با توجه به حرکت شرکتها و سازمانهای دولتی و خصوصی به سمت استفاده از سیستم‌ها و سامانه‌های نرم‌افزاری در بستر اینترنت، تامین امنیت اطلاعات و ایمن سازی داده‌ها بسیار حائز اهمیت می‌باشد.
از این رو، استفاده‌ی سازمانها از محصولات، خدمات و نرم‌افزارهای تولید داخل، که صلاحیت امنیتی آنها توسط افتا تایید شده است منجر به ارتقای سطح کیفی امنیت شبکه ملی خواهد شد و از خسارات احتمالی ناشی از بکارگیری محصولات ناامن پیشگیری خواهد شد.
در این راستا، سازمان فناوری اطلاعات ایران با همکاری سازمان امنیت فضای تولید و تبادل اطلاعات (افتا)، عهده‌دار ارزیابی امنیتی و ارائه گواهی‌های امنیتی محصولات و خدمات نرم افزاری شده است تا به این ترتیب، تهدیدهای امنیتی برای سازمانها به کمترین حد ممکن رسیده و از داده‌ها و اطلاعات حساس آنها در بالاترین سطوح حفاظت شود.
برای آشنایی بیشتر با گواهینامه ارزیابی امنیتی محصول یا همان مجوز افتا، تا انتهای مقاله همراه ما باشید.
مجوز افتا یا گواهینامه ارزیابی امنیتی محصول چیست ؟
در سال‌های گذشته بسیاری از شرکتهای ارائه دهنده سامانه‌های نرم‌افزاری مختلف با پرداخت هزینه‌های کلان، گواهی‌نامه‌های به ظاهر امنیتی تهیه می‌کردند، در حالی که سامانه‌های مذکور فاقد استانداردهای امنیتی لازم بودند و همین امر موجب شد تا خسارات بسیار سنگینی به زیرساخت‌های کشور و همچنین سازمانها و نهادهای دولتی وارد شود؛ تاجایی که بعضاً در خبرها شاهد حملات گاه و بیگاه هکرها به سامانه های سازمان ها و نهادها و لو رفتن اسناد و داده های مختلف مربوط به کاربران و دولت ها بودیم.
در همین راستا، سازمان فناوری اطلاعات ایران با همکاری مشترک با سازمان امنیت فضای تولید و تبادل اطلاعات (افتا)، در راستای دستیابی به یک استاندارد امنیتی ملی برای حفظ امنیت سامانه‌های نرم‌افزاری، گواهی ارزیابی امنیتی محصول یا همان افتا را ایجاد نمود. «افتا» مخفف عبارت «امنیت فضای تولید و تبادل اطلاعات» می‌باشد و گواهی افتا، مجوزی است که از سمت مرکز مدیریت راهبردی افتا ریاست جمهوری (مرکز افتا) و سازمان فناوری اطلاعات ایران، اعطا می‌گردد. این مجوز در راستای طرح ارزیابی امنیتی افتا شکل گرفته است. شایان ذکر است که گواهی نامه افتا با نام‌های دیگری مانند مجوز افتا، گواهی افتا، گواهی ارزیابی امنیتی و… نیز شناخته می‌شود.
آشنایی با اهداف و ذینفعان اصلی در طرح ارزیابی امنیتی محصول
طرح ارزیابی امنیتی محصول، سندی می‌باشد که توسط مرکز افتا و سازمان فناوری اطلاعات ایران ارائه شده و دید کلی از روال‌ها، خط مشی‌ها و راهبرد‌های ارزیابی امنیتی ارائه می‌نماید. اهداف اصلی ایجاد طرح ارزیابی امنیتی عبارت‌اند از:
- حصول اطمینان از انجام ارزیابی‌های امنیتی محصولات فتا، منطبق بر استانداردهای ارزیابی مشترک
- رفع مخاطرات و دغدغه‌های امنیتی ناشی از بکارگیری محصولات ارزیابی نشده
- بهبود دسترس‌پذیری محصولات ارزیابی شده
- حمایت از توسعه و بومی‌سازی محصولات نرم‌افزاری
- بهبود و ارتقای سطح امنیت محصولات نرم‌افزاری
برای پیاده‌سازی طرح ارزیابی امنیتی محصولات، نهادها و سازمانهای مختلفی شرکت دارند؛ ذینفعان اصلی این طرح عبارت‌اند از:
- تولید کننده
- آزمایشگاه
- مرکز افتا
- سازمان فناوری اطلاعات
- مصرف کننده
در ادامه به بررسی موارد نام برده شده می‌پردازیم.
تولید کننده
تولید کننده یک نهاد دولتی یا خصوصی و یا سازمانی می‌باشد که تولیدکننده‌ی سیستم‌های نرم‌افزاری است و درخواست ارزیابی امنیتی محصول خود را دارد. تولید کننده جهت شروع فرآیند ارزیابی امنیتی و دریافت گواهی افتا، باید در ابتدا تمامی مدارک مورد نیاز جهت ارزیابی محصولات را در اختیار آزمایشگاه قرار دهد.
آزمایشگاه
یکی از مهم‌ترین ذینفعان و پایه‌های اجرای طرح ارزیابی امنیتی محصولات، آزمایشگاه می‌باشد؛ آزمایشگاهها مراکزی هستند که دارای تاییدیه‌های امنیتی از سوی نهادهای دولتی همچون مرکز افتا و سازمان فناوری اطلاعات ایران می‌باشند و موظف‌اند بدون هیچ‌گونه جانب‌داری نسبت به محصولات و سازمانها، نرم‌افزارهای آنلاین را مورد ارزیابی و بررسی‌های امنیتی قرار دهند. آزمایشگاهها همچنین متعهد به رعایت استانداردهای محرمانگی و عدم افشای اطلاعات و نتایج آزمایشات و ارزیابی‌های خود بر روی محصولات نرم‌افزاری هستند.
برای اطمینان از حسن انجام کار آزمایشگاهها، مرکز افتا به صورت دوره‌ای فعالیت‌های آزمایشگاه‌های تایید شده را مورد ارزیابی قرار می‌دهند و در صورت مشاهده هرگونه تخطی از خط مشی‌های تعیین شده، به آزمایشگاه تذکر می‌دهند و به محض تکرار اشتباهات، آزمایشگاه از لیست آزمایشگاه‌های تایید شده برای انجام ارزیابی‌های امنیتی، حذف می‌گردد.
تصویر ۱ – فرآیند اعتباربخشی آزمایشگاه
مرکز افتا
مرکز افتا به عنوان یک نهاد دولتی، وظیفه دارد تا بر روند اجرای طرح ارزیابی امنیتی افتا نظارت کامل داشته باشد؛ این مرکز با همکاری سازمان فناوری اطلاعات ایران، در تمامی بخش‌های قانونی و اجرایی طرح ارزیابی امنیتی افتا حضور دارد. به‌طور کلی، وظایف مرکز افتا عبارت‌اند از:
- تهیه و تدوین آیین‌نامه‌ها، دستورالعمل‌ها، مقررات و فرآیندهای طرح ارزیابی امنیتی و حصول اطمینان از پیاده‌سازی آنها
- تایید و اعتبار بخشی آزمایشگاهها و اطلاع‌رسانی به سازمان فناوری اطلاعات ایران
- نظارت بر آزمایشگاهها و ارزیابی عملکرد آنها
- لغو گواهی فعالیت آزمایشگاهها در صورت برآورده ننمودن شرایط طرح ارزیابی امنیتی
- اطمینان از سازگاری ارزیابی آزمایشگاه با طرح ارزیابی امنیتی
- تهیه و تدوین پروفایل حفاظتی با همکاری سازمان فناوری اطلاعات ایران
سازمان فناوری اطلاعات
سازمان فناوری اطلاعات ایران به همراه مرکز افتا وظیفه دارد تا بالاترین سطح استاندار ارزیابی امنیتی محصولات نرم‌افزاری را ارائه نماید. این سازمان، پس از دریافت درخواست تولیدکنندگان برای ارزیابی امنیتی، محصولاتشان را – با هماهنگی مرکز افتا – به آزمایشگاه‌های تایید شده ارجاع می‌دهد و با توجه به مفاد و خط‌مشی‌های طرح ارزیابی امنیتی و همچنین نتایج گزارشات ارزیابی امنیتی آزمایشگاه و گزارشات مرکز افتا، گواهینامه افتا محصول را برای تولیدکننده ارسال می‌نماید. شایان ذکر است که این سازمان در اجرای طرح ارزیابی امنیتی محصولات نرم‌افزاری وظایف بیشتری دارد، که این وظایف عبارت‌اند از:
- اطلاع‌رسانی از هرگونه تغییر در آزمایشگاه‌های مورد تایید مرکز افتا
- اطلاع‌رسانی از هرگونه تغییر در اعتبار بخشی آزمایشگاه‌هاپ
- صدور گواهی آزمایشگاه‌های تایید شده، به صورت مشترک با مرکز افتا
- صدور گواهی محصولات پس از تایید و اعلام مرکز افتا
- منتشر نمودن پروفایل‌های حفاظتی تایید شده توسط مرکز افتا
مصرف کننده
مهم‌ترین هدف ارائه‌‌ی طرح ارزیابی امنیتی محصولات، ورود محصولات ارزیابی‌شده و امن به حوزه مصرف و ارتقای سطح امنیت محصولات نرم‌افزاری می‌باشد و یکی از ذینفعان اصلی این طرح، خود مصرف‌کنندگان هستند. در راستای اجرای صحیح طرح ارزیابی امنیتی محصولات، مصرف کنندگان موظفند تا تنها از محصولات نرم‌افزاری که دارای گواهی افتا هستند، استفاده نمایند. داشتن مجوز افتا برای محصول یا خدمت نرم‌افزاری، به معنای امنیت کامل نرم‌افزار یا سامانه‌های ارائه دهنده خدمات می‌باشد.
آیا گواهی افتا همان گواهی نما است؟
در کنار گواهی افتا، گواهی دیگری به نام «نما» نیز وجود دارد؛ نظام مدیریت امنیت اطلاعات (نما) که توسط دو سازمان فناوری اطلاعات و مرکز ماهر تشکیل شده است و هدف از تشکیل آن، ایمن سازی فضای تولید و تبادل اطلاعات می‌باشد و در زمینه استانداردهای تخصصی امنیت، مدیریت، اعتبار بخشی، صدور پروانه فعالیت، رسیدگی به حملات سایبری و همچنین نظارت بر عملکرد سازمانهای ارائه دهنده خدمات نرم‌افزاری در سطح کشور، فعالیت می‌کند.
در حالی که گواهی افتا، سند راهبردی ملی است که وظایفی را برای وزارتخانه‌ها و نهادهای حاکمیتی کشور در زمینه امن‌سازی «فضای تولید و تبادل اطلاعات»، مقرر کرده است. از این رو داشتن هر دو گواهی افتا و گواهی نما برای شرکتهای ارائه دهنده محصولات و خدمات نرم افزاری ضروری است.
در حال حاضر، ارائه خدمات امنیت فضای تولید و تبادل اطلاعات در ۴ حوزه (مدیریتی– عملیاتی– فنی– آموزشی) ارائه می‌شود، که گرایش‌های هر یک در سایت سازمان فناوری اطلاعات ایران در آدرس https://sec.ito.gov.ir/page/namarequest قابل مشاهده است.
تا این قسمت از مقاله با ماهیت گواهی ارزیابی امنیتی افتا آشنا شدیم، اما چرا سازمانها موظف به دریافت این گواهی هستند؟ برای یافتن پاسخ این سوال همراه ما باشید.
گواهی افتا چه اهمیتی دارد؟
در ابتدا باید به این نکته اشاره کنیم که دریافت گواهی افتا به معنای برتر بودن خدمات و سرویس‌ها نیست، بلکه صرفا نشان دهنده‌ی امنیت بالای آن سیستم یا سامانه در راستای حفاظت از اطلاعات و داده‌ها در فضای مجازی و همچنین انتقال امن داده‌ها و اطلاعات در بستر اینترنت می‌باشد.
با پیشرفت دنیای مجازی و فناوری‌های اینترنتی، سالانه بسیاری از سازمانها و نهادهای دولتی مورد حملات سایبری قرار می‌گیرند و علاوه بر خسارات مالی وارده به زیرساخت‌ها، بسیاری از اطلاعات و داده‌های خود را از دست می‌دهند؛ در همین راستا مدیران سازمان هنگام انتخاب سامانه‌ها و سیستم‌های تولید و تبادل اطلاعات، باید حتماً به گواهی افتا و مجوز نما ی سازمان یا شرکت اراِئه‌دهنده خدمات توجه داشته باشند، زیرا همواره احتمال سرقت اطلاعات ذخیره شده سازمان در سیستم‌ها و سامانه‌های اینترنتی وجود دارد.
از طرفی، طی بخشنامه ۳۹۵/۱/م، مورخ ۱۰/۰۲/۱۳۹۰سازمان فناوری و اطلاعات ایران به تمامی سازمانهای دولتی و غیردولتی در خصوص استفاده از سامانه‌ها و سیستم‌هایی بدون گواهی ارزیابی افتا هشدار داده است؛ زیرا سامانه‌های نرم‌افزاری فاقد مجوز افتا، فاقد امنیت کافی برای مقابله با حملات سایبری و سایر خطرات موجود در فضای اینترنت هستند.
علاوه بر موارد یاد شده، یکی دیگر از جنبه‌های اهمیت گواهی افتا آن است که، سازمان فناوری اطلاعات ایران برای اعطای گواهی ارزیابی امنیتی محصول و همچنین پروانه فعالیت (نما) به جز انجام تست‌های مختلف بر روی محصولات سازمانها، افراد و مدیران سازمان را نیز مورد بررسی قرار می‌گیرند. بنابراین، داشتن گواهی نامه افتا، علاوه بر تایید امنیت نرم افزار مربوطه، امنیت و حسن کار شرکت ارائه دهنده خدمات را نیز تایید می کند.
برای کسب آگاهی و اطمینان از دارا بودن گواهی نامه افتا و مجوز نمای محصولات نرم افزاری، با مراجعه به وب‌سایت سازمان فناوری اطلاعات ایران و بخش گواهی‌های امنیتی محصولات، می‌توانید نام شرکت ارائه دهنده سیستم‌های نرم‌افزار را جستجو و گواهی‌نامه‌های دریافت شده آن را مشاهده کنید.
فرآیند ارزیابی امنیتی محصولات و دریافت گواهی افتا چگونه است؟
همان‌طور که اشاره شد، مرکز افتا به همراه سازمان فناوری اطلاعات ایران، فرایند و روال ارزیابی امنیتی محصولات را طراحی و اجرا می‌نمایند؛ احتمالا برای شما هم سوال پیش آمده که فرآیند ارزیابی امنیتی محصوات و دریافت گواهی افتا به چه صورت است؟ برای دریافت گواهی افتا، مراحل زیر باید طی شوند:
- ارسال درخواست صدور گواهی و مدارک لازم به سازمان فناوری اطلاعات
- هماهنگی با مرکز افتا و معرفی آزمایشگاه مورد تایید برای ارزیابی امنیتی فنی محصول
- ارائه نامه سازمان فناوری اطلاعات به آزمایشگاه، جهت شروع فرآیند ارزیابی امنیتی فنی محصول
- اعلام نتایج آزمایشات از سوی آزمایشگاه به مرکز افتا
- انجام ارزیابی امنیتی شرکت تولیدکننده و تعیین سطح امنیت آن
- اعلام تایید محصول، سطح بکارگیری محصول و زمان‌بندی مجوز توسط مرکز افتا
- صدور گواهی افتا از سوی سازمان فناوری اطلاعات ایران
تصویر ۳ – فرآیند کلی ارزیابی امنیتی محصولات
در طی این مراحل، دو نوع ارزیابی صورت می‌گیرد، که این ارزیابی‌ها عبارت‌اند از:
- ارزیابی امنیتی محصول
- ارزیابی امنیتی شرکت تولیدکننده
حال بیایید هر کدام از این ارزیابی‌ها را باهم بررسی کنیم.
ارزیابی امنیتی محصول
مرکز افتا به کمک آزمایشگاه‌های مورد تایید خود، ارزیابی‌های امنیتی مختلفی را بر روی محصولاتی که خواستار دریافت گواهی افتا هستند، انجام می‌دهند. این ارزیابی امنیتی در چهار فاز صورت می‌گیرد که عبارت‌اند از:
- آماده‌سازی
- ارزیابی اسناد هدف امنیتی
- ارزیابی فنی
- پایان ارزیابی محصول
فاز اول: آماده سازی
در ابتدا، سازمان یا شرکت تولیدکننده محصول نرم‌افزاری، درخواست خود برای انجام ارزیابی‌های امنیتی را به سازمانهای ذیربط ارسال می‌نماید و پس از مشخص آزمایشگاه از سوی سازمان افتا، توافق اولیه‌ای بین آزمایشگاه و تولیدکننده صورت می‌گیرد؛ بر طبق این توافق نامه، تمامی آزمایشات و ارزیابی‌ها باید به صورت بی‌طرفانه و بر اساس چارجوب‌ها و پروتکل‌های ارزیابی امنیتی افتا انجام شوند.
فاز دوم: ارزیابی اسناد هدف امنیتی
سند هدف امنیتی یا پروفایل حفاظتی، بیانیه‌ای مستقل از روند پیاده‌سازی الزامات امنیتی برای یک نوع محصول می‌باشد، که در آن الزامات امنیتی به صورت کلی بیان می‌گردد؛ پس از بررسی و نهایی‌سازی سند اهداف امنیتی، محصول مورد نظر وارد فاز سوم ارزیابی می‌گردد.
فاز سوم: ارزیابی فنی
در این مرحله، تست‌های مختلفی که به عنوان استاندارد ارزیابی فنی تعریف شده‌اند، روی محصولات نرم افزاری اعمال می‌گردند؛ این تست‌ها جنبه‌های امنیتی مختلفی را در محصول ارزیابی می‌کنند، که برخی از آنها عبارت‌اند از:
- انتقال امن اطلاعات بین کاربران
- نحوه بایگانی و دسترسی به داده‌ها
- پروتکل‌های محافظتی در برابر حملات سایبری
- دسترسی‌ها و پروتکل‌های امنیتی درون برنامه‌ای
- میزان آسیب‌پذیری محصولات در برابر خطرات فضای سایبری
- و…
محصولات پس از پشت سر گذاشتن تست‌ها و ارزیابی‌های گوناگون، در صورت کسب موفقیت، وارد فاز چهارم ارزیابی امنیتی محصول می‌شوند.
فاز چهارم: پایان ارزیابی محصول
در آخرین فاز از ارزیابی امنیتی محصولات، مرکز افتا نتایح ارزیابی‌های امنیتی انجام شده را بررسی و در صورت تایید شدن، گواهی تایید ارزیابی امنیتی محصول را به سازمان ارسال می‌نماید؛ این گواهی به همراه گزارش اعتبار سنجی و سند هدف امنیت، تاکید می‌کند که محصول مورد نظر در یک آزمایشگاه معتبر و با استفاده از متد ارزیابی معیار مشترک صورت گرفته است و بر استاندارد ارزیابی معیار مشترک منطبق می‌باشد.
ارزیابی امنیتی سازمان تولید کننده
پس از آغاز فرایند ارزیابی محصول، مرکز افتا فعالیت‌های سازمان یا شرکت تولیدکننده را مورد بررسی و ارزیابی قرار می‌دهد؛ هدف از انجام این ارزیابی، حصول اطمینان از حسن انجام وظیفه شرکت تولیدکننده و رعایت استانداردها و خط مشی‌های تعیین شده از سوی سازمان فناوری اطلاعات ایران و مرکز افتا می‌باشد. شایان ذکر است که این بررسی‌ها و ارزیابی‌های امنیتی پس از اتمام ارزیابی فنی محصول نیز ادامه دارند و در صورت مشاهده‌ی هرگونه خطا یا نقض قوانین، تولیدکننده از سمت مرکز افتا تذکر دریافت می‌نماید و در صورت عدم توجه به تذکرات، گواهی افتا و نمای تولیدکننده باطل می‌گردد؛ همچنین لازم به ذکر است که تایید نتایج ارزیابی آزمایشگاه و مجوز صدور گواهی افتای محصولات، منوط به گزارش نظارت بر سازمان یا شرکت تولیدکننده می‌باشد، این امر موجب اطمینان خاطر مصرف‌کنندگان از حسن انجام وظیفه تولیدکنندگان و همچنین ارتقا و حفظ سطح امنیت محصولات نرم‌افزاری می‌گردد.
چرا داشتن گواهی ارزیابی امنیتی محصول (افتا) برای سامانه های نرم افزاری سازمانی الزامی است؟
از لحاظ قانونی، طبق مصوبه شماره ۲۳۲۶۹۰/ت۳۸۵۱۸ک (مورخ ۱۱/۱۲/۱۳۸۷) و تصمیم نامه شماره ۲۲۶۹۶۷/ت۴۵۵۲۴ن (مورخ ۱۱/۱۰/۱۳۸۹) و همچنین بخشنامه ۳۹۵/۱/م (مورخ ۱۰/۰۲/۱۳۹۰)، در راستای حفظ امنیت لازم در قالب یک استاندارد امنیتی ملی، تمامی سامانه‌ها و سیستم‌های الکترونیکی و تحت وب مورد استفاده در سازمانهای دولتی، باید دارای گواهی نامه افتا و نما باشند؛ به بیان دیگر، شرکتها و سازمانها برای ارائه محصولات و خدمات خود به سازمانها و نهادهای دولتی، ملزم به دریافت گواهینامه افتا هستند. شایان ذکر است که امروزه علاوه بر سازمانهای دولتی، بسیاری از سازمانهای خصوصی نیز هنگام دریافت خدمات اینترنتی، توجه ویژه‌ای به گواهینامه ارزیابی امنیتی محصول (افتا) و پروانه فعالیت (نما) دارند.
در همین راستا، دریافت گواهی ارزیابی امنیتی محصولات (گواهی نامه افتا) به امری الزامی برای شرکتهای ارائه دهنده خدمات (بر بستر اینترنت) تبدیل شده است.
آیا اتوماسیون کسب و کار فراگستر گواهینامه افتا دارد؟
بله، اتوماسیون کسب و کار فراگستر، با پشت سر گذاشتن انواع آزمون‌ها و تست‌های امنیتی، سال‌های گذشته موفق به دریافت گواهی ارزیابی امنیتی محصول و همچنین پروانه فعالیت افتا (نما) برای نسخه‌های قبلی شده است و مجدداً در بهار سال ۱۴۰۲ موفق به تمدید گواهی نامه افتا برای نسخه ۷ اتوماسیون کسب و کار شده است. این گواهی نامه و پروانه فعالیت افتا، نشان‌دهنده‌ی امنیت بالای سامانه اتوماسیون فراگستر و زیرسامانه‌های آن می‌باشد. برای مشاهده‌ی جدیدترین گواهی افتای فراگستر به لینک زیر مراجعه نمایید:
آشنایی با اصطلاحات و واژه های به کار رفته در طرح ارزیابی امنیتی محصول
در این بخش، با برخی از اصطلاحات و واژه‌های به کار رفته در طرح ارزیابی امنیتی محصول می‌پردازیم:
فتا: فضای تولید و تبادل اطلاعات.
مرکز افتا: مرکز امنیت فضای تولید و تبادل اطلاعات.
متدلولوژی ارزیابی معیار مشترک: متدولوژی برای ارزیابی امنیتی محصولات فتا می‌باشد، که از یک سند فنی تشکیل شده و روش‌های ارزیابی امنیتی را شرح می‌دهد.
طرح ارزیابی امنیتی: طرح ارزیابی امنیتی سندی است که توسط مرکز افتا و سازمان فناوری اطلاعات ایران ارائه می شود و دید کلی از روال‌ها، خط مشی‌ها و راهبرد‌های ارزیابی امنیتی ارائه می‌نماید.
آزمایشگاه: آزمایشگاه‌های تایید شده برای ارزیابی امنیتی محصولات فتا.
تولید کننده: تولید کننده محصول یا متقاضی ارزیابی محصول.
مصرف کننده: حوزه و سازمانهایی که محصول در آنها مورد استفاده قرار می‌گیرد.
پروفایل حفاظتی: بیانیه‌ای مستقل از پیاده‌سازی الزامات امنیتی برای یک نوع محصول، که در آن الزامات امنیتی به طور کلی بیان شده‌اند.
کارکرد امنیتی: عملکرد امنیتی محصول در زمینه ممیزی امنیت، رمزنگاری، شناسایی و احراز هویت، مدیریت دسترسی‌ها، حفغاظت از داده‌ها و اطلاعات و…
گزارش اعتبار سنجی: سندی است که پس از پایان ارزیابی و تایید مرکز افتا، توسط سازمان فناوری اطلاعات ایران منتشر می‌شود و در بر گیرنده خلاصه‌ای از نتایج ارزیابی امنیتی است.
اعتبار بخشی: انجام نظارت بر فرآیند ارزیابی آزمایشگاه و ایجاد اطمینان از صحت نتایج و روال‌ها.
خلاصه‌ی کلام
در این مقاله با تعریف و اهمیت گواهینامه افتا و پروانه فعالیت خدمات (نما) برای محصولات و خدمات نرم افزاری که در شرکتها و سازمانها مورد بهره‌برداری قرار می‌گیرند، آشنا شدید. توجه به اینکه مدیران شرکتها و سازمانهای دولتی اگر قصد خرید نرم افزار را برای سازمانشان دارند، باید در فرآیند خرید نرم افزار، اصالت گواهینامه افتا برای محصول نرم افزاری را مورد بررسی قرار دهند و ببینند آیا آن نرم افزار واجد شرایط لازم از نظر امنیتی هست یا خیر؛ همچنین طبق قوانین و بخشنامه‌های ارائه شده از سوی سازمانهای ذیربط، دستگاه‌های دولتی مجاز به خرید محصول فاقد گواهینامه امنیتی نیستند، برای این منظور ضروری است که مدیران، شرکتها و سازمانهایی را انتخاب نمایند که حتما دارای گواهی ارزیابی امنیتی محصول (افتا) و همچنین پروانه فعالیت نما در حوزه دریافت خدمات مورد نظر (فنی، آموزشی، مدیریتی، عملیاتی) باشند.
