Cambios TI gestionados: coordina cliente y proveedor

El contrato necesita una operación de cambios compartida

En un servicio gestionado, el proveedor puede ejecutar tareas técnicas mientras el cliente conserva decisiones sobre riesgo, prioridad y continuidad del negocio. Si el límite de autoridad no está claro, un cambio puede quedar detenido entre equipos o ejecutarse sin que el propietario del servicio conozca su impacto.

NIST SP 800-128 describe el control de cambios de configuración como un proceso documentado de propuesta, justificación, implementación, prueba, revisión y disposición, con responsabilidades definidas. Aunque se redactó para sistemas federales de EE. UU., sus principios de trazabilidad son útiles como referencia para acordar un flujo entre cliente y proveedor.

RACI mínimo para cada cambio

Actividad	Cliente	Proveedor	Evidencia
Solicitar y justificar	Dueño del servicio define necesidad e impacto	Aporta alcance técnico y dependencias	Ticket con motivo, activos y riesgo inicial.
Evaluar y aprobar	Autoriza según criticidad y límites pactados	Estima esfuerzo, riesgo y ventana	Evaluación, aprobador y decisión.
Ejecutar	Facilita responsables de negocio y acceso autorizado	Implementa por personal asignado	Registro de acciones, hora y configuración.
Validar	Confirma resultado funcional del servicio	Realiza pruebas técnicas y monitoriza	Pruebas, métricas y resultado esperado/real.
Cerrar o revertir	Decide continuidad del servicio si el resultado es incierto	Ejecuta el plan aprobado e informa	Cierre, desviaciones y acciones posteriores.

Tres caminos operativos

• Repetible y acotado: tareas preevaluadas con alcance fijo, calendario y condiciones de ejecución. Documenta qué variación obliga a salir del flujo simplificado.
• Normal: evaluación de impacto, dependencias, riesgo, aprobador, ventana, validación y reversión antes de ejecutar.
• Urgente: ruta acelerada para una incidencia o exposición relevante, con autoridad de guardia, registro en el momento y revisión posterior. Define el umbral de urgencia en el acuerdo; no uses esta ruta para compensar una mala planificación.

Campos de aceptación

El ticket compartido debe conservar identificador, dueño del servicio, grupo ejecutor, sistemas afectados, usuarios potencialmente impactados, dependencias, ventana, pruebas, criterios de aborto, reversión, contactos y aprobación. Acordad quién mantiene la fuente de verdad y qué herramienta se consulta durante una incidencia.

Revisa el flujo en las reuniones de servicio y comprueba cambios no asociados a ticket, reversiones repetidas y tiempos de aprobación. Complementa esta coordinación con el gobierno de SLA del service desk y la transición a un servicio gestionado.

Referencia: NIST SP 800-128, Security-Focused Configuration Management.