CSO

Врезка 0,5 полосы

 

Diana Kelley. 7 Tips for Secure Outsourcing. CSO Magazine. April 18, 2007

Как обезопасить аутсорсинг

Дайана Келли

 

1. Необходимо понять, какие именно функции вы передаете поставщикам услуг аутсорсинга. Оцените свою внутреннюю систему контроля и политики безопасности и определите, какой уровень управления рисками должен быть присущ аутсорсинговым процессам (его необходимо ужесточить, можно уделять второстепенное внимание, имеет смысл оставить на прежнем уровне и т.д.). Помните, что большую часть рисков, связанных с ответственностью, и почти все репутационные риски передавать поставщикам услуг аутсорсинга нельзя.

2. Проанализируйте риски и взаимозависимости. Изучите нормы и законодательные акты страны, в которой работает поставщик услуг аутсорсинга, показатели его финансовой устойчивости, географические риски (возможность наводнения, бесперебойность энергоснабжения), а также юридическое право регресса.

3. Оцените уровень управления рисками, которого придерживается ваш поставщик услуг аутсорсинга. Ознакомьтесь с политиками и процедурами предоставления услуг аутсорсинга, с основными заключениями аудиторов (сертификации по стандартам SAS70 Type II, BS7799/ISO27001 и т.д.). Если речь идет об аутсорсинге приложений, рассмотрите жизненный цикл разработки программного обеспечения, а также порядок тестирования программного кода.

4. Задайте необходимые вопросы, касающиеся уровня подготовки и послужного списка персонала. Оцените профессионализм сотрудников. Постарайтесь узнать, были ли у них в прошлом проблемы с законом.

5. Убедитесь в том, что данные защищены надлежащим образом. Проанализируйте политики контроля доступа и технологии авторизации, используемые при организации подключения к данным и системам, проверьте физические и виртуальные средства разграничения доступа, ограничьте права поставщика услуг аутсорсинга перечнем минимально необходимых ему функций, изучите процессы управления жизненным циклом данных и процедуры шифрования, а также порядок создания, хранения и уничтожения данных.

6. Потребуйте от поставщика услуг аутсорсинга прозрачности мониторинга размещаемых у него данных и предоставляемых услуг. Должно быть предусмотрено ежедневное или еженедельное изучение отчетов и журналов аудита, а также наличие у вас прав удаленного администрирования для мониторинга файлов системных журналов.

7. Создайте понятные и явно прописанные соглашения об уровне сервиса с возможностью их юридического контроля. Определите права на проведение аудита (физического/логического), механизмы их расширения и корректировки, а также денежной компенсации за потерю данных или вынужденный простой при возникновении перерывов в обслуживании.

 

Поделитесь материалом с коллегами и друзьями

Купить номер с этой статьей в PDF