ارزیابی و اجرای کنترل‌های امنیتی

سامانه‌ها و محدودهٔ کنترل

برنامه‌ها، سرورها، سرویس‌های ابری، مسیرهای شبکه و هویت‌های در محدوده مشخص می‌شوند. وابستگی‌های مهم و موارد خارج از بررسی نیز ثبت می‌شوند تا نتیجه در محدودهٔ واقعی خود معنا داشته باشد.

معماری امنیت باید مرزهای دسترسی، جریان داده و مدیریت سامانه را با روش بهره‌برداری از سرویس مرتبط کند.

مجوز و شرایط اجرای کار

دسترسی مجاز، روش‌های بررسی، بازهٔ تغییر و نحوهٔ نگه‌داری مستندات حساس توافق می‌شوند. هر فعالیت مؤثر بر محیط عملیاتی باید با مسئول سرویس هماهنگ شود.

نوع مستندات و خروجی‌ها به محدودهٔ کار بستگی دارد. بررسی محدود به‌عنوان پوشش کامل امنیت یا گواهی انطباق معرفی نمی‌شود.

وسیلهٔ احراز هویت فقط یکی از کنترل‌هاست. سیاست دسترسی، ایجاد و حذف حساب‌ها و روش بازیابی دسترسی نیز باید بررسی شوند.

کنترل‌های سیستم، شبکه و ابر

تنظیمات پایه، سرویس‌های در معرض دسترسی، تفکیک شبکه، مسئولیت به‌روزرسانی و دسترسی به دادهٔ عملیاتی بررسی می‌شوند. ایمن‌سازی با توجه به سامانه و محدودیت‌های بازیابی انجام می‌شود و یک چک‌لیست ثابت برای همهٔ محیط‌ها کافی نیست.

کنترل‌های برنامه و توسعهٔ امن

رسیدگی به ورودی، کنترل مجوز، اطلاعات محرمانه، بازبینی وابستگی‌ها و بررسی‌های امنیتی مرتبط در فرایند توسعه و انتشار قرار می‌گیرند. اولویت با کنترل‌هایی است که به ریسک واقعی برنامه و شرایط بهره‌برداری آن مربوط‌اند.

مستندات و مسئولیت نگه‌داری

کنترل‌ها پس از تحویل قابل نگه‌داری باشند

مستندات توافق‌شده می‌توانند شامل محدوده، یافته‌ها و اولویت‌ها، ارجاع تنظیمات یا کد، نتیجهٔ بررسی، استثناها و مسئول اقدام‌های بعدی باشند. تیم بهره‌بردار باید بداند هر کنترل چگونه نگه‌داری می‌شود و چه زمانی به بازبینی نیاز دارد.

برای شروع چه اطلاعاتی آماده کنید؟

سامانه‌ها، نگرانی‌های شناخته‌شده، مسیرهای مهم داده، مسئولیت‌های فعلی و محدودیت‌های بررسی یا تغییر را توضیح دهید. در فرم عمومی تماس فقط شرح کلی بنویسید؛ مستندات حساس و دسترسی‌ها جداگانه و از مسیر امن هماهنگ می‌شوند.

این صفحه دربارهٔ خدمات امنیت برای سامانه‌های مشتری است.