جدول ۹– جدول میزان عوامل کیفی پروژه امنیت اطلاعات
در این فصل عوامل تاثیر گذار در یک پروژه امنیتی را که طبق فلوچارت تشکیل شده در فصل دوم بود را به طور جامع شرح دادیم و سپس سه عامل مهم کیفیت ، امنیت و ریسک را بیشتر مورد توجه قرار دادیم .
سپس طبق بررسی های بعمل آمده برای هریک از این عوامل اولویت و وزنی را در نظر گرفته و سپس میزان درصد امنیت اطلاعات را توسط فرمول پیشنهادی ارائه نمودیم .

( اینجا فقط تکه ای از متن پایان نامه درج شده است. برای خرید متن کامل فایل پایان نامه با فرمت ورد می توانید به سایت feko.ir مراجعه نمایید و کلمه کلیدی مورد نظرتان را جستجو نمایید. )

در فصل بعد به نتیجه گیری می­پردازیم .
فصل پنجم : بررسی کیفیت ، امنیت و ریسک پروژه های امنیت اطلاعات
هدف از این پایان نامه بررسی ارائه مدلی جهت مدیریت پروژه امنیت اطلاعات بر اساس استاندارد PMBOK بوده است. در ادامه به بررسی جامع سه عامل کیفیت ، ریسک و امنیت می پردازیم :
۱ –
این نوع مدیریت بر پروژه ها تضمین می کند که آثار مثبت رویدادها به میزان حداکثر، و آثار منفی آن به میزان حداقل بر پروژه تاثیر بگذارد و در آن فرآیندهایی وجود دارد تا ریسکهای پروژه شناسائی، تحلیل و نسبت به آنها واکنش مناسب اتخاذ شود. لیکن در پروژه های امنیتی رویدادهایی که تاثیرگذار هستند ویژگیهای خاصی دارند که از جمله آنها می توان به این مطلب اشاره کرد که باید خیلی سریع به آن رویدادها پاسخ داد و در صورت از دست دادن زمان و طولانی شدن فرایند پاسخ دهی، پاسخ قبلی در زمان فعلی راه حل مناسبی نخواهد بود. پس سرعت عمل در واکنش مناسب به ریسکی که شناسائی شده و تحلیل مناسب روی آن انجام شده است مطلب بسیار مهمی است. نکته ای نیز وجود دارد و آن تدبیری است که در شرایط یک ریسک خاص توسط مدیریت پروژه اتخاذ می کند.
در گام اول باید در مورد نحوه نگرش و برنامه ریزی فعالیتهای مدیریت ریسک پروژه برنامه ریزی کنیم. پس از آن باید ریسکهائی را که بر پروژه تاثیرگذار هستند شناسائی کرده و ویژگیهای آنها را مستندسازی کنیم. حفاظت از این مستندات بسیار مهم است. شناسائی ریسک فرآیندی تکرارپذیر است که در مقاطع زمانی مختلف باید انجام شود. سپس باید ریسکهای شناسائی شده را باید تحلیل کنیم تا تاثیر و شانس وقوع آنها سنجیده شود. به این وسیله ریسکها را بر اساس آثار بالقوه آنها بر اهداف پروژه اولویت بندی می کنیم. سپس باید تحلیل عددی احتمال هر ریسک و پیامدهای آن بر اهداف پروژه را برای داشتن تحلیل کمی ریسک استخراج کنیم.
در گام بعدی باید اقداماتی انجام داد تا فرصتها افزایش، و تهدیدها کاهش یابد و برای انجام این کار باید افراد یا قسمتهایی به منظور پذیرش مسئولیت هر واکنش به ریسک شناسائی و تعیین گردند. با این کار در واقع برنامه ریزی واکنش به ریسک را انجام داده ایم. این برنامه باید با شدت ریسک متناسب باشد، در مواجهه با چالشها از نظر هزینه ای اثر بخش باشد، برای موفقیت آمیز بودن به هنگام باشد، با توجه به شرایط پروژه واقع بینانه باشد، مورد توافق همه قسمتهای درگیر باشد و توسط یک شخص مسئول پذیرفته شده باشد.
در گام آخر باید یک کنترل و نظارت بر ریسکها داشت که شامل فرایند پیگیری ریسکهای شناسائی شده، نظارت بر ریسکهای باقیمانده و شناسائی ریسکهای جدید، اطمینان از اجرای برنامه های ریسک و ارزیابی اثر بخشی آنها در کاهش ریسک می باشد. آنچه واضح است اینکه حوزه مدیریت ریسک حساس ترین حوزه مدیریت یک پروژه امنیتی است که در صورت مدیریت صحیح نتایج مثبت پروژه و در صورت سهل انگاری لغو پروژه را در پی دارد.
در خیلی از سازمان ها، ضرورت توجه به “مدیریت خطرات امنیتی” بعد از بروز یک حادثه امنیتی کوچک نظیر ۱- آلودگی یک کامپیوتر توسط ویروس و یا ۲- وب سایت سازمان و ۳- هکرها، احساس می گردد. در ادامه با افزایش حملات و تشدید اوضاع، مشکلات و مسائل امنیتی متعددی برای سازمان ها و پروژه های امنیتی مربوطه ایجاد می گردد و به مرور با در نظر نگرفتن این مهم، سازمان ها یکی پس از دیگری در مواجه با مشکلات امنیتی ناامید می شوند و به منظور برخورد با بحران های امنیتی، دست به کار می شوند و ممکن است زمان اقدام مواجه باریسک طوری نباشد که به بازگشت تمامی اطلاعات کمکی کند و با بروز بی رویه این مشکلات، مدیریت ریسک و متخصصان مربوطه پروژه های امنیتی یک رویکرد پیشگیرانه ای را حتما در نظر می گیرند.
مواردی که منجر به ریسک می شود:
۱-عدم توجه به موارد بحرانی موجود در پروژه و نیز مدیریت تغییرات
۲- انجام ندادن فرآیندهای لازم جهت برخورد با ریسک‌های موجود در پروژه
۳-مشخص ننمودن اهداف پروژه به صورت شفاف
۴-استفاده نمودن از تخمین خطی در پیش‌بینی زمان و منابع پروژه
۵-پشتیبانی نگرفتن از مدیریت اجرایی پروژه وعدم ارتباط مستمر با تیم پروژه
۶-عدم کسب اطمینان از وجود تجارب طرح‌ریزی و استفاده از تکنولوژی‌ها و راه حل‌های مناسب
۷-ایجاد ننمودن پروسه تست و تضمین کیفیت پروژه‌
۸-طرح ریزی ضعیف
۹-پیش‌بینی غیرواقعی زمان و یا منابع پروژه
۱۰-نقصان استانداردهای تست و تضمین کیفیت
۱۱-تجربه‌های ناکافی و غیرمقتضی تیم پروژه
۱۲-اهداف و مقاصد غیرشفاف و نامشخص
در هر سازمان افرادی وجود دارند که نسبت به تهدیدات امنیتی فعالیت آن سازمان بیش از افراد دیگر نفع می برند، در مورد پروژه های امنیتی نیز افرادی وجود دارند که از نتایج و دستاوردهای مدیریت خطرات امنیتی بیش از سایر افراد ذینفع می باشند که این موضوع می تواند اصل پروژه را تهدید کند. گروه مدیریت ریسک امنیتی، باید نسبت به شناسائی این افراد در سازمان اقدام و آنان را با فرآیندهای موجود به منظور حفاظت از سرمایه ها و از دست ندادن منابع مالی در طولانی مدت آشنا نماید.
برای مثال:

• • بررسی وب سایت فروشنده و لیست های پستی برای به روز رسانی های امنیتی جدید و مستندات امنیتی جدید.

• • نظارت بر وب سایت های شخص ثالث و لیست های پستی برای کسب اطلاعات در مورد پژوهش های امنیتی جدید و اطلاعیه های جدید در مورد آسیب پذیری های امنیتی وهمچنین شرکت در کنفرانس ها و سمپوزیم که شامل بحث از مباحث امنیت اطلاعات است.

• • انجام آموزش امنیت اطلاعات.

• • اشراف بروضعیت فعلی وآینده ، با خواندن کتاب درمورد کامپیوتر و امنیت شبکه.

• • مانیتورینگ برای اطلاع از ابزار حمله و روش های جدید.

• • مستندسازی تغییرات در محیط سیستم اطلاعات .

برنامه ریزی مدیریت ریسک:
برنامه ریزی روشن و دقیق احتمال موفقیت ۵ فرایند دیگر مدیریت ریسک را افزایش می دهد. برنامه ریزی مدیریت ریسک عبارت است از فرایند تصمیم گیری در مورد نحوه برخورد و هدایت فعالیتهای مدیریت ریسک برای یک پروژه. برنامه ریزی فرایندهای مدیریت ریسک به منظور تضمین این موضوع که سطح، نوع و دید مدیریت ریسک متناسب با ریسک و اهمیت پروژه برای سازمان است و همینطور فراهم کردن منابع و زمان کافی برای فعالیتهای مدیریت ریسک و ایجاد یک مبنای توافقی برای ارزیابی ریسکها حائز اهمیت خواهد بود. از آنجایی که فرایند برنامه ریزی مدیریت ریسک برای موفقیت عملکرد سایر فرایندها نقش اساسی دارد لذا باید هر چه سریعتر در طول برنامه ریزی پروژه تکمیل شود.
مدیریت ریسک، پروژه های حیاتی و حساس را در برابر حوادث طبیعی و غیر مترقبه و همچنین نیروهای مهاجم حفظ نموده، خسارات و صدمات را تقلیل و ادامه فعالیت و مقاومت در شرایط بحران را ممکن می سازد.
نیروگاه ها، پالایشگاه ها، بیمارستان ها، پادگان ها، صنایع مادر و … لزوم توجه به مدیریت ریسک پروژه را بر همگان روشن می سازد. آنچه که در این میان و در خصوص مدیریت ریسک پروژه و اصول مرتبط با آن مدنظر است، توجه به این نکته اساسی است که : در ساخت و راه اندازی پروژه ها و طرحهای بزرگ و کلان اقتصادی با حجم سرمایه گذاری های انبوه نظیر پالایشگاه ها، سدها، مجتمع های پترو شیمی، فرودگاه ها و غیره به اصول و مبانی مدیریت ریسک پروژه کمتر توجه اساسی به عمل آمده است و سرمایه گذاری های بسیار کلانی بدون توجه و پرداختن به ملاحظات امنیتی در سطح کشور انجام گرفته و یا در حال انجام است.
پروژه ها و تاسیسات اقتصادی و زیربنایی معمولا بدون رعایت و با در نظر گرفتن ملاحظات و ترتیبات امنیتی تصویب شده و یا توسعه یافته اند و در معرض حوادث غیر مترقبه (زلزله، سیل، آتش سوزی و …) قرار گرفته اند. علاوه بر مسأله زمان که در متن مطرح گردیده مسأله مکان نیز می تواند موجبات ریسک پروژه را بوجود آورد. عوامل تهدید کننده پروژه در مکان های مختلف متفاوت است. مثلا اگر یک پروژه در یکی از شهرهای شمال کشور اجرا شود عواملی مثل سیل و آتش سوزی پروژه را تهدید می کنند ولی اجرای این پروژه در یک شهر کویری عوامل تهدید کننده را به طوفان شن تبدیل می کند.
بعبارت بهتر : مدیریت خطرات امنیتی،‌ فرآیندی است که در آن تهدیدات موجود در یک سازمان شناسائی، اولویت بندی و نحوه مدیریت آنان در یک سطح قابل قبول مشخص می گردد. وجود یک استراتژی مدون به منظور مدیریت خطرات امنیتی، سازمان ها را قادر می سازد که فرآیندهائی را به منظور شناسائی و اولویت بندی فعالیت ها در محیط فن آوری اطلاعات پیاده سازی و از آنان نگهداری نمایند. جایگزینی برخوردهای پیشگیرانه با برخوردهای انفعالی، مهمترین دستاورد مدیریت خطرات امنیتی در یک سازمان می باشد که قطعا” بهبود وضعیت یک سازمان را به دنبال خواهد داشت. چرا که احتمال دستیابی مستمر به زیرساخت فن آوری اطلاعات افزایش یافته و در فرآیندهای جاری یک سازمان خللی ایجاد نمی گردد. پیاده سازی موفقیت آمیز پروژه مدیریت خطرات امنیتی به عوامل متعددی بستگی خواهد داشت :
– ضمانت اجرائی
– تعریف یک لیست مشخص از افرادی که در مقوله امنیت ذینفع می باشند
– وجود بلوغ سازمانی در ارتباط با مدیریت خطرات امنیتی
– وجود یک فضای فکری باز برای کارگروهی
– دید سیستماتیک نسبت به سازمان
– اختیارات لازم برای گروه مدیریت خطرات امنیتی
همچنین مدیریت ریسک فرآیندی است که در آن تهدیدات موجود در یک سازمان شناسائی، اولویت بندی و نحوه مدیریت آنان در یک سطح قابل قبول مشخص می گردد.
مواردی که باعث خطا می­شوند عبارتند از : ۱- برنامه ریزی دقیق باشد. ۲- شناسایی ریسک، تحلیل. ۳- فرصت افزایش تهدیدها کاهش یابد. ۴- کنترل و نظارت بر ریسکها شود. ۵- طرح ریزی برای پیشگیری از وقوع ریسک جدید. ۶- مهلت ها واقع بینانه باشد. ۷- نظر تک تک نفرات تیم بررسی شود. ۸- افراد تیم دارای مهارت لازم باشند.
این نکات اگر باشد خطا در پروژه رخ می دهد: ۱- افراد تیم نیازهای مشتری را درک نکنند. ۲- حوزه محصول خوب تعیین نشده باشد. ۳- نیازهای تجاری تغییر کند. ۴- مهلت ها واقع بینانه نباشد.
در حین انجام یک پروژه در مراحلی ریسکهایی انجام خواهد شد که به دو صورت هستند: