موضوع مقاله: استاندارد های امنیت سایبری | مخاطب: عمومی | لحن: دانشنامه‌ای | ساختار: عنوان، مقدمه، 3 بخش، جمع‌بندی | مقاله: | # استاندارد های امنیت سایبری | مقدمه: این محیط شامل خود کاربران، شبکه‌ها، دستگاه‌ها، تمام نرم‌افزارها، فرآیندها، اطلاعات در حال ذخیره‌سازی یا انتقال، برنامه‌ها، خدمات و سامانه‌هایی است که می‌توانند به‌طور مستقیم یا غیرمستقیم به شبکه‌ها متصل باشند. | ## بخش 1: استاندارد های امنیت سایبری | هدف اصلی این استانداردها کاهش ریسک‌ها است، از جمله جلوگیری یا کاهش اثر حملات سایبری. تاریخچه استانداردهای امنیت سایبری طی چندین دهه وجود داشته‌اند، چرا که کاربران و ارائه‌دهندگان خدمات در بسیاری از مجامع داخلی و بین‌المللی با یکدیگر همکاری کرده‌اند تا قابلیت‌ها، سیاست‌ها و رویه‌های لازم را ایجاد کنند – که عمدتاً از کارهای انجام‌شده در کنسرسیوم تحقیقات امنیت اطلاعات و سیاست‌گذاری دانشگاه استنفورد در دهه ۱۹۹۰ سرچشمه گرفته‌اند. مطالعه‌ای در سال ۲۰۱۶ درباره پذیرش چارچوب امنیتی در ایالات متحده گزارش داد که ۷۰٪ از سازمان‌های مورد بررسی، از چارچوب امنیت سایبری ایالات متحده آمریکا (NIST) به عنوان رایج‌ترین روش برتر در امنیت رایانه‌ای فناوری اطلاعات (IT) استفاده می‌کنند، هرچند بسیاری اذعان دارند که اجرای آن نیاز به سرمایه‌گذاری قابل‌توجهی دارد. عملیات‌های برون‌مرزی استخراج اطلاعات سایبری (cyber-exfiltration) توسط نهادهای مجری قانون برای مقابله با فعالیت‌های مجرمانه بین‌المللی در دارک وب، سؤالات پیچیده‌ای در مورد صلاحیت قضایی به‌وجود آورده که تا حدودی بی‌پاسخ باقی مانده‌اند. تنش‌ها بین تلاش‌های داخلی برای اجرای عملیات‌های برون‌مرزی استخراج سایبری و صلاحیت قضایی بین‌المللی احتمالاً به پیشرفت هنجارهای امنیت سایبری ادامه خواهند داد. استاندارد های بین المللی بخش‌های زیر به استانداردهای بین‌المللی مرتبط با امنیت سایبری می‌پردازند: خانواده استانداردهای ISO/IEC 27000 مقاله اصلی: ایزو/آی‌ای‌سی ۲۷۰۰۱ مجموعه ایزو/آی‌ای‌سی ۲۷۰۰۰ خانواده‌ای از استانداردهای بین‌المللی هستند که به‌صورت مشترک توسط سازمان بین‌المللی استانداردسازی (ISO) و کمیسیون بین‌المللی الکتروتکنیک (IEC) منتشر شده‌اند. این استانداردها چارچوبی شناخته‌شده در سطح جهانی برای ایجاد، پیاده‌سازی، نگهداری و بهبود مستمر یک سامانه مدیریت امنیت اطلاعات (ISMS) فراهم می‌کنند. این سری برای کمک به سازمان‌هایی در هر اندازه و صنعت طراحی شده‌اند تا دارایی‌های اطلاعاتی خود را به‌صورت سیستماتیک و مقرون‌به‌صرفه محافظت کنند. در مرکز این سری، استاندارد ایزو/آی‌ای‌سی ۲۷۰۰۱ قرار دارد که الزامات ایجاد و نگهداری ISMS را مشخص می‌کند. این استاندارد تأکید بر رویکرد مبتنی بر ریسک در مدیریت امنیت اطلاعات دارد و سازمان‌ها را تشویق می‌کند تا ریسک‌های خاص محیط عملیاتی خود را شناسایی، ارزیابی و کاهش دهند. در حالی که ISO/IEC 27001 پایه‌ای برای الزامات ISMS فراهم می‌آورد، سایر استانداردهای این سری راهنمایی‌های تکمیلی و توصیه‌های بخش‌محور ارائه می‌کنند. در کنار هم، آن‌ها یک اکوسیستم جامع برای موضوعاتی از جمله ارزیابی ریسک، مدیریت حوادث، کنترل‌های حفظ حریم خصوصی و امنیت فضای ابری تشکیل می‌دهند. برای سازمان‌هایی که تمرکز بر مدیریت ریسک دارند، استاندارد ISO/IEC 27005 یک چارچوب اختصاصی برای شناسایی، ارزیابی و رسیدگی به ریسک‌های امنیت اطلاعات فراهم می‌آورد و با ارائه یک روش‌شناسی خاص، ISO/IEC 27001 را تکمیل می‌کند. در سال‌های اخیر، محاسبات ابری چالش‌های امنیتی منحصربه‌فردی را معرفی کرده است و استاندارد ISO/IEC 27017 برای رسیدگی به این نگرانی‌ها توسعه یافته است. این استاندارد راهنمایی‌هایی برای پیاده‌سازی کنترل‌های امنیت اطلاعات ویژه فضای ابری ارائه می‌دهد تا استفاده امن از خدمات ابری برای ارائه‌دهندگان و مشتریان تضمین شود. در کنار آن، ISO/IEC 27018 بر حفاظت از اطلاعات شناسایی‌شده فردی (PII) در محیط‌های ابری عمومی تمرکز دارد و به سازمان‌ها کمک می‌کند تا الزامات قانونی مربوط به حریم خصوصی را رعایت کرده و اعتماد مشتری را حفظ کنند. علاوه بر این، ISO/IEC 27035 به مدیریت حوادث می‌پردازد و راهنمایی‌هایی برای آماده‌سازی، شناسایی و پاسخ مؤثر به حوادث امنیتی ارائه می‌دهد. این استاندارد بر فرآیندهای ساختاریافته پاسخ به حوادث تأکید دارد تا آسیب‌های احتمالی را به حداقل رسانده و بازیابی به‌موقع را ممکن سازد. این استاندارد راهنمایی‌هایی برای ایجاد و راه‌اندازی سامانه مدیریت اطلاعات حریم خصوصی (PIMS) فراهم می‌کند و امنیت اطلاعات را با الزامات حفاظت از داده‌ها هم‌راستا می‌سازد. این استاندارد چارچوبی شناخته‌شده در سطح جهانی برای تعریف الزامات امنیتی، اجرای اقدامات حفاظتی، و ارزیابی اینکه آیا این اقدامات معیارهای مشخص‌شده را برآورده می‌کنند، ارائه می‌دهد. استاندارد ISO/IEC 15408 از پنج بخش تشکیل شده است: بخش ۱: مقدمه و مدل عمومی – مفاهیم کلیدی، اصول و چارچوب کلی ارزیابی را تعریف می‌کند. بخش ۲: مؤلفه‌های عملکردی امنیتی – فهرستی از الزامات عملکردی امنیتی مانند کنترل دسترسی، رمزنگاری، و ثبت رخدادها را ارائه می‌دهد. بخش ۳: مؤلفه‌های اطمینان امنیتی – سطوح اطمینان ارزیابی (EAL1 تا EAL7) را مشخص می‌کند که نشان‌دهنده عمق و دقت ارزیابی‌های امنیتی هستند. بخش ۴: چارچوبی برای مشخص‌سازی روش‌ها و فعالیت‌های ارزیابی – روش‌شناسی و چارچوب انجام ارزیابی‌های امنیتی، وظایف ارزیابان و الزامات گزارش‌دهی را تشریح می‌کند. | ## بخش 2: استاندارد های امنیت سایبری | بخش ۵: بسته‌های ازپیش‌تعریف‌شده الزامات امنیتی – بسته‌های قابل‌استفاده مجددی از الزامات امنیتی ارائه می‌دهد که فرآیند ارزیابی را برای انواع رایج محصولات تسهیل می‌کنند. این کار موجب کاهش هزینه‌ها و جلوگیری از تکرار فرآیندها برای شرکت‌هایی می‌شود که به دنبال دسترسی به بازار جهانی هستند. اتحادیه اروپا نیز طرح گواهی‌نامه امنیت سایبری اروپا (EUCC) را که بر پایه ISO/IEC 15408 بنا شده، برای هم‌راستایی با استانداردهای بین‌المللی و پاسخ‌گویی به الزامات منطقه‌ای اتخاذ کرده است. این اسناد حاصل فرایند تدوین استانداردهای IEC هستند که در آن تمامی کمیته‌های ملی مشارکت‌کننده بر سر یک استاندارد مشترک توافق می‌کنند. تمام استانداردها و گزارش‌های فنی IEC 62443 در شش دسته کلی سازمان‌دهی شده‌اند: عمومی، سیاست‌ها و رویه‌ها، سیستم، مؤلفه، پروفایل‌ها و ارزیابی. این بخش جنبه‌های مختلفی از ایجاد و نگهداری یک برنامه امنیتی مؤثر برای IACS را پوشش می‌دهد. دسته سوم شامل محصولات کاری است که دستورالعمل‌ها و الزامات طراحی سیستم برای یکپارچه‌سازی امن سیستم‌های کنترل را توصیف می‌کند. دسته پنجم پروفایل‌هایی برای الزامات امنیت سایبری خاص صنایع مطابق با IEC 62443-1-5 فراهم می‌کند. دسته ششم روش‌های ارزیابی را تعریف می‌کند تا اطمینان حاصل شود که نتایج ارزیابی سازگار و قابل تکرار هستند. این استاندارد، اقدامات امنیت سایبری در طول چرخه توسعه وسایل نقلیه جاده‌ای را پیشنهاد می‌کند و در آگوست 2021 منتشر شده است. این استاندارد به مقررات امنیت سایبری اتحادیه اروپا (EU) که در حال تدوین است، مربوط می‌شود. در هماهنگی با اتحادیه اروپا، کمیسیون اقتصادی سازمان ملل متحد برای اروپا (UNECE) یک سیستم مدیریت امنیت سایبری (CSMS) تعریف کرده که برای تأیید نوع وسایل نقلیه الزامی است. مشتقاتی از این استاندارد در کارهای گروه UNECE WP29 دیده می‌شود که مقررات مربوط به امنیت سایبری خودرو و به‌روزرسانی نرم‌افزار را فراهم می‌کند. این استاندارد شامل کنترل‌های فنی و سیاست‌های سازمانی برای توسعه‌دهندگان و تولیدکنندگان دستگاه‌های متصل به اینترنت است. این استاندارد در ژوئن 2020 منتشر شد و هدف آن تکمیل سایر استانداردهای تخصصی‌تر است. از آنجا که بسیاری از دستگاه‌های IoT اطلاعات هویتی شخصی (PII) را پردازش می‌کنند، اجرای این استاندارد به رعایت مقررات عمومی حفاظت از داده اتحادیه اروپا (GDPR) کمک می‌کند. مفاد امنیت سایبری در این استاندارد اروپایی شامل موارد زیر است: عدم استفاده از گذرواژه‌های پیش‌فرض عمومی ارائه راهکاری برای مدیریت گزارش آسیب‌پذیری‌ها به‌روزرسانی مداوم نرم‌افزار ذخیره‌سازی امن پارامترهای حساس امنیتی برقراری ارتباط امن کاهش سطح حملات آشکار تضمین یکپارچگی نرم‌افزار حفاظت از داده‌های شخصی مقاومت در برابر قطعی سیستم بررسی داده‌های تله‌متری سیستم سهولت حذف داده‌های کاربر توسط خود کاربر نصب و نگهداری آسان دستگاه‌ها اعتبارسنجی داده‌های ورودی ارزیابی تطابق با این الزامات پایه از طریق استاندارد TS 103 701 انجام می‌شود، که امکان خودارزیابی یا ارزیابی توسط نهاد ثالث را فراهم می‌کند. EN 18031 مجموعه استانداردهای EN 18031 که توسط کمیته استانداردگذاری اروپا (CEN) با همکاری کمیته استانداردسازی الکتروتکنیک اروپا (CENELEC) منتشر شده‌اند، الزامات ضروری امنیت اطلاعات برای دستگاه‌ها و سیستم‌های رادیویی را تعیین می‌کنند. با همسویی با دستورالعمل تجهیزات رادیویی (2014/53/EU) و قانون تفویضی همراه آن، این استانداردها از تولیدکنندگان و ذی‌نفعان برای حفظ انطباق و سازگاری در بازارهای اروپا پشتیبانی می‌کنند. آن‌ها همچنین پروتکل‌های آزمون مشترک، معیارهای عملکرد و دستورالعمل‌های امنیتی را ایجاد می‌کنند تا قابلیت همکاری فرامرزی تسهیل شده و نیازهای در حال تغییر صنعت پاسخ داده شوند. استاندارد های ملی زیر‌بخش‌های زیر به استانداردها و چارچوب‌های ملی مرتبط با امنیت سایبری می‌پردازند. NERC CIP شرکت قابلیت اطمینان الکتریکی آمریکای شمالی (NERC) مسئول توسعه و اجرای استانداردهای امنیت سایبری برای حفاظت از قابلیت اطمینان و امنیت سامانه برق عمده در آمریکای شمالی است که ایالات متحده، کانادا و شمال باخا کالیفرنیای مکزیک را پوشش می‌دهد.[27] استانداردهای NERC بر اقدامات امنیت سایبری برای دارایی‌های حیاتی تمرکز دارند. این اقدامات شامل شناسایی دارایی‌ها، تعیین مرزهای امنیت الکترونیکی، آموزش کارکنان، پاسخ‌گویی به رخدادها و برنامه‌ریزی برای بازیابی می‌شود. استانداردهای کلیدی امنیت سایبری در مجموعه‌ای با عنوان حفاظت از زیرساخت‌های حیاتی (CIP) تعریف شده‌اند، که شامل استانداردهای CIP-002 تا CIP-014 می‌باشد.[28] رعایت این استانداردها برای تمامی اپراتورها و مالکان سامانه‌های قدرت که تحت حوزه اختیارات NERC فعالیت می‌کنند، الزامی است. | ## بخش 3: استاندارد های امنیت سایبری | نظارت بر اجرای این استانداردها در ایالات متحده بر عهده کمیسیون فدرال تنظیم‌گری انرژی (FERC) می‌باشد. این اصول، پایه بسیاری از دستورالعمل‌ها و چارچوب‌های NIST را تشکیل می‌دهند و به سازمان‌ها کمک می‌کنند تا ارزیابی و مدیریت مؤثر ریسک‌های امنیت سایبری را انجام دهند. در حالی که رعایت استانداردهای NIST برای نهادهای فدرال الزامی است، بسیاری از سازمان‌های خصوصی در حوزه‌هایی مانند مالی، سلامت، تولید و غیره نیز داوطلبانه آن‌ها را به دلیل وضوح، انعطاف‌پذیری و جامع بودن‌شان می‌پذیرند. این چارچوب در پاسخ به تهدیدات فزاینده سایبری و نیاز به شیوه‌های استاندارد توسعه یافته است. ساختار آن حول پنج عملکرد اصلی است: شناسایی، محافظت، کشف، پاسخ‌گویی، و بازیابی، که هر یک نمایانگر یک مرحله حیاتی در مدیریت ریسک امنیت سایبری هستند.[29] این چارچوب به عنوان یک راهنمای جهانی طراحی شده است تا قابل تطبیق برای تمامی سازمان‌ها با هر اندازه و در هر بخش باشد. این طرح، سازمان‌ها را تشویق می‌کند تا شیوه‌های مناسب امنیت اطلاعات را اتخاذ کنند. Essential Eight هشت اصل ضروری مرکز امنیت سایبری استرالیا مرکز امنیت سایبری استرالیا مجموعه‌ای از راهبردهای اولویت‌بندی شده برای کاهش تهدیدات سایبری را در قالب "راهبردهایی برای کاهش حوادث امنیت سایبری" ارائه داده است تا به سازمان‌ها کمک کند در برابر تهدیدهای مختلف سایبری از خود محافظت کنند. این استانداردها شامل توصیه‌هایی دربارهٔ روش‌ها، فرایندها، رویه‌ها، رویکردها و اقدامات برای جنبه‌های مختلف امنیت اطلاعات هستند. استاندارد BSI 200-1: الزامات کلی برای یک سیستم مدیریت امنیت اطلاعات (ISMS) را تعریف می‌کند. استاندارد BSI 200-2: پایهٔ روش‌شناسی BSI برای پیاده‌سازی سیستم مدیریت امنیت اطلاعات مبتنی بر حفاظت پایه را تشکیل می‌دهد. استاندارد BSI 200-3: تمام گام‌های مربوط به ارزیابی ریسک در پیاده‌سازی حفاظت پایه فناوری اطلاعات را در بر می‌گیرد. این استاندارد توسط شرکت‌های ارائه‌دهنده کارت‌های اعتباری الزام‌آور شده و توسط شورای استانداردهای امنیتی صنعت کارت پرداخت (PCI SSC) مدیریت می‌شود. هدف از ایجاد این استاندارد، افزایش کنترل‌ها بر داده‌های دارنده کارت و در نتیجه کاهش تقلب در کارت‌های اعتباری است. این استانداردها شامل الزامات کلی امنیت سایبری (UL 2900-1) و همچنین الزامات خاص برای محصولات پزشکی (UL 2900-2-1)، سیستم‌های صنعتی (UL 2900-2-2)، و سامانه‌های هشدار ایمنی و امنیت زندگی (UL 2900-2-3) هستند. همچنین UL 2900 تأکید می‌کند که اقدامات امنیتی مؤثری برای محافظت از داده‌های حساس (مانند داده‌های شخصی) و سایر دارایی‌ها (نظیر داده‌های فرمان و کنترل) باید اتخاذ شده باشد. سازمان‌های تولیدکننده استانداردها سازمان بین‌المللی استانداردسازی (ISO) یک سازمان بین‌المللی تدوین استاندارد است که به‌صورت کنسرسیومی از نهادهای ملی استاندارد از ۱۶۷ کشور سازماندهی شده و دبیرخانه آن در ژنو، سوئیس قرار دارد. کمیسیون بین‌المللی الکتروتکنیک (IEC) نیز یک سازمان بین‌المللی استانداردسازی است که در حوزه الکتروتکنولوژی فعالیت دارد و همکاری نزدیکی با ISO دارد. برخی از استانداردهای مهم برای متخصصان امنیت اطلاعات عبارت‌اند از: ISO/IEC 15443: فناوری اطلاعات – تکنیک‌های امنیتی – چارچوبی برای تضمین امنیت فناوری اطلاعات ISO/IEC 27002: فناوری اطلاعات – تکنیک‌های امنیتی – کدهای عملی برای مدیریت امنیت اطلاعات ISO/IEC 20000: فناوری اطلاعات – مدیریت خدمات ISO/IEC 27001: فناوری اطلاعات – تکنیک‌های امنیتی – سیستم‌های مدیریت امنیت اطلاعات – الزامات مؤسسه ملی فناوری و استانداردها (NIST) یک نهاد فدرال غیرنظارتی وابسته به وزارت بازرگانی ایالات متحده آمریکا است. بخش امنیت رایانه NIST به توسعه استانداردها، سنجه‌ها، تست‌ها و برنامه‌های ارزیابی می‌پردازد و استانداردها و راهنماهایی را برای بهبود امنیت در برنامه‌ریزی، پیاده‌سازی، مدیریت و عملیات فناوری اطلاعات منتشر می‌کند. این نهاد در زمینه مسائل مربوط به آینده اینترنت نقش رهبری دارد و خانه سازمانی گروه‌هایی است که مسئول استانداردهای زیرساختی اینترنت هستند، از جمله: کارگروه مهندسی اینترنت (IETF) هیئت معماری اینترنت (IAB) ISOC همچنین میزبان اسناد درخواست برای اظهار نظر (RFC) است، که شامل استانداردهای رسمی پروتکل‌های اینترنت و سند مهم RFC-2196 (راهنمای امنیت سایت) می‌شود. پیش از سال ۲۰۰۵، این کاتالوگ‌ها با عنوان "حفاظت از پایگاه داده فناوری اطلاعات" شناخته می‌شدند. این اسناد برای شناسایی و مقابله با نقاط ضعف امنیتی در محیط فناوری اطلاعات بسیار مفید هستند. تا سپتامبر ۲۰۱۳، مجموعه‌ی کامل این اسناد به همراه مقدمه و کاتالوگ‌ها، بیش از ۴۴۰۰ صفحه را دربر می‌گیرد. | ## جمع‌بندی | نهاد استانداردهای مخابراتی اروپا (ETSI) نیز یک کاتالوگ از شاخص‌های امنیت اطلاعات را استاندارد کرده است که توسط گروه مشخصات صنعتی (ISG) تحت عنوان ISI هدایت می‌شود.