خدمات امنیت شبکه در کهن سیستم فردا؛ از مشاوره تا پیاده‌سازی راهکارهای پیشرفته

خدمات امنیت شبکه سازمانی مجموعه‌ای از ارزیابی، طراحی، پیاده‌سازی و پایش است که شبکه، سرورها، دستگاه‌های کاربران و ارتباط با اینترنت را در برابر نفوذ، بدافزار و نشت داده محافظت می‌کند. «امن‌سازی شبکه» یک محصول نیست؛ فرایندی است که با شناخت دارایی‌ها و ریسک‌ها شروع می‌شود و با کنترل‌های فنی، آزمون و پایش ادامه می‌یابد.

این خدمات معمولاً چند لایه دارد: ارزیابی و ممیزی، مرز شبکه (فایروال و VPN)، Endpoint، ایمیل، داده، آزمون نفوذ و طراحی. استانداردهایی مثل ISO/IEC 27001 چارچوب مدیریت این لایه‌ها را می‌دهند.

آخرین بازبینی این بخش‌ها: ۲۹ مهر ۱۴۰۵ (۲۱ اکتبر ۲۰۲۶).

برنامهٔ امنیت شبکه امروز باید با چند مرجع و تغییر مهم هم‌خوان باشد:

• ISO/IEC 27001:2022: مهلت انتقال گواهی‌های نسخهٔ ۲۰۱۳ در ۳۱ اکتبر ۲۰۲۵ تمام شد؛ سازمانی که گواهی نسخهٔ قدیم داشته و منقضی شده، از دید مرجع صدور گواهی مشتری جدید حساب می‌شود. نسخهٔ 2022 ISO/IEC 27002 هم ۹۳ کنترل در ۴ بند دارد. این مورد در متن ثانویه و از مرجع صدور گواهی نقل شده و باید با مرجع صدور گواهی شما تطبیق داده شود.
• NIST CSF 2.0: از فوریهٔ ۲۰۲۴ شش کارکرد دارد: Govern، Identify، Protect، Detect، Respond و Recover. کارکرد جدید Govern مدیریت و حاکمیت را در چارچوب می‌آورد.
• PCI DSS v4.0.1: نسخهٔ جاری استاندارد پرداخت کارتی است و الزامات «آینده‌دار» آن از ۳۱ مارس ۲۰۲۵ اجباری شده‌اند.
• MITRE ATT&CK v20: در ۱۳ اکتبر ۲۰۲۶ منتشر شد و تکنیک‌های جدید مربوط به هوش مصنوعی دارد؛ ارزیابی تهدید و پایش شما را به آن نگاشت دهید.
• پایان پشتیبانی: ویندوز ۱۰ و Exchange 2016 و 2019 در ۱۴ اکتبر ۲۰۲۵ پایان پشتیبانی عمومی دیدند. وجود این نسخه‌ها در شبکه، بالاترین اولویت ممیزی است.
• نهادهای ملی: مرکز ماهر به‌عنوان CERT ملی در هماهنگی پاسخ به حوادث فعال است. الزامات رگولاتوری دقیق صنعت شما را از مرجع رسمی بخواهید؛ این صفحه فهرست بروز شدهٔ آن‌ها را بررسی نکرده است.

امنیت شبکه یک محصول نیست؛ مجموعه‌ای از لایه‌هاست. جدول زیر لایه‌ها و صفحهٔ مرتبط هر کدام را نشان می‌دهد:

اولویت‌بندی بر پایهٔ ریسک بهتر از خرید هم‌زمان همهٔ لایه‌هاست: ابتدا ارزیابی، سپس لایه‌ای که بزرگ‌ترین ضعف را نشان داد.

رایج‌ترین اشتباه خرید ابزار سنگین برای تیمی است که زمان بررسی هشدار ندارد. اگر تیم امنیت ندارید، خدمات مدیریت‌شده یا ابزاری که خودکار پاسخ می‌دهد را در ارزیابی بیاورید.

جلسهٔ مشاوره وقتی نتیجه می‌دهد که این اطلاعات را داشته باشید:

• فهرست دارایی‌ها: سرورها، تجهیزات شبکه، ایستگاه‌ها، سرویس‌های ابری
• معماری فعلی: فایروال، VPN، Wi-Fi، شعب
• الزام‌های قانونی یا قراردادی (استاندارد مشتری، ممیزی)
• رخدادهای قبلی و منابع هشدار فعلی
• بودجهٔ زمانی و نفرات فنی برای نگهداری پس از اجرا

هزینهٔ خدمات امنیت شبکه به دامنه و پیچیدگی بستگی دارد و در این صفحه عدد ثابتی منتشر نمی‌شود. اولین قدم عملی معمولاً ارزیابی امنیتی و تعیین ۳ تا ۵ ریسک اولویت‌دار است.

کهن سیستم فردا از مشاورهٔ اولیه و ارزیابی تا پیاده‌سازی راهکارهای دفاعی و پشتیبانی همراه شماست. روند کلی:

1. مشاوره و ارزیابی امنیتی وضعیت موجود
2. طراحی لایه‌های دفاعی بر اساس ریسک
3. پیاده‌سازی و پیکربندی ابزارها
4. پایش و واکنش به حوادث طبق توافق (از جمله پایش ۲۴/۷ توسط SOC آنگونه که در پرسش‌های همین صفحه آمده است)
5. گزارش دوره‌ای و بازبینی

دامنهٔ هر پروژه هنگام استعلام روشن می‌شود. بازبینی دوره‌ای سیاست‌ها و بروزرسانی تجهیزات هم بخشی از چرخهٔ امنیت است.

برای جزئیات اجرا تست نفوذ شبکه و تست نفوذ وب را ببینید.

1. تعیین دامنه (Scope) و مالک پروژه؛ تصمیم دربارهٔ واحدها و سیستم‌های داخل دامنه.
2. ارزیابی ریسک و تعیین کنترل‌های لازم از پیوست A که در نسخهٔ 2022 شامل 93 کنترل در چهار گروه است.
3. پیاده‌سازی کنترل‌ها و مستندسازی: خط‌مشی‌ها، رویه‌ها و شواهد.
4. ممیزی داخلی و بازنگری مدیریت.
5. ممیزی مرحلهٔ اول (بررسی مستندات) و مرحلهٔ دوم (بررسی اجرا) توسط نهاد گواهی‌دهنده.
6. صدور گواهی برای سه سال با ممیزی‌های نظارتی سالانه و تمدید در پایان دوره.

نسخهٔ جاری ISO/IEC 27001:2022 است. ISO 27001 یک گواهی سازمانی است، نه گواهی محصول؛ خدمات فنی مثل فایروال و تست نفوذ بخشی از شواهد کنترل‌ها هستند.

• دامنهٔ خدمت: کدام تجهیزات و سیستم‌ها شامل پایش و پشتیبانی هستند
• زمان پاسخ و زمان رفع بر پایهٔ شدت مشکل (SLA) و ساعات کار یا پشتیبانی ۲۴ ساعته
• پایش مستمر و گزارش دوره‌ای
• نگهداری، به‌روزرسانی و وصله‌های امنیتی
• پشتیبان‌گیری و بازیابی و آزمون آن
• حضور حضوری یا راه‌دور و شرایط اضطراری
• محرمانگی، مالکیت مستندات و پایان قرارداد
• عوامل هزینه و تغییر دامنه

• فهرست دارایی‌ها و نسخه‌ها را به‌روز کنید
• سرویس‌های رو به اینترنت را بشمارید و آنچه لازم نیست ببندید
• احراز هویت چندعاملی را برای VPN و حساب‌های مدیر فعال کنید
• وصله‌های سیستم‌عامل و فایروال را اولویت‌بندی کنید و نسخه‌های بدون پشتیبانی را جایگزین کنید
• پشتیبان‌گیری آفلاین و آزمون بازیابی داشته باشید
• حساب‌های مدیر را جدا و دسترسی‌ها را حداقلی کنید
• لاگ فایروال و سرورهای اصلی را نگه دارید

• اندازه و پیچیدگی شبکه و تعداد شعب
• تعداد سیستم‌ها، سرورها و تجهیزات در دامنه
• نوع خدمت: ممیزی، ارزیابی آسیب‌پذیری، تست نفوذ، طراحی، پیاده‌سازی یا پایش مستمر
• لایسنس محصولات امنیتی لازم
• الزامات استاندارد و ممیزی
• سطح SLA و ساعات پشتیبانی

عدد ثابتی منتشر نمی‌شود؛ پس از جلسهٔ مشاوره و برآورد دامنه، پیشنهاد مکتوب ارائه می‌شود.

• سابقهٔ پروژه‌های مشابه و نمونه گزارش (بدون نام مشتری)
• چه کسی کار فنی را انجام می‌دهد و مسئول پشتیبانی کیست؟
• خروجی پروژه چیست: گزارش، پیکربندی، آموزش، مستندات
• دامنه و فرض‌ها چگونه نوشته می‌شود؟
• نحوهٔ هماهنگی با تیم IT و زمان‌های مجاز تست
• شرایط محرمانگی و قرارداد
• پس از پروژه چه پشتیبانی‌ای در دسترس است؟

• Sophos و FortiGate برای مرز شبکه
• تست نفوذ شبکه و تست نفوذ وب
• طراحی شبکه سازمانی برای تقسیم‌بندی و توپولوژی
• EDR، DLP و امنیت ایمیل
• تست نفوذ شبکه در مجلهٔ کهن سیستم فردا
• امنیت و حاکمیت AI Agent سازمانی برای کنترل ریسک عامل‌های هوش مصنوعی