تست امنيت اطلاعات برای مديران
متن زير يك تست سريع و آموزنده مي باشد كه به برخي از سوالات شما در زمينه امنيت اطلاعات پاسخ مي دهد. همانطور كه خواهيد ديد به صورت پرسش و پاسخ بيان شده است.
باب امنيت اطلاعات اغلب پيچيده مي باشد. بر همين اساس اين مبحث به برخي از سوالاتي كه ممكن است براي شما ايجاد شود ، پاسخ داده است و پيشنهاداتي را براي آن ارائه داده است تا به سادگي قبول كنيد كه سيستم هاي شما نيز ممكن است در معرض خطر قرار گيرد.
1-اگر امنيت اطلاعات را افزايش دهيم ، كارايي كاهش پيدا مي كند. درست يا غلط ؟
درست – امنيت اطلاعات هزينه مربوط به خودش را دارد. افزايش امنيت اطلاعات ممكن است به روالهاي موثر اضافي از جمله «تكنولوژي» و «سرمايه گذاري » نياز داشته باشد.
افزايش امنيت اطلاعات ممكن است پيشرفت جريان كار را با كندي مواجهه كند و اين امر ممكن است در كارايي افراد و شبكه شما نمود پيدا كند. امنيت اطلاعات ممكن است به معني قفل كردن ايستگاههي كاري و محدود كردن دسترسي به اتاقهاي كامپيوتر و سرور شما باشد. هر سازماني بايد هنگامي كه به مقوله امنيت اطلاعات مي پردازد به صورت انديشمندانه اي بين خطرات ( Risks ) و كارآيي توازن برقرار كند.
2-حملاتي كه توسط نفوذگران خارجي انجام مي گيرد نسبت به حملات كارمندان داخلي هزينه بر تر و خسارت بار تر مي باشد. درست يا غلط ؟
غلط- حملات كارمندان داخلي نوعا بسيار خسارت بار تر از حملات خارجي گزارش شده است. بر طبق آمارهاي انستيتو امنيت كامپيوتر (Compuetr Security Inistitu ) ميانگين حملات خارجي 57000 دلار و ميانگين هزينه حملات داخلي 2700000 دلار برآورد شده است.
كارمندان داخلي اطلاعات محرمانه بيشتري درباره سيستم هاي هدف در دسترس دارند از آن جمله مي توان اطلاعاتي درباره فعاليت هاي ديده باني (Monitoring ) را نام برد (به خصوص نقاط ضعف اين فعاليتها )
3-پيكربندي يك ديواره آتش (Firewall ) به صورت كامل ما ر در مقابل حملات خارجي ايمن مي كند. درست يا غلط ؟
غلط – آمارهاي انستيو امنيت كامپيوتر نشان مي دهد كه 3/1 شركتهايي كه از ديواره آتش استفاده كرده اند هنوز از دست نفوذگران بد انديش در امان نمانده اند. اولين كاركرد ديواره آتش بستن پورتهاي مشخص مي باشد به همين دليل در بعضي از مشاغل نياز است كه بعضي از پورتها باز باشد. هر پورت باز مي تواند يك خطري را براي سازمان ايجاد كند و يك معبر براي شبكه شما باشد.
ترافيكي كه از ميان يك پورت مي گذرد را بايد هميشه به صورت سختگيرانه اي ديده باني (Monitor ) كرد تا تمامي تلاشهايي كه منجر به نفوذ در شبكه مي شود شناسايي و گزارش شود.
يك ديواره آتش به تنهايي نمي تواند يك راه حل جامع باشد و بايد از آن به همراه تكنولوژي هاي IDS (Intrusion Detection System ) و روشهاي تركيبي استفاده كرد.
4-اگر ديواره آتش من به صورت مناسبي پيكر بندي شود ديگر نيازي به ديده باني بيشتر ترافيك شبكه نمي باشد. درست يا غلط ؟
غلط – هميشه نفوذگران خبره مي توانند يك ديواره آتش را در هم شكنند و به آن نفوذ كنند. به همين دليل ديده باني كليدي براي هر برنامه امنيت اطلاعات مي باشد. فراموش نكنيد كه ديواره آتش نيز ممكن است هك شود و IDS ها راهي مي باشند براي اينكه بدانيد چه سيستم هايي در شرف هك شدن مي باشند.
5-ديواره هاي آتش بايد به گونه اي پيكربندي شوند كه علاوه بر ترافيك ورودي به شبكه ، ترافيك هاي خروجي را نيز كنترل كنند . درست يا غلط ؟
درست - بسياري از سازمانها توجه زيادي به محدود كردن ترافيك ورودي خود دارند ، اما در مقايسه توجه كمتري در مسدود كردن ترافيك خروجي از شبكه را دارند. خطرات زيادي ممكن است در درون سازمان وجود داشته باشد. يك كارمند ناراضي يا يك نفوذگر كه شبكه شما را در دست گرفته است ، ممكن است كه بخواهد اطلات حساس و محرمانه شما را براي شركت رقيب بفرستد.
6-امنيت اطلاعات به عنوان يك مبحث تكنولوژيكي مطرح است درست يا غلط ؟
غلط – امنيت اطلاعات يك پي آمد تجاري - فرهنگي مي باشد. يك استراتژي جامع امنيت طلاعات بايد شامل سه عنصر باشد: روالها و سياستهاي اداري ، كنترل دسترسي هاي فيزيكي ، كنترل دسترسي هاي تكنيكي . اين عناصر – اگر به صورت مناسبي اجرا شود – مجموعا يك فرهنگ امنيتي ايجاد مي كند. بيشتر متخصصين امنيتي معتقدند كه تكنولوژيهاي امنيتي فقط كمتر از 25 درصد مجموعه امنيت را شامل مي شوند. حال آنكه در ميان درصد باقيمانده آنچه كه بيشتر از همه نمود دارد ،« افراد » مي باشند. (كاربر انتهايي) افراد يكي از ضعيف ترين حلقه ها ، در هر برنامه امنيت اطلاعات مي باشند.
7-هرگاه كه كارمندان داخلي ناراضي از اداره اخراج شوند ، خطرات امنيتي از بين مي روند. درست يا غلط ؟
غلط – به طور واضح غلط است. براي شهادت غلط بودن اين موضوع مي توان به شركت Meltdown اشاره كرد كه لشكري از كارمندان ناراضي اما آشنا به سرقتهاي كامپيوتري براي خود ايجاد كرده بود. بر طبق گفته هاي FBI حجم فعاليتهاي خرابكارانه از كارمندان داخلي افزايش يافته است. همين امر سازمانها را با خطرات جدي در آينده مواجهه خواهد كرد.
8-نرم افزارهاي بدون كسب مجوز (Unauthorized Software ) يكي از عمومي ترين رخنه هاي امنيتي كاربران داخلي مي باشد. درست يا غلط ؟
درست – رخنه ها (Breaches ) مي تواند بدون ضرر به نظر بيايد ، مانند Screen Saver هاي دريافت شده از اينترنت يا بازي ها و ...
نتيجه اين برنامه ها ، انتقال ويروس ها ، تروجانها و ... مي باشد. اگر چه رخنه ها مي تواند خطرناكتر از اين باشد. ايجاد يا نصب يك برنامه كنترل از راه دور كه مي تواند يك در پشتي (Backdoor ) قابل سوءاستفاده اي را در شبكه ايجاد كند كه به وسيله ديواره آتش نيز محافظت نمي شود.
بر طبق تحقيقاتي كه توسط ICSA.net و Global Integrity انجام شده است بيش از 78 درصد گزارش ها مربوط به ايجاد يك رخنه در نرم افزار دريافتي از افراد يا سايتهاي ناشناخته است.
9-خسارتهاي ناشي از سايتهاي فقط اطلاعاتي كمتر از سايتهاي تجاري مي باشد. درست يا غلط ؟
درست – درست است كه خطرهاي مالي در سايتهاي فقط اطلاعاتي كمتر از سايتهاي تجاري مي باشد ولي خطر مربوط به شهرت و اعتبار، آنها را بيشتر تهديد مي كند. سازمانها نيازمند اين مي باشند كه مداوم سايت هاي اطلاع رساني را بازبيني كنند تا به تهديد هاي احتمالي شبكه هاي خود خيلي سريع پي ببرند و در مقابل آنها واكنش نشان دهند تا از خسارتهايي كه ممكن است شهرت آنها را بر باد دهد جلوگيري كنند.
10-رمزهاي عبور مي تواند جلو كساني كه دسترسي فيزيكي به شبكه را دارند ، بگيرد. درست يا غلط ؟
غلط – كلمات رمز نوعا خيلي كم مي توانند جلو كارمندان داخلي و خبره را بگيرند. بسياري از سازمانها تمامي تلاش خود را روي امور تكنيكي امنيت اطلاعات صرف مي كنند و در برخورد با مسائل اداري و كنترل دسترسي فيزيكي لازم براي ايجاد يك محافظت مناسب ، با شكست مواجه مي شوند.
11-يك نام كاربري و يك رمز عبور مي تواند شبكه ما را از ارتباط با يك شبكه غيردوستانه (Unfriendly ) محافظت كند. درست يا غلط ؟
غلط – يك ارتباط فيزيكي و يك آدرس شبكه همه آنچيزي مي باشد كه يك نفوذگر براي نفوذ در شبكه نياز دارد.با يك ارتباط مي توان تمامي ترافيك شبكه را جذب كرد (به اين كار Sniffing مي گويند ) . مهاجم قادر است با استفاده از تكنيكهاي Sniffing كل ترافيك حساس شبكه ، شامل تركيباتي از نام كاربري/رمز عبور را جذب كند و در حملات بعدي از آنها استفاده كند.
12-هيچكسي در سازمان نبايد به رمزهاي عبور دسترسي داشته باشد به جز مدير امنيت شبكه . درست يا غلط ؟
غلط – هيچ كس در سازمان نبايد به كلمات رمز كاربران دسترسي داشته باشد ، حتي مدير امنيتي شبكه! رمزهاي عبور بايد به صورت رمز شده (Encrypted ) ذخيره شوند. براي كاربران جديد ابتدا با يك رمز عبور ساخته شده اجازه ورود به شبكه داده مي شود و پس از آن بايد روالي قرار داد تا كاربران بتوانند در هر زماني كلمات رمز خود را تغيير دهند. همچنين بايد سياستهايي را براي مواردي كه كاربران رمزهاي عبور خود را فراموش كرده اند در نظر گرفت.
13- رمزگذاري بايد براي ترافيك هاي داخلي شبكه به خوبي ترافيك خروجي شبكه انجام گيرد. درست يا غلط ؟
درست – به عنوان يك نكته بايد گفت كه فرآيند Sniffing (جذب داده هايي كه روي شبكه رد و بدل مي شود) به عنوان يك خطر امنيتي داخلي و خارجي مطرح مي شود.
14-امنيت داده ها در طول انتقال آنها هدف رمزگذاري است . درست يا غلط ؟
غلط – رمزگذاري همچنين مي تواند جامعيت (Integrity ) ، تصديق (Authentication ) و عدم انكار (nonrepudiation ) داده ها را نيز پشتيباني كند.
منبع: sgnec.net
