¿Para qué me sirve esta actividad? 📚
Esta actividad te ayudará a establecer el proceso que debe seguir tu empresa para gestionar solicitudes de cambios, mejoras o nuevas funcionalidades en el software antes de implementarlas en producción.
Este documento es importante porque permite evitar modificaciones no controladas o no revisadas adecuadamente que puedan afectar la operación, la disponibilidad de los sistemas o la seguridad de los datos personales tratados por la empresa.
¿Qué tengo que hacer? 🚀
💡Este documento debe reflejar la forma real en que tu empresa gestiona los cambios en sus desarrollos y herramientas tecnológicas.
Al trabajar en el template, te recomendamos primero leerlo en su totalidad para así comprender la información que deberás documentar posteriormente. Y para completarlo de forma adecuada, te recomendamos considerar lo siguiente:
Objetivo y alcance del procedimiento.
Verifica que el objetivo se enfoque en coordinar, priorizar, ejecutar y monitorear adecuadamente los cambios a nivel de software.
El alcance debe abarcar las actividades relacionadas con cualquier tipo de cambio en los desarrollos y durante todas sus etapas.
Formalización de la solicitud de cambio.
Define quién puede levantar una solicitud y cuál será el formulario, ticket o herramienta oficial para hacerlo. De este modo, aseguras un flujo transparente y logras que la información esté consolidada.
Asegúrate de que la solicitud incluya, como mínimo, el nombre y rol del solicitante, la descripción del cambio, mejora o nueva funcionalidad, y su justificación. Puedes solicitar más información si lo ves pertinente, ya que lo más importante aquí es entender todo el contexto para tomar decisiones informadas.
Evita gestionar cambios relevantes solo por mensajes informales o solicitudes verbales; deben quedar registrados para permitir su seguimiento.
Evaluación del requerimiento.
El área o perfil responsable debe analizar el tipo de cambio solicitado, evaluar su factibilidad técnica, los recursos necesarios, las pruebas requeridas, los posibles riesgos de seguridad y privacidad, y los activos que podrían verse afectados.
Si se determina que el requerimiento es factible, debe definirse su prioridad y asignarse un responsable. Pero si no lo es, lo ideal es informar al solicitante el motivo del rechazo.
⚖️ Recomendación legal: Cuando el cambio implique recopilar nuevos datos personales, modificar finalidades, integrar proveedores, habilitar nuevos accesos o trasladar información a otra infraestructura, conviene revisar si también deben actualizarse el Inventario de datos personales, la evaluación de riesgos, los contratos con proveedores, el Aviso de Privacidad o realizar una Evaluación de Impacto a la Privacidad.
Ejecución del requerimiento y aplicación de pruebas.
Según la prioridad asignada, el cambio podrá ejecutarse de forma inmediata o incorporarse al backlog del equipo con una fecha límite.
El requerimiento debe diseñarse y ejecutarse en un ambiente de pruebas antes de avanzar a producción, implementando siempre que sea posible, un enfoque de privacidad desde el diseño.
Las pruebas de calidad y seguridad deben realizarse en un entorno controlado y separado del ambiente productivo.
Si se detectan fallas, el requerimiento debe volver a su responsable de desarrollo para aplicar las correcciones necesarias.
Si las pruebas son exitosas, podrá solicitarse la autorización para el paso a producción.
Autorización y ejecución del paso a producción.
Define quién será responsable de revisar las pruebas exitosas y autorizar el paso a producción.
Si se identifica algún tipo de anomalía durante esta etapa, sin importar que haya pasado las pruebas de calidad y seguridad, el requerimiento debe volver al responsable correspondiente para su corrección.
El paso a producción debe realizarse dentro de los períodos previamente definidos, o cuando su afectación sea la mínima.
Ante una afectación al servicio, debe existir un procedimiento de rollback preestablecido que se pueda ejecutar de manera eficiente para evitar interrupciones o impactos graves a la operativa.
Comunicación y registro del resultado.
Una vez implementado el cambio, debe notificarse al solicitante y a las partes interesadas definidas por la organización. Así como también se deben registrar las acciones realizadas en el repositorio, sistema de tickets, documento o herramienta que utilice la empresa.
Esta evidencia permitirá demostrar qué cambio se realizó, quién lo autorizó, cuándo se implementó y cuál fue su resultado; básicamente toda la trazabilidad pertinente.
Completa el versionado del documento.
Al finalizar, completa la tabla de versionado indicando quién elaboró el procedimiento, quién lo aprobó, la fecha de aprobación y la clasificación de la información.
Nuestro template está estructurado para guiarte en el ciclo completo de una gestión de cambio productivo, desde la solicitud hasta su implementación y registro, pero recuerda que debes ajustarlo a las herramientas, responsables y prácticas reales de tu empresa.
💡Los pasos a seguir para terminar la actividad dentro de la plataforma son los siguientes:
Una vez que nuestro equipo haya aprobado la actividad, debes subir el documento final en versión PDF (no editable).
Posteriormente, debes subir la evidencia de su aprobación.
Recomendamos que esta evidencia sea a través de una minuta de sesión de comité (en ese caso, debes subir el documento en PDF de la minuta), o con una captura de pantalla de la respuesta explícita de quién o quiénes lo aprobaron.
Esto debe realizarse por algún medio de comunicación interno de la empresa, como Slack, Teams o el correo electrónico organizacional.
O también puedes utilizar la funcionalidad de aprobación que tiene la plataforma Hackmetrix.
Y por último, debes subir la evidencia de su comunicación.
Al igual que la aprobación, la comunicación del documento puede ser por cualquier medio formal interno de la empresa. Y para esto, debes subir una captura de pantalla donde se muestre que el documento fue comunicado a todos los colaboradores interesados.
O también puedes utilizar la funcionalidad de comunicación que tiene la plataforma Hackmetrix.
Recomendaciones ✅
Define internamente qué tipos de cambio requieren involucrar al Oficial de Protección de Datos Personales, área de Privacidad y/o al Comité de Privacidad directamente, especialmente cuando impacten datos personales, proveedores, permisos de acceso o transferencias internacionales.
Si tu área de Desarrollo es alcanzada por tu SGPI, alinea los responsables de desarrollo, pruebas, autorización y despliegue con lo declarado en la Matriz SoD, procurando que una misma persona no ejecute y apruebe por sí sola un cambio crítico.
Conserva la evidencia técnica de los cambios relevantes, como tickets, resultados de pruebas, autorizaciones, registros de despliegue y, cuando aplique, evidencia de rollback.
Revisa este procedimiento cuando la empresa cambie sus herramientas de gestión de proyectos, repositorios, infraestructura tecnológica o esquema de aprobación de cambios.
¡Califica este artículo 👇, esto nos ayudará a mejorar nuestro contenido para ti! También puedes contactarnos por correo electrónico o a través de la plataforma, y te brindaremos la atención que necesites.