مشاوره و راهبری

ما خدمات مشاوره جامع از جمله تدوین استراتژی و نقشه راه امنیت، بازبینی معماری امن، مدل‌سازی تهدید، حاکمیت و معیارهای امنیتی، برنامه‌ریزی بازیابی از فاجعه و تداوم کسب‌وکار، پشتیبانی ممیزی و نظارت، پشتیبانی خرید (تدوین RFP و ارزیابی پیشنهادات) و تحقیق و توسعه و ارزیابی فناوری‌های نوظهور ارائه می‌دهیم.

خدمات مشاوره ما برای رهبران امنیت، CISOs، مدیران اجرایی و تصمیم‌گیرندگان که نیاز به راهنمایی استراتژیک، تصمیم‌گیری آگاهانه و جهت‌گیری در معماری و حاکمیت امنیتی دارند طراحی شده است. اگر با چالش‌های پیچیده امنیتی مواجه هستید، در حال برنامه‌ریزی ابتکارات امنیتی بزرگ هستید یا نیاز به راهنمایی تخصصی در مورد استراتژی امنیت دارید، خدمات مشاوره ما می‌تواند کمک کند.

ارزیابی و تست نفوذ به شما می‌گوید یک سامانه‌ی مشخص همین حالا چه ضعف‌هایی دارد؛ مشاوره یک قدم بالاتر می‌ایستد و به این می‌پردازد که برنامه‌ی امنیتی سازمان، معماری و فرآیندهای تصمیم‌گیری باید چگونه باشند تا آن ضعف‌ها از ابتدا کمتر پدید بیایند. در عمل این دو مکمل یکدیگرند: یافته‌های ارزیابی ورودی خوبی برای نقشه‌ی راه مشاوره است و توصیه‌های مشاوره تعیین می‌کند چه چیزی را در دور بعد ارزیابی کنید.

هر پروژه با یک جلسه‌ی دامنه‌گذاری آغاز می‌شود که در آن هدف، محدوده و معیار موفقیت را روشن می‌کنیم. برای کار دقیق به دسترسی به مستندات موجود (معماری، سیاست‌ها و نتایج ارزیابی‌های پیشین) و زمانِ چند نفر کلیدی از تیم شما برای مصاحبه نیاز داریم، نه به دسترسی عملیاتی به سامانه‌ها. بیشتر کار از راه دور انجام می‌شود و جلسه‌ی حضوری تنها جایی برگزار می‌شود که ارزش افزوده داشته باشد. در پایان هر مرحله یک خروجی مکتوب و یک جلسه‌ی ارائه دریافت می‌کنید.

هر توصیه بر پایه‌ی ریسک اولویت می‌گیرد، نه سلیقه. ریسک را از ترکیب احتمال وقوع و شدت پیامد برآورد می‌کنیم و برای این کار از روش‌هایی مانند ISO 27005 و NIST SP 800-30 بهره می‌گیریم. نتیجه یک فهرست مرتب است که در آن اقدام‌های کم‌هزینه با اثر بالا در ابتدا قرار می‌گیرند، تا با بودجه‌ی محدود هم بیشترین کاهش ریسک به دست آید.

مدل‌سازی تهدید یک فرآیند ساختارمند برای شناسایی، تحلیل و کاهش تهدیدات امنیتی سیستم‌های شما است. ما معماری شما را تحلیل می‌کنیم، تهدیدات بالقوه را شناسایی می‌کنیم، ریسک‌ها را ارزیابی می‌کنیم و توصیه‌هایی برای کنترل‌های امنیتی ارائه می‌دهیم. این به شما کمک می‌کند تا وضعیت امنیتی خود را درک کنید و سرمایه‌گذاری‌های امنیتی را به طور مؤثر اولویت‌بندی کنید.

بله، ما خدمات پشتیبانی خرید جامع ارائه می‌دهیم. به شما کمک می‌کنیم تا RFPهای (درخواست پیشنهاد) دقیقی که نیازمندی‌های امنیتی شما را به‌درستی منعکس می‌کند تدوین کنید، پیشنهادات فروشندگان را به‌صورت عینی ارزیابی کنید، راه‌حل‌ها را مقایسه کنید و تصمیم‌های آگاهانه بگیرید. این اطمینان می‌دهد که راه‌حل امنیتی مناسبِ نیازها و بودجه‌ی خود را انتخاب می‌کنید.

ما نهاد صدور گواهی نیستیم، اما مسیر رسیدن به آن را هموار می‌کنیم. با یک تحلیل شکاف در برابر پیوست A استاندارد، فاصله‌ی وضعیت فعلی شما تا الزامات سیستم مدیریت امنیت اطلاعات (ISMS) را مشخص می‌کنیم، سیاست‌ها و رویه‌های لازم را طراحی می‌کنیم و برای ممیزی داخلی و ممیزی نهایی آماده‌تان می‌کنیم. گواهی را یک نهاد مستقل صادر می‌کند و نقش ما آماده‌سازی و همراهی است.

طرح تداوم کسب‌وکار (BCP) به این می‌پردازد که سازمان در زمان اختلال چگونه فعالیت‌های حیاتی خود را ادامه دهد؛ طرح بازیابی از فاجعه (DRP) بخش فنی‌تری است و بر بازگرداندن سامانه‌ها و داده‌ها پس از یک رخداد جدی تمرکز دارد. هر دو حول دو عدد کلیدی ساخته می‌شوند: بیشترین زمان قابل‌تحمل برای بازگشت (RTO) و بیشترین داده‌ای که از دست رفتنش پذیرفتنی است (RPO). ما این اعداد را همراه شما برای هر فرآیند تعیین می‌کنیم و طرح را بر همان اساس می‌نویسیم. مبنای کار استاندارد ISO 22301 است.

در بازبینی معماری، طراحی سامانه را پیش از آن‌که کدی نوشته یا مستقر شود بررسی می‌کنیم تا مشکلاتی که رفعشان بعداً پرهزینه است زودتر دیده شوند. مرزهای اعتماد، مسیر داده‌ها، نقاط احراز هویت و مجوزدهی و لایه‌های دفاعی را روی نمودار معماری دنبال می‌کنیم و آن را در برابر اصولی مانند دفاع در عمق و کمینه‌سازی سطح حمله می‌سنجیم. خروجی، فهرستی از نقاط ضعف طراحی همراه با پیشنهاد اصلاح برای هر کدام است.

به‌جای یک نمره‌ی دلخواه، از چارچوب‌های شناخته‌شده استفاده می‌کنیم. سطوح چارچوب NIST CSF نشان می‌دهد فرآیندهای امنیتی شما چقدر تعریف‌شده و تکرارپذیرند و OWASP SAMM بلوغ برنامه‌ی امنیت نرم‌افزار را در چند حوزه اندازه می‌گیرد. از دل این‌ها چند شاخص عملی بیرون می‌کشیم که در طول زمان قابل پیگیری باشند، تا پیشرفت به‌جای حس، با عدد دیده شود.

بسته به موضوع، خروجی می‌تواند نقشه‌ی راه امنیت با اولویت و زمان‌بندی، دفتر ثبت ریسک، گزارش تحلیل شکاف در برابر یک استاندارد، سند بازبینی معماری، مدل تهدید سامانه، یا اسناد خرید مانند RFP و ماتریس ارزیابی پیشنهادها باشد. همه‌ی خروجی‌ها به زبان فارسی یا انگلیسی و به شکلی نوشته می‌شوند که هم مدیر و هم تیم فنی بتوانند بر اساس آن‌ها تصمیم بگیرند و اقدام کنند.