ارزیابی شکاف ISO 27001: مراحل و خروجی‌ها
ارزیابی شکاف ISO 27001 وضعیت کنترل‌ها و مستندات فعلی را با بندهای استاندارد و مجموعه کنترلهای Annex A مقایسه میکند و برنامه‌ای اولویت‌بندی‌شده برای رفع فاصله‌ها ارائه میدهد. این کار سازمان را برای ممیزی گواهی آماده میکند، اما خودش گواهی نیست و نتیجه ممیزی را تضمین نمیکند.
ارزیابی شکاف ISO 27001 چیست؟
ISO/IEC 27001 استاندارد بین‌المللی سیستم مدیریت امنیت اطلاعات (ISMS) است: مجموعه‌ای مستند و مبتنی بر ریسک از سیاست‌ها، فرایندها و کنترل‌ها که باید نگهداری و بهبود یابد، نه اینکه یکبار نصب شود و کنار بماند. گواهی را نهاد صدور گواهیِ دارای اعتبار پس از ممیزی‌های خودش صادر میکند؛ الزامات استاندارد مبنای هر ارزیابی شکاف است.
ارزیابی به یک پرسش روشن پاسخ میدهد: سازمان امروز تا چه اندازه از برآورده‌کردن این الزامات فاصله دارد؟ مستندات، رویه واقعی و پیکربندی فنی بررسی می‌شوند و تفاوت‌ها در برابر بندهای استاندارد و کنترلهای Annex A به‌عنوان یافته ثبت می‌شوند. بندهای 4 تا 10 الزامات سیستم مدیریت را پوشش می‌دهند و نسخه 2022 مجموعه Annex A دارای 93 کنترل مرجع گروه‌بندی‌شده بر اساس موضوع است.
سه نکته که از سوءبرداشت بعدی جلوگیری میکند:
- این کار سنجش آمادگی است، نه ممیزی. نه اعتباربخشی انجام میدهد و نه درباره صدور گواهی تصمیم می‌گیرد. خروجی آن برنامه‌ای اجرایی است، نه عدم‌انطباق رسمی با شماره‌گذاری نهاد گواهی.
- دامنه انتخاب میشود، نه اینکه از پیش تحمیل شود. ISO 27001 الزام نمیکند کل سازمان گواهی بگیرد. دامنه میتواند یک واحد کسب‌وکار، مکان، خط محصول یا مجموعه‌ای از سامانه‌ها باشد، به شرط آنکه مرز روشن و توجیه شده باشد. بسیاری از شرکت‌ها ابتدا دامنه محدودتری انتخاب میکنند؛ این تصمیم میتواند هزینه ارزیابی و گواهی را کاهش دهد و باید پیش از بررسی مستندات گرفته شود.
- شواهد باید بی‌پرده ثبت شوند. اگر سند چیزی بگوید و عمل چیز دیگری نشان دهد، همین اختلاف ثبت میشود؛ ممیز گواهی نیز احتمالاً همان تفاوت را بعداً پیدا خواهد کرد.
فرایند ارزیابی
شش گام زیر شکل یک ارزیابی اجرایی را نشان می‌دهند. اهمیت ستون خروجی در این است که هر گام باید مدرکی قابل نگهداری بسازد، نه صرفاً یک برداشت کلی:
جدول الف: گام | اقدام | خروجی
| گام | اقدام | خروجی |
|---|---|---|
| تعیین دامنه | توافق بر مرز ISMS: مکان‌ها، واحدها، سامانه‌ها و داده‌های مشمول و دلیل آن؛ شناسایی طرف‌های ذی‌نفع و نیازهایشان | بیانیه دامنه همراه با توجیه، قابل استفاده دوباره در ممیزی مرحله ۱ |
| بررسی مستندات | سنجش سیاست‌ها، رویه‌ها و سوابق در برابر بندهای 4 تا 10 و Annex A؛ بررسی اینکه اسناد واقعیت را توصیف میکنند یا صرفاً وضعیت مطلوب را | فهرست اسناد با وضعیت موجود، ناقص یا غایب و شواهد مشاهده‌شده |
| مصاحبه | گفت‌وگو با مسئولان فرایندها در IT، منابع انسانی، عملیات، مالی و مدیریت و مقایسه پاسخ‌ها؛ اختلاف میان دو واحد نیز یافته است | یادداشت مصاحبه برای هر فرایند و ثبت تفاوت میان رویه و سند |
| بررسی فنی | نمونه‌گیری از پیکربندی واقعی: فهرست دسترسی، ثبت رویداد، کارهای پشتیبان‌گیری و شواهد بازیابی، وصله‌ها و دسترسی فیزیکی؛ این کار آزمون نفوذ نیست | نتایج هر حوزه کنترل با نمونه‌ها و تاریخ‌ها برای امکان راستی‌آزمایی دوباره |
| درجه‌بندی | امتیازدهی یافته‌ها بر اساس شدت و تلاش لازم؛ شدت از ریسک سازمان می‌آید، نه جایگاه کنترل در Annex A | دفتر ثبت شکاف: بند یا کنترل، وضعیت فعلی، یافته، شدت و مالک پیشنهادی |
| گزارش و نقشه راه | گردآوری یافته‌ها و توالی کارها: اصلاحات سریع، موارد ساختاری و اسنادی که پیش از ممیزی مرحله ۱ لازم‌اند | گزارش تحلیل شکاف، نقشه راه اولویت‌دار و پیشنویس بیانیه کاربردپذیری |
استاندارد روش اجرای ارزیابی شکاف را تجویز نمیکند، بنابراین روش ارائه‌دهندگان متفاوت است. تفاوت ارزیابی مفید با بازبینی پرهزینه در انضباط شواهد است: یافته باید به چیزی متصل باشد که ممیز بتواند دوباره بررسی کند و در دفتر ثبت نیز پیگیری شود. پرسش‌های حاکمیتی و ممیزی امنیت در صفحه ممیزی و مشاوره IT آمده‌اند؛ زمینه حفاظت از زیرساخت ISMS نیز در صفحه زیرساخت دیجیتال بررسی میشود.
خروجی‌های ارزیابی
چهار مدرک، ارزیابی جدی را تعریف میکنند. اگر پیشنهاد کاری هر چهار مورد را نام نمی‌برد، دلیل را بپرسید:
- گزارش تحلیل شکاف. شرح دامنه بررسی‌شده، روش، یافته‌ها بر اساس بند و حوزه کنترل و خلاصه مدیریتی قابل‌فهم برای مدیرعامل. گزارش فقط فهرست اختلاف‌ها نیست و چرایی آنها را توضیح میدهد.
- دفتر ثبت شکاف‌ها. فهرست کاری هر یافته همراه با ارجاع بند یا Annex A، وضعیت فعلی، شدت و اولویت. این دفتر مبنای اجرای پروژه بعدی است و توصیه‌ها را به کارهای قابل واگذاری تبدیل میکند.
- نقشه راه اصلاح. توالی اقدام‌ها: موارد لازم پیش از ممیزی مرحله ۱، کارهای ماه‌های نخست ISMS و مواردی که می‌توانند منتظر بمانند. توالی باید وابستگی‌ها را لحاظ کند؛ بازبینی فصلی دسترسی بدون داشتن فهرست دسترسی ممکن نیست.
- پیشنویس بیانیه کاربردپذیری (SoA). مدرکی که تمام کنترلهای Annex A را فهرست میکند، کاربردپذیری هرکدام و دلیل آن را می‌گوید و نحوه اجرا را شرح میدهد. آمادهسازی پیشنویس هنگام ارزیابی در پروژه گواهی زمان ذخیره میکند؛ در غیر این صورت باید 93 تصمیم از صفحه سفید و زیر فشار موعد نوشته شود.
این ارزیابی چه چیزی نیست؟
شفافیت درباره این موارد جلوی اختلاف‌های بعدی را می‌گیرد:
- گواهی نیست. فقط نهاد صدور گواهیِ دارای اعتبار، مطابق ISO/IEC 17021 و اعتباربخشی خود، میتواند ISMS را گواهی کند. ارزیابی کار مشاوره‌ای است و یافته‌هایش نزد نهاد گواهی رسمیت ندارند. نتیجه آن نیز گواهی را تضمین نمیکند؛ سازمان ممکن است ارزیابی را با موفقیت بگذراند اما در ممیزی مرحله ۲ با یافته‌های مستقل ممیز روبه‌رو شود.
- ممیزی داخلی نیست. استاندارد انجام ممیزی داخلی و بازنگری مدیریت را در چارچوب ISMS الزامی میکند. این‌ها تعهدات عملیاتی بعدی هستند؛ ارزیابی کمک میکند سازمان به مرحله اجرای آنها برسد.
- آزمون امنیتی نیست. نمونه‌گیری از پیکربندی بخشی از ارزیابی است؛ آزمون نفوذ یا ممیزی فنی کامل، کاری جدا با دامنه و عمق متفاوت است.
- نظر حقوقی نیست. ISO 27001 و قوانین حفاظت از داده همپوشانی دارند اما یکی نیستند. نه ارزیابی و نه گزارش آن جایگزین مشاوره متخصص حقوقی یا حفاظت از داده میشود.
- وعده دریافت گواهی نیست. ارائه‌دهنده‌ای که گواهی را تضمین میکند، نرخ موفقیت اعلام میکند یا ارتباطی را با نهادی که مستقل تصمیم می‌گیرد القا میکند، علامت هشدار میدهد. استقلال بخشی از ارزش این خدمت است.
آمادگی برای ممیزی گواهی
ارزش اصلی ارزیابی در پروژه گواهی بعدی دیده میشود. ارتباط مراحل چنین است:
- مرحله ۱ مستندات و دامنه را بررسی میکند: بیانیه دامنه ISMS، ارزیابی و درمان ریسک، سیاست‌ها، SoA، سوابق ممیزی داخلی و بازنگری مدیریت. بسیاری از یافته‌های مرحله ۱ به اسناد غایب یا قدیمی مربوط‌اند؛ همان مواردی که بررسی مستندات و پیشنویس SoA ارزیابی آشکار میکند.
- مرحله ۲ اجرا و رویه واقعی را در سراسر دامنه نمونه‌گیری میکند تا ببیند کنترل‌ها مطابق مستندات کار میکنند یا نه. مصاحبه‌ها و بررسی‌های فنی ارزیابی تمرینی برای این مرحله‌اند؛ تیمی که قبلاً درباره بازبینی دسترسی و رسیدگی به رخداد پاسخ داده، در ممیزی آمادگی بیشتری دارد.
- ممیزی مراقبتی و تداوم پس از گواهی ادامه می‌یابد؛ بنابراین نقشه راه باید سیستم عملیاتی بسازد، نه صرفاً مجموعه‌ای از اسناد: بازبینی‌های تکرارشونده دسترسی، ثبت رخدادها، سوابق آموزش و پشتیبان‌هایی که بازیابی و آزمایش می‌شوند. ISMS ساخته‌شده فقط برای یک ممیزی در نخستین ممیزی مراقبتی دوام نمی‌آورد.
شکاف‌های رایج
یافته‌هایی که در شرکت‌های کوچک و متوسط تکرار می‌شوند، تقریباً به ترتیب فراوانی:
- فهرست دارایی‌ها. فهرست به‌روزی از سامانه‌ها، دستگاه‌ها و داده‌ها همراه با مالک آنها وجود ندارد. بیشتر کنترلهای دیگر به شناخت دارایی‌ها وابسته‌اند، بنابراین این معمولاً نخستین اقدام نقشه راه است.
- روش ارزیابی ریسک. یا وجود ندارد یا از الگویی برداشته شده که توجیهی برای سازمان ندارد. ممیز می‌پرسد ریسک‌ها چگونه شناسایی و درمان شده‌اند؛ «مشاور آن را نوشت» پاسخ قابل اتکایی نیست.
- مدیریت تأمین‌کننده. فهرستی از فروشندگانی که به داده شرکت دسترسی دارند، الزام امنیتی در قراردادها یا چرخه بازبینی وجود ندارد. برای شرکت‌هایی که با شرکای توسعه کار میکنند، این شکاف با موضوع قرارداد در صفحه برونسپاری IT ارتباط مستقیم دارد.
- بازبینی دسترسی. حساب‌ها هنگام استخدام ایجاد می‌شوند و بعد بررسی نمی‌شوند؛ دسترسی افراد جداشده باقی می‌ماند یا اختیار مدیریتی در دست کسانی است که دیگر آن نقش را ندارند. بازبینی بدون سابقه مستند نیز همچنان یک شکاف است.
- رسیدگی به رخداد. فرایند تعریف‌شده، فهرست تماس یا ثبت رخدادهای واقعی وجود ندارد. رخدادهایی که سازمان فراموش کرده، ممکن است هنگام ممیزی به یافته تبدیل شوند.
- آموزش آگاهی امنیتی. به‌جای برنامه مستمر و ثبت‌شده، فقط یک اسلاید در زمان ورود کارمند ارائه میشود. فهرست حضور تاریخ‌دار میتواند شواهدی از آگاهی افراد نسبت به مسئولیتشان باشد.
- آزمایش پشتیبان‌گیری. پشتیبان‌ها تنظیم شده‌اند اما بازیابی هرگز آزمایش نشده است. کنترل فنی معمولاً برای اثبات بازیابی، مدرک می‌خواهد نه تصویر زمان‌بندی پشتیبان‌گیری.
انتخاب ارائه‌دهنده
سه پرسش به تشخیص ارزیابی دقیق از بازبینی پرهزینه کمک میکند:
- استقلال. ارزیاب نباید در تصمیم صدور گواهی منفعت داشته باشد؛ ارزیاب گواهی صادر نمیکند و نهاد گواهی این کار را انجام میدهد. وعده انجام هر دو کار تعارض منافع ایجاد میکند. اگر ارائه‌دهنده پس از ارزیابی محصولی برای فروش دارد، توصیه به همان محصول میتواند گزارش را به سند فروش تبدیل کند.
- روش کار. پیش از دریافت پیشنهاد، روش را بخواهید: دامنه چگونه تعیین میشود، یافته‌ها با چه معیاری درجه می‌گیرند، برای هر کنترل چه شواهدی لازم است و چه خروجی‌هایی تحویل میشود. روش مکتوب کمک میکند یافته‌ها بعداً برای ممیز قابل دفاع باشند.
- نمونه گزارش. بهترین آزمون همین است. دفتر ثبت و گزارشِ بی‌نام‌شده نشان میدهد خروجی واقعی چگونه است: آیا یافته‌ها با شواهد به بندها وصل‌اند، شدت‌ها توجیه دارند و نقشه راه توالی اجرایی دارد یا فقط فهرست آرزوهاست.
پرسش‌های متداول
ارزیابی شکاف چقدر زمان می‌برد؟
به دامنه بستگی دارد و هر برآورد پیش از تعیین دامنه حدس است. عوامل اصلی، تعداد مکان‌ها و سامانه‌ها و فرایندهای مشمول، وضعیت مستندات و شمار افرادی است که باید با آنها مصاحبه شود. دامنه یک واحد با سیاست‌های موجود با دامنه چندمکانی که از صفر آغاز میشود تفاوت دارد؛ پاسخ قابل اتکا پس از گفت‌وگوی تعیین دامنه و به‌صورت کتبی ارائه میشود.
آیا برای فروش به ISO 27001 نیاز داریم؟
معمولاً این یک خواسته مشتری است، نه الزام قانونی: مناقصهها، مشتریان بزرگ و خریداران تحت مقررات، بهویژه در نرمافزار و خدمات، بیشتر گواهی میخواهند. خط فروش خود را بررسی کنید؛ اگر چند مشتری جدی آن را درخواست کردهاند، مبنای تجاری روشن است. اگر درخواستی نبوده، توجیه بیشتر به کاهش ریسک مربوط میشود. استاندارد الزام نمیکند کل سازمان گواهی بگیرد، بنابراین میتوان ابتدا بخش روبهمشتری را در دامنه قرار داد.
بیانیه کاربردپذیری چیست؟
سندی است که تمام کنترلهای Annex A را فهرست میکند، مشخص میکند هر کنترل در دامنه کاربرد دارد یا نه و چرا، و نحوه اجرای آن را شرح میدهد. استاندارد آن را لازم میداند و نهاد گواهی بررسیاش میکند. آمادهسازی زودهنگام باعث میشود تصمیمهای کنترلی یکبار مکتوب شوند، نه زیر فشار ممیزی. پیشنویس SoA یکی از چهار خروجی ارزیابی است.
شکاف‌ها چگونه درجه‌بندی می‌شوند؟
بر اساس شدت و اولویت؛ شدت باید به ریسک سازمان مرتبط باشد، نه جایگاه کنترل در استاندارد. درجه‌بندی مفید توضیح میدهد باقی‌ماندن شکاف چه پیامدی دارد، چه کسی یا چه چیزی در معرض خطر است و رفع آن چه می‌خواهد. برچسب‌های «زیاد، متوسط، کم» بدون دلیل معمولاً اختلاف می‌سازند؛ توجیه مکتوب به نقشه راهی منجر میشود که تیم بتواند دنبال کند.
آیا ارزیابی شکاف جای ممیزی را می‌گیرد؟
خیر. ممیزی داخلی و بازنگری مدیریت تعهدهای داخل ISMS هستند و ممیزی گواهی را نهاد صدور گواهیِ دارای اعتبار انجام میدهد. ارزیابی شکاف پیش از هر دو انجام میشود و برایشان آمادگی می‌سازد، اما جایگاه رسمی ممیزی ندارد. ارائه‌دهنده‌ای که این مرز را مبهم میکند باید توضیح کتبی بدهد.
آیا ارزیابی شامل KVKK یا GDPR هم میشود؟
این موضوعها تا حدی همپوشانی دارند اما یکی نیستند. ISO 27001 استاندارد سیستم مدیریت امنیت اطلاعات است و جایی به حفاظت داده مربوط میشود که کنترلهای امنیتی از داده شخصی محافظت کنند. KVKK و GDPR تکالیف قانونی مانند مبنای پردازش، حقوق اشخاص، اعلام رخداد و قواعد انتقال داده را تعیین میکنند؛ ISMS میتواند پشتیبان اجرای آنها باشد اما بهتنهایی جایگزینشان نیست. سازمانها گاهی از مستندات مشترک استفاده میکنند، ولی مسائل حقوقی باید با متخصص واجد صلاحیت بررسی شود. تکالیف مربوط به فروشندگان و میزبانی در صفحه برونسپاری IT آمده است.
منابع و استانداردها
- مرجع این صفحه ISO/IEC 27001 است که ISO منتشر میکند؛ الزامات ارزیابی شامل بندهای 4 تا 10 و مجموعه Annex A است که در نسخه 2022 دارای 93 کنترل مرجع است. گواهی را نهادهای دارای اعتبار و مطابق ISO/IEC 17021 صادر میکنند؛ این صفحه ادعای گواهی ندارد.
- شرح فرایند، خروجی‌ها و شکاف‌های رایج از رویه متعارف ارزیابی شکاف پیروی میکند: تعیین دامنه، بررسی اسناد، مصاحبه، نمونه‌گیری فنی، دفتر ثبت یافته‌های درجه‌بندی‌شده، نقشه اصلاح و پیشنویس SoA. مدت، هزینه یا نرخ موفقیت در این صفحه ادعا نشده است.
- توضیح ممیزی مرحله ۱ برای مستندات، مرحله ۲ برای اجرای کنترل‌ها و ممیزی مراقبتی با چارچوب انتشار‌یافته صدور گواهی هم‌خوان است؛ قواعد جاری را با نهاد گواهی منتخب بررسی کنید.
- این صفحه نمی‌گوید WorldwideTradeX دارای گواهی یا اعتباربخشی ISO 27001 است و دریافت گواهی را تضمین نمیکند. الزامات حفاظت از داده نام برده شده‌اند، نه تفسیر حقوقی؛ رژیم قابل اجرا را با متخصص واجد صلاحیت بررسی کنید.
صفحات مرتبط
ممیزی و مشاوره IT · زیرساخت دیجیتال · برونسپاری IT از ترکیه · چک‌لیست RFP فروشنده · درخواست قیمت