مروری بر چند نکته امنیتی در BS۷۷۹۹

استاندارد امنیت اطلاعات BS۷۷۹۹ استانداردی جهانی و پویاست كه با ارائه كنترل های مختلف سعی در پیاده سازی قالبی مطمئن برای شركت ها دارد. با اجرای این كنترل ها نه تنها به شركت خود نظم می بخشیم بلكه امنیت اطلاعات و دارایی های مختلف شركت را برقرار خواهید ساخت.استانداردBS۷۷۹۹ پرسنل،تكنیك ها و ایده ها را ایمن خواهد ساخت.داشتن حجم بالای اطلاعات در سازمان نیازمند پیاده سازی استانداردی مطمئن در زمینه امنیت می باشد. اهمیت این قضیه در برخی سازمان ها حساس تر می باشد. شركت های بیمه ، بانك ها و پیمانكاران مختلف نمونه اینگونه سازمان ها هستند. همچنین شركت های ساختمانی و شركت های مشاوره ای نیازمند حفاظت از اطلاعات سایر سازمان ها می باشند این اطلاعات در قالب طراحی ، نقشه ها و اطلاعات عمومی و . . . هستند.هدف اصلی و نگرش به استاندارد BS۷۷۹۹ در سه قالب جلوگیری ، حفاظت و ثبت اطلاعات ، خلاصه می شود. استاندارد انواع مختلف اطلاعات مربوط به سازمان، نظیر امضای الكترونیكی، اسناد مكتوب و . . . را شامل می شود اما بحث پیاده سازی سیاست كنترلی مشخص برای افراد مختلف درون سازمانی و برون سازمانی از اهمیت بالاتری برخوردار است. نحوه اطمینان به پرسنل و روالهای مختلف برای برخورد با افرادی كه از شركت می روند شامل این استاندارد می شود.BS۷۷۹۹ نتیجه تلاش برای رسیدن به یك قالب مشترك امنیتی جهت شركت های مختلف با زمینه كاری مختلف می باشد.امروزه استاندارد ISO راهنمایی خاص را برای رسیدن به این منظور به نام ISO/IEC ۱۷۷۹۹:۲۰۰۰ ارائه داده است كه در واقع تمرینی جدی و عالی برای پیاده سازی امنیت اطلاعات می باشد.این رهنمودها با دقت خاصی در استاندارد BS۷۷۹۹-۲:۲۰۰۲ گردآوری شده است كه نتیجه پیاده سازی آن اخذ گواهینامه امنیت اطلاعات می باشد. پیاده سازی این استاندارد سبب خواهد شد تا امكان سوء استفاده از اطلاعات ، ازبین رفتن آن و سایر خطرات به حداقل برسد.امنیت اطلاعات برای جلوگیری از دسترسی های غیر مجاز به اطلاعات ایجاد شده است. BS۷۷۹۹ حفاظت از اطلاعات را در سه مفهوم خاص یعنی قابل اطمینان بودن اطلاعات (Confidentiality) و صحت اطلاعات (Integrity) و در دسترس بودن اطلاعات (Availability) تعریف می كند.
Confidentiality : تنها افراد مجاز به اطلاعات دسترسی خواهند یافت.
Integrity : كامل بودن و صحت اطلاعات و روشهای پردازش اطلاعات مورد نظر هستند.
Availability : اطلاعات در صورت نیاز بطور صحیح در دسترس باید باشد.
در زیر چند كنترل امنیتی مؤثر مدون در استاندارد BS۷۷۹۹ مورد بحث و بررسی قرار خواهد گرفت.
A.۸.۶ امنیت ابزارهای انتقال اطلاعات
برای جلوگیری از آسیب دیدگی دارایی ها و حفاظت از اطلاعات ابزارهای انتقال اطلاعات نظیر كامپیوتر ها ، فلاپی دیسك ها ، CD ها و . . . كنترلهای زیر در مستندات BS۷۷۹۹ گنجانده شده است.
*مدیریت ابزارهای انتقال اطلاعات (كنترل A.۸.۶.۱)
كلیه ابزارهای انتقال اطلاعات نظیر Tape ها ، فلاپی دیسكت ها ، نسخه های پرینت گرفته شده اطلاعات و . . . نیاز به حفاظت و كنترل دارند. داشتن جداولی از این ابزارها ، مشخص كردن نوع اطلاعات روی آنها و همچنین اشخاص مجاز به دسترسی به آن امری لازم است. همچنین محل نگهداری این ابزارها و ایجاد شرایط محیطی امن و كنترل شده باید در دستور كار قرار گیرد.
*ازرده خارج كردن اطلاعات ( كنترل A.۸.۶.۲ )
در صورتیكه كه نیاز به اطلاعات روی ابزار انتقال ندارید نگه داری و امنیت آن كاری دشوار و بیهوده می باشد لذا اقدام به از بین بردن اطلاعات روی آنها نمائید. بطور مثال با هفت بار فرمت هارددیسك و یا با شكستن CD حاوی اطلاعات قدیمی و بدون مصرف قادر به از بین بردن اینگونه اطلاعات خواهید شد.
*امنیت اطلاعات در هنگام حمل ( كنترل A.۸.۶.۳ )
برای جلوگیری از سوء استفاده از اطلاعات و همچنین كاهش ریسك نیاز به تعریف و ایجاد سیاست های امنیتی در هنگام حمل اطلاعات هستید.لذا با زدن برچسب روی ابزارهای انتقال اطلاعات و همچنین مشخص كردن مبدا و مقصد و نیز افراد مجاز به دسترسی قادر به ایجاد امنیت و كنترل اطلاعات خواهید شد.
*امنیت اطلاعات سیستم (كنترل A.۸.۶.۴ )
باتوجه به تنوع اطلاعات در شركت و وجود شبكه های كامپیوتری امكان دسترسی افراد مختلف به اطلاعات وجود دارد. لذا با دسته بندی اطلاعات و تعریف حق دسترسی افراد امنیت اطلاعات خود را بیش از پیش خواهید كرد.
A.۸.۷ رد و بدل كردن اطلاعات و نرم افزار بین شركتهای مختلف
برای جلوگیری از تغییرات ، ازبین رفتن و سوءاستفاده از اطلاعات زمانیكه بین شركت ها ردوبدل می شوند نیاز به ایجاد سیاستهای كنترلی می باشد.
*قرارداد انتقال اطلاعات بین شركت ها (A.۸.۷.۱)
برای جلوگیری از سوء استفاده اطلاعات در هنگام ردوبدل شدن آنها بین شركتها و تعیین حریم استفاده از آنها توسط شركت مقصد نیاز به عقد قرارداد بین شركت مبدا و مقصد اطلاعات می باشد.
*امنیت اطلاعات در ترانزیت (A.۸.۷.۲)
همانطور كه در كنترل های قبلی اشاره شد امنیت اطلاعات در هنگام انتقال اطلاعات از شركت مبدا به شركت مقصد و تعیین دسترسی افراد مختلف به آن امری ضروری است.
*امنیت تجارت الكترونیك (A.۸.۷.۳)
فعالیت های مختلف تجارت الكترونیكی نیازمند تدارك یك سری سیاست های امنیتی و پیاده سازی این سیاستها می باشد. نكات مختلف نظیر جلوگیری از فعالیت افراد تبهكار، حق تغییر اطلاعات،امضای الكترونیكی و . . . باید درنظر گرفته شوند.
*امنیت نامه های الكترونیكی یا e-mail (A.۸.۷.۴)
سیاست های خاصی برای جلوگیری از سوءاستفاده افراد غیر مجاز برای استفاده از نامه های الكترونیكی باید تدوین شوند.ایجاد ایمیل شخصی برای افراد مختلف و آموزش صحیح آنها برای استفاده از ایمیلو همچنین آشنایی آنها با مفاهیم مختلف ایمیل از جمله وظایفی است كه مدیر شبكه در دستور كار خود قرار می دهد.
*امنیت سیستم های موجود در شركت (A.۸.۷.۵)
برای استفاده صحیح از دستگاه های مختلف داخل شركت نیاز به تعریف سیاست های مختلف و كتابچه های راهنما می اشد. كامپیوتر های مختلف در سازمان ، دستگاههای فكس و . . . از جمله امكاناتی است كه در حین ساده كردن كارها نقاط استراتژیك اطلاعاتی هستند.
*صحت اطلاعات (A.۸.۷.۶)
برای رسیدن به اطلاعاتی كارساز و مفید نیاز به پردازش روی اطلاعات خام و اولیه می باشد.حفاظت از این اطلاعات خام گردآوری شده كاری بسیار مهم می باشد كه باید در دستور كار قرارگیرد. نتیجه گیری درست از اطلاعات اولیه غلط بسیار بعید می نماید.
*مبادله سایر فرم های اطلاعات(A.۸.۷.۷)
برای سایر اشكال اطلاعات در شركت ایجاد سیاست های حفاظتی امری ضروری می باشد. ابزارهای صوتی و ارتباطات ویدئویی از جمله این اشكال هستند.كنترل های بالا تنها بخشی از ۱۲۷ كنترل مدون در استاندارد BS۷۷۹۹ می باشد كه اجرای آنها شما را چند قدم به ایجاد امنیت واقعی نزدیك تر می سازد. درست است كه امنیت ۱۰۰% اطلاعات كاری دشوار است ولی نزدیك تر شدن به آن نیازمند كمی تلاش و مدیریت می باشد.