مبانی امنیت اطلاعات

مبانی امنیت اطلاعات : واژه cyber یک کلمه یونانی است به معنای سکان یا راهنما و در زبان انگلیسی به معنای مجازی است.
فضای سایبری محیط مجازی و غیر ملموسی است که در شبکه جهانی به صورت دیجیتالی وجود دارد، این فضا به عنوان مجموعه تعاملهای انسانها از طریق کامپیوتر و تکنولوژی های جدید بدون در نظر گرفتن زمان و مکان است که اولین بار توسط ویلیام گیبسون نویسنده داستانهای تخیلی در 1984 مطرح شد .

ویژگی های فضای سایبری :

1.  جهانی و فرامرزی بودن
2. جذاب و متنوع بودن
3. آزادی اطلاعات و ارتباطات
4. دستیابی به اطلاعات و ارتباطات

مهمترین دغدغه ما در فضای سایبری محافظت شدن از حملات و تهدیداتی است که با آن مواجه هستیم ، که ممکن است به صورت عمدی یا سهوی این فضا را به مخاطره بیاندازد . تهدیدات سایبری ( cyber threats) میتواند بسیار هزینه بردار باشد. انگیزه ی حملات سایبری میتواند مالی، ایدئولوژیک، سیاسی، کنجکاوی و یا انتقام باشد.

• برای به دست آوردن دانش امنیت پایه بهترین مرجع کتابی است که شرکت CompTIA با نام Security+ ارائه کرده این کتاب شامل مفاهیم و سرفصلهای زیر است که دانستن این مفاهیم برای شروع ضروری هست:

1. 1. اندازه گیری و سنجش خطر یا ریسک
   2. نظارت و تشخیص و عیب یابی
   3. درک تجهیزات و زیر ساخت ها
   4. AAA یا کنترل دسترسی و احراز هویت و مجوزها
   5. محافظت از شبکه های بی سیم
   6. امنیت ابر
   7. میزبانی داده و برنامه های امنیتی
   8. رمزنگاری
   9. بدافزارها ، آسیب پذیری ها و تهدید ها
   10. مهندسی اجتماعی
   11. مدیریت امنیت
   12. مواجهه با فاجعه و عکس العمل در برابر حملات

یکی از مواردی که شاید در تمامی کتابها و منابع امنیتی مشاهده میکنید مثلثی است که در زیر مشاهده میکنید.

مثلت امنیت

به این مثلت CIA مثلث امنیت میگویند، CIA یک مدل طراحی شده برای برقراری امنیت اطلاعات سازمان است.

Confidentiality یا محرمانگی : جلوگیری از رویت اطلاعات که در دو حالت وجود دارد (Data in motion  و Data in Rest)، اقداماتی برای محرمانه نگه داشتن اطلاعات تا از دسترسی افراد غیر مجاز جلوگیری شود. یکی از روشهای معمول برای تامین آن رمزنگاری است.

integrity یا صحت و تمامیت :  حفظ تمامیت دیتا، جلوگیری از تغییر اطلاعات حین ارسال است که در این روش به دقت در ارسال و دریافت اطلاعات پرداخته میشود. داده ها نباید حین انتقال تغییر کنند، یکی از راه های تامین آن استفاده از Checksum است.

Availability  یا دسترس پذیری :  در دسترسی بودن همیشگی اطلاعات برای کاربران مجاز یا اطمینان از در دسترس بودن اطلاعات. ارائه پهنای باند مناسب، جلوگیری و پیش بینی اتفاقات غیر مترقبه ، استفاده از redundancy یا افزونگی یا failover یکی از راههای تامین این بعد از مثلث امنیت است.

این مثلث در مقابل مثلث هکرها است که این سه کار اصلی را انجام میدهند: DDD یا افشاگری (Disclosure ) تخریب (Destruction) انکار (Denial) ، که این سه عمل مخالف CIA هستند .

افشاگری مخالف محرمانگی است ، شرکتها باید اطلاعات خود را ارزیابی و دسته بندی کنند که این عمل به ندرت اتفاق می افتد. مثلا اطلاعات به:
1. فوق سری : افشای آنها صدمه شدید  به سازمان یا حتی کشور میزند.
2. سری : افشای آن صدمه ی قابل توجهی به سازمان میزند.
3. محرمانه : افشای آن باعث شرمندگی سازمان میشود.
4. طبقه بندی نشده : اطلاعات همگانی.

و حتی اطلاعات محرمانه نیز دسته بندی شود 

اطلاعات محرمانه سطح 3 ، سطح 2 ، سطح 1 و …

تخریب مخالف صحت است. بعد از دسته بندی اطلاعات و تعیین میزان محرمانگی و حیاتی بودن  آن، قادر هستید تا تخمین بزنید که این اطلاعات اگر تخریب شوند چه تبعاتی برای سازمان خواهد داشت.

انکار مخالف همیشه در دسترس بودن است : حملات DDOS یکی از مواردی است که میتواند اطلاعات را از دسترس خارج کند، این نوع حملات دیتا را تغییر نمیدهند  و یا افشا نمیکنند ولی دسترس پذیر بودن اطلاعات را تحت تاثیر قرار میدهند.

بین مثلث CIA همیشه باید تعادل برقرار باشد زیرا زیاده روی در هریک از این موارد میتواند بر روی دیگری تاثیر منفی بگذارد.

مثلث امنیت، راحتی استفاده و عملکرد

((مثلث امنیت، راحتی استفاده و عملکرد، سه عنصر حیاتی در زمینه امنیت سایبری که به عنوان مثلث امنیتی شناخته می‌ شود، یک چارچوب اساسی برای طراحی و توسعه سیستم‌ ها و نرم‌افزارهای امن است. این مثلث برای ایجاد تعادل میان این سه عنصر اساسی و حیاتی استفاده می‌ شود.

راحتی استفاده، یکی از معیارهای اصلی در ارتباط با کاربران و مشتریان یک سیستم یا نرم‌ افزار است. یک سیستم که استفاده از آن آسان و راحت باشد، توسط کاربران پذیرفته شده و مورد استفاده قرار خواهد گرفت. این موضوع می‌ تواند منجر به افزایش رضایت کاربر، بهبود بهره‌ وری و موفقیت کلی سیستم شود.

در حوزه امنیت سایبری، اهمیت بالایی به راحتی استفاده از داده می‌ شود. زیرا یک سیستم یا نرم‌افزار پیچیده و دشوار ممکن است باعث انتخاب مسیرهای کوتاه یا راه‌حل‌ های غیرامن شود. بنابراین، قابلیت استفاده مناسب برای حفظ استفاده ی صحیح و پایدار از تدابیر امنیتی بسیار حائز اهمیت است.

امنیت، به معنای حفاظت از سیستم، داده‌ ها و کاربران در برابر دسترسی، استفاده یا فاش شدن غیرمجاز، گام مهم دیگری در مثلث امنیت است. استفاده از تکنولوژی‌ های امنیتی مانند رمزگذاری، کنترل دسترسی، فایروال و سامانه‌ های تشخیص نفوذ برای تضمین امنیت سیستم به کار می‌روند.

در عالم سایبری، امنیت ضرورت دارد؛ زیرا بدون آن، سیستم‌ها و داده‌ها در معرض حملات و بهره‌برداری قرار خواهند گرفت. نقض امنیت ممکن است منجر به از دست دادن داده‌ها، خسارات مالی و صدمات جدی به اعتبار یک سازمان شود. بنابراین، حفاظت و کاهش ریسک‌ ها حائز اهمیت است.

عملکرد، هدف و قابلیت‌ های مورد نظر یک سامانه یا نرم‌ افزار است که با عملکرد خوب، در دستیابی به اهداف خود کارآمد و موثر باشد. در حوزه امنیت سایبر، عملکرد نقش بسزایی دارد؛ زیرا چنین سامانه‌ ای که به درستی پشتبانی نشده باشد، ممکن است در معرض خطرات امنیتی قرار گیرد.

با توجه به تعامل بین راحتی استفاده، امنیت و عملکرد، تلاش برای یافتن تعادل مناسب بین این سه عامل ضرورت دارد. هدف نهایی مثلث امنیت، تامین نیازهای سازمان و کاهش ریسک‌ ها با حفظ سطوح بالای قابلیت استفاده، امنیت و عملکرد است. در عالم واقع، معاملات و تبادلات بین این سه عامل ممکن است لزوم تعويضات و تضحيات را به همراه داشته باشد.

بدون شک، هيچكس منابع نامحدود برای افزایش امنيت ندارد. لذا لازم است تلاش برای يافتن تعادل مناسب بين ايجاد امنيت و حفظ دسترسی باشد. به عبارت ديگر، كارشناسان امنيتی باید رويكردهای منطقی را در جهت حفظ هر دو عامل در نظر بگيرند.))

در این مقاله ما با مفاهیم پایه ای از امنیت آشنا شدیم، امنیت بسیار مهم است و داشتن دانش امنیت بسیار مهتر، در هر سطحی که هستیم نیاز به دانش کافی در این زمینه خواهیم داشت زیرا اطلاعات سرمایه های اصلی خیلی از  سازمان هستند. امیدوارم مقالات ما برای شما مفید بوده باشد.

برای دانلود نمونه سوالات بین المللی امنیت میتونید روی لینک زیر کلیک کنید
لینک دانلود نمونه سوالات بین المللی امنیت

هیواشبکه

ما در مجموعه هیواشبکه شامل :
شرکت فنی و مهندسی هیوانوآوران داده گستر : مجری طراحی ، پیاده سازی ، پشتیبانی پروژه های شبکه و امنیت در استان گیلان – رشت و شهرها و استانهای همجوار
آموزشگاه تخصصی هیواشبکه : برگزار کننده دوره های تخصصی شبکه و امنیت ، پیکربندی سرور HP ، مجازی سازی ، MCSA 2016 ، نتورک و … به صورت حضوری با مجوز از سازمان فنی و حرفه ای و آموزش کارکنان دولت در رشت ، استان گیلان و به صورت مجازی در سراسر کشور
در خدمت شما عزیزان هستیم.