استاندارد های امنیت سایبری

استانداردهای امنیت اطلاعات (که به آن‌ها استانداردهای امنیت سایبری نیز گفته می‌شود) تکنیک‌هایی هستند که معمولاً در منابع منتشرشده بیان می‌شوند و با هدف محافظت از محیط سایبری یک کاربر یا سازمان طراحی شده‌اند. این محیط شامل خود کاربران، شبکه‌ها، دستگاه‌ها، تمام نرم‌افزارها، فرآیندها، اطلاعات در حال ذخیره‌سازی یا انتقال، برنامه‌ها، خدمات و سامانه‌هایی است که می‌توانند به‌طور مستقیم یا غیرمستقیم به شبکه‌ها متصل باشند.

هدف اصلی این استانداردها کاهش ریسک‌ها است، از جمله جلوگیری یا کاهش اثر حملات سایبری.

این منابع منتشرشده شامل ابزارها، سیاست‌ها، مفاهیم امنیتی، تدابیر امنیتی، دستورالعمل‌ها، رویکردهای مدیریت ریسک، اقدامات، آموزش، بهترین شیوه‌ها، تضمین‌ها و فناوری‌ها می‌باشند.

## تاریخچه
استانداردهای امنیت سایبری طی چندین دهه وجود داشته‌اند، چرا که کاربران و ارائه‌دهندگان خدمات در بسیاری از مجامع داخلی و بین‌المللی با یکدیگر همکاری کرده‌اند تا قابلیت‌ها، سیاست‌ها و رویه‌های لازم را ایجاد کنند – که عمدتاً از کارهای انجام‌شده در کنسرسیوم تحقیقات امنیت اطلاعات و سیاست‌گذاری دانشگاه استنفورد در دهه ۱۹۹۰ سرچشمه گرفته‌اند.

مطالعه‌ای در سال ۲۰۱۶ درباره پذیرش چارچوب امنیتی در ایالات متحده گزارش داد که ۷۰٪ از سازمان‌های مورد بررسی، از چارچوب امنیت سایبری ایالات متحده آمریکا (NIST) به عنوان رایج‌ترین روش برتر در امنیت رایانه‌ای فناوری اطلاعات (IT) استفاده می‌کنند، هرچند بسیاری اذعان دارند که اجرای آن نیاز به سرمایه‌گذاری قابل‌توجهی دارد.

عملیات‌های برون‌مرزی استخراج اطلاعات سایبری (cyber-exfiltration) توسط نهادهای مجری قانون برای مقابله با فعالیت‌های مجرمانه بین‌المللی در دارک وب، سؤالات پیچیده‌ای در مورد صلاحیت قضایی به‌وجود آورده که تا حدودی بی‌پاسخ باقی مانده‌اند. تنش‌ها بین تلاش‌های داخلی برای اجرای عملیات‌های برون‌مرزی استخراج سایبری و صلاحیت قضایی بین‌المللی احتمالاً به پیشرفت هنجارهای امنیت سایبری ادامه خواهند داد.

## استاندارد های بین المللی
بخش‌های زیر به استانداردهای بین‌المللی مرتبط با امنیت سایبری می‌پردازند:

### خانواده استانداردهای ISO/IEC 27000
**مقاله اصلی: [[ایزو/آی‌ای‌سی ۲۷۰۰۱]]**

مجموعه ایزو/آی‌ای‌سی ۲۷۰۰۰ خانواده‌ای از استانداردهای بین‌المللی هستند که به‌صورت مشترک توسط سازمان بین‌المللی استانداردسازی (ISO) و کمیسیون بین‌المللی الکتروتکنیک (IEC) منتشر شده‌اند. این استانداردها چارچوبی شناخته‌شده در سطح جهانی برای ایجاد، پیاده‌سازی، نگهداری و بهبود مستمر یک سامانه مدیریت امنیت اطلاعات (ISMS) فراهم می‌کنند. این سری برای کمک به سازمان‌هایی در هر اندازه و صنعت طراحی شده‌اند تا دارایی‌های اطلاعاتی خود را به‌صورت سیستماتیک و مقرون‌به‌صرفه محافظت کنند.

در مرکز این سری، استاندارد ایزو/آی‌ای‌سی ۲۷۰۰۱ قرار دارد که الزامات ایجاد و نگهداری ISMS را مشخص می‌کند. این استاندارد تأکید بر رویکرد مبتنی بر ریسک در مدیریت امنیت اطلاعات دارد و سازمان‌ها را تشویق می‌کند تا ریسک‌های خاص محیط عملیاتی خود را شناسایی، ارزیابی و کاهش دهند. سری ISO/IEC 27000 بر پایهچرخه پی‌دی‌سی‌ای (PDCA) بنا شده که روشی برای بهبود مستمر است.

در حالی که ISO/IEC 27001 پایه‌ای برای الزامات ISMS فراهم می‌آورد، سایر استانداردهای این سری راهنمایی‌های تکمیلی و توصیه‌های بخش‌محور ارائه می‌کنند. در کنار هم، آن‌ها یک اکوسیستم جامع برای موضوعاتی از جمله ارزیابی ریسک، مدیریت حوادث، کنترل‌های حفظ حریم خصوصی و امنیت فضای ابری تشکیل می‌دهند.

**ISO/IEC 27002** که مکمل ISO/IEC 27001 است، به عنوان یک راهنمای عملی برای پیاده‌سازی کنترل‌های امنیتی عمل می‌کند. این استاندارد توصیه‌های دقیق و بهترین شیوه‌ها را برای مدیریت ریسک‌های امنیتی اطلاعات در حوزه‌های مختلف مانند امنیت منابع انسانی، امنیت فیزیکی، و امنیت شبکه ارائه می‌دهد.

برای سازمان‌هایی که تمرکز بر مدیریت ریسک دارند، استاندارد **ISO/IEC 27005** یک چارچوب اختصاصی برای شناسایی، ارزیابی و رسیدگی به ریسک‌های امنیت اطلاعات فراهم می‌آورد و با ارائه یک روش‌شناسی خاص، ISO/IEC 27001 را تکمیل می‌کند.

در سال‌های اخیر، محاسبات ابری چالش‌های امنیتی منحصربه‌فردی را معرفی کرده است و استاندارد **ISO/IEC 27017** برای رسیدگی به این نگرانی‌ها توسعه یافته است. این استاندارد راهنمایی‌هایی برای پیاده‌سازی کنترل‌های امنیت اطلاعات ویژه فضای ابری ارائه می‌دهد تا استفاده امن از خدمات ابری برای ارائه‌دهندگان و مشتریان تضمین شود. در کنار آن، **ISO/IEC 27018** بر حفاظت از اطلاعات شناسایی‌شده فردی (PII) در محیط‌های ابری عمومی تمرکز دارد و به سازمان‌ها کمک می‌کند تا الزامات قانونی مربوط به حریم خصوصی را رعایت کرده و اعتماد مشتری را حفظ کنند.

علاوه بر این، **ISO/IEC 27035** به مدیریت حوادث می‌پردازد و راهنمایی‌هایی برای آماده‌سازی، شناسایی و پاسخ مؤثر به حوادث امنیتی ارائه می‌دهد. این استاندارد بر فرآیندهای ساختاریافته پاسخ به حوادث تأکید دارد تا آسیب‌های احتمالی را به حداقل رسانده و بازیابی به‌موقع را ممکن سازد.

با افزایش قوانین مربوط به حریم خصوصی داده‌ها مانند مقررات عمومی حفاظت از داده اتحادیه اروپا **(GDPR)**، استاندارد **ISO/IEC 27701** به عنوان توسعه‌ای بر ISO/IEC 27001 و ISO/IEC 27002 معرفی شده است. این استاندارد راهنمایی‌هایی برای ایجاد و راه‌اندازی سامانه مدیریت اطلاعات حریم خصوصی (PIMS) فراهم می‌کند و امنیت اطلاعات را با الزامات حفاظت از داده‌ها هم‌راستا می‌سازد.

### ISO/IEC 15408
**مقاله اصلی: ([[:en:Common_Criteria|Common Criteria]])**

**معیار مشترک برای ارزیابی امنیت فناوری اطلاعات** (Common Criteria یا CC) یک استاندارد بین‌المللی (ISO/IEC 15408) برای ارزیابی و تأیید ویژگی‌های امنیتی محصولات و سامانه‌های IT است. این استاندارد چارچوبی شناخته‌شده در سطح جهانی برای تعریف الزامات امنیتی، اجرای اقدامات حفاظتی، و ارزیابی اینکه آیا این اقدامات معیارهای مشخص‌شده را برآورده می‌کنند، ارائه می‌دهد.

استاندارد ISO/IEC 15408 از پنج بخش تشکیل شده است:

* **بخش ۱: مقدمه و مدل عمومی** – مفاهیم کلیدی، اصول و چارچوب کلی ارزیابی را تعریف می‌کند.
* **بخش ۲: مؤلفه‌های عملکردی امنیتی** – فهرستی از الزامات عملکردی امنیتی مانند کنترل دسترسی، رمزنگاری، و ثبت رخدادها را ارائه می‌دهد.
* **بخش ۳: مؤلفه‌های اطمینان امنیتی** – سطوح اطمینان ارزیابی (EAL1 تا EAL7) را مشخص می‌کند که نشان‌دهنده عمق و دقت ارزیابی‌های امنیتی هستند.
* **بخش ۴: چارچوبی برای مشخص‌سازی روش‌ها و فعالیت‌های ارزیابی** – روش‌شناسی و چارچوب انجام ارزیابی‌های امنیتی، وظایف ارزیابان و الزامات گزارش‌دهی را تشریح می‌کند.
* **بخش ۵: بسته‌های ازپیش‌تعریف‌شده الزامات امنیتی** – بسته‌های قابل‌استفاده مجددی از الزامات امنیتی ارائه می‌دهد که فرآیند ارزیابی را برای انواع رایج محصولات تسهیل می‌کنند.

گواهی‌نامه‌های مبتنی بر Common Criteria از طریق **تفاهم‌نامه شناخت متقابل معیار مشترک (CCRA)** صادر می‌شوند که شناخت متقابل گواهی‌نامه‌ها میان کشورهای عضو را تضمین می‌کند. این کار موجب کاهش هزینه‌ها و جلوگیری از تکرار فرآیندها برای شرکت‌هایی می‌شود که به دنبال دسترسی به بازار جهانی هستند.

اتحادیه اروپا نیز **طرح گواهی‌نامه امنیت سایبری اروپا (EUCC)** را که بر پایه ISO/IEC 15408 بنا شده، برای هم‌راستایی با استانداردهای بین‌المللی و پاسخ‌گویی به الزامات منطقه‌ای اتخاذ کرده است.

### '''IEC 62443'''
**مقاله اصلی: [[:en:IEC_62443|IEC_62443]]**

استاندارد امنیت سایبری IEC 62443 فرآیندها، تکنیک‌ها و الزامات مربوط به سامانه کنترل صنعتی (IACS) را تعریف می‌کند. این اسناد حاصل فرایند تدوین استانداردهای IEC هستند که در آن تمامی کمیته‌های ملی مشارکت‌کننده بر سر یک استاندارد مشترک توافق می‌کنند. تمام استانداردها و گزارش‌های فنی IEC 62443 در شش دسته کلی سازمان‌دهی شده‌اند: عمومی، سیاست‌ها و رویه‌ها، سیستم، مؤلفه، پروفایل‌ها و ارزیابی.

* دسته اول شامل اطلاعات پایه مانند مفاهیم، مدل‌ها و اصطلاحات است.
* دسته دوم، محصولات کاری را شامل می‌شود که مخاطب آن‌ها مالکان دارایی (Asset Owner) هستند. این بخش جنبه‌های مختلفی از ایجاد و نگهداری یک برنامه امنیتی مؤثر برای IACS را پوشش می‌دهد.
* دسته سوم شامل محصولات کاری است که دستورالعمل‌ها و الزامات طراحی سیستم برای یکپارچه‌سازی امن سیستم‌های کنترل را توصیف می‌کند. هسته این دسته مدل منطقه، مسیر و طراحی است.
* دسته چهارم، الزامات فنی و توسعه محصول خاص سیستم‌های کنترل را توصیف می‌کند.
* دسته پنجم پروفایل‌هایی برای الزامات امنیت سایبری خاص صنایع مطابق با IEC 62443-1-5 فراهم می‌کند.
* دسته ششم روش‌های ارزیابی را تعریف می‌کند تا اطمینان حاصل شود که نتایج ارزیابی سازگار و قابل تکرار هستند.

**ISO/SAE 21434**

ISO/SAE 21434 تحت عنوان «وسایل نقلیه جاده‌ای - مهندسی امنیت سایبری»، استانداردی است که به‌طور مشترک توسط گروه‌های کاری ISO و SAE توسعه یافته است. این استاندارد، اقدامات امنیت سایبری در طول چرخه توسعه وسایل نقلیه جاده‌ای را پیشنهاد می‌کند و در آگوست 2021 منتشر شده است.

این استاندارد به مقررات امنیت سایبری اتحادیه اروپا (EU) که در حال تدوین است، مربوط می‌شود. در هماهنگی با اتحادیه اروپا، کمیسیون اقتصادی سازمان ملل متحد برای اروپا (UNECE) یک سیستم مدیریت امنیت سایبری (CSMS) تعریف کرده که برای تأیید نوع وسایل نقلیه الزامی است. این موضوع در مقررات کلی UN Regulation 155 بیان شده و ISO/SAE 21434 به عنوان یک استاندارد فنی در توسعه خودرو می‌تواند انطباق با این مقررات را نشان دهد.

مشتقاتی از این استاندارد در کارهای گروه UNECE WP29 دیده می‌شود که مقررات مربوط به امنیت سایبری خودرو و به‌روزرسانی نرم‌افزار را فراهم می‌کند.

**ETSI EN 303 645**

استاندارد ETSI EN 303 645 مجموعه‌ای از الزامات پایه‌ای امنیتی را برای دستگاه‌های اینترنت اشیاء (IoT) مصرف‌کننده ارائه می‌دهد. این استاندارد شامل کنترل‌های فنی و سیاست‌های سازمانی برای توسعه‌دهندگان و تولیدکنندگان دستگاه‌های متصل به اینترنت است. این استاندارد در ژوئن 2020 منتشر شد و هدف آن تکمیل سایر استانداردهای تخصصی‌تر است. از آنجا که بسیاری از دستگاه‌های IoT اطلاعات هویتی شخصی (PII) را پردازش می‌کنند، اجرای این استاندارد به رعایت مقررات عمومی حفاظت از داده اتحادیه اروپا (GDPR) کمک می‌کند.

مفاد امنیت سایبری در این استاندارد اروپایی شامل موارد زیر است:

* عدم استفاده از گذرواژه‌های پیش‌فرض عمومی
* ارائه راهکاری برای مدیریت گزارش آسیب‌پذیری‌ها
* به‌روزرسانی مداوم نرم‌افزار
* ذخیره‌سازی امن پارامترهای حساس امنیتی
* برقراری ارتباط امن
* کاهش سطح حملات آشکار
* تضمین یکپارچگی نرم‌افزار
* حفاظت از داده‌های شخصی
* مقاومت در برابر قطعی سیستم
* بررسی داده‌های تله‌متری سیستم
* سهولت حذف داده‌های کاربر توسط خود کاربر
* نصب و نگهداری آسان دستگاه‌ها
* اعتبارسنجی داده‌های ورودی

ارزیابی تطابق با این الزامات پایه از طریق استاندارد TS 103 701 انجام می‌شود، که امکان خودارزیابی یا ارزیابی توسط نهاد ثالث را فراهم می‌کند.

**EN 18031**

مجموعه استانداردهای EN 18031 که توسط کمیته استانداردگذاری اروپا (CEN) با همکاری کمیته استانداردسازی الکتروتکنیک اروپا (CENELEC) منتشر شده‌اند، الزامات ضروری امنیت اطلاعات برای دستگاه‌ها و سیستم‌های رادیویی را تعیین می‌کنند. با همسویی با دستورالعمل تجهیزات رادیویی (2014/53/EU) و قانون تفویضی همراه آن، این استانداردها از تولیدکنندگان و ذی‌نفعان برای حفظ انطباق و سازگاری در بازارهای اروپا پشتیبانی می‌کنند. آن‌ها همچنین پروتکل‌های آزمون مشترک، معیارهای عملکرد و دستورالعمل‌های امنیتی را ایجاد می‌کنند تا قابلیت همکاری فرامرزی تسهیل شده و نیازهای در حال تغییر صنعت پاسخ داده شوند.

## استاندارد های ملی
**زیر‌بخش‌های زیر به استانداردها و چارچوب‌های ملی مرتبط با امنیت سایبری می‌پردازند.**

### NERC CIP
شرکت قابلیت اطمینان الکتریکی آمریکای شمالی **(NERC)** مسئول توسعه و اجرای استانداردهای امنیت سایبری برای حفاظت از قابلیت اطمینان و امنیت سامانه برق عمده در آمریکای شمالی است که ایالات متحده، کانادا و شمال باخا کالیفرنیای مکزیک را پوشش می‌دهد.[27]

استانداردهای NERC بر اقدامات امنیت سایبری برای دارایی‌های حیاتی تمرکز دارند. این اقدامات شامل شناسایی دارایی‌ها، تعیین مرزهای امنیت الکترونیکی، آموزش کارکنان، پاسخ‌گویی به رخدادها و برنامه‌ریزی برای بازیابی می‌شود. استانداردهای کلیدی امنیت سایبری در مجموعه‌ای با عنوان **حفاظت از زیرساخت‌های حیاتی (CIP)** تعریف شده‌اند، که شامل استانداردهای **CIP-002 تا CIP-014** می‌باشد.[28]

رعایت این استانداردها برای تمامی اپراتورها و مالکان سامانه‌های قدرت که تحت حوزه اختیارات NERC فعالیت می‌کنند، **الزامی** است. نظارت بر اجرای این استانداردها در ایالات متحده بر عهده کمیسیون فدرال تنظیم‌گری انرژی **(FERC)** می‌باشد. عدم رعایت آن‌ها می‌تواند منجر به **جریمه‌های مالی سنگین** شود.

### استانداردهای امنیت سایبری NIST
:رده:مؤسسه ملی فناوری و استانداردها **(NIST)**، که یک آژانس فدرال ایالات متحده تحت وزارت بازرگانی ایالات متحده آمریکا است، نقش مرکزی در توسعه و نگهداری استانداردها، دستورالعمل‌ها و بهترین شیوه‌ها در زمینه امنیت سایبری دارد. NIST در ابتدا با هدف تأمین امنیت سامانه‌های اطلاعاتی فدرال تأسیس شد، اما استانداردهای آن به‌مرور **تأثیر جهانی یافته‌اند** و اکنون به عنوان منابع پایه‌ای در برنامه‌های امنیت سایبری در صنایع و کشورهای مختلف مورد استفاده قرار می‌گیرند.

رویکرد NIST بر **روش‌شناسی مبتنی بر ریسک** تأکید دارد که پنج عملکرد اصلی را در بر می‌گیرد:

**شناسایی (Identify)، محافظت (Protect)، کشف (Detect)، پاسخ‌گویی (Respond)، و بازیابی (Recover).**

این اصول، پایه بسیاری از دستورالعمل‌ها و چارچوب‌های NIST را تشکیل می‌دهند و به سازمان‌ها کمک می‌کنند تا ارزیابی و مدیریت مؤثر ریسک‌های امنیت سایبری را انجام دهند. در حالی که رعایت استانداردهای NIST برای نهادهای فدرال **الزامی** است، بسیاری از سازمان‌های خصوصی در حوزه‌هایی مانند مالی، سلامت، تولید و غیره نیز **داوطلبانه** آن‌ها را به دلیل وضوح، انعطاف‌پذیری و جامع بودن‌شان می‌پذیرند.

### چارچوب امنیت سایبری NIST (NIST CSF)
**مقاله اصلی: [[چارچوب امنیت سایبری ایالات متحده آمریکا]]**

یکی از تأثیرگذارترین مشارکت‌های NIST، چارچوب امنیت سایبری ایالات متحده آمریکا**(CSF)** است که نخستین بار در سال **۲۰۱۴** منتشر و در سال **۲۰۲۴** با نسخه **CSF 2.0** به‌روزرسانی شد. این چارچوب در پاسخ به تهدیدات فزاینده سایبری و نیاز به شیوه‌های استاندارد توسعه یافته است. CSF یک رویکرد مبتنی بر ریسک برای مدیریت خطرات امنیت سایبری فراهم می‌کند. ساختار آن حول پنج عملکرد اصلی است:

**شناسایی، محافظت، کشف، پاسخ‌گویی، و بازیابی،** که هر یک نمایانگر یک مرحله حیاتی در مدیریت ریسک امنیت سایبری هستند.[29]

این چارچوب به عنوان یک راهنمای جهانی طراحی شده است تا **قابل تطبیق برای تمامی سازمان‌ها با هر اندازه و در هر بخش** باشد.

### NCSC Cyber Essentials
**اصول پایه امنیت سایبری مرکز ملی امنیت سایبری بریتانیا (NCSC)**

مقالهٔ اصلی: Cyber_Essentials

**Cyber Essentials** یک طرح تضمین اطلاعاتی دولتی در بریتانیا است که توسط مرکز ملی امنیت سایبری (بریتانیا) **(NCSC)** اداره می‌شود. این طرح، سازمان‌ها را تشویق می‌کند تا شیوه‌های مناسب امنیت اطلاعات را اتخاذ کنند. Cyber Essentials همچنین شامل یک چارچوب تضمین و مجموعه‌ای ساده از کنترل‌های امنیتی برای محافظت از اطلاعات در برابر تهدیداتی است که از طریق اینترنت وارد می‌شوند.

### Essential Eight
**هشت اصل ضروری مرکز امنیت سایبری استرالیا**

مرکز امنیت سایبری استرالیا مجموعه‌ای از راهبردهای اولویت‌بندی شده برای کاهش تهدیدات سایبری را در قالب "راهبردهایی برای کاهش حوادث امنیت سایبری" ارائه داده است تا به سازمان‌ها کمک کند در برابر تهدیدهای مختلف سایبری از خود محافظت کنند. مؤثرترین این راهبردها تحت عنوان **Essential Eight** یا «هشت اصل ضروری» شناخته می‌شوند.[34]

### BSI IT-Grundschutz
**استانداردهای BSI و روش حفاظت پایه فناوری اطلاعات آلمان (IT-Grundschutz)**

استانداردهای دفتر مرکزی امنیت داده‌ها (آلمان) (**Bundesamt für Sicherheit in der Informationstechnik** یا به اختصار **BSI**) بخشی اساسی از روش **حفاظت پایه فناوری اطلاعات (IT-Grundschutz)** هستند. این استانداردها شامل توصیه‌هایی دربارهٔ روش‌ها، فرایندها، رویه‌ها، رویکردها و اقدامات برای جنبه‌های مختلف امنیت اطلاعات هستند. کاربران نهادهای دولتی، شرکت‌ها، تولیدکنندگان یا ارائه‌دهندگان خدمات می‌توانند از استانداردهای BSI برای امن‌سازی داده‌ها و فرایندهای کسب‌وکار خود استفاده کنند.[35]

* **استاندارد BSI 100-4**: مدیریت تداوم کسب‌وکار (Business Continuity Management - BCM) را پوشش می‌دهد.
* **استاندارد BSI 200-1**: الزامات کلی برای یک سیستم مدیریت امنیت اطلاعات (ISMS) را تعریف می‌کند. این استاندارد با ISO 27001 سازگار است و توصیه‌های سایر استانداردهای ISO مانند ISO 27002 را نیز در نظر می‌گیرد.
* **استاندارد BSI 200-2**: پایهٔ روش‌شناسی BSI برای پیاده‌سازی سیستم مدیریت امنیت اطلاعات مبتنی بر حفاظت پایه را تشکیل می‌دهد. این استاندارد سه روش اجرایی برای پیاده‌سازی حفاظت پایه ارائه می‌دهد.
* **استاندارد BSI 200-3**: تمام گام‌های مربوط به ارزیابی ریسک در پیاده‌سازی حفاظت پایه فناوری اطلاعات را در بر می‌گیرد.

## استانداردهای خاص صنعت

### زیرمجموعه‌های زیر به استانداردها و چارچوب‌های امنیت سایبری مرتبط با صنایع خاص می‌پردازند:

### PCI DSS
**مقاله اصلی: [[استاندارد امنیت داده صنعت پرداخت کارت]] (Payment Card Industry Data Security Standard)**

استاندارد امنیت داده‌های صنعت کارت پرداخت (**PCI DSS**) یک استاندارد امنیت اطلاعات است که برای سازمان‌هایی تدوین شده که با کارت‌های اعتباری برندهای اصلی سر و کار دارند.

این استاندارد توسط شرکت‌های ارائه‌دهنده کارت‌های اعتباری الزام‌آور شده و توسط **شورای استانداردهای امنیتی صنعت کارت پرداخت (PCI SSC)** مدیریت می‌شود.

هدف از ایجاد این استاندارد، افزایش کنترل‌ها بر داده‌های دارنده کارت و در نتیجه کاهش تقلب در کارت‌های اعتباری است.

### UL 2900
UL 2900 مجموعه‌ای از استانداردهاست که توسط شرکت **UL (Underwriters Laboratories)** منتشر شده است. این استانداردها شامل الزامات کلی امنیت سایبری (UL 2900-1) و همچنین الزامات خاص برای محصولات پزشکی (UL 2900-2-1)، سیستم‌های صنعتی (UL 2900-2-2)، و سامانه‌های هشدار ایمنی و امنیت زندگی (UL 2900-2-3) هستند.

طبق UL 2900، تولیدکنندگان موظف‌اند **سطح حمله (attack surface)** فناوری‌های استفاده‌شده در محصولاتشان را شرح داده و مستندسازی کنند.

این استاندارد نیازمند **مدل‌سازی تهدیدات** (Threat Modeling) بر اساس کاربری مورد نظر و محیط پیاده‌سازی محصول است.

همچنین UL 2900 تأکید می‌کند که اقدامات امنیتی مؤثری برای محافظت از داده‌های حساس (مانند داده‌های شخصی) و سایر دارایی‌ها (نظیر داده‌های فرمان و کنترل) باید اتخاذ شده باشد.

این استاندارد همچنین مستلزم این است که **آسیب‌پذیری‌های امنیتی نرم‌افزار برطرف شده باشند**، **اصول امنیتی** مانند دفاع در عمق (Defense-in-Depth) رعایت شده و **امنیت نرم‌افزار از طریق تست نفوذ** (Penetration Testing) تأیید شده باشد.

## سازمان‌های تولیدکننده استانداردها
سازمان بین‌المللی استانداردسازی **(ISO)** یک سازمان بین‌المللی تدوین استاندارد است که به‌صورت کنسرسیومی از نهادهای ملی استاندارد از ۱۶۷ کشور سازماندهی شده و دبیرخانه آن در ژنو، سوئیس قرار دارد.

ISO بزرگ‌ترین تدوین‌کننده استانداردهای بین‌المللی در جهان است.

کمیسیون بین‌المللی الکتروتکنیک **(IEC)** نیز یک سازمان بین‌المللی استانداردسازی است که در حوزه الکتروتکنولوژی فعالیت دارد و همکاری نزدیکی با ISO دارد.

برخی از استانداردهای مهم برای متخصصان امنیت اطلاعات عبارت‌اند از:

* **ISO/IEC 15443**: فناوری اطلاعات – تکنیک‌های امنیتی – چارچوبی برای تضمین امنیت فناوری اطلاعات
* **ISO/IEC 27002**: فناوری اطلاعات – تکنیک‌های امنیتی – کدهای عملی برای مدیریت امنیت اطلاعات
* **ISO/IEC 20000**: فناوری اطلاعات – مدیریت خدمات
* **ISO/IEC 27001**: فناوری اطلاعات – تکنیک‌های امنیتی – سیستم‌های مدیریت امنیت اطلاعات – الزامات

مؤسسه ملی فناوری و استانداردها **(NIST)** یک نهاد فدرال غیرنظارتی وابسته به وزارت بازرگانی ایالات متحده آمریکا است.

**بخش امنیت رایانه NIST** به توسعه استانداردها، سنجه‌ها، تست‌ها و برنامه‌های ارزیابی می‌پردازد و استانداردها و راهنماهایی را برای بهبود امنیت در برنامه‌ریزی، پیاده‌سازی، مدیریت و عملیات فناوری اطلاعات منتشر می‌کند.

NIST همچنین نگهدارنده انتشارات استاندارد پردازش اطلاعات فدرال (FIPS) است.

جامعه اینترنت **(Internet Society یا ISOC)** یک جامعه حرفه‌ای با عضویت بیش از ۱۰۰ سازمان و ۲۰٬۰۰۰ عضو حقیقی از بیش از ۱۸۰ کشور است.

این نهاد در زمینه مسائل مربوط به آینده اینترنت نقش رهبری دارد و خانه سازمانی گروه‌هایی است که مسئول استانداردهای زیرساختی اینترنت هستند، از جمله:

* کارگروه مهندسی اینترنت **(IETF)**
* **هیئت معماری اینترنت (IAB)**

ISOC همچنین میزبان اسناد **درخواست برای اظهار نظر (RFC)** است، که شامل استانداردهای رسمی پروتکل‌های اینترنت و سند مهم **RFC-2196 (راهنمای امنیت سایت)** می‌شود.

دفتر مرکزی امنیت داده‌ها (آلمان) (به آلمانی: *Bundesamt für Sicherheit in der Informationstechnik* یا **BSI**)

استانداردهای BSI با شماره‌های ۱۰۰–۱ تا ۱۰۰–۴ مجموعه‌ای از توصیه‌ها هستند که شامل روش‌ها، فرآیندها، رویکردها و اقدامات مرتبط با امنیت اطلاعات می‌شوند.

**استاندارد ۱۰۰–۲ BSI** با عنوان **روش‌شناسی IT-Grundschutz** توضیح می‌دهد که چگونه می‌توان مدیریت امنیت اطلاعات را پیاده‌سازی و اجرا کرد.

این استاندارد راهنمایی ویژه به نام **کاتالوگ‌های حفاظت پایه IT (IT-Grundschutz Catalogs)** را نیز در بر می‌گیرد.

پیش از سال ۲۰۰۵، این کاتالوگ‌ها با عنوان "حفاظت از پایگاه داده فناوری اطلاعات" شناخته می‌شدند. این اسناد برای شناسایی و مقابله با نقاط ضعف امنیتی در محیط فناوری اطلاعات بسیار مفید هستند.

تا سپتامبر ۲۰۱۳، مجموعه‌ی کامل این اسناد به همراه مقدمه و کاتالوگ‌ها، بیش از ۴۴۰۰ صفحه را دربر می‌گیرد.

رویکرد IT-Grundschutz با خانواده استانداردهای **ISO/IEC 2700x** هم‌راستا و منطبق است.

نهاد استانداردهای مخابراتی اروپا **(ETSI)** نیز یک کاتالوگ از شاخص‌های امنیت اطلاعات را استاندارد کرده است که توسط **گروه مشخصات صنعتی (ISG)** تحت عنوان **ISI** هدایت می‌شود.

## جستارهای وابسته
* افسر (مدیر) ارشد امنیت اطلاعات
* CIS Critical Security Controls
* امنیت رایانه
* Control system security
* امنیت اطلاعات
* Information assurance
* Gordon–Loeb model for cyber security investments
## منابع

## لینک های خارجی
* IEC Cyber Security
* ISO 27001 Information Security
* NERC CIP Standards 
* Presentation by Professor William Sanders, University of Illinois
* Global Cybersecurity Policy Conference
* Federal Financial Institutions Examination Council's (FFIEC) Web Site
*UK NCSC Common Criteria

رده:استانداردهای امنیت رایانه‌ای
رده:جنگ سایبری
رده:رویه‌های امنیت رایانه‌ای
رده:استانداردهای امنیت رایانه‌ای
رده:جنگ سایبری