وبلاگ

:

 

گسترش و توسعه فناوری اطلاعات و ارتباطات در كشور امری اجتناب ناپذیر است و نیاز روزافزون بخش های مختلف جامعه به سرویس های اطلاعاتی و تغییر نگرش جامعه به سرویس های اطلاعات و ارتباطات ، تحولی شگرف را در عصر خود حاضر به وجود آورده است. در این عصر فواصل مكانی ،‌هویت خود را از دست می دهند و بسیاری از فعالیت های جاری براساس مبادله اطلاعات از طریق بسترهای ارتباطی خواهد پذیرفت. لذا جامعه اطلاعاتی ، امنیت اطلاعات ارزش و جایگاه ویژه ای را به خود اختصاص داده ، معیاری مهم برای موفقیت و بالندگی جامعه اطلاعاتی محسوب می شود. به همین خاطر برای این موضوع جایگاه خاصی در    كشور سرلوحهICT و IT راهبرد توسعه كشور در نظر گرفته شده است. از آنجا كه توسعه بسیاری از فعالیت های دولتی و خصوصی قرار گرفته ، لذا امنیت اطلاعات به عنوان یک موضوع راهبردی برای استفاده مطلوب از این بستر طرح گردیده است.

 

در شكل سنتی خود اطلاعات از طریق رسانه فیزیكی از قبیل كاغذ و نوارهای صوتی و تصویری انجام می شده است. امروزه ، علاوه بر روش های سنتی ، انتقال اطلاعات عمدتاً بر روی رسانه های مجازی كه به صورت شبكه وسیع و به هم پیوسته ای از ابزارها و نرم افزارها هستند رد و بدل می شود.ایجاد محیط امن برای انتقال اطلاعات بیش از پیش دشوار و چالش برانگیز شده است. چرا كه همه سازمان ها و بخش های مختلف می بایست از یک زیرساخت فیزیكی ( كه همان شبكه جهانی اینترنت است)و نرم افزارهای رایج برای تبادل اطلاعات استفاده كنند. علاوه بر در م عرض بودن اطلاعات برای تمامی افرادی كه به شكلی به شبكه اطلاعاتی متصل هستند ،‌دانش همگانی در خصوص فن آوری اطلاعات نیز بر میزان آگاهی افراد روز به روز می افزاید و در امنیت گاهاً مؤسسات چندین گام از افراد اجتماع و متخصصیندنبالتر هستند. وظیفه حفاظت از اطلاعات و ایجاد امنیت در خصوص اطلاعات به سه قسمت عمده تفكیک می شود ‌(احمدلو، 1389).

 

ایجاد شرایطی كه در آن محرمانه بودن اطلاعات محفوظ بماند. این بدان معنا است كه افرادی می بایست به اطلاعات دسترسی داشته باشند كه اطلاعات به آنها مربوط می شود. می بایست از رسیدن اطلاعات به افراد نامربوط جلوگیری شود. همچنین دسترسی به اطلاعات فقط برای افراد مجاز تعریف شده باشد. به این فرایند گاهاً كنترل دسترسی نیز می گویند (احمدلو، 1389).

 

ایجاد شرایطی كه در آن زیرساخت های فن آوری اطلاعات از گزند هرگونه آسیب های محیطی اعم از فیزیكی و غیرفیزیكی مصون باشند. این آسیب ها ، چه عمدی باشند و چه غیرعمد ، می توانند ناشی از شرایط فیزیكی همچون آسیب های ناشی از خسارات سیل ، آتش سوزی و دیگر شرایط جوی ، خرابی قطعات ، نارسایی های ناشی از شرایط نامناسب كاری (از قبیل برق نامناسب،قطعی برق ، خطوط ارتباطی نامناسب) ، صدمات ناشی از استفاده نادرست از تجهیزات مانند كشیدن سیگار در محیط سخت افزار ، ریختن مایعات بر روی قطعات ، صدمات ناشی از رها شدن تجهیزات از ارتفاع بلند ، و یا خرابكاری های عمدی افراد بر روی دستگاه ها باشد. آسیب های ناشی از شرایط غیر فیزیكی می تواند به تنظیمات و پیكره بندی سیستم ها ، عدم رعایت اتصالات مناسب ، عدم آگاهی از استفاده درست از نرم افزارها مربوط باشد.

 

حوزه اول ماهیت اطلاعات ی است كه داخل فایل ها ذخیره می شوند. محتوای فایلها پیكره اصلی و حجم حساس اطلاعاتی كه یک سازمان برای انجام كارهای خود به آن نیاز دارد را تشكیل می دهد. عدم دسترسی به این اطلاعات موجب وقفه و خلل در كار جاری یک سازمان می شود. هرگونه تغییر و یا تخریب در محتوای این فایلها نیز از خسارات امنیتی محسوب می شود (احمدلو، 1389).

 

حوزه دوم ساختار فناوریهایی است كه تحت آنها اطلاعات پردازش می شود . نرم افزارهایی كه برای بازكردن فایلها ،دسترسی به محتوای فایلها ، ذخیره اطلاعات در پایگاه های اطلاعاتی ، انتقال فایلها و فراخوانی مجدد اطلاعات از فایلها استفاده می شوند ابزار كار كاركنان آن سازمانن محسوب می شوند. در دسترس بودن این ابزارها و ضمانت تداوم دسترسی به این نرم افزار ها از جمله ی وظایف امنیت اطلاعات محسوب می شود (احمدلو، 1389).

 

در هر سازمان كه به طریقی از رسانه های مجازی ، الكترونیكی و فن آوری اطلاعات برای انجام بخشی از كارهای خود استفاده می كند ، آگاهی و دایر سازی یک سیستم مدیریت برای برقراری امنیت اطلاعات ضروری است. تا زمانیكه سازمان ها و شركت ها به صورت كامل اطلاعات خود را از شكل سنتی به محیط های كاملا مجازی تبدیل نكرده اند ،‌حوزه حفاظت امنیت اطلاعات می بایست روش های سنتی ثبت و بایگانی اطلاعات را نیز در بر گیرد. در محیط هایی كه روال ها و فرایند های امنیتی حفاظت از اسناد كاغذی و سنتی را در بر نمی گیرند ، امكان به مخاطره افتادن اطلاعات حساس یک سازمان افزایش پیدا نمی كند. (سند راهبرد امنیت فضای تبادل اطلاعات كشور ، دبیرخانه شورای امنیت فضای تبادل اطلاعات)

 

1-2. بیان مسئله

 

 فعالیت های هر سازمان تحت تاثیر مجموعه ای از عوامل قرار دارد ، به طوری كه شناخت و بررسی این عوامل می تواند كمك موثری به بهبود فعالیت ها و تحقیق اهداف سازمانی نماید. یكی از هدف های مهم در هر سازمان- به ویژه در شرایط رقابتی – ارتقاء كیفیت است ، سازمان ها باید ارتقاء كیفیت را از طریق افزایش بهره وری مد نظر قرار دهند. مفهوم بهره وری طی دهه های اخیر تحولات زیادی پیدا كرده و در حال حاضر به عنوان یک شاخص كه بیانگر سطح زندگی فردی ، سازمانی و ملی است مورد توجه اكثر محققین قرار گرفته است. در مراجع مختلف تعاریف متعددی از بهره وری رائه  شده است ، از جمله اینكه سازمان همكاری اقتصادی اروپا بطور رسمی بهره وری را چنین تعریف كرده است : بهره وری حاصل كسری است كه از تقسیم مقدار یا ارزش محصول بر مقدار یا ارزش یكی از عوامل تولید بدست می آید . بدین لحاظ می توان از بهره وری سرمایه ،  مواد اولیه و نیروی كار به عنوان مثال هایی از بهره وری منابع نام برد (احمدلو، 1389).

 

امروز استفاده از كسب و كار ها از فناوری اطلاعات ، آنها را در معرض مخاطرات تازه ای كه برخواسته از دنیای سایبر است قرار داده است كه برای مقابله با آن نیاز به مدیریت فراگیر و نظارت دقیق و بهنگام است تا از اطلاعات در مقابل تهدیدات دشمنان حفاظت و از تبادل و اشتراك گذاری امن اطلاعات در جهت افزایش توانمندی های تجارت حمایت گردد. امنیت اطلاعات در محیط های مجازی همواره به عنوان یكی از چالش ها و الزامات اساسی مورد تاكید قرار گرفته است. گرچه امنیت كامل چه در محیط واقعی و چه در فضای مجازی دست نیافتنی است، ولی ایجاد سحطی از امنیت كه به اندازه كافی و متناسب با نیازها و سرمایه گذاری انجام شده باشد ، تقریباً در تمامی شرایط محیطی دست یافتنی است. تنها با فراهم بودن چنین سرایط مطلوبی است كه اشخاص حقیقی ، سازمان ها ،‌شركت های خصوصی و ارگان های دولتی ، ضمن اعتماد و اطمینان به طرف های گوناگونی كه همگی در یک تبادل الكترونیكی دخیل هستند و احتمالاً هیچ گاه بكدبگر را ندیده و نمی شناسند ،‌نقش مورد انتظار خود به عنوان گروه های موثر از این شبكه متعادل و هم افزا را ایجاد خواهند كرد ( صدر آملی فریبا و بهروز ترك لادانی ، 1388).

 

با این فلسفه ،‌ایمن بودن سرمایه های اطلاعاتی و شبكه های زرساختی در كشور ، گذشته از ابعاد گسترده امنیت ملی ، عامل اصلی موفقیت

 در استفاده از فرصت های بیشمار تجاری و غیرتجاری جدید اینترنتی است. در حال حاضر ، سیاستگذاری جامع نگر ، توسعه فرهنگی ، بهره وری مناسب از منابع موجود و نیز سازگاری آنها به گونه ای كه نیازهای حیاطی فضای دیجیتالی كشور را تامین كند ، عمده ترین چالش رو به روی مسئولین است. امنیت اطلاعات بسته ای از خط مشی ها و رویكرد ها ، فرایندها ، گردش كارها ، ساختارهای سازمانی و فعالیت های نرم افزاری و سخت افزاری به منظور حفاظت از اطلاعات در برابر طیف وسیعی از تهدیداتی است كه تداوم كارها ، كمینه كردن ریسك و بیشینه نمودن میزان بازده سرمایه گذاری ها و فرصت ها را نشانه رفته است و به عبارتی دیگر ، امنیت اطلاعات ، حفظ محرمانگی ، تمامیت و در دسترس بودن اطلاعات و همچنین سایر مواردی مانند تصدیق هویت ،‌مسئولیت پذیری ،‌عدم انكار و قابلیت اطمینان را شامل می گردد (صدر آملی فریبا و بهروز ترك لادانی ،‌1388).

 

از طرف دیگر با رشد و توسعه فزاینده فناوری اطلاعات و گسترش شبكه های ارتباطی ، آسیب پذیری فضای تبادل اطلاعات افزایش یافته است و روش های اعمال تهدید های یاد شده گسترده و پیچیده تر می شود. از این رو حفظ ایمنی فضای تبادل اطلاعات از جمله مهمترین اهداف توسعه فناوری اطلاعاتی و ارتباطی محسوب می شود. به موازات تمهیدات فنی اعمال شده لازم است در قوانین و سیاستهای جاری متناسب با جایگاه نوین فضای تبادل اطلاعات در امور مدیریتی و اطلاع رسانی تجدید نظر شده و فرهنگ صحیح بكارگیری امكانات یادشده نیز در سطح جامعه ترویج شود. بدیهی است كه توجه نكردن به تامین امنیت فضای تبادل اطلاعات و برخورد نادرست با این مقوبه مانع از گشترش و بكارگیری فضای مذكور در میان آحاد جامعه و جلب اعتماد مدیران در بكارگیری روش های نوین نظارتی و اطلاع رسانی خواهد شد. ایجاد یک نظام منسجم در سطح ملی با لحاظ كردن ویژگی های خاص فضای تبادل اطلاعات و مقوله امنیت در این فضا یک ضرورت است. ببرخی از این ویژگی ها به قرار زیر است (پورمند،1386) :

 

امنیت فضای تبادل اطلاعات مفهومی كلان و مبتنی بر حوزه های مختلف دانش است.

 

امنیت با توجه به هزینه و كارایی تعریف می شود و مقوله ای نسبی است.

 

امنیت متأثر از مجموعه آداب ، سنن و اخلاقیات حاكم بر جامعه است.

 

امنیت در فضای تبادل اطلاعات از روند تعییرات سریع فناوریهای مرتبط تأثیرپذیر است.

 

اساس كارآیی ، سهولت استفاده و قابلیت برقراری ارتباط با سایر بخش ها و سازمان ها مورد بررسی قرار گیرد.

 

برای مقابله با این مشكلات ، همه سازمان های كوچك و متوسط باید مروری كامل بر مأموریت ها ، اهداف ،‌ صلاحیت ها و سیستم های اطلاعاتی خود داشته باشند. اگر در حوزه هایی فعالیت می كنند كه ممكن است برای دیگران مخاسرات امنیتی در بر داشته باشد مثلا ً حوزه فناوری های در حال توسعه باید تهدید های محتمل علیه امنیت مشتریان خود را پیش بینی و طرح هایی برای كاهش تأثیر آنها تدوین نمایند. اگر در حوزه هایی كار می كنند كه به هر نحو به امنیت دولت مربوط می شود – مثل ارائه محصولات و خدمات ارتباط مخاطراتی – باید متوجه باشند كه در چه زمانی و چگونه مسئولیت قانون پایبندی به احكام دولتی بر عهده آنهاست. از شركت هایی كه با هر دو نوع مخاطره مواجه است.با اتصال مشتری به اینترنت ، برای داده ها و تجهیزات مشتری مخاطرات امنیتی به وجود می آید ، و با فراهم كردن محتویات در معرض احكام و مقررات ISP ، دیجیتالی و ابزار ارتباطی كشوری قرار می گیرد. اگر كسی قابلیت تجارت مراجع الكترونیكی را نیز به این خدمات بیفزاید ، تهدیدات بالقوه و كسب اطمینان از پایبندی به تعهدات ،‌تبدیل به مشكلاتی بسیار و اساسی می شوند.

 

 

 

1-3. سوال تحقیق

 

سوال اصلی : آیا تفاوت معنی داری ، قبل و بعد از استقرار سیستم مدیریت امنیت اطلاعات (ISMS)
در شرکت تالیا ، وجود دارد؟

 

سوالات فرعی تحقیق :

 

1. آیا تفاوت معنی داری در امنیت سازمانی شرکت تالیا ، قبل و بعد از اجرای ISMS وجود دارد

 

1. آیا تفاوت معنی داری در طبقه بندی و کنترل داراییها شرکت تالیا ، قبل و بعد از اجرای ISMS وجود دارد؟

 

1. آیا تفاوت معنی داری در امنیت منابع انسانی شرکت تالیا ، قبل و بعد از اجرای ISMS وجود دارد؟

 

1. آیا تفاوت معنی داری در تداوم و انسجام کسب و کار شرکت تالیا ، قبل و بعد از اجرای ISMS وجود دارد؟

 

1. آیا تفاوت معنی داری در سیاست های امنیتی شرکت تالیا ، قبل و بعد از اجرای ISMS وجود دارد؟

 

1. آیا تفاوت معنی داری در امنیت فیزیکی و محیطی شرکت تالیا ، قبل و بعد از اجرای ISMS وجود دارد؟

 

1. آیا تفاوت معنی داری در مدیریت ارتباطات و عملیات شرکت تالیا ، قبل و بعد از اجرای ISMS وجود دارد؟

 

1. آیا تفاوت معنی داری در توسعه و نگهداری سیستم شرکت تالیا ، قبل و بعد از اجرای ISMS وجود دارد؟

 

1. آیا تفاوت معنی داری در مدیریت حوادث مربوط به امنیت اطلاعات شرکت تالیا قبل و بعد از اجرای ISMS وجود دارد؟

 

1. آیا تفاوت معنی داری در مطابقت با قانون ، قبل و بعد از اجرای ISMS وجود دارد؟

 

1. آیا تفاوت معنی داری در کنترل دسترسی شرکت تالیا ، قبل و بعد از اجرای ISMS وجود دارد؟

1-4. اهمیت و ضرورت موضوع تحقیق

 

در عصر اطلاعات شاهد شل گیری فضایی هستیم كه در آن فعالیت های گوناگونی از قبیل اطلاع رسانی ، داده ورزی ، كسب و كار ،‌ مدیریت ، كنترل و ارتباطات ،‌از طریق ساز و كارهای الكترونیكی و مجازی انجام می پذیرد. این فضا كه از آن با نام “فضای تبادل تولید و تبادل اطلاعات” یاد می شود ، در معرض چالش ها ، آسیب ها و تهدیدهای گوناگونی نظیر ارتكاب جرایم سازمان یافته ، تخریب بانك های اطلاعاتی ،‌حملات مختل كننده خدمات ، جاسوسی ، خرابكاری ،‌نقض حریم خصوصی و نقض حقوق مالكیت معنوی قرارداد ؛‌به طوری كه نپرداختن یا رویكرد نادرست به امنیت این فاصله ، مانعی بزرگ پیش روی گسترش كاربرد فناوری ارتباطات و اطلاعات و ورود به جامعه دانش پایه خواهد بود. بسیاری از كشورها به سبب اهمیت این فضا ، فعالیت عمده خود را به ایجاد امنیت نسبی بر روی این فضا معطوف داشته اند.

 

  به نام استانداردISO كه تا سال 2005 دارای یک استاندارد در موسسه بین المللی یا BS استاندارد 7799

 

  ارائه می نمودBest Practice  بود و آن را به عنوان یک راهنمای امنیتی ISO 17799

 

، در این سال دچار تحول عمده گردید. این نظام نمی تواند تنها با ایجاد در درون سازمان و ارائه خدمات امنیتی بصورت جزیره ای ، امنیت را بصورت كامل و تمام تضمین نماید. دلیل آن نیز كاملاً واضح و آشكار می باشد.مهمترین دلیل وجود تنوع رخداد ها در فضای تبادل است كه با توجه به انواع سامانه های نرم افزاری و سخت افزای ، و همچنین گوناگونی خدمات در عرصه فضای تولید و تبادل اطلاعات ،‌دارای ویژگی هایی منحصر به فرد بوده و تنها سازمان هایی كه مورد هدف این رخداد های امنیتی قرار گرفته اند ، با آنها آشنایی داشته و برخی نیز به آنها پاسخی مناسب داده اند. ( سعید مهدیون 1389 ،‌پیشگفتار)

 

 به تنهایی نشان دهنده برقراریISOهرچند بكارگیری نظام مدیریت امنیت اطلاعات و اخذ گواهینامه 17799 امنیت كامل در یک سازمان نیست ، اما استقرار این نظام مزایایی دارد كه مهمترین آنها چنین است (پورمند ، 1386) :

 

1. در سطح سازمانی استقرار نظام یاد شده تضمینی برای التزام به اثربخشی تلاشهای امنیتی در همه سطوح و نمایشی از تلاشهای مدیران و كاركنان سازمان در این زمینه است.

 

1. در سطح قانونی ، اخذ گواهینامه به اولیای امور ثابت می كند كه سازمان تمامی قوانین و قواعد اجرایی در این زمینه را رعایت می كند.

 

1. در سطح اجرایی ، استقرار این نظام باعث اطلاع دقیقتر از سیستمهای اطلاعاتی و ضعف و قوت آنها می شود. علاوه بر این چنین استفاده مطمئن تر از سخت افزار و نرم افزار را تضمین می كند.

 

1. در سطح تجاری تلاشهای موثر سازمان به منظور حفاظت اطلاعات در شركا و مشتریان اطمینان خاطر بیشتری را فراهم می آورد.

 

1. در سطح مالی این اقدام باعث كاهش هزینه های مرتبط با مسائل امنیتی و كاهش احتمالی حق بیمه های مرتبط می شود.

 

1. در سطح پرسنلی ، افزایش آگاهی ایشان از نتایج برقراری امنیت اطلاعات و مسئولیتهای آنها در مقابل سازمان از مزایای بكارگیری چنین نظامی است.