پیش‌نویس:ارزیابی تاب‌آوری سایبری (CRR)

"این مقاله در حال ترجمه از ویکی انگلیسی است

لطفا حذف نشود."

ارزیابی تاب‌آوری سایبری (CRR) یک روش ارزیابی است که توسط وزارت امنیت میهن ایالات متحده (DHS) توسعه یافته است. این ارزیابی، یک بررسی داوطلبانه از اقدامات امنیت سایبری و تاب‌آوری عملیاتی است که به صورت رایگان توسط DHS به گردانندگان زیرساخت‌های حیاتی و دولت‌های ایالتی، محلی، قبیله‌ای و منطقه‌ای ارائه می‌شود.

برنامه CRR دارای یک رویکرد خدمت‌محور است؛ به این معنی که یکی از اصول بنیادین آن، بر این فرض استوار است که سازمان دارایی‌های خود (نیروی انسانی، اطلاعات، فناوری و تجهیزات/تأسیسات) را برای پشتیبانی از ماموریت‌های عملیاتی (یا خدمات) خاصی به کار می‌گیرد. ارزیابی CRR در دو قالب ارائه می‌شود: کارگاه‌های هدایت‌شده و بسته خودارزیابی.

نسخه کارگاهی CRR توسط یک تسهیل‌کننده از سوی DHS در محل تاسیسات زیرساخت حیاتی هدایت می‌شود. تکمیل این کارگاه معمولاً ۶ تا ۸ ساعت زمان می‌برد و از همکاری بخش‌های مختلفی از پرسنل سازمانِ زیرساخت حیاتی بهره می‌برد.

حفاظت از اطلاعات:

تمام اطلاعات جمع‌آوری‌شده در طول یک کارگاه هدایت‌شده CRR، بر اساس «قانون اطلاعات حفاظت‌شده زیرساخت‌های حیاتی مصوب ۲۰۰۲» در برابر افشا محافظت می‌شوند. این اطلاعات نمی‌توانند از طریق درخواست «قانون آزادی اطلاعات» (FOIA) افشا شوند، در دعاوی حقوقی به کار روند یا برای مقاصد نظارتی و رگولاتوری استفاده شوند. 

بسته خودارزیابی (Self-Assessment Package)

بسته خودارزیابی CRR به سازمان‌ها این امکان را می‌دهد تا بدون نیاز به کمک مستقیم DHS، ارزیابی را انجام دهند. این بسته برای دانلود در وب‌سایت «برنامه داوطلبانه جامعه سایبری زیرساخت‌های حیاتی DHS» در دسترس است. این بسته شامل موارد زیر است:

 ابزار خودکار ثبت پاسخ‌ها و گزارش‌دهی
 راهنمای تسهیلگری
 توضیحات جامع برای هر سوال
 جدول تطبیقی (Crosswalk) میان اقدامات CRR و معیارهای «چارچوب امنیت سایبری مؤسسه ملی فناوری و استانداردها» (NIST)

لازم به ذکر است که سوالات مطرح‌شده در CRR و گزارش نهایی حاصل از آن، در هر دو نسخه (کارگاهی و خودارزیابی) کاملاً یکسان هستند.

وزارت امنیت میهن (DHS) برای طراحی و پیاده‌سازی CRR با بخش CERT در موسسه مهندسی نرم‌افزار دانشگاه کارنگی ملون همکاری کرده است. اهداف و اقدامات موجود در این ارزیابی از «مدل مدیریت تاب‌آوری CERT» (نسخه CERT-RMM 1.0) اقتباس شده‌اند. ارزیابی CRR نخستین بار در سال ۲۰۰۹ معرفی شد و در سال ۲۰۱۴ بازنگری و به‌روزرسانی بزرگی روی آن صورت گرفت.

 معماری (Architecture) 
ارزیابی CRR شامل ۴۲ هدف و ۱۴۱ اقدام مشخص است که از مدل CERT-RMM استخراج شده و در ۱۰ حوزه سازماندهی شده‌اند:

 مدیریت دارایی‌ها (Asset Management)
 مدیریت کنترل‌ها (Controls Management)
 مدیریت پیکربندی و تغییرات (Configuration and Change Management)
 مدیریت آسیب‌پذیری (Vulnerability Management)
 مدیریت حوادث (Incident Management)
 مدیریت تداوم خدمات (Service Continuity Management)
 مدیریت ریسک (Risk Management)
 مدیریت وابستگی‌های خارجی (External Dependency Management)
 آموزش و آگاهی‌رسانی (Training and Awareness)
 آگاهی وضعیتی (Situational Awareness)

هر حوزه از یک بیانیه هدف ، مجموعه‌ای از اهداف خاص و سوالات مربوط به اقدامات (که منحصر به همان حوزه هستند) و یک مجموعه استاندارد از سوالات «سطح شاخص بلوغ» (MIL) تشکیل شده است. سوالات MIL میزان نهادینه‌سازی اقدامات را در یک سازمان بررسی می‌کنند. عملکرد سازمان بر اساس مقیاس MIL امتیازدهی می‌شود.

این مقیاس، قابلیت‌های سازمان را به پنج سطح تقسیم می‌کند:

 MIL1: ناقص (Incomplete)
 MIL2: اجراشده (Performed)
 MIL3: مدیریت‌شده (Managed)
 MIL4: اندازه‌گیری‌شده (Measured)
 MIL5: تعریف‌شده (Defined)

نهادینه‌سازی چیست؟

نهادینه‌سازی به این معنی است که اقدامات امنیت سایبری به بخشی عمیق‌تر و پایدارتر از سازمان تبدیل شوند، چرا که به شیوه‌هایی معنادار مدیریت و پشتیبانی می‌شوند. وقتی اقدامات امنیت سایبری نهادینه‌تر (یا «نهفته») می‌شوند، مدیران می‌توانند اعتماد بیشتری به پیش‌بینی‌پذیری و قابلیت اطمینان آن اقدامات داشته باشند. همچنین احتمال اینکه این اقدامات در زمان بروز اختلال یا شرایط بحرانی در سازمان پابرجا بمانند، بیشتر می‌شود. علاوه بر این، بلوغ می‌تواند منجر به همسویی نزدیک‌تر میان فعالیت‌های امنیت سایبری و محرک‌های کسب‌وکار سازمان شود. به عنوان مثال، در سازمان‌های بالغ‌تر، مدیران بر یک حوزه خاص نظارت می‌کنند و میزان اثربخشی فعالیت‌های امنیتی آن حوزه را مورد ارزیابی قرار می‌دهند.

تعداد اهداف و سوالات مربوط به اقدامات در هر حوزه متفاوت است، اما مجموعه سوالات MIL و مفاهیمی که در بر می‌گیرند برای همه حوزه‌ها یکسان است. تمام سوالات CRR دارای سه پاسخ ممکن هستند: «بله»، «خیر» و «ناقص».

ارزیابی CRR عملکرد یک سازمان را در سطوح اقدام، هدف، حوزه و MIL می‌سنجد. امتیازها برای هر یک از عناصر مدل به صورت مجزا و همچنین به صورت مجموعِ کل (تجمعی) محاسبه می‌شوند. دستورالعمل امتیازدهی موارد زیر را تعیین می‌کند:

 اقدامات می‌توانند در یکی از این سه وضعیت باشند: اجراشده، ناقص، و اجرا نشده.
 یک «هدفِ حوزه» تنها زمانی محقق می‌شود که تمام اقدامات مربوط به آن هدف انجام شده باشند.
 یک «حوزه» تنها زمانی به طور کامل محقق می‌شود که تمام اهداف موجود در آن حوزه به دست آمده باشند.

اگر شرایط بالا برقرار باشد، گفته می‌شود که سازمان به آن حوزه در «وضعیت اجراشده» دست یافته است؛ یعنی اقداماتی که آن حوزه را تعریف می‌کنند قابل مشاهده و ردیابی هستند، اما نمی‌توان هیچ نظری درباره میزانِ موارد زیر داد:

 تکرارپذیری این اقدامات در شرایط مختلف
 اعمال مداوم و مستمر آن‌ها
 توانایی آن‌ها در تولید نتایج پیش‌بینی‌پذیر و قابل قبول
 حفظ و بقای آن‌ها در شرایط بحرانی

این شرایط با اعمال یک مجموعه مشترک از ۱۳ سوال MIL روی آن حوزه سنجیده می‌شوند، اما این کار تنها پس از دستیابی به سطح MIL1 صورت می‌گیرد. با توجه به ساختار مقیاس MIL، این سطوح تجمعی هستند؛ یعنی یک سازمان برای دستیابی به یک سطح MIL در یک حوزه خاص، باید تمام اقدامات آن سطح و همچنین سطوح MIL قبلی را انجام داده باشد. به عنوان مثال، یک سازمان باید تمام اقدامات حوزه را در سطح MIL1 و MIL2 انجام دهد تا بتواند به سطح MIL2 در آن حوزه دست یابد.

 نتایج (Results) 
شرکت‌کنندگان در ارزیابی CRR گزارش جامعی دریافت می‌کنند که شامل نتایج تک‌تک سوالات در تمامی حوزه‌هاست. این گزارش همچنین خلاصه‌هایی گرافیکی از عملکرد سازمان را در سطح «اهداف» و «حوزه‌ها» ارائه می‌دهد که در قالب یک ماتریس نقشه حرارتی (Heat-map) ترسیم شده‌اند. این نمایش پرجزئیات به سازمان‌ها اجازه می‌دهد تا برنامه‌های بهبود خود را با دقت بسیار بالایی (در سطح جزئیاتِ دقیق) هدف‌گذاری کنند.

سازمان‌هایی که در کارگاه‌های هدایت‌شده CRR شرکت می‌کنند، مجموعه نمودارهای افزوده‌ای نیز دریافت می‌کنند که عملکرد سازمان آن‌ها را در مقایسه با تمامی شرکت‌کنندگان پیشین نشان می‌دهد.

گزارش CRR شامل مسیرهای پیشنهادی برای بهبود عملکرد در هر یک از اقدامات (Practices) است. این گزینه‌های پیشنهادی برای بهبود، عمدتاً از مدل CERT-RMM و نشریات ویژه NIST (مؤسسه ملی فناوری و استانداردها) استخراج شده‌اند.

علاوه بر این، سازمان‌ها می‌توانند از نتایج CRR برای سنجش عملکرد خود بر اساس معیارهای «چارچوب امنیت سایبری NIST» استفاده کنند. این قابلیتِ تطبیق‌سنجی (ارتباط دادن نتایج ارزیابی با چارچوب NIST) در فوریه ۲۰۱۴ به این سیستم افزوده شد.

 منابع 

:رده:مقاله‌های ایجادشده توسط ایجادگر