مقدمه ای بر امنیت اطلاعات
منظور از امنیت اطلاعات چیست؟
در دنیای واقعی می دانیم که چطور باید از منابع اطلاعاتی خود حفاظت نماییم و همچنین میدانیم که بعضی از اطلاعات را باید بصورت محرمانه نگهداری کرد و برخی از آنها را می توان بصورت آزادانه انتقال داد. برای این منظور درهای دفاتر و کمدهای حاوی فایلها را قفل می کنیم و حتی ممکن است نسخه هایی از اطلاعات مهم را خارج از محل اداره نگهداریم تا در مواقعی چون بروز آتش سوزی و یا سایر بلایای طبیعی از آنها حفاظت کرده باشیم. بعضی اطلاعات را تنها می توان به تعداد محدودی از افراد انتقال داد و بسته به درجه اهمیت اطلاعات می توان به افراد مختلف در سطوح متفاوتی اعتماد کرد. از نظر مفهومی میان ماهیت تهدیدات فضای سایبر و تهدیداتی که در دنیای واقعی وجود دارند هیچ تفاوتی نیست، بلکه تفاوت این دو مقوله برخواسته از خصوصیات فضای الکترونیکی و تهدیدات این حوزه است که باعث می شود بتوان از بروز آنها جلوگیری کرد و آنها را شناسایی، خنثی و رفع نمود.
تعاریف و توضیحاتی که در فرهنگهای لغات و واژه نامه ها برای واژه امنیت وجود دارد به مواردی اشاره دارند که با سلامتی مرتبط هستند، نظیر “کیفیت یا حالتی از اطمینان، آزادی از خطر و رهایی از ترس یا اضطراب”. با این حال هیچ یک از این تعاریف نمی توانند برای توصیف دقیق امنیت در فضای سایبر بکار روند.
ما تعریف زیر را پیشنهاد می کنیم: هنگامی در فضای سایبر ایمن هستید که دسترسی به منابع اطلاعاتی شما تحت کنترل خودتان باشد؛ یعنی هیچ کس بدون کسب اجازه از جانب شما قادر به دسترسی به این منابع اطلاعاتی نباشد. این منابع شامل داده ها و منابع رایانه ای، شبکه ای، تراکنشی، پردازشی و اطلاعاتی می باشند. طبیعتًا ممکن است برخی از این منابع از جانب دیگران و برای استفاده شما ارائه شده باشند، مثل حساب کاربری در یک رایانه اشتراکی یا دسترسی به اینترنت از طریق یک ارائه کننده خدمات اینترنتی(ISP).
دشمنان شما می توانند براحتی با استفاده از موتورهای جستجو، نقاط ضعف و آسیب پذیر هر محصول یا سیستم عامل را بیابند. در بسیاری از موارد شما نرم افزاری را خریداری می کنید که خود آن نرم افزار بصورت ذاتی دارای نقاظ ضعف امنیتی است و این نقاط ضعف امنیتی به خودی خود باعث زیر سئوال رفتن امنیت سازمان شما خواهد شد.
میدانیم که برای فروشندگان نرم افزار بسیار مهم است که برنامه هایشان ایمن و عاری از هرگونه خطا باشد، اما زمانی که چنین مشکلاتی بروز می کنند با اتخاذ تدابیر و تصمیمات مناسب می توانیم نسبت به تهیه و نصب نسخه های اصلاحی اقدام کنیم و این تنها روش مقابله ای است که در اختیار داریم.
بعنوان مثالی ساده در مورد ماهیت امنیت سایبری، یک حفره امنیتی در هسته سیستم عامل Windows Microsoft را در نظر بگیرید. مایکروسافت تقریباً در تمامی نسخه های موجود از سیستم عاملهای Windows خود یک آسیب پذیری بسیار مهم را کشف کرد که اولین تأثیر آن می تواند از کار افتادن کاملMicrosoft Windows 2003 Server باشد.
مایکروسافت گفته است که این آسیب پذیری می تواند نفوذگرها را قادر کند که از طریق اینترنت کنترل سیستم عامل Windows رایانه های قربانیان خود را بدست گرفته، اطلاعات آنها را بدزدند، فایلها را حذف کنند و یا از طریق پست الکترونیکی انتقال دهند . این شرکت به مشتریان خود اطمینان داد که بلافاصله یک وصله رایگان برای برطرف ساختن این اشکال روی پایگاه وب مایکروسافت قراردهد. این اشکال که توسط پژوهشگرانی از کشور لهستان کشف شد نسخه های رایج Windows در میان کاربران خانگی را نیز تحت تأثیر قرار داد. مارک مایفرت مدیر اجرایی مؤسسه امنیت دیجیتال درباره شرکتهای آسیب دیده گفت: “تا زمانیکه آنها این وصله نرم افزاری را نصب نکنند، سیستمهایشان مثل یک تکه پنیر سوئیسی خواهد بود و هرکس می تواند براحتی به سرویس دهندههای آنها وارد شود”.
اما همان زمان چهار پژوهشگر لهستانی راهی برای عبور از وصله های جدید مایکروسافت پیدا کردند و این زمانی بود که تنها سه ماه از انتشار این وصله ها می گذشت. هرچند پژوهشگران لهستانی ابزاری برای اثبات وجود آسیب پذیریهای جدی تر طراحی کرده و با استفاده از آن به چند رایانه نفوذ کردند، ولی متعهد شدند که هیچ اثری از این آسیب پذیریهای جدید در اینترنت بجای نگذارند. حتی بدون اعلام این مسئله از سوی آن پژوهشگران، نفوذگران نوعًا قادر به عبور از وصلههای مایکروسافت هستند.
اطلاعاتی که “خصوصی” بشمار می روند تنها زمانی می توانند واقعًا خصوصی بمانند که بصورت ایمن ذخیره شده باشند. برای این منظور در دنیای واقعی بگونه ای رفتار می کنیم که گویی چنین اطلاعاتی وجود خارجی ندارند. این سیاست را امنیت گمنامی مینامند. به همین ترتیب اطلاعاتی که باید بصورت محرمانه به اشتراک گذارده شوند باید برای کسانیکه آنها را به اشتراک گذاشته اند بصورت ایمن باقی بمانند. اگر این افراد همیشه در یک مکان نیستند هنگام انتقال این اطلاعات باید سیاستهای امنیتی کافی در مورد آنها اعمال شود. موقعیتهایی نظیر این مسئله در فضای سایبر نیز وجود دارد، ولی با فرض طبیعت خاص فضای سایبر و ارتباط میان رایانه های موجود در آن، امنیت گمنامی یا استفاده از پنهان سازی، سیاستی ضعیف می نماید و باید از آن اجتناب کرد.
واژه امنیت اطلاعات حجم وسیعی از فعالیت های یک سازمان را تحت پوشش قرار می دهد. امنیت اطلاعات به معنای واقعی یعنی با استفاده از یک سری فرآیند ها از دسترسی غیر مجاز به اطلاعات و یا محصولات و اعمال تغییرات یا حذف کردن آنها جلوگیری کنیم. این عمل را می توان به نحوی حفاظت از منابع موجود در موقعیت های مختلف (مانند یک حمله هکری که معمولا خیلی انجام می شود!) توسط افرادی که مسئول امنیت اطلاعات هستند در نظر گرفت .
شما به عنوان یک فرد حرفه ای در زمینه کامپیوتر ، همیشه با مسائلی جدی تر از بحث جلوگیری از ورود و حمله ویروس ها به کامپیوتر ها مواجه هستید. البته این موضوع بستگی به طرز تفکر مسئولین امنیتی آن شرکت یا سازمان دارد ، شاید برای شما خنده دار باشد اما چه بسا مشاهده شده است که بسیاری از شرکت ها و یا حتی سازمان های دولتی با نصب یک نرم افزار آنتی ویروس و یک فایروال ساده نرم افزاری شبکه خود را به گمان خود 80% ایمن می کنند!!!!
زمانی که شما به عنوان مسئول و کارشناس امنیت اطلاعات یک شرکت یا سازمان محسوب می شوید، در واقع شما مسئول حفاظت از دارایی های اطلاعاتی یک سازمان در مقابل کسانی یا چیزهایی هستید که می خواهند از آن دارایی ها سوء استفاده کنند. ممکن است برخی از این افراد هم اکنون در سازمان و در کنار خود شما باشند، ولی اکثر این افراد در خارج از سازمان قرار دارند و همیشه قصد نفوذ به شبکه و سازمان را دارند. این جمله طلایی را همیشه به خطر بسپارید: “هیچ چیز برای یک مسئول یا کارشناس امنیت اطلاعات خطرناکتر و هولناکتر از کاربران خود آن شبکه نمی باشد”.
متاسفانه این عمل چندان هم آسان نیست ، در حال حاضر نقاط ضعف و آسیب پذیری های سیستم های تجاری در حال رشد است و این نقاط روز به روز بیشتر و بیشتر می شود. حال کافیست شما تنها یک روز از این اطلاعات بی خبر باشید و همین کافیست تا به شبکه و سازمان شما نفوذ شود. برای مثال اگر از ویندوز نسخه اصلی یا ارجینال استفاده کرده باشید و به اینترنت متصل بشوید، می بینید که دائما در حال بروز رسانی خود می باشد بطوری که همه روزه بسته های امنیتی خود را بروز میکند و بر روی سیستم شما نصب میکند. این یعنی اینکه همه روزه حملات گسترده ای در سطح دنیا به سیستم ها انجام می شود که باعث ایجاد نقاط ضعف در سیستم ها می شود و برای جلوگیری از نفوذ از طریق این نقاط، بسته های امنیتی برای آنها ساخته و عرضه می شود.
متاسفانه در کشور ما بدلیل عدم تدوین و رعایت کامل قوانین مربوط به حق مؤلف (کپی رایت)، نرم افزارهایی که توسط برنامه نویس ها نوشته می شود زیر نظر هیچ سازمان مرکزی خاصی قرار ندارند تا مشکلات احتمالی آنها را را بررسی و به آنها رسیدگی کند. البته قسمتی در مرکز تحقیقات صنایع انفورماتیک ایران برای تست برخی نرم افزارهای خاص ایجاد شده است، اما به هیچ عنوان جوابگوی این حجم و تعداد از نرم افزارهای تولیدی در داخل کشور نیست. بنابراین اعتماد کردن به اینگونه نرم افزارها بسیار سخت است.
