مشاوره و خدمات بازرسی سایبری

• کنترل‌های فیزیکی (Physical Controls)

کنترل‌های فیزیکی به تدابیر امنیتی مرتبط با حفاظت از زیرساخت‌های فیزیکی سازمان اشاره دارند. این موارد شامل محدودیت‌های دسترسی به ساختمان‌ها، دیتاسنترها، و تجهیزات حیاتی است. بازرسی دقیق این کنترل‌ها اطمینان می‌دهد که حفاظت فیزیکی برای جلوگیری از دسترسی غیرمجاز به اطلاعات و تجهیزات حساس به‌طور مؤثر اعمال شده است.

• کنترل تجهیزات پایانی کاربران (User end point devices Control)

بررسی می‌شود که دستگاه‌های نهایی کاربران به‌طور صحیح محافظت شده و دسترسی‌ها به اطلاعات محدود شده باشد.

• کنترل سطوح دسترسی با امتیاز بالا (Privileged access rights Control)

بررسی می‌شود که دسترسی‌های ویژه به سیستم‌ها محدود شده و به‌طور صحیح مدیریت شود.

• کنترل و اعمال محدودیت بر دسترسی به اطلاعات سازمانی (Information access restriction Control)

 اطمینان حاصل می‌شود که دسترسی به اطلاعات بر اساس سیاست‌های کنترل دسترسی محدود شده باشد.

• مدیریت و محدودسازی دسترسی به کدهای منبع نرم‌افزار (Access to source code Control)

 بررسی می‌شود که دسترسی به کد منبع و ابزارهای توسعه به‌درستی مدیریت و محدود شده باشد.

• مدیریت و پیاده‌سازی سازوکارهای احراز هویت امن (Secure authentication Control)

ارزیابی می‌شود که روش‌های احراز هویت امن بر اساس نیازهای دسترسی به اطلاعات پیاده‌سازی شده باشد.

• نظارت و کنترل بر ظرفیت منابع سیستم (Capacity management Control)

 بررسی می‌شود که استفاده از منابع به‌طور مؤثر مدیریت شده و بر اساس نیازهای ظرفیت تنظیم شود.

• مدیریت و اجرای راهکارهای محافظتی در برابر بدافزارها (Protection against malware Control)

اطمینان حاصل می‌شود که تدابیر مناسبی برای مقابله با بدافزارها و آگاهی کاربران در این زمینه وجود دارد.

• مدیریت و کنترل آسیب‌پذیری‌های فنی در زیرساخت‌ها و سامانه‌ها (Management of technical vulnerabilities Control)

ارزیابی می‌شود که آسیب‌پذیری‌های فنی شناسایی شده و تدابیر اصلاحی مناسب برای کاهش آن‌ها اعمال شده باشد.

• مدیریت و نظارت بر تنظیمات و پیکربندی‌ سیستم‌ها و تجهیزات (Configuration management Control)

 بررسی می‌شود که پیکربندی‌های امنیتی سیستم‌ها، نرم‌افزارها و شبکه‌ها به‌طور صحیح پیاده‌سازی و مستند شده باشد.

• مدیریت و نظارت بر فرآیند حذف ایمن اطلاعات (Information deletion Control)

اطمینان حاصل می‌شود که اطلاعات غیرضروری به‌طور ایمن از سیستم‌ها حذف شده باشد.

• کنترل ماسک‌گذاری داده‌ها (Data masking Control)

بررسی می‌شود که داده‌ها به‌طور مؤثر با استفاده از تکنیک‌های ماسک‌سازی حفاظت شده باشند.

• کنترل جلوگیری از نشت داده‌ها (Data leakage prevention Control)

ارزیابی می‌شود که تدابیر پیشگیری از نشت داده‌ها در سیستم‌ها و شبکه‌ها به‌درستی پیاده‌سازی شده باشد.

• کنترل پشتیبان‌گیری اطلاعات (Information backup Control)

بررسی می‌شود که نسخه‌های پشتیبان از اطلاعات به‌طور منظم نگهداری و آزمایش شده باشند.

• کنترل افزونگی امکانات پردازش اطلاعات (Redundancy of information processing facilities Control)

اطمینان حاصل می‌شود که امکانات پردازش اطلاعات با ذخیره‌سازی اضافی برای تأمین نیازمندی‌های دسترسی پیاده‌سازی شده باشد.

• کنترل ثبت رویدادها (Logging Control)

بررسی می‌شود که فعالیت‌ها و رویدادهای مهم به‌طور دقیق ثبت، ذخیره و تحلیل شوند.

• کنترل فعالیت‌های نظارت (Monitoring activities Control)

ارزیابی می‌شود که سیستم‌ها و شبکه‌ها برای شناسایی رفتارهای غیرمعمول به‌طور مستمر نظارت شوند.

• کنترل هم‌زمان‌سازی ساعت (Clock synchronization Control)

 بررسی می‌شود که ساعت سیستم‌ها به منابع زمانی تایید شده همگام‌سازی شده باشد.

• کنترل استفاده از برنامه‌های کاربردی دارای امتیاز ویژه (Use of privileged utility programs Control)

اطمینان حاصل می‌شود که استفاده از برنامه‌های کاربردی ویژه محدود و تحت کنترل دقیق باشد.

• کنترل نصب نرم‌افزار روی سیستم‌های عملیاتی (Installation of software on operational systems Control)

 بررسی می‌شود که نصب نرم‌افزارها بر روی سیستم‌های عملیاتی با دقت و مدیریت امنیتی انجام شود.

• کنترل امنیت شبکه‌ها (Networks security Control)

 بررسی می‌شود که شبکه‌ها و دستگاه‌های شبکه‌ای به‌طور مؤثر محافظت و مدیریت شوند.

• کنترل امنیت خدمات شبکه (Security of network services Control)

 ارزیابی می‌شود که مکانیزم‌ها و الزامات امنیتی برای خدمات شبکه شناسایی و پیاده‌سازی شده باشد.

• کنترل تفکیک شبکه‌ها (Segregation of networks Control)

بررسی می‌شود که شبکه‌ها بر اساس نیاز به خدمات و دسترسی به اطلاعات جدا شده و محافظت شده باشند.

• کنترل فیلترینگ وب (Web filtering Control)

بررسی می‌شود که دسترسی به سایت‌های خارجی به‌منظور کاهش خطرات محتوای مخرب مدیریت شده باشد.

• کنترل استفاده از رمزنگاری (Use of cryptography Control

 ارزیابی می‌شود که قوانین مربوط به استفاده از رمزنگاری و مدیریت کلیدهای رمزنگاری پیاده‌سازی شده باشد.

• کنترل چرخه عمر توسعه امن (Secure development life cycle Control)

 بررسی می‌شود که فرآیندهای امن برای توسعه نرم‌افزار و سیستم‌ها در تمام مراحل رعایت شده باشد.

• کنترل الزامات امنیتی برنامه‌ها (Application security requirements Control)

اطمینان حاصل می‌شود که الزامات امنیتی در هنگام توسعه یا خرید نرم‌افزار به‌طور کامل مشخص و تأیید شده باشد.

• کنترل اصول معماری سیستم امن و مهندسی (Secure system architecture and engineering principles Control)

بررسی می‌شود که اصول طراحی امن سیستم‌ها به‌طور مؤثر در فعالیت‌های توسعه سیستم رعایت شده باشد.

• کنترل کدنویسی امن (Secure coding Control)

 ارزیابی می‌شود که اصول کدنویسی امن در توسعه نرم‌افزارها به‌درستی رعایت شده باشد.

• کنترل تست امنیتی در توسعه و پذیرش (Security testing in development and acceptance Control)

 بررسی می‌شود که فرآیندهای تست امنیتی به‌طور مؤثر در چرخه زندگی توسعه پیاده‌سازی شده باشند.

• کنترل توسعه برون‌سپاری شده (Outsourced development Control)

اطمینان حاصل می‌شود که فعالیت‌های مرتبط با توسعه سیستم‌های برون‌سپاری شده تحت نظارت و مدیریت دقیق سازمان باشد.

• کنترل تفکیک محیط‌های توسعه، تست و تولید (Separation of development, test and production environments Control)

بررسی می‌شود که محیط‌های توسعه، آزمایش و تولید به‌طور جداگانه و ایمن نگهداری شوند.

• کنترل مدیریت تغییرات (Change management Control)

 ارزیابی می‌شود که تغییرات در سیستم‌ها و زیرساخت‌ها تحت فرآیندهای مدیریت تغییر قرار گیرند.

• کنترل اطلاعات تست (Test information Control)

بررسی می‌شود که اطلاعات تست به‌طور مناسب انتخاب، محافظت و مدیریت شوند.

• کنترل حفاظت از سیستم‌های اطلاعاتی در طول تست‌های حسابرسی (Protection of information systems during audit testing Control)

اطمینان حاصل می‌شود که سیستم‌های اطلاعاتی در هنگام انجام آزمون‌های حسابرسی به‌طور مؤثر محافظت شوند.