بسیاری از شرکت ها و سازمان های بزرگ و کوچک برای تامین امنیت اطلاعات خود از راهکارهای مدرن و توسعه یافته استفاده میکنند. راهکارهای امروزی تامین امنیت اطلاعات، با استفاده از فنآوری های مختلفی پیاده سازی میشوند. امنیت شبکه، امنیت سرویسدهندهها و امنیت برنامههای کاربردی همگی باهم، تنها، باعث ایجاد زمینه امنیت اطلاعات میشوند. نکتهای که به صورت رایج در مورد امنیت اطلاعات در نظر گرفته نمیشود، ضرورت ایجاد ساختار مناسب برای استفاده از مزایای فنآوریهای امنیتی است. با استفاده از ایجاد ساختار و همبندی مناسب، امکان مدیریت، کنترل و ایجاد روالهای امنیتی برای زیرساختهای امنیت اطلاعات فراهم میشود. این نوشتار به صورت خلاصه پیشنهاداتی را برای استفاده از فنآوریهای امنیت اطلاعات بیان میکند.
محیط خود را بشناسید
پیش از انجام هر اقدام، تغییر و یا ارایه هر پیشنهاد و درخواستی، میبایست نسبت به محیطی که برای امنیت اطلاعات آن در تلاش هستید، آشنایی پیدا کنید. آشنایی سطحی منجر به تصمیمات سطحی خواهد بود! پس تلاش کنید تا تمام اجزای اصلی بخشهایی را که امنیت اطلاعات آنها مهم است، از طریق مناسب بشناسید. شما میبایست تمام سختافزارها و نرمافزارهای موجود را فهرست کرده باشید و از جزییات دسترسی هر کدام آگاهی داشته باشید. برنامههای کاربردی و نوع کارکرد آنها نیز برای تصمیم گیری شما مهم است. پروتکلهای مورد استفاده و نوع تبادل داده در میان برنامههای کاربردی به صورت مستقیم با نحوه همبندی شبکه شما مرتبط است.
نقشها را تعیین کنید
پس از آشنایی با محیط عملیاتی، میبایست تمامی نقشهای اجزای سازنده، تعیین و مستند شوند. ممکن است مسئولیت انجام این کار با شما نباشد، در این صورت سعی کنید فرد مرتبط با این موضوع را برای ایجاد سند مربوط آگاه سازید. تعدادی از نقشهای اصلی عبارت است از وظیفه هر سرور و نوع ارایه سرویس توسط هر سرویسدهنده. همچنین نقش برنامههای کاربردی در منطق کسب و کار سازمان شما بیانگر میزان اهمیت امنیت اطلاعات برای آنها است. در نظر داشته باشید نقشهای انسانی نیز در تدوین مدل امنیتی سازمان شما حیاتی است. سعی کنید برای تمامی مواردی که در مرحله شناخت برای شما مهم بودهاند، نقش مرتبط را تعیین کنید.
نوع دسترسیها را بررسی کنید
پس از تعیین نقشهای اصلی، نوع دسترسی برای هر گروه و هر فرد میبایست مشخص شود. تمامی اجزای شبکه سازمان شما، میبایست دارای نوع دسترسی کنترل شده باشند. از دیدگاه شبکه، تمامی کاربران سیستمهای اطلاعاتی نیز قسمتی از اجزای شبکه میباشند. همچنین کاربران راه دور، شرکتهای همکار، شعب و مشتریان قسمت دیگری از اجزای شبکه میباشند. هر چند ممکن است تمامی این اجزا در ۲ و یا ۳ گروه دسترسی خلاصه شوند، اما این دسته بندی میبایست آگاهانه و به دور از ایجاد استثنا برای کارهای موقتی باشد. بسیاری از حملات و آسیبپذیریها بر روی شبکههای اطلاعاتی، به خاطر ایجاد استثنا در زمان نیاز میباشد.
از چیزهایی که نمیدانید به آسانی عبور نکنید
پس از تمامی کنترلهای اولیه، به احتمال زیاد نقاط تاریکی در ساختار شبکه و سازمان اطلاعاتی شما باقی خواهد ماند. این نقاط تاریک مناسبترین محل شروع برای یک حمله به سمت سازمان شما خواهد بود. خرابکاران اینترنتی و نرمافزارهای مخرب تبحر ویژهای در یافتن این نقاط و سواستفاده از آنها دارند. هر چه قدر این نقاط تاریک مشخصتر و شفافتر باشند، شانس خرابکاری و آسیب بر روی اطلاعات مهم شما کمتر خواهد بود. اگر نمیتوانید تمامی نقاط تاریک را برطرف سازید، حداقل آن را به عنوان یک مشکل مستندسازی کنید و مدیران سازمان خود را از وجود آن مطلع سازید.
چرخ را دوباره اختراع نکنید
ضربالعجلهای کاری، کمبود زمان و نیرو، عدم اشرف کامل به فنآوریهای اطلاعاتی و احساس دانایکل بودن از جمله مواردی است که باعث ایجاد مجدد چرخ در سازمانها میشود. هر چند این موارد ممکن است در بازههای زمانی موقت باعث انجام کار شود، اما در دراز مدت باعث ایجاد هرج و مرج اطلاعاتی و عدم امکان کنترل و مدیریت امنیت اطلاعات خواهد شد. به عنوان مثال استفاده از الگوریتمهای رمزنگاری خودساخته و غیراستاندارد، و یا ایجاد روشهای افزونگی غیراستاندارد، و یا استفاده از برنامههای اطلاعاتی بدون پشتیبانی مناسب، از مهمترین مواردی است که باعث بروز آسیبپذیریهای امنیتی میشوند.
همچنین عدم در نظر گرفتن شیوهنامهها و استانداردهایی که برای هر صنعت متداول است، میتواند باعث افزایش شانس بروز آسیبپذیریهای امنیتی در ساختار اطلاعاتی سازمان شود. برای این مورد هم میتوان به عنوان نمونه، از عدم رعایت شیوهنامه بازل در صنعت بانکداری در بخش امنیت اطلاعات اشاره نمود.
همه چیز را دوباره بررسی کنید
هر چند در سازمان شما زمان و انرژی زیادی صرف کنترل و بررسی موارد امنیتی و اطلاعاتی شده است، اما میبایست در نظر داشت که اطمینان از صحت داشتهها و اطلاعات، اولین شرط برای شروع اجرای تصمیمات جدید است. سعی کنید یک فهرست از تمام مواردی که برای امنیت اطلاعات سازمان شما حیاتی است تهیه کنید و با مراجعه به افراد مسئول و تصمیمگیر در هر مورد آخرین بررسیها در مورد صحت داشتهها و اطلاعات را انجام دهید. پس از بررسی و کنترل، سندی از اطلاعات مورد توافق تهیه کنید و آن را به عنوان معیار هر مورد اطلاعاتی قرار دهید. به عنوان مثال نوع دسترسی افراد به اطلاعات و میزان دسترسی تجهیزات تحت شبکه به منابع شبکه از مواردی است که میبایست Double Check و نهایی گردد. از این پس، تصمیم اخذ شده به عنوان معیاری برای اعمال قوانین امنیتی خواهد بود.
همه چیز را به صورت مستمر کنترل کنید
آخرین بخش پیشنهادی، Monitoring است. تمامی اطلاعاتی که از ساختار اطلاعاتی خود کسب کردهاید و تمامی اجزای ساختار امنیت اطلاعات در سازمان شما میبایست به صورت مستمر و بدون وقفه تحت کنترل باشد. قسمتی از این کنترل مستمر روالهای انسانی و قسمت مهمتر آن ذخیرهسازی و پردازش لاگفایلها و گزارشات امنیتی است. به زبان سادهتر، پایش امنیتی تمامی اجزای ساختار امنیت اطلاعات در سازمان شما، کلید حفظ وضعیت مطلوب و آگاهی از بروز وقایع در تمامی زمانها است.
