خواندن آیایسی ۶۲۴۴۳ از نگاه سازنده دستگاه؛ ناحیه، مجرا و سطح امنیتی
این استاندارد وظایف متفاوتی به مالک دارایی، مجری و سازنده محصول میدهد. کدام بخشها واقعاً سازنده را ملزم میکنند و ادعای یک سطح امنیتی چه تعهدی میسازد.
آیایسی ۶۲۴۴۳ اغلب به عنوان استاندارد امنیت سایبری صنعتی توصیف میشود که هم درست است و هم بیفایده. این یک مجموعه است که سه نقش متفاوت را پوشش میدهد — مالک دارایی، مجری سامانه و سازنده محصول — و بیشتر سردرگمی پیرامون آن از این میآید که افراد بخشهایی را میخوانند که برای شغل کس دیگری نوشته شده است.
اگر شما دستگاه میسازید، بخشهایی که به شما مربوطاند درباره نحوه توسعه شما و تواناییهای محصولتان هستند. هر چیزی درباره بهرهبرداری از یک کارخانه، بخشبندی یک شبکه فعال یا نگهداری یک برنامه امنیتی به مالک دارایی مربوط است، و خواندن آنها در ابتدا این تصور را میسازد که تعهدی بهطور غیرممکنی گسترده در کار است.
تمایز میان سطوح بلوغ و سطوح امنیتی همان چیزی است که باید زود درونی شود، چون این دو چیزهای متفاوتی را گواهی میکنند. سطح بلوغ فرایند توسعه شما را گواهی میکند — اینکه چرخه توسعه امن تعریفشدهای دارید، آسیبپذیریها را از طریق یک فرایند مدیریت میکنید نه از طریق هر کسی که متوجه شد، و آن فرایند مستند و رعایتشده است. سطح امنیتی گواهی میکند که یک محصول یا سامانه واقعاً چه میتواند بکند.
چهار سطح امنیتی را بهتر است توصیفی از اینکه در برابر چه کسی دفاع میکنید بخوانید نه رتبهبندی کیفیت. سطح یک سوءاستفاده اتفاقی یا غیرعمدی را پوشش میدهد. سطح دو مهاجمی عامد با ابزار ساده و انگیزه کم را. سطح سه ابزار پیچیده و قصد مشخص را فرض میگیرد. سطح چهار منابع گسترده و انگیزه بالا را؛ یعنی حریفی در سطح دولتی.
ناحیه و مجرا مفهوم معماریای است که بیش از همه نحوه مشخصاتنویسی یک دستگاه را تغییر میدهد. ناحیه داراییهایی با الزامات امنیتی یکسان را گروه میکند؛ مجرا مسیر کنترلشده میان ناحیههاست. پیامدش برای یک محصول این است که دستگاه شما درون یک ناحیه قرار میگیرد و انتظار میرود تنها از طریق مجراهای تعریفشده ارتباط بگیرد، پس دستگاهی که برای ارسال داده به نقاط دلخواه اینترنتی اتصال خروجی باز میکند جای دادنش دشوار است.
نقطه شروع عملی خود استاندارد نیست بلکه اسناد مناقصه مشتری شماست. الزاماتی که از نظر تجاری اهمیت دارند همانهایی هستند که همین حالا خواسته میشوند، و معمولاً یک سطح امنیتی مشخص برای دسته محصولی مشخص بهعلاوه شواهد یک فرایند توسعه امن است.