Gestión estratégica de seguridad en la empresa - Anetcom

90
Otro caso especialmente relevante y que habitualmente lleva a confusiones, es
el relativo a las organizaciones que disponen de un SGSI certificado y que desean
externalizar servicios incluidos en el alcance de dicho SGSI. El modelo también
resulta perfectamente válido para organizaciones que, aunque no disponen
de un SGSI, quieren controlar apropiadamente la seguridad de sus servicios:
¿Se confía por completo en el prestador de servicios o se le obliga y controla
que disponga de todos los controles que debe?
En esta encrucijada la propia norma ofrece pistas sobre cómo gestionar la
situación:
• La “frontera” de seguridad, que separará los servicios externalizados de
los propios, y donde ser reflejarán todos los requisitos de seguridad a
cumplir por el proveedor será el Contrato de prestación de servicios. Éste
deberá recoger de forma clara y específica todos los controles que la
empresa prestataria deberá cumplir. Por ejemplo, en el caso de que los
servidores de la organización se encuentren alojados en un datacenter
externo, la empresa que lo gestione deberá acordar los mismos controles
que debiera cumplir la organización en el contrato que regule la prestación
de servicios.
• El contrato también deberá incluir otro requisito: la capacidad de auditoría.
A través de esta cláusula, la organización podrá, en caso de considerarlo
necesario, verificar que los controles incluidos en el contrato están
efectivamente implantados y funcionando.
• Por último, se deberá tener en cuenta también la formación y concienciación
del proveedor. El prestador de servicios y sus técnicos deberán
conocer y cumplir las políticas y normas de seguridad establecidas por la
organización, por lo que se deberán suministrar como parte del contrato
y verificar que dichos técnicos lo conocen y cumplen.
Fuera del ámbito de los SGSI, pero sin duda parte integral de las buenas prácticas
de externalización, existen consideraciones adicionales que deben ser atendidas:
• Cumplimiento legal: El caso más conocido y universal es el que tiene
que ver con la protección de datos. En este sentido, será necesario con-