فناوري اطلاعات

استفاده از رايانه در كسب و كار از زماني متحول و فراگير شد كه دسترسي به اطلاعات با سرعت بالا و هزينه كم امكان پذير گرديد. اين تحول به شركتهايي كه در گذشته از رايانه براي واژه پردازي و يا ذخيره اطلاعات استفاده مي كردند، اجازه داد كه رايانه هاي خود را به صورت شبكه درآورند و آن شبكه را به اينترنت متصل كنند. نيروهاي رقابتي و شرايط سريع كسب و كار، سازمانها را مجبور ساخته است كه براي بقا، شبكه هاي خود را به روي ديگران باز كنند و تا جايي كه ممكن است از راه كارهاي الكترونيك براي كسب و كار استفاده كنند درحالي كه اين تحولات منافع بسياري در گسترش تجارت امكان كار در خارج از اداره و حمايت نيروهاي فروش در خارج از شركت را براي بسياري از شركتها ايجاد مي كند. متاسفانه خطراتي مانند ويروس‌هاي رايانه اي و خرابكاريهاي رايانه‌اي را نيز به همراه خود مي آورد. به طورمعمول اخبار روز شامل گزارشهايي درباره آخرين كرمها و ويروسهاي رايانه‌اي و خرابكاريهاي روزافزون رايانه در شركتها وسازمانهاي مختلف است. اينگونه اخبار ممكن است مدير يك شركت را بر آن دارد كه بگويد استفاده از اينترنت در تجارت به خطراتش نمي‌ارزد. درحالي كه خطرات جدي و واقعي، هنگامي كه شناخته شوند مي توان با آنها برخورد مناسب داشت و جلو بروز آنها را به ميزان قابل ملاحظه اي گرفت. استفاده روزافزون از اينترنت توسط شركتهاي كوچك و متوسط، لزوم آگاهي و يادگيري بيشتر درموردامنيت اطلاعات در سيستم‌هاي رايانه اي را براي مديران اين شركتها ايجاب مي‌كند. در اينجا هدف ما ارائه اطلاعاتي است كه بتواند به شركتها كمك كند تا ضمن استفاده از اينترنت و شبكه‌هاي رايانه اي در برابر خطرات ناشي از ويروسها و خرابكاريهاي رايانه‌اي نيز از خود محافظت كنند.
امنيت اطلاعات
به طوركلي امنيت اطلاعات در سه اصل زير خلاصه مي شود:

محرمانه بودن: بدين معني كه فقط افراد مجاز حق دسترسي به اطلاعات را داشته باشند.
صحت و استحكام: بدين معني كه اطلاعات دست نخورده بماند و تغيير در آنها فقط توسط افراد مجاز در صورت لزوم به صورت درست و قابل پيگيري انجام شود.
دردسترس بودن: بدين معني كه اطلاعات درموقع نياز به صورت قابل استفاده دردسترس قرار گيرد.

تهديدها
تهديدهاي امنيتي مربوط به اطلاعات رايانه اي و يا به عبارتي حملات رايانه‌اي شامل مواردي مي شود كه حداقل يكي از اصول سه گانه امنيت را مخدوش سازد. هدف از يك حمله رايانه اي در كنترل گرفتن يك يا چند رايانه به منظور از كارانداختن، مخدوش كردن يا سوءاستفاده از اطلاعات موجود در آنها ويا به كارگيري آنها براي خرابكاري در رايانه‌هاي ديگر است.
كساني كه به اين حملات دست مي‌زنند يا به اصطلاح خرابكارها معمولا” سه دسته هستند:

افراد آماتور كه اغلب اطلاعات دقيقي از نحوه كار سيستم هاي عامل و فناوري اطلاعات نداشته و صرفا” براي تفريح از برنامه‌ها و ابزارهاي از پيش تهيه شده براي دسترسي به رايانه‌هاي محافظت نشده استفاده مي‌كنند اين افراد را SCRIPT KIDDIES يا SREKCARC مي‌نامند.
خرابكاران حرفه اي كه معمولا” در ازاي دريافت پول اطلاعات ذيقيمت شركتها را دراختيار رقباي آنها يا گروههاي ذينفع قرار مي‌دهند و يا در سيستم شركتهاي رقيب خرابكاري مي‌كنند. اين افراد در امور فناوري اطلاعات وارد بوده واز آسيب‌پذيريهاي سيستم هاي عامل و برنامه‌هاي مورداستفاده مطلع بوده و قادرند ردپاي خود را ناپديد سازند. اين افراد را در اصطلاح هكرها (HACKERS) مي‌گويند.
كاركنان فعلي شركتها و يا كاركنان سابق آنها كه به نحوي از شركت مذكور نارضايتي داشته و به قصد انتقامجويي و يا صدمه زدن در سيستم‌هاي اطلاعاتي شركت با استفاده از دانش و اطلاعات خود از سيستم‌هاي موردنظر به خرابكاري دست مي زنند.

حملات رايانه اي معمولا” در سه مرحله انجام مي شود

مرحله اول – شناسايي و جمع آوري اطلاعات درمورد رايانه هدف؛
مرحله دوم – يافتن نقاط آسيب پذير و راههاي واردشدن به سيستم به عنوان يك كاربر مجاز؛
مرحله سوم – درصورت امكانپذير نبودن مرحله دوم تلاش براي دسترسي به رايانه هدف از طريق ديگر و بدون استفاده از مشخصات كاربران مجاز انجام مي پذيرد.

انواع تهديدهاي رايانه اي
تهديدهاي رايانه اي به صورت زير دسته‌بندي مي شوند:

ويروسها و كرمها : اينها برنامه‌هاي كوچكي هستند كه ازطريق پست الكترونيك و يا نرم افزارهاي آلوده به اين ويروسها وارد يك رايانه شده و در آنجا به صدمه زدن و خرابكاري در برنامه ها و يا اطلاعات رايانه مذكور مي پردازند.
اسب تروا (TROJAN HORSE): برنامه‌هايي هستند كه ظاهرا” ماهيت خرابكاري نداشته به صورت برنامه‌هاي بازي و يا كمكي وارد سيستم شده و سپس در خفا به كارهاي غيرمجاز و كنترل رايانه و سرقت اطلاعات محرمانه و يا شخصي كاربر مي‌پردازند.
از كارانداختن (DENIAL OF SERVICE): اين عمل با ايجاد تعداد زيادي تقاضاي سرويس از يك سيستم انجام شده و درنتيجه سيستم مذكور كارايي خود را از دست داده و يا از كار مي افتد. درنتيجه سيستم نمي تواند خدمات لازم را به مشتريان واقعي خود ارائه كند. نظير مشغول كردن يك تلفن.
شنود اطلاعات : در اين مورد در مسير ارتباطات ازطرق گوناگون اطلاعات مبادله شده سرقت و يا شنود مي شوند.
وب سايت هاي تقلبي (PHISHING) : در اين مورد يك وب سايت تقلبي با شكل و قيافه و امكانات كاملا” مشابه به يك وب سايت واقعي طراحي و دراختيار كاربران قرار مي‌گيرد و بدين‌وسيله اطلاعات شخصي و محرمانه كاربران را به سرقت مي برند.

محافظت
براي محافظت از سيستم‌هاي اطلاعاتي رايانه‌اي شناسايي قسمتهاي مختلف سيستم و آسيب پذيريهاي موجود در آن ضروري است. پس از شناسايي و رفع آسيب پذيريهاي سيستم بايد مرتباً مواظب بود كه آسيب پذيريهاي جديد به وجود نيايد و به طور متناوب سيستم را بررسي كرد تا از امنيت آن مطمئن شد درحالي كه هيچگاه نمي‌توان صددرصد از امنيت يك سيستم مطمئن بود ولي با اقدامات زير مي توان تا حد بسيار بالايي امنيت وحفاظت از يك سيستم را فراهم ساخت:

تهيه نقشه و راهنماي سيستم: اين كار شامل شناسايي رايانه ها و شبكه‌هاي متصل و غيرمتصل به اينترنت و به خط تلفن و يا بي سيم، نرم افزارها و سيستم هاي عامل مورداستفاده نرم افزارهاي ضدويروس و محافظ و اطلاعات و برنامه هاي حساس تجاري خواهدشد؛
تهيه سياست امنيتي: اين كار شامل تعريف سياستهاي مربوط به استفاده از رايانه‌‌ها توسط كاركنان و روشهاي مورداستفاده در امنيت و حفاظت اطلاعات است. اين سياست چارچوبي را براي حفاظت از شبكه‌هاي رايانه‌اي و منابع اطلاعاتي موجود در آنها تعيين مي‌كند. اين سياست بايد به سادگي براي مديران و كاركنان قابل درك بوده و تمامي نكات و موارد مربوط به امنيت را دربرگيرد. ازجمله مطالب مهم اين سياست عبارتند از: تعريف استفاده مجاز، چگونگي احراز هويت و انتخاب كلمه رمز، مسئوليت به روز كردن نرم افزارهاي موجود در هر رايانه اقدامات لازم درهنگام بروز يك حمله و يا ويروس رايانه اي و مسئوليتهاي افراد دراين مورد. معمولاً سياست امنيتي در دو شكل تهيه مي‌گردد. يكي به صورت ساده وكلي كه براي عموم كاركنان قابل استفاده باشد و ديگري با جزئيات بيشتر كه معمولاً محرمانه است و براي استفاده مديران و كارشناسان فناوري اطلاعات و امنيت است.
محكم كاري در نرم افزارهاي مورداستفاده: اين قسمت شامل شناسايي نرم افزارهاي موجود در سيستم و به روز كردن آنهاست. زيرا معمولا” آخرين مدل يك نرم افزار آسيب پذيريهاي كمتري نسبت به مدلهاي قديمي تر آن دارد. ازجمله كارهاي ديگر دراين قسمت حذف برنامه هاي آزمايشي و نمونه و برنامه‌هايي كه ازنظر امنيتي مطمئن نيستند از سيستم هاي مورداستفاده است.
كاهش تعداد نقاط دسترسي و كنترل نقاط باقيمانده: اين مرحله شامل بررسي نقشه سيستم و شناسايي نقاط اتصال به اينترنت و دسترسي از راه دور به منظور كاهش نقاط دسترسي به حداقل ممكن و كنترل نقاط باقيمانده ازنظر دسترسي و ورود و خروج اطلاعات است.
شناسايي نقاط ورود پنهان: شناسايي و حذف مودم ها و نقاط دسترسي غيرمعمول كه احتمالا” از نظرها پنهان مي ماند ولي بعضي از كاركنان آنها را مورداستفاده قرار مي دهند.
نصب ديواره آتش (FIREWALL): اين سيستم براي جداسازي و محافظت سيستم داخلي از اينترنت و همچنين كنترل دسترسي به سايت هاي اينترنتي به خصوص سايت‌هاي غيرمربوط به كار نصب مي گردد. در مواردي مي‌توان رايانه‌هاي مشخصي را جهت استفاده از اينترنت اختصاص داد. درصورت نياز تغيير پورت هاي اتصال و آموزش كاركنان درمورد راههاي درست دسترسي حائزاهميت است.
نصب سيستم‌هاي تشخيص و جلوگيري از ورود غيرمجاز (INTRUSION DETECTION AND PREVENTION SYSTEMS): اين سيستم‌ها به مانند دزدگير عمل كرده و ورود و دسترسي غيرمجاز به سيستم را ثبت و اطلاع مي‌دهد و يا از انجام آن جلوگيري مي‌كند. حتي در مواردي كه عبور غيرمجاز از ديواره آتش انجام پذيرد با استفاده از اين سيستم مي توان آن را شناسايي و از بروز مجدد آن جلوگيري كرد. همچنين با بررسي به موقع ليست ثبت شده توسط سيستم IDP وشناسايي تلاشهاي انجام شده براي دسترسي غيرمجاز به سيستم مي‌توان از خطرات آتي جلوگيري كرد.
نصب نرم‌افزارهاي ضدويروس: نصب نرم افزارهاي ضدويروس در دروازه هاي ورودي سيستم و در رايانه‌ها براي شناسايي و جلوگيري از ورود ويروس هاي رايانه هاي به سيستم و احياناً مرمت سيستم هاي آلوده به ويروس ضروري است. اين نرم افزارها بايد مرتباً به روز درآيند تا همواره از آخرين اطلاعات مربوط به ويروس‌هاي رايانه‌اي استفاده گردد.
بررسي متناوب عملكرد سيستم و رفع اشكالات آن: اين بررسي ها به مديريت اين امكان را مي دهد تا با درنظر گرفتن خطرات امنيتي موجود و نياز به انجام عمليات تجاري، ضمن رفع اشكالات شناخته شده سياست و برنامه امنيتي متناسب و متوازني را اتخاذ كند.
آموزش كاركنان: كاركنان بايد باتوجه به نياز آنها در سطوح مختلف درباره مسائل امنيتي و حفاظت از اطلاعات رايانه اي آموزش ديده و آگاهي هاي لازم را پيدا كنند. ازجمله آموزش سياست امنيتي شركت از ضروريات است.

استانداردهاي بين المللي براي امنيت اطلاعات
دررابطه با امنيت اطلاعات و داده ها و حفاظت از اطلاعات حساس، استاندارد انگليسي BS???? به وجود آمده كه بعداً به صورت استاندارد بين المللي ISO????? درآمد. اين استانداردها ايجاد ?? كنترل كليدي را ملزم ساخته كه عبارتنداز:

تهيه يك سياست امنيتي مدون؛
مشخص كردن مسئوليتهاي امنيتي در سازمان؛
آموزش درموارد امنيت اطلاعات؛
گزارش به موقع تهديدات امنيتي و نحوه برخورد با آنها؛
جلوگيري و كنترل ويروس‌هاي رايانه‌اي؛
برنامه ادامه تجارت درصورت بروز خطرات امنيتي؛
كنترل تكثير و كپي كردن نرم‌افزارهاي داراي حقوق محفوظ؛
ايجاد فرايند مناسب براي مديريت ثبت اطلاعات حساس؛
حفاظت از اطلاعات شخصي و خصوصي افراد؛
بررسي متناوب پيروي از استانداردها.

اين ?? كنترل، اطلاعات الكترونيك و غيرالكترونيك و همچنين نحوه ذخيره الكترونيك و فيزيكي آنها را شامل مي‌شود. باتوجه به اينكه مقوله امنيت اطلاعات و بخصوص مطابقت با يك استاندارد قابل قبول بين المللي هم ازنظر شركتها و توليدكنندگان و هم ازنظر مشتريان و خريداران خدمات اين شركتها حائزاهميت است و بادرنظر گرفتن اينكه رعايت استانداردهاي امنيتي شركتها را در زمينه مسئوليتهاي قانوني آنها حمايت مي‌كند توجه به استانداردهاي بين‌المللي امنيت اطلاعات و پيروي از آنها در بازار جهاني امروز از اهميت بيشتري برخوردار گشته است.
نتيجه گيري
اينترنت و شبكه هاي رايانه اي موجود در سازمانها و شركتها قابليت جستجو و مبادله اطلاعات را به صورت بي‌سابقه امكان‌پذير ساخته است. به وجود آمدن تجارت الكترونيك شركتهايي را كه حتي در گذشته تصور آن را هم نمي كردند قادر ساخته است كه به عرضه خدمات و كالاهاي خود در سطح جهاني بپردازند. درحالي كه چنين ابزار قدرتمندي در امر تجارت، انقلابي ايجاد كرده است نياز به داشتن رايانه هاي امن و دسترسي امن به اينترنت را نيز الزام آور ساخته است. يك شركت كوچك يا متوسط در مقايسه با يك شركت بزرگ كه سرمايه زيادي را درجهت امن كردن سيستم هاي رايانه اي خود به كار برده است ممكن است براي يك خرابكار اطلاعاتي هدفي به مراتب ساده تر و بهتر باشد. به عنوان يك مدير شما بايد از چند وچون خطراتي كه دسترسي به اينترنت و شبكه رايانه اي شما را تهديد مي كند اطلاع داشته باشيد. شما نيازمند اين هستيد كه وقتي را به مقوله امنيت اختصاص دهيد زيرا ايجاد يك سيستم امن رايانه اي نيازمند صرف وقت و منابع لازم است. دقت كافي توسط مديريت وكارشناسان فناوري اطلاعات در زمينه امنيت اطلاعات و ايجاد محيط امن رايانه اي به شما امكان مي دهد تا از منافع بسياري كه اينترنت و شبكه هاي رايانه‌اي براي تجارت شما ايجاد مي كند بهره‌مند گرديد. آگاهي كامل از انواع تهديدات وچگونگي مقابله با آنها خطرات ناشي از تهديدات را به مرور كمتر خواهدكرد. درك مسائل امنيتي توسط مديران و حضور موثر آنها در ايجاد و اجراي يك برنامه امنيت اطلاعات كارامد و متناسب با نيازهاي سازمان و با رعايت استانداردهاي موجود ضروري است.