از سوی دیگر وجود زیر ساخت های قوی ، قطعا تاثیر بسزایی در ایمن سازی فضای تبادل اطلاعات دستگاه های دولتی خواهد داشت.

صرف نظر از دلایل فوق ، نا بسامانی موجود در وضعیت امنیت فضای تبادل اطلاعات دستگاه های دولتی  از یکسو موجب بروز اخلال در عملکرد صحیح دستگاه ها  شده و کاهش اعتبار این دستگاه ها را در پی خواهد داشت. و از سوی دیگر موجب اتلاف سرمایه ها ی ملی خواهد شد. لذا همزمان با تدوین سند راهبردی امنیت فضای تبادل اطلاعات (افتا) کشور، توجه به مقوله ایمن سازی فضای تبادل اطلاعات دستگاه های دولتی ، ضروری ، نقش موثرتری در فرایند تدوین سند راهبردی امنیت فضای تبادل اطلاعات کشور خواهد داشت.

با ارائه اولین استاندارد مدیریت امنیت اطلاعات در سال 1995 نگرش سیستماتیک به مقوله امنیت اطلاعات شکل گرفت .براساس این نگرش تامین امنیت اطلاعات در یک مجموعه سازمانی ،دفعتا مقدور نمی باشد و لازم است امر به صورت مداوم در یک چرخه ایمن سازی شامل مراحل :

1- طراحی     2- پیاده سازی    3- ارزیابی     4- اصلاح   انجام گیرد برای این منظور لازم است هر سازمان بر اساس یک متدلوژی مشخص ، ضمن تهیه طرح ها و برنامه های امنیتی مورد نیاز ، تشکیلات لازم جهت ایجاد و تداوم امنیت اطلاعات خود را نیز ایجاد نماید.

موسسه بين المللي استاندارد  (ISO) در سال 2000 بخش اول استاندارد BS 7799  را تحت عنوانISO/IEC17799:2000 و سپس در قالب ISO27002 منتشر نمود. بخش دومBS  7799 نيزتوسط  موسسه بين المللي استاندارد(ISO)در قالب  ISO 27001ارائه شد.

طریقه عملکرد استاندارد

بسیاری از سازمان‌ها یک سری کنترل‌های امنیت اطلاعات برای خود تعیین می‌کنند. با این حال، بدون سیستم مدیریت امنیت اطلاعات (ISMS)، کنترل حدودی بی سامانی و عدم یکپارچگی می‌انجامد. این سیستم را می‌توان به صورت راه حل‌های نقطه‌ای (برای شرایط خاص) و یا به طور سرتاسری مثل قانون (کنوانسیون) پیاده سازی کرد. به طور معمول کنترل‌های امنیتی در عمل جنبه‌های خاصی از امنیت IT و/یا داده‌ها را هدف قرار می‌دهد؛ و اطلاعات و جنبه‌های غیر IT (مانند کارهای اداری و اطلاعات خصوصی شرکت) کمتر محافظت می‌شوند. علاوه بر این، برنامه ریزی کسب و کار و حفاظت فیزیکی کاملاً به طور مستقل از IT و/یا امنیت اطلاعات اداره می‌شود، در حالی که معمولاً در سازمان، مرجعی که نیاز به تعریف و اختصاص دادن امنیت اطلاعات در نقش‌ها و مسئولیت‌های منابع انسانی داشته باشد وجود ندارد.

ISO/IEC 27001 مستلزم مدیریت موارد زیر است:

بررسی سیستماتیک خطرات امنیتی اطلاعات سازمان، با در نظر گرفتن تهدیدها، آسیب پذیری‌ها، و اثرات و عواقب؛

طراحی و پیاده سازی یک مجموعه منسجم و جامع از کنترل امنیت اطلاعات و/یا دیگر اشکال مقابله با خطر (مانند پیشگیری ازخطرات یا انتقال ریسک؛ بیمه) برای هدف قرار دادن آن دسته از خطراتی که اجتناب ناپذیر تلقی می‌شوند؛

انطباق یک پروسه مدیریت فراگیر به سازمان از تداوم کنترلهای امنیتی اطمینان حاصل شود. تا گسترش و پیشروی سازمان به جلو، همیشه نیازهای امنیتی اطلاعات سازمان رفع شود.

در حالی که ممکن است به غیر از (یا به جای) ISO/IEC 27002 (کد از تمرین برای مدیریت امنیت اطلاعات) مجموعه دیگری از کنترل‌های امنیت اطلاعات به طور بالقوه تحت لوای ISO/IEC 27001 ISMS به کار گرفته شوند، ولی معمولاً این دو استاندارد در کنار هم استفاده می‌شود. ضمیمه A در ISO/IEC 27001 فهرستی خلاصه از کنترل‌های امنیتی اطلاعات موجود در ISO/IEC 27002را بیان می‌کند. این در حالی است که ISO/IEC 27002 اطلاعات بیشتر و راهنمایی‌های پیاده سازی را فراهم می‌کند.

سازمان‌هایی که مجموعه‌ای از کنترل‌های امنیت اطلاعات را مطابق با ISO/IEC 27002 پیاده سازی کرده‌اند، به احتمال زیاد، همزمان تمایل به اجرای بسیاری از الزامات ISO/IEC 27001 را دارند. اما ممکن است برخی از المان‌های سیستم مدیریت فراگیر را اجرا نکرده باشند. برعکس این قضیه نیز درست است، به عبارت دیگر، یک گواهی تضمین مطابق با ISO/IEC 27001 اطمینان می‌دهد که پیاده سازی سیستم مدیریت در زمینه امنیت اطلاعات تضمین شده‌است. ولی در مورد وضعیت مطلق امنیت اطلاعات در درون سازمان اطلاعات کمی را در اختیار ما قرار می‌دهد. کنترل‌های امنتی تکنیکی، مثل ضدویروس‌ها و دیوارهای آتش، به طور عادی در ISO/IEC 27001 مورد بحث نیستند: در این استاندارد پیشفرض آن است که سازمان همه کنترل‌های امنیتی لازم برای ISMS را به طور کلی در در حال اجرا دارد و تنها برآورده کردن الزامات ISO/IEC 27001 باقی مانده‌است. به علاوه، این سیستم مدیریت، حوزه‌هایی از ISMS را که جهت صدور گواهینامه (که ممکن است آن را به یک واحد کسب و کار نیز محدود کند) لازم هستند را مشخص می‌کند. گواهی ISO/IEC 27001 لزوما به معنای آن نیست که قسمت‌هایی از سازمان که در خارج از حوزه گواهینامه هستند، نیز رویکرد کافی برای مدیریت امنیت اطلاعات را دارا هستند.

استانداردهای دیگر خانواده ISO/IEC 27000 به ارائه راهنمایی‌های اضافی در جنبه‌های خاصی از طراحی، پیاده سازی و اجرای ISMS (برای مثال خطر در مدیریت امنیت اطلاعات ISO/IEC 27005) می‌پردازند.

تعدادی از ثبت کننده‌های معتبر جهانی می‌توانند برای یک ISMS گواهی انطباق با استاندارد ISO/IEC 27001 را صادر کنند. دریافت هر نوع از نسخه‌های ملی شده (در کشورهای مختلف) استاندارد۲۷۰۰۱ (مثل نسخه ژاپنی آن؛ یعنی JIS Q 27001) توسط ثبت کننده‌های معتبر جهانی، با دریافت استاندارد ISO/IEC 27001 معادل است. در برخی کشورها، آن دسته از شخصیت‌های حقوقی که انطباق سیستم مدیریت با با استانداردهای خاص ارزیابی می‌کنند، ”گواهی دهنده“ اتلاق می‌شود، در حالی که در برخی دیگر از کشورها ”ثبت کننده“ یا عناوین دیگر اتلاق می‌شود. گواهی ISO/IEC 27001 مثل دیگر گواهی‌های سیستم مدیریت ISO معمولاً شامل وارسی خارجی سه مرحلهای است:

مرحله ۱: مرور مقدماتی و تهیه گزارش ISMS است. مثلاً بررسی وجود و کامل بودن اسناد و مدارک کلیدی، مثل سیاست امنیتی اطلاعات سازمان، منشور کاربردیات (SoA) و برنامه رفع خطر (RTP). هدف این مرحله شناساندن افراد با سازمان و برعکس است.

مرحله ۲: یک ممیزی انطباق دقیق تر و رسمی تر است که به طور مستقل ISMS را بر اساس الزامات مشخص شده در ISO/IEC 27001 بررسی می‌کند. حسابرسان به دنبال شواهدی برای تایید طراحی و پیاده سازی و بهره برداری صحیح سیستم مدیریت هستند (مثلاً تایید این که ”کمیته امنیت“و یا یک شخصیت حقوقی مشابه، به طور منظم برای نظارت بر ISMS سیستم را بازبینی می‌کند). گذراندن این مرحله نشان دهنده سازگاری ISMS با گواهی با ISO/IEC 27001 است.

مرحله ۳: شامل بازرسی یا ممیزی‌های متعاقب به منظور تائید ادامه سازگاری و انطباق سازمان با استاندارد است. نگهداری گواهینامه نیازمند ممیزی‌های دوره‌ای برای تائید ادامه فعالیت ISMS بر اساس مشخصه‌ها و اشارات استاندارد است. این عمل باید حداقل یالی ۱ مرتبه انجام انجام شود، ولی (با تفاوق طرفین) می‌تواند به دفعات بیشتر نیز انجام شود؛ خصوصاً در زمانی که ISMS هنوز در پیاده سازی استاندارد به تکامل نرسیده‌است.