外包:如果安全供应商失败,该怎么办

1 2 Page 2
第2页,共2页

小更好?

内爆事件发生一周后,飞行员在奥克兰破产法院提出了第7章的规定。它的网站The Pilot.net没有提及该公司的麻烦。实际上,该网站的外观与崩溃前的外观完全相同。像一些西方的鬼城一样,它有着令人毛骨悚然的感觉。

对于位于伊利诺伊州Gurnee的内存和图形卡公司VisionTek的CIO Ann Marie Durso来说,飞行员的停电时刻不会比现在更糟。她于2000年10月加入公司,当时正处于战略性ERP项目的后期,将帮助该公司开展在线零售业务。停运将意味着在线销售收入损失,并且每天没有安全,高速的连接将为ERP项目增加几天的时间。

VisionTek已订阅Pilot四年。就像婚姻一样,伴侣们很少说话也很自在。假设安全性很高,而在飞行员失事的前两个月,杜尔索(Durso)被诱以续签折扣。如果她提前支付了整整一年的费用,飞行员愿意以折扣价续约。她做过。

她说:“我们蒙蔽了双眼。” “我们认为(因为)这是一家自96年以来就存在的供应商,因此我们对他们提出质疑的意愿降低了。但是外包并不是退位。您不能随便交出。最终,业务将使我承担责任,因此我必须管理第三方。我必须不断地问:它们还在增长吗?他们可以应对规模吗?他们是否在提高技能?”

杜尔索(Durso)得知Pilot的消息后,她和她的网络经理Mike Brown便从办公室到办公室向VisionTek的高管们进行了一次简报,以了解这次崩溃对公司的意义。

杜尔索回忆说:“这很不愉快。”他不得不向首席执行官,首席财务官和财务总监发布消息。飞行员提交第7章的那天,CIO接受了采访,但他仍然被磨损。她说:“但是我们正在做正确的事情。我们在两天内就具备了充分的应急能力。”

应急措施是这样的:首先,获得执行人员的许可,以继续选择其他安全提供商。其次,制定最坏的计划。对于VisionTek而言,这意味着Brown戴上了传呼机却从未脱过。

最糟糕的情况是&如果切断了与Pilot的网络连接,则会显示Brown。他将自己的服务器装箱,然后将它们从古尼(Gurnee)运到芝加哥市中心,那里的另一家提供商已经提供了空间和拨号连接,直到VisionTek可以找到专职提供商。

接下来,VisionTek引进了两名前飞行员工程师作为合同顾问,因为他们比Durso更了解Durso的安全性。实际上,在Pilot发生故障的第二天,VisionTek不确定其安全状态,因为随着时间的推移,它已成为Pilot的管理责任。

她说,飞行员工程师和Durso一起弄清楚了他们的位置,并使网络达到了“我们至少能够to行”的地步。在安全性得到修补的同时,Durso,Brown和顾问将他们的注意力转向了评估其他安全性供应商。具有讽刺意味的是,她希望在范围和方法上都类似于Pilot的合作伙伴。杜尔索(Durso)喜欢飞行员的专业水平。她喜欢它的24/7全天候监控。不太可能找到另一个财务稳定的飞行员。但是杜尔索(Durso)知道大型公司通常缺乏专业知识。

备受追捧的安全人才涌向精品公司,原因有二。首先,顶级IT安全专家(通常是来自CIA等军事和政府机构的专家)几年前成群结队地离开了公共服务部门,创立了自己的公司。随后,风险资本家听到了有关五角大楼级安全的故事,所以直到最近才有很多钱。第二,有兄弟般的忠诚。安全专家倾向于使用由同行经营的公司。

但是启动趋势导致供应过剩。精品店太多了,他们很快就烧钱了。反过来,这导致了激进的销售,例如Pilot为提前付款的客户提供为期一年的服务折扣。客户接手了交易,这反过来又促使安全厂商扩大规模。所有这些都是先例。 ASP市场在两年前做了同样的事情,此后一直停滞不前。

如果只有纯安全性的小型公司无法摆脱小规模的经济因素,那么大型通用IT服务公司就无法从其庞大的负担中脱身。布朗评估了几家较大的公司,但并没有留下深刻印象。

他说:“我的经验是,大型公司没有专业知识或服务。” “我们看了他们其中的两个,这是一个马戏团。他们甚至无法在内部进行协调。他们没有得到我们的业务,他们已经为谁来处理我们的帐户而内f。”

因此,对于杜尔索(Durso),这成为一种平衡的行为。由于专业知识和服务,她希望留在一家仅安全的公司。同时,她觉得自己好像不得不加大规模才能找到稳定的业务。 Durso说:“的确,我们正在寻找像Pilot这样的公司。” “但是你发现自己选择更加保守。

“没有人拥有我们想要的所有故事,”杜尔索补充道。 “您总是以某种权衡告终。”

正如杜尔索(Durso)现在所意识到的那样,外包安全性不是买断工作方式,而是买进专业知识然后进行管理。但是专业知识仍然是关键。为了找到一家不会倒闭的公司而忘了告诉她,她将只付出必要的牺牲。

安全玩

关于DURSO SHOOK的优惠,西海岸一家大型医疗机构的CIO召集了一位飞行员高管开会。这位不愿透露姓名的CIO曾是Pilot的早期登录者,因为他认为这会在他的网络上描绘目标。

大约10个月前,他看着自己的服务滞后和飞行员的股票同时下跌。这让他停了下来,于是他与一位高级飞行员高管进行了“坦率的讨论”。在会议上,首席信息官向高管提出了服务水平方面的挑战,并直接询问了飞行员业务的健康状况及其支持他的能力。飞行员主管回答了每个问题,首席信息官得到了保证。

即使这样,他也没有冒险。与飞行员会面后,他重新审视了他的应急计划,现在当他发现飞行员不再存在时,他感到很幸运,准备好了。他说:“我们很担心。” “我们可能应该更多地担心。下一次,我会更加进取。”

首席信息官的应变相对平稳。他从Verizon提供的粗略但坚固的帧中继连接开始。一旦工作成功,他便着手升级到Verizon也提供的高速连接。在此之后,他致力于以VPN的形式添加对网络的安全访问。他的电子邮件意外事件遵循相同的趋势:首先是低带宽访问电子邮件,然后是高带宽访问,然后是安全的高带宽访问,这使他回到了Pilot提供的功能附近。

在建立网络的同时,他在寻找新的托管安全合作伙伴的同时将安全服务重新插入了网络。他首先分配了一个人来监控网络,与他付给Pilot的钱相比,这是一个苍白的替代品。但是它仍然在监视。

在糟糕的头一周,CIO必须依靠前飞行员和Providian志愿者,他们组成了管理骨干。但是三天之内,他虽然是临时工,但还是从飞行员的身边走了出来。他说:“我们仍在对其进行整理。” “我们有一些服务。暂时不会有其他类似过滤的服务。现在我们可以了。”

在选择他的下一个外包商时,该首席信息官回荡了杜尔索(Durso),因为他考虑了有才能的小厂商与业务稳定的大厂商之间的权衡。但是他却选择了另一种方式,那就是建立一个拥有更广泛服务的更大公司。他选择Genuity作为其网络连接。选择托管安全提供商的时间预计会更长,但是他想要一家类似的大公司,可能是Genuity。

他说:“我们不希望打入新的安全厂商。我希望看到华尔街的公司和大型银行出现在他们的客户名单上。我的理想是成为一家拥有多元化资源的大型资金公司。”他的最后一个要求是棘手的部分?外包合作伙伴必须是“也很称职的人才”。虽然专业知识仍然存在于精品店中,但CIO预计大型综合服务公司将开始救助小型公司。这样,他们就获得了智能,拥有稳定的底线,并使安全性成为大型托管服务包的组成部分。实际上,AT&几位前飞行员的消息人士和客户说,T准备购买飞行员,但在最后一刻就走了。赛门铁克已经收购了一家精品公司Axent。

如果这种通过收购获得专业知识的局面如此发展,CIO将拥有两全其美的稳定的业务和专业知识。但这带来了其他挑战。例如,赛门铁克有产品要出售。与Symantec合作可能意味着也与Symantec产品合作。随着小型精品店被大型公司收购,服务水平可能会下降。

但是对于医疗保健CIO来说,较少的服务和专业知识是可以的。停电没有。

事件发生三周后,他的应急准备就绪,他说:“我们躲过了子弹。”

内部使用

仁科(PeopleSoft)IT工程副总裁尼尔·汉尼斯(NEIL HENNESSY)以最不寻常的方式了解了Pilot的倒闭情况。在与飞行员代表的每周会议结束时,该人宣布:“我必须回到办公室,在4:30被解雇。”在领航员申请破产的前一周,轩尼诗说他正在抵御秃鹰的袭击。

轩尼诗说:“有一个人从南加州打来的电话,他在告诉我他如何能以更少的钱向我提供飞行员所做的一切。” “所以我问他,‘你有多少名雇员?’他告诉我40岁。所以我对他说,‘飞行员有400名。我为什么要相信你?’”

坦白说,轩尼诗(Hennessy)在倒闭前一年就开始对飞行员失去信心。他特别担心公司的可扩展性。他说:“他们只是无法加强。不是他们没有尝试。他们的模型非常安全,但是那时候我们开始寻找其他选择。”

轩尼诗最喜欢的选择是逐步取消他的托管安全合同,然后将任务交还内部。毕竟,这是超级病毒和广泛的破坏性黑客之年。轩尼诗认为安全性太重要了,无法外包。

他的过渡计划与他的应急计划相吻合。轩尼诗(Hennessy)已经有一个备用载体,其数据线为“深色”,该线尚未打开但可以在紧急情况下激活。然后,他开始组建一支由五名内部安全人员组成的人员,并且还会再增加五名。

因此,当他的飞行员代表告诉轩尼诗当天下午他将被解雇时,轩尼诗得以制定计划,并在五个小时内完成了向内部24/7安全的过渡。他将快速的转变归功于他的工程团队,他在“真正的强者”和“世界上最好的”之间排名。

当然,在内部完成所有操作的成本将会而且将继续很高。轩尼诗(Hennessy)不想在上面加上数字,但他欣然接受自己为内部安全支付额外费用的事实。他说:“在内部进行这项工作肯定要贵得多。” “另一方面,风险要小得多。我要花钱睡个好觉。”

为什么更贵?首先,很难招聘人才。那里几乎没有,而且有很多装腔作势者。一些专家将比率称为每10位声称拥有专业知识的专家中的一位。归咎于认证。具有12项安全认证的rsumsum看起来很不错,但具有误导性。有些认证仅针对特定产品,而对最佳实践或安全策略一无所知。防火墙“专家”可能知道如何配置该框,但不知道应该执行哪些策略,甚至不知道应将防火墙放在特定网络环境中的哪个位置。

足够支付人才比找到人才更难。全球事件分析中心的创始人兼安全顾问史蒂芬·诺斯卡特(Stephen Northcutt)说,安全承包商的要求最高为每小时500美元。薪水比标准IT员工的收入高5%到10%。

保留人才是最艰巨的任务。诺斯卡特说,许多真正的安全专家每年要跳槽六次,每个职位的薪水都增加了5,000美元。 Pilot的前销售主管Len Cibelli希望从下一位雇主那里获得20%的加薪。

即使如此,轩尼诗还是坚信自己的决定是正确的。他说:“我们知道在内部进行这项工作的成本更高,但是我们刚刚决定,这样做比外包更好。”轩尼诗说,尽管人才稀少,但由于经济原因,一些坚强的人选已经来了。

不是试点客户的哈特福德金融服务集团采取了与轩尼诗相同的许多步骤。哈特福德(Hartford)的IT副总裁助理杰克·斯托达德(Jack Stoddard)几乎没有将安全性外包,仅将诸如审计和渗透评估之类的任务移交给了外部供应商。他保留了30名全职安全人员,试图招募到他能找到的最好的人员,为他们支付保险费,并不断培训他的人员。他坚决主张外包模式的局限性。

“我看不到我们曾经外包过,”斯托达德说。他的首席信息官大卫·安尼斯(David Annis)认为,内部获取和整理安全专业知识至关重要,即使成本更高。他称外包“不折不扣”。但是他明白为什么这么多公司仍然这样做。他说,安全是如此复杂,需要进行不断的重新评估,以至于在内部进行安全工作需要“相当多的冗余尽职调查”。

后记

5月9日,飞行员解散后大约两个星期,它被清算。几家托管安全厂商试图接管业务时出现了一个万岁的玛利亚,但此举崩溃了。紧急行动和支持被暂停。在&T终于切断了电路,VisionTek的Brown收到了一页。 VisionTek仍在等待当地运营商提供数据线,因此Brown整理了他的设备并将其开到位于芝加哥市中心设施的临时住所。

当天,Pilot的主页终于更改了其愉快的消息:“是的,我们开放了”。它只说了“飞行员网络已经申请破产”。对飞行员网站进行了一些粗略的重新设计,显然是苦涩的前雇员对此进行了补充。 Pilot.net的标题栏显示为:“ Pilot Network Services现在是Imaginary Network Services Inc.”。

有人留下讽刺意味,只暗示发生了什么。碰巧碰到“最新消息”的人都会看到以下注释:“这是关于飞行员的最新消息:我们做完了!飞行员不再。这家公司是前安全的ISP。如果不是因为钉在高处,它将倒塌。2001年5月9日,加利福尼亚州阿拉米达。”

您几乎可以听到破烂的轿车门在风中摇曳,风滚滚的杂草在尘土中摇曳。

有关:

版权© 2001 IDG通讯,Inc.

1 2 Page 2
第2页,共2页