ISO 28000:2022
امنیت و تابآوری — سیستمهای مدیریت امنیت — الزامات
چکیده
این سند الزامات یک سیستم مدیریت امنیت را مشخص میکند، از جمله جنبههای مرتبط با زنجیره تأمین.
این سند برای تمامی انواع و اندازههای سازمانها (مانند شرکتهای تجاری، نهادهای دولتی یا عمومی، و سازمانهای غیرانتفاعی) که قصد دارند یک سیستم مدیریت امنیت را ایجاد، اجرا، نگهداری و بهبود دهند، قابلکاربرد است. این استاندارد رویکردی جامع و مشترک ارائه میدهد و وابسته به صنعت یا بخش خاصی نیست.
این سند میتواند در تمامی مراحل عمر سازمان مورد استفاده قرار گیرد و در هر نوع فعالیت داخلی یا خارجی و در تمامی سطوح قابلاعمال است.
تاریخچه
استاندارد ISO 28000 نخستینبار در سال 2007 منتشر شد و هدف آن ایجاد یک سیستم مدیریت امنیت برای زنجیرههای تأمین بود.
در سال 2022 نسخهی جدیدی از این استاندارد منتشر گردید که علاوه بر زنجیره تأمین، حوزههای گستردهتری از جمله امنیت و تابآوری سازمانی را نیز پوشش میدهد. نسخه جدید با ساختار مشترک استانداردهای مدیریتی (Annex SL) هماهنگ شده است تا امکان ادغام آن با سایر سیستمهای مدیریتی مانند ISO 9001 یا ISO 27001 فراهم شود.
دامنه کاربرد
این استاندارد برای تمامی سازمانها، صرفنظر از اندازه یا نوع فعالیت، قابل اجراست.
هدف آن ایجاد یک سیستم مدیریت امنیت است که بتواند خطرات امنیتی را در تمامی بخشهای زنجیره شناسایی و کنترل نماید.
سازمانها از طریق اجرای الزامات این استاندارد، میتوانند امنیت فیزیکی، اطلاعاتی، لجستیکی و عملیاتی خود را بهصورت نظاممند مدیریت کنند.
اهداف اصلی
- شناسایی و ارزیابی ریسکهای امنیتی در زنجیره تأمین
- طراحی و اجرای اقدامات کنترلی برای کاهش ریسکها
- پایش و اندازهگیری عملکرد امنیتی سازمان
- ایجاد نظامی برای بازنگری، ممیزی و بهبود مستمر
- تقویت توان سازمان در برابر تهدیدات، حوادث و اختلالات
- افزایش اعتماد ذینفعان، مشتریان و نهادهای نظارتی
ساختار استاندارد
استاندارد ISO 28000 از ساختار دهگانه مشابه دیگر استانداردهای مدیریتی پیروی میکند:
بخش 4 – زمینه سازمان:
شناسایی عوامل داخلی و خارجی مؤثر بر امنیت، ذینفعان و نیازهای آنها.
بخش 5 – رهبری:
تعهد مدیریت ارشد، تدوین خطمشی امنیتی، تعیین نقشها و مسئولیتها.
بخش 6 – برنامهریزی:
تعیین ریسکها و فرصتها، تدوین اهداف امنیتی و برنامههای اجرایی.
بخش 7 – پشتیبانی:
تأمین منابع، آموزش و آگاهسازی کارکنان، ارتباطات داخلی و خارجی، مدیریت مستندات.
بخش 8 – عملیات:
طراحی، اجرا و کنترل فرآیندهای امنیتی در بخشهای مختلف زنجیره تأمین.
بخش 9 – ارزیابی عملکرد:
پایش، اندازهگیری، ممیزی داخلی و بازنگری مدیریت.
بخش 10 – بهبود:
اقدامات اصلاحی، پیشگیرانه و بهبود مستمر عملکرد امنیتی سازمان.
مزایای پیادهسازی ISO 28000
- افزایش سطح امنیت در تمامی مراحل زنجیره تأمین
- کاهش احتمال بروز سرقت، خرابکاری و تهدیدات فیزیکی یا سایبری
- ایجاد چارچوبی منظم برای مدیریت و ارزیابی ریسکهای امنیتی
- ارتقای اعتبار سازمان در تعامل با شرکای تجاری و نهادهای بینالمللی
- تسهیل انطباق با الزامات قانونی و مقررات مرتبط با امنیت
- بهبود هماهنگی بین واحدهای مختلف سازمان در موضوعات امنیتی
- همافزایی با سایر سیستمهای مدیریتی نظیر کیفیت، محیط زیست، ایمنی و امنیت اطلاعات
چالشهای پیادهسازی
- نیاز به تعهد و حمایت قوی از سوی مدیریت ارشد
- ضرورت ایجاد فرهنگ امنیتی در میان کارکنان
- پیچیدگی زنجیرههای تأمین و تفاوت سطح امنیت تأمینکنندگان
- هزینههای اولیه برای طراحی، آموزش و استقرار سیستم
- لزوم پایش مستمر تهدیدات جدید و بهروزرسانی اقدامات امنیتی
مراحل اجرای سیستم ISO 28000
- آشنایی و آموزش کارکنان با الزامات استاندارد
- انجام تحلیل شکاف برای شناسایی وضعیت موجود
- برنامهریزی پروژه استقرار و تعیین مسئولیتها
- تدوین خطمشی و اهداف امنیتی
- طراحی و مستندسازی فرآیندهای امنیتی
- اجرای اقدامات کنترلی و پایش آنها
- برگزاری ممیزی داخلی و بازنگری مدیریت
- اصلاح نواقص و اقدام برای دریافت گواهینامه (در صورت تمایل)
مقایسه با سایر استانداردها
- ISO 27001: تمرکز بر امنیت اطلاعات دارد، در حالی که ISO 28000 علاوه بر اطلاعات، امنیت فیزیکی، حملونقل و فرآیندهای زنجیره را نیز پوشش میدهد.
- C-TPAT: یک برنامه ملی آمریکا برای امنیت تجاری است؛ در حالی که ISO 28000 استانداردی جهانی است.
- TAPA: بیشتر بر امنیت حملونقل کالاهای باارزش تمرکز دارد، اما ISO 28000 تمام زنجیره تأمین را دربر میگیرد.
استاندارد ISO 28000 چارچوبی جامع برای مدیریت امنیت در زنجیره تأمین ارائه میدهد.
این استاندارد نهتنها از بروز تهدیدات جلوگیری میکند، بلکه موجب افزایش اعتماد مشتریان، بهبود هماهنگی درونسازمانی، و ارتقای تابآوری سازمان در برابر حوادث میشود.
پیادهسازی موفق آن نیازمند تعهد مدیریت، مشارکت کارکنان و پایش مستمر عملکرد امنیتی است.
در ویرایش سال ۲۰۲۴، اصلاحیهای با عنوان «تغییرات مربوط به اقدام اقلیمی» (Amendment 1: Climate action changes) به استاندارد افزوده شده است. این اصلاحیه با هدف بهروزرسانی و تقویت الزامات مرتبط با ملاحظات اقلیمی و نیز اعمال اصلاحات فنی و ویرایشی در متن اصلی استاندارد منتشر شده است. افزودن این اصلاحیه نشاندهنده توجه فزاینده سازمانهای بینالمللی استاندارد به تأثیر تغییرات اقلیمی بر سیستمهای مدیریتی و فرآیندهای سازمانی است.
