تیم امنیت شما،
یک قدم جلوتر.

دامنه ISMS، ذی‌نفعان و معیارهای ریسک را تعیین کنید؛ سپس برنامه مواجهه با ریسک را اجرا، عملکرد را پایش و نتایج ممیزی را وارد چرخه بهبود کنید. انتخاب کنترل‌ها باید مبتنی بر ریسک و الزامات سازمان باشد؛ اجرای یکسان همه ۹۳ کنترل پیوست A الزام عمومی نیست.

برای هر دارایی، مالک، وابستگی‌های خدمت و نیازهای محرمانگی، یکپارچگی و دسترس‌پذیری را ثبت کنید. دارایی‌های حیاتی را بر اساس اثر توقف یا افشای اطلاعات بر کسب‌وکار اولویت‌بندی کنید؛ صرف شمارش تجهیزات، ارزش‌گذاری نیست.

نسخه و دامنه کاربرد هر الزام را مشخص کنید. در ماتریس تطبیق، شناسه بند، کنترل مرتبط، میزان پوشش، شکاف و شاهد اجرا را جداگانه ثبت کنید. تشابه عنوان دو کنترل به معنی هم‌ارزی کامل آن‌ها نیست؛ نگاشت نهایی به بازبینی متخصص و متن معتبر مقررات نیاز دارد.

گردآوری، ثبت منشأ، بازبینی، کنترل دسترسی، نگهداری و حذف شواهد را مستند کنید. هش برای تشخیص تغییر مفید است، اما به‌تنهایی مهر زمانی معتبر یا تضمین اصالت نیست؛ سابقه قابل اعتماد و حفاظت از مقدار مرجع نیز لازم است.

موضوعات جدید شامل هوش تهدید، خدمات ابری، آمادگی ICT برای تداوم کسب‌وکار، پایش امنیت فیزیکی، مدیریت پیکربندی، حذف اطلاعات، پوشاندن داده، جلوگیری از نشت داده، پایش فعالیت‌ها، پالایش وب و کدنویسی امن است. برای کنترل‌های مرتبط با سازمان، مسئول اجرا و شواهد اثربخشی تعریف کنید.

امن‌یار بر تحلیل یافته‌ها و تصمیم‌یاری عملیاتی، ریسک‌بان بر مدیریت ریسک و انطباق، و اینشوریسک بر ارزیابی بیمه‌پذیری تمرکز دارد. در طراحی تبادل شواهد، مالکیت داده، شناسه دارایی و کنترل دسترسی باید روشن باشد. یکپارچگی خودکار امن‌یار با ریسک‌بان برنامه‌ریزی‌شده است.

برای مطالعه دوره ۱۴۰۴–۱۴۰۵ باید دامنه نمونه، صنعت، روش ارزیابی و نسخه استاندارد مشخص شود. یافته‌ها را به تفکیک مدیریت دسترسی، تأمین‌کنندگان و سایر حوزه‌ها همراه محدودیت تعمیم نتایج گزارش کنید؛ بدون مجموعه‌داده معتبر، نمی‌توان آمار ملی اعلام کرد.

گروه‌های اجرایی IG1 تا IG3، نوع سازمان، پوشش دارایی و شواهد ارزیابی را مشخص کنید. مقایسه سازمان‌ها باید بر معیارهای یکسان استوار باشد؛ گروه اجرایی را با نمره بلوغ یکسان نگیرید.

سند کنترل‌های لازم، توجیه انتخاب آن‌ها و وضعیت پیاده‌سازی، همراه توجیه کنارگذاشتن کنترل‌های پیوست A است. پیوست A ویرایش ۲۰۲۲ شامل ۹۳ کنترل است؛ کنترل‌های لازم سازمان می‌توانند فراتر از این فهرست باشند.

اطلاعات یا خدماتی که اختلال، تغییر غیرمجاز یا افشای آن‌ها بیشترین اثر را بر مأموریت و تداوم کسب‌وکار دارد.

مخزنی با سازوکار تشخیص تغییر غیرمجاز، کنترل دسترسی و ثبت رویداد قابل اتکا. SHA-256 به‌تنهایی مانع تغییر داده نمی‌شود و زمان یا منشأ آن را اثبات نمی‌کند؛ حفاظت از هش مرجع و زنجیره نگهداری شواهد ضروری است.

همکاری تیم‌های امنیت و عملیات برای بررسی رخدادها، رفع ضعف‌ها و حفظ امنیت خدمات.

چارچوب تحلیل ریسک اطلاعات بر پایه فراوانی رخداد زیان و بزرگی زیان؛ کیفیت برآورد به داده‌ها و فرض‌های مدل وابسته است.

برآورد منفعت اقتصادی سرمایه‌گذاری امنیتی نسبت به هزینه آن، با لحاظ کاهش موردانتظار زیان و عدم‌قطعیت برآوردها.

مقایسه وضعیت موجود با الزامات هدف برای تعیین فاصله‌ها و اقدامات اصلاحی.

محصول مکمل اکوسیستم برای ارزیابی بیمه‌پذیری سایبری؛ نه نام شاخص داخلی امن‌یار.

برای بررسی Docker Compose یا Kubernetes باید وابستگی‌ها، منابع پردازشی، مدیریت نسخه، پشتیبان‌گیری و سیاست خروج داده مشخص شوند. فایل Compose، Helm Chart و بسته استقرار آفلاین در این سایت منتشر نشده است.

اتصال به AD/LDAP، Wazuh، Elastic Stack، Nessus/OpenVAS و تیکتینگ نیازمند تعیین نسخه سامانه، روش مجاز دریافت داده و حداقل دسترسی است. این موارد موضوع بررسی یکپارچه‌سازی‌اند، نه فهرست اتصال‌های فعال امن‌یار.

مسیرهای زیر صرفاً پیشنهاد طراحی‌اند و endpoint فعال یا قرارداد OpenAPI منتشرشده محسوب نمی‌شوند.

• POST /api/v1/assets/discover
• POST /api/v1/evidence/upload
• GET /api/v1/compliance/score

پیش از اجرا، احراز هویت، مجوزهای دسترسی، ساختار داده، نسخه‌بندی و سیاست نگهداری باید در قرارداد API مشخص شوند.