ISO/IEC 19770

Las normas internacionales de la familia de normas ISO/IEC 19770 para la gestión de activos de TI abordan tanto los procesos como la tecnología para gestionar activos de software y activos de TI relacionados. En términos generales, la familia de normas pertenece al conjunto de normas de gestión de activos de software (o SAM) y está integrada con otras normas de sistemas de gestión.

La norma ISO/IEC 19770-1 es un marco de trabajo de procesos de gestión de activos de TI que permite a una organización demostrar que está llevando a cabo una gestión de activos de software que cumple con los estándares de gobernanza corporativa. La norma ISO/IEC 19770-1:2017 especifica los requisitos para el establecimiento, la implementación, el mantenimiento y la mejora de un sistema de gestión de activos de TI (ITAM), denominado "sistema de gestión de activos de TI" (ITAMS).

Si bien la norma ISO 55001:2014 especifica los requisitos para el establecimiento, la implementación, el mantenimiento y la mejora de un sistema de gestión de activos, denominado "sistema de gestión de activos", se centra principalmente en los activos físicos y no contempla la gestión de los activos de software. Existen varias características de los activos de TI que generan requisitos adicionales o más detallados. Como resultado de estas características de los activos de TI, el sistema de gestión de activos de TI 19770-1 tiene requisitos adicionales explícitos que tratan de:

• controles sobre la modificación, duplicación y distribución del software, con especial hincapié en los controles de acceso e integridad;
• auditar los rastros de autorizaciones y de cambios realizados en los activos de TI;
• controles sobre la concesión de licencias, la sublicencia, la sobrelicencia y el cumplimiento de las condiciones y condiciones de concesión de licencias;
• controles sobre situaciones que implican la propiedad mixta y responsabilidades, como en la computación en la nube y con prácticas de ‘Bring-Your-Own-Device’ (BYOD); y
• conciliación de los datos de gestión de activos de TI con datos en otros sistemas de información cuando estén justificados por valor comercial, en particular con sistemas de información financiera que registran activos y gastos.

La primera generación se publicó en 2006.

La segunda generación se publicó en 2012. Mantuvo el contenido original (con solo cambios menores), pero dividió el estándar en cuatro niveles que se pueden alcanzar de manera secuencial. Estos niveles son:

• Nivel 1: Datos fiables
• Nivel 2: Gestión práctica
• Nivel 3: Integración operacional
• Nivel 4: Full ISO/IEC ITAM Conformance

ISO 19770-1 Edición 3 (versión actual)

La versión más reciente, conocida como ISO 19770-1:2017 y publicada en diciembre de 2017, especifica los requisitos para el establecimiento, la implementación, el mantenimiento y la mejora de un sistema de gestión de activos de TI (ITAM), al que se hace referencia como sistema de gestión de activos de TI. La ISO 19770-1:2017 fue una actualización importante y reescribió la norma para que se ajustara al formato de las Normas de sistemas de gestión (MSS) de ISO. La estructura escalonada de la 197701:2012 se trasladó a un apéndice dentro de la norma actualizada.

La norma ISO/IEC 19770-2 proporciona un estándar de datos ITAM para etiquetas de identificación de software (SWID). Las etiquetas de identificación de software proporcionan información de identificación autorizada para el software instalado u otro elemento sujeto a licencia (como fuentes o documentos con derechos de autor).

Proporcionar datos de identificación de software precisos mejora la seguridad organizacional, reduce los costos y aumenta la capacidad de muchos procesos de TI, como administración de parches, administración de escritorios, administración de la mesa de ayuda, cumplimiento de políticas de software, etc.

Herramientas de detección o procesos que utilizan datos de etiquetas SWID para determinar los nombres y valores normalizados asociados con una aplicación de software y garantizar que todas las herramientas y procesos utilizados por una organización hagan referencia a productos de software con exactamente los mismos nombres y valores.

Esta norma se publicó por primera vez en noviembre de 2009. En octubre de 2015 se publicó una revisión de esta norma.

Steve Klos es el editor de 19770-2 y trabaja para 1E, Inc. como experto en la materia de SAM.

Esta parte de la norma ISO/IEC 19770 no proporciona requisitos ni recomendaciones para los procesos relacionados con la gestión de activos de software o las ENT. Los procesos de gestión de activos de software están dentro del alcance de la norma ISO/IEC 19770-1.

El Grupo de Trabajo sobre Otros temas (OWG) de la norma ISO/IEC 19770-3 se reunió por teleconferencia el 9 de septiembre de 2008.

John Tomeny, de Sassafras Software Inc., fue el coordinador y autor principal del "Otro grupo de trabajo" de la norma ISO/IEC 19770-3 (que más tarde pasó a denominarse Grupo de desarrollo de la norma ISO/IEC 19770-3). El Sr. Tomeny fue designado por el Grupo de trabajo 21 (ISO/IEC JTC 1/SC 7/WG 21) junto con Krzysztof Bączkiewicz, de Eracent, que se desempeñó como editor de proyectos al mismo tiempo que el Sr. Tomeny dirigía el grupo. Además de los miembros del WG21, otros participantes del Grupo de desarrollo de la norma 19770-3 se desempeñaron como "personas que el coordinador consideró que tenían experiencia relevante".

Jason Keogh, de 1E y parte de la delegación de Irlanda, es el editor actual de 19770-3.

La norma ISO/IEC 19770-3 se publicó el 15 de abril de 2016.

Esta parte de la norma ISO/IEC 19770 se ha desarrollado teniendo en cuenta los siguientes principios prácticos:

El esquema de autorización de software (ENT) tiene como objetivo proporcionar la máxima usabilidad posible con la información de autorización existente, incluidas todas las transacciones de licencias históricas. Si bien las especificaciones brindan muchas oportunidades de mejora en los procesos y prácticas de autorización, deben poder manejar las transacciones de licencias existentes sin imponer requisitos que impidan que dichas transacciones se codifiquen en los registros de ENT.

Esta parte de la norma ISO/IEC 19770 (esquema de autorización) tiene como objetivo alinearse estrechamente con la parte 2 de la norma (etiquetas de identificación de software). Esto debería facilitar tanto la comprensión como su uso conjunto. Además, cualquiera de los elementos, atributos u otras especificaciones de la parte 2 que el creador de ENT desee utilizar también se pueden utilizar en esta parte.

La norma ISO 19770-3 se relaciona con las etiquetas de derechos, encapsulamientos de términos de licencia, derechos y limitaciones en un formato estandarizado y legible por máquina. El método de transporte (XML, JSON, etc.) no está definido, sino que se describe el significado y el nombre de los almacenes de datos específicos para facilitar un esquema común entre proveedores y clientes y proveedores de herramientas.

La primera herramienta SAM comercial que encapsuló la norma ISO 19770-3 fue AppClarity de 1E. Desde entonces, K2 de Sassafras Software también ha abarcado la norma 19770-3. Al momento de escribir este artículo (febrero de 2018), otros proveedores de herramientas han mostrado interés en la norma, pero no la han implementado.

Cabe destacar que Jason Keogh, editor de las obras publicadas en 19770-3 para 1E, y John Tomeny (editor inicial de 19770-3) trabajaron para Sassafras Software.

La norma ISO/IEC 19770-5:2015 ofrece una descripción general de la ITAM.

• ISO/IEC 19770-1:2017
• ISO/IEC 19770-2:2015
• ISO/IEC 19770-3:2016
• ISO/IEC 19770-4:2017
• ISO/IEC 19770-5:2015
• Sitio web oficial del GT21
• Business Software Alliance
• International Association of Information Technology Asset Managers
• National Cybersecurity Center of Excellence
• National Institute for Standards and Technology
• Trusted Computing Group
• ITAM.ORG - Organización para Profesionales de Gestión de Activos y Proveedores de ITAM
• Australian Software Asset Management Association (ASAMA)