سیستم مدیریت امنیت اطلاعات از طرح تا اصلاح Journal Article

پیشرفت علوم کامپیوتری و در نتیجه شبکه‌های سخت‌افزاری‌ و نرم‌افزاری،امکان دسترسی آسان و سریع را به منابع به اشتراک‌ گذاشته شده سازمانها و شرکتها را پدید آورده است.سیستم‌های‌ خودپرداز بانکی،کارت‌های اعتباری،امکانات کامپیوتری بر روی تلفن‌های همراه،همگی مثالهای بارزی از تاثیر امکانات‌ کامپیوتری بر جامعه کنونی ایران هستند.با نظر به این تحولات‌ نکاتی نظیر خطر آشکار شدن رمز عبور،خطر ویروسی شدن‌ سیستم‌ها،از بین رفتن اطلاعات و تغییر اطلاعات توسط افراد غیر مجاز،نفوذ آنها به شبکه‌ها و سیستم‌های کامپیوتری از اهمیت‌ بالایی برخوردار می‌شوند.مدیریت امنیت یکی از فعالیتهای‌ بسیار مهم در سازمان است.بنا به یک تصور رایج در بسیاری‌ از سازمانها،طراحی زیرساخت و متعاقبا پیاده‌سازی راه‌حلهای‌ امنیتی(از قبیل نصب فایروال، IDS و...)برای برقراری امنیت‌ مناسب و کافی است.امینت اطلاعات نیازمند یک‌"سیستم‌ مدیریت امنیت‌"یا به اصطلاح ISMS است.هدف این سیستم‌ به زبان ساده فراهم کردن امکان استفاده مناسب و سودمند از زیر ساخت و اجزای مختلف امنیتی سازمان است.یکی از قابلیتهای‌ ارائه شده توسط ISMS ،امکان مدیریت تغییرات است.قابلیت‌ دیگر،امکان مدیریت رخدادهاست.در این مقاله به بررسی این‌ سیستم پرداخته شده است.

سیستم مدیریت امنیت اطلاعات‌ از طرح تا اصلاح (به تصویر صفحه مراجعه شود) نیما جعفری‌ مرجان صادقی مجرد چکیده پیشرفت علوم کامپیوتری و در نتیجه شبکه‌های سخت‌افزاری‌ و نرم‌افزاری،امکان دسترسی آسان و سریع را به منابع به اشتراک‌ گذاشته شده سازمانها و شرکتها را پدید آورده است. رویه‌های راه‌اندازی سیستم مدیریت‌ امنیت اطلاعات با توجه به رویکرد فرایند محور،کلیه‌ راه‌حلهای ارائه شده در ISMS باید طی‌ مراحل چهارگانه طراحی،پیاده‌سازی‌ (اجرا)،ارزیابی و اصلاح به صورت‌ یک چرخه همیشگی و ادامه‌دار در کلیه راه‌حلهای امنیتی اعم از فنی و مدیریتی‌ اعمال شود. چرخه سیستم مدیریت امنیت اطلاعات الف)طراحی:استقرار ISMS شامل تعیین‌ خطمشی‌ها،اهداف،فرایندها و روالها به منظور مدیریت مخاطرات در راستای‌ اهداف کسب و کار است. فعالیتهای مورد نیاز در این مرحله‌ عبارت‌اند از: 1-تعریف قلمرو(محدوده) ISMS :اولین‌ قدم تعیین محدوده و میدانی است که نیاز است تا امنیت در آن در نظر گرفته شود و هدف سیستم مدیریت امنیت اطلاعات‌ است. برای این‌ منظور باید ارزشیابی روی امنیت داراییهای‌ سازمان انجام گیرد که با توجه به مرحله‌ قبل،کلیه داراییها و سرمایه‌های سازمان‌ (سخت‌افزار،نرم‌افزار،اطلاعات، ارتباطات و کاربر)به همراه اولویت و ارزش آن دارایی برای سازمان و نرخ‌ ریسک‌ها و خطراتی که متوجه هر کدام‌ است و آنها را تهدید می‌کند،لیست شود. بنابراین با ارزیابی ریسک‌ها تاثیر احتمال رخداد آن تهدیدات در برابر میزان ارزش آن دارایی تعیین می‌شود و می‌توان اولویت ریسک‌ها و تهدیداتی‌ که برای داراییهای سازمان وجود دارد را تعیین کرد. یک سیاست امنیتی موثر باعث ایجاد امنیت نسبی برای کاربران‌ می‌شود که در واقع یک استراتژی برای‌ نگهداری اطلاعات و منابع شبکه است.