رويكردي تركيبي از FMEA و تئوري خاكستري براي رتبه بندي ابعاد مديريت ريسك امنيت اطلاعات

A Combined Approach of FMEA and Gray Theory to Rank Aspects of Information Security Risk Management

پژوهش حاضر با هدف رتبه­بندي هر يك از ابعاد مديريت ريسك امنيت اطلاعات در سازمان­ها انجام شده است. به همين منظور ابتدا با استفاده از مطالعه ادبيات پژوهش و نظرات خبرگان ابعاد و شاخص­هاي مديريت ريسك امنيت اطلاعات تعيين شده است. به‌منظور رتبه­بندي عوامل مورد مطالعه با استفاده از رويكرد تركيبيFMEA و تئوري خاكستري، 50 پرسشنامه در ميان كارشناسان صنعت IT كه به‌صورت صورت قضاوتي-هدفمند انتخاب شده­اند، توزيع و جمع­آوري شده است. تجزيه‌وتحليل نتايج نشان مي­دهد امنيت ارتباطات رتبه نخست اهميت را به خود اختصاص مي­دهد. زيرساخت، عوامل انساني، مديريت امنيت، كنترل دسترسي به اطلاعات و توسعه­ ي سيستم­هاي اطلاعاتي امن به ترتيب در رتبه ­هاي دوم تا ششم قرار گرفتند. با توجه به نتايج به دست آمده پيشنهاد مي­شود سازمان­ها اقدام به ايجاد دپارتمان مستقل امنيت در سازمان نمايند. همچنين، تهيه فهرستي از كليه ­ي دارايي­ هاي اطلاعاتي سازمان و مشخص نمودن اهداف كنترلي و راهبردي در حوزه امنيت اطلاعات در سازمان مي­تواند براي سازمان­ها مفيد باشد. اگر سازماني داراي چندين شعبه است و نياز به ارتباط از طريق اينترنت دارد، ترجيحاً ارتباطات به‌صورت VPN (رمزنگاري‌شده) برقرار گردد. درصورتي‌كه سازمان خودكارسازي تحت وب دارد، اين سايت مي­بايست مجهز به مجوزSSL و پروتكل https باشد.

The study conducted with aim of ranking each aspect of information security risk management. At the first stage, the dimensions and characteristics of each have been identified based on the research literature and expert opinions. In order to rank the factors under study using a hybrid approach using FEMA and Gray theory, 50 questionnaires collected among IT, soft ware, and network experts that choosed based on researchers’ judgement and accessible one. According to the results, the security of communications was ranked first. Infrastructure of hard ware and network, human factors, security management, access to information and systems and the development of secure information systems were ranked second to sixth, respectively.Therefore, it is recommended that organizations set up an independent security department within the organization. Also, providing a list of all the information assets of the organization and specifying control and strategic goals in the area of information security in the organization can be useful for organizations. Moreover, if the organization has several branches and need internet connection, preferably communications are available as VPN. In addition, if organizations have web automation for outside usage, the site should be licensed with SSL and https protocol.