¿Qué es ITIL y cómo implementarlo paso a paso? Guía técnica para equipos IT

Los días en tecnología están hechos de apagar incendios, cafeína, malabarismos para que la infraestructura no colapse, más cafeína y, en general, intentar conservar la cordura en el manicomio. Para que la gestión IT no sea esa jaula de grillos, aportando valor en lugar de conflicto entre las metas de la organización y las tecnológicas, existe el marco de trabajo ITIL, que trataremos a fondo.
Con él, alinearemos esos objetivos, implantando las mejores prácticas de gestión IT.

Qué es ITIL y para qué sirve

ITIL es el acrónimo de Information Technology Infrastructure Library y nació en 1989 en la CCTA (Central Computer and Telecommunications Agency) del gobierno británico, cuando quiso poner orden en el caos documentando y distribuyendo buenas prácticas de gestión IT.
Actualmente, Axelos gestiona ITIL y se ha convertido en un referente. Su actual versión 4 (de 2019) consiste en 34 prácticas que abarcan:

• Gestión general (de conocimiento, arquitectura, riesgo…)
• Gestión de servicios (continuidad, cambios, SLA…).
• Gestión técnica (despliegue, infraestructura, desarrollo…).

Sin buenas prácticas, arreglaremos fallos cada vez de una manera, según criterio del técnico de turno. O un día despertamos y nada va, porque el nuevo «optimizó» por su cuenta las reglas del firewall según su opinión.
Hoy, con el trabajo híbrido aumentando puntos de fallo, la ciberseguridad como imprescindible y los negocios demandando agilidad a IT para no perder ventaja, un marco de buenas prácticas mejora nuestros resultados, disminuyendo errores y dosis de Valium.
Ahora, sé lo que piensas, porque es lo que todos pensamos. Que ya has oído esta canción e ITIL no son las únicas siglas que la prometen… y que estas cosas mutan enseguida a trabajo adicional y no trabajo eficiente.
Pero ITIL tiene características diferenciales muy interesantes.

Fundamentos de ITIL v4: ¿En qué consiste?

ITIL en su versión 4 es un marco adaptable, compatible con Lean, Agile o DevOps, por ejemplo, con lo que no es necesario cambiar fundamentos, pero puede mejorarlos.
Esa flexibilidad la diferencia de su v3, rígida con sus procesos lineales.
Del mismo modo, ITIL v4 tiene 34 prácticas, mientras que ITIL v3 tenía 26 procesos y 4 funciones, pero sobre todo, la versión actual se basa en 7 principios fundamentales que han de inspirarnos:

• Enfocarse en el valor. Priorizando lo que importa al negocio, pues la tecnología está para eso.
• Empezar donde estés. No desde de cero con todo nuevo, sino mejorando lo presente.
• Progresar iterativamente, considerando feedback y resultados obtenidos.
• Colaborar y promover visibilidad. Los silos de información y trabajo provocan errores. Seguridad, devs o soporte deben cooperar y saber qué hacen los demás.
• Enfoque global. Considerando todo, infraestructura, apps, usuarios…
• Hacerlo simple y práctico. ¿Esto aporta valor? Si no, fuera.
• Optimizar y automatizar. Usando herramientas como Pandora ITSM que alivien cargas repetitivas.

De esos principios guía, el más importante, la Primera Directiva de Star Trek, es el valor, un concepto que te hartarás de leer, porque es alrededor de lo que orbita ITIL, su razón de ser.
¿Aumentar valor para quién? Para clientes/usuarios y otros stakeholders de la organización
Pero al contrario que Star Trek, donde se saltan esa Directiva Principal constantemente para que el episodio sea entretenido, nosotros no debemos hacerlo.
El valor es la brújula e ITIL v4 contempla 4 dimensiones a equilibrar para obtenerlo:

• Organización y Personas. ¿Tenemos a las adecuadas en los puestos correctos?
• Información y Tecnología. ¿Tenemos la apropiada y proporciona información clave para decisiones óptimas?
• Proveedores y Partners. ¿Tenemos los idóneos (cloud, software…) y los gestionamos bien?
• Flujos de Valor y Procesos. ¿Nuestra forma de trabajar es óptima?

Arquitectura operativa de ITIL: El Sistema de Valor del Servicio (SVS)

Entremos en la práctica de ITIL detallando sus componentes y ejemplos prácticos.
Como he avisado de que te hartarías, su enfoque es el llamado SVS o Sistema de Valor del Servicio, consistente en integrar los 4 componentes ya comentados para co-crear valor con el negocio.
Para ello, aplicamos los principios guía del punto anterior desde una perspectiva de mejora continua, pero además, aplicamos también:

• Las prácticas que más convengan de entre las 34 que componen ITIL.
• La gobernanza. No confundir con burocracia, pues son las «reglas del juego»: cómo hacer algo, quién es responsable y quién controla que aporte valor. Sirven para ir más rápido sin chocarnos entre nosotros.
• La Cadena de Valor de Servicio (SVC). Clave porque es el núcleo operativo, el «cómo» aplicar para entregar valor.

Esa SVC es un flujo de trabajo de 6 pasos a seguir para garantizar que una demanda (como que se necesita una app nueva o mejorar la rapidez del ecommerce) se transforme en un servicio valioso. Esos paso son:

• Planificar (esa app, por ejemplo).
• Mejorar procesos o herramientas.
• Involucrar a implicados. Como devs para la app, pero también ciberseguridad, para que el Equipo Rojo la pruebe.
• Diseñar lo que se demanda.
• Transicionar.
• Entregar y dar soporte.

Ahora, estos pasos, como siempre en ITIL, son flexibles, cogemos los que necesitamos para dar valor.
Por ejemplo, si creamos esa app móvil nueva, los pasos 2 y 5 no aplican (no tenemos nada que mejorar ni otra app antigua desde la que transicionar).
Pero siguiendo los que sí son relevantes, aseguramos la entrega y dar valor en cada paso.
Esos son los pasos generales para todo, pero ITIL tiene sus 34 prácticas que los detallan y adaptan a distintas situaciones habituales.

Prácticas esenciales para una primera implementación

Como mi principal objetivo es que no encuadernes ITIL en tapa dura para tirármelo a la cabeza, porque ya tienes mil amos a los que servir y no deseas otro, sigamos profundizando en lo práctico, para entender que es un marco flexible de ayuda.

Gestión de incidentes en ITIL

Un buen comienzo para mojarnos los pies con ITIL v4 es la gestión de incidentes, hacerla de acuerdo a los principios de esa práctica.
Ahora, en IT somos pragmáticos de cabeza cuadrada (yo desde luego, sí). Eso hace que la flexibilidad, fortaleza principal de ITIL, se pueda convertir en reto, porque cuando examinamos esa práctica de incidentes, por ejemplo, no hay una lista de chequeo estricta que tachar conforme realizamos las acciones descritas.
Si buscamos eso, mejor la ISO 20000, porque ITIL da líneas generales de mejores prácticas. Al fin y al cabo, no puede ser de otra forma, porque cada organización, incidente e infraestructura IT son diferentes.
De ahí usar principios guía, que vemos en el mapa de procesos de ITIL para esta gestión de incidentes.

• Por ejemplo, el incidente surge porque un usuario encuentra un error de login en su portal de cliente.
• De acuerdo a la práctica, primero categorizamos y registramos en el sistema. Como creemos en el principio de «Optimizar y automatizar», esto lo realiza Pandora ITSM, generando el ticket del Service Desk y derivándolo a quien corresponde.
• A continuación, se monitoriza el incidente y se escala la solución según el problema. Lo principal es que el cliente entre cuanto antes y, si no es una chorrada, como que olvidó que la contraseña distingue mayúsculas y minúsculas, escalamos el incidente. Si podemos, aportamos solución rápida, como credenciales temporales que lleven a su zona de usuario (recordemos el principio de darle valor al cliente en este caso).
• Se analiza el incidente y se resuelve por quien hemos definido como responsable.
• Se informa al usuario y este da feedback de que funciona.
• Se registra y evalúa la solución y el proceso, tanto por nosotros como, por ejemplo, por una encuesta al cliente.

Gestión de solicitudes de servicio

En este caso, el objetivo es resolver peticiones estándar o repetitivas, como acceso a una carpeta compartida, un alta de usuario en la VPN… En este caso podríamos:

• Crear un apartado en el sistema para esas peticiones.
• El ticket se clasifica por prioridad. Si es estándar, se deriva al equipo de becarios y no despertamos al root barbagrís de la siesta.
• Imaginemos que esa carpeta es sensible, así que notificamos a su responsable. Este aprueba el acceso.
• Se ejecuta la solicitud.
• Se informa al usuario y se cierra el ticket.
• Todo queda registrado y se evalúa que quizá esa petición se puede mejorar, automatizando el acceso para ciertos usuarios.

Como vemos, es poner «método a la locura», encauzar el río de eventos para que no nos arrastre en lo cotidiano.

Gestión de problemas

Sirve para encontrar y eliminar incidentes habituales, como fallos repetitivos, VPN lenta…
Vemos la práctica ITIL y aplicamos:

• Apertura de ticket.
• Análisis del problema y su importancia, derivando de nuevo a quien determinamos según dicha importancia, para que el root diga durmiendo.
• Identificamos el fallo de configuración y se arregla.
• Documentamos la solución para tickets similares.

Gestión de activos

Permite saber qué tenemos y dónde está. De la práctica podemos aplicar, por ejemplo:

• Crear una CMDB (Configuration Management DataBase) con servidores, endpoints, aplicaciones…
• Vincular tickets con activos para mejor trazabilidad, facilitando la gestión de cambios y el mantenimiento.

Así, ya no desaparecen mágicamente portátiles y controlamos las necesidades de cada equipo, como actualizaciones.
Una vez más, Pandora FMS, por ejemplo, puede automatizar y asignar esos tickets, de forma que al abrirse uno, sepamos qué activo tiene problemas, su historial…

Gestión de cambios

Para implementar modificaciones controladas con el menor riesgo posible. Por ejemplo:

• Debemos actualizar WordPress.
• Evaluamos el impacto en un servidor testing y parece que, aleluya, no se rompen las modificaciones a medida del código ni aparece la temida pantalla en blanco (agh).
• Aprobamos el cambio.
• Decidimos la ventana de implementación: domingo noche para no alterar compras del WooCommerce que tenemos ahí como tienda.
• Se comunica la ventana a quien proceda.
• Ejecutamos la actualización.
• Se registra y documenta.

Así, seguimos un proceso con menos infartos que el del junior que vio el aviso de actualización en la web de producción y le dio a pelo, porque ¿qué es la vida sin riesgo?

Seguimiento del SLA

El Service Level Agreement (SLA) es clave, porque no cumplirlo puede llevar a consecuencias contractuales o insatisfacción del cliente, y nuestra Primera Directiva es el valor.
Así, viendo la práctica ITIL podríamos adaptar:

• Definir umbrales de cumplimiento.
• Monitorizar desde la herramienta ITSM.
• Crear alertas automáticas si pasamos umbrales.
• Cuando suceda, vamos a gestión de incidentes.

ITIL en acción: Cómo implementarlo paso a paso

Si la idea de poner orden en el manicomio nos atrae, lo peor que podemos hacer es coger las 34 prácticas de ITIL y aplicarlas a la vez, porque moriremos atragantados.
Pero como el marco es flexible, podemos coger las que más necesitemos.
Así, podemos seguir estos pasos de implementación:

• Evaluamos nuestra situación y definimos objetivos. Por ejemplo, nuestros tiempos de resolución de incidentes no son buenos y eso afecta al valor que proporcionamos.
• Nos comprometemos con los principios ITIL (valor, automatizar…).
• Seleccionamos las prácticas prioritarias en nuestro caso personal, como la gestión de incidentes del ejemplo anterior.
• Partiendo de las premisas de cada práctica (registrar, clasificar, derivar…) diseñamos los flujos y roles adaptados a nuestra organización.

Así, si tenemos Pandora, podemos automatizar gran parte del flujo de tickets o alertas, derivando a quien toque. Y tras la resolución, registra y documenta, para evaluar fácilmente si podemos mejorar a futuro.
Las claves para que ITIL no se convierta en otra tarea más en la pila es esta:

• Debemos capacitar al equipo en el flujo creado a partir del marco general de la práctica.
• Debemos usar herramientas que automaticen parte del proceso definido. Sin ellas, será complicado que ITIL no suponga más peso que alivio.

Métricas clave y seguimiento de la mejora continua

La mejora continua sobrevuela todo el marco ITIL, pero no podemos mejorar algo que no medimos. Por eso, necesitaremos indicadores operativos y de rendimiento.
Estos los podemos definir durante esa primera fase de evaluación implementando ITIL.
Siguiendo el ejemplo, si somos mediocres gestionando incidentes, un indicador clave es el MTTR (Mean Time To Resolution). Así, determinamos un objetivo por nivel de incidente (menos de 2 horas para críticos, 24 para medios…)
Otro indicador clave sería el SLA, ya que estamos centrados en el valor, pero la cuestión es que debemos tener un dashboard de esos indicadores, comprobando con datos si el proceso definido aporta mejora real (Pandora es capaz de hacer esto).

ITIL y software ITSM: Caso práctico con Pandora ITSM

Hasta que se rebelen, las máquinas están para levantar peso pesado y facilitarnos la vida. Por eso, aplicar ITIL es mucho más fácil con una herramienta como Pandora ITSM, que permite aplicar de salida:

• El principio de automatización de muchas acciones definidas en las prácticas.
• El principio de enfoque global, sin silos fragmentados.
• El principio de visibilidad de la infraestructura.
• El principio de progresar iterativamente basado en datos, ya que los proporciona al instante.
• El principio de empezar donde estés, ya que Pandora se adapta a tu infraestructura IT, por heterogénea que sea.

Además, su gestión de tickets está alineada con ITIL, permite controlar los SLA, generar los informes necesarios, la CMDB…
Igual que ITIL es un marco adaptable, Pandora ITSM también es una herramienta adaptable a tus informes, tus automatizaciones, tus dashboards…
Imaginemos otra gestión de incidente:

• Cae el servidor de la tienda online.
• Pandora lo detecta, registra el evento y genera un ticket según el proceso definido.
• El ticket llega hasta quien especificamos como encargado de esto. Como vemos, ya hemos aplicado 3 pasos de un proceso óptimo sin «hacer nada», lo ha hecho Pandora.
• El responsable analiza y da una primera respuesta, reiniciando el servidor.
• Los dioses oscuros nos escuchan por una vez y exigirán sacrificio luego, pero ahora la tienda vuelve a funcionar.
• Pandora ITSM lo detecta.
• Cierra el ticket.
• Registra lo ocurrido, incluyendo la solución.
• Registra el indicador de tiempo empleado en resolver y la posible afectación del SLA.

Esto ha sido sencillo, pero sirve para mostrar que, gracias a la herramienta, de lo que parece un enorme proceso, la intervención humana ha sido escribir sudo reboot en la terminal del servidor.
El resto de la mejor práctica lo ha aplicado Pandora, incluyendo ese registro final de las acciones, indicadores, gestión de tickets…

Cómo Pandora FMS potencia la implementación de ITIL más allá del ITSM

Pandora no solo permite agilizar procesos de valor, sino que monitoriza y detecta incidencias, antes de afecten al usuario.
Al correlar eventos y poder predecir ataques complejos, integrar Pandora SIEM permite una alerta temprana en la Caja de Pandora de gestión de incidentes, los de seguridad.
Así, al detectar con antelación, puede que tengamos que gestionar una conversación incómoda y el despido de quien intentó llevarse sin éxito datos en un USB, por ejemplo. Pero al menos no deberemos apagar el incendio de una brecha que notificar a entidades de protección de datos y usuarios, con la posible multa correspondiente.
Además, ITIL v4 tiene como principio fundamental la visibilidad global y la combinación de ITSM, monitorización y SIEM que ofrece Pandora, permite aplicarlo.

Cómo Pandora FMS potencia la implementación de ITIL más allá del ITSM

Ya he comentado el error clave implementando ITIL, atragantarse con todo a la vez. Debemos priorizar y, desde nuestra experiencia, estas son las principales recomendaciones:

• Empieza pequeño, escala después. No solo eligiendo prácticas de la ITIL, sino siempre. Por ejemplo, para la CMDB, empezamos trazando solamente activos críticos y ya iremos ampliando.
• Automatiza o muere. Melodramático, lo sé, pero debemos elegir si nos matará la pila de libros pendientes de la mesilla de noche, la virtual de juegos acumulados cada Steam Sale o la de tickets y tareas que podríamos automatizar. Las dos primeras son medalla de honor de una vida bien vivida, pero la última no merece que se nos presenten respetos.
• No adoptes, adapta. La ITIL es para coger lo necesario y usarlo de base, no mandamientos escritos en piedra.
• Mide antes y después, o la mejora continua será imposible.

Y en cuanto a errores habituales que hemos visto, además del de morder demasiado…

• SLA y KPI irreales. Porque serán fuente de frustración y no mejora.
• No tener implicación de dirección u otros departamentos. De nada sirve ITIL si Pedro de Logística sigue tocando a nuestra puerta porque el portátil «se ha roto», en lugar de saber dónde crear el ticket.
• Definir procesos y tareas, pero sin responsables.

Certificaciones ITIL y formación del equipo

Si la ITIL suena bien, adivina qué, podemos certificarnos. Sí, otro más…
Axelos te ofrece en este enlace oficial varios niveles:

• Foundation. Las bases, unos días de aprendizaje y luego examen.
• Specialist. Con las especializaciones Create and deliver, Stakeholder value y High velocity.
• Strategist. Para dirigir, planear y mejorar.
• Leader. Para crear estrategias IT alineadas con el negocio.

Nuestra recomendación, si lo estás considerando, es que no te certifiques solamente para mostrar otra medalla en el currículum.
Todos tenemos nuestra opinión sobre las certificaciones, pero pueden ser una oportunidad real para mejorar procesos y aportar valor a la organización.
Que para eso estamos, aunque se nos olvide en la vorágine cotidiana.
Como vemos, ITIL v4 ayuda a poner orden y valor en el caos. No es el primer intento ni será el último, pero, siguiendo la propia filosofía ITIL, podemos encontrar gemas que adaptar a nuestro día a día.