تقييم أمن تكنولوجيا المعلومات

يُعد تقييم أمن تكنولوجيا المعلومات تقييمًا مخططًا لضوابط الأمان لتحديد ما إذا كانت قد تم تنفيذها بشكل صحيح، وتعمل كما هو مُخطط لها، وأين توجد نقاط الضعف. ^{[ 1 ]}

يُعد تقييم أمن تكنولوجيا المعلومات تقييمًا مخططًا لضوابط الأمان لتحديد ما إذا كانت قد تم تنفيذها بشكل صحيح، وتعمل كما هو مُخطط لها، وأين توجد نقاط الضعف. ^{[ 1 ]}

تُنظّم الممارسة الشائعة العمل في ثلاث طرق: فحص الوثائق والتكوينات، وإجراء مقابلات مع الموظفين، والاختبار في ظل ظروف محددة. ^{[ 1 ]}

تدعم نتائج التقييم الأحكام المتعلقة بفعالية الضوابط، وتؤكد صحة النتائج الفنية وتحدد أولوياتها، وتخطط للإصلاحات مع التحقق أو إعادة الاختبار لاحقًا. ^{[ 1 ]}

يختلف التقييم الأمني ​​عن تقييم المخاطر - الذي يعبر عن المخاطر من حيث الاحتمالية والتأثير - وعن التدقيق. ^{[ 2 ]}

يشير تقييم الأمن إلى تقييم مخطط لضوابط الأمن للتحقق مما إذا كانت قد تم تنفيذها بشكل صحيح، وتعمل كما هو مقصود، وأين توجد نقاط الضعف. ^{[ 1 ]}

تُنظم الممارسة الشائعة أعمال التقييم في ثلاث طرق: فحص الوثائق والتكوينات، وإجراء مقابلات مع الموظفين، والاختبار في ظل ظروف محددة. ^{[ 1 ]}

يتم التعامل مع تقييم المخاطر بشكل منفصل: يتم التعبير عن المخاطر عادةً من حيث الاحتمالية والتأثير، وتحدد العملية المخاطر وتقدرها وتحدد أولوياتها لاتخاذ القرارات. ^{[ 2 ] [ 3 ]}

كما أن التدقيق يختلف عن غيره: فهو تقييم منهجي ومستقل لمدى الامتثال في سياق نظام الإدارة؛ ويمكن للمؤسسات تطبيق عمليات التدقيق ضمن نظام إدارة أمن المعلومات مع استخدام التقييمات لفحص فعالية الضوابط الفنية. ^{[ 4 ] [ 5 ]}

يُحدد تقرير التقييم النموذجي نطاق وأهداف التقييم، ويشرح الأساليب المستخدمة، ويعرض النتائج المدعومة بالأدلة؛ وعند الاقتضاء، يُشير أيضاً إلى التأثير المحتمل واحتمالية حدوثه، ويُوصي بالإصلاحات مع تحديد أولوياتها، ويُحدد خطة للتحقق أو إعادة الاختبار. ^{[ 1 ]}

ولدعم إمكانية التكرار، تسمح خطط التقييم وسجلات الأدلة للمراجعين بتتبع كل نتيجة إلى التقنية وأهداف التقييم التي أنتجتها. ^{[ 14 ]}

غالباً ما يتم ربط النتائج بكتالوج تحكم معترف به أو دليل ممارسة حتى يعرف المالكون بالضبط ما يجب تغييره - على سبيل المثال، NIST SP 800-53 أو ISO/IEC 27002. ^{[ 12 ] [ 13 ]}

في الواقع العملي، تقوم العديد من المنظمات بإبلاغ النتائج باستخدام التقييم النوعي أو شبه الكمي؛ وهذا يتماشى مع التوجيهات العامة لإدارة المخاطر واستخدام أمن المعلومات. ^{[ 15 ] [ 2 ]}

كما يمكن إجراء التحليل الكمي عند تحديد النموذج والبيانات؛ وتُعد منهجية Open FAIR إحدى المناهج الشائعة الاستخدام للتعبير عن التكرار والخسارة. ^{[ 16 ]}

يربط معيار ISO/IEC 27005 هذه الأفكار بإدارة مخاطر أمن المعلومات ويساعد في الحفاظ على اتساق المصطلحات ضمن سياق نظام إدارة أمن المعلومات. ^{[ 3 ]}

تصف المقالات عادةً أنواع الأدوات - على سبيل المثال، ماسحات الثغرات الأمنية، وتحليل مكونات البرمجيات، واختبار التطبيقات الديناميكي/التفاعلي، والتحقق من التكوين، وتتبع الأدلة/المشكلات - بدلاً من المنتجات المحددة. ^{[ 8 ] [ 17 ]}

إن استخدام عدسة التحكم/الممارسة يحافظ على حيادية الوصف وثباته، لأنه يمكن ربط النتائج بالفهارس المعتمدة مثل ISO/IEC 27002 و NIST SP 800-53. ^{[ 13 ] [ 12 ]}

تندرج التقييمات ضمن إطار إدارة المخاطر التابع للمعهد الوطني للمعايير والتكنولوجيا (NIST) إلى جانب اختيار الضوابط وتنفيذها واعتمادها ومراقبتها المستمرة؛ فهي ليست حدثًا لمرة واحدة. ^{[ 18 ]}

تعتمد المراقبة المستمرة على أنشطة التقييم وغيرها من البيانات بمرور الوقت، وتُغذّي نتائجها قرارات إدارة المخاطر والرقابة على مستوى المنظمة والمهمة والنظام. ^{[ 19 ] [ 20 ]}

في العديد من البرامج، يتم تنسيق هذا العمل من خلال نظام إدارة أمن المعلومات، الذي يوفر المتطلبات والحوكمة للتقييمات وعمليات التدقيق المتكررة. ^{[ 5 ]}