سیستم مدیریت امنیت اطلاعات (ISMS) چیست؟
ISMS چیست؟
ISMS مخفف عبارت Information Security Management System , به معنای سیستم مدیریت امنیت اطلاعات می باشد و استانداردهایی را برای ایمن سازی فضای تبادل اطلاعات در سازمان ها ارائه می دهد.این استانداردها شامل مجموعه ای ازدستورالعمل ها می باشد تا فضای تبادل اطلاعات یک سازمان را با اجرای یک طرح مخصوص به آن سازمان ایمن نماید.
مفاهیم اصلی در امنیت اطلاعات
محرمانگی : محرمانگی اطلاعات یعنی حفاظت از اطلاعات در مقابل دسترسی و استفاده غیرمجاز، داده های محرمانه تنها توسط افراد مجاز قابل دسترسی می باشد.
تمامیت: در بحث امنیت اطلاعات، تمامیت به این معناست که داده ها نمی توانند توسط افراد غیرمجاز ساخته، تغییر یا حذف شوند. تمامیت همچنین یکپارچگی داده ها را که در بخش های مختلف پایگاه داده ذخیره شده اند، تحت الشعاع قرار می دهد.
اعتبار و سندیت: اعتبار و سندیت دلالت بر موثق بودن داده ها و نیز اصل بودن آن ها دارد. به طریقی که اطمینان حاصل شود داده ها کپی یا جعلی نیستند.
دسترسی پذیری: دسترسی پذیری به این معنا می باشد که داده ها، پایگاه های داده و سیستم های حفاظت امنیت، در زمان نیاز به اطلاعات در دسترس باشند.
اقدامات لازم جهت ایمن سازی فضای تبادل اطلاعات
تهيه طرح‌ها و برنامه‌هاي امنيتي موردنياز سازمان
ايجاد تشکيلات موردنياز جهت ايجاد و تداوم امنيت فضاي تبادل اطلاعات سازمان
اجراي طرح‌ها و برنامه‌هاي امنيتي سازمان
استانداردهاي مديريتي ارائه شده در خصوص امنيت اطلاعات
۱٫ استاندارد مديريتي BS7799 که ISO/IEC 27002 نامیده می شود که در قالب ۱۰ دسته بندی زیرمی باشد
- تدوين سياست امنيتي سازمان
- ايجاد تشکيلات تامين امنيت سازمان
- دسته‌بندي سرمايه‌ها و تعيين کنترل‌هاي لازم
- امنيت پرسنلي
- امنيت فيزيکي و پيراموني
- مديريت ارتباطات
- کنترل دسترسي
- نگهداري و توسعه سيستم‌ها
- مديريت تداوم فعاليت سازمان
- پاسخگوئي به نيازهاي امنيتي
۲٫ استاندارد مديريتي ISO/IEC 17799 موسسه بين‌المللي استاندارد
که بخش اول استاندارد BS7799:2 است که در سال ۲۰۰۰ به این اسم نامیده شد.
۳. گزارش فني ISO/IEC TR 13335 موسسه بين‌المللي استاندارد
اين گزارش فني در قالب ۵ بخش مستقل در فواصل سالهاي ۱۹۹۶ تا ۲۰۰۱ توسط موسسة بين المللي استاندارد منتشر شده است . اگر چه اين گزارش فني به عنوان استاندارد ISO منتشر نشد وعنوان Technical Report بر آن نهاده شد که شامل مراحل زیر است :
- تعيين اهداف، راهبردها و سياستهاي امنيتي فضاي تبادل اطلاعات سازمان
- تحليل مخاطرات امنيتي فضاي تبادل اطلاعات سازمان
- انتخاب حفاظ ها و ارائه طرح امنيت
- پياده‌سازي طرح امنيت
- پشتيباني امنيت فضاي تبادل اطلاعات سازمان
مستندات ISMS
اهداف، راهبردها و سياستهاي امنيتي فضاي تبادل اطلاعات دستگاه
طرح تحليل مخاطرات امنيتي فضاي تبادل اطلاعات دستگاه
طرح امنيت فضاي تبادل اطلاعات دستگاه
طرح مقابله با حوادث امنيتي و ترميم خرابي هاي فضاي تبادل اطلاعات دستگاه
برنامة آگاهي رساني امنيتي به پرسنل دستگاه
برنامة آموزش امنيتي پرسنل تشکيلات تامين امنيت فضاي تبادل اطلاعات دستگاه
اجزاء و ساختار تشکيلات امنيت اجزاء تشکيلات امنيت
در سطح سياست گذاري : کميته راهبری امنيت فضاي تبادل اطلاعات دستگاه
در سطح مديريت اجرائي : مدير امنيت فضاي تبادل اطلاعات دستگاه
در سطح فني : واحد پشتيبانی امنيت فضاي تبادل اطلاعات دستگاه
نحوه پیاده سازی ISMS در سازمانها
سازمان ها وقتی می خواهند گواهینامه بگیرند ، به شرکت هایی که این خدمات را ارائه می دهند مراجعه میکنند . شرکت های ارائه دهنده این خدمات با شرکت های خارجی که درزمینه ISMS درایران شعبه دارند مشاوره کرده و در نهایت مشاوری از سوی شرکت برای آن سازمان می فرستند. مشاور در جلسه هیات مدیره خط مشی امنیتی را مشخص و پیاده سازی صورت میگیرد.
مزایای استفاده از ISMS
طبیعی است که شما زمانی‌که به یک کشور خارجی سفر می‌کنید یکی از مهم‌ترین معیار‌ها برقرار بودن امنیت در آن کشور است ،همین موضوع باعث ترقیب شدن توریست‌ها برای سفر کردن وسرمایه گذاری درآن کشورمی‌شود. در خصوص سازمانها هم به همین شکل است، اگر سازمانی بتواند سیستم مدیریت امنیت اطلاعات را به درستی پیاده‌سازی و مدیریت کند تجارتی دائمی وهمراه با ریسک کمتر خواهد بود.بنابراین سیستم مدیریت امنیت اطلاعات ( ISMS ) بصورت کلی باعث اطمینان از تداوم تجارت و کاهش صدمات توسط ایمن ساختن اطلاعات و کاهش تهدیدها می‌شود.
تعدادي از فوائد پياده سازي اين استاندارد:
- اطمینان از تداوم تجارت و كاهش صدمات توسط ایمن ساختن اطلاعات و كاهش تهدیدها
- اطمینان از سازگاری با استاندارد امنیت اطلاعات و محافظت از داده ها
- قابل اطمینان كردن تصمیم گیری ها و محك زدن سیستم مدیریت امنیت اطلاعات
- ایجاد اطمینان نزد مشتریان و شركای تجاری
- امكان رقابت بهتر با سایر شركت ها
- ایجاد مدیریت فعال و پویا در پیاده سازی امنیت داده ها و اطلاعات
- بخاطر مشكلات امنیتی اطلاعات و ایده های خود را در خارج سازمان پنهان نسازید
توجه !!!
به وجود آمدن خطوط پرسرعت اينترنتي و دسترسي آسان تر به اين شاهراه اطلاعاتي توسط خطوط Leased و همچنين ارزان شدن تكنولوژي مبتني بر ارتباط بي سيم ، شركت ها و سازمان ها را به تدريج مجبور به رعايت نكات مربوط به ايمني اطلاعات ونيزنصب انواع FireWall و IDS ساخته است. براي داشتن سازماني ايده آل، هدفمند كردن اين تلاش ها براي رسيدن به حداكثر ايمني امري است ضروری.
خطرهای تهدید کننده ی سیستم های اطلاعاتی
خطرهای تهدید کننده ی امنیت اطلاعات به دو دسته ی عمدی و غیر عمدی تقسیم می شوند
خطرهای عمدی : خطرهایی هستند که امنیت اطلاعات سیستم را با برنامه ی قبلی و هدفی خاص مورد حمله قرار می دهند مثل خطر هکرها و …
خطرهای غیرعمدی : خطرهایی هستند که بر اثر اشتباهات انسان و نیروی کار به سیستم وارد می شود که این نوع خطر بیشترین میزان خسارات را به سیستم اطلاعاتی وارد می کنند همچنین خطرهای ناشی از عوامل طبیعی مثل سیل ،زلزله،طوفان و… جزء تهدیدات غیر عمدی به حساب می آید .
مواردی که یک سازمان برای پیاده سازی یک سیستم امنیتی اعمال می کند به شرح زیر می باشد :
- تعیین سیاست امنیتی
- اعمال سیاست های مناسب
- بررسی بلادرنگ وضعیت امنیت اطلاعاتی بعد از اعمال سیاست امنیتی
- بازرسی و تست امنیت شبکه اطلاعاتی
- بهبود روش های امنیت اطلاعاتی سازمان
خدمات IT را با هوشمندنت تجربه کنیدوبا خیال راحت صفرتا صد سیستم کاری خودرابا ارزانترین قیمت راه اندازی کنیدجهت اطلاعاتی کامل تر از خدمات و مشاوره رایگان برای خریدی مطمئن با هوشمندنت در تماس باشید