سیستم مدیریت امنیت اطلاعات (ISMS) چیست؟

سیستم مدیریت امنیت اطلاعات (ISMS) چیست؟ راهنمای جامع، استانداردها و مراحل پیاده‌سازی در سازمان

با گسترش زیرساخت‌های دیجیتال، استفاده از فضای ابری، سامانه‌های نرم‌افزاری، خدمات برخط و تبادل داده میان سازمان‌ها، اطلاعات به یکی از ارزشمندترین دارایی‌های کسب‌وکار تبدیل شده‌اند. اطلاعات مشتریان، اسناد مالی، داده‌های کارکنان، مالکیت فکری، اطلاعات فنی و حتی جزئیات فرایندهای عملیاتی، همگی ممکن است در معرض تهدیدهایی مانند حملات سایبری، دسترسی غیرمجاز، خطای انسانی، افشای اطلاعات، خرابی تجهیزات و اختلال در خدمات قرار بگیرند.

در چنین شرایطی، اتکا به ابزارهایی مانند فایروال، آنتی‌ویروس، سامانه تشخیص نفوذ یا راهکارهای مدیریت رخداد امنیتی به‌تنهایی برای حفاظت مؤثر از اطلاعات کافی نیست. سازمان علاوه بر ابزارهای فنی، به چارچوبی مدیریتی نیاز دارد که مشخص کند چه اطلاعاتی باید محافظت شوند، چه خطراتی آن‌ها را تهدید می‌کنند، چه کنترل‌هایی باید اجرا شوند، مسئولیت‌ها بر عهده چه کسانی است و اثربخشی اقدامات امنیتی چگونه ارزیابی می‌شود.

سیستم مدیریت امنیت اطلاعات یا ISMS دقیقاً با همین هدف طراحی شده است: ایجاد رویکردی نظام‌مند، مستند، قابل ارزیابی و مبتنی بر ریسک برای مدیریت امنیت اطلاعات در یک سازمان.

ISMS صرفاً یک نرم‌افزار امنیتی یا مجموعه‌ای از دستورالعمل‌ها نیست؛ بلکه چارچوبی مدیریتی است که افراد، فرایندها، فناوری‌ها، سیاست‌ها و سازوکارهای نظارتی را در یک سیستم منسجم قرار می‌دهد. هدف آن نیز فقط جلوگیری از حملات سایبری نیست، بلکه مدیریت مستمر ریسک‌های مرتبط با محرمانگی، یکپارچگی و دسترس‌پذیری اطلاعات است.

در ادامه این راهنمای جامع از سایت امین رای، مفهوم ISMS، ضرورت پیاده‌سازی آن، استانداردهای مرتبط، مراحل اجرایی استقرار، تفاوت آن با سایر راهکارهای امنیتی و معیارهای ارزیابی موفقیت آن را بررسی می‌کنیم.

1. سیستم مدیریت امنیت اطلاعات (ISMS) چیست؟

ISMS مخفف عبارت انگلیسی Information Security Management System و به معنای «سیستم مدیریت امنیت اطلاعات» است. ISMS مجموعه‌ای هماهنگ از سیاست‌ها، فرایندها، رویه‌ها، مسئولیت‌ها، منابع و کنترل‌هایی است که سازمان برای مدیریت ریسک‌های امنیت اطلاعات ایجاد و به‌صورت مستمر نگهداری می‌کند.

در این سیستم، امنیت اطلاعات یک فعالیت مقطعی یا صرفاً فنی در واحد فناوری اطلاعات نیست؛ بلکه موضوعی سازمانی است که باید با اهداف کسب‌وکار، الزامات قانونی، تعهدات قراردادی و میزان ریسک قابل‌پذیرش سازمان هماهنگ باشد.

برای مثال، فرض کنید یک شرکت خدمات مالی از اطلاعات هویتی مشتریان، سوابق تراکنش‌ها و سامانه‌های عملیاتی استفاده می‌کند. پیاده‌سازی ISMS در این شرکت مستلزم آن است که سازمان موارد زیر را در نظر داشته باشد:

• دارایی‌های اطلاعاتی و سامانه‌های مهم خود را شناسایی کند.
• تهدیدها و آسیب‌پذیری‌های مؤثر بر آن دارایی‌ها را ارزیابی کند.
• سطح ریسک‌های امنیتی را تعیین و درباره نحوه برخورد با آن‌ها تصمیم بگیرد.
• کنترل‌های مناسب مانند مدیریت دسترسی، رمزنگاری، پشتیبان‌گیری و پایش امنیتی را انتخاب کند.
• مسئولیت‌های امنیتی را به افراد و واحدهای مشخص واگذار کند.
• اجرای کنترل‌ها را مستند و اثربخشی آن‌ها را ارزیابی کند.
• در صورت تغییر شرایط یا ظهور تهدیدهای جدید، اقدامات امنیتی را بازنگری کند.

بنابراین، ارزش ISMS در کنار هم قرار دادن تصمیم‌های مدیریتی و اقدامات عملیاتی است، به‌گونه‌ای که امنیت اطلاعات بر اساس ریسک واقعی سازمان مدیریت شود، نه صرفاً بر اساس خرید تجهیزات یا اجرای اقدامات پراکنده.

1.1. هدف اصلی ISMS چیست؟

هدف اصلی ISMS، حفظ امنیت اطلاعات از طریق مدیریت سیستماتیک ریسک‌هاست. این هدف معمولاً با سه ویژگی بنیادی امنیت اطلاعات شناخته می‌شود که به مدل سه‌گانه CIA معروف هستند.

محرمانگی (Confidentiality)

اطلاعات فقط در اختیار اشخاص، سامانه‌ها و فرایندهایی قرار گیرد که مجاز به دسترسی به آن هستند. مدیریت سطح دسترسی، احراز هویت، رمزنگاری و کنترل افشای اطلاعات از جمله اقدامات مرتبط با محرمانگی هستند.

یکپارچگی (Integrity)

اطلاعات در برابر تغییر، حذف یا تخریب غیرمجاز محافظت شود و صحت و کامل بودن آن حفظ شود. کنترل تغییرات، ثبت رویدادها، اعتبارسنجی داده‌ها و سازوکارهای تشخیص دست‌کاری به تحقق این هدف کمک می‌کنند.

دسترس‌پذیری (Availability)

اطلاعات و سامانه‌ها در زمان مورد نیاز کاربران مجاز قابل دسترسی باشند. زیرساخت فناوری، پشتیبان‌گیری، بازیابی از فاجعه، مدیریت ظرفیت و مقابله با حملات منع سرویس (DDoS) از جمله اقدامات مرتبط هستند.

این سه ویژگی، مبنای مهمی برای تحلیل امنیت اطلاعات محسوب می‌شوند؛ بااین‌حال، امنیت اطلاعات به آن‌ها محدود نیست. اصالت (Authenticity)، قابلیت ردیابی و پاسخ‌گویی (Accountability)، عدم انکار (Non-repudiation) و حریم خصوصی نیز بسته به نوع اطلاعات، فرایند و الزامات سازمان اهمیت پیدا می‌کنند.

نکته مهم آن است که ISMS لزوماً به معنای حذف کامل ریسک یا تضمین جلوگیری از تمام حوادث امنیتی نیست. هدف آن ایجاد سازوکاری برای شناسایی، ارزیابی، پذیرش آگاهانه، کاهش و پایش ریسک‌ها در چارچوب معیارهای تعیین‌شده سازمان است.

1.2. اجزای اصلی سیستم مدیریت امنیت اطلاعات

یک ISMS اثربخش معمولاً از اجزای زیر تشکیل می‌شود:

• دامنه سیستم مدیریت: مشخص می‌کند چه واحدها، فرایندها، سامانه‌ها، مکان‌ها و فعالیت‌هایی تحت پوشش هستند.
• سیاست امنیت اطلاعات: جهت‌گیری و تعهدات کلان سازمان در زمینه امنیت اطلاعات را مشخص می‌کند.
• مدیریت ریسک: ریسک‌های امنیت اطلاعات را شناسایی، تحلیل، ارزیابی و برای برخورد با آن‌ها برنامه‌ریزی می‌کند.
• کنترل‌های امنیتی: اقداماتی مدیریتی، انسانی، فیزیکی و فنی برای تغییر سطح ریسک هستند.
• نقش‌ها و مسئولیت‌ها: مشخص می‌کند چه کسی مالک ریسک، مسئول اجرای کنترل یا پاسخ‌گوی تصمیم‌هاست.
• مستندات و سوابق: شواهد لازم برای اجرای فرایندها، تصمیم‌ها، کنترل‌ها و ارزیابی‌ها را فراهم می‌کند.
• آموزش و آگاهی‌رسانی: رفتار امنیتی کارکنان و توانایی آن‌ها در انجام مسئولیت‌هایشان را بهبود می‌دهد.
• پایش و سنجش عملکرد: میزان تحقق اهداف و اثربخشی کنترل‌ها را ارزیابی می‌کند.
• ممیزی و بازنگری مدیریت: انطباق سیستم با الزامات و نیاز به تغییر یا بهبود آن را بررسی می‌کند.
• بهبود مستمر: از نتایج پایش، حوادث، ممیزی‌ها و تغییرات برای اصلاح سیستم استفاده می‌کند.

این مؤلفه‌ها باید به یکدیگر متصل باشند. برای نمونه، اگر ارزیابی ریسک نشان دهد حساب‌های دارای دسترسی ممتاز یکی از منابع اصلی ریسک هستند، این یافته باید به تصمیم مدیریتی، انتخاب کنترل مناسب، تعیین مسئول اجرا، تعریف شواهد مورد نیاز و سنجش اثربخشی منجر شود.

1.3. ISMS یک محصول نیست؛ یک سیستم مدیریتی است

یکی از برداشت‌های اشتباه رایج این است که ISMS را معادل خرید یک نرم‌افزار، نصب ابزارهای امنیتی یا تهیه مجموعه‌ای از مستندات بدانیم.

در واقع، سازمان ممکن است برای پشتیبانی از ISMS از نرم‌افزارهای مدیریت ریسک، سامانه‌های مدیریت دارایی، ابزارهای گردش کار، داشبوردهای انطباق یا راهکارهای مدیریت رخداد استفاده کند؛ اما هیچ‌یک از این محصولات به‌تنهایی معادل ISMS نیستند.

حتی سازمانی که ابزارهای امنیتی پیشرفته‌ای دارد، اگر نتواند ریسک‌های اصلی خود را شناسایی کند، مسئولیت‌ها را مشخص سازد، تصمیم‌های امنیتی را با اهداف کسب‌وکار هماهنگ کند و اثربخشی کنترل‌ها را بسنجد، لزوماً از یک ISMS اثربخش برخوردار نیست.

از سوی دیگر، استفاده از نرم‌افزار تخصصی برای مدیریت ISMS الزامی نیست. متناسب با اندازه و پیچیدگی سازمان، بخشی از فعالیت‌ها می‌تواند با ابزارهای ساده‌تر انجام شود؛ مشروط بر اینکه الزامات سیستم به‌درستی اجرا و شواهد لازم حفظ شوند.