ISMS و ITIL؛ یافته‌های یک پیمایش دربارهٔ تداوم خدمات
امنیت اطلاعات و تداوم خدمات فناوری اطلاعات با هم ارتباط دارند، اما موفقیت در یکی، دیگری را تضمین نمی‌کند. پژوهش احمد صالحی و زهرا وظیفه این ارتباط را از دید مدیران و متخصصان بررسی کرده است: آیا پیاده‌سازی سیستم مدیریت امنیت اطلاعات، موسوم به ISMS، و چارچوب ITIL با ارتقای سیستم‌های اطلاعاتی و تداوم خدمات همراه است؟ برای فهم نتیجه باید میان پاسخ‌های پرسش‌نامه، رابطهٔ آماری و عملکرد واقعی سازمان فاصله گذاشت.
مطالعه دربارهٔ چه کسانی بود؟
این مقاله در بهار ۱۳۹۸ در نشریهٔ «پژوهش‌های مدیریت عمومی» منتشر شد. جامعهٔ پژوهش شامل مدیران و کارشناسان سازمان‌های دولتی و خصوصی در زاهدان و مشهد، مدیران شرکت‌های خدمات و مشاورهٔ امنیت اطلاعات و تعدادی از استادان و خبرگان این حوزه بود؛ بنابراین پاسخ‌دهندگان، نمونه‌ای از کاربران عادی خدمات یا همهٔ سازمان‌های کشور نبودند.
در چکیده از نمونهٔ ۸۰نفری سخن گفته شده است، اما بخش روش در صفحات ۲۳۷ و ۲۳۸ جزئیات دقیق‌تری دارد: جامعه حدود ۱۰۰ نفر در نظر گرفته شد، ۸۰ پرسش‌نامه با روش نمونه‌گیری تصادفی ساده توزیع شد و ۷۸ پرسش‌نامهٔ برگشتی تحلیل شد. برای تعداد پاسخ‌های تحلیل‌شده باید به همین توضیح روش توجه کرد. چکیده تعیین حجم نمونه را به کوکران نسبت می‌دهد، ولی متن روش از جدول مورگان نام می‌برد؛ این تفاوت گزارش را نمی‌توان بدون اطلاعات بیشتر برطرف کرد.
چه چیزی اندازه‌گیری و تحلیل شد؟
داده‌ها با پرسش‌نامه‌ای در مقیاس لیکرت گردآوری شد. پژوهش دو متغیر مربوط به پیاده‌سازی ISMS و ITIL را در کنار دو پیامد «ارتقای سیستم‌های اطلاعاتی» و «تداوم خدمات فناوری اطلاعات» قرار داد. نویسندگان برای بررسی مدل از تحلیل عاملی، روش حداقل مربعات جزئی و آزمون تی تک‌نمونه‌ای استفاده کرده‌اند.
در مقاله شاخص‌هایی از پایایی و روایی همگرا نیز گزارش شده است. این شاخص‌ها دربارهٔ کیفیت اندازه‌گیری در همین داده‌ها اطلاعات می‌دهند؛ تأیید آن‌ها به معنای تضمین امنیت سازمان، درستی همهٔ فرض‌های مدل یا کفایت ابزار برای هر سازمان دیگر نیست.
نتیجهٔ مدل چه بود؟
نویسندگان روابط پیاده‌سازی هر دو چارچوب با هر دو پیامد را تأیید کرده‌اند. جدول‌های ۵ و ۶ در صفحات ۲۴۲ و ۲۴۳، ضرایب مسیر مثبت و آماره‌های آزمون مربوط را نشان می‌دهند. این نتیجه به مدل و پاسخ‌های همان نمونه مربوط است؛ از آن نمی‌توان درصد کاهش قطعی سامانه، کاهش هزینه یا پیشگیری واقعی از رخدادهای امنیتی را محاسبه کرد.
داده‌های مطالعه از اجرای یک آزمایش با گروه کنترل یا ثبت مستقل قطعی‌ها و رخدادهای پیش و پس از مداخله به دست نیامده است. ازاین‌رو، نام‌گذاری مسیرها به صورت «تأثیر» در مقاله، به‌تنهایی اثبات نمی‌کند که اجرای چارچوب‌ها علت بهبود عملکرد بوده است. همچنین وجود دو رابطهٔ مثبت، آزمون مستقلِ هم‌افزایی آن دو یا اثبات ضرورت اجرای هم‌زمانشان در همهٔ سازمان‌ها نیست.
مرز امنیت، تداوم خدمت و نسخهٔ ITIL
ISMS در این مطالعه به مدیریت امنیت اطلاعات مربوط است و ITIL چارچوبی برای مدیریت خدمات فناوری اطلاعات معرفی می‌شود. تداوم خدمت را هم نباید صرفاً معادل دسترس‌پذیری دانست: نام پیامد پژوهش «تداوم خدمات» است و نتیجهٔ آن، دسترسی بی‌وقفه و همیشگی را تضمین نمی‌کند.
توضیح چارچوب‌ها باید با زمان پژوهش خوانده شود. این مقاله متعلق به ۱۳۹۸ است؛ در زمان بازبینی این صفحه، PeopleCert نسخهٔ ۵ ITIL را به‌تدریج عرضه می‌کند و همچنان امکان ادامهٔ مسیر نسخهٔ ۴ را نیز توضیح می‌دهد. بنابراین چرخهٔ پنج‌مرحله‌ای نسخه‌های قدیمی را نباید توصیف بدون تاریخِ تمام نسخه‌های جاری ITIL شمرد. پژوهش حاضر نیز آزمون نسخهٔ ۵ نیست.
این مطالعه برای تصمیم سازمانی چه کمکی دارد؟
مطالعه نشان می‌دهد مدیران می‌توانند امنیت اطلاعات و تداوم خدمت را در یک مدل مدیریتی مشترک بررسی کنند. برای تصمیم دربارهٔ پیاده‌سازی، باید نیازهای همان سازمان، وضعیت موجود، منابع و شاخص‌های عملکرد آن نیز سنجیده شود. اگر هدف ارزیابی نتیجهٔ اجراست، ثبت رخدادها، زمان بازیابی و سایر شاخص‌های متناسب پیش و پس از اجرا به شواهدی فراتر از نگرش پاسخ‌دهندگان نیاز دارد. این موارد پیشنهاد برای ارزیابی بعدی‌اند و نباید به عنوان نتایج اندازه‌گیری‌شدهٔ این مقاله نقل شوند.
منابع و دامنهٔ بررسی
صالحی، احمد؛ وظیفه، زهرا. «بررسی تأثیر پیاده‌سازی ISMS و ITIL بر ارتقاء سیستم‌های اطلاعاتی و تداوم خدمات فناوری اطلاعات». پژوهش‌های مدیریت عمومی، ۱۲(۴۳)، بهار ۱۳۹۸، صفحات ۲۲۵–۲۴۹. DOI: 10.22111/jmr.2019.4751.
PeopleCert. Understanding the evolution of ITIL: ITIL (Version 5). صفحهٔ رسمی معرفی نسخهٔ ۵؛ بررسی‌شده در ۲۹ اکتبر ۲۰۲۶.
برای این روایت، چکیده و فرادادهٔ ناشر، چکیدهٔ مبسوط انگلیسی و بخش‌های روش و نتایج یادشده از متن اصلی بررسی شده‌اند. داده‌های خام، اجرای مستقل مدل و همهٔ منابع مقاله بررسی نشده‌اند.