افتا؛ گامی مهم برای امنیت ملی در عصر اطلاعات

مجموعه: سرمایه های دیجیتالی

افتا نگهبان امنیت در دنیای مجازی

افتا؛ ضامن امنیت در دنیای دیجیتال

با گسترش روزافزون استفاده از اینترنت در میان سازمان‌ها و نهادهای دولتی و خصوصی، حفظ امنیت اطلاعات و داده‌ها به دغدغه‌ای اساسی تبدیل شده است. در این میان، اتکا به محصولات و خدمات داخلی دارای تاییدیه امنیتی از سوی "افتا" (مرکز امنیت فضای تولید و تبادل اطلاعات) نقشی کلیدی در ارتقای سطح امنیت شبکه ملی و صیانت از اطلاعات حساس ایفا می‌کند. 

افتا مرجع امنیت فضای تولید و تبادل اطلاعات

افتا چیست؟

افتا، مخفف "امنیت فضای تولید و تبادل اطلاعات"، سازمانی دولتی در ایران است که وظیفه‌ی مهم حفظ امنیت سایبری در کشور را بر عهده دارد. این سازمان با صدور گواهینامه‌ها و مجوزهای مرتبط، به سازمان‌ها و شرکت‌ها کمک می‌کند تا از اطلاعات و سیستم‌های خود در برابر تهدیدات سایبری محافظت کنند.

در عصر حاضر که اتکا به  نرم‌افزارها در امور مختلف روز به روز بیشتر می‌شود، نقش افتا در  تضمین امنیت سایبری از اهمیت حیاتی برخوردار است. با گسترش استفاده از سیستم‌های نرم‌افزاری در نهادهای دولتی و خصوصی، حفظ امنیت اطلاعات و داده‌ها به یک نیاز فوری تبدیل شده است.

افتا با تأیید امنیت محصولات، خدمات و نرم‌افزارهای تولید داخلی، به  ارتقای امنیت شبکه ملی کمک می‌کند و از سوء استفاده‌های احتمالی ناشی از به‌ کارگیری محصولات ناامن جلوگیری می‌کند. همکاری سازمان فناوری اطلاعات ایران و افتا در این زمینه بسیار حائز اهمیت است. این دو سازمان با همکاری یکدیگر، گواهی‌های امنیتی را  برای  محصولات و خدمات نرم‌افزاری ارزیابی و صادر می‌کنند و به طور مؤثر سطح تهدیدات سایبری را برای  سازمان‌ها کاهش می‌دهند و بالاترین سطح امنیت را برای داده‌ها و اطلاعات به ارمغان  می‌آورند.

در گذشته، بسیاری از شرکت‌های ارائه‌دهنده راه‌حل‌های نرم‌افزاری با وجود ادعای داشتن  گواهی‌های امنیتی مانند ایزو 27018، اقدامات لازم را برای استقرار سیستم‌های مدیریت  امنیت اطلاعات انجام نمی‌دادند. این موضوع سبب آسیب‌های زیادی به زیرساخت‌های  کشور، نهادهای دولتی و سازمان‌های مختلف شد. نشت اطلاعات و  اسناد حساس در پی حملات هکری به این سیستم‌ها نیز اتفاقی معمول بود.

به  همین دلیل، افتا شرکت‌های تولیدکننده نرم‌افزار، شرکت‌های مشاوره IT و ارائه‌دهندگان  خدمات آموزشی را به اخذ گواهینامه افتا ملزم کرد.این گواهینامه نشان‌دهنده تعهد این  شرکت‌ها به رعایت بالاترین استانداردهای امنیت اطلاعات و ارائه محصولات و خدمات امن و  مطمئن به مشتریان خود است.

اهمیت گواهی افتا

گواهی افتا صرفا نشان دهنده ی برتری خدمات یا محصول خاصی نیست، بلکه به منزله تایید امنیت آن سیستم یا سامانه در جهت حفاظت از اطلاعات و داده ها در فضای مجازی و همچنین انتقال امن آنها در بستر اینترنت است. با گسترش روزافزون دنیای مجازی و فناوری های اینترنتی، سازمان ها و نهادهای دولتی به طور فزاینده ای در معرض حملات سایبری قرار دارند. این حملات می توانند علاوه بر خسارات مالی هنگفت، منجر به لو رفتن اطلاعات و داده های حساس نیز شوند.

لذا مدیران هنگام انتخاب سیستم ها و سامانه های تولید و تبادل اطلاعات، باید به طور حتم به گواهی افتا و مجوز آن سازمان یا شرکت ارائه دهنده خدمات توجه داشته باشند. چرا که همواره احتمال سرقت اطلاعات ذخیره شده در سیستم ها و سامانه های اینترنتی وجود دارد. از سوی دیگر، سازمان فناوری اطلاعات ایران طی بخشنامه ای به تمامی سازمان های دولتی و غیر دولتی در خصوص استفاده از سامانه ها و سیستم های فاقد گواهی ارزیابی افتا هشدار داده است.

دلیل این امر آن است که سامانه های نرم افزاری بدون مجوز افتا، از امنیت کافی برای مقابله با حملات سایبری و سایر خطرات موجود در فضای اینترنت برخوردار نیستند.

علاوه بر موارد ذکر شده، یکی دیگر از مزایای دریافت گواهی افتا، بررسی صلاحیت افراد و مدیران سازمان ها توسط سازمان فناوری اطلاعات ایران در فرآیند صدور این گواهی است.

این موضوع به این معنی است که داشتن گواهی نامه افتا، علاوه بر تایید امنیت نرم افزار مربوطه، امنیت و حسن کار شرکت ارائه دهنده خدمات را نیز تضمین می کند.

برای اطمینان از اصالت گواهی نامه افتا و مجوزهای مربوط به محصولات نرم افزاری، می توانید به وب سایت سازمان فناوری اطلاعات ایران مراجعه کرده و با جستجوی نام شرکت ارائه دهنده سیستم های نرم افزاری، گواهی نامه های آن را مشاهده کنید.

گواهی افتا صرفا نشان دهنده ی برتری خدمات یا محصول خاصی نیست

آشنایی با اصطلاحات کلیدی در طرح ارزیابی امنیتی محصول

در این بخش، به معرفی و شرح برخی از اصطلاحات و واژه‌های کلیدی به کار رفته در طرح ارزیابی امنیتی محصول می‌پردازیم:

• فتا: مخفف "فضای تولید و تبادل اطلاعات" است.

• مرکز افتا: به اختصار "افتا" نامیده می‌شود و به عنوان "مرکز امنیت فضای تولید و تبادل اطلاعات" شناخته می‌شود.

• سازمان: منظور "سازمان فناوری اطلاعات ایران" است.

• استاندارد ارزیابی امنیتی معیار مشترک: این استاندارد با عنوان ISO 15408 شناخته می‌شود و به عنوان مبنایی برای ارزیابی امنیتی محصولات در نظر گرفته می‌شود.

• هدف ارزیابی: به محصول یا کارکرد مورد ارزیابی بر اساس "استاندارد ارزیابی معیار مشترک" هدف ارزیابی گفته می‌شود.

• متدلولوژی ارزیابی معیار مشترک: مجموعه‌ای از روش‌ها و دستورالعمل‌ها را برای ارزیابی امنیتی محصولات فتا ارائه می‌دهد و در قالب یک سند فنی تشریح شده است.

• طرح ارزیابی امنیتی: سندی است که توسط مرکز افتا و سازمان فناوری اطلاعات ایران تدوین و ارائه شده و دید کلی از فرآیند، خط‌مشی‌ها و راهبردهای ارزیابی امنیتی را ترسیم می‌کند.

• آزمایشگاه: به آزمایشگاه‌های تایید شده‌ای اشاره دارد که مجوز ارزیابی امنیتی محصولات فتا را دارا هستند.

• تولید کننده: شخصی یا سازمانی است که محصول را تولید می‌کند و یا متقاضی ارزیابی امنیتی آن است.

• ارزیاب: کارشناسی است که در آزمایشگاه مسئولیت ارزیابی امنیتی محصول را بر عهده دارد.

• مصرف کننده: حوزه‌ها و سازمان‌هایی هستند که از محصول مورد ارزیابی در فعالیت‌های خود استفاده می‌کنند.

• پروفایل حفاظتی: سندی مستقل است که الزامات امنیتی کلی را برای یک نوع محصول، بدون در نظر گرفتن جزئیات پیاده‌سازی، تشریح می‌کند.

• هدف امنیتی: بیانیه‌ای است که الزامات امنیتی جزئی‌تر را برای یک هدف ارزیابی مشخص، با توجه به نحوه پیاده‌سازی، ارائه می‌دهد. این بیانیه به عنوان مجموعه‌ای از نیازمندی‌ها و ویژگی‌های امنیتی محصول (هدف مورد ارزیابی) عمل می‌کند و مبنای ارزیابی آن قرار می‌گیرد.

• کارکرد امنیتی: به عملکرد محصول در زمینه‌هایی مانند ممیزی امنیت، رمزنگاری، احراز هویت و شناسایی، مدیریت دسترسی، حفاظت از داده‌ها و اطلاعات و غیره اشاره دارد.

• طرح کار ارزیابی: سندی است که توسط آزمایشگاه تهیه می‌شود و جزئیات برنامه‌ریزی شده و زمان‌بندی فعالیت‌های مربوط به ارزیابی امنیتی محصولات فتا را مشخص می‌کند.

• سطح اطمینان ارزیابی: معیاری است که بر اساس "استاندارد ارزیابی معیار مشترک" تعیین می‌شود و نشان‌دهنده میزان اطمینان از صحت و دقت نتایج ارزیابی است. این استاندارد 7 سطح سلسله مراتبی از 1 تا 7 را تعریف می‌کند.

• گزارش اعتبار سنجی: سندی است که پس از اتمام فرآیند ارزیابی و تأیید مرکز افتا توسط سازمان فناوری اطلاعات ایران صادر می‌شود و خلاصه‌ای از نتایج ارزیابی امنیتی را ارائه می‌دهد.

• اعتبار بخشی: فرآیندی است که بر نظارت بر فرآیند ارزیابی در آزمایشگاه و اطمینان از صحت نتایج و انطباق با روال‌های تعیین شده تمرکز دارد.

• اعتبارسنجی: مشابه اعتبار بخشی، فرآیندی است که بر نظارت بر فرآیند ارزیابی و حصول اطمینان از صحت نتایج و انطباق با روال‌های تعیین شده تمرکز دارد.

شرایط اخذ گواهینامه افتا

برای دریافت گواهینامه افتا، متقاضیان می‌توانند در چهار حوزه زیر اقدام به اخذ گواهی‌نامه نمایند:

• حوزه آموزشی: شامل دوره‌های آموزشی مرتبط با امنیت اطلاعات و فضای سایبری می‌شود.

• حوزه عملیاتی: شامل انجام فعالیت‌های عملی در زمینه امنیت اطلاعات و فضای سایبری می‌شود.

• حوزه فنی: شامل انجام فعالیت‌های فنی در زمینه امنیت اطلاعات و فضای سایبری می‌شود.

• حوزه مدیریتی: شامل انجام فعالیت‌های مدیریتی در زمینه امنیت اطلاعات و فضای سایبری می‌شود.

مدارک مورد نیاز:

یکی از مدارک اصلی برای صدور گواهینامه افتا، ارائه سه گواهینامه ایزو است:

• ایزو 9001: سیستم مدیریت کیفیت

• ایزو 27001: سیستم مدیریت امنیت اطلاعات

• ایزو 20000: سیستم مدیریت خدمات فناوری اطلاعات

شرایط و مدارک مورد نیاز برای اخذ گواهینامه افتا در هر حوزه ممکن است متفاوت باشد.

برای کسب اطلاعات دقیق‌تر در مورد شرایط و مدارک مورد نیاز، می‌توانید به وب‌سایت سازمان فناوری اطلاعات ایران یا مرکز افتا مراجعه کنید.

دریافت گواهینامه افتا به منزله تأیید کامل و بدون نقص بودن یک سیستم یا محصول نیست و صرفاً نشان‌دهنده احراز سطوح پایه ای از امنیت در آن است.

گواهی افتا دارای تاریخ انقضا بوده و به طور دوره‌ای باید تمدید شود.

شرایط اخذ گواهی‌نامه افتا در هر حوزه ممکن است متفاوت باشد

سوالات متداول درباره سازمان افتا

1. فعالیت‌های افتا چه هستند؟

افتا فعالیت‌های متعددی در زمینه امنیت فضای مجازی انجام می‌دهد، از جمله:

- ارائه مشاوره و راهنمایی به سازمان‌ها و نهادها در خصوص مسائل امنیتی

- صدور گواهی‌نامه‌های امنیتی برای محصولات و خدمات

- انجام تست‌ها و ارزیابی‌های امنیتی

- شناسایی و مقابله با تهدیدات سایبری

- افزایش آگاهی و فرهنگ‌سازی در زمینه امنیت سایبری

2. مزایای دریافت گواهی‌نامه افتا چیست؟

دریافت گواهی‌نامه افتا مزایای متعددی برای سازمان‌ها و شرکت‌ها به همراه دارد، از جمله:

- افزایش اعتماد مشتریان به امنیت محصولات و خدمات

- کاهش خطرات سایبری

- دسترسی به بازارهای جدید

- ارتقای سطح اعتبار و برند

3. شرایط اخذ گواهی‌نامه افتا چیست؟

شرایط اخذ گواهی‌نامه افتا در هر حوزه (آموزشی، عملیاتی، فنی و مدیریتی) ممکن است متفاوت باشد. به طور کلی، متقاضیان باید دوره‌های آموزشی مرتبط را بگذرانند، در آزمون‌های مربوطه شرکت کنند و تجارب و مدارک لازم را ارائه دهند.

4. آیا دریافت گواهی‌نامه افتا الزامی است؟

دریافت گواهی‌نامه افتا برای همه سازمان‌ها و شرکت‌ها الزامی نیست.

5. هزینه اخذ گواهی‌نامه افتا چقدر است؟

هزینه اخذ گواهی‌نامه افتا به نوع گواهی‌نامه و حوزه مورد نظر بستگی دارد.

سخن نهایی

در دنیای امروز که وابستگی به اینترنت و فضای مجازی به طور فزاینده‌ای در حال افزایش است، امنیت سایبری به یکی از مهم‌ترین چالش‌ها و دغدغه‌های افراد، سازمان‌ها و دولت‌ها تبدیل شده است. حفظ اطلاعات و داده‌ها در برابر تهدیدات سایبری، ضرورتی انکارناپذیر است و غفلت از آن می‌تواند پیامدهای جبران‌ناپذیری به دنبال داشته باشد.

سازمان افتا به عنوان متولی امنیت فضای مجازی در ایران، با ارائه خدمات و راهکارهای مختلف، در جهت ارتقای سطح امنیت سایبری کشور و صیانت از اطلاعات و داده‌ها در برابر تهدیدات سایبری تلاش می‌کند. دریافت گواهی‌نامه افتا، یکی از راه‌های اثبات تعهد سازمان‌ها و شرکت‌ها به امنیت سایبری و افزایش اعتماد مشتریان به آن‌ها است.

با رعایت نکات ایمنی و استفاده از راه‌کارهای مناسب، می‌توان تا حد زیادی از خطرات سایبری کاست و امنیت اطلاعات را در دنیای دیجیتال حفظ کرد.

گردآوری:بخش دانش کسب و کار بیتوته