Năm 2015, Cơ quan Giao thông Thuỵ Điển thuê ngoài việc vận hành CNTT cho IBM; nhà thầu phụ ở nước ngoài truy cập dữ liệu nhạy cảm như cơ sở dữ liệu bằng lái xe mà không có thẩm định an ninh phù hợp. Vụ việc nổ ra năm 2017 và liên quan đến trách nhiệm của người đứng đầu. Bài học về thuê ngoài, đa địa điểm và kiểm soát nhân sự bên thứ ba.
Cắt các kiểm tra để chuyển nhanh là đánh đổi mà không được phân tích rủi ro. Mọi bỏ qua kiểm soát cần đi qua kiểm soát thay đổi và được người có thẩm quyền chấp thuận.
Theo Wikipedia, một số người có quyền truy cập đầy đủ sau khi cơ quan cho nhân viên kỹ thuật nghỉ việc. Nhân lực nội bộ cần đủ để giám sát nhà thầu (năng lực "khách hàng thông thái").
Trước khi thuê ngoài, lập ma trận dữ liệu – quyền – nhân sự:
Dữ liệu công khai: nhà thầu được làm việc từ xa với kiểm soát tiêu chuẩn.
Dữ liệu cá nhân: yêu cầu thẩm định nhân sự, ghi nhật ký truy cập và quyền kiểm toán.
Chỉ nhân sự đã được thẩm định bởi cơ quan có thẩm quyền, tại vị trí địa lý theo luật; không giao thầu phụ nếu chưa được phê duyệt.
Cấm giao thầu phụ nếu chưa được duyệt, yêu cầu danh sách nhân sự có quyền truy cập và quyền kiểm tra bất kỳ lúc nào.
Duy trì tối thiểu nhóm kiến trúc, bảo mật và quản trị nhà cung cấp trong tổ chức; không cắt giảm cho tới khi kiểm soát chuyển giao đã được chứng minh.
Thuê ngoài chuyển công việc đi nhưng không chuyển trách nhiệm đi. Khi nguồn lực của nhà thầu chạm vào dữ liệu nhạy cảm, PM phải đặt yêu cầu nhân sự, kiểm soát nhà thầu phụ và năng lực giám sát nội bộ làm điều kiện trước khi chuyển đổi — không đánh đổi chúng lấy tốc độ.
Bạn chọn phương án nào?