### بخش اول: تحلیل تطبیقی ISO/IEC 27001:2022 و پروتکل‌های امنیتی افتا (AFTA)

سند الزامات امنیتی افتا (ریاست جمهوری) تا حد بسیار زیادی بر پایه چارچوب **ISO/IEC 27001** بنا شده است، اما تفاوت‌های کلیدی در جزئیات فنی و الزامات حاکمیتی (Prescriptive Controls) وجود دارد. به طور کلی، می‌توان گفت ISO 27001 حدود **۷۰ الی ۸۰ درصد** از الزامات پایه افتا را پوشش می‌دهد.

جدول زیر ساختار پوشش‌دهی و نقاط تمایز را نشان می‌دهد:

| حوزه کنترلی | میزان پوشش توسط ISO 27001 | نقاط تمایز و الزامات اختصاصی افتا (AFTA Gap) |
| :— | :— | :— |
| **سیستم مدیریت (ISMS)** | ۱۰۰٪ (بندهای ۴ تا ۱۰) | افتا ساختار حاکمیتی ISO را کاملاً می‌پذیرد (تعیین قلمرو، خط‌مشی‌ها، ممیزی داخلی و بهبود مستمر). |
| **مدیریت دارایی‌ها و ریسک** | ۹۰٪ | روش‌شناسی ارزیابی ریسک در افتا باید منطبق بر متدولوژی‌های بومی ابلاغی باشد و دارایی‌های حیاتی (Critical Assets) با حساسیت بیشتری دسته‌بندی شوند. |
| **امنیت زنجیره تأمین (Supply Chain)** | ۶۰٪ | افتا الزامات بسیار سخت‌گیرانه‌ای روی **بومی‌سازی تجهیزات**، استفاده از نرم‌افزارها و سخت‌افزارهای دارای پروانه بهره‌برداری افتا، و ممنوعیت استفاده از برخی ابزارهای خارجی دارد که در ISO 27001 (کنترل‌های A.5.19 تا A.5.23) صرفاً به صورت مدیریتی به آن اشاره شده است. |
| **رمزنگاری (Cryptography)** | ۵۰٪ | ISO 27001 (کنترل A.8.24) بر استفاده از رمزنگاری مناسب تاکید دارد؛ اما افتا استفاده از الگوریتم‌ها و ماژول‌های رمزنگاری مورد تایید مراجع بومی را الزامی می‌کند. |
| **تست نفوذ و ارزیابی امنیتی** | ۴۰٪ | افتا الزام می‌کند که ارزیابی امنیتی و تست نفوذ (Penetration Testing) صرفاً توسط شرکت‌های دارای مجوز معتبر افتا انجام شود. |
| **مدیریت حوادث (Incident Management)** | ۷۰٪ | علاوه بر فرآیند داخلی (کنترل‌های A.8.9 تا A.8.15)، افتا اتصال به مراکز آپا (آگاهی‌رسانی، پشتیبانی و امداد رایانه‌ای) و گزارش‌دهی حوادث به مرکز ماهر/افتا در سطوح ملی را اجبار می‌کند. |

**نتیجه‌گیری بخش اول:** پیاده‌سازی ISO 27001 فونداسیون و ساختار اصلی (Framework) را برای عبور از ممیزی افتا فراهم می‌کند، اما برای دریافت تاییدیه افتا، سازمان ملزم به اعمال **پیوست‌های فنی بومی (Locally mandated controls)** و استفاده از محصولات و پیمانکاران دارای مجوز است.

—

### بخش دوم: علت رد صلاحیت کارشناسان و ممیزی‌ها در فضای پس از تنش‌های اخیر

در پاسخ به پرسش دوم شما، بله؛ **عدم پیاده‌سازی واقعی و اثربخش (و نه صرفاً کاغذی) امنیت اطلاعات** ارتباط مستقیم و تنگاتنگی با نرخ بالای رد ممیزی‌ها و عدم احراز صلاحیت کارشناسان در دوره‌ی اخیر دارد.

پس از افزایش تنش‌ها و حملات سایبری گسترده اخیر در سطح زیرساخت‌ها، رویکرد نهادهای ناظر (مانند افتا، پدافند غیرعامل و مراجع ممیزی) از حالت **«ممیزی انطباق‌محور (Compliance-based)»** به **«ممیزی تاب‌آوری‌محور (Resilience-based)»** تغییر یافته است. دلایل اصلی رد کارشناسان و ممیزی‌ها را می‌توان در موارد زیر خلاصه کرد:

#### ۱. افشای صوری بودن پیاده‌سازی (Paper-based ISMS vs. Operational ISMS)
در گذشته، بسیاری از سازمان‌ها با تهیه مستندات استاندارد (Policies & Procedures) بدون پیاده‌سازی واقعی ابزارها، گواهی ISO 27001 دریافت می‌کردند. در شرایط تهدید بالا (High-threat environment)، ناظران افتا به جای بررسی اسناد، سیستم‌ها را به صورت عملیاتی تست می‌کنند:
* بررسی لاگ‌های فعال در SIEM
* بررسی سناریوهای واقعی پشتیبان‌گیری (Offline Backups) و فرآیند بازیابی (Disaster Recovery)
* راستی‌آزمایی فرآیند مدیریت وصله‌ها (Patch Management)
اگر کارشناس مسئول نتواند پیاده‌سازی عملیاتی این موارد را اثبات کند، پرونده رد خواهد شد.

#### ۲. سخت‌گیرانه‌تر شدن کنترل‌های امنیت نیروی انسانی (Human Resource Security – Annex A.6)
در تنش‌های اخیر، بخش عمده‌ای از نفوذها از طریق **مهندسی اجتماعی (Social Engineering)**، **فیشینگ هدفمند (Spear Phishing)** و **دسترسی‌های غیرمجاز داخلی (Insider Threats)** رخ داده است. ممیزان اکنون روی کنترل‌های مربوط به پرسنل تمرکز کرده‌اند:
* بررسی دقیق پیشینه (Screening) کارشناسان ارشد IT و امنیت.
* اعطای دسترسی‌ها براساس اصل کمترین امتیاز (Least Privilege).

بسیاری از کارشناسان به دلیل عدم رعایت این اصول در طراحی شبکه یا عدم تسلط بر مفاهیم امنیت رفتاری پرسنل، در ممیزی‌ها رد می‌شوند.

#### ۳. ضعف در دانش «مدیریت تهدیدات پیشرفته» (Threat Intelligence – A.5.7)

استاندارد ISO 27001:2022 کنترل جدیدی تحت عنوان *Threat Intelligence* معرفی کرده است. ممیزان افتا اکنون از کارشناسان انتظار دارند که توانایی تحلیل بردارهای حمله جدید و مسدودسازی پیشگیرانه آن‌ها را داشته باشند. کارشناسانی که دانش خود را به روز نکرده و صرفاً به امنیت سنتی (مانند فایروال و آنتی‌ویروس ساده) متکی هستند، توانایی دفاع از طرح‌های امنیتی خود را در جلسات دفاعیه افتا ندارند.

#### ۴. امنیت زنجیره تأمین و وابستگی‌های خارجی

بسیاری از پروژه‌ها به دلیل استفاده کارشناسان از ابزارهای Open Source بدون پشتیبانی، سیستم‌های کرک‌شده، یا عدم ارزیابی ریسک تامین‌کنندگان شخص ثالث (Third-party Risk Assessment) رد می‌شوند. ممیزان حاکمیتی در این بخش هیچ‌گونه تسامحی نشان نمی‌دهند.

### جمع‌بندی برای کارشناس گرامی:

به  سازمان‌ها پیشنهاد می‌شود بر این نکته تاکید فرمایید که **ایزو ۲۷۰۰۱ دیگر یک «پروژه مستندسازی» نیست، بلکه سپر دفاع عملیاتی است.** عبور از فیلترهای سخت‌گیرانه افتا در شرایط کنونی، مستلزم هدایت سازمان‌ها به سمت پیاده‌سازی عمیق کنترل‌های فنی (به‌ویژه مدیریت دسترسی، مدیریت لاگ، امنیت زنجیره تامین و تست نفوذهای مداوم) است و کارشناسانی که فاقد تجربه کارگاهی و عملیاتی در این حوزه‌ها باشند، در ساختار ممیزی جدید حاکمیتی به سختی پذیرفته خواهند شد.اساس اصل کمترین امتیاز (Least Privilege).

بسیاری از کارشناسان به دلیل عدم رعایت این اصول در طراحی شبکه یا عدم تسلط بر مفاهیم امنیت رفتاری پرسنل، در ممیزی‌ها رد می‌شوند.

#### ۳. ضعف در دانش «مدیریت تهدیدات پیشرفته» (Threat Intelligence – A.5.7)

استاندارد ISO 27001:2022 کنترل جدیدی تحت عنوان *Threat Intelligence* معرفی کرده است. ممیزان افتا اکنون از کارشناسان انتظار دارند که توانایی تحلیل بردارهای حمله جدید و مسدودسازی پیشگیرانه آن‌ها را داشته باشند. کارشناسانی که دانش خود را به روز نکرده و صرفاً به امنیت سنتی (مانند فایروال و آنتی‌ویروس ساده) متکی هستند، توانایی دفاع از طرح‌های امنیتی خود را در جلسات دفاعیه افتا ندارند.

#### ۴. امنیت زنجیره تأمین و وابستگی‌های خارجی

بسیاری از پروژه‌ها به دلیل استفاده کارشناسان از ابزارهای Open Source بدون پشتیبانی، سیستم‌های کرک‌شده، یا عدم ارزیابی ریسک تامین‌کنندگان شخص ثالث (Third-party Risk Assessment) رد می‌شوند. ممیزان حاکمیتی در این بخش هیچ‌گونه تسامحی نشان نمی‌دهند.