ارزیابی امنیت · بازبینی وضعیت امنیتی
گروه خدمات: امنیت سایبریتصویری روشن از وضعیت امنیتی شما و اینکه اول چه چیزی را باید اصلاح کرد
بررسی میکنیم سازمان شما سیستمها و داده‌هایش را چگونه اداره، محافظت و بازیابی میکند، یافتهها را با کنترلهای پایه شناختهشده مقایسه میکنیم و برنامه‌ای اولویت‌بندی‌شده و به زبان ساده به شما می‌دهیم.
در یک نگاه
- خدمت
- بازبینی یک‌باره و جامع وضعیت امنیتی سازمانی و فنی همراه با برنامه اولویت‌بندی‌شده رفع مشکلات
- مناسب برای
- سازمان‌هایی با حدود ۵ تا ۲۰۰ کارمند که نمی‌دانند بزرگ‌ترین شکاف‌های امنیتی‌شان کجاست
- حوزه‌های بررسی
- حاکمیت و سیاست‌ها، فهرست دارایی‌ها، هویت و MFA، نقاط پایانی، ایمیل، پشتیبان‌گیری و بازیابی، مرز شبکه و آمادگی برای رخداد
- خروجی‌ها
- گزارش یافتهها، نقشه راه رفع مشکلات بر اساس سطح ریسک، خلاصه مدیریتی و جلسه مرور نتایج
- شامل نمی‌شود
- آزمون نفوذ، سوءاستفاده از آسیب‌پذیری‌ها، بازبینی کد، آزمون امنیت فیزیکی و اظهارنظر رسمی ممیزی
- مبنای قیمت‌گذاری
- هزینه ثابت بر اساس اندازه و پیچیدگی سازمان که پیشنهاد و در پیشفاکتور کتبی تأیید میشود
- نحوه شروع
- برای توافق بر سر محدوده یک جلسه مشاوره رزرو کنید یا یک ارزیابی متمرکز مانند «ارزیابی امنیت Microsoft 365» سفارش دهید
ارزیابی امنیت چیست
ارزیابی امنیت بازبینی ساختاریافته‌ای است از اینکه سازمان شما ریسک سایبری را در سه حوزه افراد، فرایندها و فناوری چقدر خوب مدیریت میکند. نگاه آن گسترده است، نه عمیق: چه کسی مسئول تصمیم‌های امنیتی است، چه سیاست‌هایی وجود دارد، از حساب‌ها و دستگاه‌ها چگونه محافظت میشود، ایمیل چگونه فیلتر میشود، آیا نسخه‌های پشتیبان قابل بازیابی‌اند و آیا کسی می‌داند هنگام رخداد چه باید کرد.
کنترلهای پایه مرکز امنیت سایبری کانادا برای سازمان‌های کوچک و متوسط، تدابیر گروه پیاده‌سازی ۱ در CIS Controls و کارکردهای NIST CSF 2.0 را به‌عنوان نقطه مرجع به کار می‌بریم. این چارچوب‌ها به بازبینی ساختاری یکدست می‌دهند و امکان مقایسه پیشرفت در طول زمان را فراهم می‌کنند.
این کار با ارزیابی آسیب‌پذیری که سیستمها را برای یافتن ضعف‌های فنی مشخص اسکن میکند، و با آزمون نفوذ که تلاش میکند از آن ضعف‌ها سوءاستفاده کند، تفاوت دارد. بازبینی وضعیت امنیتی اغلب یکی از این دو را به‌عنوان گام بعدی پیشنهاد میکند که محدوده آن جداگانه تعیین میشود.
سازمان‌ها چه زمانی درخواست ارزیابی می‌کنند
نبود نقطه شروع
مدیریت می‌خواهد در امنیت سرمایه‌گذاری کند، اما تصویر بی‌طرفانه‌ای از آنچه موجود است یا بزرگ‌ترین شکافها ندارد.
پرسش‌نامه‌های بیمه یا مشتریان
فرم تمدید بیمه یا درخواست بررسی مشتری، پرسش‌های دقیقی مطرح میکند که هیچ‌کس نمی‌تواند با اطمینان به آن‌ها پاسخ دهد.
تغییر ارائهدهنده یا مدیریت
ارائهدهنده جدید فناوری اطلاعات، مالک یا مدیر تازه می‌خواهد دیدی مستقل از ریسک‌هایی که به ارث رسیده داشته باشد.
پس از یک حادثه نزدیک
یک رخداد فیشینگ، ورود مشکوک یا گم شدن لپ‌تاپ این نگرانی را ایجاد کرده که چه چیزهای دیگری ممکن است در معرض خطر باشد.
آنچه بررسی میکنیم
حاکمیت و سیاست‌ها
نقش‌های امنیتی، قواعد استفاده مجاز، تأیید دسترسی، ریسک تأمین‌کنندگان و اینکه آیا سیاست‌ها با آنچه در عمل اتفاق می‌افتد هم‌خوانی دارند.
فهرست دارایی‌ها و داده‌ها
چه دستگاه‌ها، سرویس‌های ابری و مخازن داده‌ای وجود دارد، مالک هرکدام کیست و اطلاعات حساس کجا نگهداری میشود.
هویت و دسترسی
پوشش MFA، حساب‌های مدیر سیستم، دسترسی مشروط، دسترسی مهمان، سیاست رمز عبور و روال قطع دسترسی کارکنان جداشده.
نقاط پایانی و وصله‌ها
پوشش حفاظتی، رمزگذاری، وضعیت به‌روزرسانی، دسترسی مدیر محلی و سیستم‌عامل‌های خارج از پشتیبانی.
ایمیل و ابزارهای همکاری
فیلترینگ، رکوردهای SPF، DKIM و DMARC، تنظیمات اشتراک‌گذاری بیرونی و قوانین ارسال خودکار ایمیل.
پشتیبان‌گیری، بازیابی و آمادگی برای رخداد
پوشش پشتیبان‌گیری، جداسازی و آزمون بازیابی، و اینکه آیا برنامه پاسخ به رخداد و فهرست تماس اضطراری وجود دارد.
محدوده ارزیابی
پیشفاکتور کتبی، سیستمها، محل‌ها و مصاحبه‌های داخل محدوده را فهرست میکند.
شامل میشود
- مصاحبه با مدیریت و فردی که در حال حاضر فناوری اطلاعات را اداره میکند
- بازبینی فقطخواندنی پیکربندی امنیتی Microsoft 365 یا Google Workspace
- بازبینی گزارش‌های حفاظت از نقاط پایانی، وصله‌گذاری و رمزگذاری
- بازبینی پیکربندی پشتیبان‌گیری و شواهد بازیابی‌های اخیر
- بازبینی پیکربندی فایروال و دسترسی از راه دور، در صورت فراهم شدن دسترسی
- تطبیق یافتهها با کنترلهای پایه همراه با رتبه‌بندی ریسک
- نقشه راه رفع مشکلات و خلاصه مدیریتی همراه با جلسه مرور نتایج
شامل نمی‌شود مگر با محدوده جداگانه
- آزمون نفوذ یا هرگونه تلاش برای سوءاستفاده از آسیب‌پذیری‌ها
- اسکن آسیب‌پذیری احراز هویت‌شده روی تک‌تک دستگاه‌ها (به ارزیابی آسیب‌پذیری مراجعه کنید)
- آزمون امنیت کد منبع نرم‌افزار یا برنامه‌های وب
- آزمون امنیت فیزیکی یا مهندسی اجتماعی
- اظهارنظر رسمی ممیزی، تأییدیه انطباق یا صدور گواهی
- مشاوره حقوقی درباره تعهدات حریم خصوصی یا نشت اطلاعات
سیستمها و مراجعی که معمولاً ارزیابی میکنیم
- پیکربندی Microsoft 365، Entra ID، Intune و Microsoft Defender
- تنظیمات مدیریتی و امنیتی Google Workspace
- مجموعه دستگاه‌های Windows و macOS و Windows Server
- فایروال‌های تجاری، VPN و درگاه‌های دسترسی از راه دور
- پلتفرم‌های پشتیبان‌گیری ابری و محلی
- کنترلهای پایه مرکز امنیت سایبری کانادا، CIS Controls IG1 و NIST CSF 2.0 به‌عنوان چارچوب مرجع
برای چه کسانی مناسب است
نخستین سرمایه‌گذاری امنیتی
سازمان‌هایی که می‌خواهند هوشمندانه هزینه کنند و به فهرستی اولویت‌بندی‌شده نیاز دارند، نه یک ارائه فروش.
شرکت‌های تحت مقررات یا متکی بر محرمانگی
تیم‌های خدمات حرفه‌ای، درمانی و مالی که برای مشتریان، بیمه‌گران یا مشاوران خود شواهد آماده می‌کنند.
سازمان‌هایی که CyberSecure Canada را در نظر دارند
تیم‌هایی که به برنامه CyberSecure Canada فکر می‌کنند و پیش از تصمیم‌گیری می‌خواهند شکاف‌هایشان را نسبت به کنترلهای پایه ببینند.
آنچه در پایان در دست دارید
- تصویری بی‌طرفانه و به زبان ساده از وضعیت امنیتی‌تان
- یافته‌هایی که بر اساس ریسک و میزان کار رتبه‌بندی شده‌اند تا ترتیب سرمایه‌گذاری را تعیین کنید
- شواهدی برای پاسخ به پرسش‌نامه‌های بیمه و مشتریان
- خط مبنایی برای سنجش پیشرفت در آینده
- توصیه‌های روشن درباره اینکه آیا آزمون‌های عمیق‌تر ارزش تعیین محدوده دارند
ارزیابی چگونه انجام میشود
تعیین محدوده
توافق میکنیم کدام سیستمها، محل‌ها و افراد در محدوده‌اند و دسترسی فقطخواندنی را هماهنگ میکنیم.
مصاحبه و جمع‌آوری داده
مصاحبه‌های کوتاه با مدیریت و رابطان فناوری اطلاعات و سپس دریافت خروجی پیکربندیها و گزارشها.
تحلیل
یافتهها با کنترلهای پایه تطبیق داده و بر اساس احتمال وقوع و اثر بر کسب‌وکار رتبه‌بندی می‌شوند.
گزارش و نقشه راه
یافتهها، خلاصه مدیریتی و برنامه مرحله‌بندی‌شده رفع مشکلات را دریافت می‌کنید.
مرور نتایج
نتایج را به مدیریت شما ارائه می‌دهیم و به پرسش‌ها پاسخ می‌دهیم؛ سپس رفع مشکلات را میتواند تیم خودتان، ما یا ارائهدهنده دیگری انجام دهد.
گزینه‌های ارزیابی
هزینه‌های ثابت پیشنهاد و در پیشفاکتور کتبی تأیید می‌شوند.
ارزیابی جامع امنیت
بازبینی گسترده وضعیت امنیتی که در این صفحه توضیح داده شد، متناسب با اندازه و محل‌های فعالیت شما.
ارزیابی‌های متمرکز
«ارزیابی امنیت Microsoft 365»، «ارزیابی امنیت دستگاه»، «ارزیابی پشتیبان‌گیری و بازیابی» یا «ارزیابی سلامت شبکه»، وقتی از قبل می‌دانید نگرانی‌تان در کدام حوزه است.
«ارزیابی سلامت زیرساخت»
بازبینی عملیاتی گسترده‌تری که امنیت را در کنار پایداری و ریسک‌های چرخه عمر تجهیزات بررسی میکند.
پرسش‌های متداول
آیا ارزیابی امنیت همان آزمون نفوذ است؟
خیر. ما پیکربندیها، روالها و شواهد را با کنترلهای پایه مقایسه میکنیم و برای سوءاستفاده از سیستمها تلاشی نمیکنیم. اگر یافتهها توجیه کنند، میتوانیم در تعیین محدوده آزمون نفوذ با یک شرکت متخصص به شما کمک کنیم.
آیا این ارزیابی ما را منطبق با مقررات یا دارای گواهی میکند؟
خیر. این ارزیابی شکافها را نسبت به کنترلهای شناختهشده مشخص میکند. هرگونه تشخیص انطباق یا ارزیابی رسمی موضوعی جداگانه است که بر عهده ممیزان و مشاوران شماست.
آیا پس از آن مجبوریم خدمات مدیریتشده بخریم؟
خیر. گزارش متعلق به شماست و نقشه راه را میتواند کارکنان خودتان، ما با پیشفاکتوری جداگانه، یا ارائهدهنده دیگری اجرا کند.
چقدر طول میکشد؟
زمانبندی به اندازه سازمان و سرعت فراهم شدن دسترسیها و مصاحبهها بستگی دارد؛ برنامه زمانی را در پیشفاکتور کتبی شما تأیید میکنیم.
آیا کار کارکنان ما را مختل میکند؟
اختلال بسیار کم است. بیشتر کار با دسترسی فقطخواندنی و گزارشها انجام میشود، بهعلاوه چند مصاحبه کوتاه که با برنامه تیم شما هماهنگ میشود.
خدمات مرتبط
محصولات و بسته‌ها
صنایعی که پشتیبانی میکنیم
با تصویری صادقانه از وضعیت امنیتی‌تان شروع کنید
درباره سازمانتان به ما بگویید تا محدوده ارزیابی و هزینه ثابت آن را به‌صورت کتبی پیشنهاد دهیم.