Rischi in caso di ricorso all'outsourcing

Rischi connessi al subappalto

Per rispondere a una gara d'appalto, il richiedente può ricorrere al subappalto.

Il fornitore di servizi deve presentare tutte le garanzie di sicurezza in caso di ricorso da parte del cliente a questa forma di subappalto che è l'outsourcing.

I rischi finanziari e di sicurezza possono derivare dall'esternalizzazione.

È importante che il fornitore di servizi garantisca la sicurezza dei suoi clienti e minimizzi i rischi finanziari.

Rischi legati alla localizzazione dei dati

Non tutti i sistemi di gestione delle strutture consentono di localizzare con certezza i dati ospitati. È il caso, ad esempio, delle soluzioni di hosting come il Cloud.

Queste soluzioni possono essere un fattore di aggravamento dei rischi di violazione della riservatezza dei dati.

In caso di outsourcing, il rischio di divulgazione di informazioni importanti deve essere esaminato prima di qualsiasi ricorso da entrambe le parti.

Un'ubicazione incontrollata dei dati può comportare i seguenti rischi :

- Difficoltà a rispondere a varie ingiunzioni del tribunale per motivi fiscali

- Difficoltà nell'esercitare il controllo sul personale del fornitore.

- Difficoltà nell'esercizio di un controllo di sicurezza dell'infrastruttura.

IKOULA ospita i dati in due centri dati di nostra proprietà in Francia. L'azienda è conforme alle norme europee che regolano le leggi sulla protezione dei dati.

In questo modo garantiamo ai nostri clienti la protezione dei dati e la tracciabilità.

Rischi connessi ai dati personali

Il trasferimento di dati al di fuori dell'UE è disciplinato da una direttiva europea e dalla legge del 6 gennaio 1978 relativa all'informatica, agli archivi e alle libertà.

In base a queste disposizioni, si conviene pertanto di considerare se il destinatario di questo trasferimento agisce come "responsabile del trattamento dei dati" o "incaricato del trattamento".

IKOULA rimane al vostro servizio attraverso 4 livelli di servizio in outsourcing a seconda del tipo di infrastruttura e delle esigenze che si incontrano, e agisce come subappaltatore.

La CNIL ha fatto una distinzione tra i loro ruoli:

- Il titolare del trattamento si caratterizza per la sua autonomia nella gestione e nell'esecuzione di un'operazione di trattamento.

- Il compito del processore è quello di gestire i compiti sotto la responsabilità e le istruzioni del controllore.

Pertanto, qualsiasi trattamento di dati personali o trasferimento di dati personali da parte di un incaricato del trattamento o di un infomanager può essere effettuato solo su istruzioni del responsabile del trattamento e a condizione che sia messo in atto un contratto che garantisca misure di sicurezza e di riservatezza da parte dell'incaricato del trattamento. Anche questo contratto deve essere firmato dalle parti.

Ad esempio, gli hoster di dati sanitari sono soggetti a specifici obblighi di sicurezza, così come gli istituti di credito. Gli obblighi legali devono essere rispettati nell'ambito dell'outsourcing. Si deve anche garantire che siano attuate in modo adeguato.

Rischi associati agli interventi a distanza

I rischi dipendono dalle caratteristiche dei dispositivi utilizzati. Esse dipendono anche dal contesto in cui vengono attuate.

Tuttavia, come già detto, IKOULA offre ai suoi clienti 4 livelli di outsourcing a seconda del tipo di infrastruttura e delle esigenze che si incontrano. Con questi 4 livelli, beneficiate di vantaggi reali che vi permettono di affidare le vostre risorse IT in tutta tranquillità.

- Il livello Liberty offre al cliente un supporto e una garanzia sull'hardware.

- Oltre a quanto offerto dal livello di libertà, il livello Prime assicura la supervisione del sistema e un controllo completo della sicurezza.

- Oltre agli altri livelli, il livello Business fornisce procedure e servizi di supervisione e backup personalizzati.

- Il Primo livello offre un completo outsourcing del vostro sistema (gestione tecnica, consulenza, evoluzione, sicurezza...).

Ogni livello offre opportunità per i clienti. Ogni livello presenta rischi limitati grazie alle sue caratteristiche. Grazie in particolare alle garanzie offerte e all'utilizzo di competenze riconosciute.

Di seguito sono riportati alcuni punti deboli spesso associati ai dispositivi di manutenzione remota:

- Il legame permanente con il mondo esterno.

- Password predefinite (conosciute in tutto il mondo) o password deboli.

- L'esistenza di difetti nelle interfacce di accesso.

- I sistemi operativi dei dispositivi non sono aggiornati.

- Mancanza di tracciabilità delle azioni.

- Il personale responsabile di questi dispositivi non è a conoscenza dei problemi di sicurezza o è scarsamente addestrato.

- Interconnessione di sistemi sicuri di fiducia con sistemi di basso livello (ad es. Internet).

Lo sfruttamento delle vulnerabilità su un dispositivo di manutenzione remota può facilitare le intrusioni nel sistema informativo e quindi incidere sulla sicurezza dell'intera SI.

I principali rischi legati ai dispositivi dedicati agli interventi a distanza sono :

- Intrusione nel sistema informatico da parte di una persona non autorizzata (uso di una password debole, di una scappatoia o di una backdoor) con conseguenze più o meno gravi a seconda delle motivazioni dell'aggressore e della sua capacità di non essere rilevato, tra cui :

Un'indisponibilità dell'apparecchiatura che potrebbe portare all'indisponibilità del sistema informativo.

E un attacco alla riservatezza o all'integrità dei dati presenti nel sistema informativo.

- L'abuso dei diritti di un tecnico di un centro di supporto durante un intervento :

Che può portare all'accesso a dati riservati o al download massiccio di questi ultimi.

E la modifica dei dati sul sistema informativo, possibilmente senza lasciare tracce (assenza della funzione di tracciabilità o possibilità di cancellare le tracce in seguito).

Rischi legati all'hosting condiviso

- Perdita di disponibilità

Un attacco di tipo denial of service fa sì che il server che ospita l'obiettivo dell'attacco non sia disponibile. Quando più servizi sono ospitati sullo stesso server, i servizi che non sono stati presi di mira possono essere indirettamente interessati.

- Perdita di integrità

Se uno dei siti Web è oggetto di un attacco come ad esempio (furto di informazioni, deturpazione di siti Web, attacchi di rimbalzo), l'esecuzione del codice può influire su tutti i servizi.

- Perdita di riservatezza

Quando i servizi condividono lo stesso ambiente fisico, questo può portare ad un crossover di informazioni. In un ambiente non controllato, i rischi a cui è esposto un co-conduttore aumentano