سند جلسه نخست (آشنایی و تعیین دامنه) — صنعت داروسازی، بر پایه الزامات افتا و الزامات ملی، با استانداردهای بین‌المللی به‌عنوان مرجع
| عنوان سند | طرح پیشنهادی ارزیابی امنیت اطلاعات و نقشه راه امن‌سازی — جلسه نخست |
| پروژه | ارزیابی امنیت [نام کارفرما] (TBD) |
| شناسه سند | TBD_PLAN_Security-Assessment-Kickoff_v2.0-DRAFT |
| نوع | PLAN |
| وضعیت | DRAFT |
| مالک سند | صادق شاهی |
| تاریخ ایجاد | ۱۴۰۵-۰۷-۰۹ |
| آخرین به‌روزرسانی | ۱۴۰۵-۰۷-۰۹ |
| نسخه | 2.0-DRAFT |
| نسخه | تاریخ | تهیه‌کننده | شرح تغییرات |
|---|---|---|---|
| 1.0-DRAFT | ۱۴۰۵-۰۷-۰۹ | ص. شاهی | نسخه اولیه برای جلسه نخست با کارفرما |
| 2.0-DRAFT | ۱۴۰۵-۰۷-۰۹ | ص. شاهی | حذف جداول استانداردهای بین‌المللی و درج آن‌ها به‌عنوان مرجع در کنار پرسش‌ها |
این سند برای جلسه آشنایی تهیه شده است، نه برای اجرای ارزیابی. هدف جلسه این است که با شناخت کافی از سازمان، دامنه و روش ارزیابی را با هم تعریف کنیم تا طرح فنی و مالی دقیق و قابل اجرا ارائه شود.
مدت پیشنهادی حدود ۱۰۰ دقیقه. حضور نماینده تضمین کیفیت (QA) و مدیر فنی تولید به‌شدت توصیه می‌شود.
در یک شرکت داروسازی، رخداد امنیتی فقط به نشت اطلاعات ختم نمی‌شود؛ می‌تواند تولید را متوقف کند، بچ‌های دارو را غیرقابل‌آزاد‌سازی کند، پروانه را به خطر بیندازد و در نهایت به ایمنی بیمار برسد.
| سناریوی تهدید | پیامد کسب‌وکاری | حوزه اثر |
|---|---|---|
| باج‌افزار با گسترش از شبکه اداری به تولید | توقف خطوط، از دست رفتن سوابق بچ، تأخیر در تأمین بازار. رخداد NotPetya در ۲۰۱۷ تولید یکی از بزرگ‌ترین شرکت‌های دارویی جهان را هفته‌ها مختل کرد. | تولید، مالی، تأمین بازار |
| سرقت مالکیت فکری (فرمولاسیون، پرونده ثبت، داده تحقیقاتی) | از دست رفتن مزیت رقابتی و سرمایه تحقیق و توسعه؛ هدف شناخته‌شده گروه‌های APT | تحقیق و توسعه، راهبرد |
| دستکاری یا از دست رفتن یکپارچگی داده‌های آزمایشگاهی و تولید | عدم امکان آزادسازی بچ، یافته بحرانی در بازرسی، فراخوان محصول | کیفیت، انطباق، ایمنی بیمار |
| نفوذ به سامانه‌های کنترل صنعتی (PLC/SCADA، تهویه اتاق تمیز، BMS/EMS) | انحراف شرایط محیطی، اتلاف بچ، خطر ایمنی کارکنان | تولید، ایمنی |
| دسترسی راه دور پیمانکاران و سازندگان ماشین‌آلات | درِ پشتی دائمی و کنترل‌نشده به شبکه تولید | زنجیره تأمین |
| نشت داده توسط کاربران داخلی | خروج فرمول و اسناد محرمانه، آسیب به اعتبار | تحقیق و توسعه، حقوقی |
| اختلال در پایش زنجیره سرد یا سامانه ردیابی و سریال‌سازی | اتلاف محموله، ورود داروی تقلبی به زنجیره، مسئولیت حقوقی | توزیع، انطباق |
مبنای انطباق در این ارزیابی، الزامات ملی است. ستون «مرتبط» را در جلسه با کارفرما تکمیل می‌کنیم تا دامنه انطباق نهایی شود.
الزامی مشروط به شرایط سازمان زمینه‌ای
| الزام / مرجع | شرط اعمال و کاربرد در ارزیابی | وضعیت | مرتبط |
|---|---|---|---|
| ابلاغیه‌ها و الزامات مرکز مدیریت راهبردی افتا | در صورت سطح‌بندی سازمان به‌عنوان زیرساخت حیاتی، حساس یا مهم؛ حتی بدون سطح‌بندی، مبنای مناسب ارزیابی خط مبنای امنیت | الزامی* | |
| الزامات پدافند غیرعامل (حوزه سایبری) | در صورت سطح‌بندی تأسیسات یا ابلاغ از سوی دستگاه بالادستی؛ تمرکز بر پایداری و تداوم تولید دارو | مشروط | |
| مرکز ماهر و فرآیند گزارش‌دهی رخداد | گزارش و هماهنگی رخدادهای امنیتی | الزامی | |
| ضوابط GMP سازمان غذا و دارو (سیستم‌های رایانه‌ای و یکپارچگی داده) | تولیدکننده دارای پروانه؛ کنترل دسترسی، سابقه ممیزی (audit trail)، پشتیبان‌گیری و اعتبارسنجی سیستم‌ها | الزامی | |
| سامانه ردیابی و رهگیری (تیتک) و سریال‌سازی | امنیت واسط‌های اتصال، اعتبارنامه‌ها و یکپارچگی داده ارسالی | الزامی | |
| قانون جرایم رایانه‌ای و قانون تجارت الکترونیکی | مبنای حقوقی پیگیری رخداد، ادله دیجیتال و امضای الکترونیکی | زمینه‌ای |
* مبنای نهایی انطباق، آخرین نسخه ابلاغیه‌هایی است که برای این سازمان صادر شده. در جلسه، مکاتبات دریافتی سازمان از افتا و دستگاه بالادستی را درخواست می‌کنیم.
در ایران الزام قانونی برای پیروی از استانداردهای بین‌المللی وجود ندارد. از این رو آن‌ها در این ارزیابی صرفاً به‌عنوان مرجع بهترین روش و معیار مقایسه به کار می‌روند و جدول جداگانه‌ای ندارند. مرجع هر موضوع، کنار همان پرسش در پرسشنامه بخش ۶ آمده است تا روشن باشد هر سؤال با کدام کنترل یا بند استاندارد سنجیده می‌شود.
مراجع مورد استفاده: ISO/IEC 27001:2022، NIST CSF 2.0، CIS Controls v8.1، IEC 62443، ISO 22301، و در حوزه دارو PIC/S PI 041-1، GAMP 5، EU GMP Annex 11 و FDA 21 CFR Part 11. الزامات کشورهای مقصد صادرات فقط در صورت صادرات بررسی می‌شود.
این حوزه‌ها در ارزیابی حاکمیتی و فنی، جداگانه سنجیده می‌شوند و در گزارش نهایی، وضعیت سازمان در هر حوزه همراه با شواهد ارائه می‌شود.
| حوزه | آنچه بررسی می‌شود |
|---|---|
| سطح‌بندی و ابلاغیه‌ها | سطح زیرساخت (حیاتی، حساس، مهم)، ابلاغیه‌های دریافتی و وضعیت پاسخ به آن‌ها |
| ساختار حاکمیتی امنیت | کمیته امنیت فضای تولید و تبادل اطلاعات، مسئول امنیت، خط‌مشی مصوب، شرح وظایف و صورتجلسات |
| طرح امنیت و مدیریت ریسک | وجود طرح جامع امنیت، ارزیابی ریسک دوره‌ای و ممیزی داخلی |
| محصولات و تجهیزات امنیتی | استفاده از محصولات دارای گواهی یا تأییدیه افتا (دیواره آتش، ضدبدافزار، ...)، اولویت محصولات بومی، وضعیت پشتیبانی و به‌روزرسانی |
| ارزیابی امنیتی سامانه‌ها | ارزیابی پیش از بهره‌برداری و پس از تغییرات اساسی توسط مراجع دارای صلاحیت؛ پیگیری رفع آسیب‌پذیری‌ها |
| صلاحیت پیمانکاران و نیروی انسانی | صلاحیت پیمانکاران خدمات امنیتی و فاوا، احراز صلاحیت کارکنان کلیدی، تعهدنامه‌های محرمانگی |
| جداسازی و تفکیک شبکه | تفکیک شبکه صنعتی از اداری و اینترنت، کنترل نقاط اتصال، شبکه‌های مدیریتی |
| امنیت سامانه‌های کنترل صنعتی | شناسایی دارایی‌های OT، کنترل دسترسی، رسانه‌های جداشدنی، به‌روزرسانی و پشتیبانی سازندگان |
| دسترسی از راه دور | کنترل و ثبت دسترسی پیمانکاران داخلی و خارجی، حذف ابزارهای کنترل‌نشده |
| پایش، ثبت وقایع و گزارش رخداد | جمع‌آوری و نگهداشت لاگ، پایش امنیتی، فرآیند گزارش رخداد به مراجع ذی‌ربط |
| پشتیبان‌گیری و تداوم | پشتیبان آفلاین و جدا از شبکه، آزمون بازیابی، طرح تداوم و بازیابی از فاجعه |
| آموزش و آگاهی‌رسانی | برنامه آموزش امنیت برای کاربران، مدیران و کارکنان فنی |
این پرسش‌ها در جلسه یا تا پیش از ارائه طرح نهایی تکمیل می‌شوند و مبنای برآورد دامنه، تیم و زمان هستند. روی گزینه‌ها کلیک کنید و در خط زیر هر پرسش یادداشت بنویسید؛ پاسخ‌ها در خروجی چاپی نمایش داده می‌شوند.
ارزیابی در شش فاز انجام می‌شود و دو مسیر حاکمیتی و فنی را در هم ادغام می‌کند تا یافته‌ها هم به زبان مدیریت و هم به زبان تیم فنی قابل اقدام باشند.
بر اساس نتیجه جلسه، یکی از سه گزینه زیر مبنای طرح فنی و مالی قرار می‌گیرد. برای یک سازمان داروسازی در مقیاس سازمانی، گزینه جامع پیشنهاد می‌شود.
فاز ۳ وابسته به پنجره‌های توقف تولید است و ممکن است جابه‌جا شود. زمان تست مجدد پس از رفع یافته‌ها خارج از این جدول است.
| سطح | عنوان | توصیف |
|---|---|---|
| ۰ | وجود ندارد | کنترل پیاده نشده است. |
| ۱ | ابتدایی | اقدامات موردی و وابسته به افراد، بدون مستندسازی. |
| ۲ | تکرارپذیر | اقدامات انجام می‌شود اما یکنواخت و کامل مستند نیست. |
| ۳ | تعریف‌شده | فرآیند مستند، مصوب و در کل سازمان اجرا می‌شود. |
| ۴ | مدیریت‌شده | اثربخشی با شاخص‌ها سنجیده و گزارش می‌شود. |
| ۵ | بهینه‌شونده | بهبود مستمر بر پایه داده و درس‌آموخته‌ها. |
| خروجی | محتوا | مخاطب |
|---|---|---|
| گزارش مدیریتی | وضعیت کلی، ریسک‌های اصلی، نمای بلوغ و تصمیم‌های مورد نیاز | هیئت مدیره، مدیرعامل |
| گزارش تحلیل شکاف انطباق | وضعیت انطباق با الزامات ملی (افتا، سازمان غذا و دارو) و مقایسه با استانداردهای مرجع | مسئول امنیت، تضمین کیفیت |
| گزارش فنی آسیب‌پذیری‌ها | یافته‌ها با شواهد، امتیاز، مسیر بهره‌برداری و راهکار رفع | تیم فناوری اطلاعات |
| گزارش ارزیابی OT | فهرست دارایی‌ها، نقشه ناحیه و مجرا، سطوح امنیتی هدف | فنی‌مهندسی و تولید |
| ثبت ریسک | ریسک‌ها، مالک، احتمال، اثر و برنامه پاسخ | کمیته امنیت |
| نقشه راه امن‌سازی | اقدامات زمان‌بندی‌شده با اولویت و برآورد تقریبی منابع | مدیریت و کمیته امنیت |
این نقشه راه بر پایه یافته‌های رایج در صنعت دارو تهیه شده و پس از ارزیابی، با یافته‌های واقعی سازمان بازنویسی می‌شود. هدف ارائه آن در جلسه نخست، نشان‌دادن مسیر و منطق اولویت‌بندی است.
| اقدام | هدف و مرجع |
|---|---|
| احراز هویت چندعاملی برای دسترسی راه دور، ایمیل و حساب‌های ممتاز | کاهش بزرگ‌ترین مسیر نفوذ؛ CIS 6 |
| جمع‌آوری ابزارهای دسترسی راه دور کنترل‌نشده و ایجاد مسیر واحد پیمانکاران با ضبط نشست | افتا، IEC 62443-2-4 |
| پشتیبان آفلاین یا تغییرناپذیر از داده‌های حیاتی GxP و ERP و آزمون بازیابی | تاب‌آوری در برابر باج‌افزار؛ الزامات GMP |
| بستن سرویس‌های غیرضروری در معرض اینترنت و وصله آسیب‌پذیری‌های بحرانی | کاهش سطح حمله بیرونی |
| حذف حساب‌های اشتراکی روی سیستم‌های آزمایشگاهی و تولید و همگام‌سازی زمان | یکپارچگی داده؛ ALCOA+ |
| پیکربندی SPF، DKIM و DMARC و فیلتر پیوست‌های مخرب | کاهش فیشینگ و جعل هویت |
| تعیین زنجیره تماس رخداد و فرآیند گزارش به مراجع | افتا و ماهر |
| اقدام | هدف و مرجع |
|---|---|
| مدیریت حساب‌های ممتاز و مدل لایه‌ای مدیریت Active Directory | جلوگیری از گسترش حمله |
| تفکیک شبکه IT/OT بر پایه مدل Purdue و ایجاد DMZ صنعتی | افتا، IEC 62443-3-3 |
| استقرار یا تکمیل حفاظت نقاط پایانی و سخت‌سازی بر پایه خط مبنا | CIS Benchmarks |
| برنامه مدیریت آسیب‌پذیری و وصله با چرخه مشخص | CIS 7 |
| طبقه‌بندی اطلاعات و جلوگیری از نشت داده برای فرمولاسیون و پرونده‌های ثبت | حفاظت از مالکیت فکری |
| برنامه آموزش آگاهی امنیتی و شبیه‌سازی دوره‌ای فیشینگ | عامل انسانی |
| اقدام | هدف و مرجع |
|---|---|
| استقرار سیستم مدیریت امنیت اطلاعات و تدوین خط‌مشی‌ها و رویه‌ها | ISO/IEC 27001، افتا |
| مرکز عملیات امنیت (داخلی یا برون‌سپاری) با سناریوهای کشف ویژه IT و OT | کشف و پاسخ؛ NIST CSF |
| پایش غیرفعال مستمر شبکه صنعتی | NIST SP 800-82r3 |
| ادغام الزامات امنیت در چرخه اعتبارسنجی سیستم‌ها و بازبینی دوره‌ای audit trail | GAMP 5، Annex 11 |
| طرح تداوم کسب‌وکار و بازیابی با اهداف زمان بازیابی برای تولید، آزمایشگاه و زنجیره سرد | ISO 22301 |
| الزامات امنیتی در قراردادهای تأمین‌کنندگان و پیمانکاران | ISO/IEC 27036 |
| اقدام | هدف و مرجع |
|---|---|
| آمادگی برای گواهی‌نامه ISO/IEC 27001 و دستیابی به سطوح امنیتی هدف OT | انطباق پایدار |
| حرکت به سمت معماری اعتماد صفر و ریزتفکیک شبکه | کاهش اثر نفوذ |
| تمرین تیم قرمز و شبیه‌سازی حملات هدفمند | سنجش واقعی توان کشف و پاسخ |
| آمادگی انطباق صادراتی (Annex 11، Part 11، NIS2) در صورت نیاز | توسعه بازار |
| ارزیابی مجدد بلوغ و به‌روزرسانی نقشه راه | بهبود مستمر |
| دریافت | مستند |
|---|---|
| نمودار شبکه IT و OT و فهرست سایت‌ها و ارتباطات میان آن‌ها | |
| فهرست دارایی‌ها و سامانه‌های حیاتی (شامل ERP، MES، LIMS، QMS، CDS) | |
| خط‌مشی‌ها، رویه‌ها و چارت سازمانی فناوری اطلاعات و امنیت | |
| ابلاغیه‌ها و مکاتبات افتا، پدافند غیرعامل و وزارت بهداشت | |
| گزارش‌های ممیزی و ارزیابی قبلی (ISO، بازرسی GMP، تست نفوذ) | |
| برنامه جامع اعتبارسنجی (VMP) و فهرست سیستم‌های GxP | |
| طرح تداوم کسب‌وکار و نتایج آخرین آزمون بازیابی | |
| فهرست پیمانکاران دارای دسترسی و نحوه دسترسی آن‌ها | |
| فهرست محصولات امنیتی، نسخه و وضعیت پشتیبانی |
| اقدام | مسئول | موعد |
|---|---|---|
| ارسال صورتجلسه و فهرست نهایی مستندات | آرکا | [..] |
| امضای قرارداد محرمانگی | طرفین | [..] |
| تکمیل پرسشنامه و ارسال مستندات | کارفرما | [..] |
| معرفی نماینده‌های فناوری اطلاعات، تضمین کیفیت و تولید | کارفرما | [..] |
| ارائه طرح فنی و مالی نهایی | آرکا | [..] |
| جلسه آغاز پروژه (Kick-off) | طرفین | [..] |