de cambios no rastreados y apresurados, ya sea para hacer frente a una fecha límite de fin de soporte o para responder a un incidente de cambio no gestionado cuando el personal implementa “soluciones” sin seguir el proceso adecuado.

El problema es que cuando el cambio está impulsado por la urgencia en lugar de por la estrategia, las empresas pueden terminar pagando mucho más que si ese cambio estuviera controlado y visible – el cambio apresurado puede exigir actualizaciones costosas para “terminar” o rectificar el tiempo de inactividad no planificado.

Además, a medida que el cambio se acelera, es probable que no existan los procesos y herramientas necesarios para predecir o mitigar el tiempo de inactividad. Casi dos de cada cinco organizaciones, por ejemplo, han experimentado fallas importantes causadas por error humano, la mayoría de ellas debido a fallos de procedimiento.

Y como hemos visto, las interrupciones no planificadas cuestan miles por minuto – alrededor de un 35% más que el tiempo de inactividad planificado – lo que demuestra por qué la visibilidad continua del cambio es tan importante.

La distribución total de costos de los incidentes

El costo total de un incidente puede ser amplio, tanto directa como indirectamente, a corto y a largo plazo. Inmediatamente, hay ingresos perdidos, en términos de ventas y transacciones abandonadas. A largo plazo, el incidente puede provocar incumplimientos contractuales en torno a los Acuerdos de Nivel de Servicio (SLA) vigentes para los servicios proporcionados.

Un incidente como una interrupción violará el SLA y implicará que se paguen penalidades, conocidas como créditos al cliente o por servicio, a cualquier cliente afectado por el rendimiento.

Luego está la mano de obra necesaria para contener la incidencia de inmediato, las horas en la sala de guerra dedicadas a entender las causas sospechosas y resolverlas. Las investigaciones sobre fallos pueden prolongarse, requiriendo herramientas de software para detectar las causas, consultores –especialmente si implica una infraestructura de TI desactualizada– y cualquiera de trabajos de pos mortem, remedio manual y diligencias legales, todo lo que se suma a los costos de recuperación.

Por qué no es innovación, sino riesgo, lo que impulsa el gasto

Las consecuencias financieras de un tiempo de inactividad no planificado demuestran que el riesgo es el conductor último del gasto, incluso si existe la percepción de que la innovación consume una gran parte de los presupuestos de TI.

Pero en lugar de gastar en exceso en proyectos de modernización con prisas para cumplir plazos o para mitigar daños cuando ocurre una caída, con recursos absorbidos por remediaciones que consumen tiempo, las organizaciones deben invertir en visibilidad del cambio y modernización de forma continua.

Muchos análisis señalan que la mayoría de incidentes importantes se deben a cambios fallidos, no autorizados o mal controlados, más que a fallas de la infraestructura. Casi todas las brechas de firewall (99%), por ejemplo, se deben a una mala configuración, según una investigación de Gartner.

Y la falta de visibilidad y trazabilidad del cambio contribuye a interrupciones más largas y mayor frecuencia de incidentes. Por ello, las empresas deben hacer que el riesgo sea visible, y eso les permitirá mejorar su tiempo medio de detección de fallos y también su tiempo medio de recuperación.

Haciendo visible el riesgo

Pero, ¿cómo se ve la visibilidad? Significa poder detectar y validar cualquier cambio que ocurra en el ecosistema de TI de una organización, tanto en la nube como on-premise, en tiempo real. Esto depende de extraer datos de forma automática y continua de estas fuentes y presentarlos en una plataforma central para obtener una visión completa de los cambios que están ocurriendo o que están por ocurrir.

Una parte clave de este proceso es establecer una línea de base de configuración: ¿cuál es el nivel mínimo aceptable al que deben ceñirse todos los sistemas y aplicaciones (p. ej., qué versión del sistema operativo ejecutan, qué configuraciones de registro)? Los equipos de TI pueden detectar cambios, ver si producen desviaciones respecto a esta línea de base y tomar medidas.

No se trata de impedir el cambio: es crucial para mantener la seguridad e higiene de los entornos de TI. Pero cuando se imparte o no se ve, se convierte en un impulsor principal de riesgo y de un daño financiero severo. Por eso es fundamental que las organizaciones inviertan en asegurar que el cambio sea visible, gestionado y controlado.

Listamos las mejores distribuciones de Linux para usuarios de Windows.

Este artículo se elaboró como parte de TechRadar Pro Perspectives, nuestra plataforma para presentar a las mentes más brillantes de la industria tecnológica actual.

Las opiniones expresadas aquí son las del autor y no necesariamente las de TechRadarPro o Future plc. Si está interesado en contribuir, descubra más aquí: https://www.techradar.com/pro/perspectives-how-to-submit