نقطه عطف در تصمیم سازی مدیر امنیت
اهمیت انتخاب یا ترکیب چارچوب‌های کنترلی در مدیریت امنیت اطلاعات
انتخاب یک چارچوب کنترلی مناسب توسط مدیر امنیت اطلاعات (Security Management Professional) یکی از بنیادی‌ترین تصمیمات راهبردی در طراحی، توسعه و اجرای برنامه امنیت سازمان است. دلیل این اهمیت آن است که چارچوب کنترلی، ساختار پایه‌ای برای تعریف سیاست‌ها، استانداردها، کنترل‌ها و روش‌های اجرایی را فراهم می‌کند. بدون چنین چارچوبی، سیاست‌های امنیتی به‌صورت جزیره‌ای، پراکنده و بدون هم‌ترازی با ریسک‌ها و الزامات کسب‌وکار شکل می‌گیرند و در نهایت نه قابل ممیزی‌اند و نه از منظر مدیریت ریسک قابل‌دفاع.
از سوی دیگر، هیچ چارچوب امنیتی به‌تنهایی کامل نیست. برای مثال، ISO 27001 ساختاری قوی برای مدیریت کلان امنیت و ایجاد ISMS ارائه می‌دهد اما در جزئیات کنترل‌های فنی محدود است. در مقابل، NIST SP 800-53 مجموعه‌ای جامع از کنترل‌های امنیتی عملیاتی و فنی را شامل می‌شود، اما برای بسیاری از سازمان‌ها پیچیده و سنگین است. NIST CSF چارچوبی عالی برای هم‌راستایی امنیت با ریسک و اهداف کسب‌وکار ارائه می‌کند، اما جایگزین کنترل‌های دقیق عملیاتی نیست. بنابراین، مدیر امنیت ممکن است بهترین نتیجه را از ترکیب هوشمندانه چند چارچوب به‌دست آورد؛ رویکردی که به آن Tailored Control Framework یا Hybrid Baseline گفته می‌شود. 📡( بخشی از کارگاه عملی دوره CISO)
این ترکیب باعث می‌شود سیاست‌های امنیتی هم از نظر فنی کامل باشند، هم از منظر کسب‌وکار هم‌راستا، و هم در حوزه Governance قابل‌ممیزی و قابل‌اجرا. چنین رویکردی امنیت را از یک فعالیت واکنشی به یک قابلیت راهبردی تبدیل می‌کند که می‌تواند با اولویت‌های سازمان و اشتهای ریسک آن سازگار باشد. در نتیجه، چارچوب ترکیبی بومی‌شده تضمین می‌کند که امنیت سازمانی هدفمند، منعطف، مبتنی بر ریسک و قابل‌دفاع باقی بماند
دوره مدیریت ارشد امنیت CISO
مرکز تماس 09902857290 www.haumoun.com
اهمیت انتخاب یا ترکیب چارچوب‌های کنترلی در مدیریت امنیت اطلاعات
انتخاب یک چارچوب کنترلی مناسب توسط مدیر امنیت اطلاعات (Security Management Professional) یکی از بنیادی‌ترین تصمیمات راهبردی در طراحی، توسعه و اجرای برنامه امنیت سازمان است. دلیل این اهمیت آن است که چارچوب کنترلی، ساختار پایه‌ای برای تعریف سیاست‌ها، استانداردها، کنترل‌ها و روش‌های اجرایی را فراهم می‌کند. بدون چنین چارچوبی، سیاست‌های امنیتی به‌صورت جزیره‌ای، پراکنده و بدون هم‌ترازی با ریسک‌ها و الزامات کسب‌وکار شکل می‌گیرند و در نهایت نه قابل ممیزی‌اند و نه از منظر مدیریت ریسک قابل‌دفاع.
از سوی دیگر، هیچ چارچوب امنیتی به‌تنهایی کامل نیست. برای مثال، ISO 27001 ساختاری قوی برای مدیریت کلان امنیت و ایجاد ISMS ارائه می‌دهد اما در جزئیات کنترل‌های فنی محدود است. در مقابل، NIST SP 800-53 مجموعه‌ای جامع از کنترل‌های امنیتی عملیاتی و فنی را شامل می‌شود، اما برای بسیاری از سازمان‌ها پیچیده و سنگین است. NIST CSF چارچوبی عالی برای هم‌راستایی امنیت با ریسک و اهداف کسب‌وکار ارائه می‌کند، اما جایگزین کنترل‌های دقیق عملیاتی نیست. بنابراین، مدیر امنیت ممکن است بهترین نتیجه را از ترکیب هوشمندانه چند چارچوب به‌دست آورد؛ رویکردی که به آن Tailored Control Framework یا Hybrid Baseline گفته می‌شود. 📡( بخشی از کارگاه عملی دوره CISO)
این ترکیب باعث می‌شود سیاست‌های امنیتی هم از نظر فنی کامل باشند، هم از منظر کسب‌وکار هم‌راستا، و هم در حوزه Governance قابل‌ممیزی و قابل‌اجرا. چنین رویکردی امنیت را از یک فعالیت واکنشی به یک قابلیت راهبردی تبدیل می‌کند که می‌تواند با اولویت‌های سازمان و اشتهای ریسک آن سازگار باشد. در نتیجه، چارچوب ترکیبی بومی‌شده تضمین می‌کند که امنیت سازمانی هدفمند، منعطف، مبتنی بر ریسک و قابل‌دفاع باقی بماند
دوره مدیریت ارشد امنیت CISO
مرکز تماس 09902857290 www.haumoun.com
Comments
Be the first to add a comment
Log in to comment