چرایی نیاز سازمان‌ها به آموزش و مشاوره مرتبط با گواهی‌نامه‌های آی‌تی

با افزایش وابستگی کسب‌وکارها به داده، سامانه‌های اطلاعاتی و زیرساخت‌های دیجیتال، ریسک‌های فناورانه به یکی از چالش‌های اصلی مدیریت تبدیل شده‌اند. استانداردهای بین‌المللی چارچوبی مشترک و قابل‌اتّکا برای کنترل این ریسک‌ها، افزایش شفافیت مدیریتی و ایجاد اعتماد میان ذی‌نفعان فراهم می‌کنند. گواهی‌های بین‌المللی، بخودی خود و بتنهایی و بدون پشتوانۀ آموزشی و مشاورۀ فنی، مطلقاً، هیچ ارزش افزوده‌ای برای شرکتها و فعالان کسب‌وکارهای دیجیتال بوجود نمی‌آورد. الصاق نماد این گواهی‌ها در وب‌سایت شرکتها، بدون کسب دانش پیش‌نیاز گواهی‌ها، نه‌تنها بی‌ارزش است، بلکه زمانی‌که ، در عمل، نیاز به پیاده‌سازی و استفاده از آنها، در کسب‌وکار، پیش می‌آید، باعث روشدن قلابی بودن این گواهی‌ها می‌شود و حیثیت و اعتبار شرکت یا سازمانی که مبادرت به دریافت بی‌قاعدۀ این گواهی‌ها نموده را به باد می‌دهد.

کم نیستند شرکتها و سازمانهایی که بدون گذراندن دوره‌های آموزشی و مشاوره‌ای مورد نیاز برای کسب این گواهی‌ها، مدارک بدون پشتوانه‌ای دریافت کرده‌اند. نیم‌نگاهی به بازار مدارک بین‌المللی در ایران، نشان‌دهندۀ آن است که عده‌ای سودجو با فروختن مدارک جعلی به شرکتها باعث زیان شدید به شرکتهای دارندۀ مدارک جعلی شده‌اند. برخی افراد و شرکتها هم گواهی‌های واقعی را، بدون ارائۀ مشاورۀ لازم و دوره‌های آموزشی، در ازای دریافت مبالغی، به شرکتها می‌فروشند. این دستۀ دوم معمولاً بخاطر اینکه دانش فناوری اطلاعات ندارند، با خسته‌کردن شرکتهای طرف قراردادشان و زمانی که حقیقت پشت پردۀ گواهی‌هایشان آشکار می‌شود، شرکتها را به این نتیجه می‌رسانند که طرف مقابل چیزی جز گواهی خشک‌وخالی برای ارائه ندارد. پس بناچار، تنها خدمات موجودشان، که همان گواهیست را دریافت کرده و هیچ سودی از گواهی، که درواقع، یک برگ کاغذ بی‌ارزش است نمی‌برند. پژوهش در بازار ایزوی ایران این مجموعه را با دلایل بی‌علاقگی خیلی از شرکتها و سازمانها به گواهی‌های بین‌المللی آشنا نموده است و بهمین سبب تمام تلاشمان را بکار می‌گیریم تا زیانهای وارده بر چنین شرکتهایی را به سود بدل کنیم. آموزش، مشاوره و در نهایت پیاده‌سازیِ درست چارچوبهای این گواهی‌های بین‌المللی، توسط افراد و شرکتهای دارای دانش بالای فناوری اطلاعات، که رویکردی عملگرایانه دارند دارای نمود محسوس در کوتاه‌مدت و بلندمدت است. استاندارهای مبتنی بر پروتکل که عملی و مبتنی بر دوره‌های آموزشی و مشاوره‌ای فناوری اطلاعات هستند و به دریافت گواهی رسمی نمی‌انجامند، عبارتند از:

• ISO/IEC 27002: راهنمای کنترل‌های امنیت اطلاعات
• ISO/IEC 27005: مدیریت ریسک امنیت اطلاعات
• ISO/IEC 38500: اصول حاکمیت فناوری اطلاعات
• ISO/IEC 12207: فرآیندهای چرخۀ عمر نرم‌افزار
• ISO/IEC 15288: فرآیندهای چرخۀ عمر سیستم‌ها
• ISO/IEC 25010: مدل کیفیت نرم‌افزار
• ISO/IEC 29100: چارچوب حریم خصوصی
• ISO/IEC 29119: استانداردهای آزمون نرم‌افزار
• ISO/IEC 330xx: مدل ارزیابی فرآیندها
• ISO/IEC 30141: معماری مرجع اینترنت اشیا
• ISO/IEC 30105: تعامل‌پذیری اینترنت اشیا
• ISO/IEC 2382: فرهنگ اصطلاحات فناوری اطلاعات
• ITIL: بهترین شیوه‌های مدیریت خدمات فناوری اطلاعات (فقط آموزش؛ گواهی جداست)
• COBIT: چارچوب حاکمیت و کنترل فناوری اطلاعات
• TOGAF: توگف یک چارچوب اجرایی معماری سازمانی، بدون الزام به دریافت مدرک و هم دارای مدرک بین‌المللی اختیاری است
• IEEE 829 / 29119: آزمون نرم‌افزار (سابق / همسوشده)
• NIST CSF: چارچوب امنیت سایبری

رویکرد ما در آموزش، مشاوره، استقرار و صدور گواهی‌های فناوری اطلاعات

رویکرد ما مبتنی بر استقرار واقعی استانداردها در بطن فرایندهای سازمانی، مبتنی بر مشاورۀ حرفه‌ای، است، نه تولید مستندات صوری. گواهی بین‌المللی زمانی ارزشمند است که با معماری سازمانی، ساختار تصمیم‌گیری و عملیات روزمرۀ سازمان هم‌راستا شود و به بهبود قابل‌اندازه‌گیری عملکرد منجر گردد.

مراحل کلی پیاده‌سازی و اخذ گواهی

فرایند استقرار شامل تحلیل وضع موجود، طراحی و بهینه‌سازی فرایندها، آموزش نقش‌ها، پیاده‌سازی کنترل‌ها، ممیزی داخلی و در نهایت ممیزی نهاد صادرکننده است. این مراحل متناسب با اندازۀ سازمان و سطح بلوغ دیجیتال آن تنظیم و ساده‌سازی می‌شوند.

مزایای کسب‌وکاری گواهی‌های بین‌المللی

افزایش اعتماد مشتریان و شرکای تجاری، آمادگی برای مناقصات و همکاری‌های بین‌المللی، کاهش ریسک‌های امنیتی و عملیاتی، بهبود کیفیت خدمات فناوری اطلاعات و ایجاد انضباط مدیریتی از مهم‌ترین دستاوردهای این گواهی‌ها هستند.

پیوند ایزو با معماری سازمانی و تحول دیجیتال

زمانی که ایزوهای آی‌تی در کنار معماری سازمانی و راهبرد دیجیتال پیاده‌سازی شوند، سازمان به درکی یکپارچه از فرایند، فناوری، داده و حاکمیت دست می‌یابد؛ درکی که تحول دیجیتال را پایدار و قابل‌کنترل می‌سازد.

چارچوب‌های غیرایزوییِ حاکمیت، انطباق و تضمین در حوزۀ آی‌تی

در کنار گواهی‌نامه‌ها و استانداردهای ایزو، مجموعه‌ای از چارچوب‌ها، الزامات و گزارش‌های تضمینی وجود دارند که اگرچه تحت نظام ایزو صادر نمی‌شوند، اما در عمل نقشی تعیین‌کننده در ارزیابی بلوغ، امنیت، قابلیت اتّکا و انطباق سامانه‌های اطلاعاتی سازمان‌ها ایفا می‌کنند. این چارچوب‌ها عموماً توسط نهادهای حرفه‌ای، کنسرسیوم‌های صنعتی یا مراجع قانون‌گذار تعریف شده‌اند و به‌ویژه در تعاملات بین‌المللی، همکاری‌های برون‌سازمانی و ارائۀ خدمات دیجیتال، اهمیتی هم‌سنگ یا حتّی فراتر از برخی گواهی‌های ایزو دارند.

گزارش‌های تضمینی و چارچوب‌هایی نظیر ارزیابی‌های نفوذپذیری امنیتی و آسیب‌پذیری، گزارش‌های کنترلی سامانه‌ها، الزامات امنیت پرداخت و مقررات حفاظت از داده‌های شخصی، بیش از آن‌که بر «صدور گواهی» متمرکز باشند، بر «قابلیت اثبات انطباق و کنترل‌پذیری» تمرکز دارند. در این رویکرد، سازمان باید بتواند به‌صورت مستند، قابل راستی‌آزمایی و تکرارپذیر نشان دهد که سازوکارهای کنترلی، امنیتی و حاکمیتی آن در عمل به‌درستی طراحی و اجرا شده‌اند.

ما این چارچوب‌ها را نه به‌عنوان الزامات منفک، بلکه به‌عنوان اجزایی درون معماری کلان سازمان تحلیل و پیاده‌سازی می‌کنیم. هم‌نشانی این الزامات با معماری سازمانی، معماری سامانه‌ها و فرایندهای حاکمیتی، امکان شناسایی ناهماهنگی‌ها، کاهش ریسک‌های پنهان، و پرهیز از پیاده‌سازی‌های مقطعی و پرهزینه را فراهم می‌سازد. نتیجه، دستیابی به انطباقی پایدار، قابل دفاع و همسو با راهبردهای کلان سازمان است؛ نه صرفاً عبور مقطعی از یک ممیزی یا ارزیابی. با این‌حال، اگر شرکتها یا مراکز کسب‌وکاری باشند که هنوز به بلوغ سازمانی مورد نیاز برای پیاده‌سازی معماری سازمانی نرسیده باشند امکان ارائۀ مشاوره، آموزش، اجرا و استقرار این استانداردها، فارغ از اجرا یا عدم اجرای مدون معماری سازمانی نیز فراهم می‌باشد. در چنین شرایطی گواهی‌نامه‌های فناوری اطلاعاتِ ایزو و نیز چارچوب‌های غیرایزوییِ حاکمیت، انطباق و تضمین در حوزۀ آی‌تی می‌توانند بهترین گزینۀ جایگزین برای چنین شرکتها، مراکز کسب‌وکار و سازمانها باشند.