کتاب روش ارزیابی ریسک CIS

کتاب روش ارزیابی ریسک CIS نوشته مصطفی تمتاجی و روح الله جعفری توسط انتشارات موسسه آموزشی و تحقیقاتی صنایع دفاعی منتشر شده است. این کتاب به موضوع ارزیابی ریسک در امنیت سایبری می‌پردازد و نشان می‌دهد سازمان‌ها چگونه می‌توانند میان حفاظت از دارایی‌های اطلاعاتی، اهداف عملیاتی و تعهدات خود توازن برقرار کنند. تمرکز اصلی اثر بر مدلی است که ریسک را از مسیر اثر و انتظار می‌سنجد و برای تصمیم‌گیری درباره‌ی اقدامات ایمن‌ساز، زبان مشترکی میان مدیران و متخصصان فراهم می‌کند. نسخه‌ی الکترونیکی این اثر را می‌توانید از طاقچه خرید و دانلود کنید.

درباره کتاب روش ارزیابی ریسک CIS

کتاب روش ارزیابی ریسک CIS نوشته‌ی مصطفی تمتاجی و روح الله جعفری، به یکی از مسئله‌های مهم در مدیریت امنیت اطلاعات می‌پردازد: اینکه سازمان‌ها چگونه ریسک‌های سایبری را به‌صورت قابل‌سنجش، قابل‌مقایسه و قابل‌دفاع ارزیابی کنند. متن کتاب از همان ابتدا مشخص می‌کند که هدف فقط فهرست‌کردن تهدیدها نیست، بلکه ساختن مبنایی برای تصمیم‌گیری است، مبنایی که در آن مأموریت سازمان، اهداف عملیاتی، تعهدات در برابر دیگران و هزینه‌ی اقدامات ایمن‌ساز هم‌زمان دیده می‌شوند. به همین دلیل، کتاب فقط درباره‌ی کنترل‌های امنیتی حرف نمی‌زند و به منطق پشت انتخاب یا رد هر کنترل هم می‌پردازد.

کتاب روش ارزیابی ریسک CIS در بخش‌های مختلف خود، فرایند ارزیابی ریسک را از تعریف معیارهای اثر و پذیرش ریسک تا مدل‌سازی تهدید، تحلیل دارایی‌ها، برآورد انتظار و سنجش پیامدها دنبال می‌کند. فصل نخست به اصول و رویه‌های تجربه‌شده اختصاص دارد و بعد از آن، دو بخش جداگانه برای سازمان‌هایی با سطح بلوغ و توان متفاوت آمده است. در این مسیر، کتاب به موضوع‌هایی مثل ثبت‌کننده‌ی ریسک، معیارهای ریسک ذاتی، تحلیل ریسک، مقابله با ریسک و ارزشیابی اقدامات ایمن‌ساز توصیه‌شده می‌پردازد. جدول‌ها، الگوها و نمونه‌های امتیازدهی هم نشان می‌دهد که این اثر فقط در سطح تعریف مفاهیم باقی نمی‌ماند و می‌خواهد شیوه‌ی استفاده از آن‌ها را هم روشن کند.

نکته‌ی مهم دیگر در کتاب روش ارزیابی ریسک CIS اثر مصطفی تمتاجی و روح الله جعفری، تأکید بر تفاوت میان خود ریسک و ریسک ناشی از اقدام ایمن‌ساز است، یعنی ممکن است یک کنترل امنیتی، تهدیدی را کم کند، اما هم‌زمان فشار تازه‌ای بر مأموریت، بهره‌وری یا تعهدات سازمان وارد کند. همین نگاه باعث شده کتاب از ارزیابی ریسک، تصویری یک‌بعدی ارائه نکند. این اثر فنی است، اما بحث‌ها فقط به زبان تخصصی محدود نمی‌شوند و بارها بر ضرورت ایجاد درک مشترک میان مدیران غیر فنی، متخصصان امنیت و نهادهای ناظر تأکید شده است. درنتیجه، این اثر هم به منطق تصمیم‌سازی توجه دارد و هم به جزئیات اجرایی سنجش ریسک.

خلاصه کتاب روش ارزیابی ریسک CIS

کتاب روش ارزیابی ریسک CIS چارچوبی برای سنجش ریسک‌های امنیت سایبری ارائه می‌کند که در آن ریسک از ترکیب اثر و انتظار به دست می‌آید. نویسندگان ابتدا اصول پایه‌ی ارزیابی را توضیح می‌دهند و سپس نشان می‌دهند که سازمان باید مأموریت، اهداف عملیاتی، تعهدات و در صورت نیاز اهداف مالی خود را به معیارهای قابل‌سنجش تبدیل کند. بعد از آن، نوبت به مدل‌سازی ریسک‌ها می‌رسد، یعنی پیونددادن دارایی‌های اطلاعاتی، تهدیدهای قابل‌پیش‌بینی، آسیب‌پذیری‌ها و اقدامات ایمن‌ساز. این کتاب در ادامه توضیح می‌دهد که چگونه می‌توان ریسک‌های غیرقابل پذیرش را شناسایی کرد، برای آن‌ها اقدام ایمن‌ساز مناسب در نظر گرفت و حتی خود آن اقدامات را هم دوباره از نظر پیامد و هزینه ارزشیابی کرد.

چرا باید کتاب روش ارزیابی ریسک CIS را بخوانیم؟

دلایل خواندن کتاب روش ارزیابی ریسک CIS را می‌توان این‌طور خلاصه کرد:

• این کتاب فرایند ارزیابی ریسک سایبری را از تعریف معیارها تا تصمیم‌گیری درباره‌ی مقابله با ریسک، مرحله‌به‌مرحله توضیح می‌دهد.
• خواننده با مطالعه‌ی این اثر می‌تواند تفاوت میان اثر، انتظار، ریسک ذاتی و ریسک ناشی از اقدام ایمن‌ساز را دقیق‌تر درک کند.
• این اثر نشان می‌دهد ارزیابی ریسک فقط مسئله‌ای فنی نیست و باید مأموریت سازمان، اهداف عملیاتی و تعهدات آن هم در تحلیل وارد شوند.
• جدول‌ها، الگوها و ثبت‌کننده‌های ریسکِ مطرح‌شده در کتاب، مسیر تبدیل مفاهیم کلی به سنجش‌های مشخص را روشن می‌کنند.
• کتاب حاضر برای فهم این موضوع مفید است که چرا بعضی کنترل‌های امنیتی، باوجود ظاهر محافظتی، ممکن است خودشان مسئله‌ساز شوند.
• مطالعه‌ی این اثر به مدیران و کارشناسان کمک می‌کند درباره‌ی ریسک با زبان مشترک‌تری گفت‌وگو و تصمیم‌گیری کنند.

خواندن کتاب روش ارزیابی ریسک CIS را به چه کسانی پیشنهاد می‌کنیم؟

خواندن کتاب روش ارزیابی ریسک CIS به این گروه‌ها پیشنهاد می‌شود:

• کارشناسان امنیت اطلاعات که می‌خواهند ارزیابی ریسک را بر پایه‌ی معیارهای روشن‌تر انجام دهند.
• مدیرانی که لازم است میان امنیت، هزینه، بهره‌وری و تعهدات سازمانی توازن برقرار کنند.
• مخاطبانی که درمورد کنترل‌های امنیتی، پذیرش ریسک و اولویت‌بندی اقدامات ایمن‌ساز تصمیم می‌گیرند.
• پژوهشگران و دانشجویانی که به مباحث مدیریت ریسک در فضای سایبری علاقه دارند.
• سازمان‌هایی که به‌دنبال چارچوبی برای ثبت، مقایسه و ارزشیابی ریسک‌های امنیتی خود هستند.