NIST Risk Management Framework (RMF) روشی ساختاریافته برای مدیریت ریسک امنیت و حریم خصوصی در چرخه عمر سامانه‌هاست. نقطه مهم RMF این است که امنیت را فقط به «نصب کنترل» محدود نمی‌کند؛ کنترل باید انتخاب، پیاده‌سازی، ارزیابی، پذیرفته و به‌صورت مستمر پایش شود.
سناریو: راه‌اندازی سامانه منابع انسانی ابری
سازمانی می‌خواهد سامانه منابع انسانی خود را به یک پلتفرم ابری منتقل کند. سامانه شامل اطلاعات هویتی، حقوق، قرارداد، سوابق پرسنلی و دسترسی مدیران است. تیم فناوری می‌گوید سرویس امن است، اما مدیریت باید بداند ریسک واقعاً چگونه سنجیده و پذیرفته شده است.
مراحل NIST RMF
| مرحله | سؤال عملی | خروجی نمونه |
|---|---|---|
| Prepare | دامنه، ذی‌نفعان و فرضیات چیست؟ | مرز سامانه، نقش‌ها، منابع و الزامات |
| Categorize | اثر از دست رفتن محرمانگی، صحت یا دسترس‌پذیری چیست؟ | طبقه‌بندی اثر |
| Select | چه کنترل‌هایی لازم است؟ | Baseline و Tailoring |
| Implement | کنترل دقیقاً چگونه اجرا شده؟ | شرح پیاده‌سازی |
| Assess | کنترل واقعاً مؤثر است؟ | نتیجه ارزیابی و یافته |
| Authorize | آیا ریسک باقیمانده پذیرفتنی است؟ | تصمیم پذیرش ریسک |
| Monitor | بعد از راه‌اندازی چه چیزی تغییر کرده؟ | پایش مستمر و بازبینی |
نمونه کنترل در سناریو
| ریسک | کنترل | شاهد | وضعیت |
|---|---|---|---|
| دسترسی غیرمجاز به حقوق | MFA و RBAC | تنظیمات هویت و گزارش دسترسی | پیاده‌سازی شده |
| نشت داده | Encryption at Rest/In Transit | تنظیمات رمزنگاری | نیازمند ارزیابی |
| از دست رفتن داده | Backup و Restore Test | گزارش تست بازیابی | دارای Gap |
Authorization یعنی چه؟
یکی از جذاب‌ترین بخش‌های RMF همین است. در بسیاری از سازمان‌ها امنیت کنترل‌ها را اجرا می‌کند اما معلوم نیست چه کسی در نهایت ریسک باقیمانده را می‌پذیرد. RMF این تصمیم را شفاف می‌کند: یک مقام مجاز باید با آگاهی از ریسک، تصمیم بگیرد سامانه وارد بهره‌برداری شود یا نه.
NIST RMF در MedaGRC
در MedaGRC می‌توان کنترل‌ها، مالک، وضعیت اجرا، شواهد، یافته‌های ارزیابی، برنامه اصلاحی و ریسک باقیمانده را در یک زنجیره ثبت کرد. این ساختار برای سازمان‌هایی که می‌خواهند NIST RMF را از حالت فایل‌های پراکنده خارج کنند، بسیار کاربردی است.
اشتباه رایج
بزرگ‌ترین اشتباه این است که Select و Implement پایان کار فرض شوند. وجود کنترل مساوی با اثربخشی آن نیست. کنترل باید Assess شود و بعد در مرحله Monitor نیز با تغییر سامانه، تهدید و محیط دوباره بررسی شود.
چیستان GRC
من امضایی هستم که می‌گوید «ریسک را می‌دانم و با همین وضعیت اجازه بهره‌برداری می‌دهم». نه کنترل هستم و نه تست. من چه هستم؟
پاسخ
Authorization Decision؛ تصمیم رسمی پذیرش ریسک برای بهره‌برداری سامانه.
جمع‌بندی
NIST RMF امنیت را از یک مجموعه کنترل فنی به چرخه مدیریت ریسک تبدیل می‌کند. ارزش واقعی آن زمانی دیده می‌شود که هر کنترل به شاهد، ارزیابی، یافته، تصمیم پذیرش و پایش مستمر متصل باشد.
