پرداختن به مقوله امنیت اطلاعات و ایمن سازی شبکه های کامپیوتري، مستلزم توجه همه کاربران صرفنظر از موقعیت شغلی و سنی آنها بوده و می بایست به این مسأله در سطح کلان توجه شود. وجود ضعف امنیتی در شبکه های کامپیوتری و اطلاعاتی، عدم آموزش و توجیه صحیح کاربران، عدم وجود دستورالعمل های لازم برای پیشگیری از نقایص امنیتی، عدم وجود سیاست های مشخص و مدون به منظور برخورد مناسب و به موقع با اشکالات امنیتی، مسایلی را به دنبال خواهد داشت که ضرر آن متوجه تمامی کاربران کامپیوتر در یک کشور شده و عملاً زیرساخت اطلاعاتی یک کشور را در معرض آسیب و تهدید جدی قرار می دهد.
در دنياي رقابتي امروز، اهميت اطلاعات به عنوان دارايي ارزشمند و ابزار رقابت بر هيچكس پوشيده نيست. از اين رو، صيانت و حفاظت از اين دارايي ارزشمند يكي از وظايف ذاتي سيستم مديريت در هر بنگاه اقتصادي و سازمان مي باشد. به خصوص با پيشرفت ابزارهاي فناوري اطلاعات و مدل هاي مرسوم در بهره گيري از اطلاعات توليد شده، اين امر از اهميت دوچنداني برخوردار شده است. مسلماً بهره گيري از مدل هاي مديريتي در چارچوب استانداردهاي بين المللي مي تواند سازمان را در اين وظيفه خطير ياري دهد. اطلاعات به عنوان يک دارايی مهم و با ارزش برای هر سازمان به حساب می‌آيد و در نتيجه نيازمند ارائه راه کارهای حفاظتی لازم برای نگهداری است.
ISO\IEC 20000:2005
بزرگترين چالش شركت ها و سازمان هاي سرويس دهنده خدمات فن آوري اطلاعات، صرف كمترين هزينه ممكن و ارائه بهترين كيفيت مي باشد. اين امر در بخش هاي مختلف سازمان نمود پيدا مي كند كه از آن جمله مي توان به مواردي چون افزايش بهره وري نيروي انساني، استفاده بهينه از ظرفيت هاي موجود و ايجاد امكانات و ظرفيت هاي جديد منطبق بر نياز واقعي كسب و كار اشاره نمود. در اختيار داشتن تكنولوژي پيشرفته و نيروي انساني متخصص به تنهايي كارگشا نبوده و مسأله بسيار مهمي به نام روال هاي مديريت سرويس مطرح مي گردد كه در واقع حلقه مرتبط كننده تكنولوژي و افراد مي باشد.
استاندارد ISO 20000 اولین استاندارد مستقل در زمینه مدیریت و امنيت خدمات فن آوری اطلاعات است که سازمان جهانی استاندارد ISO آن را منتشر نموده است.
ISMS
نياز روزافزون به استفاده از فناوري هاي نوين در عرصه اطلاعات و ارتباطات، ضرورت استقرار يك نظام مديريت امنيت اطلاعات را بيش از پيش آشكار مي‌نمايد. یک سيستم استاندارد و کارآمد مديريت امنيت اطلاعات (ISMS )، ضمن مقابله با تهديدات امنيتی، آمادگی سازمان را در مواجه با وقايع امنيتی احتمالی، تضمين می نمايد. این استاندارد بين المللی جهت طراحی، اجرا، بازنگری و بهبود سيستم های مديريت امنيت اطلاعات می باشد.
سیستم مدیریت امنیت اطلاعات در واقع قسمتی از سیستم مدیریت کلان سازمان است که بر مبنای دیدگاه مخاطرات کسب و کار بنا شده است (اساس این سیستم، مدیریت مخاطرات می‌باشد) و به منظور ایجاد، پیاده‌سازی، اجرا، پایش، بازنگری، نگهداری و بهبود امنیت اطلاعات در سازمان، بکار می‌رود.
از مهمترین فواید این سيستم، مي توان به موارد زير اشاره نمود:
- * کمینه نمودن زیان‌های وارده به کسب و کار، ناشی از عدم حفاظت اطلاعات
- * حفظ امنیت اطلاعات سازمان
- * افزایش فرصت‌های مرتبط با کسب وکار
- * هموار نمودن زمینه‌های تداوم کسب و کار
- * فراهم‌آوری حاشيه رقابتی در بازاریابی و سودآوری
- * زمینه‌سازی برای حضور در بازارهای جهانی
- * چارچوبی مناسب در راستای تجارت الکترونیک
BS25999
در شرایط کسب و کارکنونی و با پیشرفت ها و تحولات جهانی، فرآیند تداوم کسب و کار، خود را به عنوان یک موضوع مهم در تمامی سازمان ها مطرح کرده و مدیریت این فرآیند به عنوان یک بخش ضروری در تمام قسمت های کسب وکار شناخته می شود.
توانایی یک سازمان برای نگهداشت و استمرار فعالیت های محوری و حیاتی خود پس از بروز یک حادثه و همچنین سرعت بازیابی سازمان به حالت عادی، می توانند عامل های اساسی موفقیت و یا شکست یک سازمان را تعیین نمایند. با این توضیح، احتیاج به یک استاندارد مناسب بر اساس مدیریت تداوم کسب و کار شدیداً انتظار می رفت كه در این زمینه، استاندارد BS25999 منتشر شده توسط مؤسسه استاندارد انگلستان (BSI ) به عنوان یک چارچوب مناسب برای مدیریت تداوم کسب و کار انتخاب شده است.
تمامي فعاليت هاي كسب و كار به نوعي با خطر انقطاع در ارتباط خواهند بود، مواردي همچون اختلالات تكنولوژيكي، سيل، انقطاع تجهيزات و حملات تروريستي از آن جمله مي باشد. استمرار عملیات در زمان انقطاع حاصله از یک فاجعه ی عظیم و یا حتی حوادث کوچک، یک نیاز اساسی و بنیادی برای سازمان به شمار مي رود. این استاندارد به عنوان اولین استاندارد مدیریت تداوم کسب و کار، با ایجاد یک سیستم مدیریت تداوم کسب و کار مناسب سعی می نماید تا سازمان حتی در سخت ترین شرایط پیش بینی نشده به فعالیت های خود ادامه دهد و بدین ترتیب ریسک حاصله از انقطاع را کاهش داده، از رفاه و امنيت كاركنان و اعتبار سازمان حمایت کرده و توانايي هدايت و استمرار فعاليت هاي اصلي را فراهم مي آورد.
ويژگي هاي استاندارد BS25999 :
- * قابل فهم بودن و روانی زبان استاندارد
- * امکان پیاده سازی و زیرساخت های موجود در سازمان های ایرانی
- * اعتبار، گستردگی و مقبولیت جهانی استاندارد
BS25999استانداردی ملموس و کاربردی به منظور حفظ تداوم کسب و کار در هنگام بروز موقعیت های غیر قابل پیش بینی و مخاطره برانگیز می باشد. پیاده سازی سیستم مدیریت تداوم کسب و کار، زیر ساختی مناسب جهت بررسی، طراحی، پیاده سازی و مدیریت تداوم کسب و کار را در سازمان ارائه داده و با توجه به عملیات ممیزی که در پی پیاده سازی هر استانداردی قابل انجام است، به سازمان گواهی نامهBS25999 توسطBSI اعطا شده و چارچوبی برای بهبود مداوم و توانایی به نمایش گذاردن این قابلیت به ذینفعان ایجاد می گردد که بر اساس بهترین تجارب بین المللی بنا گردیده است.
هدف اصلی استاندارد مذکور، ارائه ی مفاهیم پایه ای جهت درک، ایجاد و پیاده سازی تداوم کسب و کار در یک سازمان و کسب نوعی اطمینان از روابط سازمان با مشتریانش و دیگر سازمان ها می باشد. این استاندارد سازمان را قادر می سازد تا با روشی یکپارچه و از پیش تعیین شده، قابلیت مدیریت تداوم کسب و کار را در درون خود مورد ارزیابی و اندازه گیری قرار دهد. احتیاجات و الزامات مشخص شده در این استاندارد انگلیسی بصورت عام می باشد و انتظار می رود که بدون توجه به نوع، اندازه و طبیعت کسب و کار، در تمامی سازمان ها قابل اجرا باشد.
ITIL
در دو دهه اخير، فعاليت هاي بسياري در زمينه مديريت سرويس های امنیت اطلاعات در دنيا صورت گرفته است. در این میان سازمان OGCI انگلستان، با گذشت حدود 20 سال از اولين تلاش ها، ITIL را به عنوان استاندارد پذيرفته شده در دنيا معرفی کرده است.
ITIL يك روش يا توصيه پيشنهاد شده توسط يك سازمان يا مؤسسه نيست، بلكه مجموعه اي از بهترين تجربيات شركت هاي بزرگ دنيا طي سال هاي گوناگون در مديريت سرويس هاي فناوري مي باشد. اين استاندارد در دنيا با استقبال بسياري مواجه شده است و آمار هاي معتبر نشان دهنده تمايل شركت ها و سازمان هاي مختلف در ارائه سرويس هاي ITIL در مديريت سرويس هاي فناوري اطلاعات مي باشد.
SSE/CMM
استاندارد SSE/CMM (مدل بلوغ) نقاط مرجعي براي سازمان مهيا مي‌كند تا خود را در برابر راهكارهاي برتر مطابق يك دستورالعمل ويژه يا چند دستورالعمل ارزيابي نمايد. همچنین این مدل فرآیندگرا به پیشرفت سازمان ها براي رسيدن به سطوح بلوغ بيشتر، با در نظر گرفتن راهکارهای امنیتی كمك مي‌كند.
منظور از یک سازمان بالغ، صرفاً تحصیلات و دانش کارکنان سازمان نمی باشد، بلکه مجموعه‌ای همچون انگیزه، علاقه‌مندی، دانش و مهارت، سابقه، اطلاعات و ده ها مؤلفه دیگر موجب می شود تا سازمان بالغ گردد و به اصطلاح فرآیندها ی موجود بهبود یافته و بلوغ سازمانی پیاده سازی شده است.
