:: کهکشان، برگزار کننده نخستين دوره آشنايي با استاندارد ايزو ????? در سازمان نظام صنفي رايانه اي

نخستين دوره آشنايي با استاندارد ايزو????? توسط موسسه کهکشان در سازمان نظام صنفي رايانه اي برگزار گرديد. در نخستين دوره از اين سمينارها که با سازماندهي کارگروه آموزش و پژوهش کميسيون افتا برپا گرديد، دکتر علي عباس نژاد، مديرعامل موسسه کهکشان، مقدمات و الزامات رسيدن سازمان ها به استاندارد مديريت امنيت اطلاعات که به ISMS نيز مشهور است را تشريح کرد.
عباس نژاد بحث را با موضوع حمله بدافزار استاکس نت به سيستم هاي صنعتي کشورمان آغاز کرد. موضوع گسترش يک جاسوس افزار که جمع آوري اطلاعات از شبکه هاي صنعتي مبتني بر سيستم هاي اسکادا را هدف قرار داده، موضوعي است که نمي توان به سادگي از کنار آن گذشت. مديرعامل موسسه کهکشان با اشاره به اينکه براي نخستين بار است که در جهان يک جاسوس افزار براي جمع آوري اطلاعات صنعتي طراحي شده و بيشترين آسيب رساني را هم در کشورمان داشته است افزود: اين بدافزار با جمع آوري اطلاعات صنعتي شبکه هاي انرژي و برق و ارسال آن ها به سرورهاي راه دور، توانسته است اطلاعات محرمانه صنعتي کشورهايي از قبلي اندونزي، مالزي، هند و علي الخصوص ايران را سرقت نمايد.
عباس نژاد با اعلام اينکه اين بدافزار بيش از يک سال است که فعاليت مي کند ولي به تازگي به شدت فعال شده است، گفت: عمده اين قبيل مشکلات، آلوده شدن سيستم هاي مديريت و نبود سازوکارهاي مناسب براي مقابله با بحران، به دليل عدم وجود مديريت امنيت اطلاعات و سياست هاي مربوطه در سازمان ها است.
در ادامه اين سمينار تخصصي مولفه هاي امنيت اطلاعات به صورت محرمانگي (Confidentiality)، جامعيت (integrity) و دردسترس بودن (availability) مورد اشاره قرار گرفتند که عدم وجود هرکدام از اين موارد مي تواند به نقص امنيتي منجر شود. برهمين اساس مديريت امنيت اطلاعات به اين صورت تعريف مي گردد که: سيستم مديريت امنيت اطلاعات بخشي از سيستم جامع مديريتي است که برپايه برآورد و تحليل ريسک براي طراحي، پياده سازي، راهبري، نظارت، بازبيني، نگهداري و بهبود امنيت اطلاعات بنا شده است.
استاندارد ايزو????? و زيرمجموعه هاي اصلي تر آن که ????? و ????? هستند جهت مديريت امنيت اطلاعات در سازمان ها تعريف شده اند و سازمان هاي مختلف درپي رسيدن به آن هستند. رسيدن به اين استاندارد شامل نيازمندي ها و الزاماتي است که در ادامه سمينار به آن ها اشاره گرديد.
قسمت دوم سمينار آشنايي با سيستم هاي مديريت امنيت اطلاعات توسط بهناز آريا، مدير آموزش موسسه کهکشان ارائه گرديد. وي با اشاره به اينکه براي پياده سازي اين استاندارد در سازمان مراحل مختلفي بايد طي شود گفت: يکي از مهمترين قسمت هاي اين فرآيند، توجيه مديريت عالي سازمان و کسب موافقت حداکثري ايشان است. با توجه به آنکه پياده سازي اين سيستم در مراحل مختلف نيازمند حمايت هاي مالي و معنوي مديريت است، درگير نمودن مديريت عالي سازمان، ملاحظه و تاييد گزارش ها و تقسيم مناسب منابع سازماني از مباني اصلي اين فرآيند محسوب مي گردد.
مدير آموزش موسسه کهکشان در ادامه با بيان اينکه در صورت راه اندازي فرآيند رسيدن به استاندارد بايستي از درست عمل نمودن آن مطمئن شويم افزود: پايش، نظارت و اندازه گيري عوامل کليدي، ثبت دقيق گزارش ها و مميزي داخلي سه رکن اصلي اين نظارت محسوب مي گردند.
اين کارشناس امنيت اطلاعات پس از توضيح درخصوص فرآيندهاي مختلف رسيدن به استاندارد به زمان دريافت استاندارد اشاره کرد و تصريح کرد: پس از آنکه سازمان موفق به دريافت گواهينامه استاندارد ايزو????? گرديد لازم است که اولا به طور سالانه وضعيت خود را از لحاظ حفظ تطابق با الزامات استاندارد بررسي نموده و در مقاطع مختلف نيز کار مميزي داخلي را به اين منظور انجام دهد. ثانيا هر سه سال يکبار نيز لازم است که سازمان، از سوي مرجع صدور گواهي مورد مميزي مجدد قرار گرفته و گواهينامه تمديد شود.
گفتني است که در حال حاضر هشت فقره گواهينامه ايزو????? در کشور دريافت گرديده که اين تعداد در کشور ژاپن به ???? فقره، ترکيه ?? فقره، امارات ?? فقره و قطر ? فقره مي باشد.
در پايان سمينار نيز به حاضران گواهينامه حضور در سمينار توسط سازمان نظام صنفي رايانه اي استان تهران اعطا گرديد.

ساير منابع:

http://www.irannsr.org/rendermodule.aspx?SelectedSingleViewItemID=31967&ModuleID=3793&rendertype=print
http://itmen.ir/main1.asp?a_id=31016