سیستم مدیریت امنیت اطلاعات ISMS- ISO/IEC 27001

 مقدمه

سیستم مدیریت امنیت اطلاعات :Information Security Management System

سيستمي براي پياده سازي کنترل هاي امنيتي مي باشد که با برقراري زيرساخت هاي مورد نياز ايمني اطلاعات را تضمين مي نمايد.

صدور گواهينامه اعتباردهی شده بر اساس استاندارد ISO/IEC 27001اين يک استاندارد جديد بين المللی سيستم مديريت امنيت اطلاعات می باشد و BS7799شده است. اين استاندارد بر اساس استانداردBS7799 و با ساختار مشابه ساير استانداردهای مديريت طراحی شده است. استاندارد بيانگر الزامات در پايه گذاری، استقرار، اجرا، پايش، بازنگری، نگهداری و بهبود يک سيستم مديريت امنيت اطلاعات در سازمان می باشد.

استقرار سیستم مدیریت امنیت اطلاعات (ISMS) یکیاز خدمات شرکت نسل پیشرو پارس برای سازمان ها و شرکت های دولتی و خصوصی می باشد. تمرکز بیش ازاندازه به ابعاد فنی مقوله امنیت را می توان بزرگترین مشکل شرکت ها وسازمانهای کشور در زمینه امنیت شبکه و اطلاعات دانست. به همین خاطر است که بسیاریاز سازمان ها علی رغم بهره مندی از تجهیزات امنیتی مناسب، همچنان با بحران ها ومشکلات امنیتی بسیاری دست به گریبانند. از اینرو می بایست با دیدگاهی سیستماتیک بهمقوله امنیت نگریسته شود.

شرکت خدمات مهندسی مشاوره مدیریت و کیفیت نسل پیشروپارس با درک مفاهیم بنیادی و اساسی این سیستم و با بکارگیری کادر مجرب و متخصص در خصوص مباحث امنیت اطلاعات و سیستمها، ارائه دهنده خدمات مشاوره در خصوص سیستم مدیریت امنیت اطلاعات مبتنی بر استاندارد ISO27001:2005 میباشد.

آنچه ما را متمایز می سازد، پایه گذاری تمام اهداف و فعالیت های سازمان بر مبنای رضایت مندی مشتری ،استفاده از نیروی انسانی مجرب و متخصص و به روز رسانی و ارتقا سطح علمی و تخصصی آنها به صورت مستمر و همگام با علم روز دنیا و از همه مهمتر حرکت در راستای اشاعه فرهنگ نوین مدیریتی فراتر از جنبه های اقتصادی ،بلکه به عنوان یک مسئولیت اجتماعی و ملی است.

چرا نیاز به سیستم مدیریت امنیت اطلاعات داریم؟

با پیشرفت علوم کامپیوتری و همچنین بوجود آمدن ابزارهای جدید هک و کرک و همچنین دسترسی افراد غیر مرتبط با فرآیند کاری مورد نظر و سرقت اطلاعات همواره خطر آسیب پذیری به سیستم های داخلی و اطلاعاتی سازمان ها وجود داشته است که این مهم در سیستم بانک داری وجود داشته است.

هدف این پروژه طراحی و استقرار سیستم مدیریت امنیت اطلاعات و ارتباطات در سازمان میباشد که شركت سعی می‌كند با استفاده از روشهای منطبق با استاندارد ISO 27001 و با مشاركت فعالپرسنل سازمان آن را تحقق بخشد. به طور کلی هدف از اسقرارISMS موار زیر میباشد:

- ایجاد ساختاری سیستماتیک جهت مدیریت امنیت در حوزه اطلاعات وبهبود مستمر آن

- ایجاد مکانیسمی سیستماتیک جهت مدیریت امنیت در حوزه اطلاعات و بهبود مستمرآن

- برقراری بستری برای حفظ محرمانگی اطلاعات

- برقراری بستری برای حفظ تمامیت و صحت اطلاعات و ممانعت از اختلال در آن توسط افراد غیر مجاز

- برقراری امنیت در شبکه ،مدیریت ،مانیتور و بهبود سطح آن

- به حداقل رساندن رخنه های امنیتی در دریافت خدمات از اشخاص ثالث ارائه دهنده سرویسهای اطل

اعاتی

- ایجاد بستری برای تدوین ،مدیریت و بروزرسانی طرح های امنیتی

- تربیت نیروی انسانی مسلط به امنیت اطلاعات از بین کارشناسان و مدیران ذیربط

به طور کلی این سیستم ابزاری است برای شناسایی،مدیریت و ب

ه حداقل رساندن احتمال وقوع تهدیداتی که امروزه سازمان ها به واسطه از دست دادن اطلاعت خود با آن روبرو هستند.

ضرورت اجرای سیستم مدیریت امنیت اطلاعات :

ضرورت پیاده سازی این سیستم در ارگان ها میتوان در آنجا دید که در هر فرآیندی و همه عناصر یک فرآیند که خواه میتواند کارکنان باشند و یا ابزاهای مورد استفاده آنان به آن میزانی که در سازمان مسئولیت دارند اطلاعات و پردازش اطلاعات توسط آنان انجام شود و همواره معیارهای کنترلی بر آنان نظارت داشته باشند جهت جلوگیری از سرقت اطلاعات توسط عوامل بیرونی سازمانی.

شرح کلی پروژه :

امنیت داده ها به چهار مفهوم کلی محرمانگی،تمامیت،اعتبار و سندیت و دسترس پذیری قابل تقسیم است.

محرمانگی :

محرمانگی اطلاعات یعنی حفاظت از اطلاعات در مقابل دسترسی و استفاده غیر مجاز میباشد و تنها توسط افراد مجاز قابل دسترسی میباشد.

تمامیت :

در موضوع امنیت اطلاعات تمامیت به این معناست که داده ها نمیتواند توسط افراد غیر مجاز ساخته تغییر و یا حذف شود.تمامیت همچنین یکپارچگی داده ها که در بخش های مختلف پایگاه داداه ذخیره شده اند را تحت الشعاع قرار می دهد.

اعتبار و سندیت :

اعتبار و سندیت دلالت بر موثق بودن داده ها و نیز اصل بودن آنها دارد به طریقی که اطمینان حاصل شود داده ها کپی یا جعلی نیست.

دسترس پذیری :

دسترس پذیری به این معنی است که داده ها پایگاه های داده و سیستم های حفاظت امنیت در زمان نیاز به اطلاعات در دسترس باشد.

این استاندارد بین المللی دارای 11 هدف کنترلی میباشد و هر گروه نیز شامل چندین زیر مجموعه میباشد.گروه های کنترلی عبارتند از :

1-سیاست های امنیتی 2-امنیت سازمان 3-کنترل و طبقه بندی دارایی ها4-امنیت منابع انسانی 5-امنیت فیزیکی و محیطی 6-مدیریت ارتباطات و عملیت ها 7-کنترل دسترسی ها 8-نگهداری سیستم های اطلاعاتی و اکتساب توسعه 9-مدیریت رویداد امنیت اطلاعات 10-مدیریت پیوسته کسب و کار 11-سازگاری با موارد قانونی.

که در هر فاز با در نظر گرفتن این گروه های کنترلی و با توجه به ماهیت سازمان دستور العمل ها و پروتکل های امنیتی تدوین میشود.

مزایای استقرار سیستم مدیریت امنیت اطلاعات :

- حصول اطمينان از پایداری تجارت و كاهش صدمات و تهديدها توسط ايمن ساختن اطلاعات

- سازگاری با استاندارد امنيت اطلاعات و حفاظت از داده ها

- تصميم گيری ها مطمئن باشند.

- مطمئن ساختن مشتريان و شركای تجاری

- امكان رقابت بهتر  و موفق تر با شركت های رقیب

- ايجاد مديريت فعال و پويا در پياده سازی امنيت داده ها و اطلاعات

طبق موارد یاد شده واضح است که اين استاندارد علاوه بر رويكرد فرآيندی و مشتري محوري ، رويكردي تجاري را نیز دارا میباشد.