امنیت اطلاعات چیست؟

اطلاعات می‌توانند فیزیکی یا الکترونیکی باشند. مثلاً می‌توانند جزئیات یا مشخصات شما در شبکه‌های اجتماعی باشند یا داده‌های شما در تلفن همراه یا اطلاعات بیومتریک و … . برای شرکت‌ها هم اطلاعات پرسنل، اطلاعات مالی و اسناد مربوط به محصولات که از رقبا پنهان می‌کنند. این اطلاعات برای افراد و شرکت‌ها بسیار مهم هستند، به طوری‌که برای حفظ و مراقبت از آنها هزینه‌های گزافی پرداخت می‌کنند. در مقابل برای هکرها هم آنقدر ارزشمند هستند که گاهی زندگی خود را بابت آنها به خطر می‌اندازند.

شما برای مراقبت از داده‌های شخصی چه‌کار می‌کنید؟ آیا برای جلوگیری از افشا یا دسترسی افراد دیگر به آنها وسواس به خرج می‌دهید؟

در این پست به چیستی امنیت اطلاعات، تهدیدهای رایج و راه‌های مقابله با آنها می‌پردازیم.

امنیت اطلاعات اولین‌بار در طول جنگ‌های جهانی بسیار مهم شد. در طول جنگ جهانی اول، اولین سیستم طبقه‌بندی چندسطحی با در نظر گرفتن حساسیت اطلاعات ابداع شد. با شروع جنگ جهانی دوم، سیستم طبقه‌بندی به صورت رسمی توسط کشورهای در جنگ مورد استفاده قرار گرفت تا کشورهای دیگر نتوانند به آنها دست پیدا کنند. حتی کشورها برای جلوگیری از افشای اطلاعات آنها را رمزگذاری می‌کردند. در مقابل سعی می‌کردند به هرطریقی به اطلاعات مهم دیگر کشورها دست پیدا کنند. مثلاً در طول جنگ آلن تورینگ کسی بود که با موفقیت ماشین انیگما/Enigma را که توسط آلمانی‌ها برای رمزگذاری داده‌های جنگ استفاده می‌‍شد رمزگشایی کرد.

اصول امینت

وقتی از امنیت اطلاعات سخن به میان می‌آید ۳ هدف مهم مد نظر است. یعنی برنامه‌های امنیتی سازمان‌ها حول سه چیز شکل می‌گیرند تا از دارایی‌ها مراقبت شود:

• محرمانه‌بودن اطلاعات / Confidentiality
• یکپارچگی و امانت در اطلاعات / Integrity
• دسترسی به اطلاعات / Availability

که به اختصار CIA نامیده می‌شود.

محرمانه‌بودن

محرمانگی به این معنی است که اطلاعات در اختیار افراد و واحدهای غیرمجاز قرار نگیرد و فقط افراد مجاز امکان دسترسی به اطلاعات را داشته باشند. برای مثال فقط پزشک شما می‌تواند به اطلاعات پزشکی شما دسترسی داشته باشد نه هیچکس دیگر.

در عرصۀ عمومی هم، کدهای ملی، شمارۀ تلفن افراد، اطلاعات گواهینامه رانندگی، اطلاعات حساب بانکی و گذرواژه‌ها و غیره اطلاعاتی هستند که ممکن است مورد سوءاستفادۀ افراد قرار گیرد. سازمان‌ها این اطلاعات را به عنوان اطلاعات محرمانه علامت‌گذاری می‌کنند.

سازمان‌ها، برای محرمانه‌نگه‌داشتن داده‌ها، سخت‌گیری می‌کنند تا مطمئن شود که فقط افراد مجاز به آن اطلاعات دسترسی داشته باشند. سازمان‌ها بر اساس سند خط‌مشی اطلاعات داده‌های سازمان را طبقه‌بندی می‌کنند تا مطئن شوند فقط افراد مجاز به اطلاعات لازم دسترسی پیدا خواهند کرد.

استفاده از رمز قوی و جلوگیری از افشای آن برای حساب‌های کاربری، کارت‌های اعتباری و … می‌تواند مانع از افشای اطلاعات شما شود. وقتی رمز خود را در اختیار دیگران قرار می‌دهید یا هنکام واردکردن رمز عبور کسی رمز شما را می‌ببیند محرمانگی نقض شده است.

شرکت‌ها و دولت‌ها اطلاعات را، برای جلوگیری از افشا، رمزنگاری (encryption) می‌کنند تا افراد غیرمجاز به آنها دسترسی پیدا نکنند.

یکپارچگی یا تمامیت

یکپارچگی به معنی حفظ صحت و کامل‌بودن داده‌هاست. یکپارچگی به معنای این است که داده‌ها دستکاری یا تحریف نشوند یا به روش غیرمجاز ویرایش نشوند.

متخصصان امنیت در سازمان‌ها فرایندهایی را ایجاد می‌کنند که کارمندان مشخص اجازه‌ی ویرایش داده‌ها داشته باشند یا فرایند ارسال اطلاعات طوری باشد که در حین انتقال داده‌ها تغییر نکند. در سازمان‌ها و شرکت‌های امن قبل از اینکه داده‌ها به هر طریقی تغییر کنند، مجوز لازم است.

به عنوان مثال، اگر شخصی فایل مورد نیاز خود را عمدی یا سهوی حذف کند یکپارچگی نقض شده است. جالب است بدانید که برخی از سازمان‌ها داده‌ها را حذف نمی‌کنند؛ هیچ‌وقت!

تکنیک امضای دیجیتال و استفاده از الگوریتم‌های هش (Hash) برای حفظ یکپارچگی به کار گرفته می‌شود.

در دسترس بودن

دسترس‌پذیری به این معنی است که اطلاعات در صورت نیاز در دسترس باشد. این اصل گاهی این چنین هم تفسیر می‌شود که اطلاعات همیشه و همه‌جا در دسترس نباشد. در یک تعریف کلی‌تر دسترس‌پذیری به این معناست که دارایی‌های مجاز در زمان مجاز در اختیار کاربرهای مجاز قرار گیرد.

مثلاً تصور کنید که برای رفتن به یک سفر ضروری باید حتماً تا یک ساعت آینده بلیت هواپیما بخرید. اگر سایت خطا بدهد و یا در دسترس نباشد اصل دسترس‌پذیری نقض شده است.

گاهی حملات داس و دی‌داس برای ازبین‌بردن دسترس‌پذیری فعال می‌شوند.

تهدیدهای امنیتی

هکرها برای رسیدن به اطلاعات ارزشمند دیگران روش‌های زیادی دارند. آنها انواع حملات در شبکه های کامپیوتری را به کار می‌گیرند تا به اطلاعات افراد و شرکت‌ها دست پیدا کنند. بیایید در مورد چند نوع تهدید اساسی صحبت کنیم که کامپوترها و شبکه‌ها با آنها مواجه می‌شوند:

نرم‌افزارهای خرابکار

نرم‌افزارهای خرابکار معروف به بدافزار (malware)، شامل ویروس‌های رایانه‌ای، کرم‌ها، اسب‌های تروا (Trojan)، نرم‌افزارهای جاسوسی، روت‌کیت‌ها، ابزارهای تبلیغاتی مزاحم، باج‌افزارها، بدافزارهای رمزنگاری‌شده و سایر انواع نرم‌افزارهای نامطلوب.

دسترسی غیر مجاز

منظور از دسترسی غیرمجاز دسترسی به منابع و داده‌های کامپیوتر بدون رضایت مالک آن است. ممکن است شامل نزدیک‌شدن به سیستم، تجاوز به حریم خصوصی، برقراری ارتباط، ذخیره و بازیابی داده‌ها، رهگیری داده‌ها یا هر روش دیگری باشد که در کار عادی کامپیوتر اختلال ایجاد کند.

خرابی سیستم

خرابی کامپیوتر یا خرابی برنامه می‌تواند به دلایل مختلفی از جمله خطای کاربر، فعالیت مخرب یا خرابی سخت‌افزار رخ دهد.

مهندسی اجتماعی

سوءاستفاده از کاربران برای افشای اطلاعات محرمانه یا انجام سایر اقداماتی که برای کاربر مضر است. امروزه تقریباً همه از طرف اشخاص ناشناخته ایمیلی دریافت می‌کنند که ادعاهای نادرستی دارند یا اطلاعات شخصی (یا پول!) درخواست می‌کنند. این ایمیل‌ها یکی از نمونه‌های مهندسی اجتماعی است.

بسیاری از فناوری‌ها و سازوکارهای امنیت اطلاعات می‌توانند در برابر تهدیداتی که نام بردیم از اطلاعات محافظت کنند. سؤال اصلی این است که آیا سازمان شما منابع لازم برای پیاده‌سازی آنها را دارد؟ حتی با بودجه کم هم پاسخ «بله» است.

به طور کلی، یک مدیر امنیتی باید یک پلن امنیتی فعالانه ایجاد کند که معمولاً با اعمال کنترل‌های امنیتی شروع می‌شود. هنگام ایجاد طرح امنیتی برخی از متخصصان فناوری اطلاعات طرح را به سه دسته کنترل زیر تقسیم می‌کنند:

• امنیت فیزیکی: مواردی مانند سیستم‌های هشداردهنده، دوربین‌های نظارتی، قفل، کارت شناسایی، نگهبانان امنیتی و غیره.
• امنیت فنی: مواردی مانند کارت‌های هوشمند، لیست‌های کنترل دسترسی (ACL)، رمزگذاری و احراز هویت شبکه، استفاده از فایروال.
• امنیت اداری: سیاست‌ها و رویه‌های مختلف، آموزش و آگاهی‌بخشی در مورد امنیت، برنامه‌ریزی احتمالی و طرح‌های بازیابی بعد حادثه (DRP).
• این کنترل‌های امنیتی برای محافظت از محرمانه‌بودن، درستی و دردسترس‌بودن داده‌ها به کار می‌رود.

راه‌های مقابله با تهدیدهای امنیتی

تهدیدهای امنیتی را گفتیم حالا خوب است با روش‌های جلوگیری با مقابله با تهدیدات را هم بشناسیم. روش‌های زیر برای قبل یا بعد از حملات سایبری در سازمان‌ها توصیه می‌شوند:

آگاهی کاربران

هرچه کاربر عاقل‌تر باشد، احتمال نقض امنیت کمتر است. آموزش کارکنان، خط‌مشی‌های آسان و قابل درک، ایمیل‌های آگاهی‌بخش در مورد امنیت و منابع امنیتی آنلاین به آگاهی کاربران کمک می‌کند.

این روش‌ها می‌توانند از شما در برابر تهدیداتی که قبلاً ذکر شد محافظت کنند.

احراز هویت

تأیید هویت شخص از اطلاعات در برابر دسترسی‌های غیرمجاز محافظت می‌کند. احراز هویت یک اقدام پیشگیرانه است که می‌تواند با سنجش ۵ چیز انجام شود:

• چیزی که کاربر می‌داند؛ به عنوان مثال، رمز عبور یا PIN
• چیزی که کاربر دارد؛ به عنوان مثال، کارت هوشمند یا سایر توکن‌های امنیتی
• چیزی که کاربر هست؛ به عنوان مثال، خواندن بیومتریک اثر انگشت یا اسکن‌کردن شبکیه چشم
• کاری که کاربر انجام می‌دهد؛ به عنوان مثال، تشخیص صدا یا امضای کتبی
• جایی کاربر هست؛ به عنوان مثال، ردیابی فرد توسط GPS یا موقعیت جغرافیایی

نرم افزارهای ضد بدافزار

ضد بدافزار از کامپیوتر در برابر انواع مختلف بدافزارها محافظت می‌کند و در صورت لزوم آنها را شناسایی و حذف می‌کند. انواع آن شامل نرم‌افزارهای ضدویروس و ضدجاسوس‌افزار است. نمونه‌های مشهور شامل برنامه‌های Symantec و McAfee و همچنین Windows Defender مایکروسافت است. امروزه، بسیاری از نرم‌افزارها با نام «آنتی ویروس» می‌توانند از سیستم در برابر نرم‌افزارهای جاسوسی و سایر بدافزارها محافظت کنند.

پشتیبان‌گیری از داده‌ها

پشتیبان‌گیری از آسیب به داده‌ها جلوگیری نمی‌کند یا حمله را متوقف نمی‌کند، اما می‌تواند به شما امکان بازیابی داده‌ها را پس از حمله یا خرابی سیستم بدهد. از برنامه‌هایی مانند Windows Backup and Restore ، Windows File History و Bacula گرفته تا برنامه‌های در سطح سازمانی مانند Veritas Backup Exec و راه‌حل‎‌های مختلف مبتنی بر کلاود.

پشتیبان‌گیری اطلاعات بخش مهمی از امنیت است.

رمزنگاری

رمزنگاری شامل تغییر اطلاعات با استفاده از یک الگوریتم است تا این اطلاعات برای هرکسی غیر از کاربرانی که «کلید» مناسب دارند ناخوانا باشد. نمونه‌هایی از این مورد شامل جلسات بی‌سیم رمز شده با استاندارد پیشرفته رمزگذاری (AES) ، صفحات وب رمزگذاری شده با HTTP Secure (HTTPS) و ایمیل‌های رمزگذاری شده با Secure/Multipurpose Internet Mail Extensions (S/MIME) یا Pretty Good Privacy (PGP) است.

حذف داده‌ها

حذف صحیح داده‌ها چیزی فراتر از پاک‌کردن (delete) فایل یا فرمت مدیاهای دیجیتال است. مشکل دیلیت یا فرمت باقی‌ماندن داده‌هایی است که از این طریق آنها می‌توان فایل‌های اصلی را، با استفاده از ابزارهای هوشمند، بازیابی کرد. وقتی شرکت‌ها قصد حذف داده‌ها را دارند، معمولاً یکی از این سه گزینه را به کار می‌گیرند: پاکسازی (clearing)، پاکسازی (purging/ sanitizing) و تخریب (destruction).

نتیجه

اطلاعات مهم برای جلوگیری از افشا، حذف و تغییر ناخواسته یا عمدی نیاز به مراقبت دارند. برای حفظ داده‌ها به بک متخصص امنیت اطلاعات نیاز است. یک متخصص امنیتی، با ترکیب یک برنامه امنیتی دقیق و روش‌های فردی قوی امنیتی، می‌تواند تهدیدها را قبل از انجام‌شدن آنها متوقف کند یا حداقل در بدترین سناریوها، سیستم‌ها یا داده‌ها را سریع و کارآمد بازیابی کند. قوی‌ترین طرح‌های امنیتی همین روش‌های بالا را شامل می‌شوند و آنها را با یک استراتژی لایه‌بندی، موسوم به دفاع در عمق، ترکیب می‌کنند.