با ارائه اولين استاندارد مديريت امنيت اطلاعات در سال 1995، نگرش سيستماتيک به مقوله ايمنسازى فضاى تبادل اطلاعات شکل گرفت. بر اساس اين نگرش، تامين امنيت فضاى تبادل اطلاعات سازمانها، دفعتا مقدور نمىباشد و لازم است اين امر بصورت مداوم در يک چرخه ايمنسازى شامل مراحل طراحى، پيادهسازى، ارزيابى و اصلاح، انجام گيرد. براى اين منظور لازم است هر سازمان بر اساس يک متدولوژى مشخص، اقدامات زير را انجام دهد:
تهيه طرحها و برنامههاى امنيتى موردنياز سازمان
ايجاد تشکيلات موردنياز جهت ايجاد و تداوم امنيت فضاى تبادل اطلاعات سازمان
اجراى طرحها و برنامههاى امنيتى سازمان
آيا امنيت 100% امكانپذير است؟
با پيشرفت علوم كامپيوتري و همچنين بوجود آمدن ابزارهاي جديد Hack و Crack و همچنين وجود صدها مشكل ناخواسته در طراحي نرم افزارهاي مختلف و روالهاي امنيتي سازمان ها ، هميشه خطر حمله و دسترسي افراد غيرمجاز وجود دارد. حتي قوي ترين سايتهاي موجود در دنيا در معرض خطر افراد غيرمجاز و سودجو قرار دارند. ولي آيا چون نمي توان امنيت 100% داشت بايد به نكات امنيتي و ايجاد سياستهاي مختلف امنيتي بي توجه بود؟
در حال حاضر، مجموعهاى از استانداردهاى مديريتى و فنى ايمنسازى فضاى تبادل اطلاعات سازمانها ارائه شدهاند که استاندارد مديريتى bs7799 موسسه استاندارد انگليس، استاندارد مديريتى ISO/IEC 17799 موسسه بينالمللى استاندارد و گزارش فنى ISO/IEC TR 13335 موسسه بينالمللى استاندارد از برجستهترين استانداردها و راهنماهاى فنى در اين زمينه محسوب مىگردند.
در این استانداردها و در راس آنها ISO270001، نکات زیر مورد توجه قرار گرفته شده است:
تعيين مراحل ايمنسازى و نحوه شکلگيرى چرخه امنيت اطلاعات و ارتباطات سازمان.
جزئيات مراحل ايمنسازى و تکنيکهاى فنى مورد استفاده در هر مرحله
ليست و محتواى طرحها و برنامههاى امنيتى موردنياز سازمان
ضرورت و جزئيات ايجاد تشکيلات سياستگذارى، اجرائى و فنى تامين امنيت اطلاعات و ارتباطات سازمان
کنترلهاى امنيتى موردنياز براى هر يک از سيستمهاى اطلاعاتى و ارتباطى سازمان
مطالب مرتبط با موضوع
سیستم کنترل و مانیتورینگ اتاق سرور
عیوب سیستم های هوشمند سازی اتاق سرور
سنسورها و فیچرهای ایمنی اتاق سرور
ISMS چیست؟
ISMS مخفف عبارت Information Security Management System به معنای سیستم مدیریت امنیت اطلاعات می باشد و استانداردهایی را برای ایمن سازی فضای تبادل اطلاعات در سازمان ها ارائه می دهد. این استانداردها شامل مجموعه ای از دستورالعمل هاست تا فضای تبادل اطلاعات یک سازمان را با اجرای یک طرح مخصوص به آن سازمان ایمن نماید.
اقدامات لازم جهت ایمن سازی فضای تبادل اطلاعات عبارتند از :
1- تهيه طرحها و برنامههاي امنيتي مورد نياز سازمان
2- ايجاد تشکيلات مورد نياز جهت ايجاد و تداوم امنيت فضاي تبادل اطلاعات سازمان
3- اجراي طرحها و برنامههاي امنيتي سازمان
استانداردهای مدیریتی ارائه شده در خصوص امنیت اطلاعات
استانداردهاي مديريتي ارائه شده در خصوص امنيت اطلاعات و ارتباطات سازمانها، عبارتند از:
1. استاندارد مديريتي BS7799 موسسه استاندارد انگليس که شامل 2 بخش است :
BS7799:1 که ISO/IEC 27002 نامیده می شود که در قالب 10 دسته بندی کلی زیر است :
1. تدوين سياست امنيتي سازمان
2. ايجاد تشکيلات تامين امنيت سازمان
3. دستهبندی سرمايهها و تعيين کنترلهای لازم
4. امنيت پرسنلی
5. امنيت فيزيکی و پيرامونی
6. مديريت ارتباطات
7. کنترل دسترسی
8. نگهداری و توسعه سيستمها
9. مديريت تداوم فعاليت سازمان
10. پاسخگوئي به نيازهای امنيتی
BS7799:2 که در سال 2005 به استاندارد ISO/IEC 27001:2005 تبدیل شد که شامل 4 مرحله PDCA به معنی Plan (مرحله تاسیس و طراحی)، Do (مرحله پیاده سازی و عملی کردن) ، Check (مرحله نظارت و مرور) و Act ( مرحله بهبود بخشیدن و اصلاح)است.
2. استاندارد مديريتي ISO/IEC 17799 موسسه بينالمللي استاندارد که همان بخش اول استاندارد BS7799:2 است که در سال 2000 به این اسم نامیده شد.
3. گزارش فني ISO/IEC TR 13335 موسسه بينالمللي استاندارد که اين گزارش فني در قالب 5 بخش مستقل در فواصل سالهاي 1996 تا 2001 توسط موسسه بين المللي استاندارد منتشر شده است . اگر چه اين گزارش فني به عنوان استاندارد ISO منتشر نشد و عنوان Technical Report بر آن نهاده شد، ليکن تنها مستندات فني معتبري است که جزئيات و تکنيکهاي مورد نياز مراحل ايمن سازي اطلاعات و ارتباطات را تشريح نموده و در واقع مکمل استانداردهاي مديريتي BS7799 و ISO/IEC 17799 مي باشد و شامل مراحل زیر است :
1) تعيين اهداف، راهبردها و سياستهاي امنيتي فضاي تبادل اطلاعات سازمان
2) تحليل مخاطرات امنيتي فضاي تبادل اطلاعات سازمان
3) انتخاب حفاظ ها و ارائه طرح امنيت
4) پيادهسازي طرح امنيت
5) پشتيباني امنيت فضاي تبادل اطلاعات سازمان
مستندات ISMS
اهداف، راهبردها و سياستهاي امنيتي فضاي تبادل اطلاعات دستگاه
طرح تحليل مخاطرات امنيتي فضاي تبادل اطلاعات دستگاه
طرح امنيت فضاي تبادل اطلاعات دستگاه
طرح مقابله با حوادث امنيتي و ترميم خرابيهاي فضاي تبادل اطلاعات دستگاه
برنامة آگاهي رساني امنيتي به پرسنل دستگاه
برنامة آموزش امنيتي پرسنل تشکيلات تامين امنيت فضاي تبادل اطلاعات دستگاه
اجزاء تشکيلات امنيت
تشکيلات امنيت شبکه، متشکل از سه جزء اصلی به شرح زير می باشد :
در سطح سياستگذاري : کميته راهبری امنيت فضاي تبادل اطلاعات دستگاه
در سطح مديريت اجرائي : مدير امنيت فضاي تبادل اطلاعات دستگاه
در سطح فني : واحد پشتيبانی امنيت فضاي تبادل اطلاعات دستگاه
نحوه پیاده سازی ISMS در سازمانها
سازمان ها وقتی می خواهند گواهینامه بگیرند، اقدام به دریافت آن کرده و به شرکت هایی که این خدمات را ارائه می دهند مراجعه می کنند.شرکت های ارائه دهنده این خدمات با شرکت های خارجی که درزمینه ISMS در ایران شعبه دارندمشاوره کرده و در نهایت مشاوری از سوی شرکت برای آن سازمان می فرستند.مشاور در جلسه هیات مدیره خط مشی امنیتی را مشخص و پیاده سازی صورت میگیرد. شکل زیر مراحل اعطای گواهینامه ISMS را نمایش می دهد.
مشکلات موجود در زمینه پیاده سازی ISMS
1- امنیت یک فرهنگ است قبل از آنکه یک فناوری باشد. براین اساس پیاده سازی مدیریت امنیت قبل ازخرید تجهیزات امنیتی توصیه می گردد. وقتی امنیت فرهنگ باشد عمری لازم است تا یک فرهنگ ایجاد شود و جا بیفتد. وقتی امنیت فرهنگ باشد نمی توان فرهنگ سازمانی بومی شده در یک کشور پیشرفته اروپایی را به سادگی در یک مرحله ضربتی به یک سازمان دیگر وارد نمود. این یکی از اصلی ترین موانع در پیاده سازی استانداردهای مدیریت امنیت است.
2- امنیت تداوم می خواهد. حتی اگر موفق شویم در یک سازمان سیستم مدیریت امنیت اطلاعات را پیاده نموده و گواهی استاندارد مربوطه را هم در یک مرحله اخذنمائیم؛ عدم تداوم آن هیچ آورده ای را از نظر امنیتی برای سازمان نخواهدداشت.
3- مدیران سازمانی ما احساس ناامنی مداوم از فضای تبادل اطلاعات خود ندارند و یا مایملک اطلاعاتی ذی قیمتی را در معرض تهاجم نمی بینند. بر این اساس،حمایت جدی و همه جانبه از پیاده سازی و تداوم استانداردهای مدیریت امنیت ندارند.
4- ناامنی تداوم دارد. چون ناامنی تداوم دارد بایستی امن سازی و تفکرامنیت در همه شئون سازمان تداوم داشته باشد و اعتبار مداوم و سالیانه داشته باشد.
5- امنیت نا محسوس است. لذا وقتی یک پروژه امنیتی (از نوع مدیریت امنیت اطلاعات )انجام می شود بعضاً مدیریت و کارشناسان احساس می کنند که هیچ اتفاق جدیدی نیفتاده است و ممکن است گلایه کنند که چرا هزینه نموده اند. در پاسخ به این گلایه باید فکرکرد که اگر روی امنیت کار نمی شد چه اتفاقی ممکن بود بیفتد. پس باید در هر زمان ودر هر مکان از فضای تبادل اطلاعات سازمانی به فکر امنیت بود.
مزایای استفاده از ISMS
استانداردISO27001 راهكاري است كه اطلاعات سازمان و شركت را دسته بندي و ارزش گذاري كرده و با ايجاد سياستهاي متناسب با سازمان و همچنين پياده سازي كنترل های مختلف، اطلاعات سازمان را ايمن مي سازد. اين اطلاعات نه تنها داده هاي كامپيوتري و اطلاعات سرور ها بلكه كليه موارد حتي نگهبان سازمان يا شركت رادر نظر خواهد گرفت.
استانداردISO27001 قالبي مطمئن براي داشتن يك سيستم مورد اطمينان امنيتي مي باشد. در زير به تعدادي از فوائد پياده سازي اين استاندارد اشاره شده است:
اطمینان از تداوم تجارت و كاهش صدمات توسط ایمن ساختن اطلاعات و كاهش تهدیدها
اطمینان از سازگاری با استاندارد امنیت اطلاعات و محافظت از داده ها
قابل اطمینان كردن تصمیم گیری ها و محك زدن سیستم مدیریت امنیت اطلاعات
ایجاد اطمینان نزد مشتریان و شركای تجاری
امكان رقابت بهتر با سایر شركت ها
ایجاد مدیریت فعال و پویا در پیاده سازی امنیت داده ها و اطلاعات
بخاطر مشكلات امنیتی اطلاعات و ایده های خود را در خارج سازمان پنهان نسازید
به وجود آمدن خطوط پرسرعت اينترنتي و دسترسي آسان تر به اين شاهراه اطلاعاتي توسط خطوطLeased و همچنين ارزان شدن تكنولوژي مبتني بر ارتباط بي سيم ، شركت ها و سازمان ها را به تدريج مجبور به رعايت نكات مربوط به ايمني اطلاعات و نيز نصب انواعFireWall و IDS ساخته است. دراين راستا داشتن سياست امنيتي مؤثر و ايجاد روالهاي درست امري اجتناب ناپذير مي نمايد.براي داشتن سازماني با برنامه و ايده آل ، هدفمند كردن اين تلاش ها براي رسيدن به حداكثر ايمني امري است كه بايد مدنظر قرار گيرد.
مراحل ایجاد سیستم مدیریت امنیت اطلاعات ISMS
ايجاد و تعريف سياست ها:
در اين مرحله ايجاد سياستهاي كلي سازمان مدنظر قراردارد. روالها از درون فعاليت شركت يا سازمان استخراج شده و در قالب سند و سياست امنيتي به شركت ارائه مي شود. مديران كليدي و كارشناسان برنامه ريز نقش كليدي در گردآوري اين سند خواهند داشت.
تعيين محدوده عملياتي:
يك سازمان ممكن است داراي چندين زيرمجموعه و شاخه هاي كاري باشد لذا شروع پياده سازي سيستم امنيت اطلاعات كاري بس دشوار است . براي جلوگيري از پيچيدگي پياده سازي ، تعريف محدوده وScope صورت مي پذيرScope مي تواند ساختمان مركزي يك سازمان يا بخش اداري و يا حتي سايت كامپيوتري سازمان باشد. بنابراين قدم اول تعيينScope و الويت براي پياده سازي استاندارد امنيت اطلاعات درScope خواهد بود. پس از پياده سازي و اجراي كنترل هايISO27001 و اخذ گواهينامه براي محدوده تعيين شده نوبت به پياده سازي آن در ساير قسمت ها مي رسد كه مرحله به مرحله اجرا خواهند شد.
برآورد دارايي ها و طبقه بندي آنها:
براي اينكه بتوان كنترل هاي مناسب را براي قسمت هاي مختلف سازمان اعمال كرد ابتدا نياز به تعيين دارايي ها مي باشيم. در واقع ابتدا بايد تعيين كرد چه داريم و سپس اقدام به ايمن سازي آن نماييم. در اين مرحله ليست كليه تجهيزات و دارايي هاي سازمان تهيه شده و باتوجه به درجه اهميت آن طبقه بندي خواهند شد.
ارزيابي مخاطرات:
با داشتن ليست دارايي ها و اهميت آن ها براي سازمان ، نسبت به پيش بيني خطرات اقدام كنيد. پس از تعيين كليه خطرات براي هر دارايي اقدام به تشخيص نقاط ضعف امنيتي و دلايل بوجود آمدن تهديدها نماييد و سپس با داشتن اطلاعات نقاط ضعف را برطرف سازيد و خطرات و تهديدها و نقاط ضعف را مستند نماييد.
مديريت مخاطرات:
مستندات مربوط به خطرات و تهديد ها و همچنين نقاط ضعف امنيتي شما را قادر به اتخاذ تصميم درست و مؤثر براي مقابله با آنها مي نمايد.
انتخاب كنترلهای مناسب:
استانداردISO27001 داراي 10 گروه كنترلي مي باشد كه هرگروه شامل چندين كنترل زيرمجموعه است بنابراين در كل 127 كنترل براي داشتن سيستم مديريت امنيت اطلاعات مدنظر قراردارد. با انجام مراحل بالا شركت يا سازمان شما پتانسيل پياده سازي كنترل هاي مذكور را خواهد داشت.
اين ده گروه كنترلي عبارتند از :
1- سياستهاي امنيتي
2- امنيت سازمان
3- كنترل و طبقه بندي دارايي ها
4- امنيت فردي
5- امنيت فيزيكي
6- مديريت ارتباط ها
7- كنترل دسترسي ها
8- روشها و روالهاي نگهداري و بهبود اطلاعات
9- مديريت تداوم كار سازمان
10-سازگاري با موارد قانوني
تعيين قابليت اجرا:
جمع آوري ليست دارايي ها، تعيين تهديدها ، نقاط ضعف امنيتي و در نهايت ايجاد جدول كنترل ها مارا در به دست آوردن جدولي موسوم به SOA يا Statement Of Applicability ياري مي رساند. اين جدول ليستي نهايي از كليه كنترل هاي مورد نياز براي پياده سازي را ارائه مي دهد. با مطالعه اين جدول و مشخص كردن كنترل هاي قابل اجرا و اعمال آنها ،سازمان يا شركت خود را براي اخذ استانداردISO27001 آماده خواهيد ساخت.
نتيجه آنكه براي رسيدن به يك قالب درست امنيتي ناچار به استفاده از روال هاي صحيح كاري و همچنين پياده سازي استاندارد امنيت هستيم و استاندارد ISO27001 می تواند ما را در انتخاب روش مناسب و صحیح راهنمایی نماید.
پرسش و پاسخ در جهت رسیدن به درک بهتری از مبحث امنیت اطلاعات
متن زير يك تست سريع و آموزنده می باشد كه به برخی از سوالات شما در زمينه امنيت اطلاعات پاسخ می دهد. همانطور كه خواهيد ديد به صورت پرسش و پاسخ بيان شده است. باب امنيت اطلاعات اغلب پيچيده می باشد. بر همين اساس اين مبحث به برخی از سوالاتی كه ممكن است برای شما ايجاد شود ، پاسخ داده است و پيشنهاداتی را برای آن ارائه داده است تا به سادگی قبول كنيد كه سيستم های شما نيز ممكن است در معرض خطر قرار گيرد.
1- اگر امنيت اطلاعات را افزايش دهيم ، كارايی كاهش پيدا می كند. درست يا غلط ؟
درست- امنيت اطلاعات هزينه مربوط به خودش را دارد. افزايش امنيت اطلاعات ممكن است به روالهای موثر اضافی از جمله (تكنولوژی) و (سرمايه گذاری) نياز داشته باشد .افزايش امنيت اطلاعات ممكن است پيشرفت جريان كار را با كندی مواجهه كند و اين امر ممكن است در كارايی افراد و شبكه شما نمود پيدا كند. امنيت اطلاعات ممكن است به معنی قفل كردن ايستگاهای كاری و محدود كردن دسترسی به اتاقهای كامپيوتر و سرور شما باشد. هر سازمانی بايد هنگامی كه به مقوله امنيت اطلاعات می پردازد به صورت انديشمندانه ای بين خطرات ( Risks ) و كارآيی توازن برقرار كند.
2- حملاتي كه توسط نفوذگران خارجی انجام می گيرد نسبت به حملات كارمندان داخلی هزينه بر تر و خسارت بار تر می باشد. درست يا غلط ؟
غلط- حملات كارمندان داخلی نوعا بسيار خسارت بار تر از حملات خارجی گزارش شده است. بر طبق آمارهای انستيتو امنيت كامپيوتر (Computer Security Institute ) ميانگين حملات خارجی 57000 دلار و ميانگين هزينه حملات داخلي 2700000 دلار برآورد شده است. كارمندان داخلی، اطلاعات محرمانه بيشتری درباره سيستم های هدف در دسترس دارند از آن جمله می توان اطلاعاتی درباره فعاليت هاي ديده بانی(Monitoring ) را نام برد.
3- پيكربندي يك ديواره آتش (Firewall ) به صورت كامل ما را در مقابل حملات خارجی ايمن می كند. درست يا غلط ؟
غلط- آمارهای انستيو امنيت كامپيوتر نشان می دهد كه حجم قابل توجهی از شركتهايی كه از ديواره آتش استفاده كرده اند هنوز از دست نفوذگران بد انديش در امان نمانده اند. اولين كاركرد ديواره آتش بستن پورتهای مشخص می باشد به همين دليل در بعضی از مشاغل نياز است كه بعضی از پورتها باز باشد. هر پورت باز می تواند يك خطری را برای سازمان ايجاد كند و يك معبر برای شبكه شما باشد. ترافيكی كه از ميان يك پورت می گذرد را بايد هميشه به صورت سختگيرانه ای ديده بانی كرد تا تمامی تلاشهايی كه منجر به نفوذ در شبكه می شود شناسايی و گزارش شود. يك ديواره آتش به تنهايی نمی تواند يك راه حل جامع باشد و بايد از آن به همراه تكنولوژي های (IDS (Intrusion Detection System و روشهای تركيبی استفاده كرد.
4- اگر ديواره آتش من به صورت مناسبی پيكر بندی شود ديگر نيازی به ديده بانی بيشتر ترافيك شبكه نمی باشد. درست يا غلط ؟
غلط- هميشه نفوذگران خبره می توانند يك ديواره آتش را در هم شكنند و به آن نفوذ كنند. به همين دليل ديده بانی كليدی براي هر برنامه امنيت اطلاعات می باشد. فراموش نكنيد كه ديواره آتش نيز ممكن است هك شود و IDS ها راهی می باشند برای اينكه بدانيد چه سيستم هايی در شرف هك شدن می باشند.
5- ديواره های آتش بايد به گونه ای پيكربندی شوند كه علاوه بر ترافيك ورودی به شبكه ، ترافيك های خروجی را نيز كنترل كنند . درست يا غلط ؟
درست - بسياری از سازمانها توجه زيادی به محدود كردن ترافيك ورودی خود دارند، اما در مقايسه توجه كمتری در مسدود كردن ترافيك خروجی از شبكه را دارند. خطرات زيادی ممكن است در درون سازمان وجود داشته باشد. يك كارمند ناراضی يا يك نفوذگر كه شبكه شما را در دست گرفته است، ممكن است كه بخواهد اطلاعات حساس و محرمانه شما را برای شركت رقيب بفرستد .
6- امنيت اطلاعات به عنوان يك مبحث تكنولوژيكی مطرح است درست يا غلط ؟
غلط- امنيت اطلاعات يك پی آمد تجاري - فرهنگی می باشد. يك استراتژی جامع امنيت طلاعات بايد شامل سه عنصر باشد: روالها و سياستهای اداری ، كنترل دسترسی های فيزيكی، كنترل دسترسی های تكنيكی. اين عناصر اگر به صورت مناسبی اجرا شود مجموعا يك فرهنگ امنيتی ايجاد می كند. بيشتر متخصصين امنيتی معتقدند كه تكنولوژيهای امنيتی فقط كمتر از 25 درصد مجموعه امنيت را شامل می شوند. حال آنكه در ميان درصد باقيمانده آنچه كه بيشتر از همه نمود دارد ،( افراد ) می باشند. (كاربر انتهايی) افراد يكی از ضعيف ترين حلقه ها، در هر برنامه امنيت اطلاعات می باشند .
7- هرگاه كه كارمندان داخلی ناراضی از اداره اخراج شوند، خطرات امنيتی از بين می روند. درست يا غلط ؟
غلط- به طور واضح غلط است. برای شهادت غلط بودن اين موضوع می توان به شركت Meltdown اشاره كرد كه لشكری از كارمندان ناراضی اما آشنا به سرقتهای كامپيوتری برای خود ايجاد كرده بود. بر طبق گفته های FBI حجم فعاليتهای خرابكارانه از كارمندان داخلی افزايش يافته است. همين امر سازمانها را با خطرات جدی در آينده مواجهه خواهد كرد.
8- نرم افزارهای بدون كسب مجوز (Unauthorized Software ) يكی از عمومی ترين رخنه های امنيتی كاربران داخلی می باشد. درست يا غلط ؟
درست- رخنه ها (Breaches ) می تواند بدون ضرر به نظر بيايد ، مانند Screen Saver های دريافت شده از اينترنت يا بازی ها و ... نتيجه اين برنامه ها ، انتقال ويروس ها ، تروجانها و ... می باشد. اگر چه رخنه ها می تواند خطرناكتر از اين باشد. ايجاد يا نصب يك برنامه كنترل از راه دور كه می تواند يك در پشتی (Backdoor ) قابل سوءاستفاده ای را در شبكه ايجاد كند كه به وسيله ديواره آتش نيز محافظت نمی شود.بر طبق تحقيقاتی كه توسط ICSA.net و Global Integrity انجام شده است بيش از 78 درصد گزارش ها مربوط به ايجاد يك رخنه در نرم افزار دريافتی از افراد يا سايتهای ناشناخته است.
9- خسارتهای ناشی از سايتهای فقط اطلاعاتی كمتر از سايتهای تجاری می باشد. درست يا غلط ؟
درست- درست است كه خطرهای مالی در سايتهای فقط اطلاعاتی كمتر از سايتهای تجاری می باشد ولی خطر مربوط به شهرت و اعتبار، آنها را بيشتر تهديد می كند. سازمانها نيازمند اين می باشند كه مداوم سايت های اطلاع رسانی را بازبين كنند تا به تهديد های احتمالی شبكه های خود خيلی سريع پی ببرند و در مقابل آنها واكنش نشان دهند تا از خسارتهايی كه ممكن است شهرت آنها را بر باد دهد جلوگيری كنند .
10- رمزهای عبور می تواند جلو كسانی كه دسترسی فيزيكی به شبكه را دارند ، بگيرد. درست يا غلط ؟
غلط- كلمات رمز نوعا خيلی كم می توانند جلو كارمندان داخلی و خبره را بگيرند. بسياری از سازمانها تمامی تلاش خود را روی امور تكنيكی امنيت اطلاعات صرف می كنند و در برخورد با مسائل اداری و كنترل دسترسی فيزيكی لازم برای ايجاد يك محافظت مناسب، با شكست مواجه می شوند .
11- يك نام كاربری و يك رمز عبور می تواند شبكه ما را از ارتباط با يك شبكه غيردوستانه(Unfriendly ) محافظت كند. درست يا غلط ؟
غلط- يك ارتباط فيزيكی و يك آدرس شبكه همه آنچيزی می باشد كه يك نفوذگر براي نفوذ در شبكه نياز دارد. با يك ارتباط می توان تمامی ترافيك شبكه را جذب كرد (به اين كار Sniffing می گويند) . مهاجم قادر است با استفاده از تكنيكهای Sniffing كل ترافيك حساس شبكه، شامل تركيباتی از نام كاربري/رمز عبور را جذب كند و در حملات بعدی از آنها استفاده كند.
12- هيچ كسی در سازمان نبايد به رمزهای عبور دسترسی داشته باشد به جز مدير امنيت شبكه . درست يا غلط ؟
غلط- هيچ كس در سازمان نبايد به كلمات رمز كاربران دسترسی داشته باشد ، حتی مدير امنيتی شبكه! رمزهای عبور بايد به صورت رمز شده (Encrypted) ذخيره شوند. براي كاربران جديد ابتدا با يك رمز عبور ساخته شده اجازه ورود به شبكه داده می شود و پس از آن بايد روالی قرار داد تا كاربران بتوانند در هر زمانی كلمات رمز خود را تغيير دهند. همچنين بايد سياستهايی را برای مواردی كه كاربران رمزهای عبور خود را فراموش كرده اند در نظر گرفت.
13- رمزگذاری بايد برای ترافيك های داخلی شبكه به خوبی ترافيك خروجی شبكه انجام گيرد. درست يا غلط ؟
درست- به عنوان يك نكته بايد گفت كه فرآيند Sniffing (جذب داده هايی كه روی شبكه رد و بدل می شود) به عنوان يك خطر امنيتی داخلی و خارجی مطرح می شود.
14- امنيت داده ها در طول انتقال آنها هدف رمزگذاری است . درست يا غلط ؟
غلط- رمزگذاری همچنين می تواند جامعيت (Integrity )، تصديق (Authentication ) و عدم انكار (nonrepudiation ) داده ها را نيز پشتيبانی كند.
شخن آخر اینکه اخذ گواهینامه isms مستلزم افزایش درجه امنیت اطلاعات از نقطه نظر نفوذ و پایداری و دسترسی پذیری است که این مهم در سازمانها و ادارات بدون داشتن یک سیستم کنترل شرایز محیطی اتاق سرور معنی پیدا نخواهد کرد سیستم مانیتورینگ اتاق سرور که اصطلاها با تمام کنترل شرایط محیطی نیز شناخته میشود سیستمی مبتنی بر فاکتورهای ایمنی زیادی مانند دما - رطوبت - قطع برق- نشت آب -ورود غیر مجاز و آتش و .... میباشد که با شناخت این آیتم ها و خروج انها از محدوده مجاز میتواند مدیر و یا مسئول مربوطه را توسط روشهای مختلف اطلاع رسانی مانند اس ام اس و ایمیل از راه دور و آژیر و فلاشر از راه نزدیک مطلع سازد این سیستم ها که به مدیریت هوشمند اتاق سرور نیز معروف هستند میتوانند مخاطرات و مشکلات یک سیستم را بطور واضح و بدون فوت وقت به مسئولین گوشزد کرده تا از بروز بحرانها در اتاق سرور ها و یا بخش ای تی سازمان ها و شرکتهای کوچک و بزرگ جلوگیری بعمل آید
برگرفته از گروه امنیت سایبری رسا
سیستم مدیریت هوشمند اتاق سرور bms
اتاق سرور هوشمند با bms |
گواهینامه ایزو ۲۷۰۰۱ معتبر
گواهینامه ایزو ۲۷۰۰۱ ( ISO 27001:2013) در رابطه با مدیریت امنیت اطلاعات سازمان هایی که در خصوص IT فعالیت دارند صادر می شود. متقاضیانی که خواهان دریافت این استاندارد هستند حتما باید پیاده سازی آن انجام داده تا بتوانند تاییدیه ای برای ممیزی گرفته و در نهایت موفق به کسب گواهینامه ایزو شوند.
اخذ گواهینامه این استاندارد کاملا اختیاری بوده و سازمان میتوانند در صورت تمایل گواهینامه آن را دریافت نکنند.
برای کسب اطلاعات بیشتر مقاله ای که جمع آوری کرده ایم را مطالعه کنید و در رابطه با گواهینامه ایزو 27001 هرگونه سوال یا ابهامی در ذهن شما وجود دارد همکاران ما شما را راهنمایی میکنند و برای پاسخگویی به شما در هر ساعت از شبانه روز حاضر به ارائه خدمت هستند.
آنچه در این مقاله میخوانید:
تعریف استاندارد ایزو ۲۷۰۰۱:
تاریخچه ی استاندارد ایزو ۲۷۰۰۱:
ساختار استاندارد ایزو ۲۷۰۰۱:
گواهینامه ایزو ۲۷۰۰۱ (سیستم مدیریت امنیت اطلاعات):
الزامات اجباری جهت صدور گواهینامه ایزو ۲۷۰۰۱:
دریافت گواهینامه ایزو ۲۷۰۰۱ معتبر:
گواهینامه ایزو ۲۷۰۰۱
گواهینامه ایزو ۲۷۰۰۱
تعریف استاندارد ایزو ۲۷۰۰۱:
مطالب مرتبط با موضوع
سیستم کنترل و مانیتورینگ اتاق سرور
عیوب سیستم های هوشمند سازی اتاق سرور
سنسورها و فیچرهای ایمنی اتاق سرور
ایزو ۲۷۰۰۱ استانداردی جهانی است که دستورالعمل های اساسی نظام مدیریت امنیت اطلاعات را مشخص می کند. این استاندارد قابل ممیزی بوده و کنترل امنیت منتخب شده را تضمین می کند. وظیفه ی اصلی استاندارد ۲۷۰۰۱ کمک به ارگان ها در خصوص حفاظت اطلاعات خود و جلب اعتماد مشتریان و قسمت های ذی نفع می باشد.
این استاندارد پروسه ای جهت تنظیم، پیاده سازی، اجرا، بازبینی، نظارت، نگهداری و توسعه نظام مدیریت امنیت اطلاعات به وجود می آورد. استاندارد ایزو ۲۷۰۰۱ جمع آوری شده ی بخش هایی از کنترل ها و برنامه های امنیتی است که جهت همسان سازی با ایزو ۲۷۰۰۲ جهت صدور گواهینامه تنظیم می شود.
تاریخچه ی استاندارد ایزو ۲۷۰۰۱:
در سال ۱۹۹۵ توسط گروه بی اس آی انگلستان استاندارد BS 7799 به وجود آمد که البته طراح اصلی آن سازمان صنعت، معدن و تجارت کشور بریتانیا است.
بخش اول: در سال ۱۹۹۸ بروزرسانی شد که شامل برترین و کلی ترین تجربیات امنیت اطلاعات می باشد و در سال ۲۰۰۰ بعد از صحبت ها و مشارکت استاندارد های بین المللی، ایزو ۲۷۰۰۱ توسط سازمان جهانی ایزو تحت نظارت ایزو ۱-۷۷۹۹ منتشر شد که در خصوص مدیریت امنیت اطلاعات فعالیت کند.
استاندارد ایزو ۱-۷۷۹۹ در سال ۲۰۰۵ بررسی و در آخر سال ۲۰۰۷ با اسم ایزو ۲۷۰۰۱ در گروه ۲۷۰۰۰ جایگاه گرفت.
بخش دوم: برای بار اول در سال ۱۹۹۹ به واسطه ی گروه بی اس آی با کد BS 7799 به نام سیستم مدیریت امنیت اطلاعات – راهنمای کاربردی منتشر شد، استاندارد ایزو ۲-۷۷۹۹ BS به فرایند پیاده سازی نظام مدیریت اطلاعات نظارت کرده و بعد از گذشت مدت ها این استاندارد به ایزو ۲۷۰۰۱ تغییر داده شد.
بازنگری پایانی و نهایی این استاندارد در سال ۲۰۱۳ انجام شد و سازمان ملی ایزو ۲۷۰۰۱ را با دیگر استاندارد ها مطابقت داد و آن را منتشر کرد.
گواهینامه ایزو ۲۷۰۰۱
گواهینامه ایزو ۲۷۰۰۱
ساختار استاندارد ایزو ۲۷۰۰۱:
مقدمه
_ استفاده از رویکرد استاندارد
دامنه کاربردی
_ شاخصه های عمومی
_ISMS های متناسب با ارگان
_ اندازه و نوع فعالیت
نکته های اصلی و مهم
_ رعایت الزامات استاندارد ایزو ۲۷۰۰۱
_ اجرای اختیاری استاندارد ایزو ۲۷۰۰۱
تعاریف واژه ها
_ مختص به ارگان هایی است که استاندارد ایزو ۲۷۰۰۱ را جایگزین کرده اند
زمینه نهادی
_ درک کردن بنیاد نهاد
_ درک نیاز ها
_ برآورد انتظارات
_ تعریف ISMS
_ پیاده سازی SIMS
_ سازگاری نهاد با ISMS
رهبری و مدیریت
_ متعهد بودن مدیریت
_ تخصیص مسئولیت پرسنل
_ پیشبرد اهداف ارگان
برنامه ریزی صحیح
_ شیوه ی تشریح داده
_ شناسایی اجزاء
_ تجزیه و تحلیل مسائل
_ برنامه ریزی حل و فصل مخاطره های اطلاعاتی
_ تعیین اهداف اطلاعاتی
پشتیبانی
_ تهیه و تنظیم منابع مستند سازی اطلاعات نهاد
عملیات
_ جزئیات انجام عملیات و ریسک پذیری
_ مستند سازی اطلاعات
ارزیابی و بررسی عملکرد
_ اندازه گیری
_ نظارت
_ بررسی و بازبینی
_ ممیزی گرفتن
_ بررسی کنترل امنیتی
_ رویه های انجام عملیات
_ بهبود سیستم مدیریت
بهبود
_ به دست آوردن اطلاعات حسابرسی
_ بازبینی انطباق ها
_ اقدامات اصلاحی
_ دسترسی به استاندارد ISMS
گواهینامه ایزو ۲۷۰۰۱
گواهینامه ایزو ۲۷۰۰۱
گواهینامه ایزو ۲۷۰۰۱ (سیستم مدیریت امنیت اطلاعات):
گواهینامه ایزو ۲۷۰۰۱ یک مدرک ایزو است که به کلیه نهاد ها در ایمن نگداشتن و مدیریت اطلاعات محرمانه خود کمک می کند. گواهینامه بین المللی ایزو ۲۷۰۰۱ چارچوبی است که به سازمان ها یاری می رساند تا از اطلاعات مالی، کلیات معنوی و داده های حساس مشتریان محافظت کند. کار های ایمنی اطلاعات در این بابت کاملا انجام شده است.
ارگان هایی که گواهینامه ایزو 27001 را دریافت کرده اند برای نشان دادن کیفیت ارگان خود کلیه دستور العمل های این استاندارد را اجرا کرده و مطابق آن عمل می کنند و همچنین نیاز و خواسته های این استاندارد را برآورد می کنند. دریافت این گواهینامه یک امر اختیاری است و سازمان ها می توانند آن را اجرا نکنند.
ایزو ۲۷۰۰۱ همرا با استاندارد ایزو ۹۰۰۱ باعث هماهنگی و صحت عمل کیفیت خدمات ارگان ها می شود.
این گواهینامه نشان دهنده آن است که نظام مدیریت امنیت اطلاعات مطابق یک استاندارد برتر عمل می کند، صدور گواهی ایزو ۲۷۰۰۱ توسط نهاد شخص ثالث انجام می شود و این خود نشان دهنده آن است که شما تمام کار های لازم جهت حفاظت داده های حساس در برابر اصلاح و دسترسی غیر مجاز انجام داده اید و کاملا ایمن پیش می روید.
الزامات اجباری جهت صدور گواهینامه ایزو ۲۷۰۰۱:
ایزو ۲۷۰۰۱ یک استاندارد رسمی و قانونی برای ISMS است که دو هدف جدا از هم را پشتیبانی می کند:
سازمان هایی که در سطح بالاتر قرار دارند می توانند برای اجرای سیستم ISMS اقدام کنند.
می توانند به گونه ای مدرک ایزو صادر کنند که برای ارزیابی و انجام الزامات قانونی سازمان انجام شود.
الزامات اجباری این استاندارد شامل موارد زیر می باشد:
در محوطه کاری ISMS
سیست مدیریت اطلاعات
شیوه ی ارزیابی و بررسی خطرات اطلاعاتی
شیوه ی پردازش ریسک اطلاعاتی
هدف مدیریت امنیت
مدرک صلاحیت پرسنل اداره امنیت اطلاعات
دیگر گواهی مستند ISMS
مدرک برنامه ریزی و کنترل عملیاتی
نتایج ارزیابی مخاطره ها
تصمیم گیری های ریسک پذیر سازمان
شیوه ی اندازه گیری امنیت داده ها
برنامه ریزی حسابرسی داخلی و ارزیابی حسابرسی اجرا شده
مشاهده ی ارزیابی های مدیریتی
تطابق شناسایی شده
دریافت گواهینامه ایزو ۲۷۰۰۱ معتبر:
سازمان هایی که خواهان دریافت گواهینامه ایزو 27001 معتبر هستند باید ابتدا شرایط و نحوه ی صدور گواهینامه ی مراجع صادر کننده را بسنجند و بعد از آن بر حسب نیاز و هدف سازمان خود نهاد صدور گواهینامه ایزو را مشخص کنند.
مشخص کردن مراجع صدور گواهینامه باعث می شود مشتری توانایی تصمیم گیری اینکه در چه سطحی این اقدامات و خدمات را انجام دهد را داشته باشد تا موفق به انجام ممیزی و در نهایت دریافت گواهینامه ایزو شود.
به طور کلی مشتریانی که خواهان دریافت این استاندارد هستند باید بر اساس آخرین ورژن منتشر شده آن فعالیت خود را شروع کنند.
برای دریافت مشاوره رایگان جهت پیاده سازی استاندارد ایزو ۲۷۰۰۱ با شماره های زیر تماس بگیرید و یا میتوانید از طریق پر کردن فرمی که در سایت درج شده اقدام نمایید
برگرفته از سایت ایزو.
دنیای اقتصاد نوشت
حدود یک دهه پیش، ۴ استاد دانشگاه از فرانسه و بلژیک دو کاسه اسمارتیز در مقابل داوطلبان گذاشتند و از آنها پرسیدند که کدام نوع بهتر است. پژوهشگران برایشان مهم نبود که کدام طعم را افراد بیشتر دوست دارند. میخواستند رفتار داوطلبان پس از فکر کردن به پول را بررسی کنند. به یک گروه از آنها گفته شد که فرض کنند ۲۵هزار یورو در یک قرعهکشی برنده شدهاند. به گروه دیگر گفته شد که فرض کنند ۲۵ یورو برنده شدهاند. افراد گروه اول اسمارتیزهای بسیار بیشتری خوردند. نتیجه این بود که پول مانند غذاست. در پژوهش دیگری که با اسکن مغزی افراد همراه بود، این نتیجه حاصل شد که پول مانند ابزار است. برخی از افراد نیز از کودکی و به تدریج، احساس عاطفی شدیدی با پول پیدا میکنند. اما واقعیت آن است که پول هر کارکردی که در ذهن انسان داشته باشد، نمیتواند برای انگیزهبخشی به کارکنان نقش کلیدی ایفا کند.
اگر قصد دارید که رفتاری انسانی با کارکنان خود داشته باشید و افراد را مانند مهرهها و چرخدندههای یک ماشین نپندارید، قانون سوم این است: «از پول، معضل نسازید!» تفاوت بسیاری بین شیوه پرداخت حقوق «بنگاههای» نظری و تخیلی ذکر شده در کتابهای اقتصاد با کسب و کارهای واقعی طرف حساب با کارکنان واقعیتر وجود دارد. پول انگیزه میدهد اما نه به شیوهای که بسیاری از افراد تصور میکنند. پول به قدری پیچیده است که بسیاری از مشاوران کسب و کار حتی درباره آن سوال نمیپرسند. با این حال، این مسأله برای بسیاری از رهبران سازمانی و مدیران برجسته هم دردسر شده است و در بسیاری از مواقع یک اشتباه در شیوه یا مقدار پرداختیها به پیامدهای گستردهای در عملکرد شرکت میانجامد.
کافی است که اشتباه کوچکی در رفتار با پول داشته باشید. در این صورت تبدیل به مشکل و گاهی تنها مشکل کسب و کارتان خواهد شد. بنیادینترین واقعیت درباره پول این است که اکثر ما مقدار بیشتری از آن میخواهیم. واضح است! حدود نیمی از آمریکاییها میگویند که «معتقدم باید پول بسیار بیشتری به من بدهند.» ۳ نفر از هر ۱۰ نفر دیگر هم اظهارات دوجانبهای در این زمینه دارند. مشابه این ارقام در استرالیا، کانادا، بریتانیا و هند هم دیده میشود. اما نارضایتی از میزان پرداختیها در چین و آمریکای لاتین بسیار بیشتر است و به حدود ۶ نفر از ۱۰ نفر میرسد.
همچنین به احتمال زیاد در هیچ جای جهان نمیتوانید نسبتی بیش از ۱ از ۵ نفر پیدا کنید که بگویند نباید مبلغ بیشتری در فیشهای حقوقشان درج شود.
نکته عجیب درباره سوالات مختلفی که درباره حقوق افراد از آنها پرسیده شد، این است که پول به جای آنکه «مشوق حیاتی» باشد، ارتباط ناچیزی با میل افراد به سختکوشی دارد. در آمریکا از شاغلان پرسیده شد که «چه میزان از تمام توانتان را برای شرکت میگذارید؟»
پاسخ افرادی که حس میکردند حقوق کافی میگیرند با افرادی که از حقوق خود ناراضی بودند یا وضعیتی میانه داشتند، تقریبا مشابه بود. در استرالیا، میزان رضایت از دریافتیها هیچ ارتباط آماری با حس اجبار به سختکوشی نداشت. حقوق بیشتری بدهید و عملکرد بهتری از کارکنان خود دریافت کنید؟ داستان به این سادگی نیست.
شاید به این دلیل است که کارکنان باور ندارند سختتر کار کردنشان منجر به دریافت حقوق بیشتر میشود. در نظرسنجی از تصمیمگیرندگان ۱۲۱ شرکت، یکچهارم از آنها اعتراف کردند که کارکنان «ناتوان در دستیابی به انتظارات عملکردی» باز هم پاداش دریافت میکنند. یکپنجم از شرکتها هم اذعان کردند که تفاوت پاداش افراد دارای عملکرد بالا و کارکنان با عملکرد ضعیف بسیار ناچیز است. یک ستون در روزنامه واشنگتن پست در انتشار یک گزارش این تیتر را زد: «چرا افراد وظیفهنشناس همچنان پاداش دریافت میکنند؟»
شکست پول در ایفای نقش «انگیزهبخش حیاتی» همچنین به این دلیل است که نمیتواند شادی بخرد. در چکیده یک پژوهش روی میزان پرداختی شرکتها چنین گفته شده است: «برخلاف نظریهپردازیهای مرسوم، نتایج حاکی از آن است که سطح پرداختی ارتباط اندکی با رضایت (کارکنان) دارد.» به جز سطوح شدید ثروت و فقر که وجود یا فقدان پول اثرات شدیدی دارد، سطوح متناقضی از رضایت را میتوان در سطوح میانه دید. بسیاری از افراد هستند که با میزان متعادلی از پول، رضایت دارند و افراد دیگری هستند که با یک زندگی راحت همواره غرولند میکنند.
اما مهمترین دلیلی که باعث میشود سطح پرداختی شرکتها اثر اندکی بر انگیزه و سختکوشی آنها داشته باشد، این است که حقوق و پاداش خستهکننده است. شاید اگر پرداختیها وابسته به عملکرد بود، شرایط فرق میکرد. شاید اگر مانند دوران نوجوانی برای کاری کوچک یا خاص در خانه، پاداش دریافت میکردیم، اوضاع متفاوت بود. اگر سرپرستان در پایان هر روز پول نقد به دست کارکنان میدادند و پاداشی اضافی برای افراد سختکوش در نظر میگرفتند، پول کارکرد مورد انتظار را داشت. در مورد این موضوعات میتوان صحبت کرد. در جهانی که پرداختها به طور مستقیم به حساب بانکی منتقل میشود، هیچکس با اشتیاق به خانه نمیدود تا به همسرش بگوید: «آهای، امروز همان مبلغی را به حسابم ریختهاند که ۶ ماه گذشته میریختند.»
حتی افزایش حقوق هم نظر ما را برای مدتی طولانی به خود جلب نمیکند. اقتصاددانان رفتاری این پدیده را «انطباقپذیری لذت» مینامند. زمانی که شرکت شما مبلغ بالاتری به حساب بانکیتان واریز میکند، تا چند دوره احساس بهتری دارید اما به زودی مخارج و انتظارات خود را با این مبلغ انطباق میدهید و دیگر برایتان تفاوت خاصی نخواهد داشت. مدیر مالی شرکت دوست دارد حقوق خود را مانند یک تلنگر روانی بداند اما بیشتر شبیه یک خمیازه است!
البته این واقعیتهای متناقض و سردرگمکننده به معنای آن نیست که وضعیت حقوق و پرداختیها نقشی محوری در حوزه منابع انسانی ندارد. اتفاقا بسیار کلیدی است. فقط به این معنی است که برای تحقق سه هدف جذب، انگیزهبخشی و نگهداشت کارکنان، انگیزهبخشی نیاز به دقت نظر خاصی دارد. با پول نمیتوانید انگیزه ایجاد کنید و باید به دنبال راهکارهایی باشید که شغل افراد برایشان ارزش ذاتی داشته باشند.
هکری با نام مستعار ChinaDan اطلاعات بیش از 1 میلیارد شهروند چینی رو در فروم های هکری با قیمت 10 بیت کوین (حدود 200 هزار دلار) برای فروش قرار داده است. در صورت تایید صحت این اطلاعات، بزرگترین هک تاریخ درچین به ثبت خواهد رسید.
لیست بزرگترین هک های سال 2022
هکر مذکور مدعی شده حجم این اطلاعات که حدود 23 ترابایت هست، از طریق دسترسی به دیتابیس پلیس ملی شانگهای چین به دست آورده و ایشون 750 هزار رکورد از این اطلاعات رو به عنوان نمونه قرار داده که هر رکورد شامل اسم، ادرس، شناسه ملی، شماره موبایل و حتی سوابق جنایی اون شخص هم هست!
خبرنگار وال استریت ژورنال با 5 نفر از این افراد تماس گرفته و هر 5 نفر صحت اطلاعات منتشر شده برای خودشون رو تایید کردند. 4 نفر دیگه هم به محض اینکه خبرنگار اطلاعات هویتی ساده مثل اسم آنها را خوانده، تلفن رو قطع کردن.
تیم امنیتی صرافی بایننس هم نشت این اطلاعات رو رصد کردند و به گفته چانگ پنگ ژائو، مدیرعامل این صرافی، این نشت حاصل اشتباه یکی از برنامه نویسهای دولتی هست که اطلاعات دسترسی به دیتابیس Elastic Search پلیس شانگهای رو به اشتباه در یکی از مطالب فنیش در CSDN (فروم برنامه نویسهای چینی) به صورت عمومی منتشر کرده است.
در نتیجه هر کسی با این استفاده از اطلاعات دسترسی (چیزی مثل پسورد برای دسترسی به منابع مختلف) می توانست به دیتابیس پلیس که روی سرورهای Aliyun شرکت Alibaba قرار دارد دسترسی پیدا کند.
تاکنون دولت چین هیچ واکنشی نسبت به این نشت اطلاعاتی نشون نداده ولی شبکه های اجتماعی بزرگ چین مثل WeChat و Weibo این خبر رو به شدت سانسور کردن تا جلوی انتشار اون رو بگیرند و هر پیام و پستی که شامل کلماتی مثل "نشت اطلاعاتی" باشد را سانسور می کنند ولی کاربران مختلف از تماسهای متعدد خارجی با موبایلشون گلایه کرده اند.
مردی به نام Wei که طبق اطلاعات نشت پیدا کرده، در گذشته 30 هزار یوان از اون کلاهبرداری شده بود، بعد از شنیدن این اطلاعات از خبرنگار وال استریت ژورنال گفته ما همه برهنه در حال دویدن هستیم، که به زبان عامیانه معنی اون هست که هیچ حریم شخصی در چین نداریم.
خدمات مشتری در ظاهر یک مفهوم ساده است: حمایتی که شما به مشتریها ارائه میدهید. اما این مفهوم به ظاهر ساده، خواب را از چشمان بسیاری از شرکتها که با مشتری سر و کار دارند، ربوده است. کابوس آنها این است که مبادا نتوانند رضایت مشتری را جلب کنند و با دستان خود، او را به شرکتهای رقیب سوق دهند. مشکل کجاست؟ چرا کلاف سردرگم خدمات مشتری، از هم باز نمیشود. من و همکارم جاناتان پس از تحقیقات به این نتیجه رسیدیم که در حوزه خدمات مشتری، بزرگترین ایراد کار مدیران این است که بیشتر اوقات، فقط روی مسائل روزانه و تاکتیکی تمرکز دارند اما در ایجاد و توسعه فرصتهای استراتژیک و بلندمدت خدمات مشتری شکست میخورند، در حالی که این فرصتها هستند که مشتریان کلیدی شما را حفظ و گسترش میدهند. یک مثال معمول برایتان میآورم:
سه گام تا نوآوری استراتژیک در خدمات مشتری
چند سال پیش ما یک کارگروه با موضوع خدمات مشتری برای مدیران اجرایی ترتیب دادیم. حدود ۳۰ مدیر ممتاز برای یک جلسه یکروزه گرد هم آمدند. ما آخرین یافتههای تحقیقاتمان را با آنها مطرح کردیم و از رهبران هتلهای زنجیرهای ریتز کارلتون، دیزنی و چند شرکت پیشگام در عرصه خدمات مشتری دعوت کردیم تا دانستههای خود را در اختیارمان بگذارند. در پایان روز، جلسهای تشکیل دادیم که در آن، شرکتکنندهها نظرات و تجربیات خود را در رابطه با ارتقای خدمات مشتری مطرح کردند.
جلسه را با این سوال شروع کردیم: «خدمات مشتری چیست؟» در پاسخ به این سوال ساده و صریح، جوابهای مختلفی شنیدیم که کمابیش انتظارش را داشتیم. یکی گفت پاسخ دادن به تلفن در ۳۰ ثانیه. یکی دیگر گفت چرخه سفارش سریع. دیگری گفت ارتقای نرخ تکمیل سفارش. یکی دیگر گفت خدمات مشتری یعنی اجازه ندهیم «گرگم به هوای تلفنی» اتفاق بیفتد. (پدیده گرگم به هوای تلفنی اشاره به مواقعی دارد که شما سعی دارید با کسی تماس بگیرید اما او جواب نمیدهد و شما ناچارا برایش پیغام میگذارید. او پس از دریافت پیغامتان، با شما تماس میگیرد اما اینبار، شما در دسترس نیستید و حالا او، پیغام میگذارد. این پروسه اینقدر ادامه پیدا میکند که شبیه به بازی گرگم به هوا میشود.) و پاسخهایی از این قبیل. وجه اشتراک این پاسخها این بود که همه آنها معیارهای عملیاتی تاکتیکی بودند.
مهمتر اینکه، همهشان معیارهای داخلی بودند. این یک مشکل متداول است. نرخ تکمیل (Fill Rate) را در نظر بگیرید. این نرخ یعنی درصد سفارشهای یک مشتری، که میتوانید بلافاصله و از موجودی فعلیتان، تامین و ارسال کنید، بدون آنکه مشتری، با عدم موجودی مواجه شود یا کم و کاستیای در تحویل سفارشها وجود داشته باشد. حال سوال اینجاست که نرخ تکمیل بالا به چه درد میخورد اگر مشتری شما، کلی محصول اشتباهی دریافت کرده باشد؟ اگر میزان سفارشهایش، دو برابر مقدار موجودی باشد چطور؟ یا فرض کنید در دریافت خدمات با اختلال بزرگی مواجه شده و با شما تماس گرفته. پاسخدهی فوری به مشکلی که اصلا نباید پیش میآمد چه فایدهای دارد؟
در حوزه خدمات مشتری، معیارهایی مهمند که آنچه مشتری واقعا تجربه میکند را انعکاس میدهند نه آنچه شما در عملیاتهای خود تجربه میکنید. ادغام این دو، یک فرض اشتباه است. علاوه بر این، یک عامل دیگر هم مهم است: «ذهنیت» مشتری از خدمات که مدیران غالبا و به اشتباه، فکر میکنند نشاندهنده تجربه مشتری از خدمات واقعی است. اما در واقع، ذهنیت مشتری نسبت به خدمات، تا حد زیادی متاثر از بدترین تجربه اوست، نه میانگین تمام تجربیاتش. حتی اگر مشتری به ندرت تجربیات بد داشته باشد، باز هم آنها بیشتر در خاطرش میمانند (اگر یک بار یک غذای افتضاح در رستوران خورده باشید، حتما آن را به یاد دارید).
در پایان جلسه، مدیران لیستی بلند از معیارهای خدمات مشتری تاکتیکی در مقابل ما قرار دادند. ما هم یک سوال دیگر از آنها پرسیدیم: «رقیب شما چه کاری میتواند بکند که بدترین کابوس شماست؟» گروه ابتدا ساکت بودند. پس از چند دقیقه، بحث داغ شد و مسیرش تغییر کرد. جوابها از نظر فرم و محتوا متفاوت بودند اما پیام ضمنی همه آنها یکی بود: «اگر رقیب من بتواند از نظر داخلی، هماهنگ شود تا سوددهی، فرآیندهای کسبوکار و جایگاه استراتژیک مشتری بهبود یابد، من بدجور به دردسر میافتم. مشتری قطعا ارتباطش را با ما قطع میکند و بدون تردید، سراغ رقیب میرود.»
بهبود سوددهی، فرآیندهای کسبوکار و جایگاه استراتژیک مشتری، یک موفقیت استراتژیک بزرگ در حوزه خدمات مشتری بود که ظاهرا برایشان از هر چیزی مهمتر بود. به همین خاطر، سوال بعدی را که یک سوال منطقی بود، مطرح کردیم: «اگر این استراتژی نهایی موفقیت است و اگر راز موفقیت در رقابت را میدانیم، چرا از اول انجامش نمیدهیم؟ آنطور که پیداست، این یک فرصت طلایی برای حفاظت از بهترین مشتریانمان و دزدیدن گوی سبقت از رقباست.» پاسخ آنها به این سوال هنوز هم در ذهن من و همکارانم طنین میاندازد. تقریبا همه افراد گروه به شکلهای مختلف و با کلمات مختلف، یک پیام را رساندند: «نمیتوانیم. از دستمان ساخته نیست.» چرا نمیتوانند؟ مانع اصلی میان رهبران این بود که نمیتوانستند واحدهای عملیاتی را با هم هماهنگ کنند و آنها را برای طراحی برنامههای استراتژیک و نوآورانه خدمات مشتری، گرد هم آورند. این مشکل زمانی اتفاق میافتد که گروهها بیش از حد روی اهداف و معیارهای واحد خودشان متمرکز هستند، از جمله معیارهای داخلی تاکتیکی.
مدیریت معیارهای تاکتیکی خدمات مشتری معمولا بر عهده یکی از واحدهای سازمان است. این در حالی است که لازمه نوآوریهای استراتژیک این حوزه، ایجاد هماهنگی میان فعالیتهای چند واحد است. در اینجا ما به تعریف مفهومی میپردازیم که نامش را «بیتفاوتی سازمانی» میگذاریم. این پدیده، ناشی از عدم همکاری از روی بدخواهی نیست. دلیلش این است که مدیران سایر واحدها معمولا روی معیارهایی تمرکز دارند که از نظر مدیران بالا، مهم است و باید در برابرشان پاسخگو باشند. برای شکستن این دیوار سازمانی و ایجاد نوآوریهای استراتژیک در حوزه خدمات مشتری، رهبران باید یکسری پروژههای آزمایشی طراحی کنند: منظور ما فرصتهای محدودی با هدف آزمون و خطا و کشف پتانسیل نوآوریهای موفقیتآمیز است.
سرعتبخشی به تغییرات از طریق پروژههای آزمایشی
همه شرکتها با این دو مشکل مواجهند: اجرای نوآوریهای خدمات مشتری در یک بستر حقیقی و غلبه بر بیتفاوتی سازمانی. بسیاری از آنها نمیتوانند اقدام قاطعانه انجام دهند و اگر رقیبی، این قابلیت را داشته باشد و میان واحدها هماهنگی ایجاد کرده باشد، میتواند آنها را از میدان رقابت حذف کند. در اینجا مثالی از شرکتی میآورم که این را به درستی اعمال کرده. حدود ۳۰ سال پیش، زیرمجموعه یک شرکت خدمات درمانی کانادایی به نام باکستر تصمیم گرفت همراه با یک مشتری درباره نحوه ایجاد نوآوریهایی که به نفع طرفین باشد، تحقیق کنند. مشتری، یک بیمارستان کوچک بود. انتخاب باکستر بسیار هوشمندانه بود چون فضا برای نوآوری ایدهآل بود: یک بیمارستان نسبتا کوچک که به تازگی افتتاح شده بود. یکسری نیروی جدید داشت، نیاز بود که فرآیندهای جدید توسعه یابند و مدیرعامل جوان بیمارستان، مشتاقانه به دنبال نوآوریهایی بود که صنعت درمان را دگرگون کنند.
باکستر و مدیرعامل بیمارستان یک تیم مشترک تشکیل دادند تا روشهای جدید برای همکاری با یکدیگر را کشف کنند. طی این فرآیند، آنها توانستند چند نوآوری در حوزه زنجیره تامین ایجاد کنند از جمله نخستین مدل انبارداری توسط فروشنده که حالا در حوزه درمان، جا افتاده است.
این فرآیند دو خروجی مهم داشت.
اولا، از آنجا که بیمارستان یک مشتری کوچک محسوب میشد، مدیران ارشد باکستر میتوانستند با ریسک کم، مدل جدید را اجرا کنند. و چون با یک سازمان جدید سر و کار داشتند، میتوانستند فرآیندهای واقعی را در یک موقعیت «زنده» اصلاح کنند.
دوما، این پروژه آزمایشی به مدیران باکستر این امکان را میداد که بیایند و از نزدیک، نحوه اعمال فرآیندها را ببینند و در توسعهاش شرکت کنند. آنها میتوانستند با پرستاران، پزشکان و کادر اداری صحبت کنند تا ببینند کارها چطور پیش میرود. طی فرآیند، بسیاری از مدیران باکستر که به بیمارستان سر میزدند، توصیههایی در رابطه با بهبود فرآیند به تیم مشترک ارائه دادند. با اجرای این پیشنهادها، تیم توانست حمایت گستردهای از سوی آنها دریافت کند و همزمان، فرآیندها را نیز بهبود بخشد. برعکس این مورد، مربوط به شرکتی به نام «بل» بود که در چندین ایالت جنوبی آمریکا فعالیت داشتند. این شرکت قدرتمند و موفق در واقع یک نیروگاه منطقهای بودند که منابع کافی در اختیار داشتند. رهبران سازمان داشتند تصمیم میگرفتند که آیا خدمات پهنای باند را برای مشتریان توسعه دهند یا نه، و اگر تصمیم بر آن شد، چطور آن را ساختاردهی و حمایت کنند. روش بدیهی این بود که تحقیقاتی سنتی در بازار انجام دهند که احتمالا نشان میداد مشتریها در کل نسبت به آن تمایل دارند اما نه آنقدر که بخواهند کل هزینه خدمات را بپردازند.
همزمان اما، افراد نوآور سازمان که همکارم جاناتان با آنها کار میکرد، یک پیشنهاد جایگزین ارائه دادند: اجرای یک پروژه آزمایشی. تصمیم گرفتند میان یک جامعه کوچک و سطح بالا از طریق پهنای باند، ارتباط برقرار کنند که بتواند جوامع مهم شهر را از طریق این شبکه به هم پیوند دهد (مدارس، جوامع ورزشی، کلوپها و ...). آنها معتقد بودند این به مشتریها فرصتی میدهد که روشهای ارتباطی جدیدی پیدا کنند و ارزش این نوآوری را همان ابتدا حس کنند.
شرکت با این نوآوری استراتژیک در حوزه خدمات مشتری میتوانست در عرصه خدمات مبتنی بر اینترنت، پیشگام شود و از رقیبان خود، دهها گام پیشی بگیرد.
بل دارای منابع فراوانی بود. اما نوآوران سازمان نتوانستند حمایت مدیران سایر واحدها را جلب کنند چون آنها معتقد بودند اجرای این طرح آزمایشی هیچ نفعی برای واحد خودشان ندارد و ترجیح میدادند منابع را به پروژههای تاکتیکی خدمات مشتری واحد خودشان اختصاص دهند که شاید منافع ناچیزی داشت اما حداقل قابل اندازهگیری بود.
در نهایت، واحد مالی سازمان پروژه را نابود کرد و توجیهشان این بود که در مقایسه با برنامههای عملیاتی جاری، بازگشت کافی ندارد.
این شرکت که در صنعت خودش، غولی بود رفتهرفته محو شد و با یک زیرشاخه دیگر بل، ادغام شد. آن هم با زیرشاخه بعدی ادغام شد.
سه گام تا ایجاد خدمات مشتری استراتژیک و پیشرفته
یک برنامه سه مرحلهای هست که تیمهای مدیریتی خلاق میتوانند برای طراحی پروژههای آزمایشی خدمات مشتری استراتژیک به کار ببرند. پروژههای آزمایشی کمک میکنند در حین انجام کار، یاد بگیرید و بر بیتفاوتی سازمانی غلبه کنید:
ایجاد تغییر همزمان با پیشرفت بیشتر اوقات، مهمترین نتایج یک پروژه، فقط پس از تکامل پروژه به مرور زمان مشهود میشوند که این شاید سالها طول بکشد. تغییرات مرتبه دوم و سوم، از همه قدرتمندترند چون منعکسکننده تجربه و بازخورد آنی مشتری هستند. پروژه باکستر، همزمان که تیم با پرسنل بیمارستان همکاری میکردند و نیازها و نگرانیهای جدیدشان را لحاظ میکردند، بارها اجرا و اصلاح شد. به ندرت پیش میآید که یک سرمایهگذاری خطرپذیر موفق، همان برنامه اولیه را تا آخر پیش ببرد. کلید موفقیت، درس گرفتن از تجربیات و تکامل سریع است. سرمایهگذاران موفق این را به خوبی میدانند.
همتایان خود را همان ابتدا دخیل کنید
نوآوری استراتژیک در حوزه خدمات مشتری، مسالهای مربوط به کل سازمان است. همتایان عملیاتی خود را از سایر واحدها فرابخوانید و آنها را از همان ابتدا در اجرای پروژه دخیل کنید. اجازه دهید در شکلگیری پروژه کمک و کشف کنند که اجرای آن چه مزایای مستقیمی برایشان خواهد داشت. اگر این فرصت را به آنها دهید، خواهید دید که خودشان در طول فرآیند، قهرمان خواهند شد. مثلا معاون بخش زنجیره تامین باکستر خیلی دوست داشت یک سیستم جمعآوری جدید و اتوماتیک را امتحان کند. او میتوانست آن را در پروژه آزمایشی بگنجاند تا امکانپذیری و نتایج اقتصادی آن را در عمل ببیند. بهعلاوه، وقتی تیم فروش، افزایش ۳۵درصدی درآمد ناشی از این مشتری بانفوذ را دیدند، خودشان هم با اشتیاق به پروژه پرداختند.
وقتی نوآوری مربوطه، ارزش خود را اثبات میکند و مورد اقبال گسترده قرار میگیرد، مدیران ارشد میتوانند به آن متعهد شوند و برنامهریزیهای عملیاتی واحدها، تخصیص منابع و سیستمهای پاداشدهی را طوری تغییر دهند که امکان رشد و موفقیت پروژه را فراهم کند.
سخن آخر
مدیریت معیارهای تاکتیکی خدمات مشتری معمولا بر عهده یکی از واحدهای سازمان است اما نوآوری استراتژیک در این حوزه که منعکسکننده تجربه واقعی مشتری باشد، بر عهده یک واحد یا عملیات نیست بلکه نیازمند همکاری و هماهنگی میان تمام واحدهاست.
موفقیتها و پیشرفتهای بزرگ در حوزه خدمات مشتری استراتژیک به شما کمک میکند سوددهی، اثربخشی فرآیندهای کسبوکار و جایگاه استراتژیک مشتری خود را تحت تاثیر قرار دهید. اینها اهداف نهایی موفقیت در حوزه خدمات مشتری هستند. مدیرانی موثرند که برنامه جامعی طراحی کنند که به نوآوری در حوزه خدمات مشتری بینجامد، اما بر پایه مهارتهای روزانه و تاکتیکی.
برگرفته از دنیای اقتصاد
شرکت پیشران صنعت ویرا با اساس نامه اتوماسیون صنعتی و کنترل ابزار دقیق و ساخت تابلوهای برق فشار قوی و ضعیف از سال 92 تاسیس گشت و ازهمان ابتدا در حوزه کاربرد ابزار دقیق در bms و سپس تولید و ساخت آنها قدم نهاد و در ادامه مسیر توانست با اتکا به تجربیات چندین ساله و استخدام نیروهای متخصص برق عملا جزو شرکتهایی باشد که محصولات قابل اتکایی با عناوین مانیتورینگ شرایط محیطی اتاق سرور -کنترلرهای دمای دیتا سنتر -دیتالاگرهای سردخانه و انبار -هشدار دهنده های دمای یخچال و فریزر و شمارشگرهای نمایشگاهی و فروشگاهی و تابلوهای برق متنوع با کاربردهای مختلف روانه بازار نماید در حال حاضر سیستمهای کنترل دما و رطوبت اتاق سرور این شرکت تنها سیستم مبتنی بر سخت افزار صنعتی plc-hmi در ایران است.