چرا چارچوب‌های امنیتی مهم هستند؟#

بدون چارچوب، امنیت یک سازمان مجموعه‌ای از واکنش‌های پراکنده است: ابزار خریداری شده، سیاست نوشته شده، اما هیچ‌کس نمی‌داند آیا کافی است یا کجای پازل نقص دارد. چارچوب‌های امنیتی این مشکل را با ارائهٔ یک زبان مشترک، فهرست کنترل‌های مبتنی بر ریسک و مسیر بلوغ حل می‌کنند.

مزایای استفاده از چارچوب:

• پوشش کامل: اطمینان از این‌که هیچ حوزه‌ای (مثل فیزیکی یا فرایندی) جا نمانده است.
• اولویت‌بندی: سرمایه‌گذاری روی کنترل‌های با بیشترین کاهش ریسک.
• انطباق (Compliance): بسیاری از قراردادها و بیمه‌های سایبری داشتن ISO 27001 یا SOC 2 را الزامی می‌کنند.
• ارتباط با مدیریت: زبانی که هیئت‌مدیره می‌فهمد و می‌تواند تصمیم‌گیری کند.

NIST Cybersecurity Framework (CSF)#

NIST CSF در سال ۲۰۱۴ توسط مؤسسهٔ ملی استانداردها و فناوری آمریکا منتشر شد و در نسخهٔ ۲٫۰ (۲۰۲۴) به‌روزرسانی شد. این چارچوب بر پنج تابع اصلی بنا شده است:

هر Function به دسته‌ها (Categories) و زیردسته‌ها (Subcategories) تقسیم می‌شود؛ مثلاً Identify شامل Asset Management، Risk Assessment، Governance است.

در نسخهٔ ۲٫۰، ششمین 함수 به نام Govern اضافه شد تا نقش رهبری و تصمیم‌گیری اجرایی در امنیت برجسته شود.

سازمان می‌تواند خود را در چهار سطح بلوغ ارزیابی کند: Partial (۱)، Risk Informed (۲)، Repeatable (۳)، Adaptive (۴).

ISO/IEC 27001#

ISO 27001 استاندارد بین‌المللی سیستم مدیریت امنیت اطلاعات (ISMS) است. تفاوت اصلی آن با NIST این است که ISO یک استاندارد قابل‌گواهی است؛ یعنی سازمان می‌تواند توسط شرکت‌های ممیزی معتبر (مانند BSI، TUV) گواهی دریافت کند.

ساختار ISO 27001 بر پایهٔ چرخهٔ PDCA است:

     Plan        → ارزیابی ریسک، طراحی ISMS، بیانیهٔ کاربرد (SoA)
       ↓
       Do        → پیاده‌سازی کنترل‌ها، آموزش، فرایندها
       ↓
       Check     → ممیزی داخلی، بازبینی مدیریت
       ↓
       Act       → بهبود مستمر، اصلاح نقص‌ها

ضمیمهٔ A (Annex A) فهرستی از ۹۳ کنترل در چهار دسته است:

• سازمانی (۳۷ کنترل)
• افراد (۸ کنترل)
• فیزیکی (۱۴ کنترل)
• فناوری (۳۴ کنترل)

ISO 27001 فقط الزامات است؛ تفسیر کنترل‌ها در ISO 27002 (که نسخهٔ راهنما است) ارائه می‌شود.

CIS Controls#

CIS (Center for Internet Security) Controls فهرستی عملیاتی از ۱۸ کنترل اولویت‌بندی‌شده است که در نسخهٔ ۸ (۲۰۲۱) منتشر شد. تفاوت آن با NIST و ISO این است که CIS بسیار عملیاتی و فنی است؛ هر کنترل شامل اقدامات مشخص با ابزارها و روش‌های اندازه‌گیری است.

سه Implementation Group (IG) برای دسته‌بندی سازمان‌ها بر اساس اندازه و منابع تعریف شده:

• IG1: سازمان‌های کوچک با منابع محدود (۱۵۳ safeguard)
• IG2: سازمان‌های متوسط با IT اختصاصی (۱۲۹ safeguard اضافی)
• IG3: سازمان‌های بزرگ با کارشناسان امنیتی (۳۸ safeguard اضافی)

چند کنترل برجسته:

۱. موجودیت دارایی‌های سازمانی و نرم‌افزار ۲. مدیریت و حافظت بر داده ۳. تأمین و پشتیبانی ایمن ۴. حساب‌ها و دسترسی‌ها ۷. مدیریت مداوم آسیب‌پذیری ۱۲. مدیریت ایمیل و مرورگر ۱۸. پاسخ به حادثه

PCI DSS#

PCI DSS (Payment Card Industry Data Security Standard) استاندارد الزامی برای هر سازمانی است که کارت اعتباری پردازش، ذخیره یا منتقل می‌کند. نسخهٔ ۴٫۰ در مارس ۲۰۲۲ منتشر شد.

۱۲ نیاز اصلی PCI DSS:

1. فایروال و پیکربندی شبکه
2. عدم استفاده از رمز پیش‌فرض فروشنده
3. حفاظت از دادهٔ کارت ذخیره‌شده
4. رمزنگاری انتقال داده
5. آنتی‌ویروس و محافظت از بدافزار
6. توسعه و نگهداری سیستم امن
7. محدودکردن دسترسی بر اساس نیاز-به-دانستن
8. شناسایی و احراز هویت کاربر
9. محدودکردن دسترسی فیزیکی
10. ردیابی و مانیتورینگ همهٔ دسترسی‌ها
11. آزمون امنیتی دوره‌ای
12. سیاست امنیت اطلاعات

عدم رعایت PCI DSS می‌تواند منجر به جریمه‌های ماهانه ۵ تا ۱۰۰ هزار دلار و حتی قطهٔ امکان پرداخت کارت شود.

SOC 2#

SOC 2 (System and Organization Controls 2) استانداردی است که توسط AICPA برای ممیزی کنترل‌های امنیتی در سرویس‌های ابری و SaaS ارائه شده. بر پایهٔ پنج Trust Service Criteria:

• Security (الزامی): محافظت در برابر دسترسی غیرمجاز
• Availability: دسترسی مطابق با توافق SLA
• Processing Integrity: پردازش کامل، دقیق و به‌موقع
• Confidentiality: حفظ محرمانگی اطلاعات
• Privacy: جمع‌آوری، استفاده و افشای اطلاعات شخصی مطابق سیاست

دو نوع گزارش:

• Type I: ارزیابی طراحی کنترل‌ها در یک لحظهٔ زمانی (Point-in-Time)
• Type II: ارزیابی اثربخشی عملیاتی کنترل‌ها در طول یک دوره (معمولاً ۶ تا ۱۲ ماه) — معتبرتر و سخت‌تر

مقایسهٔ چارچوب‌ها#

انتخاب چارچوب مناسب#

انتخاب به این عوامل بستگی دارد:

۱. صنعت: پرداخت کارت → PCI DSS، خدمات ابری SaaS → SOC 2، بیمارستان → HIPAA. ۲. مشتریان: اگر مشتری دولتی آمریکا دارید، NIST CSF الزامی است؛ اگر مشتری اروپایی، ISO 27001 + GDPR. ۳. اندازه: سازمان‌های کوچک از CIS IG1 شروع کنند، سپس به NIST CSF برسند. ۴. بلوغ امنیتی: شروع از کنترل‌های اولیه (MFA، پشتیبان، وصله) پیش از سراغ گواهی رسمی رفتن.

تمرین عملی: نگاشت سازمان به NIST CSF#

سازمان خود را در هر پنج تابع NIST CSF ارزیابی کنید. یک جدول ساده با سه ستون بسازید: تابع، وضعیت فعلی (Partial / Risk Informed / Repeatable / Adaptive)، و شکاف اصلی.

Function  | Status        | Gap
----------|---------------|-----------------------------------
Identify  | Risk Informed | فهرست دارایی ناقص، داده‌های Shadow IT
Protect   | Partial       | MFA فقط برای ایمیل، نه VPN
Detect    | Partial       | لاگ فایروال جمع می‌شود اما SIEM نیست
Respond   | Risk Informed | برنامهٔ IR موجود اما تمرین نشده
Recover   | Partial       | پشتیبان روزانه اما تست بازیابی سالیانه
Govern    | Partial       | کمیتهٔ امنیت فعال اما KPI ندارد

برای هر شکاف، یک اقدام اصلاحی با مالک و مهلت تعریف کنید. این همان پایهٔ برنامهٔ بهبود امنیتی شماست.

خلاصه و گام بعدی#

در این فصل با پنج چارچوب اصلی امنیتی آشنا شدید: NIST CSF (مدیریت ریسک)، ISO 27001 (ISMS قابل‌گواهی)، CIS Controls (عملیاتی فنی)، PCI DSS (پرداخت کارت) و SOC 2 (سرویس‌های SaaS). هرکدام نقش متفاوتی دارند و می‌توانند مکمل هم باشند. راهنمای انتخاب بر اساس صنعت، مشتریان، اندازه و بلوغ سازمان را آموختید و یک ارزیابی عملی سازمان به NIST CSF انجام دادید.

در فصل پایانی، پروژهٔ نهایی و جمع‌بندی دوره را با سخت‌سازی عملی یک سرور لینوکس و مرور کل مسیر یادگیری تکمیل می‌کنیم.