Gestión estratégica de seguridad en la empresa - Anetcom

La externalización es verdaderamente uno de los principales aliados de la
Seguridad de la Información, pero su uso debe ser cautelosamente planteado
y sus requisitos comprendidos y sopesados. A pesar de que la teoría dice que,
cuando se externaliza, se debe preocupar del QUÉ y no del CÓMO, este
planteamiento debe matizarse: los procesos que deben externalizarse son
aquellos que aporten valor pero que permitan a la organización mantener el
conocimiento de negocio de cada área. La externalización feroz en muchos
casos ha finalizado con organizaciones con una dependencia total de un proveedor
que ha pasado a conocer mejor el negocio que la propia entidad.
Asimismo, externalizar debe ser sinónimo de medir y supervisar: dado que se
plantea el traslado de determinados procesos a manos ajenas a la entidad, su
rendimiento y calidad en la ejecución deben ser controlados con especial
atención. En auxilio de las organizaciones que decidan abordar la externalización
parcial o total de sus servicios TIC, surgen diversas buenas prácticas
de Gestión de Servicios. Sin duda el principal exponente es ITIL, corazón de
la norma ISO 20000 y a la que se dedicará un breve capítulo más adelante.
Las buenas prácticas de Gestión de Servicios establecen diversos mecanismos
que facilitarán de forma importante el control de servicios externalizados,
siendo el más relevante para este caso el del SLA (Service Level Agreement, o
Acuerdo de Nivel de Servicios). Su objetivo es fijar, mediante un contrato o
acuerdo, los valores mínimos y el objetivo de rendimiento de cada servicio y
establecer penalizaciones por su incumplimiento. Estos SLA se convertirán en
parte integral del contrato de prestación de servicios establecido con el tercero
y permitirán a la organización supervisar que la prestación se realiza de
acuerdo a los parámetros de calidad establecidos.
Aunque todo lo comentado previamente es válido para la externalización de
diversos servicios TIC, los relacionados con la seguridad tienen ciertas peculiaridades
que deben ser completamente comprendidas y contempladas antes
de planificar su externalización. El primer punto, base de una externalización
satisfactoria, fue identificado ya en la antigua Grecia con la inscripción que
figuraba en la puerta del Oráculo de Delfos: “Conócete a ti mismo”. Es altamente
desaconsejable sacar de la organización cualquier proceso que sea
crítico para el negocio, al menos de forma completa y sin garantías. Para ello,
la entidad previamente deberá comprender de forma completa cuáles son sus
procesos críticos y hasta qué grado pueden ser externalizados.
89