کتاب روش ارزیابی ریسک CIS

کتاب روش ارزیابی ریسک CIS نوشته مصطفی تمتاجی و روح الله جعفری است و انتشارات موسسه آموزشی و تحقیقاتی صنایع دفاعی آن را منتشر کرده است. این کتاب به موضوع ارزیابی ریسک در امنیت سایبری می‌پردازد و نشان می‌دهد سازمان‌ها چگونه می‌توانند میان حفاظت از دارایی‌های اطلاعاتی، اهداف عملیاتی و تعهدات خود توازن برقرار کنند. تمرکز اصلی اثر بر مدلی است که ریسک را از مسیر اثر و انتظار می‌سنجد و برای تصمیم‌گیری درباره اقدامات ایمن‌ساز، زبان مشترکی میان مدیران و متخصصان فراهم می‌کند. نسخه‌ی الکترونیکی این اثر را می‌توانید از طاقچه خرید و دانلود کنید.

درباره کتاب روش ارزیابی ریسک CIS

کتاب روش ارزیابی ریسک CIS نوشته مصطفی تمتاجی و روح الله جعفری، به یکی از مسئله‌های مهم در مدیریت امنیت اطلاعات می‌پردازد: این‌که سازمان‌ها چگونه ریسک‌های سایبری را به‌صورت قابل سنجش، قابل مقایسه و قابل دفاع ارزیابی کنند. متن کتاب از همان ابتدا روشن می‌کند که هدف فقط فهرست‌کردن تهدیدها نیست، بلکه ساختن مبنایی برای تصمیم‌گیری است؛ مبنایی که در آن مأموریت سازمان، اهداف عملیاتی، تعهدات در برابر دیگران و هزینه‌ی اقدامات ایمن‌ساز هم‌زمان دیده می‌شوند. به همین دلیل، کتاب فقط درباره‌ی کنترل‌های امنیتی حرف نمی‌زند و به منطق پشت انتخاب یا رد هر کنترل هم می‌پردازد.
کتاب روش ارزیابی ریسک CIS در بخش‌های مختلف خود، فرایند ارزیابی ریسک را از تعریف معیارهای اثر و پذیرش ریسک تا مدل‌سازی تهدید، تحلیل دارایی‌ها، برآورد انتظار و سنجش پیامدها دنبال می‌کند. در فهرست مطالب، فصل نخست به اصول و رویه‌های تجربه‌شده اختصاص دارد و بعد از آن، دو بخش جداگانه برای سازمان‌هایی با سطح بلوغ و توان متفاوت آمده است. در این مسیر، کتاب به موضوع‌هایی مثل ثبت‌کننده‌ی ریسک، معیارهای ریسک ذاتی، تحلیل ریسک، مقابله با ریسک و ارزشیابی اقدامات ایمن‌ساز توصیه‌شده می‌پردازد. حضور جدول‌ها، الگوها و نمونه‌های امتیازدهی هم نشان می‌دهد که اثر فقط در سطح تعریف مفاهیم باقی نمی‌ماند و می‌خواهد شیوه‌ی استفاده از آن‌ها را هم روشن کند.
نکته‌ی مهم دیگر در این کتاب، تأکید بر تفاوت میان خود ریسک و ریسک ناشی از اقدام ایمن‌ساز است. یعنی ممکن است یک کنترل امنیتی، تهدیدی را کم کند اما هم‌زمان فشار تازه‌ای بر مأموریت، بهره‌وری یا تعهدات سازمان وارد کند. همین نگاه باعث شده کتاب از ارزیابی ریسک، تصویری یک‌بعدی ارائه نکند. فضای کلی اثر فنی است، اما بحث‌ها فقط به زبان تخصصی محدود نمی‌شوند و بارها بر ضرورت ایجاد درک مشترک میان مدیران غیر فنی، متخصصان امنیت و نهادهای ناظر تأکید شده است. در نتیجه، با متنی روبه‌رو هستیم که هم به منطق تصمیم‌سازی توجه دارد و هم به جزئیات اجرایی سنجش ریسک.

خلاصه کتاب روش ارزیابی ریسک CIS

کتاب روش ارزیابی ریسک CIS چارچوبی برای سنجش ریسک‌های امنیت سایبری ارائه می‌کند که در آن ریسک از ترکیب اثر و انتظار به دست می‌آید. نویسندگان ابتدا اصول پایه‌ی ارزیابی را توضیح می‌دهند و سپس نشان می‌دهند که سازمان باید مأموریت، اهداف عملیاتی، تعهدات و در صورت نیاز اهداف مالی خود را به معیارهای قابل سنجش تبدیل کند. بعد از آن، نوبت به مدل‌سازی ریسک‌ها می‌رسد؛ یعنی پیوند دادن دارایی‌های اطلاعاتی، تهدیدهای قابل پیش‌بینی، آسیب‌پذیری‌ها و اقدامات ایمن‌ساز. کتاب در ادامه توضیح می‌دهد که چگونه می‌توان ریسک‌های غیرقابل پذیرش را شناسایی کرد، برای آن‌ها اقدام ایمن‌ساز مناسب در نظر گرفت و حتی خود آن اقدامات را هم دوباره از نظر پیامد و هزینه ارزشیابی کرد.

چرا باید کتاب روش ارزیابی ریسک CIS را بخوانیم؟

دلایل خواندن این کتاب را می‌توان این‌طور خلاصه کرد:

• این کتاب فرایند ارزیابی ریسک سایبری را از تعریف معیارها تا تصمیم‌گیری درباره‌ی مقابله با ریسک، مرحله‌به‌مرحله توضیح می‌دهد.
• خواننده با مطالعه‌ی آن می‌تواند تفاوت میان اثر، انتظار، ریسک ذاتی و ریسک ناشی از اقدام ایمن‌ساز را دقیق‌تر درک کند.
• این اثر نشان می‌دهد ارزیابی ریسک فقط مسئله‌ای فنی نیست و باید مأموریت سازمان، اهداف عملیاتی و تعهدات آن هم در تحلیل وارد شوند.
• جدول‌ها، الگوها و ثبت‌کننده‌های ریسکِ مطرح‌شده در کتاب، مسیر تبدیل مفاهیم کلی به سنجش‌های مشخص را روشن می‌کنند.
• کتاب برای فهم این موضوع مفید است که چرا بعضی کنترل‌های امنیتی، با وجود ظاهر محافظتی، ممکن است خودشان مسئله‌ساز شوند.
• مطالعه‌ی آن به مدیران و کارشناسان کمک می‌کند درباره‌ی ریسک با زبان مشترک‌تری گفت‌وگو و تصمیم‌گیری کنند.

خواندن این کتاب را به چه کسانی پیشنهاد می‌کنیم؟

خواندن این کتاب به این گروه‌ها پیشنهاد می‌شود:

• کارشناسان امنیت اطلاعات که می‌خواهند ارزیابی ریسک را بر پایه‌ی معیارهای روشن‌تر انجام دهند.
• مدیرانی که لازم است میان امنیت، هزینه، بهره‌وری و تعهدات سازمانی توازن برقرار کنند.
• مخاطبانی که درمورد کنترل‌های امنیتی، پذیرش ریسک و اولویت‌بندی اقدامات ایمن‌ساز تصمیم می‌گیرند.
• پژوهشگران و دانشجویانی که به مباحث مدیریت ریسک در فضای سایبری علاقه دارند.
• سازمان‌هایی که به‌دنبال چارچوبی برای ثبت، مقایسه و ارزشیابی ریسک‌های امنیتی خود هستند.