信息安全外包的风险

1、信息平安外包的风险平安状况，而这些重要的信息假设被有意或无意地对公众散播出 险躲避的重点内容。企业很容易对某个信息平安效劳的外包商产生依赖性，并受其商业变化、商业伙伴和其他企业的影响，恰当的风险缓释方法是将平安效劳外包给多个效劳外包商，但相应地会加大支出并造成管理不管外包商提供效劳的范围如何，企业都对根底设施的平安操人员意识到，应该将信息平安作为其首要责任，并进展平安培训课程，增强常规企业的平安意识。信息平安效劳的外包商使用的向多个企业提供效劳的操作环境要比单独的机构内部环境将包含更多的风险，因为共享的操作环境将支持在多企业之间共享数据传输(如公共网络)或处理(如通用效劳器)，这将会增加一个企

2、业访问另一企业敏感信息的可能性。这对企业而言也是一种风险。启动一个可管理的平安效劳关系可能引起企业到效劳外包商， 或者一个效劳外包商到另一个外包商之间的人员、过程、硬件、软件或其他资产的复杂过渡，这一切都可能引起新的风险。企业应该要求外包商说明其高级施行方案，并注明完成日期和所用时间。这样在某种程度上就对施行过程中风险的时间期限做出了限制。可能失败，如同其他商业关系一样，它需要给予足够的重视、关 注，同时还需要合作关系双方进展频繁的沟通。要进展成功的信息平安外包活动，就要建立起一个完善的管理框架，这对于企业施行和管理外包活动，协调与外包商的关系，最大可能降低外包风险，从而到达外包的目的是非常重

3、要的。信息平安外包的管理框架的内容分为几个主体部分，分别包括企业协同信息平安的外包商确定企业的信息平安的方针以及信息平安外包的平安标准，然后是对企业遭受的风险进展系统的评估.并根据方针和风险程度.决定风险管理的内容并确定信息平安外包的流程。之后，双信息平安相关部门的企业构造，同时加强管理与外包商的关系。指的是在一个企业内，指导如何对资产，包括敏感性信息进展管理、保护和分配的指导或者指示。信息平安的方针定义应该包括信息平安的定义，定义的内容包括信息平安的总体目的、信息平安 ;(2)管理层的目 ;(3)信息平安的原那么和标准的简要说明，以及遵守 ;(4)信息平安管理的总体性责任 的定义。在信息平安

4、方针的部分只需要对企业的各个部门的平安职 能给出概括性的定义，而详细的信息平安保护的责任细节将留至效 劳标准的部分来说明。信息平安管理体系标准BS7799 与信息平安管理标准IS013335 是目前通用的信息平安管理的标准:BS7799:BS7799标准，是国际上具有代表性的信息平安管理体系标准，标准包括如:BS7799-1;1999;BS7799- 2:1999(信息平安管理体系标准。IS013335:IS013335IT效地施行IT5企业要根据企业的商业特性、地理位置、资产和技术来对信息平安外包的范围进展界定。界定的时候需要考虑如下两个方面:(1);(2)安程度，识别所有需要管理和控制的风

5、险的内容。企业需要协同信息平安的外包商选择一个适宜其平安要求的风险评估和风险管理方案，然后进展符合标准的评估，识别目前面临的风险。企业可以定期的选择对效劳外包商的站点和效劳进展独立评估，或者在年度检查中进展评估。选择和使用的独立评估的方案要双方都要可以承受。在达成书面一致后，外包商授予企业独立评估方评估权限，并详细指出评估者不能泄露外包商或客户的任何敏感信息。给外包商提供关于检查范围的进一步消息和细节，以减少任何对可用性，效劳程度，客户满意度等的影响。在评估执行后的一段特殊时间内， 与外包商共享结果二互相讨论并决定是否需要解决方案和/或开发方案程序以应对由评估显示的任何变化。评估所需要的相关材料和文档在控制过程中都应该予以建立和保存，企业将这些