自從商務(wù)部推出服務(wù)外包千百十工程”之后，在政府政策的大力扶持之下，國內(nèi)外包產(chǎn)業(yè)發(fā)展的如火如荼，為了能夠承接更多高端服務(wù)，滿足客戶的要求，商務(wù)部同時鼓勵外包企業(yè)通過國際認證以獲得更好的競爭力和良好的企業(yè)形象。ISO27001信息安全管理體系（ISMS）認證在此背景下，在外包公司得到了比較廣泛的認可。越來越多的外包公司已經(jīng)實施、或者計劃實施ISO27001認證，本人作為信息安全管理體系（ISMS）的咨詢顧問，在廣泛接觸這些外包公司，以及與企業(yè)各級人員后，總的一個感覺就是很多外包企業(yè)對信息安全管理存在或這或那不正確的認識，這種認識將阻礙企業(yè)建立有效的、合規(guī)的信息安全管理體系（ISMS），阻礙企業(yè)信息安全工作的良性發(fā)展，甚至可能將阻礙企業(yè)業(yè)務(wù)發(fā)展。本文將主要闡述外包企業(yè)信息安全管理的誤區(qū)，以及針對這些的誤區(qū)的對策。

　　為了更好地理解外包企業(yè)信息安全的需要，我將首先簡要分析一下服務(wù)外包業(yè)務(wù)的特點，當然，由于信息安全是本文的發(fā)力點，僅僅分析列出與信息安全相關(guān)的業(yè)務(wù)特點：

　　1. 知識密集型，對人才的要求很好

　　外包服務(wù)屬于知識型密集產(chǎn)業(yè)，很多業(yè)務(wù)都需要從業(yè)人員有相關(guān)的培訓教育經(jīng)歷和豐富的實踐經(jīng)驗，與制造業(yè)有很大區(qū)別。因此外包需要的人力資源要求就高，而外包業(yè)務(wù)恰恰依賴的就是人。

　　2. 外包成果無形化，難以量化評估

　　外包最終的成果多數(shù)并非是實物化產(chǎn)品，而是一種服務(wù)，這就難以將成果量化進行評估，但是在某些方面也存在一些公認的評價體系，如軟件外包領(lǐng)域內(nèi)CMMI國際認證，這是對軟件外包接包商能力的一種評價指標。另外，在考量接包方在客戶信息保密等方面，國際國內(nèi)客戶基本都已經(jīng)認同ISO27001信息安全管理體系（ISMS）認證，這是接包方在信息安全能力方面的評價框架。

　　3. 很大程度上依賴互聯(lián)網(wǎng)和通信技術(shù)

　　目前國內(nèi)外包業(yè)務(wù)大多數(shù)是離岸外包，雙方合作關(guān)系的確立以及業(yè)務(wù)的發(fā)展必須依賴互聯(lián)網(wǎng)和通信技術(shù)。對于互聯(lián)網(wǎng)和通信技術(shù)的過分依賴使得服務(wù)外包又具有了一種新的風險，通信網(wǎng)絡(luò)的中斷將導致業(yè)務(wù)的中斷。

　　服務(wù)外包企業(yè)的信息安全建設(shè)在政府政策的鼓勵以及客戶的要求的下，信息安全管控水平不斷提高，ISO27001信息安全管理體系（ISMS）認證在外包企業(yè)也是強勁發(fā)展，盡管到目前為止，通過認證的企業(yè)的絕對數(shù)不大，但是發(fā)展很快，從下圖我們可以看出：　

　　而對于這些數(shù)據(jù)貢獻，絕大部分是來自服務(wù)外包企業(yè)。盡管如此，但是服務(wù)外包企業(yè)對信息安全管理還是存在著較多誤區(qū)，主要幾點歸納如下。

　　1. 信息安全認識誤區(qū)

　　盡管國內(nèi)的外包行業(yè)有將近10年度發(fā)展歷史，但是大的外包公司還不多，外包業(yè)務(wù)主要還是集中在軟件外包，而軟件外包的客戶主要是做日韓企業(yè)。日韓客戶一般對信息安全的要求都比較高，國內(nèi)外包企業(yè)這么多年在與客戶打交道時，在客戶的要求，不斷提高企業(yè)自身的信息安全控制水平，但是在外包企業(yè)信息安全建設(shè)的過程中，出現(xiàn)了這樣或那樣的對信息安全建設(shè)的誤區(qū)，其中的原因有迫于客戶的壓力來提升企業(yè)信息安全管理水平，主動性要求不高，企業(yè)自身在信息安全方面的積累也不多，另外也有一些外包企業(yè)急功近利，為了迎合客戶的要求而僅僅做做表面文章。

　　（1） 安全防御的重點是來自外部的攻擊

　　由于媒體的報道以及一些安全產(chǎn)品廠商為了自身業(yè)務(wù)的需要而做的一些錯誤的引導，導致外包企業(yè)，甚至其他行業(yè)的公司都認為企業(yè)所面臨的威脅主要是來自外界。各類安全威脅中，企業(yè)最重視哪3類？據(jù)《信息周刊》的調(diào)查來看，病毒和蠕蟲，間諜軟件，垃圾郵件3類威脅一直高居榜首。但是依據(jù)此3類威脅部署的企業(yè)信息安全方案將僅限于信息安全產(chǎn)品的老三樣—防病毒、防火墻和IDS的老路上。實際上，企業(yè)內(nèi)部數(shù)據(jù)安全的危害性正在日益上升，如未經(jīng)授權(quán)的雇員對文件或數(shù)據(jù)的訪問、帶有公司數(shù)據(jù)的可移動設(shè)備遺失或失竊等，惡意員工故意破壞信息系統(tǒng)甚至泄漏企業(yè)機密等，但是這一點還沒有引起企業(yè)足夠的重視。

　　信息技術(shù)市場調(diào)研公司高德納公司（Gartner）早些時候曾進行信息安全事件的調(diào)查，發(fā)現(xiàn)有70%以上的事故是企業(yè)內(nèi)部所導致的。其實我們仔細想想并平時多留言一下自己身邊的事情，我們不難發(fā)現(xiàn)，容量很大、攜帶方便的便攜式的移動設(shè)備，比如U盤、手機、iPod等用在存取數(shù)據(jù)時經(jīng)常在不知不覺中，就充當了病毒的傳播者。更可怕的是，小巧且讀寫快速很快的U盤能在短短幾秒鐘之內(nèi)把企業(yè)和核心機密拷走而不被人發(fā)現(xiàn)。

　　對于服務(wù)外包企業(yè)來說，由于人員的高素質(zhì)，特別是對于IT服務(wù)外包的企業(yè)，大多數(shù)員工都具有良好的IT知識和技能，利用IT系統(tǒng)做出不利于公司的欺詐和泄密事件，可能將更隱蔽和輕車熟路。這對于外包公司來說，無疑是個很大的威脅。