ممیزی چیست؟
ممیزی امنیت سایبری یعنی ارزیابی وجود و اثربخشی کنترل‌هایی که سازمان برای حفاظت از دارایی‌های اطلاعاتی خود برقرار کرده است. این ممیزی به کنترل‌های فنی محدود نیست: عناصر حاکمیتی مانند خط‌مشی، اعطای دسترسی، مدیریت تأمین‌کننده و پاسخ به رخداد نیز در دامنه‌اند.
چرا انجام می‌شود؟
هدف، شناسایی سطح حمله و شکاف‌های کنترلی پیش از وقوع رخداد است.
چه کسی درخواست می‌کند؟
- شرکت‌های فناوری که مشتریانشان تضمین امنیتی می‌خواهند
- سازمان‌هایی که ISO/IEC 27001 را استقرار یا نگهداری می‌کنند
- کسب‌وکارهای زیرساخت حیاتی و بخش‌های تحت مقررات
- سازمان‌هایی که داده‌های کارت را پردازش می‌کنند (در محدوده PCI DSS)
- شرکت‌های مشمول ارزیابی امنیتی تأمین‌کننده
معیارهای ممیزی
معیار، همان چارچوب اعمال‌شده است: کنترل‌های پیوست A استاندارد ISO/IEC 27001، IEC 62443 (صنعتی)، PCI DSS، NIST CSF یا CIS Controls. اعمال مستقیم چارچوب فناوری اطلاعات در محیط صنعتی نتیجه نادرست می‌دهد؛ باید معیار متناسب با OT انتخاب شود.
دامنه ممیزی
- خط‌مشی‌های امنیت اطلاعات و ساختار حاکمیت
- فهرست دارایی‌ها و طبقه‌بندی آن‌ها
- فرآیند ارزیابی ریسک و بیانیه قابلیت اجرا
- مدیریت هویت و دسترسی، حساب‌های ممتاز
- تقسیم‌بندی شبکه و امنیت محیطی
- حفاظت از نقاط پایانی و مدیریت وصله‌ها
- رمزنگاری و مدیریت کلید
- ثبت رویداد، پایش و قابلیت‌های تشخیص
- آزمون پشتیبان‌گیری و بازیابی
- شیوه‌های توسعه امن نرم‌افزار
- امنیت تأمین‌کننده و ارائه‌دهنده خدمات ابری
- برنامه واکنش به حادثه و تمرین‌های آن
- تداوم کسب‌وکار و بازیابی پس از فاجعه
- آموزش‌های آگاهی‌بخشی و عامل انسانی
استانداردهای مرتبط
- ISO/IEC 27001
- ISO/IEC 27002
- IEC 62443
- PCI DSS
- NIST CSF
- ISO 19011
فرآیند ممیزی
- 1انتخاب معیار قابل اعمالاستاندارد، طرح یا مقرراتی که ممیزی بر پایه آن انجام می‌شود تعیین می‌گردد؛ در ممیزی‌های موضوعی، انتخاب معیار مستقیماً معنای نتیجه را تعیین می‌کند.
- 2ارزیابی ریسک و دامنهحوزه‌های ریسک بر پایه فعالیت و موقعیت جغرافیایی سازمان تعیین و تعداد روزهای ممیزی متناسب با آن برنامه‌ریزی می‌شود.
- 3بررسی مدارک و سوابقخط‌مشی‌ها، روش‌های اجرایی، مجوزها، سوابق اندازه‌گیری و نتایج ممیزی‌های پیشین بررسی می‌شود.
- 4ممیزی در محلحوزه‌های مرتبط بازدید و اندازه‌گیری، مشاهده و کنترل سوابق ویژه موضوع انجام می‌شود.
- 5مصاحبه با کارکناناگر موضوع اقتضا کند، مصاحبه‌های محرمانه و مستقل از مدیریت با کارکنان انجام و اظهارات با سوابق مقایسه می‌شود.
- 6ارزیابی انطباق قانونیانطباق با مقررات جاری جداگانه کنترل می‌شود؛ عدم انطباق قانونی در هر طرحی شدیدترین رده یافته است.
- 7گزارش یافته‌هایافته‌ها بر پایه درجه اهمیت طبقه‌بندی و در قالب گزارش تنظیم می‌شود.
- 8اقدام اصلاحی و پیگیریبرنامه اقدام اصلاحی دریافت و رفع آن در مهلت مقرر طرح پیگیری می‌شود.
یافته‌ها
یافته‌ها بر اساس سطح ریسک اولویت‌بندی می‌شوند. یک آسیب‌پذیری قابل‌بهره‌برداری مستقیم و یک سند خط‌مشی مفقود وزن یکسانی ندارند؛ این تمایز صراحتاً در گزارش ذکر می‌شود و ترتیب اصلاح بر اساس ریسک پیشنهاد می‌گردد.
گزارش ممیزی
- اطلاعات نهاد ممیزی، ممیز و طرف ممیزی‌شونده
- استاندارد، طرح یا مقررات اعمال‌شده
- تاریخ، مدت و دامنه ممیزی
- یافته‌های بررسی مدارک و سوابق
- مشاهدات میدانی و نتایج اندازه‌گیری
- یافته‌های مصاحبه با کارکنان (در صورت انجام)
- ارزیابی انطباق قانونی
- یافته‌ها، درجه اهمیت و شواهد
- برنامه اقدام اصلاحی و مهلت‌ها
محدودیت خروجی
ممیزی امنیت سایبری، وجود و طراحی کنترل‌ها را ارزیابی می‌کند؛ و تضمین نمی‌کند که هر کنترل در هر لحظه به‌طور مؤثر کار می‌کند. ممیزی وضعیت را در تاریخی مشخص نشان می‌دهد و چشم‌انداز تهدید پیوسته تغییر می‌کند. همچنین ممیزی، تست نفوذ نیست: قابل‌بهره‌برداری بودن واقعی آسیب‌پذیری‌ها موضوع یک آزمون فنی جداگانه است.
تأیید صلاحیت
تأیید صلاحیت بسته به نوع ممیزی متفاوت است. ممیزی‌های طرف سوم که مبنای صدور گواهی سیستم مدیریت‌اند بر پایه ISO/IEC 17021-1 و آن‌ها که مبنای گواهی محصول‌اند بر پایه ISO/IEC 17065 انجام می‌شوند و این دامنه‌ها مشمول تأیید صلاحیت‌اند. ممیزی‌های طرف اول و دوم و ممیزی‌های تابع قواعد صاحب طرح (مانند SMETA و amfori BSCI) در دامنه گواهی تأییدصلاحیت‌شده نیستند؛ این‌ها بر پایه راهنمای ISO 19011 اجرا و گزارش تولید می‌کنند. EUROLAB دارای تأیید صلاحیت بین‌المللی در دامنه ISO/IEC 17021-1 و ISO/IEC 17065 از نهادهای عضو توافق‌نامه IAF است؛ اینکه کدام ممیزی در دامنه تأییدصلاحیت‌شده ارائه می‌شود در مرحله پیشنهاد قیمت کتباً تأیید می‌گردد.
دامنه و اختیاراتممیزیهای مرتبط
پرسش‌های متداول
تفاوت ممیزی با تست نفوذ چیست؟
ممیزی، وجود کنترل‌ها و حاکمیت را ارزیابی می‌کند؛ و دامنه آن گسترده است. تست نفوذ از دیدگاه مهاجم بررسی می‌کند که آیا آسیب‌پذیری‌ها واقعاً قابل‌بهره‌برداری هستند؛ و دامنه آن محدود اما عمیق است. این دو مکمل یکدیگرند.
آیا همین ممیزی برای سیستم‌های صنعتی ما نیز صدق می‌کند؟
خیر. در فناوری عملیاتی، ترتیب اولویت متفاوت است: دسترس‌پذیری و ایمنی فرآیند مقدم بر محرمانگی است؛ همچنین ممکن است سیستم‌ها قابل وصله‌گذاری نباشند و تحمل قطعی وجود ندارد. در این محیط باید IEC 62443 به‌عنوان معیار استفاده شود.
آیا در نتیجه این ممیزی گواهی دریافت می‌کنم؟
به چارچوبی که ممیزی در آن انجام می‌شود بستگی دارد. اگر تحت یک طرح صدور گواهی معتمد انجام شود، می‌تواند به گواهی منجر شود؛ خروجی ممیزی انجام‌شده به درخواست مشتری یا برای ارزیابی داخلی، گزارش است.
آیا انطباق قانونی نیز بررسی می‌شود؟
بله، و در هر ممیزی موضوعی، عدم انطباق قانونی شدیدترین رده یافته است. مهم نیست سیستم مدیریت چقدر خوب استقرار یافته باشد؛ در صورت شناسایی نقض مقررات جاری، این موضوع با بالاترین اولویت گزارش می‌شود.