روشهای کنترل جهت حفاظت اطلاعات

حفاظت بطور متداول به معنای رهایی از خطر یا ایجاد شرایطی برای سلامتی است.

حفاظت و امنیت اطلاعات در رایانه از نظر نرم افزاری، حفاظت از داده ها و اطلاعات در برابر افشا ،تغییر یا تخریب توسط افراد غیرمجاز می باشد و از نظر سخت افزاری شامل حفاظت از سیستم رایانه در مقابل استفاده غیرمجاز ،تغییر یا تخریب رایانه می گردد.افراد غیرمجاز ،کاربران یا برنامه های اجرایی هستند که بدون نظارت و یا بصورت دزدانه،عملیات فوق را انجام می دهند.

روشهای کنترل برای ایجاد امنیت اطلاعات،شامل سه بخش می باشد

ایجاد کنترل های فیزیکی
ایجاد کنترل های تکنیکی
ایجاد کنترل های اداری

هرکدام به دو زیرمجموعه تقسیم می شود

روشهای کنترل مبتنی بر ممانعت
روشهای کنترل مبتنی بر آشکارسازی

ممانعت کننده ها تلاش می کنند از اتفاقات ناخواسته جلوگیری کنند درحالی که آشکار کننده ها تلاش می کنند اتفاقات ناخواسته را پس از آنکه اتفاق افتادند، قابل رویت نمایند.

آشکار کننده های معمولی عبارتند از

بازرسی دنباله ها Audit Trial
آشکارسازهای نفوذ Intrusion Detection
مجموع مقابله ای Checksum

سه متد تکمیلی برای حفاظت و امنیت اطلاعات وجود دارد

تهدید کننده Deterrent
اصلاح کننده Corrective
بازیابی کننده Recovery

روشهای کنترل مبتنی بر استفاده از تهدیدکننده ،جهت دلسرد نمودن افراد از تخلف عمدی حفاظتی است.این کنترل ها معمولا محدودیت هایی را بوجود می آورند که فعالیت های غیرمجاز و یا عملیات حمله کننده های سلسله ای را سخت و دشوار می سازند.

روشهای کنترل مبتنی بر استفاده از اصلاح کننده به دو منظور بکار می روند

یا جهت رفع خرابی های بوجودآمده توسط ماموریت های غیرمجاز بکار می روند
یا شرایط داده ها و سیستم را به حالت قبل از خرابی یا تجاوز برمی گرداند.

اجرای این روشها ممکن است شامل بازگرداندن سیستم به حالت قبل ،از نظر فیزیکی ،تکنیکی یا اداری گردد.

روشهای کنترل مبتنی بر استفاده از بازیابی کننده،جهت بازگرداندن منابع اطلاعاتی گم شده بکار می رود و باید بتواند کل یا قسمتی از تلفات مالی سازمان را که درنتیجه تجاوزهای حفاظتی بوجود آمده است را جبران نماید.

ایجاد کنترل فیزیکی

حفاظت فیزیکی شامل استفاده از قفل ها ،گاردهای خفاظتی ،لباس های نشان دار،هشدارها و اندازه گیری های دیگر است که جهت کنترل دسترسی به رایانه ها و تجهیزات مرتبط با آنها (مانند نرم افزارها)واجرای برنامه ها بکار می رود.بعلاوه برای حفاظت مطمئن ازسیستم های رایانه ای ،تجهیزات آنها و اطلاعالت درون آنهادر مقابل جاسوسی ،دزدی،تخریب،خرابی های تصادفی،آتش سوزی و بلایای طبیعی (مانند سیل و زلزله )باید تدابیر خاصی اعمال شود.

ممانعت کننده های فیزیکی:متد ممانعت های فیزیکی شامل روشهایی است که از ورود غیرمجاز به داخل مجموعه های رایانه ای (مانند:اتاق رایانه و تجهیزاتپشتیبانی ) یا کپی کردن دیسک های سخت و یا ورود و خروج تجهیزات (مانند کول دیسک)جلوگیری می نمایند.همچنین در مقابل بلایای طبیعی محافظت کاملی را ارائه می نماید.

مثالهایی از ممانعت کننده فیزیکی جهت کنترل دسترسی،مبتنی بر استفاده از موارد زیر است

کپی پشتیبان از اسناد و فایلها:فایلهای پشتیبان باید در فاصله دورتری از فایل های اصلی نگه داری شوند تا درصورت بروز اتفاق تصادفی و یا تخریب در موقعیت فایل های اصلی ،فایل های پشتیبان درگیراین اتفاق نباشد و سالم باقی بمانند.سیستم های پشتیبانی باید درموقعیت های حفاظت شده که از مواد غیرقابل اشتعال ساخته شده اند،واقع شده باشند.از نظر حفاظتی فایلهای پشتیبان درسطحی مشابه سطح حفاظتی فایل اصلی قرارگیرند.
حصار و پرچین:اگرچه ایجاد حصردر اطراف یک موقعیت بدلیل داشتن وسعت دید ،حفاظت مناسبی را برای متجاوزان ایجاد نمی کند اما یک خط حفاظتی برای افراد کنجکاو می باشد.حفاظها باید دارای آلارم باشند یا اینکه تحت نظارت مستمر نگهبانان ،سگ ها یا دوربین های مداربسته باشند.
ماموران حفاظتی:ماموران حفاظت اغلب در ورود تاسیسات می نشینند و بر ورود و خروج افرادی که هویت آنها تایید شده است نظارت می کنند.ماموران در هنگام ورود و خروج افراد بربسته ها و دیگر وسایلی که توسط افراد حمل می شوند نظارت می کنند وفقط به بسته های مجاز اجازه ورود و خروج می دهند.برای افزایش کارایی می توان آلارم ها و آشکارسازهایی را از نقاط دیگر به موقعیت محافظان سیم کشی نمود و بعلاوه ،ماموران در ساعت های بیکاری باید در محدوده های بدون مراقبت گشت زنی نمایند تا از ورود افراد متجاوز جلوگیری نمایند.
لباس های آرم دار:دسترسی فیزیکی به محیطهای رایانه ای می تواند توسط سیستم یکنواخت لباس های آرم دار بطور موثرتری کنترل شود.سیستم های آرم خوان چنان برنامه ریزی میشوند که فقط به افراد تایید هویت شده اجازه ورود بدهند.بنابراین افراد متجاوز بسرعت شناسایی میشوند.
دو درب ورودی:سیستمهایی که دارای دو درب ورودی پشت سرهم هستند ،می توانند جهت ورود به محیط های حساس بکار روند.وجود دو درب ، راه مناسبی جهت ممانعت از نزدیک شدن متجاوزان در کنار افراد تایید صلاحیت شده است.
قفل ها و کلیدها:بطور متداول قفل ها و کلیدها برای کنترل دسترسی به محیط های حساس استفاده میشوند.خیلی از تجهیزات از کلیدهای رمزی استفاده می کنند.توسط قفل های رمزی بایستی نحوه حرکت بازوها مخفی نگه داشته شود تا از کشف ترکیب رمز جلوگیری شود.
برق اضطراری:برای پایدار بودن سرویس های رایانه ای در زمان قطعی برق ،ضروری است .همچنین از خرابی سیستم ها در هنگام قطع و وصل شدن برق جلوگیری می نماید.
نشانه های طبیعی افراد:شناسایی افراد از روی نشانه های طبیعی خودشان یک روش پیشرفته تر جهت کنترل دسترسی افراد نسبت به لباسهای آرم دار می باشد.نشانه های طبیعی که جهت شناسایی استفاده میشوند عبارتند از :اثرانگشت،اثر دست،الگوی صدا،نمونه صدا،نمونه امضا و اسکن شبکیه .بدلیل آنکه نشانه های طبیعی افراد گم نمیشوند و به اشتراک گذاشته نمیشوند،سطح بالاتری از امنیت را نسبت به لباس های آرم دار ایجاد می کنند.
انتخاب موقعیت سایت:موقعیت سایت برای قراردادن تجهیزات رایانه ای باید با دقت انتخاب گردد تا ریسک و خطرپذیری مشهودی نداشته باشد.محیطهایی که نزدیک گسلهای زلزله و در معرض سیلاب و احتمال آب گرفتگی را بهمراه دارند و همچنین نزدیک فرودگاه ،در محل پیچ جاده که خطرپذیر می باشند و موقعیت هایی در نزدیکی ریل های راه آهن با لرزش های فراوان ،احتمال ایجاد مشکلات پایدار در سیستم ها بهمراه دارند مناسب نمی باشد.
سیستم های اطفا حریق:کنترل آتش برای جلوگیری از خطرات فاجعه آمیز و جلوگیری از وقفه های طولانی در پردازش اطلاعات ،بسیار مهم است.تجهیزات رایانه ای باید به اندازه کافی از محل هایی که امکان آتش سوزی را دارند دورباشند.مهم آنست که در این محل ها ،نمونه های مناسبی از تجهیزات اطفا حریق براحتی در دسترس باشند.کارمندان باید روشهای استفاده از تجهیزات اطفا حریق را دیده باشند و برنامه های لازم جهت جلوگیری گسترش آتش را بشناسند.استفاده از سیستم اطفا اتوماتیک مانند آب پاشهای اتوماتیک ،بسیار مهم است.

آشکار کننده های فیزیکی:آگاهی می دهند که اقدامات حفاظت فیزیکی مورد تهاجم قرار گرفته اند.نمونه هایی از این آشکارکننده ها عبارتند از :

آشکارسازهای حرکت:در محیط های رایانه ای که اغلب کسی در آنجا حضور ندارد.آشکارسازهای حرکت جهت ایجاد توجه در هنگام تهاجم مفید است.این آشکارسازها باید تحت نظر مستقیم ماموران حفاظت باشند.
آشکار سازهای آتش و دود:آشکارهای آتش و دود باید در موقعیت های استراتژیک قرار گرفته باشند تا هشدارهای لازم را در هنگام آتش یا دود سریعا فعال نمایند.
تلویزیون های مداربسته:تلویزیون مداربسته می تواند جهت نمایش دادن عبور و مرور در موقعیتی که اغلب کاربری در آنجا نیست بکار رود.این روش کمک می کند که رفتارهای خصمانه افراد مشاهده شود.
سنسورها و آلارم ها:حسگر ها و آلارم ها دما و رطوبت موجود در اطراف تجهیزات را نمایش می دهند،تا بازرسان و سرپرستان را نسبت بخ وضع دما و رطوبت مطلع سازند.اگر شرایط نرمال وجود نداشته باشد،آلارم ها و هشداردهنده ها کاربران و متخصصین آگاه می نمایند تا قبل ازآنکه توقف کاری بوجود آید شرایط به حالت نرمال بازگردانند.

ایجاد کنترل کننده های تکنیکی:

حفاظت تکنیکی شامل استفاده از گاردهای مناسب در سخت افزار رایانه ها ، نرم افزارها و سخت افزارهای ارتباطی و دیگر ابزارهای ارتباطی مرتبط می شود.

ممانعت کننده های تکنیکی:این ممانعت کننده ها جهت جلوگیری از دسترسی راه دور و بهره برداری از منابع اطلاعاتی بکاربرده می شوند.دسترسی متجاوزانه می تواند توسط افراد غیرمجاز یا برنامه های غیرمجاز انجام شود.این ممانعت کننده تکنیکی عبارتند از:

نرم افزارهای کنترل دسترسی:هدف نرم افزارهای کنترل دسترسی ،نظارت بر اشتراک داده ها و برنامه ها،بین کاربران تصدیق هویت شده می باشد.دربسیاری از سیستم های رایانه ای،دسترسی به داده ها و برنامه ها توسط لیست های کنترل دسترسی پیاده سازی می شود بطوریکه این لیست ها مشخص می نماید چه کاربرانی به چه اطلاعاتی دسترسی داشته باشند.
نرم افزارهای آنتی ویروس:ویروس ها می توانند در مقیاسی جهانی و همه گیر از طریق رایانه ها منتقل شوند و با تخریب داده ها بطور موثری به بهره برداری از سیستم ها تاثیر بگذارند و تا زمانی که ویروس بطورکامل از رایانه ها پاک نشده است کارایی شبکه را کاهش می دهند.
سیستم های کنترل کتابخانه:همه تغییرات در داده های برنامه های تولیدی باید توسط پرسنل کنترل کننده کتابخانه ها انجام شود،نه آنکه این تغییرات توسط برنامه نویس ها انجام شود.این طرزکار،اجرای وظایف بطور مستقل را تعیین می نماید و کمک می نماید تا تغییرات غیرمجاز در برنامه های تولیدی اتفاق نیافتد.
رمز ها:رمز ها باعث تایید هویت کاربران با شناسه خاص می شوند و نشان دهنده آنست که کاربر،صاحب اصلی شناسه می باشد.ترکیب شناسه و رمز برای هرکاربر ،منحصربفرد است و راه کاری را فراهم می نمایند که کاربران جوابگوی فعالیت های خودشان درسیستم و شبکه باشند.رمزهای ثابتی که برای مدت طولانی استفاده میشوند ،راحتر کشف می شوند.رمزهای ثابت ،اغلب برای دسترسی به پایگاههای داده استفاده می شوددر این حالت ،اگرهمه افراد جهت تصدیق هویت از یک رمز مشابه استفاده نمایند هیچگونه جوابگویی را نمی توان از کارکنان انتظار داشت.هم اکنون،رمزهای دینامیک و یا رمزهای یکبار مصرف که جهت یکبار ورود استفاده شده و پس از هربار ورود تغییر می نمایند .مناسب تر از رمزهای ثابت می باشند.
کارت های هوشمند:کارت های هوشمند معمولا در اندازه های کارت های اعتباری هستندو شامل یک پردازشگر هستند که حاوی توابع منطقی و اطلاعاتی است که توسط ترمینالهای خاصی جهت شناسایی کاربر خوانده میشود و امتیازات و سطح دسترسی کاربر را مشخص می کند.کارت های هوشمند دارای اطلاعاتی هستند که از قبل لر روی آنها ضبط شده اندو معمولا اطلاعات مربوط به کنترل دسترسی بصورت رمزنگاری شده درون آنها ذخیره شده است.این اطلاعات بهمرا اطلاعات ارائه شده توسط فرد مانند شناسه و یا ویژگی های طبیعی جهت تصدیق هویت بکار می رود.
رمزنگاری :تبدیل متون معنا دار به متون رمز شده توسط تکنیک های خاص را ،رمزنگاری می گویند.این روش مطمئن ترین راه برای حفاظت از اطلاعات در شبکه می باشدورمزنگاری می تواند توسط یک نرم افزاریا یک سخت افزار پیاده سازی شود.رمزنگاری نرم افزارها برای کاربردهایی که حجم کمی از اطلاعات را رمز می کنند،مناسب تراست .رمزنگاری توسط یک سخت افزار برای پردازش رمز نمودن حجم بالای اطلاعات بسیار مناسب تر میباشد.
کنترل دسترسی از طریق تلفن و شماره گیری اتوماتیک:اگر از طریق شماره گیری تلفنی ،دسترسی خاصی به یک سیستم رایانه ای ایجاد شود،خطر تهاجم به این رایانه افزایش می یابد.در شبکه هایی که شامل رایانه های شخصی نیز میشوند و یا در شبکه هایی که با شبکه های دیگر نیز در ارتباط هستند،همواره این احتمال وجود دارد که فردی با تهیه نمودن یک مودم ،دسترسی تلفنی برای افراد مهاجم تدارک ببیند.هم اکنون ،کنترل کننده های خوب ،امکان دسترسی از طریق تلفن را برای رایانه ها تدارک دیده اند و از این روش ،پشتیبانی می کنند.این کنترل کننده ها ،هویت کاربر متصل شده به شبکه را از طریق رمزهای دینامیک تایید می نماید و کاربر را به رایانه و منابع اطلاعات مورد درخواستش متصل می نماید.قبلا سیستم هایی بکار می رفتند که توسط آنها به تلفن ها جواب داده میشد و پس از تصدیق هویت درخواست کننده ،این سیستم از طریق شماره تلفنی که کاربر قبلا در اختیار شبکه قرارداده بود با آن فرد تماس می گرفتند .این روش را شماره گیری اتوماتیک نامیده ایم. و اگرچه در ابتدا بنظر می رسید روش بسیار موثری است اما هکرهای حرفه ای روش شکست داده این کنترل کننده ها را توسط تکنیک های CALL FORWARDING پیاده سازی نموده اند.

آشکارکننده های تکنیکی: آشکار کننده های تکنیکی،با استفاده از تکنیک های حفاظنی در صورت وجود یک متجاوز ،هشدارهای لازم را به کارمندان و متصدیانمی دهند.نمونه هایی از این مثال ها ،عبارتند از:

حسابرسی رشته ها:یک رشته حسابرسی یک رکورد از فعالیت های سیستم است که ماموران را به دوباره سازی و آزمایش که در یک معامله انجام شده است را قادر می سازد.این اتفاقات از لحظه اول تا خروجی نهایی بصورت رشته ای از داده ها ذخیره می شوند.گزارشات منعکس شده درون رشته های حسابرسی بطور موثری می توانند اتفاقات حفاظتی که ناشی از یک خطای واقعی یا یک خطای عمدیست ارائه نمایند.گزارشات تخلفا بایستی مرتبا توسط مامورین حفاظت و یا صاحبان پایگاه های داده بررسی شوند تا نحوه و تعداد تجاوزات ناموفق و تجاوزاتی که موفق به کسب اطلاعات در سیستم مشخص نمایند.
سیستم های آشکارسازی متخلفان:این سیستم های هوشمند ردپایه کاربران را دنبال می کنند برای این منظور از مشخصه کاربران استفاده می کنند.تا زمانی که کاربران از رایانه استفاده میکنند این سیستم ها بطور هوشمند مشخص می نمایندکه آیا فعالیت جاری کاربر با سطح دسترسی و وظیفه کاری وی سازگاری دارد یا خیر .اگر خیر آنگاه این سیستم ها یا دسترسی کاربر به شبکه را قطع می نمایند و یا به مسئولین حفاظت گزارش می دهند تا موضوع رسیدگی نمایند.این آشکارسازی های هوشمند به ویژه در زمانی که یک متجاوز خودش را بعنوان شخص مجاز معرفی نمایدیا زمانی که یک کاربر مجاز در حال فعالیت غیر مجاز خارج از محدوده کاری خودش است موثر هستند.

ایجادکنترل های اداری

اجرای حفاظت توسط متصدیان ،شامل تدوین محدودیت های مدیریتی ،بیان روشهای اجرائی ،ایجاد روشهای پاسخ گویی و طراحی برنامه های تکمیلی است که جهت بدست آوردن یک سطح حفاظتی قابل قبول در محیط شامل منابع رایانه ای بکار می رود.بعلاوه اجرای کنترل های حفاظتی شامل اجرای پروسه ای میشود که اطمینان لازم را برای تصدیق هویت و تعیین سطح اختیارات حفاظتی همه کارکنان ایجاد می نماید.

ممانعت کننده های اداری:ممانعت کننده های اداری،تکنیک هایی براساس فعالیت کارکنان می باشد که جهت کنترل رفتار افراد در مقابل داده ها و برنامه های رایانه ای بکار می رود.تا رازداری ،بی عیب و نقض بودن و قابلیت استفاده را برای داده ها و برنامه های محاسباتی تامین نمایند.نمونه هایی از ممانعت کننده های اداری عبارتند از:

آگاهی های حفاظتی کارکنان و تکنیک های کارآموزی:برای افزایش آگاهی و فهم تمرینات حفاظتی،کارآموزی تکنیک ها یک معیار مهم برای کاربران است.که باعث میشود کاربران نیازهای کنترلی را بهتر درک نمایندو کارآموزی می تواند کاربران را در برابر اکثر خطاهای امنیتی متداول کمک کند. مثالهایی از کارآموزی تکنیکها:

*شناختن روشهای مناسب تهیه کپی پشتیبان از داده ها و برنامه ها

*آشنایی با برنامه های آنتی ویروس

*آشنایی با وضعیت بحرانی مانند آتش سوزی

*آشنایی با اقداماتی که کارکنان باید دراین مواقع طبق برنامه مشخصی انجام دهند.

جداسازی وظایف:ابتدا باید وظایف کارکنان یک سازمان مشخص گردد تا بتوان تقسیم وظایف نمود سپس با تقسیم وظایف ،افراد خاصی را برای هروظیفه استخدام می گردد.در غیراینصورت باعث تداخل وظایف و شانه خالی کردن شخص از وظیفه محوله و به گردن دیگران انداختن است و این تقسیم وظایف ،یک روش اجرای کنترل می باشد.

پروسه استخدام و فسخ قرارداد:داشتن یک پروسه استخدام مناسب و بی عیب جلوی خیلی از مشکلات را خواهد گرفت.که شامل استخدام افرادی که ممکن است از خط مشی حفاظتیتجاوز کنند و یا انتظاراتی که کارکنان یک سازمان در استخدام آشنایان و وابستگان خود دارند.یک پروسه استخدام مناسب شامل بررسی موارد زیراست.

ویژگی های خصوصی فرد:قابل اعتماد بودن،امانت داری،گروهی کارکردن و... که با سوالاتی که در فرم های استخدام پرسیده میشود بدست می اید.
ویژگی های کاری فرد:مانند شایستگی های فرد برای انجام دادن یا قابلیت آموزش وی جهت انجام دادن مسئولیت های شغل که با بررسی رزومه بدست می آید.
ویژگی های مالی فرد:عادت های مالی فرد بررسی میشود که طرز برخورد شخص با بدهکاری ها و موعد انقضا بدهی هایش است

یک پروسه فسخ قرارداد هم همانند مراحل بالا،بایدرعایت شود.

برنامه ها وخط مشی های حفاظتی:

نظارت:

راهنمای بهبود فاجعه ها،عملیاتهای احتمالی و ارژانسی:

ثبت مشخصات کاربران برای دسترسی به رایانه ها:

ادامه دارد

روشهای کنترل جهت حفاظت اطلاعات

مطالب مشابه :

استخدام در وزارت اطلاعات جمهوری اسلامی ایران

شرايط استخدام در وزارت اطلاعات چيست؟

شرایط و نحوه استخدام در وزارت قدرتمند و ولایی اطلاعات جمهوری اسلامی ایران

همه چیز در مورد گارد حفاظت فیزیکی ریاست جمهوری

حفاظت اطلاعات

روشهای کنترل جهت حفاظت اطلاعات

شرايط استخدام در وزارت اطلاعات چيست؟

سازمان حفاظت اطلاعات ارتش ج ا ا

شرایط استخدام در سپاه پاسداران ماده 1 تا 100فصل اول