報告稱印度IT服務業及外包廠商安全意識亟待提升

北京時間4月10日午間消息，據國外媒體報導，美國市場研究公司Forrester Research本周發佈報告稱，委託印度外包廠商從事研發活動的美國企業應當努力確保對方採取有力的措施保護資料安全，而不能僅僅流於形式。　　流於形式　　Forrester Research表示，許多印度企業最近幾年都提升了安全措施，但仍然缺乏一定的執行力來確保這些措施的實施。 由於過於依賴技術，而缺乏充分的培訓和意識，因此從一定程度上削弱了這些措施的效果。　　報告寫道：「客戶應當敦促供應商加大人員投入和培訓力度，不僅需要高管做出承諾，還要推動政府機構制定更好的法規以便對相關措施進行適時的審查。 」　　負責撰寫該報告的Forrester Research分析師蘇蒂爾·愛普特(Sudhir Apte)說，許多安全措施的主要目的只是為了安撫使用者的擔憂，但實際效果卻並不理想。 他認為，多數印度外包企業的安全措施都只是流於形式，他們只是將這些措施作為一種行銷方式。　　多措並舉　　愛普特指出，為了安撫使用者，印度政府、印度軟體業和服務公司協會(以下簡稱「Nasscom」)以及多家印度企業已經採取了許多措施來提升安全性。 例如，許多印度大型外包廠商已經部署了BS7799等國際安全標準，並且程度進一步增強財務報告標準的透明度，同時提升實體安保措施，以防範恐怖襲擊。 BS7799為企業提供了一系列IT系統安全控制標準。　　印度政府也積極支援行業發展，並通過了《資訊技術法案》(Information Technology Act)，強制所有印度IT企業必須提供可供審查的資料安全專案。 Nasscom成立的印度資料安全委員會(以下簡稱「DSCI」)也説明印度IT服務行業以及商務流程外包廠商(BPO)增強了安全水準。　　愛普特援引DSCI的報告稱，幾乎所有的印度IT服務企業和BPO過去兩年間都已經任命了一名首席安全官，並且制訂了有力的災害復原和業務延續計畫。 許多印度企業還部署了終端加密技術、管理工具以及虛擬安全措施。　　效果欠佳　　該報告對印度提升安全措施的意願表示讚賞，但對實際結果卻持保留態度。 愛普特認為，其中最大的一個問題便是過度強調技術控制，以便達到相關政策規定和行業標準。 但這些措施似乎都只是為了展示安全，而非減少威脅。 員工培訓和安全意識的提高等關鍵因素通常會被完全忽略，而且許多企業對控制權以及實體安保措施的管理比較散漫。　　愛普特還指出，印度外包企業缺乏對安全專案的執行支援。 他認為，印度許多首席安全官的許多報告都被上級忽視，而相關的執行支援也並不連貫。 只有當出現問題或者被媒體曝光後，安全問題才會引起企業的重視。　　愛普特認為，之所以出現這種情況，是因為很多將工作外包到印度的美國企業很少關注安全問題，他們通常更加關心價格，這一點在IT服務業尤為突出。 他說：「BPO行業的客戶更為敏感」。　　美國諮詢公司SystemExperts總裁喬納森·格賽爾斯(Jonathan Gossels)認為，多數印度大型企業完全有能力提供一流的安全措施，但美國客戶也需要明確自己對安全的期望。 由於使用者還不知道應當要求什麼，也不知道如何細化自己的期望，使得安全措施大打折扣。　　格賽爾斯說：「根據我個人的經驗，領導企業對市場非常敏感。 只要他們的使用者要求更好的安全措施，他們就會做出回應。 」　　愛普特還特地為那些將業務外包到印度的美國企業提出了一些建議。 例如，不僅要在合同中明確對資訊安全威脅的防範，還要涵蓋恐怖襲擊和自然災害的風險。 企業還應當確保外包廠商不僅可以提供遠端災害復原設施，還應當讓對方委派專業技術人員負責監管。 除此之外，該報告還建議美國企業敦促自己的外包合作夥伴加入DSCI等安全專案。 (鼎宏)