منظور از امنیت اطلاعات چیست؟
در دنياي واقعي مي دانيم كه چطور بايد از منابع اطلاعاتي خود حفاظت نماييم و همچنين ميدانيم كه بعضي از اطلاعات را بايد بصورت محرمانه نگهداري كرد و برخي از آنها را مي توان بصورت آزادانه انتقال داد. براي اين منظور درهاي دفاتر و كمدهاي حاوي فايلها را قفل مي كنيم و حتي ممكن است نسخه هايي از اطلاعات مهم را خارج از محل اداره نگهداريم تا در مواقعي چون بروز آتش سوزي و يا ساير بلاياي طبيعي از آنها حفاظت كرده باشيم. بعضي اطلاعات را تنها مي توان به تعداد محدودي از افراد انتقال داد و بسته به درجة اهميت اطلاعات مي توان به افراد مختلف در سطوح متفاوتي اعتماد كرد. از نظر مفهومي ميان ماهيت تهديدات فضاي سايبر و تهديداتي كه در دنياي واقعي وجود دارند هيچ تفاوتي نيست، بلكه تفاوت اين دو مقوله برخواسته از خصوصيات فضاي الكترونيكي و تهديدات اين حوزه است كه باعث مي شود بتوان از بروز آنها جلوگيري كرد و آنها را شناسایی، خنثي و رفع نمود.
تعاريف و توضيحاتي كه در فرهنگهاي لغات و واژه نامه ها براي واژه امنيت وجود دارد به مواردي اشاره دارند كه با سلامتي مرتبط هستند، نظير “كيفيت يا حالتي از اطمينان، آزادي از خطر و رهايي از ترس يا اضطراب”. با اين حال هيچ یك از اين تعاريف نمي توانند براي توصيف دقيق امنيت در فضاي سايبر بكار روند.
ما تعريف زير را پيشنهاد مي كنيم: هنگامي در فضاي سايبر ايمن هستيد كه دسترسي به منابع اطلاعاتي شما تحت كنترل خودتان باشد؛ يعني هيچ كس بدون كسب اجازه از جانب شما قادر به دسترسي به اين منابع اطلاعاتي نباشد. اين منابع شامل داده ها و منابع رايانه اي، شبكه اي، تراكنشي، پردازشي و اطلاعاتي مي باشند. طبيعتًا ممكن است برخي از اين منابع از جانب ديگران و براي استفادة شما ارائه شده باشند، مثل حساب كاربري در يك رايانة اشتراكي يا دسترسي به اينترنت از طريق يك ارائه كنندة خدمات اينترنتي(ISP).
دشمنان شما می توانند براحتی با استفاده از موتورهای جستجو، نقاط ضعف و آسیب پذیر هر محصول یا سیستم عامل را بیابند. در بسیاری از موارد شما نرم افزاری را خریداری می کنید که خود آن نرم افزار بصورت ذاتی دارای نقاظ ضعف امنیتی است و این نقاط ضعف امنیتی به خودی خود باعث زیر سئوال رفتن امنیت سازمان شما خواهد شد.
ميدانيم كه براي فروشندگان نرم افزار بسيار مهم است كه برنامه هايشان ايمن و عاري از هرگونه خطا باشد، اما زماني كه چنين مشكلاتي بروز مي كنند با اتخاذ تدابير و تصميمات مناسب مي توانيم نسبت به تهيه و نصب نسخه هاي اصلاحي اقدام كنيم و اين تنها روش مقابله اي است كه در اختيار داريم.
بعنوان مثالی ساده در مورد ماهيت امنيت سايبری، یک حفره امنیتی در هستة سيستم عامل Windows Microsoft را در نظر بگیرید. مايكروسافت تقريباً در تمامي نسخه هاي موجود از سيستم عاملهاي Windows خود يك آسيب پذيري بسيار مهم را كشف كرد كه اولين تأثير آن مي تواند از كار افتادن كاملMicrosoft Windows 2003 Server باشد.
مايكروسافت گفته است كه اين آسيب پذيري مي تواند نفوذگرها را قادر كند كه از طريق اينترنت كنترل سيستم عامل Windows رايانه هاي قربانيان خود را بدست گرفته، اطلاعات آنها را بدزدند، فايلها را حذف كنند و يا از طريق پست الكترونيكي انتقال دهند . اين شركت به مشتريان خود اطمينان داد كه بلافاصله يك وصله رايگان براي برطرف ساختن اين اشكال روي پايگاه وب مايكروسافت قراردهد. اين اشكال كه توسط پژوهشگراني از كشور لهستان كشف شد نسخه هاي رايج Windows در ميان كاربران خانگي را نيز تحت تأثير قرار داد. مارك مايفرت مدير اجرايي مؤسسة امنيت ديجيتال دربارة شركتهاي آسيب ديده گفت: “تا زمانيكه آنها اين وصلة نرم افزاري را نصب نكنند، سيستمهايشان مثل يك تكه پنير سوئيسي خواهد بود و هركس مي تواند براحتي به سرويس دهندههاي آنها وارد شود”.
اما همان زمان چهار پژوهشگر لهستاني راهي براي عبور از وصله هاي جديد مايكروسافت پيدا كردند و اين زماني بود كه تنها سه ماه از انتشار اين وصله ها مي گذشت. هرچند پژوهشگران لهستاني ابزاري براي اثبات وجود آسيب پذيريهاي جدي تر طراحي كرده و با استفاده از آن به چند رايانه نفوذ كردند، ولي متعهد شدند كه هيچ اثري از اين آسيب پذيريهاي جديد در اينترنت بجاي نگذارند. حتي بدون اعلام اين مسئله از سوي آن پژوهشگران، نفوذگران نوعًا قادر به عبور از وصلههاي مايكروسافت هستند.
اطلاعاتي كه “خصوصي” بشمار مي روند تنها زماني مي توانند واقعًا خصوصي بمانند كه بصورت ايمن ذخيره شده باشند. براي اين منظور در دنياي واقعي بگونه اي رفتار مي كنيم كه گويي چنين اطلاعاتي وجود خارجي ندارند. اين سياست را امنيت گمنامي مينامند. به همين ترتيب اطلاعاتي كه بايد بصورت محرمانه به اشتراك گذارده شوند بايد براي كسانيكه آنها را به اشتراك گذاشته اند بصورت ايمن باقي بمانند. اگر اين افراد هميشه در يك مكان نيستند هنگام انتقال اين اطلاعات بايد سياستهاي امنيتي كافي در مورد آنها اعمال شود. موقعيتهايي نظير اين مسئله در فضاي سايبر نيز وجود دارد، ولي با فرض طبيعت خاص فضاي سايبر و ارتباط ميان رايانه هاي موجود در آن، امنيت گمنامي يا استفاده از پنهان سازي، سياستي ضعيف مي نمايد و بايد از آن اجتناب كرد.
واژه امنیت اطلاعات حجم وسیعی از فعالیت های یک سازمان را تحت پوشش قرار می دهد. امنیت اطلاعات به معنای واقعی یعنی با استفاده از یک سری فرآیند ها از دسترسی غیر مجاز به اطلاعات و یا محصولات و اعمال تغییرات یا حذف کردن آنها جلوگیری کنیم. این عمل را می توان به نحوی حفاظت از منابع موجود در موقعیت های مختلف (مانند یک حمله هکری که معمولا خیلی انجام می شود!) توسط افرادی که مسئول امنیت اطلاعات هستند در نظر گرفت .
شما به عنوان یک فرد حرفه ای در زمینه کامپیوتر ، همیشه با مسائلی جدی تر از بحث جلوگیری از ورود و حمله ویروس ها به کامپیوتر ها مواجه هستید. البته این موضوع بستگی به طرز تفکر مسئولین امنیتی آن شرکت یا سازمان دارد ، شاید برای شما خنده دار باشد اما چه بسا مشاهده شده است که بسیاری از شرکت ها و یا حتی سازمان های دولتی با نصب یک نرم افزار آنتی ویروس و یک فایروال ساده نرم افزاری شبکه خود را به گمان خود 80% ایمن می کنند!!!!
زمانی که شما به عنوان مسئول و کارشناس امنیت اطلاعات یک شرکت یا سازمان محسوب می شوید، در واقع شما مسئول حفاظت از دارایی های اطلاعاتی یک سازمان در مقابل کسانی یا چیزهایی هستید که می خواهند از آن دارایی ها سوء استفاده کنند. ممکن است برخی از این افراد هم اکنون در سازمان و در کنار خود شما باشند، ولی اکثر این افراد در خارج از سازمان قرار دارند و همیشه قصد نفوذ به شبکه و سازمان را دارند. این جمله طلایی را همیشه به خطر بسپارید: “هیچ چیز برای یک مسئول یا کارشناس امنیت اطلاعات خطرناکتر و هولناکتر از کاربران خود آن شبکه نمی باشد”.
متاسفانه این عمل چندان هم آسان نیست ، در حال حاضر نقاط ضعف و آسیب پذیری های سیستم های تجاری در حال رشد است و این نقاط روز به روز بیشتر و بیشتر می شود. حال کافیست شما تنها یک روز از این اطلاعات بی خبر باشید و همین کافیست تا به شبکه و سازمان شما نفوذ شود. برای مثال اگر از ویندوز نسخه اصلی یا ارجینال استفاده کرده باشید و به اینترنت متصل بشوید، می بینید که دائما در حال بروز رسانی خود می باشد بطوری که همه روزه بسته های امنیتی خود را بروز میکند و بر روی سیستم شما نصب میکند. این یعنی اینکه همه روزه حملات گسترده ای در سطح دنیا به سیستم ها انجام می شود که باعث ایجاد نقاط ضعف در سیستم ها می شود و برای جلوگیری از نفوذ از طریق این نقاط، بسته های امنیتی برای آنها ساخته و عرضه می شود.
متاسفانه در کشور ما بدلیل عدم تدوین و رعایت کامل قوانین مربوط به حق مؤلف (کپی رایت)، نرم افزارهایی که توسط برنامه نویس ها نوشته می شود زیر نظر هیچ سازمان مرکزی خاصی قرار ندارند تا مشکلات احتمالی آنها را را بررسی و به آنها رسیدگی کند. البته قسمتی در مرکز تحقیقات صنایع انفورماتیک ایران برای تست برخی نرم افزارهای خاص ایجاد شده است، اما به هیچ عنوان جوابگوی این حجم و تعداد از نرم افزارهای تولیدی در داخل کشور نیست. بنابراین اعتماد کردن به اینگونه نرم افزارها بسیار سخت است.
