امنیت اطلاعات، بخشی از سابقهٔ تیوا
بخشی از شناخت تیوا ایمن در حوزهٔ امنیت اطلاعات، به مسئولیتی برمی‌گردد که در سال‌های ۱۳۹۰ تا ۱۳۹۴ بر عهده داشتیم. در قرارداد مستقیم با استانداری کرمان، امنیت اطلاعات و پشتیبانی فنی زیرساخت وب‌سایت‌ها و پلتفرم‌های تحت وب ۱۶۹ دستگاه اجرایی وقت استان، از جمله استانداری و شهرداری، پوشش داده می‌شد. پایش لحظه‌ای، تهیهٔ نسخهٔ پشتیبان و پشتیبانی شبانه‌روزی در دامنهٔ همان همکاری قرار داشت. این دورهٔ قرارداد پایان یافته است؛ عدد ۱۶۹ و پوشش شبانه‌روزی، مشخصات همین تجربهٔ تاریخی‌اند. اهمیت این سابقه برای مسیر امروز ما، شناخت مسئولیت نرم‌افزار در محیطی است که کار روزانهٔ سازمان به آن وابسته است.
تاب‌آوری از تصمیم‌های روشن آغاز می‌شود
تجربهٔ کار با زیرساخت، یک پرسش مهم را پیش روی طراحی نرم‌افزار می‌گذارد: اگر بخشی از سامانه از دسترس خارج شود، چه چیزی باید زودتر برگردد؟ پاسخ از اثر اختلال بر کار سازمان شروع می‌شود و به دادهٔ ضروری، وابستگی‌ها و مسئول رسیدگی می‌رسد. داشتن فایل پشتیبان کافی نیست؛ مسیر بازگردانی باید با دسترسی‌ها و تنظیمات لازم در محیطی جدا بررسی شود. هشدار نیز زمانی مفید است که دریافت‌کننده، اقدام بعدی و مسیر ارجاع آن مشخص باشند. پس از بازگشت سرویس، درخواست‌های نیمه‌تمام و اختلاف اطلاعات باید بررسی شوند. این تصمیم‌ها و تمرین‌ها، مسیر بازیابی را به فرایندی روشن با مسئولیت‌های مشخص تبدیل می‌کنند.
از دارایی و ریسک تا گردش کار امنیت اطلاعات
بخش دیگری از این مسیر، توسعهٔ پلتفرم مدیریت استاندارد و امنیت اطلاعات در سال ۱۴۰۲، به سفارش شرکت فناوری اطلاعات پرمون است. این سامانه بر مبنای خانوادهٔ استانداردهای ایزو ۲۷۰۰۰، اطلاعات دارایی‌ها، آسیب‌پذیری‌ها، تهدیدات و حوادث را به ارزیابی ریسک و اقدامات مرتبط پیوند می‌دهد. خط‌مشی‌ها، روش‌های اجرایی، فرم‌ها و سوابق نیز در کنار ممیزی، اقدام اصلاحی و پایش اثربخشی قرار می‌گیرند. اهمیت این پروژه برای بحث حاضر، تبدیل یک فرایند مدیریتی به نرم‌افزاری قابل پیگیری است: هر داده باید زمینه داشته باشد، هر اقدام مسئول مشخص و هر گزارش معنایی روشن برای تصمیم‌گیرنده.
جایگاه این تجربه در خدمات امروز
خدمات فعلی تیوا ایمن بر تحلیل کسب‌وکار، معماری نرم‌افزار، توسعهٔ پلتفرم اختصاصی، یکپارچه‌سازی، نوسازی و توسعهٔ مستمر متمرکز است. امنیت اطلاعات، تست نفوذ و امن‌سازی سرور دیگر در قالب یک خدمت مستقل ارائه نمی‌شوند. تجربهٔ این حوزه در نگاه ما به طراحی باقی می‌ماند: دسترسی هر نقش، حساسیت داده، ثبت رویداد، امکان پشتیبان‌گیری و حدود مسئولیت بهره‌برداری باید متناسب با دامنهٔ هر پروژه روشن شوند. مطالعهٔ قرارداد تاریخی کرمان و پروژهٔ مدیریت استاندارد و امنیت اطلاعات، دو وجه متفاوت این سابقه را نشان می‌دهد؛ راهکار استانداردها و گردش کار سازمانی نیز مسیر کنونی ما برای طراحی نرم‌افزار در این زمینه است.