در فریم ورک NIST-CSF ما سه مقوله مهم داریم : تایر +پروفایل +کور
کور که کنترل های ماهستند
اما تایر و پروفایل چرا لازم است ؟
پروفایل اسنپ شات زمانی وضعیت سازمان در حال و آینده است
اما تایر چیست ؟سنجش بلوغ فرآیندها یا «چگونه و با چه کیفیتی انجام می‌شود؟»
واضح:
داشتن یک «پروفایل کامل» به این معناست که سازمان به درستی تشخیص داده است که «چه» کنترل‌های امنیتی‌ای برای حفاظت از دارایی‌هایش ضروری است. این سازمان ممکن است روی کاغذ، تمام زیرمجموعه‌های لازم از چارچوب NIST مانند مدیریت دسترسی ( PR.AC) یا حفاظت از داده‌ها (PR.DS) را در پروفایل مطلوب خود گنجانده باشد. اما اگر این سازمان در Tier 1 (Partial) باقی بماند، اجرای این کنترل‌ها به صورت موردی (ad−hoc) و بدون ساختار خواهد بود.
در چنین وضعیتی، برنامه امنیتی به شدت شکننده است، زیرا به دانش یا تلاش یک یا چند فرد خاص وابسته است، نه به یک فرآیند سازمانی. رویکرد آن کاملاً واکنشی خواهد بود؛ یعنی به جای پیش‌گیری، تنها پس از وقوع یک حادثه امنیتی به آن پاسخ می‌دهد. این امر باعث می‌شود برنامه امنیتی غیرقابل اعتماد باشد، زیرا هیچ تضمینی برای اجرای مداوم و یکپارچه کنترل‌ها وجود ندارد.
بنابراین، برای ساختن یک دژ مستحکم سایبری، صرفاً چیدن آجرهای صحیح (تکمیل پروفایل) کافی نیست؛ بلکه ملات و مهندسی که این آجرها را به هم پیوند می‌دهد (ارتقا به Tierهای بالاتر) حیاتی است. دستیابی به امنیت پایدار و مؤثر، مستلزم یک تلاش دوگانه است: تکمیل فهرست کنترل‌ها (پروفایل) و همزمان، نهادینه‌سازی فرآیندهای مدیریتی قابل تکرار و انطباق‌پذیر (Tierهای بالاتر). این دو مفهوم، مانند دو بال یک هواپیما، به طور جدایی‌ناپذیری برای پروازی امن و مطمئن در فضای پرخطر سایبری ضروری هستند.
ثبت نام دوره دوم CISSP در سال 1404 واتس اپ و بله 09902857290
برای برخورداری از تخفیف شرکت هامون تسریع در ثبت نام ضروری است www.haumoun.com
کور که کنترل های ماهستند
اما تایر و پروفایل چرا لازم است ؟
پروفایل اسنپ شات زمانی وضعیت سازمان در حال و آینده است
اما تایر چیست ؟سنجش بلوغ فرآیندها یا «چگونه و با چه کیفیتی انجام می‌شود؟»
واضح:
داشتن یک «پروفایل کامل» به این معناست که سازمان به درستی تشخیص داده است که «چه» کنترل‌های امنیتی‌ای برای حفاظت از دارایی‌هایش ضروری است. این سازمان ممکن است روی کاغذ، تمام زیرمجموعه‌های لازم از چارچوب NIST مانند مدیریت دسترسی ( PR.AC) یا حفاظت از داده‌ها (PR.DS) را در پروفایل مطلوب خود گنجانده باشد. اما اگر این سازمان در Tier 1 (Partial) باقی بماند، اجرای این کنترل‌ها به صورت موردی (ad−hoc) و بدون ساختار خواهد بود.
در چنین وضعیتی، برنامه امنیتی به شدت شکننده است، زیرا به دانش یا تلاش یک یا چند فرد خاص وابسته است، نه به یک فرآیند سازمانی. رویکرد آن کاملاً واکنشی خواهد بود؛ یعنی به جای پیش‌گیری، تنها پس از وقوع یک حادثه امنیتی به آن پاسخ می‌دهد. این امر باعث می‌شود برنامه امنیتی غیرقابل اعتماد باشد، زیرا هیچ تضمینی برای اجرای مداوم و یکپارچه کنترل‌ها وجود ندارد.
بنابراین، برای ساختن یک دژ مستحکم سایبری، صرفاً چیدن آجرهای صحیح (تکمیل پروفایل) کافی نیست؛ بلکه ملات و مهندسی که این آجرها را به هم پیوند می‌دهد (ارتقا به Tierهای بالاتر) حیاتی است. دستیابی به امنیت پایدار و مؤثر، مستلزم یک تلاش دوگانه است: تکمیل فهرست کنترل‌ها (پروفایل) و همزمان، نهادینه‌سازی فرآیندهای مدیریتی قابل تکرار و انطباق‌پذیر (Tierهای بالاتر). این دو مفهوم، مانند دو بال یک هواپیما، به طور جدایی‌ناپذیری برای پروازی امن و مطمئن در فضای پرخطر سایبری ضروری هستند.
ثبت نام دوره دوم CISSP در سال 1404 واتس اپ و بله 09902857290
برای برخورداری از تخفیف شرکت هامون تسریع در ثبت نام ضروری است www.haumoun.com
Comments
Be the first to add a comment
Log in to comment