نحوه شناسایی و تعیین محدوده پیاده سازی ISMS

فهرست مطالب

تعیین محدوده ISMS

سیستم مدیریت امنیت اطلاعات برگرفته شده از استاندارد بین المللی ISO/IEC 27001، ابزاری است برای شناسایی، مدیریت و به حداقل رساندن احتمال وقوع تهدیدات عمدی و غیرعمدی، که امروزه سازمان‌ها با آن‌ها مواجه هستند. فارغ از این‌که شما از چه رویکردی در پیاده‌سازی سیستم مدیریت امنیت اطلاعات استفاده می‌نمایید، لازم است در ابتدای پیاده‌سازی این سیستم اقدام به تعیین محدوده پیاده‌سازی سیستم مدیریت امنیت اطلاعات نمایید.
در سیستممدیریت امنیت اطلاعاتشناخت فضای سازمان موضوعی بود که در نسخ قبلی استاندارد به آن توجه نشده بود؛ اما در نسخه 2013 به‌عنوان یک الزام به آن اشاره شده است. که باید مأموریت سازمان، ساختار سازمانی، شرح وظایف کلان و ... مستند شود. علت این امر تأکید بر هم‌سوسازی امنیت اطلاعات با مأموریت سازمان می‌باشد.

اندازه و گستره محدوده پیاده‌سازی ISMS

هر سازمان و شرکت با توجه به نوع و ماهیت کاری دارای ابعاد و اندازه‌های مختلفی می‌باشد. برخی از سازمان‌ها و شرکت‌های دولتی و خصوصی ممکن است دارای تعداد زیادی ساختمان (از بعد فیزیکی)، بیش از 100 نفر کارمند (از بعد پرسنلی)، تعداد زیادی سرور و انواع تجهیزات شبکه‌ای و سخت‌افزاری (از بعد تکنولوژیکی) و همچنین از لحاظ ساختار سازمانی گسترده و دارای مجموعه زیادی از فعالیت‌ها، فرآیندها و سرویس های سازمانی باشد. این نوع سازمان‌ها معمولاً در اندازه متوسط و بزرگ در نظر گرفته می‌شوند و سایر سازمان‌ها و شرکت‌ها ممکن است نسبت به هر یک از ابعاد مطرح‌شده بزرگ‌تر یا کوچک‌تر باشند، که می‌توان به‌طورکلی اندازه سازمان را در مقایسه با سایر شرکت‌های هم‌زمینه، تخمین نمود. لذا تعیین اندازه و وسعت محدوده پیاده‌سازیسیستم مدیریت امنیت اطلاعاتبا توجه به اندازه و بزرگی سازمان بسیار مهم است.

مراحل تعیین محدوده ISMS

1. انتخاب بهینه محدوده اولیهمحدوده اولیه سیستم مدیریت امنیت اطلاعات باید به نحوی انتخاب گردد که با توجه به دانش، تجربه، مهارت و امکانات موجود به‌سادگی قابل پیاده‌سازی باشد و حداکثر منافع مورد انتظار را حاصل نماید.
2. گسترش محدوده سیستم مدیریت امنیت اطلاعاتسیستم مدیریت امنیت اطلاعات علی‌رغم آن‌که به‌صورت پروژه تعریف می‌شود، یک فعالیت مقطعی و کوتاه‌مدت نیست، بلکه به‌عنوان یک سیستم مدیریتی می‌بایست به‌صورت دائم و پیوسته در سازمان جاری و در بازه‌های زمانی مشخص مورد بازنگری و بهبود قرار گیرد. یکی از موارد بازنگری در سیستم مدیریت امنیت اطلاعات، بازنگری محدوده و در صورت نیاز گسترش آن می‌باشد. گسترش محدوده سیستم مدیریت امنیت اطلاعات یکی از اهداف مدیران جهت در نظر گرفتن حداکثر تعداد دارایی‌های اطلاعاتی و ریسک‌های ناشی از آن‌ها می‌باشد. هم‌چنین می‌توان خیلی از فرآیندهای سازمانی را تحت پوشش گرفت و فرآیندهای تدوین‌شده در سیستم مدیریت امنیت اطلاعات را به سایر بخش‌های سازمان نیز تسری داد.
3. تعریف محدوده ISMSمحدوده استقرار سیستم مدیریت امنیت اطلاعات در سندی تحت عنوان سند بیانیه محدوده تعریف می­‌گردد. پس از شناخت فضای سازمان و تعیین ضرورت محافظت از المان‌­هایامنیت اطلاعاتدر بخش­‌های مختلف با توجه به مأموریت سازمان، می­‌بایست محدوده استقرار سیستم مدیریت امنیت اطلاعات تعریف گردد. این محدوده از چهار منظر تعریف می‌­شود
   • محدوده فرآیندی و سرویس‌ها
   • محدوده فیزیکی و محیطی
   • محدوده پرسنلی و ذینفعان
   • محدوده تکنولوژیکی و تجهیزات
4. محدوده فرآیندی و سرویس‌هادر این بخش تعیین می ­شود که فرآیندها و خدمات کدام واحدهای سازمانی در محدوده استقرار سیستم مدیریت امنیت اطلاعات قرار دارند. معمولا برای شروع در سازمان‌های متوسط و بزرگ، فرآیندهای فناوری اطلاعات سازمان مانند فرآیندهای پشتیبانی خدمات، فرآیندهای مرتبط بین واحدهای مختلف مثل تأمین نرم‌افزار و سخت‌افزار و فرآیندهای مرتبط با حراست فیزیکی همچون ورود و خروج، انتخاب می‌شود.
5. محدوده فیزیکی و محیطیمحدوده استقرار، حد و مرز فیزیکی ای که شامل بکار گیری کنترل های استاندارد سیستم مدیریت امنیت اطلاعات می باشد، در این قسمت تعریف می­شود. یکی از ابهامات در سازمان­ های بزرگ انتخاب محدوده فیزیکی صحیح می باشد. به‌عنوان مثال، برای شهرداری ها که دارای مرکز و مناطق متعدد می­ باشند، این موضوع از اهمیت حیاتی برخوردار است. برای این دست سازمان­ ها پیشنهاد می ­شود که ساختمان مرکزی و یک نمونه از مناطق به‌عنوان پایلوت در محدوده استقرار سیستم قرار گیرند. این امر سبب خواهد شد که در دورهای بعدی استقرار سیستم، از نتایج حاصل از استقرار در پایلوت استفاده نمود و محدوده را توسعه داد.
6. محدوده پرسنلی و ذینفعاندر این بخش تعیین می‌شود که کدام دسته از پرسنل، پیمانکاران، کارفرمایان و کاربران تجهیزات سازمان، در محدوده استقرار سیستم قرار دارند. لذا کلیه افراد محدوده، می‌­بایست الزامات مربوط بهامنیت منابع انسانیو همچنین شناسایی، ارزش‌گذاری و ارزیابی ریسک جاری و ساری شود.
7. محدوده تکنولوژیکیدر این بخش کلیه تکنولوژی‌ها، تجهیزات شبکه‌ای، تجهیزات ارائه خدمات و سرورها، پایگاه داده‌ها، تجهیزات ارتباطی همچون بسترهای انتقال اطلاعات، تجهیزات و سرویس‌های امنیتی مشخص می‌شوند.

در سازمان‌های ایرانی عرف شده است که کلیه تجهیزاتی که در واحد فناوری اطلاعات موجود می‌باشد، چه تجهیزات فعال و چه غیرفعال، جز دارایی‌های تکنولوژیکی شناسایی شده و کنترل‌های متعددی روی آن‌ها اعمال می‌شود، این موضوع اهمیت بالای شناسایی و تعیین دقیق این قسمت از محدوده را به اثبات می‌رساند.

برای ارزیابی پایداری، امنیت و نگهداری این زیرساخت، راهنمای پشتیبانی شبکه را نیز مطالعه کنید.