استاندارد امنیت سایبری چیست؟

استاندارد امنیت سایبری مجموعه ای از دستورالعمل ها یا بهترین شیوه ها است که سازمان ها می توانند برای بهبود وضعیت امنیت سایبری خود از آنها استفاده کنند.

سازمان ها می توانند از استانداردهای امنیت سایبری برای کمک به شناسایی و اجرای اقدامات مناسب برای محافظت از سیستم ها و داده‌های خود در برابر تهدیدات سایبری استفاده کنند. استانداردها همچنین می توانند راهنمایی هایی را در مورد نحوه پاسخگویی و بازیابی حوادث امنیت سایبری ارائه دهند.

چارچوب‌های امنیت سایبری به طور کلی برای همه سازمان‌ها، صرف نظر از اندازه، صنعت یا بخش آنها قابل اجرا است. در این مقاله استانداردهای متداول انطباق امنیت سایبری را که مبنایی قوی برای هر استراتژی امنیت سایبری تشکیل می‌دهند، شرح می‌دهیم.

DFARS (Defense Federal Acquisition Regulation Supplement)

DFARS مجموعه ای از مقررات صادر شده توسط وزارت دفاع آمریکا است که مکمل مقررات فدرال است. DFARS رهنمودها و روش هایی را برای به دست آوردن لوازم و خدمات برای وزارت دفاع ارائه می کند.

مقامات، پیمانکاران، و پیمانکاران فرعی که با وزارت دفاع آمریکا تجارت می کنند، باید از DFARS پیروی کنند.

FISMA (Federal Information Security Management Act)

FISMA یک قانون فدرال ایالات متحده است که به عنوان قانون دولت الکترونیک در سال 2002 تصویب شده است . این قانون چارچوب جامعی را برای تضمین امنیت اطلاعات و سیستم های اطلاعاتی برای همه دستگاه های اجرایی ایجاد می کند.

FISMA برای تقویت امنیت اطلاعات در سازمان های فدرال، NIST و OMB (دفتر مدیریت و بودجه) ایجاد شد. و سازمان‌های فدرال را ملزم می‌کند تا برنامه‌های امنیت اطلاعات را برای اطمینان از محرمانه بودن، یکپارچگی و در دسترس بودن اطلاعات و سیستم‌های فناوری اطلاعات خود، از جمله مواردی که توسط آژانس‌ها یا پیمانکاران دیگر ارائه یا مدیریت می‌شوند، اجرا کنند.

HIPAA (Health Insurance Portability and Accountability Act)

HIPAA مجموعه ای از مقررات فدرال است که از حریم خصوصی اطلاعات سلامت بیماران محافظت می کند. HIPAA برای همه انواع اطلاعات بهداشتی از جمله سوابق کاغذی، سوابق الکترونیکی و ارتباطات شفاهی اعمال می شود.

هدف آن آسان‌تر نگه‌داشتن بیمه سلامت افراد هنگام تغییر شغل، حفاظت از محرمانه بودن و امنیت اطلاعات مراقبت‌های بهداشتی و کمک به صنعت مراقبت‌های بهداشتی در کنترل هزینه‌های اداری است.

ISO 22301

ISO 22301 یک استاندارد بین المللی است که به تشریح چگونگی اطمینان از تداوم کسب و کار و محافظت از خود در برابر بلایا توسط سازمان ها می پردازد. این استاندارد چارچوبی برای یک BCMS جامع (سیستم مدیریت تداوم کسب و کار) فراهم می کند. این استاندارد می تواند توسط هر سازمانی، صرف نظر از اندازه، صنعت یا مکان استفاده شود.

ISO/IEC 27001

ISO 27001 یک استاندارد بین المللی برای امنیت اطلاعات است که چارچوبی برای مدیریت اطلاعات حساس شرکت فراهم می کند. این استاندارد شامل الزاماتی برای توسعه ISMS (سیستم مدیریت امنیت اطلاعات)، اجرای کنترل‌های امنیتی و انجام ارزیابی‌های ریسک است.

چارچوب این استاندارد برای کمک به سازمان ها طراحی شده است تا اقدامات امنیتی خود را در یک مکان، به طور مداوم و مقرون به صرفه مدیریت کنند.

ISO/IEC 27002

ایزو 27002 آیین نامه ای برای مدیریت امنیت اطلاعات است. راهنمایی و توصیه هایی در مورد نحوه اجرای کنترل های امنیتی در یک سازمان ارائه می دهد. ISO 27002 از استاندارد ISO 27001 پشتیبانی می کند که الزامات یک ISMS را فراهم می کند.

ISO/IEC 27031

ISO 27031 استانداردی برای آمادگی ICT (فناوری اطلاعات و ارتباطات) برای تداوم کسب و کار است. این دستورالعمل در مورد اینکه چگونه سازمان ها می توانند از فناوری اطلاعات و ارتباطات برای محافظت از عملیات تجاری خود و اطمینان از تداوم در صورت وقوع یک حادثه یا فاجعه استفاده کنند، ارائه می دهد.

دستیابی به انطباق با ISO 27031 به سازمان ها کمک می کند تا تهدیدات خدمات فناوری اطلاعات و ارتباطات را درک کنند و ایمنی آنها را در صورت وقوع یک حادثه برنامه ریزی نشده تضمین کند.

ISO/IEC 27032

ISO 27032 یک استاندارد بین المللی شناخته شده است که راهنمایی هایی در مورد امنیت سایبری برای سازمان ها ارائه می دهد. این استاندارد برای کمک به سازمان‌ها طراحی شده است تا از خود در برابر حملات سایبری محافظت کنند و خطرات مرتبط با استفاده از فناوری را مدیریت کنند. این استاندارد مبتنی بر رویکرد مدیریت ریسک است و راهنمایی هایی در مورد چگونگی شناسایی، ارزیابی و مدیریت ریسک های سایبری ارائه می دهد. این استاندارد همچنین شامل راهنمایی در مورد واکنش و بازیابی حادثه است.

NIST CSF (Cybersecurity Framework)

NIST CSF (مؤسسه ملی استانداردها و چارچوب امنیت سایبری فناوری) یک چارچوب داوطلبانه است که مجموعه ای از استانداردها، دستورالعمل ها و بهترین شیوه‌ها را برای مدیریت خطرات امنیت سایبری ارائه می دهد.

این چارچوب به سازمان ها کمک می کند تا خطرات امنیت سایبری خود را به شیوه ای ساختاریافته و قابل تکرار شناسایی، ارزیابی و مدیریت کنند. این چارچوب اجباری نیست، اما به طور فزاینده‌ای توسط سازمان‌ها به عنوان اقدامی داوطلبانه برای بهبود وضعیت امنیت سایبری آن‌ها اتخاذ می‌شود.