ده مشخصه يك طرح خوب امنيتی
1- پوشش دادن همه زمينهها: منظور از اين پوشش ايناست كه علاوه بر فناوريهاي بيسيم و سيمي، مجوزهاي دسترسي به برنامهها (مانند بانكهاي اطلاعاتي) و اطلاعات (مانند اطلاعات مشتري) نيز بايد در امنيت سيستم لحاظ شود. فاكنر در اين زمينه ميگويد: تمام قسمتهايي را كه به حفاظت نيازدارند شناسايي كنيد. وي ميافزايد: شما نميتوانيد بدون شناختن يك تاكتيك آنرا پديد بياوريد.
براي مثال، شما ميتوانيد در داخل بانكهاي اطلاعاتي، اطلاعات را بر اساس نقش كارمندان تفكيك كنيد. كانريچ در اين زمينه ميگويد: يك مسئول فروش كافياست به اطلاعات مربوط به مشتريان و تلفن تماس آنها دسترسي داشته باشد، نه اطلاعات مربوط به صورتحساب آنها. اما كارمندان بخش صدور صورتحساب ميتوانند به تمامي اطلاعات مشتريان دسترسي يابند.
2- مديريت تشخيص خطرپذيري: در طول پروسه ايجاد طرح امنيتي، ميزان خطرپذيري دادههاي شركت را ارزيابي كنيد. با اين ديد كه كدام قسمت از دادهها بيشتر در معرض سرقت يا سوءاستفاده قرار ميگيرند. وقتي سرقت فهرست ايميلها باعث آسيبديدگي سيستم باشد، واضح است كه دزديدن اطلاعات كارتهاي اعتباري يا ساير داراييهاي مشتريان بسيار بدتر است.
كانريچ ميگويد: با اولويتبندي داراييها، ميتوانيد ميزان بودجه مورد نياز براي يك طرح امنيتي خوب را تعريف كنيد. اينكار باعث ميشود آندسته از ابزارهاي بيسيم كه در معرض تهديد و تعرض هستند و نيز اطلاعاتي كه ريسك و خطرپذيري بالايي دارند، شناسايي شوند. بهعنوان مثال، اختصاص يك كلمه عبور براي يك نفر، نوعي ريسك است. اما لازم است با استفاده از دانش حرفهاي، ميزان خطر و آسيبپذيري آن كاهش يابد.
3- طبقهبندي دادهها: كانريچ ميگويد: طبقهبندي دادهها را در همه جاي شركت انجامدهيد؛ مثلا اينكه امور عمومي يا موارد خصوصي كدامند، چه كساني به چه دادههايي دسترسي دارند، دادهها چگونه ذخيره ميشوند،پشتيبانگيري چگونه انجام ميشود و ... . بهعنوان نمونه، اطلاعات عمومي مانند تبليغات، چيزهايي هستند كه همه، حتي رقيبان نيز ميتوانند آنها را ببينند. اما چيزهايي مانند نحوه توزيع يك محصول، جزء اطلاعات خصوصي است. در اين بخش، امنيت بهخاطر احتمال از بين رفتن دادههاي قابلحمل (مانند نوارهاي مغناطيسي)، با نوع و روش پشتيبانگيري رابطه تنگاتنگي دارد.
4- تعريفكردن يك روش: فاكنر توصيه ميكند در مورد اطلاعات امنيتي، يك طرح كلي قابل يادگيري ارائه دهيد. وي ميافزايد مردم عادي به دانستن همه چيز نياز ندارند. لذا سعي كنيد بيشتر، حساب چكها و موجوديتان را داشته باشيد تا مطمئن شويد تاكتيكها و تكنيكهايتان در زمان دسترسي به اطلاعات، كارايي مناسبي دارند يا نه؟ هر كسي نياز دارد تاكتيكها و ابزار كليدي را بشناسد. اگر همه اطلاعات از مردم عادي دريغ شود، آنها ابهامات ذهنيشان را با تصوراتشان پر خواهند نمود.
5- بهكارگيري يك مدير روش: كانريچ توصيه ميكند يك مدير يا يك متخصص IT را بهعنوان مسئول روش امنيتي تعيين كنيد تا بتواند آنرا با اطلاعات جديدتر ارتقا دهد. بايد اين اطمينان حاصل شود كه آنچه شما انجام ميدهيد، براي بهتر شدن اوضاع است.
وي ميافزايد: اين مسئِول بايد بتواند روشهاي امنيتي را در يك دوره متوالي نظاممند و بر اساس تغييراتي كه در سياستهاي كلان شركت ايجادميشود، بروزرساني كند. ممكن است برنامههاي جديدي ارائه شود يا قوانين تغيير پيدا كند. بنابراين روشها نيز بايد بروز شوند تا با محيط جديد سازگاري داشته باشند.
6- ويژگيهاي يك روش خوب: به اعتقاد كانريچ: يك روش امنيتي بايد مشخص كند كداميك از اطلاعات شركت و چگونه رمزنگاري شود (64بيتي، 128 بيتي و ...)، و نيز تعيينكند كه چه كساني حق دسترسي به كليد اين رمزها را دارند. به همين ترتيب، يك روش امنيتي بايد جزئيات كلمات عبور را كه شامل چگونگي تغيير و توليد كلمههاي عبور است، دربر بگيرد.
اگر شركتي دادههاي حساس خود را رمزنگاري كند، حتي در صورت به سرقت رفتن يا گم شدن ابزارهايي مانند لپتاپ، PDA و ...، تنها يكي از ابزارهاي بيسيم خود را از دست داده است. اين حالت كمك ميكند تمام ابزارها، اعم از قابل حمل (نوارهاي مغناطيسي) و سيستمهاي ثابت (سرورها و مينيكامپيوترها) در امان باشند.
7- كنار گذاشتن محدوديتها: كانريچ توضيح ميدهد كه در طراحي امنيت براي لپتاپها، كامپيوترهاي خانگي و سيستمهاي شبكهاي محدوديتي قائل نشويد. درست سال پيش، سروكله اولين ويروس PDA پيدا شد. مسئله مهم اين است كه براي ابزارهايي مانند PDA و ساير ابزارهاي مشابه، طرحهاي امنيتي كافي وجود داشته باشد.
فاكنر ميگويد: بنابراين يك طرح امنيتي بايد درباره استفاده صحيح از آن ابزار در شبكه اطلاعات كافياي دربرداشته باشد. در عين اينكه تمهيدات امنيتي لازم نيز در طول زمان در اختيار كاربر قرار داده شود (مانند وصلههاي امنيتي براي بروزرساني خودكار). شايد عدم دسترسي به ابزارهاي خارجي، بهترين روش باشد. هر چند بعضي از شركتها نيز اين ايده را خيلي محدودكننده ميدانند.
8- اهميت روشهاي ارتباطي: كانريچ ميگويد: يك تاكتيك امنيتي بيسيم بايد شامل اطلاعات كافي درباره روشهاي صحيح ارتباط، چه ارتباطات درون سازماني و چه ارتباط بيرون از سازمان باشد. مثلا، ابزارهاي بيسيم نبايد بهطور همزمان هم به شبكههاي WLAN (درون سازماني) و هم در شبكههاي LAN متصل شوند. چرا كه اينكار اطلاعات شركت را دراختيار دنياي خارج قرارميدهد.
9- محدود كردن اختيارات كاربران: فاكنر توصيه ميكند تاكتيك امنيتي بايد هرگونه دسترسي به ارتباطات بيسيم را محدود كند. همانگونه كه ماهيت فناوري، اين موضوع را تأييد ميكند، ناامن بودن اين ارتباط واضح است. امن بودن و بيسيم بودن با هم در تضادند. اگر ابزاري بيسيم باشد، خودبهخود ناامن است. چرا كه نفوذگران هوا را براي ردگيري سيگنالهاي بيسيم بو ميكشند.
در واقع دليل توصيه به استفاده از خطوط ارتباطي امن براي انتقال اطلاعات حساس بهجاي سيگنالهاي بيسيم نيز همين است. فاكنر ميافزايد: هكرها كساني هستند كه سعي دارند با استفاده از روشهاي دسترسي به اطلاعات حساس يك شركت و بهدستآوردن آن سيگنالها، كاربران ابزار بيسيم را براي استفاده از يك ابزار پر خطر در شبكه، تشويق نمايند.
10- قابليت برخورد با تخلفات امنيتي: هيچ روشي ارزشمند نخواهد بود؛ مگر آنكه بتوان با داشتن اختيارات اجرايي و محدود كننده، رفتارهاي خارج از آنرا كنترل كرد. مديران IT بايد با همكاري ساير نهادهاي اجرايي، جريمههايي را براي تخلفات انجام شده تعيين كنند، اين جريمهها بايد نسبت به ارزش اطلاعات، سختگيرانه باشد.
از ديد فاكنر، لازم است برخي از سياستهاي سخت انضباطي با آموزش بيشتر و سختتر تقويت شوند. هدف ايجاد امنيت است، نه جريمه كردن. آموزش، اگر به درستي انجام شود، امنيت و آرامش خاطر را افزايش ميدهد يا حداقل رفتارهاي ناهنجار را كم مينمايد.
ترجمه داود رضايي از مجله شبكه