امروزه اطلاعات یکی از مهم‌ترین داراییهای هر سازمان است؛ از اطلاعات مشتریان و کارکنان گرفته تا قراردادها، داده‌های مالی، اسناد داخلی، سامانههای عملیاتی و اطلاعات مدیریتی. با این حال، بسیاری از سازمان‌ها هنوز امنیت اطلاعات را به خرید آنتی‌ویروس، فایروال یا ایجاد چند حساب کاربری محدود می‌کنند. مسئله اصلی این است که امنیت اطلاعات یک ابزار منفرد نیست؛ بلکه یک نظام مدیریتی برای شناسایی دارایی‌ها، ارزیابی ریسک‌ها، اجرای کنترلهای مناسب، کشف رخدادها و بازیابی سازمان پس از حادثه است.
امنیت اطلاعات زمانی مؤثر است که هم‌زمان «فناوری، فرایند و انسان» را پوشش دهد و با اهداف و ریسکهای واقعی سازمان هماهنگ باشد.
امنیت اطلاعات در سازمان دقیقاً چیست؟
امنیت اطلاعات مجموعهای از سیاستها، فرایندها، کنترلهای فنی و اقدامات انسانی است که با هدف حفاظت از اطلاعات در برابر دسترسی غیرمجاز، افشا، تغییر، تخریب، از دسترس خارج شدن یا سوءاستفاده انجام می‌شود. استاندارد ISO/IEC 27001:2022 امنیت اطلاعات را در قالب یک سیستم مدیریت امنیت اطلاعات یا ISMS نگاه می‌کند؛ سیستمی که باید متناسب با اندازه، ساختار، اهداف و ریسکهای هر سازمان طراحی، اجرا، نگهداری و به‌صورت مستمر بهبود داده شود.
در چنین رویکردی، امنیت دیگر مسئولیت صرف واحد فناوری اطلاعات نیست. مدیریت ارشد، واحدهای کسب‌وکار، منابع انسانی، مالی، حقوقی، فناوری اطلاعات، پیمانکاران و حتی کاربران نهایی هرکدام بخشی از زنجیره امنیت هستند.
سه اصل اساسی امنیت اطلاعات
| اصل | مفهوم | نمونه سازمانی |
|---|---|---|
| محرمانگی | اطلاعات فقط در اختیار افراد و سامانههای مجاز باشد. | دسترسی محدود به پرونده‌های پرسنلی و مالی |
| تمامیت | اطلاعات بدون مجوز تغییر، حذف یا دستکاری نشود. | جلوگیری از تغییر غیرمجاز مبلغ قرارداد |
| دسترس‌پذیری | اطلاعات و سامانهها در زمان موردنیاز در دسترس باشند. | فعال بودن سامانه مالی یا خدماتی هنگام نیاز |
این سه اصل که معمولاً با عنوان CIA Triad شناخته می‌شوند، پایه بسیاری از برنامه‌های امنیت اطلاعات هستند. یک سازمان ممکن است اطلاعات محرمانه‌ای داشته باشد، اما اگر در زمان بحران نتواند به آن دسترسی پیدا کند، امنیت عملیاتی آن کامل نیست. به همین دلیل، امنیت باید بین حفاظت از اطلاعات و استمرار فعالیت سازمان تعادل ایجاد کند.
مهم‌ترین تهدیدهای امنیت اطلاعات سازمانی
تهدید امنیتی فقط یک حمله پیچیده و تخصصی نیست. گاهی یک کلیک اشتباه، یک رمز عبور افشاشده یا باقی ماندن دسترسی یک کارمند سابق می‌تواند زمینه یک حادثه جدی را ایجاد کند.
تهدیدهای انسانی
- فیشینگ و مهندسی اجتماعی
- استفاده از رمزهای عبور ضعیف یا تکراری
- اشتراک‌گذاری اطلاعات حساس از طریق پیام‌رسان‌ها یا ایمیل
- باز کردن فایل‌ها و لینک‌های ناشناس
- ارسال اشتباه اسناد محرمانه برای گیرنده نامناسب
تهدیدهای فنی
- بدافزار و باج‌افزار
- آسیب‌پذیری نرم‌افزارها و سیستم‌عامل‌ها
- نفوذ به سرورها، وب‌سایت‌ها و APIها
- سرقت حساب‌های کاربری
- حملات اختلال سرویس
- پیکربندی نادرست سرویس‌های ابری و شبکه
تهدیدهای سازمانی
- نبود سیاست رسمی امنیت اطلاعات
- نبود فهرست مشخصی از داراییهای اطلاعاتی
- پشتیبانگیری ناکافی یا آزمایش‌نشده
- دسترسی بیش از حد کاربران
- نبود برنامه واکنش به رخداد
- ریسکهای ناشی از پیمانکاران و تأمین‌کنندگان فناوری
چرا امنیت اطلاعات باید از مدیریت دارایی شروع شود؟
سازمان نمی‌تواند از چیزی که نمی‌شناسد به‌درستی محافظت کند. اولین گام، تهیه فهرستی از داراییهای مهم است: پایگاه‌های داده، سرورها، لپ‌تاپ‌ها، حساب‌های کاربری، سامانههای سازمانی، وب‌سایت، APIها، اسناد، نسخه‌های پشتیبان و سرویس‌های ابری.
پس از شناسایی دارایی‌ها، باید مشخص شود هر دارایی چه ارزشی دارد، چه داده‌ای در آن نگهداری می‌شود، چه کسانی به آن دسترسی دارند، در صورت افشا یا از بین رفتن چه اثری بر سازمان خواهد داشت و چه وابستگی‌هایی برای استمرار فعالیت آن وجود دارد.
امنیت اطلاعات؛ از خرید ابزار تا مدیریت ریسک
یکی از خطاهای رایج این است که سازمان ابتدا ابزار خریداری کند و بعد تلاش کند مسئله‌ای برای آن پیدا کند. رویکرد حرفه‌ای برعکس است: ابتدا ریسک‌ها و الزامات مشخص می‌شوند و سپس کنترل مناسب انتخاب می‌شود.
برای مثال، اگر مهم‌ترین ریسک سازمان سرقت حساب‌های مدیریتی باشد، فعال‌سازی احراز هویت چندعاملی، اصل حداقل دسترسی و پایش ورودهای مشکوک ممکن است اولویت بالاتری از خرید یک ابزار جدید داشته باشد. اگر ریسک اصلی باج‌افزار باشد، پشتیبانگیری قابل‌بازیابی، تفکیک شبکه، مدیریت وصله‌ها و برنامه واکنش به حادثه اهمیت ویژه‌ای پیدا می‌کند.
یک چارچوب عملی برای مدیریت امنیت اطلاعات
چارچوب NIST CSF 2.0 برای سازمان‌ها یک زبان مشترک برای مدیریت ریسک امنیت سایبری فراهم می‌کند و برای سازمان‌های مختلف، صرف‌نظر از اندازه و سطح بلوغ، قابل استفاده است. این چارچوب بر نتایج امنیتی تمرکز دارد و سازمان را مجبور نمی‌کند فقط یک روش فنی خاص را اجرا کند.
| مرحله | سؤال مدیریتی | نمونه اقدام |
|---|---|---|
| Govern | چه کسی مسئول امنیت و ریسک است؟ | سیاستها، مسئولیت‌ها و سطح ریسک قابل‌قبول |
| Identify | چه دارایی‌ها و ریسک‌هایی داریم؟ | فهرست دارایی‌ها و ارزیابی ریسک |
| Protect | چگونه از دارایی‌ها محافظت کنیم؟ | MFA، کنترل دسترسی، رمزنگاری، پشتیبانگیری |
| Detect | چگونه حادثه را سریع متوجه شویم؟ | لاگ، مانیتورینگ و تحلیل رخداد |
| Respond | اگر حادثه رخ داد چه کنیم؟ | مهار، تحلیل و مدیریت حادثه |
| Recover | چگونه فعالیت را به حالت عادی برگردانیم؟ | بازیابی نسخه پشتیبان و اصلاح فرایندها |
اقدامات فوری برای افزایش امنیت سازمان
- داراییهای حیاتی را شناسایی کنید.
- حساب‌های حساس را با MFA محافظت کنید.
- دسترسی کاربران را بر اساس اصل حداقل دسترسی بازبینی کنید.
- نسخه پشتیبان منظم تهیه و فرایند بازیابی را واقعاً آزمایش کنید.
- سیستم‌عامل‌ها، نرم‌افزارها و تجهیزات شبکه را به‌روز نگه دارید.
- کارکنان را در زمینه فیشینگ و مهندسی اجتماعی آموزش دهید.
- لاگ‌ها و رخدادهای مهم را ثبت و پایش کنید.
- برای حوادث امنیتی یک برنامه واکنش مشخص داشته باشید.
- امنیت پیمانکاران و سرویس‌های شخص ثالث را ارزیابی کنید.
- به‌صورت دوره‌ای آسیب‌پذیری‌ها و کنترلهای امنیتی را ارزیابی کنید.
نقش مدیریت ارشد در امنیت اطلاعات
مدیران سازمان لازم نیست متخصص شبکه یا امنیت باشند، اما باید بتوانند درباره ریسکهای اصلی تصمیم بگیرند. مهم‌ترین پرسش‌های مدیریتی عبارت‌اند از: مهم‌ترین اطلاعات سازمان کدام است؟ اگر این اطلاعات افشا یا از بین برود چه خسارتی ایجاد می‌شود؟ کدام سامانهها برای استمرار فعالیت حیاتی‌اند؟ چه کسی مسئول تصمیم‌گیری هنگام حادثه است؟ آخرین بار چه زمانی بازیابی نسخه پشتیبان آزمایش شده است؟ و کدام ریسک‌ها هنوز بدون کنترل مناسب باقی مانده‌اند؟
رویکرد ISO/IEC 27001 نیز امنیت را به یک سیستم مدیریت ریسک سازمانی تبدیل می‌کند و بر محرمانگی، تمامیت و دسترس‌پذیری اطلاعات و بهبود مستمر تأکید دارد. بنابراین، اجرای امنیت اطلاعات نباید یک پروژه یک‌باره تلقی شود.
چک‌لیست ارزیابی سریع امنیت اطلاعات
| سؤال | وضعیت مطلوب |
|---|---|
| آیا داراییهای اطلاعاتی سازمان شناسایی شده‌اند؟ | بله، با مالک مشخص |
| آیا دسترسی کاربران بازبینی می‌شود؟ | به‌صورت دوره‌ای |
| آیا MFA برای حساب‌های حساس فعال است؟ | بله |
| آیا نسخه پشتیبان وجود دارد؟ | منظم و قابل بازیابی |
| آیا برنامه واکنش به حادثه وجود دارد؟ | مستند و آزموده‌شده |
| آیا رخدادهای امنیتی پایش می‌شوند؟ | بله |
| آیا کارکنان آموزش امنیتی می‌بینند؟ | به‌صورت مستمر |
| آیا ریسک پیمانکاران بررسی می‌شود؟ | قبل و حین همکاری |
جمع‌بندی
امنیت اطلاعات سازمانی با یک محصول امنیتی شروع و با خرید تجهیزات نیز تمام نمی‌شود. امنیت مؤثر زمانی شکل می‌گیرد که سازمان داراییهای خود را بشناسد، ریسک‌ها را اولویتبندی کند، کنترلهای متناسب با ریسک را اجرا کند، رخدادها را پایش کند و برای پاسخ و بازیابی آماده باشد.
برای سازمان‌هایی که قصد دارند این مسیر را ساختاریافته دنبال کنند، ISO/IEC 27001 می‌تواند مبنایی برای ایجاد و بهبود ISMS باشد و NIST CSF 2.0 نیز می‌تواند به سازمان کمک کند وضعیت موجود و وضعیت هدف امنیت سایبری خود را تعریف، مقایسه و اولویتبندی کند.
منابع و مطالعه بیشتر
- NIST Cybersecurity Framework (CSF) 2.0
- ISO/IEC 27001:2022 — Information security management systems
- NIST SP 1301 — Creating and Using Organizational Profiles
