Снижение рисков аутсорсинга: руководство CIO по безопасным IT-партнёрствам

Бизнесы всё чаще передают все или часть своих IT-функций внешним провайдерам услуг. Хотя это может создать определённые эффективности, организация всё равно несет конечную ответственность за риски, связанные с доступностью и функциями IT-услуг, а также надлежащим доступом и использованием корпоративных данных.

Это означает, что CIO или эквивалентный IT-лидер должен обеспечить, чтобы выбранные провайдеры имели надлежащую структуру, финансовую стабильность и планы непрерывности для последовательной доставки контрактных услуг.

Также означает, что IT-лидеры должны оценивать эффективность политик и процедур провайдера, чтобы гарантировать целостность и безопасность чувствительных данных и проприетарной информации компании.

Оценочная $1 трлн в год индустрия, IT-аутсорсинг принимает многие формы. Организация может передать весь IT-департамент вендору, или нанять для операций дата-центра, управления сетью или других специфических функций.

Часто аутсорсируемые IT-функции включают:

• Разработку программных приложений,
• Поддержку программных приложений,
• Операции дата-центра,
• Поддержку help-desk,
• Управление сетью,
• Кибербезопасность,
• Платформу или инфраструктуру как сервис, и
• Программное обеспечение как сервис.

Раньше CIO фокусировались преимущественно на физической цепочке поставок продуктов. Сегодня они должны заботиться о цепочке поставок и для продуктов, и для услуг.

Оценка и управление рисками у сторонних технологических сервисных поставщиков может быть вызовом, так как значительные части сервисных сред находятся под контролем провайдера и, вероятно, вне зоны видимости закупающей организации. Due diligence должен быть выполнен заранее для оценки рисков вовлечения внешней стороны.

Перед вовлечением с IT-сервисным провайдером CIO должен понимать:

• Что именно аутсорсится,
• Какие бизнес-процессы будут поддерживаться сервисом,
• Какие данные будут храниться, обрабатываться или доступны через аутсорсированный сервис, и
• Кто будет иметь доступ к системам, приложениям и данным, связанным с аутсорсированным сервисом.

Процесс может начаться с базовой формы оценки рисков IT-услуг, спроектированной для сбора ответов на эти вопросы от сотрудников организации. Дополнительно, форма предварительной оценки поставщика может использоваться для сбора предварительной информации от потенциального провайдера. Общие вопросы для включения в форму предварительной оценки поставщика:

• Объявлял ли ваш банкротство когда-либо?
• Включает ли страховой полис вашей компании покрытие ошибок и упущений (или общее гражданское)? Если да, каковы лимиты полиса?
• Участвует ли ваша компания в предстоящих судебных разбирательствах?
• Была ли ваша компания стороной регуляторного расследования?
• Есть ли у вашей компании политика конфиденциальности?
• Есть ли у вашей компании документированная программа безопасности?
• Согласится ли ваша компания заполнить анкету о программах информационной безопасности и конфиденциальности?
• Есть ли у вашей компании отчёт SOC (Service Organization Controls)?
• Есть ли у вашей компании комплексный план непрерывности бизнеса для адресации продолжения операций при инцидентах, нарушающих нормальные операции?

Эти формы оценки должны дать достаточно информации для определения, нужна ли дополнительная due diligence. В зависимости от уровня потенциального риска, дополнительная due diligence может включать требование к провайдеру ответить на более детальную анкету; детальный обзор отчёта SOC провайдера, или вовлечение внутренней аудиторской функции организации или квалифицированной внешней аудиторской фирмы для проведения оценки вендора.

Проведение этих оценок критично при установлении отношений с новым провайдером. Также важно продолжать пересмотр каждого поставщика на постоянной основе. Частота и объём этих пересмотров должны основываться на рисках, ассоциированных с предоставляемыми услугами.

Эти оценки адаптированы для сервисных провайдеров, но концепции можно адаптировать и для ключевых провайдеров технологических продуктов. Главное — чтобы CIO понимал потенциальные риски вовлечения с поставщиком и имел понимание того, как каждый поставщик управляет своими бизнес-рисками. Таким образом, CIO будет лучше способен предвидеть влияние рисков аутсорсинга на организацию.

Оценки сервисных провайдеров могут быть назначены различным функциям в организации, включая IT, риск-менеджмент или внутреннюю аудиту. Оценки также могут выполняться квалифицированной третьей стороной.

Однако ответственность за пересмотр информации, собранной из оценок, и определение того, соответствует ли вовлечение с предлагаемым технологическим сервисным провайдером целям организации и уровням терпимости к риску, лежит на CIO или эквивалентном IT-лидере. Тщательная оценка сегодня поможет отвратить более крупные проблемы завтра.

Роберт Нилл — директор CIO Advisory Services в Weaver, национальной CPA и консалтинговой фирме.