نفرات امتیازآور چه کسانی هستند؟

افرادی که به دلیل مدرک، تجربه، تخصص یا نقش سازمانی، برای شرکت امتیاز ایجاد می‌کنند؛ مثل:

    مدیرعامل

    مدیر فنی

    مسئول امنیت اطلاعات

    توسعه‌دهنده ارشد

    کارشناس شبکه

    کارشناس تست نفوذ

    کارشناس ارزیابی/ممیزی امنیت

    کارشناس پشتیبانی فنی

معیارهای رایج برای نفرات امتیازآور

معمولاً این افراد باید:

    مدرک تحصیلی مرتبط داشته باشند

    سابقه کار مرتبط ارائه کنند

    در شرکت به‌صورت واقعی فعالیت داشته باشند

    نامشان در لیست بیمه(3 ماه اخیر منتهی به درخواست) ثبت شده باشد

    قرارداد کاری معتبر داشته باشند

شرایط بیمه‌ای نفرات امتیازآور

یکی از پرسش‌های مهم همین بخش است.

اصول کلی

نفرات امتیازآور معمولاً باید:

    بیمه تأمین اجتماعی داشته باشند

    نامشان در لیست بیمه(3 ماه اخیر منتهی به درخواست) ثبت شده باشد

    پرداخت بیمه آن‌ها منظم باشد

    رابطه کاری واقعی و قابل‌اثبات با شرکت داشته باشند

مواردی که معمولاً بررسی می‌شود

    وجود نام فرد در لیست بیمه سه ماه اخیر

    عدم صوری بودن قرارداد

    عدم استفاده هم‌زمان و غیرقانونی از یک فرد در چند شرکت به‌عنوان نیروی کلیدی، اگر مقررات اجازه ندهد

    تطابق سابقه بیمه با حوزه تخصصی اعلام‌شده

نکته مهم

اگر فردی فقط روی کاغذ عضو تیم باشد اما:

    بیمه نداشته باشد

    قراردادش واقعی نباشد

    سابقه‌اش نامرتبط باشد

احتمال رد امتیاز او زیاد است.

مدارک مورد نیاز برای دریافت مجوز افتا

در عمل، مدارک بسته به نوع حوزه درخواستی متفاوت است، اما معمولاً این موارد خواسته می‌شود:

مدارک ثبتی و حقوقی

    اساسنامه شرکت

    آگهی تأسیس

    آخرین تغییرات روزنامه رسمی

    شناسه ملی

    کارت ملی و شناسنامه اعضای هیئت‌مدیره

    معرفی‌نامه رسمی نماینده شرکت

مدارک مالی و اداری

    اظهارنامه مالیاتی یا مدارک مالی

    گواهی مفاصاحساب یا مدارک مرتبط در صورت درخواست

    لیست بیمه کارکنان

    قراردادهای کاری یا پیمانکاری

    فهرست پرسنل کلیدی

مدارک تخصصی و فنی

    رزومه شرکت

    شرح خدمات

    مستندات فنی محصول یا سامانه

    معماری نرم‌افزار

    سناریوهای امنیتی

    نتایج تست‌های داخلی

    چک‌لیست‌های امنیتی

    مستندات نصب، بهره‌برداری و نگهداری

    سیاست‌های امنیت اطلاعات

    رویه‌های پشتیبان‌گیری و بازیابی

شرایط فنی محصول یا خدمت

اگر مجوز برای محصول نرم‌افزاری باشد، محصول باید از نظر امنیتی آماده ارزیابی باشد.

مواردی که معمولاً بررسی می‌شود:

    کنترل دسترسی کاربران

    احراز هویت امن

    رمزنگاری داده‌ها

    ثبت لاگ رویدادها

    مدیریت نشست‌ها

    محافظت در برابر SQL Injection، XSS، CSRF و آسیب‌پذیری‌های رایج

    مدیریت خطا بدون افشای اطلاعات حساس

    پشتیبان‌گیری و بازیابی

    بروزرسانی امن

    معماری مناسب و مستند

اگر خدمت امنیتی باشد

سازمان باید نشان دهد:

    روش اجرا مشخص است

    ابزارها و فرآیندها استاندارد هستند

    نیروهای متخصص واقعی دارد

    توان ارائه خدمت در سطح مورد نیاز را دارد

الزامات آموزشی و شایستگی نیروها

در بسیاری از پرونده‌ها، فقط مدرک دانشگاهی کافی نیست. شرکت باید نشان دهد نیروهایش آموزش دیده‌اند.

موارد مهم:

    گواهی‌های آموزشی مرتبط

    دوره‌های امنیت اطلاعات

    دوره‌های شبکه، برنامه‌نویسی امن، تست نفوذ، SOC، SIEM، مدیریت ریسک

    سوابق حضور در دوره‌ها و کارگاه‌ها

    ارتقای مهارت مستمر

الزامات سازمانی و فرآیندی

برای گرفتن مجوز، فقط نیروی انسانی و محصول مهم نیست؛ فرآیندها هم بررسی می‌شوند.

نمونه فرآیندهای مهم:

    مدیریت تغییرات

    مدیریت رخدادها

    کنترل نسخه

    مدیریت دسترسی

    نگهداری مستندات

    مدیریت پشتیبان‌گیری

    رسیدگی به آسیب‌پذیری‌ها

    پاسخ‌گویی به کارفرما

مراحل معمول دریافت مجوز

روند معمول به‌صورت زیر است:

    ثبت درخواست

    ارائه مدارک

    بررسی اولیه

    رفع نواقص

    ارزیابی فنی/امنیتی

    ممیزی مستندات و نیروی انسانی

    بررسی صلاحیت شرکت

    صدور یا عدم صدور مجوز

دلایل رایج رد شدن پرونده

پرونده‌ها معمولاً به این دلایل رد یا متوقف می‌شوند:

    ناقص بودن مدارک

    ضعف مستندسازی

    نداشتن نیروی امتیازآور واقعی

    نبود بیمه معتبر برای نیروها

    عدم تطابق سابقه افراد با حوزه فعالیت

    آسیب‌پذیری‌های فنی محصول

    نداشتن فرآیندهای سازمانی مشخص

    صوری بودن قراردادها یا ساختار شرکت

چک‌لیست سریع قبل از اقدام

اگر می‌خواهی اقدام کنی، این موارد را چک کن:

شرکت ثبت‌شده و فعال است

روزنامه رسمی و اساسنامه آماده است

نیروهای کلیدی مشخص‌اند

بیمه تأمین اجتماعی نیروها برقرار است

قرارداد کاری واقعی وجود دارد

رزومه شرکت و افراد آماده است

مستندات فنی محصول تکمیل است

تست‌های امنیتی انجام شده‌اند

فرآیندهای داخلی تدوین شده‌اند

مسئول پاسخ‌گویی مشخص است

جمع‌بندی

دریافت مجوز افتا یک فرآیند چندبُعدی است و فقط به داشتن یک نرم‌افزار خوب یا یک تیم فنی قوی محدود نمی‌شود. شرکت باید از نظر حقوقی، مالی، بیمه‌ای، منابع انسانی، فنی و فرآیندی در وضعیت مطلوب باشد.

در خصوص نفرات امتیازآور نیز، مهم‌ترین اصل این است که افراد باید واقعاً در شرکت فعالیت کنند، بیمه داشته باشند، قرارداد معتبر داشته باشند و تخصص‌شان با نقش اعلامی تطابق داشته باشد.

اگر بخواهم در یک جمله خلاصه کنم:

    مجوز افتا را شرکت‌هایی می‌گیرند که هم محصول/خدمت امن دارند، هم ساختار سازمانی و نیروی انسانی معتبر و قابل‌اثبات.