Môi trường kinh doanh năng động và luôn thay đổi, và công nghệ cũng vậy. Công nghệ được sử dụng để kiểm soát an ninh, cũng như để kiểm soát vai trò và trách nhiệm cũng có thể thay đổi theo thời gian. Các đánh giá thường xuyên về hoạt động bảo mật và các điều khiển truy cập tương ứng sẽ được thực hiện. Trước khi hợp đồng thuê ngoài bắt đầu, nhà cung cấp dịch vụ có thể đã bỏ qua một số chi tiết trong hoạt động thuê ngoài. Việc đánh giá thường xuyên sẽ giúp cả hai bên nhìn nhận và thực hiện các điều chỉnh khi cần thiết.
Các phương pháp bảo mật tốt nhất, bao gồm cập nhật kịp thời tình trạng vi rút, công cụ phát hiện và sửa chữa, triển khai đúng các bản vá lỗi về bảo mật cho hệ điều hành và các ứng dụng phần mềm, và việc thực thi chính sách mật khẩu luôn được duy trì. Trong một số trường hợp, quyền truy cập vào các tài khoản đặc quyền như tài khoản Quản trị viên trong các máy chủ Windows hoặc thư mục gốc trong các hệ điều hành UNIX có thể phải được cấp cho các nhà cung cấp dịch vụ bên thứ ba. Việc sử dụng và các hoạt động được thực hiện với các tài khoản đặc quyền này cần được theo dõi, ghi lại và xem xét định kỳ và so sánh với các yêu cầu thay đổi được nêu ra. Khi một nhân viên hỗ trợ làm việc cho nhà cung cấp dịch vụ đã rút khỏi dự án, tất cả các ID người dùng và đặc quyền được gán cho người đó phải bị thu hồi hoặc thay đổi càng sớm càng tốt.
Để đảm bảo đánh giá hiệu quả và toàn diện, việc kiểm kê chi tiết:
- Danh sách các máy chủ và hệ thống trong phạm vi dự án và máy chủ/ hệ thống nào lưu trữ thông tin nhạy cảm hoặc thông tin cá nhân;
- Danh sách nhân viên hỗ trợ từ nhà cung cấp dịch vụ bên thứ ba cũng như ID người dùng và đặc quyền truy cập được cấp cho nhân viên hỗ trợ cá nhân;
- Danh sách dữ liệu, đặc biệt là dữ liệu nhạy cảm hoặc dữ liệu cá nhân, được chuyển giao cho nhà cung cấp dịch vụ bên thứ ba, nên được duy trì chính xác và được cập nhật thường xuyên. Việc kiểm kê không chính xác hoặc không đầy đủ có thể là dấu hiệu đầu tiên của các vấn đề trong quản trị dự án thuê ngoài. Việc kiểm tra thường xuyên phải được thực hiện để đảm bảo rằng các điều khoản an ninh mà hai bên đã thỏa thuận đang được triển khai đúng.
Nguồn: Bảo mật Gia công phần mềm CNTT
