امروزه ارزيابي امنيتي سيستم هاي اطلاعاتي بر طبق نيازهاي تجاري از جمله اجراي جدا ناپذير استراتژي هاي کاري يک سازمان مي باشد. در حالي که تعداد معدود و محدودي استاندارد اسلوب و چهارچوب براي رسيدگي به امنيت اطلاعات و فيلد هايي که مي بايست مورد بررسي قرار گيرند در دسترس مي باشد هيچ يک از آنها چگونگي و دليل انجام اين رسيدگي و حتي روش هاي امن سازي پارامترهاي مورد بحث را تحت پوشش قرار نمي دهند.
(INformation SYStem Security Assessment Framework FIssa) يک چهارچوب ساخت يافته براي بررسي امنيت اطلاعات مي باشد که امر بررسي امنيتي را تحت بخش هاي متنوع و مختلف ارائه داده و به ذکر جزييات در مورد هريک از بخش هاي عنوان شده مي پردازد. اين توضيحات شامل مواردي است که مي بايست مورد ارزيابي قرار گيرند و همچنين روش و محدوده بررسي. در ISSAF سعي بر آن شده تا فيلد هاي مطرح شده براي بررسي انعکاسي از موارد واقعي و کاملً کاربردي باشد.
ISSAFمي بايست بعنوان يک مرجع و راهنماي اوليه براي رفع نياز بررسي امنيتي سازمان ها و همچنين بعنوان مرجعي براي ساير موارد امنيتي مورد رجوع و استفاده قرار گيرد.
ISSAF همچنين زيربخش هاي کوچک و مفيدي را براي پيشبرد پروسه هاي امنيتي بررسي و محکم سازي و ترسيم تصوير کاملي از ضعف هاي امنيتي موجود در بردارد.
اطلاعات در ISSAF بر اساس معيارها و محدوده هاي بررسي مختلفي تقسيم بندي شده که هر بخش توسط يک متخصص در آن زمينه خاص تهيه و مورد بازبيني قرار گرفته است.
? توضيحي در مورد معيارهاي رسيدگي
? اهداف و ايده آل ها
? شرايط لازم براي انجام بررسي
? مراحل و پروسه بررسي
? عنوان نتايجي که انتظار مي رود
? پيشنهاد روش ها و اقدامات مقابله و متقابل
? ارجاع به مطالب و منابع خارجي
مطالب ارائه شده در اين چهارچوب گسترده مي باشند. ما تصميم به ارائه هرچه بيشتر اطلاعات کرديم با اين قصد که استفاده کننده از اين چهارچوب بجاي نياز به گسترش و بسط دادن مطالب لازم و عنوان شده از آنها صرف نظر و چشم پوشي کند. ISSAF يک سند باز مي باشد که بصورت مداوم در آينده گسترش خواهد يافت و اصلاح و به روز رساني خواهد شد.
? اهداف ISSAF
? عمل کردن بعنوان يک مرجع پيوسته براي بررسي امنيتي (SECUrity ASSeSSment) .
? استاندارد سازي پروسه بررسي امنيتي سيستم هاي اطلاعاتي
? به کارگيري حداقل و کوتاه ترين پروسه قابل قبول وممکن
? فراهم کردن يک روال استاندارد که بررسي مي تواند ( بايد ) بر اساس آن انجام شود
? بررسي و بازبيني اقدامات پياده سازي شده براي مقابله با دسترسي غيرمجاز
? عمل کردن بعنوان يک مرجع اجرا سازي امنيت اطلاعات
? تقويت پروسه هاي امنيتي و تکنولوژي هاي موجود
هدف اصليISSAF فراهم آوردن يک نقطه رجوع واحد براي بررسي امنيتي مي باشد. و در تهيه آن سعي بر آن شده تا مواردي که عنوان مي گردد نزديکي هرچه بيشتري به پيامد ها و مسايل بررسي هاي امنيتي واقعي داشته باشد که اين موضوع از لحاظ کاري موقعيتي ارزشمند را فراهم مي کند.
براي دسترسي به اين هدف ISSAF از اين دستورکار استفاده مي کند:
? ارزيابي رويه هاي امنيت اطلاعات سازمان ها براي اطمينان از اينکه با معيارها و نيازهاي صنعتي مطابقت داشته و آئين نامه ها و قوانين تعريف شده را مختل نمي کنند.
? تشخيص نيازهاي حياتي زيربناي سيستم هاي اطلاعاتي مورد نياز سازمان ها براي انجام پروسه هاي کاري و ارزيابي امنيت آنها
? هدايت پروسه هاي تشخيص نقاط آسيب پذير و تست نفوذ براي نمايان کردن نقاط ضعف سيستم ها و در نتيجه تشخيص نقاط ضعف مربوط به شبکه سيستم ها و برنامه ها *ارزيابي کنترل هاي اعمال شده بر حوزه هاي مختلف امنيت با:
? پيدا کردن تنظيمات غلط اعمال شده و تصحيح آنها
? تشخيص ريسک هاي شناخته شده و ناشناخته مربوط به فناوري و اداره کردن آنها
? تشخيص ريسک هاي شناخته شده و ناشناخته مربوط به کارکنان و پروسه هاي کاري و اداره کردن آنها
? تحکيم و تقويت پروسه ها و فناوري هاي موجود
? اولويت بندي انجام بررسي ها بر اساس ميزان اهميت سيستم هزينه بررسي و منافع مورد توقع
? تربيت کردن افراد براي انجام بررسي هاي امنيتي
? تربيت کردن افراد در زمينه سيستم هاي امنيتي شبکه ها و برنامه ها
? ارائه اطلاعات در زمينه
? بازبيني گزارش ها مانيتورينگ و پروسه هاي مميزي و بررسي
? تهيه و بازبيني روال هاي بازيابي از حوادث
? بازبيني مسايل مربوط به outsource کردن امنيت
? مطابقت دادن با استاندارد هاي قانوني و قواعد
? ايجاد آگاهي امنيتي
? مديريت موثر پروژه هاي بررسي امنيتي
? محافظت در برابر حملات مهندسي اجتماعي
? بازبيني امنيت فيزيکي
اين خط مشي بر اساس استفاده از کوتاه ترين راه براي رسيدن به هدف شخص بر اساس يافتن نقاط ضعفي که بطور موثر و با کمترين تلاش قابل بهره برداري هستند مي باشد. هدف اين چهارچوب دادن تماميت ودقت و کارايي به امر بررسي امنيتي مي باشد.
? چرا ما به فکر ISSAF افتاديم؟
پس از کار بر روي پروژه هاي بسيار در زمينه بيمه و امنيت اطلاعات، عدم وجود يک منبع وچهارچوب جامع که امنيت اطلاعات در قالب تشخيص نقاط ضعف تست نفوذپذيري و بررسي امنيتي را بصورت استاندارد شده فراهم آورد احساس شد.
ISSAF يک چهارچوب جامع و ژرف مي باشد که به پرهيز از عواقب استفاده از روش هاي بررسي امنيتي ناقص و غير استاندارد کمک مي کند.
در ISSAFسعي ما بر آن بوده تا چهارچوب بررسي امنيتي سيستم هاي اطلاعاتي کامل تري نسبت به انواع موجود و مشابه تهيه گردد و هدف سبک سازي ريسک هاي آميخته با خود پروسه بررسي امنيتي مي باشد. اين به ما کمک مي کند تا خطراتي را که ما را در حين انجام امورکاري روزانه تهديد مي کند بهتر بشناسيم. تهديدات افشا سازي اطلاعات وآسيب پذيري هايي که سازمان ما را تهديد ميکنند بسيار بزرگتر از آن هستند که از بتوان از آنها صرف نظر کرد.در حال حاضر ISSAF پاسخگوي تمامي نيازها و موقعيت ها نمي باشد اما ما با بهبود مطالب عنوان شده کنوني و اضافه کردن حوزه هاي جديد متعهد به بهبود پيوسته اين چهارچوب شده ايم.
? استفاده کنندگان اين چهارچوب
اين چهارچوب طيف وسيعي از کاربران را پوشش مي دهد که شامل موارد ذيل مي باشند:
? ارزياب هاي داخلي و خارجي امنيتي، بررسي کننده هاي نفوذ، مميزي هاي امنيتي
? افراد حرفه اي که پيرامون مسايل امنيت اطلاعات داراي مسووليت مي باشند
? مهندسين و مشاورين امنيتي
? مديران پروژه هاي بررسي امنيت
? موارد مربوط به سيستم هاي اطلاعاتي با مسووليت امنيت اطلاعات
? مديران سيستم / شبکه / وب
? مديران فني
معرفي سايت مرتبط با اين مقاله