Compliance: ¿Por qué negarnos a la tercerización?

La escasez de profesionales de seguridad calificados y el creciente número de requerimientos de seguridad de las regulaciones mundiales están empujando a las organizaciones más allá de los límites de lo que pueden manejar. El equipo de seguridad de la organización IT se ve sometido a una creciente presión cuando intenta equilibrar los esfuerzos diarios por garantizar la seguridad con los requerimientos de auditoría. Entonces, ¿por qué no habríamos de tercerizar las tareas repetitivas de Compliance?

No se dedica el personal interno a tareas de Help Desk. Las solicitudes de soporte, tal como recuperación de passwords y creación de cuentas, se envían a una mesa de soporte tercerizada. Nuestro proveedor del servicio de Help Desk también maneja las bajas de cuentas y actividades de administración de cuentas a gran escala relacionadas con la distribución de nuevos sistemas. Por último, cualquier actividad repetitiva de control de acceso se contrata a recursos externos. Esto no significa que delegamos la responsabilidad. Con regularidad revisamos todos los procesos para garantizar que los resultados conformen nuestras políticas, estándares y lineamientos.

También tercerizamos la tediosa tarea agregar, correlacionar y dar sentido a los datos de logs, incluyendo los logs de los IDS/IPS y firewalls. Esto le permite a nuestros analistas enfocarse en tareas de seguridad de nivel más alto que requieren el conocimiento de la organización y su tecnología. Por lo tanto, sería lógico suponer que, para poder cumplir con los exigentes mandatos de las regulaciones, una práctica recomendable sería la de tercerizar aquellas tareas que cualquiera puede hacer y retener en la organización las tareas a las que el personal interno agrega valor. De este modo, los analistas de seguridad internos se pueden enfocar en la estrategia, el análisis, el diseño y la visión operativa usando recursos externos para delegar las crecientes actividades vinculadas a Compliance.