رویکردی ترکیبی از fmea و تئوری خاکستری برای رتبه بندی ابعاد مدیریت ریسک امنیت اطلاعات

پژوهش حاضر با هدف رتبه بندی هر یک از ابعاد مدیریت ریسک امنیت اطلاعات در سازمان ها انجام شده است. به همین منظور ابتدا با استفاده از مطالعه ادبیات پژوهش و نظرات خبرگان ابعاد و شاخص های مدیریت ریسک امنیت اطلاعات تعیین شده است. به‌منظور رتبه بندی عوامل مورد مطالعه با استفاده از رویکرد ترکیبیfmea و تئوری خاکستری، 50 پرسشنامه در میان کارشناسان صنعت it که به‌صورت صورت قضاوتیهدفمند انتخاب شده اند، توزیع و جمع آوری شده است. تجزیه‌وتحلیل نتایج نشان می دهد امنیت ارتباطات رتبه نخست اهمیت را به خود اختصاص می دهد. زیرساخت، عوامل انسانی، مدیریت امنیت، کنترل دسترسی به اطلاعات و توسعه ی سیستم های اطلاعاتی امن به ترتیب در رتبه های دوم تا ششم قرار گرفتند. با توجه به نتایج به دست آمده پیشنهاد می شود سازمان ها اقدام به ایجاد دپارتمان مستقل امنیت در سازمان نمایند. همچنین، تهیه فهرستی از کلیه ی دارایی های اطلاعاتی سازمان و مشخص نمودن اهداف کنترلی و راهبردی در حوزه امنیت اطلاعات در سازمان می تواند برای سازمان ها مفید باشد. اگر سازمانی دارای چندین شعبه است و نیاز به ارتباط از طریق اینترنت دارد، ترجیحاً ارتباطات به‌صورت vpn (رمزنگاری‌شده) برقرار گردد. درصورتی‌که سازمان خودکارسازی تحت وب دارد، این سایت می بایست مجهز به مجوزssl و پروتکل https باشد.

A Combined Approach of FMEA and Gray Theory to Rank Aspects of Information Security Risk Management

The study conducted with aim of ranking each aspect of information security risk management. At the first stage, the dimensions and characteristics of each have been identified based on the research literature and expert opinions. In order to rank the factors under study using a hybrid approach using FEMA and Gray theory, 50 questionnaires collected among IT, soft ware, and network experts that choosed based on researchers’ judgement and accessible one. According to the results, the security of communications was ranked first. Infrastructure of hard ware and network, human factors, security management, access to information and systems and the development of secure information systems were ranked second to sixth, respectively.Therefore, it is recommended that organizations set up an independent security department within the organization. Also, providing a list of all the information assets of the organization and specifying control and strategic goals in the area of information security in the organization can be useful for organizations. Moreover, if the organization has several branches and need internet connection, preferably communications are available as VPN. In addition, if organizations have web automation for outside usage, the site should be licensed with SSL and https protocol.