سازماندهی و ساختاردهی به عنوان یکی از وظایف اساسی مدیر همواره در پیاده سازی و استقرار سیستم های مدیریتی در سازمان ها از اهمیت خاصی برخوردار بوده است. در خصوص سیستم مدیریت امنیت اطلاعات (ISMS) نیز این موضوع به صورت خاص در نسخه های مختلف استاندارد ISO 27001 مشهود است. برای کسب اطلاعات بیشتر در خصوص استانداردهای این حوزه به مقاله معرفی خانواده استانداردهای سیستم مدیریت امنیت اطلاعات رجوع شود. چنانكه در استاندارد ISO17799:2005/ISO 27001:2005 هم در بخش الزامات استاندارد و هم در بخش پیوست الف مربوط به کنترل های امنیتی، به مسئوليت و وظايف مديريت ارشد در ارتباط با امنيت اطلاعات و ضرورت ایجاد ساختار امنیت اطلاعات اشاره شده است. در نسخه 2013 استاندارد نیز می بینیم که این موضوع حتی پررنگتر مورد تاکید قرار گرفته است. اما سوال اینجاست که آیا سازمان می بایست برای تشکیلات فوق افراد اختصاصی با جایگاه های تبیین شده در چارت سازمانی در نظر بگیرد و یا می توان این تشکیلات را به صورت فرابخشی و ساختار معین بر روی ساختار سازمانی موجود فرض نمود.
نگاه به موضوع امنیت اطلاعات به شکل یک واحد و بخش در ساختارها و جایگاههای سازمانی، به عنوان یکی از مهمترین مسائل در ساختاردهی مسئولیتها و وظایف در حوزه فناوری اطلاعات (سازماندهی امنیتی) و در سطحی بالاتر، در کل سازمان مطرح میباشد. سازمانها و شرکتهای مختلف با توجه به اندازه، نوع، گستره عملکرد و بلوغ سازمانی خود، ساختارها و مکانیزمهای مختلفی را در رابطه با ساختاردهی امنیت اطلاعات در نظر میگیرند. این مکانیزم ها و شکل های ساختاردهی بسیار متنوع و گوناگون مطرح میشوند که می توان آنها را در گروه های زیر تقسیم بندی نمود:
- واحد امنیت اطلاعات به صورت یک بخش مستقل زیر مجموعه واحد IT
این نوع ساختار که بسیار متداول است، امنیت اطلاعات را زیرمجموعه واحد فناوری اطلاعات فرض می نماید.
- واحد امنیت اطلاعات به صورت یک واحد مستقل کنار دیگر واحدها نظیر واحدIT
در این نوع ساختاردهی، امنیت اطلاعات از جایگاه بالاتر سازمانی برخوردار است و همچون دیگر واحدهای سازمانی به صورت مستقیم از سوی مدیریت ارشد هدایت می گردد.
- واحد امنیت اطلاعات به صورت معین
در این نوع ساختار، که معمولا برای شرکت های کوچک تر پیشنهاد می شود، واحد امنیت اطلاعات به صورت یک واحد مستقل در چارت دیده نمی شود و به صورت معین در نظر گرفته می شود.
- واحد امنیت اطلاعات به صورت نماینده/واحدی و کمیته راهبری
در این نوع ساختاردهی، سعی می شود یک جایگاه سازمانی (معمولا با اختیارات زیاد و موقعیت سازمانی بالا) به عنوان هماهنگکننده در نظر گرفته شود و هر واحد نیز نمایندهای را به این امر اختصاص دهد.
- ساختارهای تلفیقی
با توجه به نیاز سازمان می توان هر کدام از 4 شکل سازمانی معرفی شده به صورت تلفیقی با یکدیگر مورد توجه قرار گیرند.
در بسیاری از شکل های معرفی شده امنیت اطلاعات، جایگاهی با عنوان مدیر امنیت اطلاعات (CISO) در نظر گرفته می شود. معمولاً مدیر امنیت اطلاعات در سازمان متولی ارائه گزارشات و آمارهای امنیتی در مورد تجهیزات، عملیاتها، سیستمهای اطلاعاتی و مواردی از این قبیل به سطوح بالاتر سازمان میباشد. در نهایت (و قانوناً) هیئت مدیره مسئول حفاظت از داراییهای سازمان میباشد، ولی وجود فرد و جایگاهی برای مطلع ساختن هیئت مدیره از تهدیدات و آسیب پذیری ها و به طور کلی مخاطراتی که سازمان پیش روی خود دارد، ضروری است. متأسفانه معمولاً این ارتباط به خوبی انجام نمیگیرد و دلیل اصلی آن مناسب نبودن جایگاه و عدم اختیارات کافی برای این سمت میباشد. معمولاً این جایگاه در ردههای پایینی قرار میگیرد که باعث میشود بسیاری از اطلاعات و پیامها در مسیر ردههای سازمانی بالاتر، با فیلترهای مختلفی روبرو شوند و این اطلاعات به خوبی به ردههای بالایی سازمان انتقال پیدا نکنند.
به این ترتیب معمولاً جایگاه امنیت اطلاعات به سطح سوم و یا چهارم ساختار سازمانی تنزل پیدا میکند و تقریباً سازمانها مسئله امنیت را خیلی جدی قلمداد نمیکنند و تلاشی برای ارتقا این جایگاه از خود نشان نمیدهند. به نظر میرسد که مهمترین عامل در این خصوص مسئله فرهنگ و بلوغ سازمانی میباشد، ولی دیگر عوامل مانند نوع صنعت و همچنین اندازه سازمان نیز تأثیر گذار میباشند.
در بسیاری از شرکت ها و سازمان ها، معمولاً مدیریت فناوری اطلاعات مسئولیت امنیت اطلاعات را نیز بر عهده میگیرد. در شرکت های بزرگتر، بمنظور افزایش بهرهوری این وظیفه میتواند از سوی مدیر فناوری اطلاعات به فرد دیگری (که دارای سطح اختیارات کافی باشد) انتقال یابد، ولی باید توجه داشت که مسئولیت امنیت اطلاعات همچنان بر عهده مدیریت فناوری اطلاعات باقی خواهد ماند. همان طور که در بالا اشاره شد، دلیل اصلی عدم تفویض این مسئولیت، جلوگیری از فیلتر شدن برخی اطلاعات و مسایل امنیتی و ارتباط هر چه مستقیمتر میان هیئت مدیره و این جایگاه میباشد.
باید توجه داشت که تنزل جایگاه امنیت اطلاعات و به طور کلی تشکیلات امنیت اطلاعات پیشنهاد نمیشود. زیرا با توجه به مفهوم امنیت و گسترده بودن آن در بطن تمامی فعالیتهای مربوط به فناوری اطلاعات و حتی فعالیتهایی که در این حوزه قرار نمیگیرند، این امر باعث میشود تا ارتباط این ماهیت با دیگر المانهای فناوری اطلاعات (سیستمهای اطلاعاتی، زیرساخت ارتباطی، شبکه و سخت افزار) با مشکل روبرو شود و کنترل و مدیریت همه جانبه و نظاممند بر روی امنیت به صورت کامل انجام نپذیرد.
موضوعی که میبایست از آن پیشگیری نمود، تقسیم و ناهمگونی وظایف امنیت اطلاعات میباشد که معمولاً در بعضی ساختارها به چشم میخورد. هدف اصلی از ایجاد ساختار و واحد امنیت اطلاعات، اختصاص یک متولی خاص برای مباحث امنیت فناوری اطلاعات، عملیات، خطمشی ها و رویهها، انطباق با قوانین، مدیریت مخاطرات و ممیزی میباشد.
با توجه به اینکه مسئله امنیت به عنوان یکی از بخشهای جدانشدنی فرآیندهای مختلف امروزی فناوری اطلاعات مطرح میباشد، طبیعی است که بسیاری از این فعالیتها و راه حلها، حتی بدون ایجاد واحد امنیت اطلاعات در واحدهای مختلف تخصصی فناوری اطلاعات شرکت اعمال میگردند. اما نکته قابل توجه این است که هر یک از این واحدها در بهترین حالت، تنها موارد امنیتی در حوزه تخصصی خود را در نظر میگیرند، در حالی که با توجه به رهنمودهای ارائه شده در استانداردها، مراجع و الگوهای سرآمدی امنیت اطلاعات، نگاه خرد و پراکنده به امنیت اطلاعات مناسب تلقی نشده و به منظور تأمین امنیت اطلاعات، نیازمند نگاهی کلی نگر، نظاممند و همه جانبه میباشیم. از طرفی همان طور که اشاره گردید، بسیاری از فعالیتهای امنیت اطلاعات جزو وظایف تخصصی واحدها محسوب نمیشوند و در ساختارهای پراکنده ممکن است از یاد برده شده و یا توجه و تاکید مناسبی را از سوی شرکت دریافت ننمایند. از این قبیل فعالیتها میتوان به فرآیند مدیریت مخاطرات اشاره نمود که میتوان از آن به عنوان یکی از مهمترین و اساسیترین عناصر امنیت اطلاعات در رویکردهای جدید یاد کرد و با توجه به ماهیت همه جانبه نگر آن، نیازمند نگاهی جامع به فناوری اطلاعات داشته و حتی در بسیاری از موضوعات پا را فراتر از فناوری اطلاعات گذاشته و مواردی همچون منابع انسانی، محیطی و فیزیکی را هم در خود جای میدهد. این ویژگی در دیگر عناصر اساسی در فناوری اطلاعات، نظیر تداوم کسب و کار و بازیابی از حوادث نیز به چشم میخورد.
در این مقاله کوتاه سعی شد تا به اهمیت ساختاردهی امنیت اطلاعات اشاره شده و مروری اجمالی بر روی انواع تشکیلات امنیت اطلاعات صورت پذیرد. موضوعات تخصصی و جزئی تر در این خصوص در قسمت کامنت ها قابل مطرح شدن است.
