ISO 42001 و EU AI Act: راهنمای یک سیستم مدیریت هوش مصنوعیِ از نظر حقوقی مطمئن
ارتباط خودکار با مشتری، نگهداری پیش‌بینانه یا هوش مصنوعی مولد در فرایندهای توسعه: هوش مصنوعی دیگر پروژه آینده نیست، بلکه ارزش‌آفرینی…
خواندن مقاله
نوآوری، امنیت فناوری اطلاعات و هوش مصنوعی
حملات باج‌افزاری، زنجیره‌های تأمینِ به‌خطر افتاده و موج روزانه فیشینگ: وضعیت تهدید در فضای دیجیتال به بالاترین سطح تاریخی خود رسیده است. هم‌زمان قانون‌گذار فشار را بیشتر می‌کند. با دستورالعمل NIS-2 اروپایی، تکالیف امنیت سایبری به‌شدت گسترش یافته و اکنون ده‌ها هزار سازمانی را در بر می‌گیرد که تا امروز خود را «زیرساخت حیاتی» نمی‌دانستند.
نکته حساس این است: در صورت نقض تکالیف، مدیران عامل از این پس در مواردی شخصاً و با دارایی خصوصی خود مسئولیت دارند.
در این زمینه، استاندارد بین‌المللی ISO/IEC 27001 برای بسیاری از سازمان‌ها از یک نماد صرف وضعیت فناوری اطلاعات به بیمه حیاتی بقا تبدیل شده است. اما ISO 27001 و NIS-2 چگونه در هم تنیده می‌شوند؟ و چگونه می‌توان یک سیستم مدیریت امنیت اطلاعات (ISMS) مستقر کرد که فقط روی کاغذ نباشد، بلکه در برابر ممیزی و واقعیت دوام بیاورد؟
ISO/IEC 27001 استاندارد پیشرو جهان برای سیستم‌های مدیریت امنیت اطلاعات است. هدف استاندارد، حفاظت از سه ارزش بنیادین امنیت اطلاعات است (به اصطلاح سه‌گانه CIA):
نکته تعیین‌کننده این است: ISO 27001 یک استاندارد صرفاً فناوری اطلاعات نیست. امنیت اطلاعات را به‌صورت یکپارچه می‌بیند. این نگاه شامل امنیت فیزیکی (کنترل دسترسی به محل)، فرایندهای سازمانی (دستورالعمل‌های اضطراری، فرایند خروج کارکنان) و اقدامات مرتبط با افراد (آموزش آگاهی، رهنمودهای امنیتی) می‌شود.
بسیاری از سازمان‌ها می‌پرسند: «اگر طبق ISO 27001 گواهی شده باشیم، آیا NIS-2 را هم به‌طور خودکار برآورده کرده‌ایم؟»
پاسخ صادقانه این است: در حد 80 تا 90 درصد، بله.
دستورالعمل NIS-2 الزامات حداقلی الزام‌آور را در حوزه‌هایی مانند این موارد تدوین می‌کند:
دقیقاً همین حوزه‌ها از طریق Annex A استاندارد ISO/IEC 27001 (در نسخه جاری، با 93 کنترل در 4 حوزه موضوعی) به‌صورت ساخت‌یافته پوشش داده می‌شوند. کسی که یک ISMS زنده مطابق ISO 27001 ارائه کند، اقدامات فنی و سازمانی (TOM) مربوط به NIS-2 را از پیش مستند، عملیاتی و ممیزی کرده است. فقط مسیرهای قانونی خاص گزارش به مراجع ملی باید به‌صورت عملیاتی تکمیل شوند.
یک ISMS موفق یک‌شبه به وجود نمی‌آید، اما با تمرکز روشن می‌توان آن را کارآمد پیاده کرد:
دقیقاً مشخص کنید کدام بخش‌های سازمان، سایت‌ها، محصولات یا خدمات باید تحت پوشش ISMS باشند. برای بسیاری از ارائه‌دهندگان خدمات فناوری اطلاعات، این دامنه در آغاز زیرساخت ابری و کاربردهای اصلی را در بر می‌گیرد.
دارایی‌های اطلاعاتی مهم خود را شناسایی کنید (Information Assets): داده‌های مشتری، کد منبع، برنامه‌های تولید. کدام تهدیدها و ضعف‌ها وجود دارند؟ کدام ریسک‌ها با اقدامات فنی (مثلاً احراز هویت چندعاملی و بخش‌بندی شبکه) کاهش می‌یابند، کدام‌ها پذیرفته می‌شوند یا بیمه می‌گردند؟
در SoA مستند می‌کنید کدام‌یک از 93 کنترل Annex A برای سازمان شما مرتبط است و چگونه پیاده شده است. اگر کنترلی کنار گذاشته شود، این کار باید با دلیل قانع‌کننده توضیح داده شود.
امنیت بیش از همه در عامل انسانی شکست می‌خورد. خط‌مشی‌های قابل فهم تدوین کنید (میز پاک، خط‌مشی گذرواژه، کار با دستگاه‌های همراه) و آموزش‌های منظم و آزمون‌های فیشینگ شبیه‌سازی‌شده برگزار کنید.
پیش از آمدن ممیز بیرونی، ممیزان داخلی سیستم را به‌دقت می‌سنجند. مدیریت ارشد شاخص‌ها را ارزیابی می‌کند و منابع لازم برای اصلاحات را آزاد می‌سازد.
فراتر از تکالیف قانونی، ISO 27001 اهرم تجاری بزرگی دارد:
ISO 27001 امروز شالوده هر سازمانی است که به‌صورت دیجیتال ارزش می‌آفریند. این استاندارد ترس‌های مبهم امنیتی را به فرایندهای قابل اندازه‌گیری تبدیل می‌کند و مدیریت سازمان را در برابر ریسک‌های مسئولیت محافظت می‌کند.
گواهینامه ISO 27001 خود را برنامه‌ریزی می‌کنید؟
در cert-authority.com شما را با ممیزان متخصص و باتجربه، شفاف و شریک‌وار در فرایند ممیزی همراهی می‌کنیم. نگاهی به قیمت‌ها و بسته‌ها ما بیندازید.