Gossels admitiria terceirizar algumas "funções discretas", tais como monitoramento de registros ou teste de penetração. "Mas nunca vi uma terceirização em larga escala funcionar bem", alerta. "A segurança é capacitadora do negócio, e as decisões que você toma todo dia na sua infra-estrutura de TI impactam o negócio. Não vejo como isso possa ser feito via outsourcing". Esta parece ser a visão dominante.

Uma pesquisa da Computer Security Institute com 479 profissionais de segurança no ano passado perguntou que percentual das funções de segurança de computador tinham sido terceirizadas em suas organizações. Sessenta por cento dos entrevistados - em setores diversos como finanças, transporte, varejo, educação, telecomunicações e governo - responderam "nenhuma".

Apenas 5% terceirizaram mais de 60% das funções de segurança de computador, com 2% na faixa de 81% a 100%.

"Embora certamente exista mercado para a terceirização de algum tipo tarefa de segurança (um exemplo é o teste de segurança de aplicativos web de contato com o cliente), em que a natureza especializada do trabalho e a capacidade de segregar a tarefa para acesso a ativos corporativos essenciais tornam a terceirização mais atrativa, a demanda por um outsourcing desta espécie não parece estar crescendo, no geral", concluiu a pesquisa da CSI.

De acordo com a CSI, que realiza a pesquisa anual sobre segurança, os resultados relacionados à terceirização de segurança não mudaram nos três últimos anos em que a questão foi abordada.

Os céticos: Kate Mullin, gerente de segurança de sistemas de TI do Tampa International Airport, vê com ceticismo a terceirização de segurança.

O aeroporto terceirizou poucas funções, entre elas o backup de sistemas de TI. E, sob o contrato firmado, o aeroporto pode requisitar pessoal de suporte em caso de necessidade.

Mas, embora a gestão de um aeroporto seja uma atividade ininterrupta, é a equipe interna de engenharia que está a postos monitorando a segurança da rede e desempenhando outras funções porque "as decisões que tomamos são baseadas nos sistemas que utilizamos", observa Mullin. "Se houver um problema, temos que reagir a ele".

Há pouco tempo, o aeroporto comprou o sistema de monitoramento de registros e eventos de segurança LogRhythm para esta finalidade. Mullin não acredita que pessoal ou equipamento externo conseguiria oferecer a mesma eficácia de monitoramento de segurança e resposta. Mas sua cabeça está aberta a idéias.

"Se eu fizer alguma coisa, será co-sourcing", avisa. No modelo de co-sourcing, metade do tempo o monitoramento de segurança seria interno e a outra metade do tempo seria terceirizado.