‘Beveiliging wordt duur bij offshoring’
Veel verschillen Voor de dienstverleners wordt offshore outsourcing moeilijker, want het is niet mogelijk standaard beveiligingsoplossingen aan te bieden. Daarvoor zijn er te veel verschillen tussen landen en industrieën als het gaat om regels, wetgeving en de mogelijke risico’s. Bovendien, zo stelt Gartner, is er een enorm gebrek aan kennis van beveiliging, terwijl het aan de andere kant weer tot veel ongerustheid leidt. Gartner-analist Partha Iyengar vreest dat de vele verschillende regels en wetten van landen op dit gebied tot gevolg hebben dat outsourcingsprojecten "op zijn minst duurder worden en dat in het ergste geval sommige projecten niet uitbesteed worden." Verbaasd Jac Gianotten van onderzoeksbureau Giarte, is verbaasd over de conclusies van Gartner. "Wanneer zouden je gegevens dan niet beveiligd moeten worden? Nu lopen er toch ook heel veel externen rond bij bijvoorbeeld de ABN Amro. Die gaan toch ook met jouw gegevens om? Waarom zou het dan ineens een grotere zorg moeten zijn als je je werk in het buitenland laat doen", zucht Gianotten. Hij wijst bovendien op uitkomsten van een recent onderzoek van Giarte onder Nederlandse bedrijven die hun ICT uitbesteed hebben. "Veel bedrijven die ICT outsourcen kijken daarvoor vooral naar hun traditionele leverancier. Die krijgt gewoon de opdracht het voor minder te doen en als dat in het buitenland moet omdat dat de manier is om het goedkoper te doen, dan moet die leverancier dat maar regelen. Extra beveiliging voor offshoring is geen kwestie voor hen. Zij gaan er van uit dat ze al afspraken hebben met de outsourcer over beveiliging. Of het werk nu in Nederland of elders wordt gedaan." Nog weinig offshoring Ivar Davids, managing partner bij Trekant Partners, dat zich specialiseert in outsourcing-adviezen, werkt aan een boek over offshore outsourcing van ICT. Hij wijst er op dat in Nederland weinig bedrijven zijn die ICT ver buiten de deur outsourcen. "Het gaat nu vooral om de bouw van applicaties of de initiële realisatie. Daar zijn dan geen gegevens bij betrokken." Maar als er over een tijdje meer grotere projecten uitbesteed worden, dan gaat het aspect van beveiliging wel spelen. Wie daar wèl meer werk aan krijgt, is de interne ICT-afdeling. "Die regelt nu de beveiliging. Dat gebeurt weliswaar niet hapsnap, maar het is in veel gevallen evenmin goed beschreven. Als je gaat outsourcen, moet je dat ineens expliciet maken. Vaak ligt daar maar weinig van vast op papier en is het moeilijk vast te stellen wat precies gebeurt en nog moeilijker dat te communiceren." Davids vindt overigens dat de angst voor slechte beveiliging bij offshore outsourcing in veel gevallen gebaseerd is op vooroordelen. Zowel hij als Jac Gianotten van Giarte wijst er nadrukkelijk op dat zeker in India het ‘capability mature model’, wat aangeeft op welk niveau de beheersbaarheid en controleerbaarheid van ICT-werkzaamheden worden uitgevoerd, heel hoog is. "Wij roepen al snel dat het in het Westen allemaal zo goed is geregeld en in offshore-landen niet. Maar het ervaringsniveau daar is hoog, en het opleidingsniveau en de werkethiek ook." Prof. Daan Rijsenbrij, vice president Outsourcing bij Capgemini kan zich daar helemaal in vinden "Capgemini heeft een wereldwijde methodologie betreffende delivery van IT-services. Capgemini India is ‘net zoveel’ Capgemini als Capgemini Nederland. We hanteren eenzelfde soort kwaliteitssysteem en eenzelfde soort security maatregelen. Zo zijn onze delivery centers in zowel Nederland als India extern gecertificeerd volgens BS7799-2. Het is dus net zo veilig om via ons internationale netwerk zaken te doen met India als met Spanje of Italië."