Un SLA que distinga respuesta de resolución
Es la parte del contrato donde la promesa se vuelve obligación, y la que más se firma sin leer.
- Tiempo de respuesta: cuánto tarda un técnico en tomar el caso. Es el compromiso fácil y casi todos lo ofrecen.
- Tiempo de resolución: cuánto tarda el problema en quedar cerrado, por nivel de severidad. Es el que afecta a la operación y el que suele faltar.
- Severidades y quién clasifica: la tabla que define qué es crítico y quién decide el nivel. Si lo decide sólo el proveedor, todo tenderá a clasificarse bajo.
- Horario de cobertura: días, horas, festivos y guardias. Debe coincidir con el horario real de la operación, incluidos turnos y cierres de mes.
- Ruta de escalamiento: a quién sube el caso al vencerse el plazo, con nombre y medio de contacto, y en qué momento se entera la dirección.
- Medición y consecuencia: de qué sistema salen los tiempos, con qué frecuencia se reportan y qué pasa si no se cumplen.
Un solo punto de contacto, y todo registrado
El soporte tiene que ser un lugar, no una lista de teléfonos. Los usuarios deben saber a dónde escribir, y cada solicitud debe quedar registrada en un sistema de tickets con número, responsable y bitácora.
No es burocracia: es la única manera de que existan los datos con los que después se mide el nivel de servicio, se detectan las fallas repetidas y se justifica una inversión. El soporte que se pide por mensaje directo a un técnico funciona bien hasta que ese técnico no contesta, y no deja rastro de nada.
Pide ver el portal, cómo lo usa un usuario final y qué reporte sale de ahí.
Monitoreo, actualizaciones y respaldos que se prueban
Son las tres tareas preventivas que distinguen un servicio de una reparación.
Al revisarlas, pide los dos objetivos que definen un respaldo útil: cuánta información se puede perder como máximo y en cuánto tiempo se vuelve a operar. Sin esos dos, el respaldo no tiene un diseño, tiene una configuración.
- Monitoreo continuo de equipos, servidores, red y servicios en la nube, con alertas que lleguen al proveedor y no al usuario. El objetivo es enterarse por el sistema, no por una queja.
- Administración de parches en ventanas acordadas, con registro de qué quedó actualizado y detección de los equipos que se quedaron atrás. Las actualizaciones pendientes son una de las puertas de entrada habituales de un incidente de seguridad.
- Respaldo con restauración probada. Que el respaldo “corre todas las noches” no dice nada: lo que importa es la última vez que se restauró algo y cuánto tardó. La prueba debe ser periódica y su resultado debe aparecer en el reporte.
Inventario de activos y de licencias
No se puede dar soporte a lo que no se sabe que existe. El inventario debe decir qué equipos hay, con qué características y versión, a nombre de quién, con qué garantía y con qué licencias asignadas.
El de licencias tiene además un efecto inmediato en el presupuesto: es donde aparecen las suscripciones de personas que ya no trabajan ahí, las duplicadas y las que están en un nivel superior al que realmente se usa. También es lo que permite llegar a una renovación sabiendo qué se necesita, en lugar de aceptar lo del año pasado.
Debe estar actualizado y ser exportable. Un inventario que sólo existe dentro de la herramienta del proveedor es el inventario del proveedor.
Alta y baja de empleados como procedimiento
Es el punto donde se ve si hay proceso o buena voluntad, y el que más rápido se degrada cuando no está escrito.
Pide el procedimiento por escrito y un plazo comprometido para la baja. Las cuentas activas de gente que ya se fue son, en la práctica, la puerta abierta más frecuente.
- Alta: equipo configurado y cifrado, cuentas creadas con los permisos del puesto y no más, licencias asignadas y registradas, autenticación multifactor activa y respaldo funcionando desde el primer día.
- Cambio de puesto: revisión de permisos cuando alguien cambia de área, que es justo cuando los accesos se acumulan sin que nadie los retire.
- Baja: revocación de accesos el mismo día —correo, nube, VPN y sistemas de terceros incluidos—, recuperación del equipo y de la información, liberación de la licencia y constancia de todo lo anterior.
Documentación, reportes y una revisión con la dirección
Lo último de la lista es lo que más se extraña cuando falta. La documentación debe ser propiedad de la empresa y estar viva: diagrama de red, inventario, procedimientos de alta y baja, ubicación de los respaldos, procedimiento de restauración y registro de accesos administrativos. Es lo que evita que el conocimiento quede en una sola cabeza y lo que permite cambiar de proveedor sin empezar de cero.
El reporte periódico cierra el círculo: incidentes del periodo, cumplimiento de los tiempos comprometidos, estado de parches y respaldos, y los riesgos que siguen abiertos. Y una reunión de revisión, aunque sea trimestral, donde se decidan prioridades en lugar de sólo informarlas.
Por último, el modelo de costo también es parte de lo que se contrata. Un costo fijo mensual convierte un gasto de capital irregular en un gasto operativo previsible, que se puede presupuestar y comparar; el soporte por evento no se puede planear. igeckoo presta este servicio desde Querétaro como partner certificado de Microsoft y Acronis, con más de 15 años de experiencia y el alcance definido por contrato.