ایمن سازی اطلاعات

توفیق در ایمن سازی اطلاعات منوط به حفاظت از اطلاعات و سیستم های اطلاعاتی در مقابل حملات است . بدین منظور از سرویس های امنیتی متعددی استفاده می گردد. سرویس های انتخابی ، می بایست پتانسیل لازم در خصوص ایجاد یک سیستم حفاظتی مناسب ، تشخیص بموقع حملات و واکنش سریع را داشته باشند. بنابراین می توان محور استراتژی انتخابی را بر سه مولفه حفاظت ، تشخیص و واکنش استوار نمود . حفاظت مطمئن ، تشخیص بموقع و واکنش مناسب از جمله مواردی است که می بایست همواره در ایجاد یک سیستم امنیتی رعایت گردد. سازمان ها و موسسات، علاوه بر یکپارچگی بین مکانیزم های حفاظتی ، می بایست همواره انتظار حملات اطلاعاتی را داشته و لازم است خود را به ابزارهای تشخیص و روتین های واکنش سریع ، مجهز تا زمینه برخورد مناسب با مهاجمان و بازیافت اطلاعات در زمان مناسب فراهم گردد . یکی از اصول مهم استراتژی "دفاع در عمق" ، برقراری توازن بین سه عنصر اساسی : انسان، تکنولوژی و عملیات ، است . حرکت بسمت تکنولوژی اطلاعات بدون افراد آموزش دیده و روتین های عملیاتی که راهنمای آنان در نحوه استفاده و ایمن سازی اطلاعات باشد ، محقق نخواهد شد .
● انسان
موفقیت در ایمن سازی اطلاعات با پذیرش مسئولیت و حمایت مدیریت عالی یک سازمان ( معمولا" در سطح مدیریت ارشد اطلاعات ) و بر اساس شناخت مناسب از تهاجمات ، حاصل می گردد. نیل به موفقیت با پیگیری سیاست ها و روتین های مربوطه ، تعیین وظایف و مسئولیت ها ، آموزش منابع انسانی حساس ( کاربران، مدیران سیستم ) و توجیه مسئولیت های شخصی کارکنان ، حاصل می گردد.در این راستا لازم است یک سیستم امنیتی فیزیکی و شخصی بمنظور کنترل و هماهنگی در دستیابی به هر یک از عناصر حیاتی در محیط های مبتنی بر تکنولوژی اطلاعات ، نیز ایجاد گردد . ایمن سازی اطلاعات از جمله مواردی است که می بایست موفقیت خود را در عمل و نه در حرف نشان دهد . بنابراین لازم است که پس از تدوین سیاست ها و دستورالعمل های مربوطه ، پیگیری مستمر و هدفمند جهت اجرای سیاست ها و دستورالعمل ها ، دنبال گردد. بهترین استراتژی تدوین شده در صورتیکه امکان تحقق عملی آن فراهم نگردد ، ( سهوا" و یا عمدا") ، هرگز امتیاز مثبتی را در کارنامه خود ثبت نخواهد کرد .
با توجه به جایگاه خاص منابع انسانی در ایجاد یک محیط ایمن مبتنی بر تکنولوژی اطلاعات ، لازم است به موارد زیر توجه گردد :
▪ تدوین سیاست ها و رویه ها
▪ ارائه آموزش های لازم جهت افزایش دانش
▪ مدیریت سیستم امنیتی
▪ امنیت فیزیکی
▪ امنیت شخصی
▪ تدابیر لازم در خصوص پیشگیری
● تکنولوژی
امروزه از تکنولوژی ها ی متعددی بمنظور ارائه سرویس های لازم در رابطه با ایمن سازی اطلاعات و تشخیص مزاحمین اطلاعاتی، استفاده می گردد. سازمان ها و موسسات می بایست سیاست ها و فرآیندهای لازم بمنظور استفاده از یک تکنولوژی را مشخص تا زمینه انتخاب و بکارگیری درست تکنولوژی در سازمان مربوطه فراهم گردد. در این رابطه می بایست به مواردی همچون : سیاست امنیتی ، اصول ایمن سازی اطلاعات، استانداردها و معماری ایمن سازی اطلاعات ، استفاده از محصولات مربوط به ارائه دهندگان شناخته شده و خوش نام ، راهنمای پیکربندی ، پردازش های لازم برای ارزیابی ریسک سیستم های مجتمع و بهم مرتبط ، توجه گردد . در این رابطه موارد زیر ،پیشنهاد می گردد :
دفاع در چندین محل . مهاجمان اطلاعاتی( داخلی و یا خارجی ) ممکن است ، یک هدف را از چندین نفطه مورد تهاجم قرار دهند. در این راستا لازم است سازمان ها و موسسات از روش های حفاظتی متفاوت در چندین محل ( سطح ) استفاده ، تا زمینه عکس العمل لازم در مقابل انواع متفاوت حملات ، فراهم گردد . در این رابطه می بایست به موارد زیر توجه گردد :
▪ دفاع از شبکه ها و زیر ساخت . در این رابطه لازم است شبکه های محلی و یا سراسری حفاظت گردند . ( حفاظت در مقابل حملات اطلاعاتی از نوع عدم پذیرش خدمات )
▪ حفاظت یکپارچه و محرمانه برای ارسال اطلاعات در شبکه ( استفاده از رمزنگاری و کنترل ترافیک بمنظور واکنش در مقابل مشاهده غیرفعال )
▪ دفاع در محدوده های مرزی . ( بکارگیری فایروال ها و سیستم های تشخیص مزاحمین بمنظور واکنش در مقابل حملات اطلاعاتی از نوع فعال )
▪ دفاع در محیط های محاسباتی ( کنترل های لازم بمنظور دستیابی به میزبان ها و سرویس دهنده بمنظور واکنش لازم در مقابل حملات از نوع خودی، توزیع و مجاور ) .
دفاع لایه ای . بهترین محصولات مربوط به ایمن سازی اطلاعات دارای نقاط ضعف ذاتی ، مربوط به خود می باشند. بنابراین همواره زمان لازم در اختیار مهاجمان اطلاعاتی برای نفوذ در سیستم های اطلاعاتی وجود خواهد داشت.بدین ترتیب لازم است قبل از سوءاستفاده اطلاعاتی متجاوزان، اقدامات مناسبی صورت پذیرد. یکی از روش های موثر پیشگیری در این خصوص ، استفاده از دفاع لایه ای در مکان های بین مهاجمان و اهداف مورد نظر آنان ،می باشد . هر یک از مکانیزم های انتخابی ، می بایست قادر به ایجاد موانع لازم در ارتباط با مهاجمان اطلاعاتی ( حفاظت ) و تشخیص بموقع حملات باشد . بدین ترتیب امکان تشخیص مهاجمان اطلاعاتی افزایش و از طرف دیگر شانس آنها بمنظور نفوذ در سیستم و کسب موفقیت، کاهش خواهد یافت . استفاده از فایروال های تودرتو ( هر فایروال در کنار خود از یک سیستم تشخیص مزاحمین ، نیز استفاده می نماید) در محدوده های داخلی و خارجی شبکه ، نمونه ای از رویکرد دفاع لایه ای است . فایروال های داخلی ممکن است امکانات بیشتری را در رابطه با ----- سازی داده ها و کنترل دستیابی به منابع موجود ارائه نمایند
تعیین میزان اقتدار امنیتی هر یک از عناصر موجود در ایمن سازی اطلاعات (چه چیزی حفاظت شده و نحوه برخورد با تهاجم اطلاعاتی در محلی که از عنصر مربوطه استفاده شده ، به چه صورت است ؟) . پس از سنجش میزان اقتدار امنیتی هر یک از عناصر مربوطه ، می توان از آنان در جایگاهی که دارای حداکثر کارآئی باشند ، استفاده کرد . مثلا" می بایست از مکانیزم های امنیتی مقتدر در محدوده های مرزی شبکه استفاده گردد .
استفاده از مدیریت کلید مقتدر و زیر ساخت کلید عمومی، که قادر به حمایت از تمام تکنولوژی های مرتبط با ایمن سازی اطلاعات بوده و دارای مقاومت مطلوب در مقابل یک تهاجم اطلاعاتی باشد.
بکارگیری زیرساخت لازم بمنظور تشخیص مزاحمین ، آنالیز و یکپارچگی نتایج بمنظور انجام واکنش های مناسب در رابطه با نوع تهاجم . زیر ساخت مربوطه می بایست به پرسنل عملیاتی، راهنمائی لازم در مواجه با سوالاتی نظیر : آیا من تحت تهاجم اطلاعاتی قزار گرفته ام ؟ منبع تهاجم چه کسی می باشد ؟ به چه فرد دیگری تهاجم شده است ؟ راه حل ها و راهکارهای من در این رابطه چیست ؟ ، را ارائه نماید.
● عملیات
منظور از عملیات ، مجموعه فعالیت های لازم بمنظور نگهداری وضعیت امنیتی یک سازمان است . در این رابطه لازم است ، به موارد زیر توجه گردد :
▪ پشتیبانی ملموس و بهنگام سازی سیاست های امنیتی
اعمال تغییرات لازم با توجه به روند تحولات مرتبط با تکنولوژی اطلاعات. در این رابطه می بایست داده های مورد نظر جمع آوری تا زمینه تصمیم سازی مناسب برای مدیریت فراهم گردد ( تامین اطلاعات ضروری برای مدیریت ریسک ) .
مدیریت وضعیت امنیتی با توجه به تکنولوژی های استفاده شده در رابطه ایمن سازی اطلاعات ( نصب Patch امنیتی، بهنگام سازی ویروس ها ، پشتیبانی لیست های کنترل دستیابی )
ارائه سرویس های مدیریتی اساسی و حفاظت از زیرساخت های مهم ( خصوصا" زیر ساخت هائی که برای یک سازمان ختم به درآمد می گردد ) .
▪ ارزیابی سیستم امنیتی
هماهنگی و واکنش در مقابل حملات جاری
تشخیص حملات و ارائه هشدار و پاسخ مناسب بمنظور ایزوله نمودن حملات و پیشگیری از موارد مشابه
بازیافت و برگرداندن امور به حالت اولیه (بازسازی )

منبع : دنیای کامپیوتر و اینترنت