مرکز اعتماد اپرا

دسترسی ممتاز به کلیدها تنها به افراد مجاز و دارای نیاز کاری داده می‌شود.

ایجاد حساب، تغییر مجوز و حذف دسترسی کاربر طبق فرایند تعریف‌شده انجام می‌شود.

دسترسی ممتاز به پایگاه داده فقط برای افراد مجاز و در محدوده وظیفه برقرار است.

تغییر تنظیمات دیواره آتش به نقش‌های مجاز محدود می‌شود.

ورود مدیریتی به سرورها و سیستم‌عامل محیط عملیاتی کنترل می‌شود.

اتصال به شبکهٔ تولید بر اساس مجوز و نیاز کاری انجام می‌شود.

با پایان همکاری، دسترسی‌های فرد مطابق چک‌لیست خروج و مهلت‌های تعیین‌شده لغو می‌شود.

اتصال به شبکهٔ عملیاتی با حساب یکتا و روش‌های احراز هویت مجاز انجام می‌شود.

دسترسی راه‌دور کارکنان مجاز از مسیر ارتباطی رمزنگاری‌شده برقرار می‌شود.

شاخص‌های عملکرد سامانه پایش می‌شوند و عبور از آستانه‌های تعریف‌شده هشدار ایجاد می‌کند.

بخش‌های شبکه برای کاهش دسترسی ناخواسته به داده‌های مشتری از هم جدا می‌شوند.

قواعد دیواره آتش برای کنترل ترافیک و جلوگیری از دسترسی غیرمجاز تنظیم می‌شوند.

تنظیمات ایمن‌سازی مستند و به‌صورت دوره‌ای بازبینی می‌شوند.

رسانه‌های دارای اطلاعات محرمانه پیش از خروج از چرخه استفاده پاک‌سازی یا نابود می‌شوند.

رسانه‌های جداشدنیِ مورد استفاده برای داده‌های کاری با شیوه مناسب رمزنگاری می‌شوند.

پیش از شروع همکاری، بررسی‌های متناسب با نقش و قوانین مربوط انجام می‌شود.

قرارداد پیمانکار به اصول رفتاری سازمان ارجاع می‌دهد یا آن‌ها را دربر می‌گیرد.

کارکنان هنگام ورود منشور رفتار را می‌پذیرند و نقض آن طبق فرایند رسیدگی می‌شود.

پیمانکاران هنگام شروع همکاری تعهد محرمانگی را امضا می‌کنند.

کارکنان در فرایند ورود، تعهد حفاظت از اطلاعات محرمانه را می‌پذیرند.

مدیران عملکرد اعضای تیم خود را دست‌کم سالی یک‌بار بررسی می‌کنند.

گذرواژه سامانه‌های مشمول باید با قواعد مصوب سازمان سازگار باشد.

ورود افراد مهمان به محل‌های حساس ثبت و با همراهی فرد مجاز انجام می‌شود.

کارکنان در آغاز همکاری و سپس به‌صورت دوره‌ای آموزش امنیت اطلاعات می‌بینند.

مخازن نگهداری داده‌های حساس مشتری در حالت ذخیره رمزنگاری می‌شوند.

اثربخشی کنترل‌ها به‌صورت دوره‌ای بررسی و برای یافته‌ها اقدام اصلاحی تعریف می‌شود.

آزمون نفوذ دوره‌ای انجام می‌شود و برای رفع آسیب‌پذیری‌های کشف‌شده برنامه‌ریزی می‌شود.

سیاست‌های فنی، مدیریت آسیب‌پذیری و پایش محیط عملیاتی را پوشش می‌دهند.

برنامه مکتوب برای ادامه فعالیت و ارتباطات ضروری در شرایط اختلال وجود دارد.

برنامه تداوم و بازیابی به‌صورت دوره‌ای آزمایش می‌شود.

پوشش بیمه‌ای مرتبط با پیامدهای مالی رخدادهای سایبری نگهداری می‌شود.

تغییر و استقرار تنظیمات سامانه طبق فرایند یکدست انجام می‌شود.

توسعه، تغییر، استقرار و نگهداری سامانه از روش مکتوب پیروی می‌کند.

دامنه، اجزا و فرایندهای سامانه در سند توصیف رسمی ثبت می‌شوند؛ این مورد به‌تنهایی ادعای اخذ گواهی نیست.

مسیر ثبت محرمانه نگرانی‌های مربوط به تخلف یا تقلب تعریف شده است.

مدیریت ارشد به‌صورت دوره‌ای وضعیت ریسک‌ها را برای نهاد ناظر شرکت تشریح می‌کند.

وظایف نظارتی هیئت‌مدیره نسبت به کنترل‌های داخلی مکتوب شده است.

برای نظارت بر کنترل‌های امنیتی از تخصص اعضا یا مشاوران بیرونی استفاده می‌شود.

جلسات دوره‌ای برگزار و تصمیم‌ها در صورت‌جلسه ثبت می‌شوند.

قواعد پشتیبان‌گیری و بازیابی داده‌های مشتری در سیاست مکتوب مشخص شده‌اند.

تغییراتی که بر پردازش مشتری اثر جدی دارند از مسیر مشخص اعلام می‌شوند.

نقش مدیران در طراحی و اجرای کنترل‌های امنیت اطلاعات تعیین شده است.

ساختار واحدها و خطوط گزارش‌دهی در نمودار سازمانی نگهداری می‌شود.

مالکیت طراحی، اجرا، نگهداری و پایش کنترل‌ها به نقش‌های معین سپرده شده است.

سیاست‌ها و رویه‌های امنیت اطلاعات مستند و دوره‌ای بازنگری می‌شوند.

مشتری می‌تواند خرابی، رخداد یا نگرانی خود را از مسیر پشتیبانی ثبت کند.

تغییرات مرتبط با کاربران مجاز داخل سازمان از مسیر تعریف‌شده اعلام می‌شود.

دسترسی به اجزای مشمول بر پایه نقش یا درخواست مستند و تأیید مدیر اعطا می‌شود.

فرایند واکنش به رخدادهای امنیتی به‌صورت دوره‌ای تمرین و ارزیابی می‌شود.

مراحل شناسایی، رسیدگی و اطلاع‌رسانی رخداد امنیتی و حریم خصوصی مستند شده‌اند.

رخدادها ثبت، پیگیری، رفع و در صورت لزوم به افراد مرتبط اطلاع داده می‌شوند.

اعطا، تغییر و لغو مجوز ورود به محیط‌های حساس طبق تأیید مسئول کنترل انجام می‌شود.

فهرست افراد دارای مجوز ورود به محل نگهداری زیرساخت به‌صورت دوره‌ای مرور می‌شود.

تعهدهای قابل اتکای خدمت در قرارداد یا شرایط استفاده به مشتری اعلام می‌شوند.

راهنمای فنی و مسیر دریافت کمک برای کاربران خدمات فراهم است.

دامنه محصول و خدمات به کاربران داخلی و مشتریان توضیح داده می‌شود.

اهداف عملیاتی برای شناسایی و سنجش ریسک‌ها مشخص می‌شوند.

تهدیدها، تغییرات محیطی و احتمال تقلب در ارزیابی ریسک بررسی می‌شوند.

روش شناسایی تهدید، رتبه‌بندی ریسک و انتخاب اقدام کاهنده مستند است.

تعهدهای محرمانگی و حریم خصوصی در توافق با تأمین‌کنندگان مرتبط ثبت می‌شود.

مدت نگهداری و روش حذف امن داده‌های شرکت و مشتری در سیاست مکتوب مشخص شده است.

داده محرمانه مشتری پس از خروج از خدمت طبق فرایند مصوب از محیط کاربردی حذف می‌شود.

داده‌ها بر اساس حساسیت دسته‌بندی می‌شوند تا دسترسی و حفاظت متناسب اعمال شود.