بررسی استانداردهای خانواده ISO 27000 (بخش اول)

با توجه به جایگاه امنیت اطلاعات در سازمانها و نگاه سیستماتیک به این موضوع، تدوین استانداردهای قابل قبول برای این حوزه در دستور کار مجامع بین المللی قرار گرفته است. به صورت خاص در حوزه سیستم مدیریت امنیت اطلاعات(ISMS)استانداردهای خانواده 27000 سازمان جهانی استاندارد(ISO)در حال حاضر به عنوان معتبرترین استانداردها و چارچوب ها در دنیا شناخته می شوند که بسیاری از شرکت ها و سازمان ها در سراسر جهان از آنها استفاده می کنند.

در این مقاله ضمن معرفی استانداردهای موجود، ویژگی ها، هدف از انتشار و آخرین وضعیت هر یک از این استانداردها بیان شده و متن اصلی استانداردها به ضمیمه تقدیم می گردد.

مقدمه

خانواده استانداردهای 27000 شامل مجموعه ای از استانداردهای مرتبط با یکدیگر است که منتشر شده و یا در حال تدوین می باشند. به طور کلی این خانواده دارای 3 استاندارد الزام آوار است که شرکت ها می توانند در صورت اجرای بندها و الزامات موجود در آنها و طی مراحل ممیزی شخص ثالث، گواهینامه آن استاندارد را دریافت نمایند.

اولین استاندارد الزام آورISO/IEC 27001است که به بیان الزامات سیستم مدیریت امنیت اطلاعات اختصاص داردISO/IEC 27006الزامات مربوط به شرکت های ممیزی کننده یا ارائه دهنده گواهی(CB)را تبیین می کند و استانداردISO/IEC 27009که الزامات پیاده سازیISMSبرای حوزه های کسب و کاری خاص را تدوین نموده است. سایر استانداردهای این خانواده به عنوان مکمل و راهنمایی برای جنبه های مختلف پیاده سازی یک سیستم مدیریت امنیت اطلاعات به صورت عمومی و اختصاصی کسب و کارها موجود هستند. بنابراین ذکر این نکته ضروری است که به غیر از سه استاندارد مذکور، سایر استانداردها نظیرISO/IEC 27005یاISO/IEC 27002قابلیت دریافت گواهینامه از سوی سازمان ها و شرکت های مختلف را ندارند.

در ادامه هریک از استانداردهای خانواده سیستم مدیریت امنیت اطلاعات، بر اساس نوع (یا نقش) و شماره شرح داده شده اند. بر این اساس می توان چهار دسته ذیل را برای این استانداردها تعریف نمود

• استانداردهای مرور کلی و اصطلاحات (واژگان)
• استانداردهای مربوط به تبیین الزامات
• استانداردهای توصیف کننده راهنمایی های کلی
• استانداردهای توصیف کننده راهنمایی های مرتبط به یک حوزه خاص

استانداردهای این خانواده : مرور کلی و اصطلاحات

استانداردISO/IEC 27000

فناوری اطلاعاتتکنیک های امنیتیسیستم های مدیریت امنیت اطلاعات - مرور کلی و واژگان

این استاندارد بین المللیبرای سازمان ها و افراد مختلف موارد ذیل را فراهم می آورد

• مرور کلی خانواده استانداردهای سیستم مدیریت امنیت اطلاعات
• معرفی سیستم های مدیریت امنیت اطلاعات
• اصطلاحات و واژگان بکاربرده شده در خانواده استانداردهای سیستم مدیریت امنیت اطلاعات

این استاندارد بین المللی اصول سیستم های مدیریت امنیت اطلاعات را شرح می دهد که موضوع استاندارد خانوادهISMSاست و شرایط مرتبط را تعریف می کند. آخرین تغییرات نسخه این استاندارد که در فوریه 2018 منتشر شده است.

دانلود استانداردISO/IEC 27000

استانداردISO/IEC 27001

فناوری اطلاعاتتکنیک های امنیتیسیستم های مدیریت امنیت اطلاعاتالزامات

این استاندارد بین المللی الزامات ایجاد، پیاده سازی، نگهداری و بهبود مستمر یک سیستم مدیریت امنیت اطلاعات در سازمان مشخص می کند. این استاندارد بین المللی همچنین شامل الزاماتی برای ارزیابی و مقابله با مخاطرات امنیتی سازمان متناسب با نیازهای آن می باشد. تمامی الزامات این استاندارد عمومی بوده و قابلیت اعمال در کلیه سازمان ها، صرف نظر از نوع، انداره و ماهیت فعالیت آن ها را دارا است.

استانداردISO/IEC 27001تمامی نیازمندی های ضروری را جهت ایجاد و عملیات یک سیستم مدیریت امنیت اطلاعات ایجاد می کند که شامل مجموعه ای از اقدامات برای کنترل و کاهش ریسک های مرتبط با دارایی های اطلاعاتی است. این ریسک های امنیتی مواردی هستند که مورد قبول مجموعه نمی باشند و سازمان می خواهد از طریق سیستم مدیریت امنیت اطلاعات از آنها اجتناب نماید. سازمان هایی که سیستم مدیریت امنیت اطلاعات را اجرا می کنند می توانند بر اساس آن ممیزی شده و گواهینامه را دریافت نمایند.

آخرین نسخه/وضعیت: اولین نسخه این استاندارد در خانواده 27000 در سال 2005 منتشر شد و در حال حاضر نسخه سال 2013 در 23 صفحه به عنوان آخرین نسخه معتبر محسوب می شود. البته در سال های 2014 و 2015 دو اصلاحیه مختصر بر روی این استاندارد اعمال گردید.

دانلود استانداردISO/IEC 27001نسخه 2013

دانلود استانداردISO/IEC 27001اصلاحیه 2014

دانلود استانداردISO/IEC 27001اصلاحیه 2015

استانداردهای توصیف کننده راهنمایی های کلی

استانداردISO/IEC 27002

فناوری اطلاعاتتکنیک های امنیتیآیین کار برای کنترل های امنیت اطلاعات

این استاندارد بین المللی فهرستی از اهداف کنترلی پذیرفته شده و بهترین روش های کاربردی را جهت ارائه راهنمای پیاده سازی در هنگام انتخاب و پیاده سازی کنترل های موجود در پیوست الف استانداردISO/IEC 27001ایجاد می کند.

استانداردISO/IEC 27002راهنمای پیاده سازی کنترل های امنیت اطلاعات می باشد. خصوصا بخش های 5 تا 18 این استاندارد، مشاوره و راهنمایی در خصوص اجرای عملی کنترل های مشخص شده درA5تاA18استانداردISO/IEC 27001را ارائه می نماید.

آخرین نسخه/وضعیت: اولین نسخه این استاندارد در خانواده 27000 در سال 2005 منتشر شد و در حال حاضر نسخه سال 2013 در 80 صفحه به عنوان آخرین نسخه معتبر محسوب می شود. البته همانند استانداردISO 27001در سال های 2014 و 2015 دو اصلاحیه مختصر بر روی این استاندارد اعمال گردید.

دانلود استانداردISO/IEC 27002نسخه 2013

دانلود استانداردISO/IEC 27002اصلاحیه 2014

دانلود استانداردISO/IEC 27002اصلاحیه 2015

استانداردISO/IEC 27003

فناوری اطلاعاتتکنیک های امنیتیراهنمای پیاده سازی سیستم مدیریت امنیت اطلاعات

این استاندارد بین المللی مطابق با استانداردISO/IEC 27001راهنمای پیاده سازی عملی و اطلاعات تکمیلی جهت ایجاد، پیاده سازی، اجرا، نظارت، بازبینی، نگهداری و بهبود یک سیستم مدیریت امنیت اطلاعات را ارائه می کند.

استانداردISO/IEC 27003یک رویکرد فرآیندگرا جهت پیاده سازی موفق سیستم مدیریت امنیت اطلاعات مطابق با استانداردISO/IEC 27001ارائه می نماید.

آخرین نسخه/وضعیت: اولین نسخه این استاندارد در سال 2010 منتشر شد و در حال حاضر نسخه سال 2017 در 45 صفحه به عنوان آخرین نسخه معتبر محسوب می شود.

دانلود استانداردISO/IEC 27003نسخه 2017

مطالب مرتبط

بررسی استانداردهای خانواده ISO 27000 (بخش دوم)

بررسی استانداردهای خانواده ISO 27000 (بخش سوم)

برای ارزیابی پایداری، امنیت و نگهداری این زیرساخت، راهنمای پشتیبانی شبکه را نیز مطالعه کنید.