اولویت راهکارها

با توجه به گستردگی و تنوع کنترل‌های استاندارد ISO 27001، یکی از علل ریشه‌ای موفقیت در پروژه‌های مشاوره این استاندارد، ارائه اولویت‌بندی مناسب، جهت عملیاتی سازی رویه‌ها و راه‌کارهای شناسایی شده می‌باشد.

هر راه‌کار داراي مشخصه‌هايي است که به تصميم‌گيري سازمان براي انتخاب اولویت آن‌ها به عنوان راه‌کار با اولویت بالا، کمک مي‌نمايد که عبارتند از :

  منابع لازم: شناخته‌شده‌ترین منابع هر سازمان، زمان اجرا و هزینه مالی راه‌کار می‌باشد. لذا در سازمان‌ها، راهکارهايی که براي پياده‌سازي، هزينه کمتري را مي‌طلبند و در زمان کمتری خروجی خود را نمایان می‌سازند، همواره مطلوبيت بيشتري نسبت به راهکارهای گران‌ و زمانبر دارند. معمولا برای اين شاخص با ترکیبی از زمان و هزینه سه سطح کم، متوسط و زياد پيش‌بينی می‌شود.

  ميزان اثر بخشي: اين شاخص مشخص مي‌کند که هر راه‌کار به چه ميزان در کاهش مخاطرات موثر است و بر حسب نوع خود مي‌تواند يکي از سه سطح کارايي کم، متوسط و زياد و ارزش متناظر را داشته باشد. طبعا استفاده از راه‌کاري که از بروز يک واقعه جلوگيري مي‌کند بسيار مناسب‌تر از راه‌کاري است که يک حادثه را اطلاع مي‌دهد و يا براي بعد از وقوع حادثه درماني ارائه مي‌کند. معمولا شاخص‌هایی که باعث کاهش احتمال وقوع ریسک می‌شود و یا تبعات ریسک را کاهش می‌دهد، با اثر بخشی بالا و مواردی که منجر به بازیابی خدمات و یا انتقال ریسک می‌شوند، با اثر بخشی پایین امتیازدهی می‌شوند.

  تعداد ریسک‌هاي تحت پوشش: همان‌طور که از نام اين شاخص مشخص است بيان مي‌کند که يک راه‌کار چه تعداد تهديد و آسیب پذیری را پوشش مي‌دهد. هر چه تعداد تهديدهاي بيشتري توسط راه‌کار پيشنهادي پوشش داده شود شاخص ارزشي آن (اولويت) آن بيشتر است.

  ارزش دارائی‌های تحت پوشش: هر چقدر که ارزش دارائي‌هايی که از اين راه‌کار بهره‌مند می‌شوند، بيشتر باشد اولويت راه‌کار بالاتر است.

 روش های اجرایی

 شرکت “داده پردازی هوشمند کندو” در راستای برآورده‌کردن الزامات استاندارد ISO 27001 و پیاده‌سازی موفق استاندارد، علاوه بر تهیه LOM تجهیزات امنیتی مورد نیاز، دستورالعمل‌ها و رویه‌های امنیت اطلاعات را به صورت اختصاصی و کاربردی، با توجه به جداول برخورد با ریسک سازمان و شاخص‌های ذکر شده، اولویت‌بندی نموده و سپس با تعیین نقش‌ها و مسئولیت‌ها (نمودار RACI)، کاربران و ذی‌نفعان، دارایی‌ها، سرویس‌ها و روال‌های سازمانی مرتبط، نحوه استفاده، به کارگیری و عملیاتی‌سازی راه‌کارها را به مشتریان آموزش می‌دهد. تعدادی از این راه‌کارها شامل موارد زیر می‌باشند:

پیاده‌سازی و اجرای استانداردهای امنیتی نقش بسیار حیاتی در حفاظت از اطلاعات سازمانی دارد. این فرآیند می‌تواند بسیار گسترده و شامل مراحل مختلفی مانند بررسی و تحلیل، طراحی و تدوین سیاست‌ها، آموزش و آگاهی‌رسانی، ممیزی و ارزیابی و … باشد. این فرآیند‌ها باید به طور مداوم پیگیری شده و با توجه به تغییرات در محیط کسب و کار و تکنولوژی‌های جدید، به روزرسانی شوند تا امنیت اطلاعات سازمان حفظ شود.

مهمترین استانداردهای امنیتی:

1. استاندارد IOS 27001 (امنیت اطلاعات)
2. استاندارد ISO 3100 (مدیریت ریسک)
3. استاندارد ISO 55001 (مدیریت دارایی‌ها)
4. استاندارد ISO 22301 (تداوم کسب و کار)
5. استاندارد ISO 20000 (مدیریت خدمات فناوری اطلاعات)
6. استاندارد PCI-DSS (امنیت داده صنعت پرداخت)

مراحل انجام کار:

1. تکمیل فرم درخواست پیاده‌سازی استاندارد امنیتی
2.  امضای NDA
3. ارائه نقشه راه و تعیین زمانبندی
4. اخذ تاییدیه و امضای تفاهم نامه
5. شروع پروژه و اجرا بر اساس زمانبندی ارائه شده
6. اخذ گواهینامه برای کارفرما