Externalizaciones: ¿Un desafío para la seguridad digital?
Es difícil pensar hoy en día en un negocio rentable que no externalice algunos de los servicios que necesita para crear ese valor añadido que proporciona, preferiblemente de forma única, al mercado. La frontera entre una externalización y una provisión de un servicio por parte de un tercero es tan difusa que, para evitar confusiones, en este artículo ambos conceptos se consideran sinónimos.
¿Cómo afectan esas externalizaciones a la seguridad digital de esa compañía? La respuesta a esta pregunta contiene muchas variables. Quizás la principal sería recordar a la empresa que contrata a un tercero para que le proporcione un servicio en concreto que la responsabilidad final de la calidad final del servicio y su control continúa estando en la compañía que externaliza.
Alberto Partida
Analista y autor en Seguridad TI
apartidar@gmail.com
linkedin.com/in/albertopartida
Si aplicamos este principio a la seguridad digital, es patente que la empresa que contrata a un tercero tiene que ser capaz de valorar, primero, el riesgo que conlleva esa externalización y, segundo, la seguridad, tanto la inicialmente diseñada como la realmente implementada, por el proveedor del servicio. Es más, desde el punto de vista de la seguridad digital, los requisitos son idénticos o, incluso, mayores a los que se implementan internamente.
En otras palabras, el riesgo que introduce la externalización de un servicio tiene que estar en sintonía con el apetito al riesgo de la compañía que lo adquiere.
Aspectos tan clave como la gobernanza aplicada con estos terceros proveedores de servicios, la sincronización de sus planes de continuidad de negocio con los de la empresa que utiliza esos servicios, la posibilidad real de auditar dicho servicio y cualquier otra subcontratación que se produzca, así como la necesidad de establecer un plan realizable y realista de salida de tal externalización no pueden olvidarse hoy en día en ninguna industria que funcione con servicios aportados por terceras partes.
Finalmente, para aquellos lectores interesados en los detalles de este tema tan actual, el consejo será estudiar las directrices sobre ¨outsourcing¨ publicadas este 2019 por la Autoridad Europea Bancaria (EBA), tan aplicables en la industria financiera como el cualquier otra industria con necesidad de gestionar sus niveles de riesgo de forma eficiente.