A tolerância ao risco é a chave para a política de terceirização de segurança

Muitas pequenas e médias empresas (PMEs) estão tentando fechar as lacunas de maneira econômica, incorporando provedores de serviços gerenciados (MSPs). A ironia, entretanto, é que a terceirização de controles críticos de segurança para lidar com a proliferação de ameaças pode aumentar ainda mais a variedade potencial de vetores de ataque que os hackers podem explorar.

Então, que medidas as PMEs podem tomar para manter a confiança de que os MSPs estão gerenciando sua segurança cibernética de maneira eficaz e adequada? Mais importante ainda, quais controles de segurança devem ser terceirizados e quais controles devem ser mantidos internamente?

As organizações devem primeiro avaliar seu nível de "tolerância ao risco". Se sua tolerância ao risco for baixa, quase tudo pode ser terceirizado, desde análises de segurança a relatórios de conformidade.

No entanto, uma PME que é fornecedora de uma instituição governamental —como o Ministério da Defesa (MoD)— pode ter uma tolerância de risco muito menor e deve usar apenas um MSP aprovado pelo governo. Se uma empresa tiver fornecedores, clientes ou parceiros na área de segurança nacional, também pode ser aconselhável evitar trabalhar com empresas de segurança cibernética baseadas em estados hostis.

É essencial para as empresas auditarem todos os seus dados ou sistemas internos para identificar o "perfil de risco" de todos os seus sistemas e dados e as sensibilidades particulares de cada tipo de dados. Isso ajudará a decidir o que pode ser terceirizado e para quem.

Por exemplo, informações financeiras ou de propriedade intelectual vitais nunca devem ser liberadas para uma empresa com um histórico de segurança insatisfatório ou um contrato sem um forte acordo de nível de serviço (SLA).

Os controles de segurança de sistemas, servidores, redes ou dados cobertos por lei, bem como pela diretriz de informação do setor público, somente devem ser terceirizados para empresas que especificam que estão cumprindo seus contratos.

Todos os dados de transações financeiras devem ser tratados internamente, sempre que possível. Depois, há considerações óbvias, como se seus dados são hospedados por seu MSP de segurança na Europa, onde estarão sujeitos ao Regulamento Geral de Proteção de Dados da União Europeia (GDPR).