معرفی استاندارد ISO27030- راهنمای امنیت و حریم خصوصی در اینترنت اشیاء

  • نویسنده: سعید ترکمانی
  • تاریخ انتشار: سه‌شنبه ، ۲۷ آبان ماه ۹۹
  • تعداد بازدید: 719
  • تعداد نظرها: 0
  • دسته بندی: سیستم مدیریت امنیت اطلاعات

1-مقدمه

توسعه اینترنت اشیاء و ضرورت رعایت الزامات امنیت اطلاعات، نیاز به یک الگوی امنیتی را هر چه بیشتر آشکار می سازد. در همین راستا سازمان بین المللی استاندارد در حال تدوین یک استاندارد جدید در قالب خانواده استانداردهای سیستم مدیریت امنیت اطلاعات به منظور امنیت در حوزه اینترنت اشیاء است. در این مقاله تلاش شده است تا استاندارد ISO 27030 به عنوان راهنمای امنیت و حریم خصوصی معرفی گردد. همچنین ذی‌نفعان سیستم های IOT، ریسک این سیستم ها و اصول راهنمای امنیت برای آنها مطابق با متن اولیه این استاندارد تشریح شده است.

یکی از مهمترین دغدغه­ هایی که در حوزه ICT وجود دارد، امنیت اطلاعات است که اینترنت اشیاء از این قاعده مستثنی نیست. در مقاله نقش استاندارد ISO27001 در اینترنت اشیاء با ذکر مثال توضیح دادیم که استاندارد ISO27001 می‌تواند حوزه IOT را تحت پوشش خود قرار دهد؛ همچنین در مقاله نقش استاندارد ISO 27001 در اینترنت اشیا در دو بخش به این موضوع پرداخته شد. اما یک استاندارد جداگانه برای امنیت اینترنت اشیاء در حال تدوین است که در سال­های آینده توسط ISO منتشر خواهد شد و این استانداردISO27030 نام دارد.

سیستم های IOT به دلیل اینکه از لحاظ ساختاری و فناوری پیچیده هستند، به مراتب با چالش­های امنیتی متنوعی رو به رو هستند. این بدان معنا است که سیستم های مدیریت امنیت اطلاعات ISMS در حوزه IOT با سطح گسترده­ای از حملات رو به رو می­شود.

حفظ حریم خصوصی یا اطلاعات قابل شناسایی شخصی که با  Privacy or Personally identifiable information) PII)  شناخته می­شود، به یکی از نگرانی­های مهم در حوزه IOT تبدیل شده است.

زمانی که در حوزه IOT از PII استفاده می شود، معمولا قوانین و مقرارتی در پردازش و ذخیره سازی PII وجود دارد که باید آن را رعایت کرد.

حتی در مواردی که قوانین نگران کننده نیستند، مدیریت PII توسط سیستم های IOT همچنان به عنوان یک نگرانی برای سازمان ها در نظر گرفته شده است به عنوان مثال اگر PII به سرقت برود، نوعی آسیب پذیری برای افراد سازمان به حساب می آید. به همین دلیل در این مقاله می خواهیم استاندارد ISO27030 را شرح دهیم تا با رهنمود های امنیتی که برای حوزه IOT طراحی شده است آشنا شویم و در مقالات بعدی با کنترل های این استاندارد که در حال تدوین است آشنا خواهیم شد. لازم به ذکر است این استاندارد در حال توسعه است و در سال 2022 توسط سازمان بین المللی استاندارد منتشر خواهد شد و مقاله حاضر به عنوان معرفی و توصیه ارائه می شود. همچنین این استاندارد از منظر طبقه بندی در دسته فناوری اطلاعات - تکنیک های امنیتی قرار دارد.

2-ذینفعان

در این قسمت ذی نفعان IOT را معرفی خواهد شد که عبارتند از:

2-1 IOT service provider

نقش اصلی IOT service provider مدیریت و راه اندازی سرویس های IOT است که می توانند اتصلات شبکه را نیز فراهم کنند که باید به امنیت آنها رسیدگی و نظارت شود.

مدیر ارائه خدمات IOT مسئول توافق سطح خدمات میان مشتری و (LOB(line Of Business است. آنها با  تیمی از مهندسان تعمیر و نگهداری، از برنامه های IOT و برنامه های صنعتی استفاده می کنند تا بتوانند برنامه ریزی، نصب، نظارت و سرویس تجهیزات را انجام دهند.

این نقش اطمینان می دهد که کیفیت کلی ارائه خدمات با پارامترهای سطح خدمات مطابقت داشته باشد.

اپراتور IOT عملیات سیستم ها را به صورت روزانه برای مشتریان انجام می دهد به این صورت که می تواند کاربران جدید را ثبت نام کند و یا از ثبت دستگاه های جدید، کارکرد صحیح آنها و به روز بودن آنها از نظر سیاستهای امنیتی اطمینان حاصل می کند.

لازم به ذکر است که تحلیلگر مسائل امنیتی IOT می تواند با ایجاد الگوریتم های شناسایی تهدیدات، تهدید های امنیتی را کاهش دهد. آنها می توانند توابع خودکار ایجاد کنند تا رفتار غیر طبیعی دستگاه های IOT را شناسایی کنند و آنها را با سیاست های امنیتی تطبیق دهند.

2-2 IOT service developer

نقش توسعه دهنده سرویس های IOT شامل پیاده سازی، تست سرویس های IOT است. در این قسمت توسعه‌دهنده سرویس های IOT وظیفه دارد استراتژی ها و معماری های جدید سیستم عامل IOT را برای دستگاه های جدید پیاده سازی کند.

کسی که مدیریت توسعه سرویس های IOT را بر عهده دارد سرویس ها و پیکر بندی های مربوط به IOT را راه اندازی می کند و با پشتیبانی از خدمات فناوری اطلاعات برای عملیات و توسعه به عنوان مدیر پروژه شناخته می شود.

توسعه دهنده برنامه های اینترنت اشیاء (IOT application developer) با استفاده از قابلیت هایی که IOT برای آن فراهم می کند می تواند برنامه های صنعتی را توسعه دهد و مشکلات آن را برطرف نماید و در آخر آنها را با دستگاه ها و سرویس ها IOT ادغام کند.

توسعه دهنده دستگاه های اینترنت اشیاء  (IOT device developer) دستگاه ها و برنامه های IOT را با هم تلفیق می کند و فریم ور دستگاه ها را برای اتصال امن به پلتفرم های IOT توسعه و نگهداری می کند.

(IOT CPO/DPO(Data Protection Officer/Chief Privacy Officer وظایف مختلفی را بر عهده دارد که می توان به طراحی محصولات و خدمات براساس Big Data اشاره کرد که راه حل هایی را برای کاهش خطرات حریم خصوصی پیشنهاد می دهد ویا ارزیابی های لازم را برای حفظ حریم خصوصی انجام می دهد. از دیگر وظایف IOT CPO/DPO می توان به بررسی انطباق، پاسخ به حوادث، ادغام سیاست های حریم خصوصی در مراحل چرخه مهندسی نرم افزار اشاره کرد.

2-3 IOT User

این قسمت به کاربر نهایی IOT اشاره دارد که می تواند به دو دسته زیر تقسیم شود:

 human users به معنای کاربر انسانی که از سرویس های IOT استفاده می کند.

  digital users که به معنای کاربر دیجیتال است و شامل سرویس های خودکار می شود که به نمایندگی human users عمل خواهد کرد.

3- ریسک های سیستم های IOT

این قسمت راهنمایی های لازم را برای مخاطرات IOT فراهم می کند.

در میان کاربردهای متنوع IOT زمینه های مختلفی وجود دارد که ریسک های امنیتی را فراهم می کند و هر کدام از سناریو های خطر شامل حوادث امنیتی خواهند بود. در ادامه ریسک های امنیتی سیستم های IOT معرفی خواهد شد. لازم به ذکر است که این استاندارد در حال تدوین است و در حال حاضر منتشر نشده است و موارد زیر به صورت پیشنهاد آورده شده است.

 

3-1 ویژگی های سیستم های IOT

سیستم های IOT حرکت یا حالت فیزیکی اجسام را حس می کنند و داده های حسی را پردازش می کنند. این تعریف ویژگی کلی سیستم های IOT را بیان می کند و با توجه به تنوع کاربرد سیستم های IOT تعریف یک ویژگی کاربردی برای این سیستم ها غیر ممکن است.

 به عنوان یک روش عملی برای توصیف ویژگی های سیستم ها IOT می توان از ویژگی های مشترک و ویژگی های خاص برای برنامه های کاربردی استفاده کرد.

سیستم های IOT ویژگی های مشترک زیر را دارا می باشند:

  • سیستم های IOT دارای سنسورهایی هستند که حالت های اجسام را شناسایی می کند.
  • داده های به دست آمده از سنسورها از طریق شبکه به سیستم اطلاعات انتقال پیدا می کند
  • سیستم اطلاعات داده ها را پردازش می کند و داده های کنترلی را ایجاد می کند
  • داده های کنترلی از طریق شبکه به سمت محرک ها یا فعال کننده ها (actuators) ارسال می شوند و محرک ها داده های کنترلی که از حالت اجسام به دست آمده است ترجمه می کنند.

در موارد صنعتی علاوه بر ویژگی های بالا ویژگی های زیر هم مطرح است:

همانطور که در بخش 3-2 اشاره شد کاربران به صورت human  ویا Digital هستند  که اگر بخواهیم از بعد صنعتی  به آن نگاه کنیم کاربران human یا انسانی جزو دارایی هایی هستند که در محدوده مدیریت سازمان عمل می کنند و کاربران Digital سیستم هایی هستند که دارای حسگر و محرک هستند.

سیستم های IOT که برای تجهیزات صنعتی استفاده می شوند به دسته بندی زیر تقسیم می شوند:

  • سیستم نظارت تجهیزات صنعتی
  • سیستم مدیریت از راه دور
  • سیستم کنترل تولید کالا
  • سیستم کنترل عملکرد زیرساخت های حیاتی مانند سیستم کنترل عملکرد منبع تغذیه و آب

3-2 منابع خطر

منابع خطر می تواند به دامنه های زیر تقسیم بندی شود

  • Physical Entity Domain
  • Sensing and Controlling Domain
  • Operations and Management Domain
  • Application and Service Domain
  • User Domain

لازم به ذکر است که درحال حاضر ISO تعریف دقیقی از دامنه های فوق ارائه نداده است؛ اما می توانیم چند مثال ذکر کنیم.

در Physical Entity Domain سنسورهای IOT ممکن است تخریب یا گم شوند در نتیجه داده ها ممکن است تخریب یا نابود شوند و محرک های IOT هم ممکن است تخریب یا گم شوند که در نتیجه عملیات ممکن است با اختلال رو به رو شود.

یا می توان به شرایط محیطی سنسور ها اشاره کرد که ممکن است با مشخصات سنسورها هماهنگ نباشد در نتیجه در عملکرد سنسور تاثیر می گذارد و نتایج نادرست ایجاد می کند.

 برای دست یابی به اطلاعات مانند کلید های ارتباطی و یا دسترسی به المان های سخت افزاری برای احراز هویت ممکن است سنسور ها دستکاری شوند.

در Sensing and Controlling Domain نرم افزارهای تجهیزات سخت افزاری ممکن است آسیب پذیری هایی داشته باشند که منجر به دسترسی های غیر مجاز به دستگاه ها شود و یا دستگاه IOT ممکن است که به صورت نا امن پیکر بندی شده باشد که همین امر منجر به دسترسی غیر مجاز به سیستم می شود.

3-3 سناریو های ریسک سیستم های IOT

سناریو های ریسک سیستم های IOT را می توان از ویژگی های این سیستم استخراج کرد. برای مثال در کارخانه های صنعتی و سیستم های کنترلی مجموعه ای از منابع ریسک وجود دارد.

3-3-1شرایطی که سناریوهای ریسک را پیچیده می کند

  • محیط فیزیکی سیستم های اطلاعاتی، شبکه و سیستم ها و پیکر بندی نادرست آنها
  • خدمات پشتیبانی (برق، مخابرات)
  • بلایای طبیعی
  • عملیات نادرست در سیستم های IOT
  • رفتار نادرست کاربران با سیستم ها

3-3-2رویداد های امنیتی

  • اجزای سیستم های IOT می توانند توسط مهاجمان اسکن شده و از طریق شبکه مورد حمله قرار گیرند
  • این سیستم ها می توانند تحت نفوذ بدافزار ها قرار بگیرند.
  • عملکرد سیستم های IOT با اختلال مواجه می شود.
  • سیستم های IOT مورد نفوذ قرار می گیرد و اطلاعات فاش می شوند
  • اجزای سیستم های IOT به عنوان منبعی برای حمله به سیستم های دیگر مورد استفاده قرار خواهند گرفت.

3-3-3 عواقب

  • عملکرد سیستم های IOT متوقف می شود
  • سیستم و اجزاء آن مورد حمله قرار میگیرند
  • سازمان ها محتمل خسارت مالی می شوند
  • به اعتبار سازمان ها آسیب وارد می شود

4- اصول راهنمای امنیت

در این قسمت اصول طراحی امن شرح داده خواهد شد.

4-1 Secure by default (امنیت به طور پیشفرض)

این اصل شامل رهنمودهایی است که برای انتخاب مطمئن ترین گزینه ها استفاده می شود که برای مثال می توان به پیکر بندی سیستم های IOT اشاره کرد که شامل موارد زیر می شود

  • به حداقل رساندن سطح حملات
  • استفاده از یک زنجیره تامین امن
  • استفاده از استاندارد ها، روش های امن و استفاده مجدد از کدهای معتبر
  • امن سازی سیستم ها (System hardening)
  • راه اندازی سیستم ها با حداقل دسترسی (کاهش دسترسی Admin)

4-2  Secure programming ( برنامه نویسی امن)

این اصل به نوشتن برنامه های امن برای سیستم های IOT  اشاره دارد که باید توسط IOT service developer یا توسعه دهنده سیستم های IOT رعایت شود.

4-3 Rigor in defense (دقت زیاد در دفاع)

این اصل شامل رهنمودهایی برای اطمینان از دقت و کامل بودن معماری سیستم ها از لحاظ امنیتی دارد که برای مثال می توان به موارد زیر اشاره کرد:

  • دفاع در عمق(چند لایه)
  • محافظت یکنواخت
  • تقسیم بندی سیستم ( تقسیم بندی شبکه)
  • استفاده از تکنیک های encapsulation یرای دست یابی به توابع
  • نظارت، تشخیص و گزارش رخداد های امنیتی که برای مثال می توان به honey pot اشاره کرد
  • ارزیابی آسیب پذیری و تست نفوذ
  • استفاده از یک رویکرد مهندسی امن
  • امنیت چرخه عمر سیستم
  • نصب وصله های امنیتی

4-4 Accountability (مسئولیت)

این رهنمود برای اطمینان از مراقبت و نظارت بر دسترسی به دارایی ها در حین فعالیت در سازمان اشاره دارد نکته ای که در این قسمت وجود دارد این رهنمود به مسئولیت گزارش و کاهش آسیب پذیری ها هم اشاره کرده است به عنوان مثال:

  • اطمینان از تقسیم مسئولیت ها
  • ایجاد و محافظت از روش های بازرسی
  • ایجاد شفافیت

4-5 Resiliency (انعطاف پذیری)

این رهنمود به مقاومت و بازیابی در برابر رخداد های امنیتی اشاره دارد که برای مثال می توان به موارد زیر اشاره کرد:

  • طرح افزونگی
  • مدیریت در دسترس بودن
  • مدیریت آسیب پذیری ها
  • پشتیبان گیری و بازیابی اطلاعات

شکل زیر نمایش می دهد که چگونه می توان با استفاده از اصول طراحی امنیتی و انجام مدل سازی تهدید، تهدیدات سیستم های IOT را کاهش داد.

 

 

 

5- نتیجه گیری

در این مقاله سعی شد که استاندارد ISO27030 معرفی شود. در حال حاضر این استاندارد توسط ISOدر حال تدوین است و روش های ذکر شده به صورت پیشنهاد آمده است. در این مقاله ریسک های سیستم های IOT و رهنمودهایی که برای آنها پیشنهاد شده است شرح داده شد؛ اما باید یاد آوری کرد که کنترل های این استاندارد در مقاله ای جداگانه آورده خواهد شد تا با استفاده از آنها بتوان تهدید های سیستم های IOT را کاهش داد