سیستم مدیریت امنیت اطلاعات یا ISMS

این روزها در ایران در حوزه امنیت اطلاعات و ارتباطات یک بحث بسیار داغ است و آن چیزی نیست جز سیستم مدیریت امنیت اطلاعات یا چیزی که ما به عنوان ISMS می شناسیم . این سیستم امروزه به شکل یک تب در بین سازمان های دولتی در آمده است و بسیاری از سازمان ها و شرکت ها حتی برای چشم و هم چشمی هم که شده بایستی به سراغ این سیستم بروند.

ISMS مخفف عبارت Information Security Management System به معنای سیستم مدیریت امنیت اطلاعات می باشد و استانداردهایی را برای ایمن سازی فضای تبادل اطلاعات در سازمان ها ارائه می دهد. این استانداردها شامل مجموعه ای از دستورالعمل هاست تا فضای تبادل اطلاعات یک سازمان را با اجرای یک طرح مخصوص به آن سازمان ایمن نماید.

ISMS به مدیران این امکان را می دهد تا بتوانند امنیت سیستم های خود را با به حداقل رساندن ریسک های تجاری کنترل کنند.

مدل PDCA ساختاری است که در پیاده سازی ISMS بکار برده می شود و ISMS زیربنای BS7799 می باشد .

مراحل چرخه دمینگ PDCA

• برنامه (plan)

چرخه دمینگ با مطالعه وضع موجود در خلال گردآوری اطلاعات جهت برنامه ریزی برای بهبود آغاز می شود. در این مرحله آنچه را که می خواهید بهبود یابد، تجزیه و تحلیل کرده و نواحی قابل بهبود را پیدا کنید.
نخستین گام، انتخاب آن قسمت هایی است که در اولویت برای بیشترین تلاش شما قرار دارد. برای تشخیص این نواحی قابل تغییر از فلوچارت یا چارت پارتو استفاده کنید.

• اجراء (do)
  تغییر یا تست را به مورد اجراء گذارید (ترجیحاً در یک مقیاس کوچک). این اجراء مربوط به تغییری است که در مرحله ی برنامه در مورد آن تصمیم گرفته اید.
• . بررسی یا مطالعه (check)
  این مرحله یک مرحله حیاتی در چرخه PDCA است. پس از اجراء تغییرات در یک مدت کوتاه، شما باید تشخیص دهید که اجراء آن تغییر تا چه حد مؤثر بوده است. آیا واقعاً به بهبود مورد نظر شما منجر شده است یا نه؟ باید متناسب با ارزیابی هائی که می توانید به وسیله آنها سطح بهبود را تنظیم کنید، تصمیم بگیرید.
• اقدام (action)
  تغییرات را ثبت کنید و یا دوباره چرخه را آغاز کنید. پس از برنامه ریزی، اجراء و تنظیم تغییر، باید تصمیم بگیرید که آیا این تغییر ارزش استمرار دارد یا نه؟ در صورتی که اجرای این تغییر صرفاً به تلف کردن وقت شما می انجامد یا ادامه آن شما را با مشکل مواجه می سازد و یا در نهایت به بهبود نمی انجامد، ممکن است توقف تغییر را مد نظر قرار داده و یا تغییر جدیدی را برنامه ریزی کنید. ممکن است تصمیم بگیرید این تجربه (آزمایش) را به یک ناحیه متفاوت انتقال دهید و یا به تدریج بر پیچیدگی آن بیفزائید. بدین ترتیب شما به مرحله برنامه بر می گردید.

اقدامات لازم جهت ایمن سازی فضای تبادل اطلاعات

1-      تهیه طرح‌ها و برنامه‌های امنیتی موردنیاز سازمان

۲-      ایجاد تشکیلات موردنیاز جهت ایجاد و تداوم امنیت فضای تبادل اطلاعات سازمان

۳-      اجرای طرح‌ها و برنامه‌های امنیتی سازمان

اجزاء و ساختار تشکیلات امنیت

• در سطح سیاستگذاری : کمیته راهبری امنیت فضای تبادل اطلاعات دستگاه
• در سطح مدیریت اجرائی : مدیر امنیت فضای تبادل اطلاعات دستگاه
• در سطح فنی : واحد پشتیبانی امنیت فضای تبادل اطلاعات دستگاه

مزایای اسنفاده از ISMS

– اطمینان از تداوم تجارت و کاهش صدمات توسط ایمن ساختن اطلاعات و کاهش تهدیدها

– اطمینان از سازگاری با استاندارد امنیت اطلاعات و محافظت از داده ها

– قابل اطمینان کردن تصمیم گیری ها و محک زدن سیستم مدیریت امنیت اطلاعات

– ایجاد اطمینان نزد مشتریان و شرکای تجاری

– امکان رقابت بهتر با سایر شرکت ها

– ایجاد مدیریت فعال و پویا در پیاده سازی امنیت داده ها و اطلاعات

– بخاطر مشکلات امنیتی اطلاعات و ایده های خود را در خارج سازمان پنهان نسازید

نحوه پیاده سازی ISMS   در سازمانها

سازمان ها وقتی می خواهند گواهینامه بگیرند، اقدام به دریافت آن کرده و به شرکت هایی که این خدمات را ارائه می دهند مراجعه می کنند.شرکت های ارائه دهنده این خدمات با شرکت های خارجی که درزمینه ISMS در ایران شعبه دارندمشاوره کرده و در نهایت مشاوری از سوی شرکت برای آن سازمان می فرستند.مشاور در جلسه هیات مدیره خط مشی امنیتی را مشخص و پیاده سازی صورت میگیرد.

مراحل ایجاد سیستم مدیریت امنیت اطلاعات ISMS

• ایجاد و تعریف سیاست ها:
  در این مرحله ایجاد سیاستهای کلی سازمان مدنظر قراردارد. روالها از درون فعالیت شرکت یا سازمان استخراج شده و در قالب سند و سیاست امنیتی به شرکت ارائه می شود. مدیران کلیدی و کارشناسان برنامه ریز نقش کلیدی در گردآوری این سند خواهند داشت.

• تعیین محدوده عملیاتی:
  یک سازمان ممکن است دارای چندین زیرمجموعه و شاخه های کاری باشد لذا شروع پیاده سازی سیستم امنیت اطلاعات کاری بس دشوار است . برای جلوگیری از پیچیدگی پیاده سازی ، تعریف محدوده وScope صورت می پذیرScope می تواند ساختمان مرکزی یک سازمان یا بخش اداری و یا حتی سایت کامپیوتری سازمان باشد. بنابراین قدم اول تعیینScope و الویت برای پیاده سازی استاندارد امنیت اطلاعات درScope خواهد بود. پس از پیاده سازی و اجرای کنترل هایISO27001 و اخذ گواهینامه برای محدوده تعیین شده نوبت به پیاده سازی آن در سایر قسمت ها می رسد که مرحله به مرحله اجرا خواهند شد.

• برآورد دارایی ها و طبقه بندی آنها:
  برای اینکه بتوان کنترل های مناسب را برای قسمت های مختلف سازمان اعمال کرد ابتدا نیاز به تعیین دارایی ها می باشیم. در واقع ابتدا باید تعیین کرد چه داریم و سپس اقدام به ایمن سازی آن نماییم. در این مرحله لیست کلیه تجهیزات و دارایی های سازمان تهیه شده و باتوجه به درجه اهمیت آن طبقه بندی خواهند شد.

• ارزیابی مخاطرات:
  با داشتن لیست دارایی ها و اهمیت آن ها برای سازمان ، نسبت به پیش بینی خطرات اقدام کنید. پس از تعیین کلیه خطرات برای هر دارایی اقدام به تشخیص نقاط ضعف امنیتی و دلایل بوجود آمدن تهدیدها نمایید و سپس با داشتن اطلاعات نقاط ضعف را برطرف سازید و خطرات و تهدیدها و نقاط ضعف را مستند نمایید.

• مدیریت مخاطرات:
  مستندات مربوط به خطرات و تهدید ها و همچنین نقاط ضعف امنیتی شما را قادر به اتخاذ تصمیم درست و مؤثر برای مقابله با آنها می نماید.
• انتخاب کنترلهای مناسب:استانداردISO27001 دارای ۱۰ گروه کنترلی می باشد که هرگروه شامل چندین کنترل زیرمجموعه است بنابراین در کل ۱۲۷ کنترل برای داشتن سیستم مدیریت امنیت اطلاعات مدنظر قراردارد. با انجام مراحل بالا شرکت یا سازمان شما پتانسیل پیاده سازی کنترل های مذکور را خواهد داشت.

این ده گروه کنترلی عبارتند از :

۱- سیاستهای امنیتی
2- امنیت سازمان
3- کنترل و طبقه بندی دارایی ها
4- امنیت فردی
5- امنیت فیزیکی
6- مدیریت ارتباط ها
7- کنترل دسترسی ها
8- روشها و روالهای نگهداری و بهبود اطلاعات
9- مدیریت تداوم کار سازمان
10-سازگاری با موارد قانونی

• تعیین قابلیت اجرا:

جمع آوری لیست دارایی ها، تعیین تهدیدها ، نقاط ضعف امنیتی و در نهایت ایجاد جدول کنترل ها مارا در به دست آوردن جدولی موسوم به SOA یا Statement Of Applicability یاری می رساند. این جدول لیستی نهایی از کلیه کنترل های مورد نیاز برای پیاده سازی را ارائه می دهد. با مطالعه این جدول و مشخص کردن کنترل های قابل اجرا و اعمال آنها ،سازمان یا شرکت خود را برای اخذ استانداردISO27001 آماده خواهید ساخت.
نتیجه آنکه برای رسیدن به یک قالب درست امنیتی ناچار به استفاده از روال های صحیح کاری و همچنین پیاده سازی استاندارد امنیت هستیم و استانداردISO27001 می تواند ما را در انتخاب روش مناسب و صحیح راهنمایی نماید.

 برای اطلاع از فن آوری های نوین ارتباطی شبکه های وایرلس و ماکرویو و مراکز تلفنی تحت شبکه از کانال تلگرامی ما به آدرسهای Wireless_tech@ و Voip_Tech@  دیدن فرمایید.