از اسلاید های جلسه سوم CISSP

همین پنج شنبه



دو مفهوم Scoping و Tailoring نقش مهمی در شخصی‌سازی کنترل‌های امنیتی متناسب با سازمان دارند. این مفاهیم به‌ویژه در زمینه‌های استانداردهایی مانند NIST SP 800-53 و ISO/IEC 27001 نیز به‌کار می‌روند.

مفهوم Scoping (دامنه‌بندی):

مفهوم Scoping یعنی تعیین محدوده و بُرد کنترل‌های امنیتی که باید پیاده‌سازی شوند. در این مرحله بررسی می‌شود:

کدام بخش‌های سازمان در دامنه امنیت اطلاعات قرار می‌گیرند؟

چه نوع سیستم‌ها، فرآیندها، کاربران و داده‌هایی باید تحت پوشش باشند؟

آیا همه سیستم‌ها نیاز به کنترل‌های یکسان دارند؟

مثال:
اگر یک شرکت فقط یک دیتاسنتر دارد که داده حساس پردازش می‌کند، ممکن است دامنه پیاده‌سازی کنترل‌ها به آن دیتاسنتر محدود شود و دیگر سیستم‌های غیرحساس خارج از دامنه قرار گیرند.
مفهوم Tailoring (سفارشی‌سازی):

مفهوم Tailoring یعنی تطبیق و تنظیم کنترل‌ها پس از تعیین دامنه، به‌گونه‌ای که متناسب با شرایط خاص سازمان باشد. در این مرحله ممکن است:

برخی کنترل‌ها اضافه یا حذف شوند.

کنترل‌هایی سبک‌تر یا شدیدتر اعمال شوند.

پیاده‌سازی کنترل‌ها بر اساس ریسک، بودجه، الزامات قانونی یا فرهنگی تنظیم شود.

مثال:
در NIST SP 800-53 اگر کنترل "دسترسی چندعاملی" برای همه کاربران توصیه شده، سازمان می‌تواند آن را فقط برای کاربران دارای دسترسی به داده حساس اعمال کند.

#آکادمی_روزبه
مرکز تخصصی CISSP