سیستم مدیریت امنیت اطلاعات چیست؟
با توجه به گسترش تهدیدات امنیتی و افزایش آمار نفوذ به وبسایت و سامانههای مختلف در کشور، موضوع امنیت اطلاعات از اهمیت بسیار حیاتی در سازمانها برخوردار است. این در حالی است که بسیاری از این سازمانها از تجهیزات امنیتی در سطوح مختلف شبکه استفاده نموده بودند. لذا ضروری است به موضوع امنیت اطلاعات با رویکرد و نگاه سیستمی توجه شود.
سیستم مدیریت امنیت اطلاعات، بخشی از سیستم مدیریت کلی و سراسری در یک سازمان است که بر پایه ی رویکرد ارزیابی ریسک کسب و کار قرار داشته و هدف آن پایه گذاری، پیاده سازی و اجرا، نظارت و بازنگری و نگهداری و بهبود امنیت اطلاعات در سازمان است. سیستم مدیریت امنیت اطلاعات در مجموع یک رویکرد نظام مند به مدیریت اطلاعات حساس به منظور محافظت از آن هاست. امنیت اطلاعات چیزی فراتر از موضوعات فنی و تکنولوژیک نظیر نصب یک دیواره آتش ساده یا عقد قرارداد با یک شرکت امنیتی است. در چنین رویکردی بسیار مهم است که فعالیتهای گوناگون امنیتی را با راهبردی مشترک به منظور تدارک یک سطح بهینه از حفاظت همراستا کنیم. اطلاعات ( مانند ساير دارائی‌های سازمانی ) به عنوان يک دارائی مهم و باارزش برای هر سازمان به حساب می‌آيد و در نتيجه نيازمند ارائه راهکارهای حفاظتی لازم برای نگهداری آنها می‌باشند .
استاندارد ISO 27001 تامين کننده يک سري از ابزارهاي سازگار با يکديگر براي سنجش مديريت امنيت اطلاعات در هر سازمان با هر نوع کار يا حجم سازمان مي باشد. اين گواهينامه مي‌تواند براي يک سازمان يا بخشی از آن دريافت و سپس در سازمان گسترش و بخش‌هاي ديگر را دربرگيرد. متخصصین پاد دارای مدارک معتبر مشاوره، پیاده سازی و سرممیزی سیستم مدیریت امنبت اطلاعات می باشند و شما را درتحلیل وضعیت فعلی شبکه، طراحی،ارزیابی مخاطرات امنیتی، پیاده سازی، نظارت و بازنگری ، بهبود مستمر و تدوین طرح های جامع امنیت فناوری اطلاعات یاری می نمایند.
مراحل اجرای کار :
مرحله اول: تحلیل کاستی‌ها و ارزیابی اولیه
از جمله مراحل تحلیل کاستی ها و ارزيابي اوليه در حوزه هاي مختلف، می توان به موارد زیر اشاره کرد :
– حوزه های مرتبط با مديريت
– حوزه های مرتبط با آموزش و آگاه سازی
– حوزه های مرتبط با وابستگی سازمان به کارمندان
– حوزه های مرتبط با دسترسی و حقوق دسترسی
– حوزه های مرتبط با رويه های سازمانی
– حوزه های مرتبط با بازرسی
– حوزه های مرتبط با خط مشی های امنيتی
– حوزه های مرتبط با مستندات
– حوزه های مرتبط با سخت افزار و نرم افزار
– حوزه های مرتبط با شبکه
– حوزه های مرتبط با کاربران
مرحله دوم: طراحی سیستم مدیریت امنیت اطلاعات
از جمله مراحل طراحی سیستم مدیریت امنیت اطلاعات می توان به موارد زیر اشاره کرد:
– تعریف دامنه کاربرد، مرزهای ISMS بر مبنای ویژگی های کسب و کار سازمان , مکان ، دارایی ها و فناوری.
– تعرف خط مشی ISMS بر مبنای ویژگی های کسب و کار سازمان ، مکان , دارائی ها و فن آوری .
– شناسایی ریسک ( شناسایی دارائی ها , تهدید های اموال , آسیب پذیری های ناشی از تهدید ها , آسیب های ناشی از دسترس بودن , محرمانه بودن , یکپارچگی و قابلیت دسترسی به دارائی ها)
– تحلیل و ارزیابی ریسک (نقص های امنیتی و احتمال بروز نقص های امنیتی.
– تهیه بیانیه قابلیت کاربرد
مرحله سوم: پیاده‌سازی سیستم مدیریت امنیت اطلاعات
از جمله مراحل پیاده‌سازی سیستم مدیریت امنیت اطلاعات می توان به موارد زیر اشاره کرد:
– فرموله کردن طرح اصلاح ریسک به منظور مدیریت ریسکISMS جهت تعیین منابع , مسئولیت ها و الویت ها.
– اجرای طرح اصلاح ریسک به منظور دستیابی به اهداف کنترلی شناسایی شده که در بر گیرنده ملاحظات مالی اجرای کنترل های انتخاب شده به منظور تحقق اهداف کنترلی.
– اجرای کنترلهای انتخاب شده به منظور تحقق اهداف کنترلی.
– تعریف چگونگی اندازه گیری اثر بخشی کنترل ها یا گروهی از کنترل های انتخاب شده به منظور ارائه نتایج قابل قیاس و قابل تجدید.
– اجرا برنامه های آموزشی و آگاهی.
– مدیریت عملیات ISMS
– مدیریت منابع ISMS
– اجرا روش های اجرایی و دیگر کنترل ها.
مرحله چهارم: نظارت و بازنگری سیستم مدیریت امنیت اطلاعات
از جمله مراحل نظارت و بازنگری سیستم مدیریت امنیت اطلاعات می توان به موارد زیر اشاره کرد:
– اجرای روش های اجرائی پایش و دیگر کنترل ها
– تعهد بازنگری منظم اثر بخشی
– اندازه گیری اثر بخشی کنترل ها به منظور تصدیق اینکه الزامات امنیتی برآورده شده است یا خیر.
– بازنگری ارزیابی ریسک.
– انجام ممیزی داخلی.
– ثبت اقدامات و وقایعی که می توانند بر اثر بخشی یا عملکرد ISMS تاثیر بگذارد.
مرحله پنجم: نگهداری و بهبود سیستم مدیریت امنیت اطلاعات
از جمله مراحل نگهداری و بهبود سیستم مدیریت امنیت اطلاعات می توان به موارد زیر اشاره کرد:
– اجرای بهبود های شناسایی شده
– انجام اقدامات اصلاحی و پیشگیرانه بر اساس تجارب
– انتقال اطلاعات مربوط به اقدامات و بهبود ها به تمامی طرف های ذینفع
– اطمینان از اینکه بهبود ها , اهداف مورد نظرشان را فراهم می آورند.
