امنیت در نقاط پایانی، چالش جدید سازمان ها

امن­ سازی نقاط پایانی:

برای مقابله با تهدیدات فوق در سطح کلاینت، نمی­توان تنها به آنتی­ویروس، فایروال شخصی یا دیگر کنترل­ها خدمات شبکه به طور جداگانه اکتفا نمود. راه حل­ امنیت نقاط پایانی که با عنوان Endpoint Protection Platform هم شناخته می­شود، فراتر از یک آنتی ویروس بوده و مجموعه­ای از امکانات امنیتی از جمله ضد بدافزار، فایروال شخصی، کنترل برنامه، تشخیص نفوذ و پیشگیری از نشت اطلاعات (DLP) و کنترل درگاه­ها را در یک بسته نرم­افزاری با قابلیت مدیریت متمرکز، فراهم می­کنند.

این بسته در هر کلاینت نصب شده و خط مشی های امنیتی متنوعی را با توجه به نوع کلاینت، کاربران مربوطه، تنظیمات پسیو شبکه، برنامه­های نصب شده و غیره اعمال می­کند تا علاوه بر امن شدن کلاینت، قواعد استفاده مجاز از کلاینت بر اساس خط مشی های سازمان اعمال گردند.      

با توجه به اینکه برنامه­های متنوعی در کلاینت ها استفاده می­شود، تهدیدهای امنیتی مختلفی نیز از این جهت متوجه سازمان است. این محصول امکان کنترل کامل برنامه و فرآیند را در سطح همه کلاینت­ها برای مدیر شبکه فراهم می­کند و مجوزهای دسترسی کاربران به آنها را مدیریت می­کند.

کنترل رفتار برنامه­ها، شامل شناسایی رفتارهای مشکوک و جلوگیری از رفتارهای مخاطره آمیز، نیز توسط این محصول انجام شده و نقش مهمی در شناسایی بدافزارها و تهدیدهای جدید ایفا نماید. محافظت از ساختار سیستم عامل، رجیستری و دیگر بخش­های حساس کلاینت، پیشگیری از اجرای برنامه­های خاص مثل فیلترشکن، جلوگیری از آپلود یا دانلود فایل­های محرمانه، فیلترینگ پشتیبانی شبکه فایل­ها و سایت­ها و مقابله با برخی حملات فیشینگ از دیگر امکانات آن است.

علاوه بر این، دسترسی به تمام درگاه­ها و تجهیزات سخت افزاری از جمله USB، CD/DVD ، دسترسی به فایل­ها و دایرکتوری­ها، نحوه دسترسی به سایت­های اینترنتی و غیره با استفاده از این محصول قابل مدیریت است.

محصول Endpoint Security می­تواند در نقش یک حسگر امنیتی کلاینت در معماری امنیت شبکه میکروتیک قرار گرفته و مجموعه ای از اطلاعاتی که در دسترس فایروال، مسیریاب و غیره نیست را جمع آوری کند. یکپارچه شدن این محصول با راه حل­هایی چون UTM[1] و مانیتورینگ امنیت، قابلیتی است که در برخی برندهای تولیدکننده UTM موجود بوده و یک مزیت بزرگ برای مدیریت امنیت سازمان به حساب می­آید.

نتیجه گیری:

مجموعه امکانات شناسایی و پیشگیری از تهدیدات در این محصول، به صورت سازگار و یکپارچه، امکان مقابله با بسیاری از تهدیدهای امنیتی را در شبکه ­های داخلی سازمان­ها فراهم می­کنند. استفاده از این محصول یک ضرورت برای همه سازمان­های دولتی، نهادها و ارگان­ها است. به خصوص، بسیاری از تهدیدهایی که ناشی از سهل­انگاری یا تعمد در عدم رعایت موازین توسط کارمندان است، با استفاده از این مکانیزم قابل برطرف نمودن است.

این محصول که پیش از این با برندهای مطرح خارجی به کشور وارد شده، امروزه توسط گروه داده پردازان خدمات شبکه با داشتن سال­ها تجربه تولید محصولات امنیت از جمله UTM، بومی­سازی شده است. لازم به ذکر است علاوه بر امکانات فوق و ده­ها امکان دیگر، امکان یکپارچگی آن با محصول DSGate شرکت نیز از مزیت­های آن می­باشد.

نویسنده:
(مهندس عامر نجفیان پور: رئیس هیأت مدیره و مدیر فنی شرکت داده پردازان دوران)

چالش‌های انسانی، سازمانی و تکنولوژیکی در پیاده‌سازی پروژه‌های امنیتی

مقدمه
عامل‌هایی مانند کارشناسان، عوامل تکنولوژیکی و فرآیند‌های سازمانی عناصری هستند که پیاده‌سازی  امنیت در سازمان ها را با چالش خدمات شبکه مواجه می کنند. جنبه های انسانی عبارتست از آنچه مربوط به شناخت و درک افراد است مانند فرهنگ و تعامل با دیگر با افراد. جنبه های سازمانی مربوط هستند به ساختار سازمان شامل اندازه سازمان و تصمیمات مدیریتی در حوزه امنیت فناوری اطلاعات. جنبه های تکنولوژی، شامل راه حل های تکنیکی مانند برنامه ها و پروتکل هاست. برای مثال، برای رسیدن به درک متقابل درباره ریسک های امنیت در میان ذینفعان مختلف، ارتباطات و تعاملات موثر مورد نیاز است. همچنین خطاهای انسانی تهدید دیگری برای راهکارهای امنیتی هستند. تحلیل ها نشان می دهد که فاکتورهای سازمانی مانند ارتباطات، فرهنگ امنیت و قوانین دلایل متداول خطاها در حوزه امنیت اطلاعات هستند.
متدولوژی
شناخت بهتر شرایط و محدودیت های دنیای واقعی در ارائه راهکارهای امنیتی برای ایجاد سیستم های پسیو شبکه امن تر و قابل استفاده تر، به توسعه دهندگان و طراحان سیستم کمک خواهد کرد. سوالات اصلی که در این مطالعه مطرح شده است، عبارتند از:
1.    مشکلات اصلی که کارشناسان در بخش امنیت اطلاعات در سازمان خود با آنها روبرو هستند، چیست؟
2.    چگونه این چالش ها و مشکلات با هم در تقابل هستند؟
3.    الزامات این چالش ها بر روی تحقیقات آینده چیست؟
ارائه چارچوب یکپارچه چالش ها
سه دسته از این مشکلات بعنوان فاکتورهای انسانی دسته بندی می شود:
1-     فرهنگ 2-  فقدان آموزش امنیت 3- فرآیندهای امنیت ارتباطات
فقدان فرهنگ امنیت داخل سازمانها تغییر شیوه ها را مشکل کرده است. برای مثال، چندین کارمند از یک نام کاربری برای دسترسی به یک سیستم پشتیبانی شبکه استفاده می کنند. در برخی موارد، کارمندان دسترسی به داده را بعنوان یک امتیاز در نظر می گیرند و در برابر از دست دادن این امتیاز بعنوان یک تغییر سازمانی مقاومت می نمایند. فقدان آموزش امنیت موضوع دیگر است. پیاده سازی کنترل های امنیتی در حالی که افراد توجه کافی یا دانش کافی درباره امنیت فناوری اطلاعات ندارند، دشوار خواهد بود. فقدان فرهنگ و آموزش، شناخت ریسک هایی که ذینفعان داخل سازمان با آن مواجه هستند، تحت تاثیر قرار می دهد. زمانی که دیدگاه مشترک از ریسک ها میان ذینفعان وجود نداشته باشد امنیت ارتباطات با مشکل روبرو خواهد شد.
مواردی که به ویژگی های سازمان ها مربوط می شود، عبارتند از:
1-     برآورد ریسک 2- محیط های باز و آزاد دانشگاهی 3- فقدان بودجه 4- قرار دادن امنیت در اولویت دوم 5- زمانبندی فشرده 6- روابط تجاری با دیگر سازمان ها 7- توزیع مسئولیت های فناوری اطلاعات 8- کنترل دسترسی به داده های حساس
فاکتورهای مبتنی بر تکنولوژی که برای پیاده سازی قوانین امنیتی مطرح می شوند، عبارتند از:
1-     پیچیدگی سیستم ها 2- دسترسی های توزیع شده و سیار 3- آسیب در سیستم ها و برنامه ها
نتیجه گیری
تجزیه و تحلیل ها نشان داد که ارتباطات موثر یک مشکل برای کارشناسانی که ریسک ها و کنترل های امنیتی را با دیگر ذینفعان مطرح می نمایند، می باشد. برای پیاده سازی فرآیندهای امنیتی باید فرهنگ سازمانی و دیدگاه ذینفعان مختلف و نه فقط کاربران نهایی درباره ریسک های امنیتی در نظر گرفته شود. توزیع مدیریت فناوری اطلاعات و عدم آموزش های امنیتی میکروتیک ذینفعان فاکتورهایی هستند که تاثیر منفی بر روی کارآیی و اثربخشی ارتباطات ایجاد شده توسط کارشناسان امنیت دارند.زمانبندی فشرده برای تحویل سرویس هایی که شامل نیازمندیهای امنیتی است، مشکل دیگری است. این مشکل به کمبود زمان، منابع و ارتباطات متناقض بین مسئولان مربوط می باشد. به این ترتیب یک ارتباط مستقیم بین زمانبندی فشرده و سطح امنیت وجود دارد.
توزیع، در حوزه دسترسی کنترل شده به داده دو جنبه دارد: اول، کنترل کردن دسترسی کاربرانی که پراکنده هستند و از تکنولوژی های دسترسی متفاوت استفاده می کنند. دوم، کنترل دسترسی به داده های توزیع شده در کل سازمان که توسط ذینفعان مختلف مدیریت می شود. پیشنهاد مطرح شده اینست که، پروسه های امنیتی باید با فرض محیط های توزیع شده توسعه یابند. این سیستم‌ها باید به منظور فراهم کردن دسترسی کنترل شده به داده های توزیع شده، به اندازه کافی انعطاف پذیر باشند و کانال های ارتباطی بین ذینفعان مختلف که به آن داده ها دسترسی دارند، بهبود ببخشند.

امنیت در محیط های رایانش ابری و مجازی

اگر محاسبات را بعنوان عنصر اساسی پنجم فرض کنیم، آنگاه می‌توانیم آن را مانند عناصر دیگر همچون آب مدل‌‌سازی نماییم. در این مدل، کاربران سعی می‌کنند بر اساس نیازهایشان و بدون توجه به اینکه سرویس در کجا قرار دارد و یا چگونه تحویل داده می‌شود، به آنها دسترسی یابند.

در رویکرد سنتی، سازمانها امنیت را با استفاده از مکانیسم‌ها خدمات شبکه و سیاست‌های امنیتی مختلف برای سازمان خود فراهم می‌آوردند و دارایی خود را در پشت فایروال، سیستم‌های پیشگیری از نفوذ، و ... پنهان می‌کردند. امروزه با ظهور رایانش ابری، داده‌های شخصی و خصوصا سازمان‌ها در توده ابری قرار می‌گیرند که محل آن مشخص نیست.

امنیت محاسبات ابری، زیرمجموعه‌ای از امنیت کامپیوتر، امنیت شبکه و حتی بصورت گسترده‌تر امنیت اطلاعات است که به مجموعه‌ای از خط مشی‌ها، تکنولوژی‌ها، و کنترل‌هایی اشاره دارد که برای محافظت از داده‌ها، برنامه‌ها، و زیرساخت مربوط به رایانش ابری اشاره دارد.

رایانش ابری: نگرانی‌های امنیتی

بیشترین استفاده از تکنولوژی مجازی‌سازی، پیاده‌سازی زیرساخت رایانش ابری است که منجر به مشکلات امنیتی برای مشتریان می‌شود. مجازی سازی، رابطه بین سیستم عامل و سخت‌افزار مربوطه را تغییر می‌دهد. بنابراین یک لایه دیگر به نام مجازی سازی اضافه می‌کند که باید به درستی پیکربندی، مدیریت، و امن سازی شود.

یکسری نگرانی در مورد رایانش ابری وجود دارد. این نگرانی‌ها در دو دسته قرار می‌گیرند: مسائل امنیتی که از جانب ارائه دهنده سرویس رایانش ابری است (سازمان‌هایی که از طریق سرویس ابری، زیرساخت، نرم‌افزار و پلت فرم ارائه می‌دهند)، و مسائل امنیتی که از جانب مشتریان است. شرکت ارائه دهنده سرویس ابری باید مطمئن باشد که زیرساخت آن، امن است و داده‌ها و برنامه‌های مشتریان، محافظت شده هستند.

در زیر به برخی از رایج‌ترین نگرانی‌های امنیتی که در خصوص رایانش ابری وجود دارد اشاره شده است:

•    مکان داده‌ها: سازمان‌ها در زمان استفاده از این تکنولوژی، اطلاع دقیقی از محل پشتیبانی شبکه میزبانی داده‌ها ندارد. حتی ممکن است نداند که داده‌ها در کدام کشور ذخیره شده‌اند. لذا سرویس دهندگان باید درباره پاسخگو باشند که آیا داده‌ها در مکان‌های خاصی و یا با شرایط قضایی خاصی ذخیره سازی و پردازش می‌شوند و اینکه آیل تعهدی در خصوص رعایت نیاز مندی‌های مربوط به حفظ حریم خصوصی مشتریان متقبل می‌شوند؟

•    تفکیک داده: با توجه به اینکه داده‌ها در توده ابر در یک محیط اشتراکی ذخیره می‌شود، ارائه دهنده سرویس باید از عدم دسترسی مشتریان به داده‌های یکدیگر مطمئن شوند. لذا استفاده از مکانیزم‌های رمز نگاری می‌تواند تا حدی موثر باشد. در این خصوص سرویس دهندگان باید بتوانند مدارکی در خصوص الگوهای رمزنگاری طراحی شده و ارزیابی شده توسط متخصصان با تجربه ارائه کنند.

•    در دسترس بودن شبکه: ارزش رایانش ابری تنها زمانی می‌تواند مشخص شود که ارتباطات شبکه‌ای میکروتیک و پهنای باند شما، با حداقل نیازهای شما سازگار باشد بنابراین باید هر زمانی که نیاز داشتید، داده‌ها و سرویس‌ها در دسترس باشد. اگر اینگونه نباشد، نتایج آن مشابه وضعیت حمله انکار سرویس (DoS) است.

•    تعهد ارائه دهندگان رایانش ابری: از آنجائیکه ارائه سرویس رایانش ابری، جز کسب و کارهای جدید است، لذا درباره حیات آنها سوال وجود دارد و سازمان‌ها باید از تعهد و التزام آنها به ارائه سرویس مطمئن شوند.

•    تداوم کسب و کار و بازیابی اطلاعات: کاربران نیاز دارند که مطمئن باشند که عملیات و سرویس‌های آنها ادامه دارد حتی اگر محیط رایانش ابری، دچار مشکل شود. یک سرویس دهنده باید بتواند پاسخکوی این مسئله باشد که در صورت وقوع یک سانحه، چه اتفاقی بر سر داده‌های مشتریان خواهد آمد. ارائه دهنده سرویس باید پاسخگو باشد که در صورت بروز مشکل، توانایی بازگرداندن سرویس ها را دارد یا نه؛ و اینکه این کار چه مدت طول خواهد کشید.

•    حفظ حریم خصوصی: ارائه دهندگان سرویس‌های ابر، می‌توانند کنترل و نظارت کامل قانونی و یا غیر قانونی بر روی داده‌ها و ارتباطات بین کاربران سرویس و میزبان ابر داشته باشند. لذا اطمینان از حفظ حریم خصوصی یکی از چالش‌های اساسی در امنیت است.

•    ریسک‌ها و آسیب پذیری‌های جدید: تمام تجهیزات سخت‌افزاری، نرم‌افزاری، و شبکه، آسیب پذیری‌های پسیو شبکه جدیدی را بوجود آورده‌اند. یکسری نگرانی وجود دارد که محاسبات ابری، دسته‌ای از ریسک‌ها و آسیب‌پذیری‌های جدید را بوجود آورد که تا کنون ناشناخته باشد. 

راه حل‌های ارائه شده

مسئله اصلی این است که بیشتر مشکلات بخاطر این است که ما نمی‌توانیم داخل ابر را ببینیم. بنابراین نیاز اصلی کاربران برای کاهش ریسک‌هایی که با آن مواجه هستند، مشاهده درون ابر است. راه حل‌های زیادی برای این موضوع وجود دارد که در زیر به برخی از راه حل‌های ارائه شده در این مقاله، اشاره شده است:

•    استفاده از SLA دقیق و وجود ضمانت قابل قبول برای رعایت آن 

•    وجود تضمین مناسب برای تداوم فعالیت تجاری

•    داشتن برنامه  Disaster Recoveryاز سوی ارائه دهنده و تضمین آن

•    بیان جزییات مربوط به سیاست‌های امنیتی و پیاده سازی‌های انجام شده از سوی ارائه دهنده خدمات رایانش ابری

•    ارائه اطلاعات کامل زیرساختی در زمان انجام مذاکرات خدمات شبکه و نیز در هر لحظه از طول دوره ارائه خدمات رایانش ابری

•    انجام تست‌های نفوذ بطور منظم و دوره‌ای

معرفی مرکز عملیات امنیت شبکه (SOC)

 طرح مسئله
ترکیب تکنولوژی‌های مختلف با هدف برآورده نمودن نیازمندی‌های کسب و کار، سازمان را با چالش‌هایی جدید روبرو نموده است، چرا که عموماً هیچ روش یا مکانیزمی با هدف جمع آوری، نرمال سازی، مرتبط سازی و اولویت‌بندی میلیون‌ها رخداد گزارش شده از سوی تکنولوژی‌ها و سامانه‌های مختلف وجود ندارد. در چنین وضعیتی استفاده از تکنولوژی‌های پسیو شبکه مختلف و نامتجانس جز افزایش سربار فعالیت‌های امنیتی سازمان، مضاعف شدن این فعالیت‌ها، ایجاد مدل‌های امنیتی ضعیف و عدم موفقیت فرایندهای ممیزی، نتیجه‌ای به همراه نخواهد داشت.
در چنین وضعیتی، مرتبط¬سازی بلادرنگ وقایع مختلف (که توسط تجهیزات و ابزارهای مختلفی تولید شده‌است) و شناسایی یک حمله یا نفوذ مشخص، بسیار مشکل و عموما غیرممکن می‌باشد. علاوه بر این، تحلیل‌های پس از وقوع حوادث نیز بسیار کند انجام خواهند شد چرا که ترکیب اطلاعاتی که به روش‌های متفاوت در ابزارها و تجهیزات مختلف نگهداری می‌شوند، کاری بسیار زمان بر و پرهزینه است و سوالات زیر در این خصوص مطرح میگردد:
•    چگونه میتوان میلیون‌ها واقعه‌ای که روزانه توسط سیستم‌ها، نرم افزار‌های کاربردی و کانال‌های کسب و کار مختلف تولید می‌شوند را جمع آوری، نرمال و به یکدیگر مرتبط ساخت؟
•    چگونه این وقایع را میتوان اولویت‌بندی کرد؟
•    در چنین وضعیتی، چگونه با تولید گزارشات مناسب پشتیبانی شبکه میتوان رعایت قوانین و مقررات، استانداردها و بهترین تجربیات امنیتی را تضمین نمود؟
•    چگونه می‌توان از محافظت مناسب دارایی‌های با ارزش سازمان اطمینان حاصل نمود؟
•    و بالاخره، چگونه میتوان تصویری کامل از وضعیت امنیتی شبکه سازمان ارائه نمود؟
ارائه راه حل
مرکز کنترل و عملیات امنیت SOC، دیدی بلادرنگ و جامع نسبت به وضعیت امنیت شبکه سازمان ایجاد می‌نماید. در واقع، این مرکز بواسطه اطلاع رسانی‌های اتوماتیک خدمات شبکه حوادث و وقایع، تولید گزارشات جزئی و کلی، پاسخ‌دهی اتوماتیک به حوادث و وقایع، رویکردی پیشگیرانه را در جهت مدیریت ریســـک‌های امنیتی ایجاد خواهد نمود.
همچنین، این مرکز، وقایع و حوادث را اولویت‌بندی می‌نماید، دارایی‌های متاثر شده از وقایع اتفاق افتاده را مشخص نموده و راهکارهای اصلاحی و یا پیشگیرانه را پیشنهاد داده و یا در مواردی از پیش تعیین شده، اجرا می‌نماید.
این مرکز، با ارایه گزارشاتی در سطوح مختلف، نیازمندی‌های مربوط به فرایندهای ممیزی و همچنین ارزیابی بخشی از ریسک‌های عملیاتی زیرساخت شبکه را برآورده می‌نماید.
در واقع، مرکز عملیات امنیت شبکه, مکانی است برای جمع‌آوری اطلاعات و تجزیه تحلیل آنها جهت پیاده سازی استراتژی‌های امنیتی، همچون:
•    جلوگیری از حملات مبتنی بر شبکه
•    جلوگیری از حملات مبتنی بر میزبان
•    شناسایی و جلوگیری از حملات پیچیده و ترکیبی
•    تشخیص و رفع آسیب پذیریهای امنیتی تجهیزات
•    ایجاد ابزاری جهت به حداقل رساندن زیان و ضرر اقتصادی
نگاهی کلی به مرکز عملیات امنیت شبکه
مرکز عملیات امنیت، مجموعه ای از عوامل تکنولوژیک، فرآیندها و عوامل انسانی است که به صورت پیوسته، رخدادهای امنیتی میکروتیک را از تجهیزات مختلف و ناهمگون شبکه جمع¬آوری را برای شناسایی وقایع امنیتی آنالیز می نماید. 
مزایا و قابلیت های مرکز عملیات امنیت
با توجه به موارد ذکر شده در بخش های قبلی، می توان مزایا و قابلیت های زیر را برای مرکز عملیات امنیت شبکه برشمرد:
•    مدیریت و پایش امنیت تجهیزات، شبکه‌های ارتباطی و رایانه‌ها، به صورت 24 ساعته
•    مدیریت و مانیتورینگ لحظه‌ای تهدیدات
•    جمع آوری و آنالیز ترافیک شبکه
•    پاسخ دهی به مشکلات و رخدادهای امنیتی
•    بهبود در اجرای خط مشی ها و استانداردهای امنیتی

مقاله چالش های پیاده سازی سیستم مدیریت امنیت اطلاعات از دیدگاه اثربخشی

با ارائه اولین استاندارد مدیریت امنیت اطلاعات، نگرش سیستماتیک به مقوله ایمن‌سازی فضای تبادل اطلاعات شکل گرفت. بر اساس این نگرش، تامین امنیت فضای تبادل اطلاعات سازمان ها، دفعتا مقدور نمی‌باشد و لازم است این امر بصورت مداوم در یک چرخه ایمن‌سازی شامل مراحل طراحی، پیاده‌سازی، ارزیابی و اصلاح، انجام گیرد. برای این منظور لازم است هر سازمان خدمات شبکه بر اساس یک متدولوژی مشخص، اقدامات زیر را انجام دهد:

1-      تهیه طرح‌ها و برنامه‌های امنیتی موردنیاز سازمان

2-      ایجاد تشکیلات موردنیاز جهت ایجاد و تداوم امنیت فضای تبادل اطلاعات سازمان

3-      اجرای طرح‌ها و برنامه‌های امنیتی سازمان

و در نهایت اقدام به پیاده سازی سیستم مدیریت امنیت اطلاعات نماید .

1    چالش های منجر به شکست پروژه ISMS 

پیاده سازی هر سیستم مدیریتی در یک سازمان با موانعی روبروست. گاه این موانع آن چنان جدی است که عملا پیاده سازی سیستم را غیر ممکن می سازد. به هر حال باید در نظر داشت که می توان با شناخت چالش ها و اقدام در جهت بر طرف سازی آنها مسیر را در حرکت به سمت آن هموار کرد.

مهمترین موانع پیش رو در پیاده سازی ISMS عبارتند از :

1-1    مشکلات مدیریتی

•    عدم ثبات مدیران در سازمان ها همیشه از مشکلات اساسی در پروژه ها می باشد .این تغییرات از لایه مدیران میانی تا لایه مدیریت کلان سازمان، می تواند صورت گیرد.

•    عدم تعهد مدیریت - تعهد مدیریت اصلی ترین بحث در شکل گیری ISMS می باشد. هدف ISMS ایجاد یک سیستم مدیریتی پشتیبانی شبکه است حال اگر مدیریت تعهدی نسبت به اجرایی شدن ISMS نداشته باشد پیاده سازی آن نه تنها به بهبود امنیت در سازمان کمک نمی کند بلکه سازمان را مختل نیز خواهد کرد.

1-2    مشکلات کارکنان

•    عدم آگاهی مناسب منابع انسانی- پیش از پروژه ISMS آگاهی لازم به کارمندان داده نمی شود.

•    کمبود منابع انسانی متخصص – عدم حضور نیروی متخصص در حوزه فناوری اطلاعات در سازمان، مشکلات بسیاری را از ابتدا تا انتهای پروژه به همراه خواهد داشت .

•    مقاومت کاربران در برابر تغییر

•    عدم برقراری ارتباط موثر -مدیران امنیت اطلاعات می بایست قادر به ارتباط موثر با کاربران نهایی و از طرف دیگر مدیران ارشد و هیئت مدیره باشند.

1-3    مشکلات سازمانی

•    عدم بلوغ سازمانی - عدم بلوغ سازمانی در بکار گیری سیستم مدیریتی از مهمترین موانع در ایجاد ISMS در هر سازمان محسوب می شود. 

•    تغییر ساختار سازمانی – تغییر محدوده و ادارات انتخاب شده در پروژه و گاهی تلفیق و جدا سازی ادارات از دیگر مشکلات پیاده سازی است 

•    عدم استفاده از مشاور مناسب - انتخاب مناسب پیمانکاری که تخصص لازم را داشته باشد و متدولوژی مناسبی در پیاده سازی ارایه دهد 

•    نداشتن متولی ISMS در سازمان- به دلیل ماهیت پروژه که موضوع امنیت است معمولاً در سازمان ها اداره حراست مسئولیت پروژه را بر عهده می گیرد در صورتیکه سهم بیشتر این پروژه مربوط به IT است . 

•    عدم تخصیص بودجه مناسب- بسیاری از مدیران از انتخاب معیار مناسب جهت تعیین رقم بودجه غافل می شوند و با صرف هزینه کمتر و عدم تخصیص بودجه مناسب برای پروژه شرایط نامناسبی را فراهم می کنند.

1-4    مشکلات فنی :

•    وجود نرم افزار های قدیمی و سیستم عامل های غیر اورجینال - از نقطه نظر فنی وجود نرم افزار های قدیمی و سیستم عامل پسیو شبکه های غیر اورجینال یکی از جدی ترین چالشهای امنیتی به شمار می رود. 

•    عدم وجود الگوی مناسب توسعه با دیدگاه فناوری اطلاعات ، این مساله باعث عدم مکانیزه شدن بسیاری از فرایند های سازمان و در نتیجه عدم امکان پیاده سازی مناسب سیستم امنیت اطلاعات خواهد شد.

1-5    مشکلات مناقصه

در پروژه های سیستم مدیریت امنیت اطلاعات، محصول نهایی در انتهای پروژه تحویل کارفرما نمی شود و ماهیت پروژه ایجاد سیستم و جاری ساختن این سیستم در سازمان است. کارفرما با بیان نیازمندی های خود و شرکت کنندگان در مناقصه با توصیف روشی جهت پوشش دهی آنها در مناقصات شرکت می کنند . ار آنجائیکه برداشت متفاوتی از این نیازها و الزامات می شود، شرکت کنندگان پروپزالهای متفاوتی ارائه می دهند و در نتیجه قیمت های پیشنهادی متفاوتی ارائه می شود که این مسئله باعث می شود، قیمت کمتر در مناقصه برنده شود و انتخاب درستی برای پیمانکار صورت نگیرد .

2    نتیجه گیری:

مشکلات مدیران امنیت اطلاعات این است که بسیاری از مواقع مجبور می شوند نقش یک متخصص فنی با دیدگاه مدیریتی فرمان دهنده را بپذیرند.

آن ها معمولا تصمیمات مربوط به امنیت اطلاعات را بدون درگیر کردن یا مذاکره با کارکنان می گیرند.، مدیریت خوب فناوری اطلاعات به طور فزاینده بستگی به انسان ها و همچنین فرآیندها و ملاحظات فنی دارد.

مدیران امنیت فناوری اطلاعات به طور فزاینده برای جایگزینی رویکرد کنترلی با یک سبکی که بیشتر دانشگاهی باشد، فعالیت دارند. این شامل کمک میکروتیک به کاربر نهایی و بحث و مذاکره و تصمیم گیری در مورد مسائل امنیت اطلاعات است.

متاسفانه تحقیقات نشان داده است که این دو نقش گاهی اشتباه گرفته می شود و این می تواند به تناقضاتی در پیام هایی که به کاربران نهایی فرستاده می شود بیانجامد. مدیران امنیت اطلاعات از برخی از مشکلات ذاتی در سازمان، آگاه هستند. از طرفی اگر آن ها یک دستور را بگیرند و وضعیت را کنترل کنند پس از آن موقعیت آنها به گونه ای می شود که بیشتر توجهشان معطوف به کاربر نهایی شده و کمتر می توانند به خود توجه داشته باشند.

از سوی دیگر اگر مدیر امنیت اطلاعات یک رویکرد بیشتر دانشگاهی و مبنی بر اختیار کاربر نهایی برای تصمیم گیری بیشتر با توجه به امنیت اطلاعات داشته باشد، پس از آن احتمال رخ دادن حوادث (حداقل در کوتاه مدت) بیشتر خواهد شد و اشتباهات بیشتری به وجود می آید.

این حالت نیاز به پذیرش و شاید سرمایه گذاری بیشتر برای بهبود آن را دارد. مصاحبه با مدیران امنیت اطلاعات نصب شبکه اشکار کرد که آن ها برروی صحبت، ارائه و تقویت ایده ها تمرکز دارند ولی توجهی به گوش دادن به کاربر نهایی ندارند. در نهایت پیاده سازی سیستم مدیریت امنیت اطلاعات به صورت یک پروژه نیست، که روزی شروع و روزی پایان داشته باشد . ISMS یک سیستم است که باید از همان ابتدا در لایه های داخل سازمان نفوذ کند و امنیت ایجاد شده در سالهای متوالی توسط کمیته های راهبردی و استراتژیک سازمان بهبود یابد