ارائه مدل مدیریت امنیت اطلاعات و حریم خصوصی داده های شهروندی در سامانه های شهرداری اراک مبتنی بر استاندارد ISO ۲۷۰۰۱

مقدمه: شهرداری اراک به عنوان یکی از نهادهای مهم خدمات رسان به شهروندان، حجم عظیمی از داده های حساس شهروندی را در سامانه های مختلف خود ذخیره و پردازش می کند. این داده ها شامل اطلاعات هویتی (کد ملی، نام و نام خانوادگی، آدرس، شماره تماس)، اطلاعات مالی (فیش های عوارض، اطلاعات بانکی، سوابق پرداخت)، اطلاعات مکانی (موقعیت ملک، نقشه های ساختمانی)، اطلاعات شغلی (برای کارکنان شهرداری) و اطلاعات مربوط به درخواست های مردمی (سامانه ۱۳۷) است. بررسی های میدانی نشان می دهد که علی رغم حساسیت بالای این داده ها، هیچ چارچوب منسجم و استانداردی برای مدیریت امنیت اطلاعات و حریم خصوصی در شهرداری اراک وجود ندارد. ارزیابی اولیه نشان می دهد که سامانه ها آسیب پذیری های متعددی دارند (رمزهای عبور ضعیف، عدم رمزنگاری داده ها در حین انتقال، عدم مدیریت دسترسی مبتنی بر نقش، فقدان سیاست حفظ حریم خصوصی، نبود سیستم ثبت وقایع امنیتی). این وضعیت ریسک بالایی را برای افشای داده های شهروندان، سرقت هویت، جعل اسناد و سوءاستفاده از اطلاعات مالی ایجاد می کند.هدف: این پژوهش با هدف ارائه مدل مدیریت امنیت اطلاعات و حریم خصوصی داده های شهروندی در سامانه های شهرداری اراک مبتنی بر استاندارد بین المللی ISO ۲۷۰۰۱ انجام شده است. ISO ۲۷۰۰۱ معتبرترین استاندارد مدیریت امنیت اطلاعات در جهان است که چارچوبی سیستماتیک برای شناسایی، ارزیابی، مدیریت و بهبود مستمر ریسک های امنیت اطلاعات ارائه می دهد.روش تحقیق: تحقیق از نظر هدف، کاربردی-توسعه ای و از نظر ماهیت، آمیخته (کمی و کیفی) است. ابتدا وضعیت موجود امنیت اطلاعات در ۵ سامانه اصلی شهرداری (سامانه مالی، سامانه میزخدمت، سامانه شهرسازی، سامانه ۱۳۷، سامانه حقوق و دستمزد) با استفاده از چک لیست های استاندارد ISO ۲۷۰۰۱ شامل ۱۱۴ کنترل (در ۱۴ حوزه) ارزیابی شد. در مرحله دوم، ارزیابی ریسک (Risk Assessment) با روش های کمی و کیفی برای شناسایی دارایی های اطلاعاتی حساس و تهدیدات احتمالی انجام گردید. در مرحله سوم، مدل پیشنهادی شامل سیستم مدیریت امنیت اطلاعات (ISMS) ، سیاست های امنیتی، برنامه پاسخگویی به حوادث (Incident Response Plan) ، طرح تداوم کسب وکار (BCP) و برنامه آگاهی بخشی کارکنان طراحی شد. در مرحله چهارم، پایلوت این مدل به مدت ۴ ماه بر روی سامانه میزخدمت (به عنوان بحرانی ترین سامانه از نظر حجم داده های شهروندی) اجرا و اثربخشی آن با شبیه سازی حملات و تست نفوذ (Penetration Testing) ارزیابی گردید.یافته ها: ارزیابی اولیه نشان داد که شهرداری اراک تنها ۲۸٪ از ۱۱۴ کنترل ISO ۲۷۰۰۱ را پوشش می دهد (نمره ۳۲ از ۱۱۴). بالاترین شکاف ها در حوزه های مدیریت دسترسی (۸٪ پوشش)، رمزنگاری (۱۲٪)، امنیت فیزیکی (۱۵٪)، ثبت وقایع و پایش (۱۰٪) و مدیریت آسیب پذیری ها (۵٪) بود. اجرای مدل پیشنهادی بر روی سامانه میزخدمت به مدت ۴ ماه نتایج زیر را به همراه داشت: تعداد آسیب پذیری های بحرانی از ۲۴ مورد به ۳ مورد کاهش یافت (۸۷.۵٪ کاهش). زمان تشخیص نفوذ (از زمان وقوع تا شناسایی) از متوسط ۱۴ روز به ۴ ساعت کاهش یافت. زمان پاسخگویی به حوادث امنیتی از ۳ روز به ۲ ساعت کاهش یافت. همچنین آگاهی کارکنان از مسائل امنیت اطلاعات (بر اساس پرسشنامه) از ۳۲٪ به ۷۸٪ افزایش یافت. در شبیه سازی حمله مهندسی اجتماعی (فیشینگ)، نرخ کلیک کارکنان روی لینک مخرب از ۳۸٪ به ۱۲٪ کاهش یافت.بحث و آزمایشات: تحلیل یافته ها نشان داد که مهمترین دارایی های اطلاعاتی با بالاترین ریسک عبارتند از (۱) پایگاه داده شهروندان شامل کد ملی و اطلاعات هویتی، (۲) اطلاعات پرداخت و شماره کارت بانکی شهروندان، (۳) اسناد و نقشه های ساختمانی (به دلیل ارزش جعل). بیشترین تهدیدات شامل (۱) خطاهای انسانی کارکنان (۷۰٪ از حوادث بالقوه)، (۲) حملات خارجی (هک، بدافزار)، (۳) دسترسی غیرمجاز داخلی (سوءاستفاده از اختیارات). چالش اصلی در پیاده سازی، فرهنگ ضعیف امنیت اطلاعات و مقاومت در برابر تغییر فرآیندها (مثلا الزام به تغییر رمز عبور هر ۹۰ روز) بود که با برنامه آگاهی بخشی مستمر و حمایت مدیران ارشد تا حد زیادی حل شد.نتیجه گیری: استقرار سیستم مدیریت امنیت اطلاعات مبتنی بر ISO ۲۷۰۰۱ در شهرداری اراک نه یک گزینه، بلکه یک ضرورت انکارناپذیر است. با توجه به حساسیت داده های شهروندی و افزایش حملات سایبری به سازمان های دولتی، هرگونه کوتاهی در این زمینه می تواند منجر به خسارات جبران ناپذیر (هزینه های قانونی، از دست رفتن اعتماد شهروندان، اختلال در خدمات) شود. مدل پیشنهادی این تحقیق با هزینه حدود ۹۰۰ میلیون تومان و بازگشت سرمایه غیرمستقیم (کاهش ریسک) قابل پیاده سازی است. پیشنهاد می شود شهرداری اراک گواهینامه ISO ۲۷۰۰۱ را در افق ۱۸ ماهه دریافت کند و به صورت سالانه ممیزی داخلی را انجام دهد.

کلیدواژه ها:

امنیت اطلاعات ، حریم خصوصی ، ISO ۲۷۰۰۱ ، شهرداری اراک ، داده های شهروندی ، ارزیابی ریسک ، سیستم مدیریت امنیت اطلاعات (ISMS) ، تست نفوذ