Riesgos en caso de recurrir a la subcontratación

Riesgos en caso de recurrir a la subcontratación

El uso de la contratación externa [1] tiene muchas ventajas, pero también algunos riesgos que es necesario abordar.

Riesgos relacionados con la pérdida de control de su sistema de información

Uno de los principales riesgos que una empresa puede encontrar es la perdida de su sistema de informacion.

Riesgos relacionados con la subcontratación

Para responder a un llamado a licitación, el solicitante puede recurrir a la subcontratación.

El proveedor de servicios debe presentar todas las garantías de seguridad en caso de que el cliente recurra a esta forma de subcontratacion que es la externalización.

Los riesgos financieros y de seguridad pueden surgir de la contratación externa [2]. Es importante que el proveedor de servicios garantice la seguridad de sus clientes y minimice los riesgos financieros.

Riesgos relacianados con la localización de los datos

No todos los sistemas de gestión de instalaciones permiten localizar con certeza los datos alojados. Este es el caso de las soluciones de alojamiento como la Nube, por ejemplo.

Estas soluciones pueden ser un factor que agrave los riesgos de violación de la confidencialidad de los datos. En el caso de la contratación externa [3], el riesgo de divulgación de información de importancia debe examinarse antes de que ambas partes recurran a ella.

Una localización no controlada de los datos puede conllevar los siguientes riesgos:

- Dificultades para responder a los diversos requerimientos judiciales por motivos fiscales

- Dificultad para ejercer control sobre el personal del proveedor.

- Dificultad para realizar una auditoría de seguridad de la infraestructura.

IKOULA alberga los datos en dos centros de datos que tenemos en Francia. La empresa cumple con las normas europeas que rigen las leyes de protección de datos. Por lo tanto, garantizamos a nuestros clientes la protección de datos y la trazabilidad.

Riesgos relacionados con los datos personales

La transferencia de datos fuera de la UE se rige por una directiva europea y la ley del 6 de enero de 1978 relativa a la informática, los archivos y las libertades.

Por consiguiente, se acuerda examinar si el receptor de esta transferencia actúa como "controlador de datos" o "procesador".

IKOULA se mantiene a su servicio a través de 4 niveles de subcontratación de servicios según el tipo de infraestructura y las necesidades que usted satisface, y actúa como subcontratista.

La CNIL ha hecho una distinción entre sus funciones:

- El controlador de datos se caracteriza por su autonomía en la gestión y ejecución de una operación de procesamiento.

- La tarea del procesador es gestionar las tareas bajo la responsabilidad e instrucciones del controlador.

Así pues, todo tratamiento o transferencia de datos personales por un encargado del tratamiento o un infogerente sólo podrá efectuarse siguiendo las instrucciones del responsable del tratamiento y a condición de que el encargado del tratamiento establezca un contrato que garantice las medidas de seguridad y confidencialidad. Este contrato también debe ser firmado por las partes.

Por ejemplo, los anfitriones de datos sanitarios están sujetos a obligaciones de seguridad específicas, al igual que las instituciones de crédito.

Las obligaciones legales deben respetarse en el entorno de la contratación externa. También hay que asegurarse de que se apliquen correctamente.

Riesgos asociados a las intervenciones a distancia

Los riesgos dependen de las características de los dispositivos utilizados. También dependen del contexto en el que se aplican.

Sin embargo, como ya se ha mencionado, IKOULA ofrece 4 niveles de externalización a sus clientes dependiendo del tipo de infraestructura y las necesidades que se encuentren. Con estos 4 niveles, usted se beneficia de ventajas reales que le permiten confiar sus activos informáticos con total tranquilidad.

- El nivel de libertad ofrece al cliente apoyo y una garantía sobre el hardware.

- Además de lo que ofrece el nivel de libertad, el nivel Prime asegura la supervisión del sistema y una completa auditoría de seguridad.

- Además de los otros niveles, el nivel de negocios proporciona procedimientos personalizados y servicios de supervisión y apoyo.

- El primer nivel ofrece una externalización completa de su sistema (gestión técnica, asesoramiento, evolución, seguridad...).

Cada nivel ofrece oportunidades para los clientes. Cada nivel presenta riesgos limitados gracias a sus características. Gracias, en particular, a las garantías ofrecidas y al uso de una experiencia reconocida. A continuación, se exponen varios puntos débiles que se suelen asociar a los dispositivos de mantenimiento a distancia:

- El vínculo permanentemente establecido con el mundo exterior.

- Contraseñas predeterminadas (conocidas en todo el mundo) o contraseñas débiles.

- La existencia de fallas en las interfaces de acceso.

- Los sistemas operativos de los dispositivos no están actualizados.

- Falta de rastreo de las acciones.

- El personal responsable de estos dispositivos no conoce los problemas de seguridad o está mal entrenado.

- Interconexión de sistemas seguros de confianza con sistemas de bajo nivel (por ejemplo, Internet).

Es probable que la explotación de las vulnerabilidades de un dispositivo de mantenimiento a distancia facilite las intrusiones en el sistema de información y, por lo tanto, afecte a la seguridad de toda la SI.

Los principales riesgos relacionados con los dispositivos dedicados a las intervenciones a distancia son:

- Intrusión en el sistema de información por una persona no autorizada (uso de una contraseña débil, una laguna o una puerta trasera) con consecuencias más o menos graves según las motivaciones del atacante y su capacidad de no ser detectado, incluyendo:

Una falta de disponibilidad de equipo que podría provocar la indisponibilidad del sistema de información. Y un ataque a la confidencialidad o integridad de los datos presentes en el sistema de información.

Riesgos relacionados con el alojamiento compartido

- Perdida de disponibilidad

Un ataque de denegación de servicio suele provocar que el servidor que alberga el objetivo del ataque no esté disponible. Cuando se alojan múltiples servicios en el mismo servidor, los servicios que no eran objeto de la campaña pueden verse afectados indirectamente.

- Pérdida de integridad

Si uno de los sitios web es objeto de un ataque como (robo de información, desfiguración del sitio web, ataques de rebote), la ejecución del código puede afectar a todos los servicios.

- Pérdida de confidencialidad

Cuando los servicios comparten el mismo entorno físico, esto puede llevar a un cruce de información. En un entorno no controlado, los riesgos a los que se expone una coanfitrión aumentan.

Conclusión

El uso de la subcontratación implica algunos riesgos que una empresa debe tener en cuenta.

A pesar de estos riesgos, el uso de la subcontratación tiene muchas ventajas que ayudan considerablemente a una empresa en su actividad.