مدیریت سیستم های امنیت اطلاعات

چکیده

 با توجه به نقش اطلاعات به عنوان کالای با ارزش در تجارت امروز لزوم حفاظت از آن ضروری بنظر می رسد. برای دستیابی به این هدف هر سازمان بسته به سطح اطلاعات( از نظر ارزش اقتصادی) نیازمند به طراحی سیستم مدیریت امنیت اطلاعات دارد تا از این طریق بتواند از سرمایه های اطلاعاتی خود حفاظت نماید. این مقاله سعی دارد به بررسی چگونگی و روند ایجاد یک سیستم امنیت اطلاعات بپردازد.

مقدمه
گرچه بحث دسترسی به اطلاعات و از سوی دیگر امنیت و حفاظت از اطلاعات در سطح کشوری برای حکمرانان از زمانهای قدیم مطرح بوده و دستیابی به اطلاعات نظامی و کشوری گاه موجب نابودی قومی می شده است اما با توسعه فناوری اطلاعات و استفاده از اطلاعات به عنوان یک ابزار تجاری و سرمایه سود آور، بحث امنیت اطلاعات بعد جدیدی به خود می گیرد. در تجارت امروز، اطلاعات نقش سرمایه  یک شرکت[۱] را ایفا می کند و حفاظت از اطلاعات سازمان یکی از ارکان مهم بقای آن می باشد. جهانی شدن اقتصاد منجر به ایجاد رقابت در سطح جهانی شده و بسیاری از شرکتها برای ادامه حضور خود در عرصه جهانی، ناچار به همکاری با سایر شرکتها هستند. به این ترتیب، طبقه بندی و ارزش گذاری و حفاظت از منابع اطلاعاتی سازمان ( چه در مورد سیستم اطلاعاتی و چه اعضای سازمان) بسیار حیاتی و مهم بشمار می رود. سیستم مدیریت اطلاعات ابزاری است در جهت طراحی پیاده سازی و کنترل امنیت نرم افزار و سخت افزار یک سیستم اطلاعاتی(Pipkin, 2000).

 مدیریت امنیت اطلاعات
مدیریت امنیت اطلاعات بخشی از مدیریت اطلاعات است که وظیفه تعیین اهداف امنیت و بررسی موانع سر راه رسیدن به این اهداف و ارائه راهکارهای لازم را بر عهده دارد.  همچنین مدیریت امنیت وظیفه پیاده سازی و کنترل عملکرد سیستم امنیت سازمان را بر عهده داشته و در نهایت باید تلاش کند تا سیستم را همیشه روزآمد نگه دارد. هدف مدیریت امنیت اطلاعات در یک سازمان، حفظ سرمایه های (نرم افزاری، سخت افزاری، اطلاعاتی و ارتباطی و نیروی انسانی) سازمان در مقابل هر گونه تهدید ( اعم از دسترسی غیرمجاز به اطلاعات، خطرات ناشی از محیط و سیستم و خطرات ایجاد شده از سوی کاربران) است ( دشتی، ۱۳۸۴: ۱۵۹). و برای رسیدن به این هدف نیاز به یک برنامه منسجم دارد. سیستم امنیت اطلاعات راهکاری برای رسیدن به این  هدف می باشد.

سیستم امنیت اطلاعات
 یکی از وظایف مدیریت امنیت بررسی و ایجاد یک سیستم امنیت اطلاعات است که  متناسب با اهداف سازمان باشد. برای طراحی این سیستم باید عوامل مختلفی را در نظر گرفت. محاسبه ارزش اطلاعات از نظر اقتصادی، بررسی خطرات و محاسبه خسارتهای احتمالی و تخمین هزینه- سودمندی استفاده از سیستم امنیت اطلاعات، بررسی تهدیدات احتمالی و بررسی راهکارهای مختلف و انتخاب سودمندترین روش برای طراحی سیستمهای امنیت اطلاعات ضروری بنظر میرسد(Pipkin, 2000).
مجموعه مراحلی که در طراحی یک سیستم امنیت اطلاعات در نظر گرفته می شود به شرح زیر می باشد:
·  آشنایی با منابع اطلاعاتی موجود در سازمان: مجموعه منابعی که یک سازمان در اختیار دارد شامل افرادی که در سازمان شاغل هستند، امکانات و سرمایه های مادی، اطلاعاتی و که حوضه های کاری را مشخص می کند و سازمان را از سایر سازمان ها جدا می کند، ساختارها یک سازمان مثل نیروی برق، ارتباطات و تبادلات اطلاعاتی و غیره … می باشد. بعلاوه طراح سیستم باید با مجموعه الگوریتمها و نرم افزارهای سیستم اطلاعاتی سازمان، امکانات موجود در سازمان و فرایند تولید و بازیابی اطلاعات و کاربران این اطلاعات آشنایی کامل داشته باشد. آشنایی با منابع مربوط به حوضه اطلاعات یک سازمان موجب درک وضعیت و میزان نیاز به امنیت و چگونگی اعمال راهکارهای امنیتی مناسب با آنها خواهد شد.
·  ارزیابی ارزش اطلاعات: قیمت گذاری اطلاعات به دو شکل قابل تخمین(محسوس) و غیر قابل تخمین ( غیر محسوس ) قابل محاسبه است[۲]. اطلاعات موجود در سازمان مورد ارزیابی قرار گرفته و هزینه تولید آن به هر دو شکل باید محاسبه شود. علاوه بر این ضروری است ارزش هزینه تولید و هزینه تولید دوباره اطلاعات در صورت تهدید امنیتی و از بین رفتن اطلاعات محاسبه شود هزینه بازتولید اطلاعات شامل نیروی انسانی، ماشین، تجهیزات و زمانی است که صرف جمع آوری و ورود و هماهنگی اطلاعات خواهد و همچنین مقایسه آن با هزینه ایجاد امکانات حفظ اطلاعات مثل تهیه پشتیبان مناسب و بارگزاری به موقع اطلاعات و همچنین هزینه نرسیدن به موقع اطلاعات در هر یک از این مدل ها موجب می شود مدیریت امنیت اطلاعات سیستمی متناسب با ارزش اطلاعات سازمان طراحی کند(Pipkin, 2000).
·  هزینه فاش شدن اطلاعات: مورد دیگری که باید بدقت مورد بررسی قرار گیرد هزینه فاش سازی اطلاعات است اینکه چه اطلاعاتی با فاش شدن صدمات بیشتری به سرمایه های سازمان وارد خواهد کرد و به این ترتیب تعیین سطوح مختلف ارزش اطلاعاتی و سازمان دهی و طبقه بندی اطلاعاتی و هزینه افشا سازی هر یک از سطوح اطلاعاتی مسئله ای است که نباید در طراحی سیستم های اطلاعاتی مورد غفلت قرار گیرد(Pipkin, 2000).
·  تهدیدات سیستم اطلاعاتی: مجموعه تهدیداتی که متوجه سیستم  اطلاعاتی می باشد به دو صورت کلی می باشد برخی به صورت عمدی ایست مثل کلاهبرداری های اینترنتی، حملات ویروسها و هکرها، و یا به صورت غیر عمدی صورت می گیرد مثل اشتباهات انسانی، مشکل سخت افزاری و نرم افزاری و بلایای طبیعی.

انواع خطرهای تهدید کننده سیستم اطلاعاتی
اشتباه‌های انسانی: که بیشترین میزان خسارات از این طریق به سیستم اطلاعاتی وارد می شود. عدم ارائه آموزشهای مناسب و عدم آگاهی و روزآمدسازی اطلاعات توسط کاربران و تولیدکننده گاه اطلاعات و گاه بی توجهی آنها در کار موجب تحمیل هزینه های سنگین بر سازمان می شود. که با آموزش مناسب بخش مهمی از مسایل مربوط به کاربران اطلاعاتی حل خواهد شد. بی دقتی و بی توجهی کارمندان نسبت به مسایل امنیتی نیز گاه موجب بروز مشکلات می شود شخصی به عنوان منشی دفتر فنی به کارمندان زنگ زده و می گوید برای رفع مشکل امنیتی نیاز به اسم کاربری و کلمه عبور کارمندان بخش دارد احتمال اینکه از هر ۱۰۰ کارمند تعدادی به این سوال جواب دهند زیاد است. ممکن است پنجره ای باز شود و بگوید که اتصال شما به شبکه قطع شده برای وصل شدن اسم کاربری و کلمه رمز خود را وارد کنید(احترامی، ۱۳۸۳: ۱۳۸). اینها مثالهایی هستند که در صورت سهل نگاری کاربران شرکت اطلاعات به راحتی در اختیار جاسوسان اطلاعاتی قرار می گیرد.  نوع دیگر از خطراتی که توسط کاربران متوجه سازمان است شکل عمدی داشته و در این حالت سازمان باید با تعیین دقیق حدود اطلاعات و نیز دقت در انتخاب کاربران اطلاعاتی صدمات آن را تا حد امکان کاهش دهد. در جهانی که اطلاعات سرمایه ای برای رقابت سازمانها و شرکتها می باشد، با داشتن امکانات و تجهیزات امنیتی نمی توان مطمئن بود که سیستم امن است، ممکن است مشاور یک شرکت برای رقیب نیز نقش مشاوره داشته باشد در این صورت احتمال فاش شدن اطلاعات سازمان شما وجود دارد. کارمندان خوب، وجود روابط مناسب و خوب در محیط کاری تا اندازه زیادی موجب کاهش این خطرات می شود(Pipkin, 2000).
1.  خطرات ناشی از عوامل طبیعی: سیل، زلزله، آنش سوزی، طوفان، صاعقه و غیره… جز عواملی هستند که هر سیستمی را تهدید می کنند. استفاده از تجهیزات مناسب و ساختمان مقاوم در مقابل بلایای طبیعی و طراحی نظام بازیابی مجدد اطلاعات تا حدی می تواند مشکلات ناشی از آن را کاهش دهد.
2.  ایرادات سیستمی: مشکلات نرم افزاری و سخت افزاری سیستم ممکن است تهدیدی برای امنیت اطلاعات سیستم محسوب شود. امروزه  سیستمهای سخت افزاری و نرم افزاری نسبت به قبل بهتر شده است مشکلات سخت افزاری شامل توپولوژی نامناسب شبکه اطلاعاتی، تجهیزاتی که با هم هماهنگ نیستند، مشکلات مربوط به تجهیزات ارتباطات شبکه(کابلها و مسیریابها ) و قطع و وصل برق و غیره بوده و از مشکلات نرم افزاری می توان به سیستمهای [۳]legacy، holl های موجود در سیستم نرم افزار که امکان حمله های هکرها را بیشتر می کند، عدم هماهنگی میان نرم افزار و سخت افزار اشاره کرد(Pipkin, 2000).
3.  فعالیتهای خرابکارانه: مجموعه فعالیتهایی که توسط انسان یا ماشین در جهت حمله به سیستم اطلاعاتی و تهدید منابع و امکانات و در راستای تخریب، تغییر و یا فاش کردن اطلاعات یک سیستم انجام می شود. فعالیتهای خلاف شامل سرقت سخت امکانات سخت افزاری و نیز فعالیتهایی که به جرایم سایبرنتیکی[۴] معروفند می شود. راهکارهای لازم برای حفاظت از مجموعه امکانات سازمان(جه امکانات و تجهیزات مربوط به سیستم اطلاعاتی و چه سیستم های دیگر سازمان) برای هر سازمان ضروری ایست. براساس آمار ارائه شده در سال ۱۹۹۸، ۴۸درصد و بیشترین تهدیداتی که متوجه فناوری اطلاعات شده است مربوط به حمله ویروسها بوده است در حالی که دزدی رایانه ای[۵] و کلاهبرداری رایانه ای[۶] به ترتیب با ۱۹و ۱۳ درصد، هکرها با ۱۲ درصد و استفاده نامناسب از اطلاعات و ارائه اطلاعات نامناسب با ۸ درصد در رتبه های بعدی قرار دارند(Bainbridge, 287). کلاهبرداران اطلاعاتی از طریق دست آوردن اطلاعات شخصی و شماره حسابهای افراد از هویت آنها برای اعمال خلاف استفاده کرده و یا دست به دزدی از حسابهای آنها می زنند. هکرها با گشودن اطلاعات رمز گذاری شده سعی در افشا اطلاعات،  حذف یا  تغییر در اطلاعات موجود دارند.  ویروسها با حمله به کامپیوترها مشکلاتی برای سیستم نرم افزاری رایانه ها ایجاد می کنند[۷] و موجب اختلال در کارایی سیستم می شوند. مجموعه این جرایم در کل موجب فاش شدن غیر مجاز اطلاعات، قطع ارتباط و اختلال در شبکه، تغییر و دستکاری غیر مجاز اطلاعات یا بک پیغام ارسال شده می شود و سیستم های اطلاعاتی بایستی تدابیر امنیتی لازم برای جلوگیری از این آسیبها اعمال کنند.
·  اتخاذ سیاستهای امنیتی: بر اساس استاندارد BS7799 [8]i مواردی که یک سازمان برای پیاده سازی یک سیستم امنیتی اعمال می کند به شرح زیر می باشد:
1.  تعیین سیاست امنیتی اطلاعات
2.  اعمال سیاستهای مناسب
3.  بررسی بلادرنگ وضعیت امنیت اطلاعاتی بعد از اعمال سیاست امنیتی
4.  بازرسی و تست امنیت شبکه اطلاعاتی
5.  بهبود روشهای امنیت اطلاعاتی سازمان( دشتی، ۱۳۸۴: ۱۵۹).
در پیش گرفتن سیاست امنیتی باید با توجه بدین نکات باشد:
1.  ایجاد امنیت از نظر فیزیکی: همانگونه که در بخشهای قبل اشاره شد امنیت تجهیزات و امکانات مادی در ایجاد یک کانال امن برای تبادل اطلاعات بسیار موثر است. انتخاب لایه کانال ارتباطی امن، انتخاب توپولوژی مناسب برای شبکه، امنیت فیزیکی،  محل‌های امن برای تجهیزات، منابع تغذیه شبکه و حفاظت تجهیزات در مقابل عوامل محیطی مواردی است که در امنیت یک سیستم اطلاعاتی بسیار موثرند(بهاری، ۱۳۸۴).
2.  سطح بندی صحیح اطلاعات با توجه به ارزش اطلاعات و امکان دسترسی به موقع به اطلاعات برای کاربران هر سطح.
3.  آموزش کاربران اطلاعاتی سازمان در چگونگی استفاده از تجهیزات سخت افزاری و نرم افزاری سازمان و نیز آموزش راههایی که نفوذ گران برای کسب اطلاعات سازمان استفاده می کنند[۹] و هشدار به کارمندان در حفاظت از اطلاعات سازمان. از سوی دیگر ایجاد حس تعهد نسبت به شغل و سازمان در کارمندان از طریق اعمال مدیریت صحیح.
4.  رمز گذاری اطلاعات و استفاده از امضا دیجیتال[۱۰] در ارسال اطلاعات موجب افزایش ضریب اطمینان در تجارت الکترونیک خواهد شد.
5.  تغیر مداوم در الگوریتم های استفاده شده برای رمز گذاری در کاهش احتمال کشف رمز توسط نفوذ گران و کلاهبرداران اطلاعاتی بسیار موثر است.
6.  استفاده از انواع امکانات امنیتی ( البته با توجه نتایج ارزیابی سطح امنیتی مورد نیاز) از جمله استفاده از پراکسی که نقش ایجاد دیواره آتش (Firewall) فیلتر کردن (Filtering)، ثبت کردن (Logging) و تصدیق هویت (Authentication) را در شبکه بر عهده دارد; نیز استفاده از نرم افزارهای مقابله با ویروسها.
7.  استفاده از تست نفوذ پذیری:  رویه ای است که در آن میزان امنیت اطلاعات سازمان شما مورد ارزیابی قرار می گیرد. یک تیم مشخص با استفاده از تکنیک های هک یک حمله واقعی را شبیه سازی می کنند تا به این وسیله سطح امنیت یک شبکه یا سیستم را مشخص کنند. تست نفوذپذیری به یک سازمان کمک می کند که ضعف های شبکه و ساختارهای اطلاعاتی خود را بهتر بشناسد و در صدد اصلاح آنها بر آید. این امر به یک سازمان کمک می کند تا در زمینه تشخیص، توانایی پاسخ و تصمیم مناسب در زمان خود، بر روی امنیت نیروها و شبکه خود یک ارزیابی واقعی داشته باشد. نتیجه این تست یک گزارش می باشد که برای اجرایی شدن و بازرسی های تکنیکی مورد استفاده قرار می گیرد(شریفی، ۱۳۸۳).
8.  با استفاده از یک سیستم پشتیبان گیری اطلاعات از احتمال از بین رفتن اطلاعات جلوگیری نماید. سیستم پشتیبان گیری مناسبی را که سازگار با سیستم اطلاعاتی سازمان است انتخاب نموده و تستهای مربوط به بازیابی اطلاعات را به صورت آزمایشی روی سیستم اعمال نمایید.
9.  بطور مرتب تجهیزات و سیستم اطلاعاتی سازمان را بازرسی نمایید و هر گونه مشکل را گزارش نموده و سعی در رفع آن نمایید. همچنین بطور مرتب سیستم اطلاعاتی و امنیتی سازمان را به روز رسانی کنید و آموزش کارمندان را به صورت مستمر ادامه دهید(دشتی، ۱۳۸۴: ۱۶۰).
نتیجه گیری
سیستم امنیت اطلاعات شاید پر هزینه و وقت گیر به نظر آید اما با توجه به اهمیت اطلاعات در بقای سازمان وجود چنین سیستمی بسیار ضروری می نماید. اعمال چنین سیستمی برا ی هر سازمان لازم بوده و بسته به سطح اطلاعات و ارزش اطلاعات سازمان گستردگی متنوعی خواهد داشت. اما هرگز محو نخواهد شد. و در کل لازم است سازمانها سه شرط زیر را در طراحی سیستم امنیت اطلاعاتی خود مد نظر داشته باشند:
1.  اطمینان از سلامت اطلاعات چه در زمان ذخیره و چه به هنگام بازیابی و ایجاد امکان برای افرادی که مجاز به استفاده از اطلاعات هستند.
2.  دقت: اطلاعات چه از نظر منبع ارسالی و چه در هنگام ارسال و بازخوانی آن باید از دقت و صحت برخوردار باشد و ایجاد امکاناتی در جهت افزایش این دقت ضرورت خواهد داشت.
3.  قابلیت دسترسی: اطلاعات برای افرادی که مجاز به استفاده از آن می باشند باید در دسترس بوده و امکان استفاده در موقع لزوم برای این افراد مقدور باشد(Pipkin, 2000).

عادله اسعدی شالی
دانشجوی دوره کارشناسی ارشد رشته کتابداری و اطلاع رسانی دانشگاه تهران
کتابدار دانشگاه آزاد تبریز

 یادداشتها

[۱] در حدود ۴۰ درصد منافع کشور آمریکا از طریق فناوری اطلاعات بدست می آید.
[۲] ارزش محسوس از طریق قیمت خرید اطلاعات و ارزش اطلاعات بوسیله صاحبان آنها یا تولیدکنندگان آنها ارزش گذاری می شود
[۳] سیستمهای قدیمی که دوره استفاده مفید آنها به پایان رسیده و امکان ویرایش آنها نیز وجود ندارد
[۴] کنوانسیون بین‌المللی جرایم رایانه‌ای بوداپست (۲۰۰۱) مجموعه این جرایم را موارد زیر تعریف نموده است: نفوذ غیرمجاز به سیستمهای رایانه‌ای،  شنود غیرمجاز اطلاعات و ارتباطات رایانه‌ای، اخلال در داده‌های رایانه‌ای، اخلال در سیستمهای رایانه‌ای، جعل رایانه‌ای، کلاه‌برداری رایانه‌ای، سوءاستفاده از ابزارهای رایانه‌ای، هرزه‌نگاری کودکان و تکثیر غیرمجاز نرم‌افزارهای رایانه‌ای و نقص حقوق ادبی و هنری

[۵] Theft
[۶] Fraud

[۷] به تازگی برخی از ویروسها موجب تخریب سیستم سخت افزاری رایانه ها نیز می شوند
[۸] این استاندارد به چگونگی پیاده سازی امنیت در ابعاد مختلف یک سازمان می پردازد
[۹]علاوه بر آموزش چگونگی استفاده از نرم افزار، باید به کاربران در زمینه چگونگی انتخاب کلمات رمز و حفاظت از آنها آموزش های لازم ارائه شود در زمینه انتخاب و محافظت از کلمات عبور می توانید به مقاله ای با آدرس اینترنتی https://ircert.com/articles/Security_Tips.htm
[۱۰] امضا دیجیتال از طریق کد گذاری متن ارسالی با یک کد خصوصی توسط فرستنده اعمال می شود  و نیز یک کد عمومی نیز برای گیرنده در نظر گرفته شده است که از این طریق می تواند به متن دسترسی داشته باشد. مزیت امضا دیجیتال در این است که گیرنده از طریق تطبیق مقدار hash های  تولید شده توسط فرستنده و گیرنده امکان تصدیق عدم آسیب و تغیر در متن ارسالی را به گیرنده می دهد. برای مطالعه بیشتر در این زمینه می توانید به منبع زیر مراجعه نمایید:
صالحی، سهیل. ” راهنمای سریع هکر پروف” تهران: ناقوس، ۱۳۸۱.

 منابع:
احترامی، بابک (۱۳۸۳). ” نقطه ضعف اصلی” مجله شبکه، ش ۵۲ : ۱۳۸.
بهاری،  مهدی(۱۳۸۴). ” امنیت تجهیزات شبکه”

 https://ircert.com/articles/Security_Tips.htm :قابل دسترس از طریق

دشتی، افسانه(۱۳۸۴).” استانداردهای امنیت” مجله شبکه، ش ۵۴ : ۱۵۸.
شریفی، امیر حسین(۱۳۸۳).”مقدمه ای بر مفاهیم تست نفوذپذیری”

https://www.websecurity.ir/ShowArt.asp?ID=90 :قابل دسترس از طریق

صالحی، سهیل(۱۳۸۱). ” راهنمای سریع هکر پروف” تهران: ناقوس.

Bainbridge, David (2000). “introduction to computer law” Harlow: Longman.
“Internet Fraud. ” [Online]  Available from < https://www.usdoj.gov/criminal/fraud/text/Internet.htm
Pipkin, Donald. L. (2000).” Information security” new jersey: Prentice Hall.