صفحه 1:
سیستم مدیریت امنیت اطلاعات
Information security ۱
system
5
۱۸۵۲ Is
صفحه 2:
سا
Ls
سیستم مدیریت امنیت اطلاعات
صفحه 3:
سیستم به معنی مجموعه ای از اجزاء است که برای رسیدن به هدف خاصی در کنار هم جمع شده
اند. در واقع سیستم مدیریت امنیت اطلاعات نیز از مجموعه ای از اجزاء تشکیل شده است که
برای رسیدن به هدف خاصی که در اینجا برقراری و مدیریت امنیت اطلاعات سازمان یا شرکت
شما می باشد در کنار هم جمع شده اند. سیستم مدیریت امنیت یک ساخنار استاندارد و تعریف
شده است و اين بدين معنا مى باشد که ما یه خودی خود نمی توانیم تعبین کنیم چگونه اطلاعات
ars see cant ی را ی
معیارها بر عهده یک سازمان بین المللی است که استانداردها در آن تهیه و تنظیم می شوند و این
سازمان جایی نیست به غیر از سازمان 50 International Standardization L
6 , این سازمان وظیفه تدوین استاندارد های یکپارچه در دنیا را بر عهده دارد , تا به
حال هر استانداردی که شنیده اید در اين سازمان تعریف و تدوین شده است . قطعا با 9000 150
یا استاندارد کیفیت کالا آشنایی دارید , همین نوع استاندارد برای مدیریت سیستم امتیت اطلاعات
با کد 27000 ISO تعریف شده است که در ادامه با آن آشنا خواهید شد.
همه استانداردها ساختاری شببه به هم دارند اما از نظر محتوایی متفاوت هستند. در همه
استانداردهای بین المللی ۱50 یک سری کنترل وجود دارد که بیانگر معیارهایی است که برای بیاده
سازی استانداردها مورد نیاز است , برای مثال یکی از کنترل های سیستم مدیریت امنیت اطلاعات
این است که بایستی بر روی امنیت فیزیکی درب های ورود و خروج ساختمان کنترل انجام شود.
پنابراین کنترل ها معیار را برای ما تشریح مق کنند اما چگونگی انجام شدن آن را تعریف نمی کنند
و این یک اصل است. هر استانداردی برای خود دارای یک سری کنترل است که در قالب سرفصل
هایی ارائه می شوند. هميشه در تمامی سازمان ها لازم نیست تمامی این معبارها رعایت شود تا
بتوانید سیستم مدیریتی خود را پیاده سازی کنید , شما بر حسب سرویس و نیازی که دارید از بین
این کنترل ها , آنهایی که در محیط شما قابل استفاده هستند را انتخاب و شروع به پیاده سازی
می کنید. اما بعد از اینکه شما از بین کنترل های موجود , آنهایی که مورد نیازتان هستند را انتخاب
کردید , بایستی آنها را بصورت مدون و مرتب تشریح کنید و بر حسب نیاز خودتان آن را بهینه
سازى و تدوين كنيد . بعد از اينكه تمامی این مراحل انجام شد یک مستند متنی یه وجود می آید که
به آن خط مشی با Policy گفته می شود و شما ساختار استاندارد سازمان را بر اساس آن تعریت
no کنید. خط مشی امنیت اطلاعات که به بيانیه امنیت اطلاعات نیز معروف است در واقع الگوی
اصلی است که شما در حوزه امنیت اطلاعات برای سازمان خود تدوین می کنید تا بر اساس آن
امنيث اطلاعات خود را مدیریت کنید. توجه کنید که در این مستند چگونگی برقراری امنیت تشریح
است , چگونگی انجام و پیاده سازی امنیت در مستندی جداگانه یه نام دستورالعمل ا
صفحه 4:
نتم مدیریت امنیت اطلاعات به خودی خود یک مستند متتی است که بایستی بر اساس آن
سازمان ها ساختار خود را پیاده سازی کنند. در ادامه گفتیم که از بین کنترل های موجود بایستی
کنترل های متناسب با سازمان خود را انتخاب کتیم و مستند متتی به عتوان خط مشی امتبت
تدوین کنیم. در نهایت پیاده ساژی سیستم مدیریت امنیت اطلاعات منجر به تولید چندین مسنند
متنی می شود که به نوع مى توان كفت 15115 داراى كاغذ بازى زيادى است. اما اين مستندات جه
هستند و جند توع از اين مستندات بايستى در يك ساختار مديريت امنيتى درست وجود داشته
باشد ؟ بر اساس استانداردهاي مدیریت امتیت اطلاعات و ارتباطات , هر دستگاه با سازمان باید
مجموعه مستندات مدیریث امنیت اطلاعات و ارتباطات را به شرح زیر, براي خود تدوین نماید:
مستند اهداف, راهبردها و سياستهاي امنيتي فضاي تبادل اطلاعات دستگاه (۳۵//6 (Security
مستند طرح تحلیل مخاطرات امنيتي فضاي تبادل اطلاعات دستگاه (۸65655۳6۴۸ 8۵۲ )
مستند طرح امنیت فضاي تبادل اطلاعات دستگاه
مستند طرح مقابله با حوادث امتيتي و ترمیم خرايبهاي فضاي تبادل اطلاعات دستگاه
(Disaster Recovery)
مستند برنامة آگاهي رساني امنيتي به پرسنل دستگاه (۸۷۵۲۵0655 )
مستند برنامة آموزش امنيتي پرسنل تشکیلات تامین امنیت فضاي تبادل اطلاعات دستگاه
مراحل پیاده سازی و دریافت استاندارد 27001 ۱50 با 151/5
1- سازمان قصد به دریافت استاندار 27001 ۱50 می گیرد .
2 این قصد را با یک شرکت مشاور در زمینه پیاده سازی سیستم مدیریت امنیت اطلاعات 15015
در میان می گذارد.
3- شرکت مشاور در جلسه هیات مدیره خط مشی امنیتی را مشخص مى كند .
4- بر اساس کنترل های امنیتی کلیه نیاز های امنبنی مربوط به سازمان مطابق با استاندارد 150
1 پیاده سازی می شود .
5- قبل از اينکه سر ممیز اصلی (۸۵0607 ۱630) از نماینده بین المللی ارائه مدارک ۱50 با
اصطلاحا 3 در محل حضور پیدا کند خود شرکت مشاور از یک گروه با عتوان ممیزٍ داخلی ,
بازرسی های لازم را انجام می دهند .
6- از یک سر ممیز بین المللی که به عنوان نماینده یک مرک صدور گواهی مانند ۲۷ با 001۷
هستند دعوت می شود برای انجام بازرسی های لازم.
7- در صورت تابید صلاحبت و کسب حداقل امتیازات لازم , گواهینامه صادر می شود.
صفحه 5:
1- حفاظت از سرمایه های سازمانی
2- ایجاد بستری جهت محرمانگی,در دسترس پذیری, صحت و تمامیت اطلاعات
3- بهیود در برنامه ریزیهای امنینی.
4- بهبود امنیت در سراسر سازمان.
5- تشریح دقیق الزامات سازمان جهت حفظ اطلاعات با ارزش.
6- دستیابی به مدیریت امنیت اطلاعات اثربخش.
7- به حداقل رساندن تهدیدات در ارتباط با شرکاء سازمان.
8 بهبود امنیت در تجارت الکنرونیک.
9- کاهش مسئولیت های انسانی در حفظ امنیت اطلاعات, بواسطه
صفحه 6:
مشکلات معمول در پیاده سازی سیستم مدیریت امنیت اطلاعات) ( 151/5
بایستی توجه کرد که امنیت یک فرهنگ است قبل از آنکه یک فناوری باشد. براین اساس پیاده سازی مدیریت امنیت قبل ازخرید
تجهیزات امنیتی توصیه می گردد. وقتی امنیت فرهنگ باشد عمری لازم است تا یک فرهنگ ایجاد شود و جا بیفتد. وقتی امنیت فرهنگ
باشد نمی توان فرهنگ سازی سازمانی بومی شده در یک کشور پیشرفته اروپایی را به سادگی در یک مرحله ضربتی به یک سازمان
دیگر وارد تمود. اين یکی از اصلی ترین موانع در پیاده سازی استانداردهای مدیریت امنبت است.
امنیت تداوم می خواهد. حنی اگر موفق شویم در یک سازمان سیستم مدیریت امنیت را پیاده سازی نموده و گواهی استاندارد مربوطه
را هم در یک مرحله اخذ نمائیم؛ عدم تداوم آن هیچ آورده ای را از نظر امنیتی برای سازمان نخواهد داشت. بنایراین هميشه در
استانداردهای بین المللی از چرخه ای به نام چرخه دمینگ یا ۴06۸ که یک چرخه مدور و دائمی است برای طراحی , انجام , آزمایش و
اعمال مجدد طراحی استفاده می شود.
تاامنی تداوم دارد. چون ناامنی تداوم دارد بایستی امن سازی و تفکرامنیت در همه شئون سازمان تداوم داشته باشد و اعتبار مداوم و
سالیانه داشته باشد. مدیران سازمانی ما احساس تا امنی مداوم از فضای تبادل اطلاعات خود ندارند و يا مایملک اطلاعاتی ذی قیمتی
را در معٍض تهاجم تمی بینند. بر این اساس,حمایت جدی و همه جانبه از پیاده سازی و تداوم استانداردهای مدیریت امنیت ندارند.
امنیت نا محسوس است. لذا وقتی یک پروه امنیتی (از نوع مدیریت امنیت)انجام می شود بعضاً مدیریت و کارشناسان احساس می
کنند که هیچ اتفاق جدیدی نیفتاده است و ممکن است گلایه کنند که چرا هزینه نموده اند. در پاسخ به لين گلایه باید فکر کرد که اگر روی
امنیت کار نمی شد چه اتفاقی ممكن بود بيفتد. بس بايد در هر زمان ودر هر مكان از فضای تبادل اطلاعات سازمانی به فکر امنیت بود
5 استانداردهايىرا ب راعلیمن‌سازعف_ضاعت_بادل‌اطلاعاتدر سازیمان‌ها ارلئه میدهد. لین‌استانداردها شامل‌مجموعه لی)
از دستوراامل‌هاستتا ف ضاءعت_بادلاطلاعا تب ک‌ساز‌مان‌را با اجراییکطرح مخصوصبه آن‌سازمان‌لیمنن_ما
صفحه 7:
ne
کر
صفحه 8:
برای کت اطلاعات تسیر ند
وت سایت 1۱9۵۵0۱51۲۲ مراخعه
اد
۱۸۵۲ Is