مدیریت امنیت اطلاعات: ISMS، ایزو ۲۷۰۰۱ و بازار کار GRC در ایران

امنیت اطلاعات دو سمت دارد. سمت فنی شبکه را پیکربندی می‌کند، حمله را پایش می‌کند و آسیب‌پذیری‌ها را پیدا می‌کند. سمت مدیریتی تصمیم می‌گیرد چه چیزی باید محافظت شود، ریسک هر دارایی چقدر است، چه کنترلی برایش لازم است، چه کسی مسئول است و چطور ثابت شود که این کنترل‌ها واقعا کار می‌کنند. کارشناس امنیت اطلاعات در آگهی‌های ایرانی بیشتر همین سمت دوم است.

حاکمیت، ریسک و انطباق

گروه OCEG که اصطلاح GRC را در ۲۰۰۲ ساخت، آن را مجموعه توانایی‌هایی می‌داند که به سازمان اجازه می‌دهد با اطمینان به هدف‌هایش برسد، با عدم قطعیت کنار بیاید و درستکار عمل کند. در امنیت اطلاعات یعنی: حاکمیت که سیاست‌ها و مسئولیت‌ها را تعیین می‌کند، مدیریت ریسک که تهدیدها را می‌سنجد و انطباق که نشان می‌دهد سازمان قانون‌ها و استانداردها را رعایت می‌کند.

این نگاه در استانداردهای جهانی هم پررنگ‌تر شده است: نسخه ۲ چارچوب امنیت سایبری NIST که اسفند ۱۴۰۲ منتشر شد، کارکرد تازه‌ای با نام «حاکمیت» به پنج کارکرد قبلی اضافه کرد و دامنه‌اش را به همه سازمان‌ها گسترش داد.

حریم خصوصی و حفاظت داده شاخه تازه‌تر همین کار است: اینکه داده شخصی مشتری‌ها و کارکنان چه زمانی جمع شود، کجا نگهداری شود، چه کسی به آن دسترسی داشته باشد و کی پاک شود.

در ۳۳ آگهی حاکمیت و ISMS، ۲۶ آگهی مستندسازی و نوشتن سیاست، ۲۲ آگهی ارزیابی ریسک، ۱۸ آگهی ISMS، ۱۶ آگهی ممیزی و ۱۵ آگهی ایزو ۲۷۰۰۱ را خواسته بودند. ۲۰ آگهی آشنایی با شبکه هم خواسته بودند؛ یعنی کارشناس GRC در ایران باید زبان تیم فنی را هم بفهمد. هفت آگهی NIST یا COBIT، چهار آگهی افتا، چهار آگهی مدرک‌های CISSP یا CISM یا CISA و چهار آگهی گواهی سرممیزی را نام برده بودند.

هیچ آگهی‌ای حریم خصوصی یا حفاظت داده شخصی را نخواسته بود؛ این شاخه در ایران هنوز بازار ندارد. کارفرماها بیشتر شرکت‌های فناوری اطلاعات (۲۱)، خدمات اینترنتی (۹) و بانک‌ها (۷) بودند و ۲۸ آگهی از ۳۳ آگهی در تهران. ۳۰ آگهی شرط جنسیت نداشتند.

در ایران دو نهاد بیشترین اثر را بر این کار دارند. مرکز مدیریت راهبردی افتا برای زیرساخت‌های حیاتی الزام‌ها و مدل بلوغ امنیتی دارد که نسخه تازه آن در ۱۳۹۸ آمد. در بانکداری هم شورای پول و اعتبار در ۱۳۹۱ بانک مرکزی را به ساختن مرکز کنترل امنیت شبکه و فوریت‌های بانکی معروف به «کاشف» مکلف کرد که تدوین الزام‌های امنیت اطلاعات و نظارت و ممیزی بانک‌ها از وظیفه‌های آن است.

قاعده‌ای پیدا نکردیم که گرفتن گواهی ایزو ۲۷۰۰۱ را برای همه سازمان‌ها اجباری کند؛ بیشتر سازمان‌ها برای الزام‌های افتا، بانک مرکزی یا قراردادهایشان سراغ ISMS می‌روند.

قانون حفاظت از داده شخصی هنوز نیست

لایحه حفاظت از داده‌های شخصی در فضای مجازی که تدوینش از ۱۳۹۶ شروع شده بود، تیر ۱۴۰۳ در هیئت دولت تصویب شد و مهر همان سال وزیر ارتباطات گفت به کمیسیون برگشته است. تا مهر ۱۴۰۵ گزارشی از قانون شدن آن پیدا نکردیم. به همین دلیل کار کارشناس حریم خصوصی در ایران هنوز بیشتر بر پایه استانداردهای جهانی و سیاست‌های خود شرکت‌هاست.

گواهی‌های ایزو و اعتبارشان

مرکز ملی تایید صلاحیت ایران که زیر نظر سازمان ملی استاندارد است، عضویتش در مجمع بین‌المللی تایید صلاحیت را از دست داده است؛ این خبر بهمن ۱۴۰۲ منتشر شد و سازمان استاندارد دلیلش را تحریم و بسته شدن راه پرداخت حق عضویت گفت. پیش از گرفتن یا پیشنهاد گواهی، اعتبار مرجع صدور آن را بررسی کنید.

اهمیت این کار با حمله‌های سایبری سال‌های اخیر بیشتر شده است؛ از جمله در ۲۳ خرداد ۱۴۰۵ اطلاعیه رسمی از حمله سایبری «محدود» به چند بانک خبر داد و گفت داده مشتریان نشت نکرده است.

در کنکور ۱۴۰۵ کارشناسی امنیت اطلاعات برای دانشگاه‌های غیرنظامی پیدا نکردیم. راه دانشگاهی معمول، کارشناسی مهندسی کامپیوتر یا فناوری اطلاعات و بعد ارشد مجموعه ۱۲۷۷ با گرایش «رایانش امن» است. بسیاری از کارشناسان GRC هم از شبکه، پشتیبانی فناوری اطلاعات یا حسابرسی به این کار آمده‌اند.

دوره‌های فنی و حرفه‌ای تهران، ۱۴۰۵

• مدیریت استانداردهای امنیت اطلاعات (ISMS): ۶۴ ساعت، ۱۹٫۳ میلیون تومان حضوری و ۱۵٫۴ میلیون مجازی
• مستندسازی امنیت شبکه و اطلاعات: ۶۴ ساعت، ۱۳٫۸ میلیون حضوری و ۱۱ میلیون مجازی

استانداردی برای ممیزی ایزو ۲۷۰۰۱، حریم خصوصی یا GRC در این فهرست نیست. یک راه عملی برای شروع: یادگرفتن متن ایزو ۲۷۰۰۱ و ۲۷۰۰۲، نوشتن یک ارزیابی ریسک نمونه برای یک کسب‌وکار کوچک و کار در تیمی که برای ممیزی آماده می‌شود.

گزارش‌های معتبر حقوق برای GRC گروه جدا ندارند. نزدیک‌ترین گروه، امنیت شبکه است: کارشناسان این گروه در تهران در پایان ۱۴۰۴ میانه دریافتی ماهانه ۳۴ میلیون تومان داشتند و نیمی از آن‌ها ۲۸ تا ۴۱ میلیون. کارشناسان ارشد امنیت در کل کشور میانه ۶۰ میلیون داشتند. عدد این صفحه تخمینی است.

آگهی‌های مهر ۱۴۰۵ نشان می‌دهند حاکمیت و ISMS از سمت فنی امنیت کمتر پیشنهاد می‌گیرد: ۸ آگهی GRC و امنیت اطلاعات میانه ۳۵ تا ۶۰ میلیون تومان پیشنهاد داده بودند، در حالی که SOC ۵۰ تا ۸۰ میلیون و تست نفوذ ۶۰ تا ۹۵ میلیون. کسی که هم استقرار ISMS بلد است و هم فهم فنی شبکه دارد، معمولا به عددهای بالاتر می‌رسد.