ارائه روشی مدل رانده جهت مدل سازی ریسک های امنیتی مبتنی بر coras و iso 27001

امروزه اطلاعات به عنوان یکی از باارزش ترین دارایی های سازمان ها و سیستم های اطلاعاتی محسوب می شود، از این رو امنیت اطلاعات خود یک دغدغه و چالش جدی محسوب می شود. امنیت اطلاعات سازوکاری است که اطلاعات را در برابرگستره وسیعی از تهدیدها محافظت می کند. یکی از راه های دستیابی به امنیت اطلاعات ایجاد یک سیستم مدیریت امنیت اطلاعات (isms) مبتنی بر اساس یکی از استانداردهای موجود بین المللی است. یک نکته قابل توجه در خصوص سیستم های مدیریت امنیت اطلاعات، از جمله سیستم های مبتنی بر استانداردهای مورد بحث توجه ویژه این سیستم ها و این استانداردها به مبحث مدیریت ریسک امنیت اطلاعات است. اهمیت به کارگیری مدیریت ریسک امنیت اطلاعات تا جایی است که می توان آن را قلب isms نامید. از طرفی، جنبه های مختلفی از مفهوم امنیت در فناوری اطلاعات و سیستم های اطلاعاتی وجود دارد. یکی از این جنبه ها تحلیل ریسک امنیت است که یک فعالیت اجتناب ناپذیر و حیاتی برای هر سازمان محسوب می شود. در این میان روش ها و استانداردهای مختلفی برای تحلیل ریسک امنیت وجود دارد. انتخاب یک استاندارد مناسب و تحقق و اطمینان از ارضای نیازهای امنیتی امری چالش برانگیز است چرا که توصیفات و راهنماهای این روش ها بسیار کلی هستند و نیاز به پالایش توسط کارشناسان امنیتی دارند. از سوی دیگر، زمانی که سازمان یا سیستم دچار تغییر یا به روزرسانی می شود نمی توان از ابتدا تحلیل ریسک امنیت را انجام داد. بنابراین نیاز به روشی است که نتایج تجزیه و تحلیل به آسانی قابل دسترسی و نگهداری و منطبق با یک استاندارد امنیتی باشد. برای رسیدن به این هدف یکی از روش ها استفاده از مدلسازی در تحلیل ریسک می باشد. مدلسازی از پیچیدگی تحلیل ریسک کاسته و سناریوها و علت وقوع ریسک ها و اهداف امنیتی را شبیه سازی کرده و از نتایج برای بهبود مستندسازی ریسک استفاده می شود. در میان استانداردهای موجود برای ایجاد یک سیستم مدیریت امنیت اطلاعات (isms)، استاندارد iso/iec 27001 به عنوان یکی از رایج ترین استانداردها مطرح است. هم چنین یکی از روش های تحلیل ریسک امنیت مبتنی بر مدل، روشی به نام coras است که می توان با توسعه آن مدل سازی ریسک های امنیتی را مطابق با استاندارد iso/iec 27001 برای استقرار یک isms انجام داد و جنبه های امنیتی آن را غنی تر کرد. از این رو در این پژوهش روشی مبتنی بر توسعه coras پیشنهاد شده است که می تواند مدلسازی تحلیل ریسک امنیت را با هدف پشتیبانی و انطباق با استانداردiso/iec 27001 انجام دهد. این روش با ارائه مدل های جدید، الگوها و قالب هایی نتایج تحلیل ریسک امنیت را منطبق با استانداردiso/iec 27001 برای ایجاد یک سیستم مدیریت امنیت اطلاعات ساختاردهی و مستندسازی می نماید. برای ارزیابی، روش پیشنهادی بر روی سناریویی از بانکداری الکترونیکی مورد مطالعه قرار گرفته است. نتایج این مطالعه به شکل مدل ها، قالب ها و آثاری برای مستندسازی نتایج تحلیل ریسک امنیت با هدف بهبود جنبه های امنیتی منطبق با استاندارد iso/iec 27001 ارائه گردیده است.