این گواهی چیست؟
ارزیابی امنیت سایبری بررسی مستقل وضعیت امنیتی یک سازمان یا یک سیستم است. لازم نیست به یک طرح صدور گواهینامه خاص مرتبط شود: آزمایش نفوذ، ارزیابی آسیب پذیری، بررسی معماری، ارزیابی بلوغ (مانند NIST CSF، CIS Controls)، یا تمرین تیم قرمز، همه تحت این عنوان قرار می گیرند. خروجی یک گزارش یافته‌ها و توصیه‌ها است، نه یک گواهی.
برای چه کسانی لازم است؟
- سازمان هایی که می خواهند وضعیت امنیتی خود را اندازه گیری کنند
- شرکت هایی که خواهان تجزیه و تحلیل شکاف قبل از صدور گواهینامه هستند
- شرکت هایی که دارای تعهد قراردادی برای آزمایش نفوذ دوره ای هستند
- تیم‌هایی که می‌خواهند یک سیستم یا محصول جدید را قبل از پخش زنده تأیید کنند
- سازمان ها در حال ارزیابی مجدد وضعیت خود پس از یک حادثه
آیا اجباری است؟
فی نفسه اجباری نیست با این حال، بسیاری از چارچوب‌ها و مقررات یک الزام آزمایش دوره‌ای را تحمیل می‌کنند: PCI DSS به تست نفوذ و اسکن نیاز دارد، ISO/IEC 27001 انتظار بررسی انطباق فنی را دارد، و مقرراتی مانند NIS2 نیازمند ارزیابی اثربخشی اقدامات مدیریت ریسک است.
دامنه استاندارد
- تعریف محدوده و قوانین تعامل
- جمع آوری موجودی دارایی و سطح حمله
- اسکن آسیب پذیری و اعتبار سنجی
- تست نفوذ: شبکه خارجی، شبکه داخلی، برنامه وب، برنامه تلفن همراه، بی سیم
- بررسی پیکربندی و سخت شدن
- بررسی مدیریت هویت و دسترسی
- ارزیابی معماری و تقسیم بندی
- آزمون مهندسی اجتماعی و آگاهی (اگر در محدوده باشد)
- ارزیابی بلوغ (در برابر چارچوب هایی مانند NIST CSF، CIS Controls)
- اولویت بندی و گزارش یافته ها بر اساس سطح ریسک
- تست تایید پس از اصلاح
فرآیند صدور گواهی
- 1تعیین محدوده و برنامهمکان ها و فرآیندهای مورد ممیزی و مدت زمان ممیزی مورد نیاز طرح تعیین می شود.
- 2پیش ارزیابیتجزیه و تحلیل شکاف به صورت اختیاری انجام می شود. شکاف ها قبل از حسابرسی اصلی قابل مشاهده است.
- 3ممیزی در محلبررسی سوابق، مشاهده سایت و مصاحبه با کارگران بر اساس چک لیست طرح انجام می شود.
- 4گزارش یافته‌هایافته ها بر اساس طبقه بندی طرح گزارش می شوند. خروجی این طرح ها یک گزارش حسابرسی است نه گواهی.
- 5اقدام اصلاحی و پیگیرییک برنامه اقدام اصلاحی برای یافته ها ارائه می شود. با ممیزی بعدی تحت این طرح بسته شده است.
مدت اعتبار
مدت اعتبار گزارش های حسابرسی توسط این طرح تعیین می شود و بیشتر بین یک تا دو سال است. گزارش برای دوره ای که برند خریدار می پذیرد استفاده می شود.
مدارک لازم
- جزئیات سازمان و سایت
- تعداد کار و الگوی شیفت
- مجوزها و مجوزهای قانونی
- سیاست ها و رویه های مربوطه
- سوابق حقوق، زمان و پرسنل
هزینه صدور گواهی
قیمت فهرست ثابتی وجود ندارد؛ هزینه بر اساس متغیرهای زیر محاسبه و به‌صورت مکتوب در پیش‌فاکتور ارائه می‌شود.
- تعداد سایت هایی که باید ممیزی شوند و تعداد کارمندان
- مدت ممیزی که طرح تعیین می کند
- اینکه آیا یک پیش ارزیابی (تحلیل شکاف) درخواست شده است یا خیر
- اینکه آیا یک ممیزی بعدی مورد نیاز است یا خیر
اعتباربخشی
اکثر این طرح‌ها گزارش‌های حسابرسی تولید می‌کنند، نه اسناد، و مشمول سیستم تأیید مالک طرح (مانند Sedex، amfori، RBA) هستند. اعتباربخشی به معنای کلاسیک در هر طرحی یافت نمی شود. صلاحیت حسابرس و اعتبار گزارش توسط قوانین مالک طرح تعیین می شود.
دامنه‌ای که این طرح می‌تواند در آن ارائه شود بسته به محصول و فعالیت شما متفاوت است؛ در مرحله پیش‌فاکتور به‌صورت مکتوب تأیید می‌شود.
محدوده و مجوزهاگواهینامههای مرتبط
پرسش‌های متداول
آیا تست نفوذ و اسکن آسیب پذیری یکسان هستند؟
خیر. اسکن آسیب پذیری نقاط ضعف شناخته شده را با استفاده از ابزارهای خودکار فهرست می کند. یک تست نفوذ با تخصص انسانی تأیید می‌کند که آیا این یافته‌ها واقعاً قابل بهره‌برداری هستند یا خیر، و مسیرهای حمله زنجیره‌ای را آشکار می‌کند. این دو در عمق و هزینه متفاوت هستند.
آیا در نتیجه ارزیابی گواهی می گیرم؟
گواهی صادر نمی شود؛ گزارش یافته ها و توصیه ها تولید می شود. برخی از مشتریان درخواست گواهی نامه ای برای تأیید انجام آزمایش می کنند، اما این گواهی انطباق نیست.
چند بار باید این کار را انجام دهم؟
فرکانس به چارچوبی که در معرض آن هستید و میزان تغییر شما بستگی دارد. تمرین معمول یک آزمون سالانه است. با این حال، هر زمان که تغییر قابل توجهی در معماری یا برنامه وجود داشته باشد، یک آزمایش موقت انتظار می رود.