घटना प्रबंधन: "आप हार नहीं मान सकते" या अल्पविराम रखने की कला

क्या आपने देखा है कि कोई भी बाज़ार आला, लोकप्रिय हो रहा है, भय में सूचना सुरक्षा व्यापार से बाज़ारियों को आकर्षित करता है? वे आपको आश्वस्त करते हैं कि साइबर हमले की स्थिति में, कंपनी घटना पर प्रतिक्रिया देने के लिए किसी भी कार्य के साथ सामना नहीं कर पाएगी। और यहां, निश्चित रूप से, एक प्रकार का विज़ार्ड दिखाई देता है - एक सेवा प्रदाता जो ग्राहक को किसी भी परेशानी से बचाने के लिए और किसी भी निर्णय लेने की आवश्यकता के लिए एक निश्चित राशि के लिए तैयार है। हम समझाते हैं कि इस तरह का दृष्टिकोण न केवल वॉलेट के लिए खतरनाक हो सकता है, बल्कि कंपनी की सुरक्षा के स्तर के लिए भी, सेवा प्रदाता की भागीदारी से व्यावहारिक लाभ क्या हो सकते हैं और ग्राहक की जिम्मेदारी के क्षेत्र में क्या निर्णय हमेशा बने रहने चाहिए।



सबसे पहले, हम शब्दावली से निपटेंगे। जब घटना प्रबंधन की बात आती है, तो एक अक्सर दो संक्षिप्तीकरणों को सुनता है, एसओसी और सीएसआईआरटी, जिसका महत्व मार्केटिंग हेरफेर से बचने के लिए समझना महत्वपूर्ण है।

एसओसी (सुरक्षा संचालन केंद्र) - सूचना सुरक्षा के परिचालन कार्यों के लिए समर्पित एक इकाई। ज्यादातर, जब एसओसी के कार्यों के बारे में बात करते हैं, तो लोगों का मतलब होता है निगरानी और घटनाओं की पहचान करना। हालांकि, आमतौर पर एसओसी की जिम्मेदारी का दायरा सूचना सुरक्षा प्रक्रियाओं से संबंधित किसी भी कार्य को शामिल करता है, जिसमें घटनाओं के परिणामों का जवाब देना और समाप्त करना, आईटी बुनियादी ढांचे में सुधार के लिए कार्यप्रणाली गतिविधियों और कंपनी सुरक्षा के स्तर को बढ़ाना शामिल है। उसी समय, एसओसी काफी बार एक स्वतंत्र कर्मचारी इकाई होती है, जिसमें विभिन्न प्रोफाइल के विशेषज्ञ शामिल होते हैं।

CSIRT (साइबर सुरक्षा घटना प्रतिक्रिया टीम) - एक समूह / अस्थायी रूप से गठित टीम या इकाई जो उभरती घटनाओं का जवाब देने के लिए जिम्मेदार है। CSIRT में आमतौर पर एक स्थायी रीढ़ होती है, जिसमें सूचना सुरक्षा पेशेवर, SZI के प्रशासक और फोरेंसिक का एक समूह होता है। हालांकि, प्रत्येक मामले में टीम की अंतिम रचना खतरे के वेक्टर द्वारा निर्धारित की जाती है और आईटी सेवा, व्यावसायिक प्रणालियों के मालिकों और यहां तक ​​कि कंपनी की पीआर सेवा (मीडिया में नकारात्मक पृष्ठभूमि को समतल करने के लिए) के प्रबंधन के साथ पूरक हो सकती है।

इस तथ्य के बावजूद कि अपनी गतिविधियों में सीएसआईआरटी को अक्सर एनआईएसटी मानक द्वारा निर्देशित किया जाता है, जिसमें एक पूर्ण घटना प्रबंधन चक्र शामिल होता है, वर्तमान में मार्केटिंग स्पेस में जोर अक्सर प्रतिक्रिया गतिविधियों पर रखा जाता है, इस फ़ंक्शन को एसओसी से इनकार करते हुए और इन दो शब्दों के विपरीत।

क्या CSIRT के संबंध में SOC की अवधारणा व्यापक है? मेरी राय में, हाँ। अपनी गतिविधियों में, एसओसी घटनाओं तक सीमित नहीं है, यह साइबर खुफिया डेटा, पूर्वानुमान और संगठन के सुरक्षा स्तर के विश्लेषण पर भरोसा कर सकता है और व्यापक सुरक्षा कार्यों को शामिल कर सकता है।

लेकिन एनआईएसटी मानक पर वापस, सबसे लोकप्रिय दृष्टिकोणों में से एक है जो घटना प्रबंधन की प्रक्रिया और चरणों का वर्णन करता है। NIST SP 800-61 मानक की सामान्य प्रक्रिया निम्नानुसार है:

1. तैयारी:
   
   • घटनाओं के साथ काम करने के लिए आवश्यक तकनीकी ढांचा तैयार करना
   • घटना का पता लगाने के नियम बनाएँ
2. घटनाओं की पहचान और विश्लेषण:
   
   • निगरानी और पहचान
   • घटना का विश्लेषण
   • प्राथमिकता
   • अधिसूचना
3. स्थानीयकरण, बेअसर और वसूली:
   
   • घटना स्थानीयकरण
   • घटना के संकेतों का संग्रह, भंडारण और प्रलेखन
   • आपदा शमन
   • घटना की बरामदगी
4. क्रियात्मक गतिविधि:
   
   • हादसा सारांश
   • नॉलेज बेस फिल + थ्रेट इंटेलिजेंस
   • संगठनात्मक और तकनीकी उपाय

इस तथ्य के बावजूद कि एनआईएसटी मानक हादसा प्रतिक्रिया के लिए समर्पित है, प्रतिक्रिया का एक महत्वपूर्ण हिस्सा "घटनाओं का पता लगाने और विश्लेषण" द्वारा कब्जा कर लिया गया है, जो वास्तव में निगरानी और प्रसंस्करण की घटनाओं के क्लासिक कार्यों का वर्णन करता है। उन्हें इतना ध्यान क्यों दिया जाता है? प्रश्न का उत्तर देने के लिए, आइए इनमें से प्रत्येक ब्लॉक पर एक नज़र डालें।

ट्रेनिंग

घटनाओं की पहचान करने का कार्य एक खतरे के मॉडल के निर्माण और "लैंडिंग" से शुरू होता है और घटनाओं की पहचान के लिए नियमों पर एक घुसपैठिया मॉडल होता है। आप विभिन्न सूचना सुरक्षा उपकरणों, आईटी बुनियादी ढांचे के घटकों, अनुप्रयोग प्रणालियों, तकनीकी प्रणालियों के तत्वों (एसीएस) और अन्य सूचना संसाधनों से सूचना सुरक्षा घटनाओं (लॉग) का विश्लेषण करके घटनाओं का पता लगा सकते हैं। बेशक, आप इसे मैन्युअल रूप से स्क्रिप्ट, रिपोर्ट के साथ कर सकते हैं, लेकिन सूचना सुरक्षा घटनाओं के प्रभावी वास्तविक समय का पता लगाने के लिए, विशेष समाधान अभी भी आवश्यक हैं।

सिएम सिस्टम यहां बचाव के लिए आते हैं, लेकिन उनका संचालन "कच्चे" लॉग के विश्लेषण से कम नहीं है, और प्रत्येक चरण में, स्रोतों को जोड़ने से लेकर घटना के नियम बनाने तक। कठिनाइयां इस तथ्य से संबंधित हैं कि विभिन्न स्रोतों से आने वाली घटनाओं में एक समान उपस्थिति होनी चाहिए, और घटनाओं के प्रमुख मापदंडों को सिस्टम या हार्डवेयर के वर्ग / निर्माता की परवाह किए बिना, कोलम्बिया में एक ही घटना क्षेत्रों में मैप करना होगा।

घटनाओं का पता लगाने के लिए नियम, समझौते के संकेतकों की सूची, साइबर खतरों के रुझान, तथाकथित "सामग्री" के रूप में कोलम्बिया के हैं। यह नेटवर्क और उपयोगकर्ता गतिविधि प्रोफाइल एकत्र करने, विभिन्न प्रकार की घटनाओं पर आंकड़े एकत्र करने और विशिष्ट सूचना सुरक्षा घटनाओं की पहचान करने के कार्यों को करना चाहिए। घटनाओं का पता लगाने के लिए नियमों को ट्रिगर करने के तर्क को किसी विशेष कंपनी के विशेष बुनियादी ढांचे और व्यावसायिक प्रक्रियाओं को ध्यान में रखना चाहिए। चूंकि इसमें कंपनी और व्यावसायिक प्रक्रियाओं का कोई मानक ढांचा नहीं है, इसलिए इसमें सीएमजी प्रणाली की एकीकृत सामग्री नहीं हो सकती है। इसलिए, कंपनी के आईटी बुनियादी ढांचे में सभी बदलावों को सुरक्षा उपकरणों की सेटिंग और ट्यूनिंग दोनों में और कोलम्बिया में समयबद्ध तरीके से परिलक्षित किया जाना चाहिए। यदि सिस्टम को सेवाओं के प्रावधान की शुरुआत में केवल एक बार कॉन्फ़िगर किया गया था, या वर्ष में एक बार अपडेट किया जाता है, तो यह सैन्य घटनाओं का पता लगाने और झूठी सकारात्मक को कई बार फ़िल्टर करने की संभावना को कम करता है।

इस प्रकार, सुरक्षा सुविधाओं को स्थापित करना, सीमलेस सिस्टम से स्रोतों को जोड़ना, और सीएमडी सामग्री को अपनाना घटनाओं के जवाब में सर्वोपरि कार्य हैं, एक आधार जिसके बिना इसे स्थानांतरित करना असंभव है। आखिरकार, अगर घटना को समय पर दर्ज नहीं किया गया और पहचान और विश्लेषण के चरणों से नहीं गुजरा, तो हम अब किसी भी प्रतिक्रिया के बारे में बात नहीं कर रहे हैं, हम केवल इसके परिणामों के साथ काम कर सकते हैं।

घटनाओं का पता लगाना और विश्लेषण करना

निगरानी सेवा को घड़ी के आसपास वास्तविक समय मोड में और सप्ताह में सात दिन काम करना चाहिए। यह नियम, सुरक्षा की बुनियादी बातों की तरह, रक्त में लिखा गया है: लगभग आधे गंभीर साइबरबैट रात में शुरू होते हैं, बहुत बार शुक्रवार को (यह मामला था, उदाहरण के लिए, WannaCry ransomware वायरस के साथ)। यदि आप पहले घंटे के भीतर सुरक्षात्मक उपाय नहीं करते हैं, तो यह पहले से ही बहुत देर हो सकती है। इस स्थिति में, सभी रिकॉर्ड की गई घटनाओं को NIST मानक में वर्णित अगले चरण में स्थानांतरित करें, अर्थात। स्थानीयकरण के चरण में, यह अव्यावहारिक है, और यहाँ क्यों है:

1. जो कुछ हो रहा है उसके बारे में अतिरिक्त जानकारी प्राप्त करना या एक झूठी सकारात्मक को फ़िल्टर करना घटना के स्थानीयकरण के बजाय विश्लेषण के चरण में आसान और अधिक सही है। यह आपको घटना प्रतिक्रिया प्रक्रिया के अगले चरणों में संदर्भित घटनाओं की संख्या को कम करने की अनुमति देता है, जहां उच्च-स्तरीय विशेषज्ञों को उनके विचार में शामिल होना चाहिए - घटना प्रबंधन प्रबंधक, प्रतिक्रिया दल, आईटी सिस्टम और एसआईएस प्रशासक। इस तरह से इस प्रक्रिया का निर्माण करना अधिक तर्कसंगत है क्योंकि सीआईएसओ स्तर तक झूठी सकारात्मकता सहित हर ट्रिफ़ल को आगे नहीं बढ़ाया जाए।
2. किसी घटना की प्रतिक्रिया और "दमन" हमेशा व्यावसायिक जोखिम उठाता है। किसी घटना पर प्रतिक्रिया देना संदिग्ध पहुंच को अवरुद्ध करने, मेजबान को अलग करने और नेतृत्व स्तर तक आगे बढ़ाने के लिए कार्य शामिल हो सकता है। झूठे सकारात्मक के मामले में, इनमें से प्रत्येक चरण सीधे बुनियादी ढांचे की उपलब्धता को प्रभावित करेगा और घटना प्रबंधन टीम को बहु-पृष्ठ रिपोर्ट और मेमो के साथ लंबे समय तक अपने स्वयं के उत्थान को "बुझाने" के लिए मजबूर करेगा।

आमतौर पर, इंजीनियरों की पहली पंक्ति 24/7 निगरानी सेवा में काम कर रही है, जो सीधे तौर पर सिएम प्रणाली द्वारा दर्ज संभावित घटनाओं के प्रसंस्करण में शामिल हैं। ऐसी घटनाओं की संख्या प्रति दिन कई हजार तक पहुंच सकती है (फिर से - सभी स्थानीयकरण चरण तक?), लेकिन, सौभाग्य से, उनमें से अधिकांश प्रसिद्ध पैटर्न में फिट होते हैं। इसलिए, उनके प्रसंस्करण की गति बढ़ाने के लिए, आप स्क्रिप्ट और निर्देशों का उपयोग कर सकते हैं जो कदम से कदम आवश्यक कार्यों का वर्णन करते हैं।

यह एक सिद्ध अभ्यास है जो विश्लेषकों की लाइन 2 और लाइन 3 पर लोड को कम करने की अनुमति देता है - उन्हें केवल उन घटनाओं को स्थानांतरित किया जाएगा जो किसी भी मौजूदा स्क्रिप्ट में फिट नहीं होते हैं। अन्यथा, या तो मॉनिटरिंग की दूसरी और तीसरी लाइन पर घटनाओं की वृद्धि 80% तक पहुंच जाएगी, या पहली पंक्ति में उच्च विशेषज्ञता और एक लंबी प्रशिक्षण अवधि के साथ महंगे विशेषज्ञों को रखना आवश्यक होगा।

इस प्रकार, पहली पंक्ति के कर्मचारियों के अलावा, विश्लेषकों और वास्तुकारों की आवश्यकता होती है जो स्क्रिप्ट और निर्देश बनाएंगे, पहली पंक्ति के विशेषज्ञों को प्रशिक्षित करेंगे, सिएम में सामग्री बनाएंगे, स्रोतों को जोड़ेंगे, संचालन क्षमता बनाए रखेंगे और वर्ग प्रणालियों आईआरपी, सीएमडीबी और अधिक के साथ सिएम को एकीकृत करेंगे।

एक महत्वपूर्ण निगरानी कार्य, विभिन्न प्रतिष्ठा डेटाबेस, APT रिपोर्ट, समाचारपत्रिकाएँ और सदस्यताएँ, जो कि सिम्स सिस्टम में हैं, की खोज, प्रसंस्करण और कार्यान्वयन है, जो अंततः समझौता (IoC) के संकेतक में बदल जाते हैं। यह वह है जो बुनियादी ढांचे पर हमलावरों द्वारा गुप्त हमलों की पहचान करना संभव बनाता है, मैलवेयर जो एंटीवायरस विक्रेताओं द्वारा पता नहीं लगाए जाते हैं, और बहुत कुछ। हालांकि, इवेंट स्रोतों को डब्लूएमजी सिस्टम से जोड़ने की तरह, खतरों के बारे में यह सब जानकारी जोड़ने से पहले कई कार्यों को हल करने की आवश्यकता होती है:

• संकेतक जोड़ने का स्वचालन
• उनकी प्रयोज्यता और प्रासंगिकता का आकलन
• सूचना के अप्रचलन का प्राथमिकता और लेखा
• और सबसे महत्वपूर्ण बात - सुरक्षा के साधनों की समझ जो आप इन संकेतकों को सत्यापित करने के लिए जानकारी प्राप्त कर सकते हैं। यदि सब कुछ नेटवर्क वाले के साथ काफी सरल है - फायरवॉल और प्रॉक्सी पर जांच, तो होस्ट वाले के साथ यह अधिक कठिन है - क्या हैश की तुलना करने के साथ, सभी मेजबानों पर हार्ड ड्राइव पर लिखी गई प्रक्रियाओं, रजिस्ट्री शाखाओं और फ़ाइलों की जांच कैसे करें?

ऊपर, मैंने घटनाओं की निगरानी और विश्लेषण की प्रक्रिया के पहलुओं के केवल एक हिस्से को छुआ है जो किसी भी घटना प्रतिक्रिया प्रक्रिया का निर्माण करने वाली कंपनी को सामना करना होगा। मेरी राय में, यह पूरी प्रक्रिया में सबसे महत्वपूर्ण कार्य है, लेकिन आइए पहले से रिकॉर्ड की गई और विश्लेषण की गई सुरक्षा घटनाओं के साथ काम की इकाई को आगे बढ़ाएं।

स्थानीयकरण, बेअसर और वसूली

कुछ सूचना सुरक्षा विशेषज्ञों के अनुसार, यह ब्लॉक, निगरानी टीम और घटना प्रतिक्रिया टीम के बीच अंतर का निर्धारण करता है। आइए NIST इसमें क्या डालता है, इस पर एक करीब से नज़र डालते हैं।

घटना स्थानीयकरण

एनआईएसटी के अनुसार, घटना स्थानीयकरण प्रक्रिया में मुख्य कार्य एक रणनीति विकसित करना है, अर्थात, कंपनी के बुनियादी ढांचे के भीतर घटना के प्रसार को रोकने के उपायों को निर्धारित करना है। इन उपायों के परिसर में विभिन्न क्रियाएं शामिल हो सकती हैं - नेटवर्क स्तर पर घटना में शामिल मेजबानों को अलग करना, सूचना सुरक्षा साधनों के ऑपरेटिंग मोड को बदलना और यहां तक ​​कि घटना से नुकसान को कम करने के लिए कंपनी की व्यावसायिक प्रक्रियाओं को रोकना। वास्तव में, रणनीति एक प्लेबुक है, जिसमें घटना के प्रकार के आधार पर मैट्रिक्स की क्रिया शामिल है।

इन कार्यों का कार्यान्वयन आईटी तकनीकी सहायता, सिस्टम के मालिकों और व्यवस्थापकों (व्यवसाय प्रणाली सहित), एक तृतीय-पक्ष ठेकेदार कंपनी और सूचना सुरक्षा सेवा की पारी की जिम्मेदारी के क्षेत्र से संबंधित हो सकता है। EDR घटकों और यहां तक ​​कि कमांड द्वारा उपयोग की जाने वाली स्व-लिखित स्क्रिप्ट द्वारा क्रियाओं को मैन्युअल रूप से किया जा सकता है।

चूंकि इस स्तर पर किए गए निर्णय सीधे कंपनी की व्यावसायिक प्रक्रियाओं को प्रभावित कर सकते हैं, अधिकांश मामलों में एक विशिष्ट रणनीति को लागू करने का निर्णय एक आंतरिक सूचना सुरक्षा प्रबंधक (अक्सर व्यवसाय प्रणाली के मालिकों को शामिल करना) का कार्य रहता है , और यह कार्य आउटसोर्स नहीं किया जा सकता है कंपनी । घटना को स्थानीय बनाने में सूचना सुरक्षा सेवा प्रदाता की भूमिका ग्राहक द्वारा चुनी गई रणनीति के परिचालन अनुप्रयोग तक कम हो जाती है।

घटना के संकेतों का संग्रह, भंडारण और प्रलेखन

घटना का स्थानीयकरण करने के लिए परिचालन उपाय किए जाने के बाद, पूरी जांच की जानी चाहिए कि किस हद तक आकलन किया जाए। यह कार्य दो उप-प्रकारों में विभाजित है:

• निगरानी टीम को अतिरिक्त इनपुट स्थानांतरित करना, घटना संग्रह और विश्लेषण प्रणाली में घटना में शामिल सूचना सुरक्षा घटनाओं के अतिरिक्त स्रोतों को जोड़ना।
• हार्ड डिस्क छवियों का विश्लेषण करने के लिए फोरेंसिक टीम को जोड़ने, मेमोरी डंप, मैलवेयर के नमूनों और इस घटना में साइबर अपराधियों द्वारा इस्तेमाल किए गए टूल का विश्लेषण करें।

घटना की जांच के ढांचे के भीतर सभी इकाइयों की गतिविधियों के समन्वय के लिए एक व्यक्ति को भी नियुक्त किया जाना चाहिए। इस विशेषज्ञ के पास जांच में शामिल सभी कर्मचारियों के अधिकार और संपर्क होने चाहिए। क्या कोई ठेकेदार कर्मचारी यह भूमिका निभा सकता है? अधिक संभावना है कि हाँ से अधिक नहीं। इस भूमिका को किसी विशेषज्ञ या ग्राहक की सूचना सुरक्षा सेवा के प्रमुख को सौंपना अधिक तर्कसंगत है।

आपदा शमन

विभिन्न विभागों से घटना की पूरी तस्वीर प्राप्त करने के बाद, समन्वयक घटना के परिणामों को खत्म करने के उपाय विकसित करता है। इस प्रक्रिया में शामिल हो सकते हैं:

• मालवेयर / घुसपैठियों की उपस्थिति के समझौते और निशान के पहचाने गए संकेतकों को हटाना।
• "पुनः लोड" संक्रमित होस्ट और उपयोगकर्ता पासवर्ड बदल रहा है।
• नवीनतम अद्यतन स्थापित करना और हमले में प्रयुक्त महत्वपूर्ण कमजोरियों को खत्म करने के लिए प्रतिपूरक उपाय विकसित करना।
• जीआईएस की सुरक्षा प्रोफाइल बदलना।
• शामिल इकाइयों द्वारा किए गए कार्यों की पूर्णता पर नियंत्रण और घुसपैठियों द्वारा सिस्टम के पुन: समझौता की अनुपस्थिति।

उपायों को विकसित करते समय, हम अनुशंसा करते हैं कि समन्वयक विशिष्ट प्रणालियों के लिए जिम्मेदार विशेष इकाइयों, सूचना सुरक्षा प्रणाली के प्रशासकों, फोरेंसिक समूह और आईएस घटना निगरानी सेवा के साथ परामर्श करें। लेकिन, फिर से, कुछ उपायों के आवेदन पर अंतिम निर्णय घटना विश्लेषण समूह के समन्वयक द्वारा लिया जाता है।

घटना की बरामदगी

इस खंड में, एनआईएसटी वास्तव में आईटी विभाग के कार्यों और व्यापार प्रणालियों के संचालन सेवा के बारे में बात करता है। आईटी सिस्टम और कंपनी की व्यावसायिक प्रक्रियाओं के प्रदर्शन को बहाल करने और सत्यापित करने के लिए सभी काम कम हो गए हैं। इस बिंदु पर ध्यान केंद्रित करने का कोई मतलब नहीं है, क्योंकि अधिकांश कंपनियों को इन समस्याओं के समाधान के साथ सामना करना पड़ता है, यदि सूचना सुरक्षा घटनाओं के परिणामस्वरूप नहीं है, तो कम से कम विफलताओं के बाद जो समय-समय पर सबसे स्थिर और दोष-सहिष्णु सिस्टम प्रतिष्ठानों में भी होते हैं।

क्रियात्मक गतिविधि

इंसीडेंट रिस्पांस कार्यप्रणाली का चौथा खंड बग्स पर काम करने और कंपनी की सुरक्षा प्रौद्योगिकियों में सुधार के लिए समर्पित है।

एक घटना की रिपोर्ट तैयार करने के लिए, ज्ञान आधार और टीआई को भरना, एक नियम के रूप में, फोरेंसिक टीम निगरानी सेवा के साथ संयोजन के रूप में जिम्मेदार है। यदि इस घटना के लिए एक स्थानीयकरण रणनीति विकसित नहीं की गई थी, तो इसका लेखन इस ब्लॉक में शामिल है।

खैर, यह स्पष्ट है कि बग पर काम करने का एक बहुत महत्वपूर्ण बिंदु भविष्य में इसी तरह की घटनाओं को रोकने के लिए एक रणनीति विकसित करना है:

• आईटी के बुनियादी ढांचे और मौजूदा जीआईएस को बदलना।
• नए सूचना सुरक्षा उपकरणों की शुरूआत।
• पैच प्रबंधन की प्रक्रिया का परिचय और सूचना सुरक्षा घटनाओं की निगरानी (यदि अनुपस्थित है)।
• कंपनी की व्यावसायिक प्रक्रियाओं का सुधार।
• सूचना सुरक्षा विभाग में अतिरिक्त स्टाफिंग।
• सूचना सुरक्षा कर्मचारियों के अधिकार में परिवर्तन।

सेवा प्रदाता भूमिका

इस प्रकार, घटना प्रतिक्रिया के विभिन्न चरणों में सेवा प्रदाता की संभावित भागीदारी को एक मैट्रिक्स के रूप में दर्शाया जा सकता है:



घटना प्रबंधन के लिए उपकरण और दृष्टिकोण का चुनाव सूचना सुरक्षा के सबसे कठिन कार्यों में से एक है। एक सेवा प्रदाता के वादों पर विश्वास करने और इसे सभी कार्यों को देने का प्रलोभन महान हो सकता है, लेकिन हम स्थिति के ध्वनि मूल्यांकन और आंतरिक और बाह्य संसाधनों के उपयोग के बीच संतुलन की सलाह देते हैं - आर्थिक और प्रक्रिया दक्षता दोनों के हितों में।