نقش عوامل انسانی در امنيت شبکه های کامپيوتری

يک سيستم کامپيوتری از چهار عنصر : سخت افزار ، سيستم عامل ، برنامه های کاربردی و کاربران ، تشکيل می گردد. سخت افزار شامل حافظه ، دستگاههای ورودی ، خروجی و پردازشگر بوده که بعنوان منابع اصلی پردازش اطلاعات ، استفاده می گردند. برنامه های کاربردی شامل کمپايلرها ، سيستم های بانک اطلاعاتی ، برنامه های تجاری و بازرگانی ، بازی های کامپيوتری و موارد متنوع ديگری بوده که روش بخدمت گرفتن سخت افزار جهت نيل به اهداف از قبل تعريف شده را مشخص می نمايند. کاربران ، شا مل انسان ، ماشين و ديگر کامپيوترها می باشد . هر يک از کاربران سعی در حل مشکلات تعريف شده خود از طريق بکارگيری نرم افزارهای کاربردی در محيط سخت افزار می نمايند. سيستم عامل ، نحوه استفاده از سخت افزار را در ارتباط با برنامه های کاربردی متفاوتی که توسط کاربران گوناگون نوشته و اجراء می گردند ، کنترل و هدايت می نمايد. بمنظور بررسی امنيت در يک سيستم کامپيوتری ، می بايست به تشريح و تبين جايگاه هر يک از عناصر موجود در يک سيستم کامپيوتری پرداخته گردد.
در اين راستا ، قصد داريم به بررسی نقش عوامل انسانی دررابطه با امنيت اطلاعات پرداخته و جايگاه هر يک از مولفه های موجود را تبين و تشريح نما ئيم . اگر ما بهترين سيستم سخت افزاری و يا سيستم عامل را بخدمت بگيريم ولی کاربران و يا عوامل انسانی درگير در يک سيستم کامپوتری، پارامترهای امنيتی را رعايت ننمايند ، کاری را از پيش نخواهيم برد. وضعيت فوق مشابه اين است که شما بهترين اتومبيل با درجه بالای امنيت را طراحی و يا تهيه نمائيد ولی آن را در اختيار افرادی قرار دهيد که نسبت به اصول اوليه رانندگی توجيه نباشند ( عدم رعايت اصول ايمنی ) .
ما می بايست به مقوله امنيت اطلاعات در عصر اطلاعات نه بصورت يک کالا و يا محصول بلکه بصورت يک فرآيند نگاه کرده و امنيت را در حد يک محصول خواه نرم افزاری و يا سخت افزاری تنزل ندهيم .هر يک از موارد فوق ، جايگاه خاص خود را با وزن مشخص شده ای دارند و نبايد به بهانه پرداختن به امنيت اطلاعات وزن يک پارامتر را بيش از آنچيزی که هست در نظر گرفت و پارامتر ديگری را ناديده گرفته و يا وزن غير قابل قبولی برای آن مشخص نمائيم . بهرحال ظهور و عرضه شگفت انگيز تکنولوژی های نو در عصر حاضر ، تهديدات خاص خود را نيز بدنبال خواهد داشت . ما چه کار می بايست بکنيم که از تکنولوژی ها استفاده مفيدی را داشته و در عين حال از تهديدات مستقيم و يا غير مستقيم آنان نيز مصون بمانيم ؟ قطعا" نقش عوامل انسانی که استقاده کنندگان مستقيم اين نوع تکنولوژی ها می باشند ، بسيار محسوس و مهم است .
با گسترش اينترنت و استفاده از آن در ابعاد متفاوت ، سازمانها و موسسات با مسائل جديدی در رابطه با امنيت اطلاعات و تهاجم به شبکه های کامپيوتری مواجه می باشند. صرفنظر از موفقيت و يا عدم موفقيت مهاجمان و عليرغم آخرين اصلاحات انجام شده در رابطه با تکنولوژی های امنيتی ، عدم وجود دانش و اطلاعات لازم ( سواد عمومی ايمنی ) کاربران شبکه های کامپيوتری و استفاده کنندگان اطلاعات حساس در يک سازمان ، همواره بعنوان مهمترين تهديد امنيتی مطرح و عدم پايبندی و رعايت اصول امنيتی تدوين شده ، می تواند زمينه ايجاد پتانسيل هائی شود که توسط مهاجمين استفاده و باعث بروز مشکل در سازمان گردد. مهاجمان همواره بدنبال چنين فرصت هائی بوده تا با اتکاء به آنان به اهداف خود نائل گردند. در برخی حالات اشتباه ما زمينه موفقيت ديگران! را فراهم می نمايد . اگر سعی نمائيم بر اساس يک روش مناسب درصد بروز اشتباهات خود را کاهش دهيم به همان نسبت نيز شانس موفقيت مهاجمان کاهش پيدا خواهد کرد.
مديران شبکه ( سيستم ) ، مديران سازمان و کاربران معمولی جملگی عوامل انسانی در يک سازمان می باشند که حرکت و يا حرکات اشتباه هر يک می تواند پيامدهای منفی در ارتباط با امنيت اطلاعات را بدنبال داشته باشد . در ادامه به بررسی اشتباهات متداولی خواهيم پرداخت که می تواند توسط سه گروه ياد شده انجام و زمينه بروز يک مشکل امنيتی در رابطه با اطلاعات حساس در يک سازمان را باعث گردد.

اشتباهات متداول مديران سيستم
مديران سيستم ، به افرادی اطلاق می گردد که مسئوليت نگهداری و نظارت بر عملکرد صحيح و عملياتی سيستم ها و شبکه موجود در يک سازمان را برعهده دارند.در اغلب سازمانها افراد فوق ، مسئوليت امنيت دستگاهها ، ايمن سازی شبکه و تشخيص ضعف های امنيـتی موجود در رابطه با اطلاعات حساس را نيز برعهده دارند. بديهی است واگذاری مسئوليت های متعدد به يک فرد، افزايش تعداد خطاء و اشتباه را بدنبال خواهد داشت . فشار عصبی در زمان انجام کار مستمر بر روی چندين موضوع متفاوت و بصورت همزمان ، قطعا" احتمال بروز اشتباهات فردی را افزايش خواهد داد. در ادامه با برخی از خطاهای متداولی که ممکن است توسط مديران سيستم انجام و سازمان مربوطه را با تهديد امنيتی مواجه سازد ، آشنا خواهيم شد.

مورديک : عدم وجود يک سياست امنيتی شخصی
اکثر قريب به اتفاق مديران سيستم دارای يک سياست امنيتی شخصی بمنظور انجام فعاليت های مهمی نظير امنيت فيزيکی سيستم ها ، روش های بهنگام سازی يک نرم افزار و روشی بمنظور بکارگيری patch های جديد در زمان مربوطه نمی باشند .حتی شرکت های بزرگ و شناخته شده به اين موضوع اذعان دارند که برخی از سيستم های آنان با همان سرعت که يک باگ و يا اشکال تشخيص و شناسائی می گردد ، توسط patch مربوطه اصلاح نشده است .در برخی حالات ، مديران سيستم حتی نسبت به آخرين نقاط آسيب پذيرتشخيیص داده شده نيز آگاهی بهنگام شده ای را نداشته و قطعا" در چنين مواردی انتظار نصب patch مربوطه نيز توقعی بی مورد است . وجود نقاط آسيب پذير در شبکه می تواند يک سازمان را در معرض تهديدات جدی قرار دهد . امنيت فرآيندی است که می بايست بصورت مستمر به آن پرداخته شود و هرگز به اتمام نمی رسد.در اين راستا لازم است، بصورت مستمرنسبت به آخرين حملات بهمراه تکنولوژی ها ی مربوطه ، آگاهی لازم کسب و دانش خود را بهنگام نمائيم .اکثر مديران سيستم ، کارشناسان حرفه ای و خبره امنيتی نمی باشند ، در اين رابطه لازم است ، بمنظور افزايش حفاظت و ايمن سازی شبکه ، اطلاعات و دانش مربوطه بصورت مستمر ارتقاء يايد .افراديکه دارای گواهينامه های خاصی امنيتی و يا دانش و اطلاعات اضافه در رابطه با امنيت اطلاعات می باشند ، همواره يک قدم از کسانی مهارت آنان صرفا" محدود به شبکه است ، جلوتر می باشند . در ادامه ، پيشنهاداتی بمنظور بهبود وضعيت امنيتی سازمان و افزايش و ارتقاء سطح معلومات مديران سيستم ، ارائه می گردد :

• بصورت فيزيکی محل کار و سيستم خود را ايمن سازيد .زمينه استفاده از سيستم توسط افراديکه در محدوده کاری شما فعاليت دارند ، می بايست کاملا" کنترل شده و تحت نظارت باشد .
  
• هر مرتبه که سيستم خود را ترک می کنيد ، عمليات logout را فراموش نکنيد .در اين رابطه می توان يک زمان time out را تنظيم تا در صورت فراموش نمودن عمليات logout ، سيستم قادر به حفاظت خود گردد.
  
• خود را عضو خبرنامه ها ی متفاوت امنيتی کرده تا شما را با آخرين نقاط آسيب پذير آشنا نمايند. درحقيقت آنان چشم شما در اين معرکه خواهند بود( استفاده مفيد از تجارب ديگران ) .
  
• سعی گردد بصورت مستمر از سايت های مرتبط با مسائل امنيتی ديدن تا درزمان مناسب با پيام های هشداردهنده امنيتی در رابطه با نرم افزارهای خارج از رده و يا نرم افزارهای غير اصلاح شده ( unpatched ) آشنا گرديد.
  
• مطالعه آخرين مقالات مرتبط با مسائل امنيتی يکی از مراحل ضروری و مهم در فرآيند خود آموزشی ( فراگيری ) مديران شبکه است . بدين ترتيب اين اطمينان بوجود خواهد آمد که مدير مربوطه نسبت به آخرين اطلاعات و مسائل مربوطه امنيتی در کميته های موجود ، توجيه است .
  
• استفاده از ياداشت ها و مقالات در ارتباط با هر نوع اطلاعات حساس نظير رمزهای عبور وI هر چيزی که ممکن است زمينه ساز ايجاد يک پتانسيل آسيب پذير و دستيابی به سيستم مطرح گردد را محدود نمائيد. در صورتيکه از اين نوع اطلاعات استفاده می شود، قبل ازترک محل کار ، آنها را از بين ببريد. افراديکه دارای سوء نيت بوده در محدوده کاری شما می باشند ، می توانند ازمزايای ضعف های شناخته شده استفاده نمايند، بنابراين ضروری است استفاده از چنين ياداشت هائی محدود و يا بصورت کامل حذف گردد .
  

مورد دو : اتصال سيستم های فاقد پيکربندی مناسب به اينترنت
همزمان با گسترش نيازهای سازمان، سيستم ها و سرويس دهندگان جديدی بر اساس يک روال معمول به اينترنت متصل می گردند. قطعا" توسعه سيستم با هدف افزايش بهره وری در يک سازمان دنبال خواهد شد.اکثر اينچنين سيستمهائی بدون تنظيمات امنيتی خاص به اينترنت متصل شده و می تواند زمينه بروز آسيب و حملات اطلاعاتی توسط مهاجمان را باعث گردد ( در بازه زمانی که سيستم از لحاظ امنيتی بدرستی مميزی نشده باشد ، اين امر امکان پذير خواهد بود).
مديران سيستم ممکن است به اين موضوع استناد نمايند که سيستم جديد بوده و هنوز کسی آن را نمی شناسد و آدرس IP آن شناخته شده نيست ، بنابراين امکان شناسائی و حمله به آن وجود نخواهد داشت .طرز فکر فوق ، يک تهديد برای هر سازمان بشمار می رود . افراد و يا اسکريپت های پويش اتوماتيک در اينترنت ، بسرعت عمليات يافتن و تخريب اين نوع سيستم های آسيب پذير را دنبال می نمايند. در اين راستا ، شرکت هائی خاصی وجود دارد که موضوع فعاليت آنان شبکه بوده و برای تست سيستم های توليدی خود بدنبال سيستم های ضعيف و آسيب پذير می گردند.( سيستم آسيب پذير ما ابزار تست ديگران خواهد شد). بهرحال همواره ممکن است افرادی بصورت مخفيانه شبکه سازمان شما را پويش تا در صورت وجود يک نقطه آسيب پذير، از آن برای اهداف خود استفاده نمايند. لازم است در اين راستا تهديدات و خطرات را جدی گرفته و پيگری لازم در اين خصوص انجام شود. در اين رابطه موارد زير پيشنهاد می گردد :

• قبل از اتصال فيزيکی يک کامپيوتر به شبکه ، مجوز امنيتی لازم با توجه به سياست های تدوين شده امنيتی برای آن صادر گردد ( بررسی سيستم و صدور مجوز اتصال )
  
• کامپيوتر مورد نظر می بايست شامل آخرين نرم افزارهای امنيتی لازم بوده و از پيکربندی صحيح آنان می بايست مطمئن گرديد.
  
• در صورتيکه لازم است بر روی سيستم مورد نظر تست های شبکه ای خاصی صورت پذيرد ، سعی گردد امکان دستيابی به سيستم فوق از طريق اينترنت در زمان تست ، بلاک گردد.
  
• سيستمی را که قصد اتصال آن به اينترنت وجود دارد ، نمی بايست شامل اطلاعات حساس سازمان باشد.
  
• سيستم مورد نظر را تحت برنامه های موسوم به Intrusion Detection System قرار داده تا نرم افزارهای فوق بسرعت نقاط آسيب پذير و ضعف های امنيتی را شناسائی نمايند.
  

مورد سه : اعتماد بيش از اندازه به ابزارها
برنامه های پويش و بررسی نقاط آسيب پذير،اغلب بمنظور اخذ اطلاعات در رابطه وضعيت جاری امنيتی شبکه استفاده می گردد . پويشگرهای تشخيص نقاط آسيب پذير ، اطلاعات مفيدی را در ارتباط با امنيت سيستم نظير : مجوزهای فايل ، سياستهای رمز عبور و ساير مسائل موجود، ارائه می نمايند . بعبارت ديگر پويشگران نقاط آسيب پذير شبکه ، امکان نگرش از ديد يک مهاجم را به مديريت شبکه خواهند داد. پويشگرها ی فوق ، عموما" نيمی از مسائل امنيتی مرتبط را به سيستم واگذار نموده و نمی توان به تمامی نتايج بدست آمده توسط آنان بسنده و محور عمليات خود را بر اساس يافته های آنان قرار دهيم . در اين رابطه لازم است متناسب با نوع سيستم عامل نصب شده بر روی سيستم ها از پويشگران متعدد و مختص سيستم عامل مربوطه استفاده گردد( اخذ نتايج مطلوبتر) . بهرحال استفاده از اين نوع نرم افزارها قطعا" باعث شناسائی سريع نقاط آسيب پذير و صرفه جوئی زمان می گردد ولی نمی بايست اين تصور وجود داشته باشد که استفاده از آنان بمنزله يک راه حل جامع امنيتی است . تاکيد صرف بر نتايج بدست آمده توسط آنان ، می تواند نتايج نامطلوب امنيتی را بدنبال داشته باشد . در برخی موارد ممکن است لازم باشد ، بمنظور تشخيص نقاط آسيب پذير يک سيستم ،عمليات دستی انجام و يا حتی تاسکريپت های خاصی در اين رابطه نوشته گردد .
مورد چهار : عدم مشاهده لاگ ها ( Logs )
مشاهده لاگ های سيستم، يکی از مراحل ضروری در تشخيص مستمر و يا قريب الوقوع تهديدات است . لاگ ها، امکان شناسائی نقاط آسيب پذير متداول و حملات مربوطه را فراهم می نمايند. بنابراين می توان تمامی سيستم را بررسی و آن را در مقابل حملات مشخص شده ، مجهز و ايمن نمود. در صورت بروز يک تهاجم ، با استفاده از لاگ های سيستم ، تسهيلات لازم بمنظور رديابی مهاجمان فراهم می گردد.( البته بشرطی که آنان اصلاح نشده باشند ) . لاگ ها را بصورت ادواری بررسی و آنها را در يک مکان ايمن ذخيره نمائيد.
مورد پنج : اجرای سرويس ها و يا اسکريپت های اضافه و غير ضروری
استفاده از منابع و شبکه سازمان ، بعنوان يک زمين بازی شخصی برای تست اسکريپت ها و سرويس های متفاوت ، يکی ديگر از اشتباهات متداولی است که توسط اکثريت قريب به اتفاق مديران سيستم انجام می شود . داشتن اينچنين اسکريپت ها و سرويس های اضافه ای که بر روی سيستم اجراء می گردند ، باعث ايجاد مجموعه ای از پتانسيل ها و نفاط ورود جديد برای يک مهاجم می گردد ( در صورتيکه سرويس های اضافه و يا اسکريپت ها بر روی سرويس دهنده اصلی نصب و تست گردند ، مشکلات می تواند مضاعف گردد ). در صورت نياز به تست اسکريپت ها و يا اجرای سرويس های اضافه ، می بايست عمليات مورد نظر خود را از طريق يک کامپيوتر ايزوله شده انجام داد (هرگز از کامپيوتری که به شبکه متصل است در اين راستا استفاده نگردد ) .
اشتباهات متداول مديران سازمان ها
مديران سازمان، به افرادی اطلاق می گردد که مسئوليت مديريت ، هدايت و توسعه سازمان را بر عهده داشته و با منابع متفاوت موجود در سازمان نظير بودجه ، سروکار دارند. امروزه استفاده از اينترنت توسط سازمان ها و موسسات ، مزايای متعددی را بدنبال دارد. واژه " تجارت الکترونيکی" بسيار متداول و استراتژی تجارت الکترونيکی ، از جمله مواردی است که در هر برنامه ريزی تجاری به آن توجه خاص می گردد. در صورتيکه سازمان ها و موسسات دارای يک استراتژی امنيتی مشخص شده ای نباشند ، اتصال به شبکه جهانی تهديدی در ارتباط با اطلاعات حساس خواهد بود. در ادامه به برخی از اشتباهات متداول که از ناحيه مديران سازمان بروز و تاثير منفی در ارتباط با امنيت اطلاعات در سازمان را بدنبال خواهد داشت ، اشاره می گردد :
مورد يک : استخدام کارشناسان آموزش نديده و غيرخبره
بدون ترديد ، کارشناسان آموزش ديده و خبره ، يکی از منابع ارزشمند درهر سازمان محسوب می گردند. همواره می بايست از کارشناسان ورزيده در ارتباط با امنيت در يک سازمان استفاده گردد. فرصت سعی و خطاء نيست و ممکن است در اين محدوده زمانی چيزی را که يک سازمان از دست می دهد بمراتب بيشتر از چيزی است که می خواهد بدست آورد. امنيت اطلاعات از جمله مقولاتی است که برای يک سازمان دارای جايگاهی است و همواره می بايست بهترين تصميم دررابطه با استفاده از منابع انسانی ماهر ، اتخاذ گردد. استفاده از يک کارشناس غير ماهر در امور امنيت اطلاعات و شبکه در يک سازمان ، خود تهديدی امنيتی است که بر ساير تهديدات موجود اضافه خواهد شد . ( ما نمی توانيم مسئوليت پياده سازی استراتژی امنيتی در سازمان را به افرادی واگذار نمائيم که در اين رابطه اطلاعات و دانش لازم را ندارند ) .

مورد دوم : فقدان آگاهی لازم در رابطه با تاثير يک ضعف امنيتی بر عملکرد سازمان
بسياری از مديران سازمان بر اين باور می باشند که " اين مسئله برای ما اتفاق نخواهد افتاد " و بر همين اساس و طرز فکر به مقوله امنيت نگاه می نمايند . بديهی است در صورت بروز مشکل در سازمان ، امکان عکس العمل مناسب در مقابل خطرات و تهديدات احتمالی وجود نخواهد داشت . اين مسئله می تواند بدليل عدم آشنائی با ابعاد و اثرات يک ضعف امنيتی در سازمان باشد . در اين رابطه لازم است به اين نکته اشاره گردد که همواره مشکل برای ديگران بوجود نمی آيد و ما نيز در معرض مشکلات فراوانی قرار خواهيم داشت .بنابراين لازم است همواره و بصورت مستمر مديران سازمان نسبت به اثرات احتمالی يک ضعف امنيتی توجيه و دانش لازم در اختيار آنان قرار گيرد . در صورت بروز يک مشکل امنيتی در سازمان ، مسئله بوجود آمده محدود به خود سازمان نشده و می تواند اثرات منفی متعددی در ارتباط با ادامه فعاليت سازمان را بدنبال داشته باشد. در عصر اطلاعات و دنيای شديد رقابت ، کافی است سازمانی لحظاتی آنچيزی باشد که نمی بايست باشد ، همين امر کافی است که تلاش چندين ساله يک سازمان هرز و در برخی حالات فرصت جبران آن نيز وجود نخواهد داشت .

• تاثير منفی بر ساير فعاليت های تجاری online سازمان
• عاملی برای توزيع اطلاعات غير مفيد و غير قابل استفاده در يک چرخه تجاری
• عرضه اطلاعات حساس مشتريان به يک مهاجم و بمخاطره افتادن اطلاعات خصوصی مشتريان
• آسيب جدی وجهه سازمان و بدنبال آن از دست دادن مشتريان و همکاران تجاری

مورد سوم : عدم تخصيص بودجه مناسب برای پرداختن به امنيت اطلاعات
مجاب نمودن يک مدير سازمان مبنی بر اختصاص بودجه مناسب برای پرداختن به مقوله امنيت اطلاعات در سازمان از حمله مواردی است که چالش های خاص خود را خواهد داشت .مديران، تمايل دارند بودجه را به حداقل مقدار خود برسانند، چراکه آنان يا اطلاعات محدودی در رابطه با تاثير وجود ضعف های امنيتی در عملکرد سازمان را دارند و يا در برخی حالات بودجه ، آنان را برای اتخاذ تصميم مناسب محدود می نمايد.اينترنت يک شبکه جهانی است که فرصت های جذاب و نامحدود تجاری را برای هر بنگاه تجاری فراهم می نمايد، با رعايت امنيت اطلاعات و حفا ظت مناسب از داده های حساس ،امکان استفاده از فرصت های تجاری بيشتری برای يک سازمان فراهم خواهد شد. با اختصاص يک بودجه مناسب برای پرداختن و بهاء دادن به مقوله امنيت اطلاعات در يک سازمان ، پيشگيری های لازم انجام ودر صورت بروز مسائل بحرانی ، امکان تشخيص سريع آنان و انجام واکنش های مناسب فراهم می گردد . بعبارت ديگر با در نظر گرفتن بودجه مناسب برای ايمن سازی سازمان ، بستر مناسب برای حفاظت سيستم ها و داده های حساس در يک سازمان فراهم خواهد شد . قطعا" توليد و عرضه سريع اطلاعات در سازمان های مدرن و مبتنی بر اطلاعات ، يکی از مهمترين شاخص های رشد در عصر حاضر بوده و هر آنچيزی که می تواند خللی در فرآيند فوق ايجاد نمايد ، باعث توقف و گاها" برگشت به عقب يک سازمان ، می گردد.
مورد چهارم : اتکاء کامل به ابزارها و محصولات تجاری
اگر از يک سازمان سوال شود که چگونه خود را در مقابل حملات حفاظت نموده ايد ؟ اغلب آنان در پاسخ خواهند گفت :" ما از يک فايروال شناخته شده و يک برنامه ويروس ياب بر روی سرويس دهنده استفاده می کنيم ، بنابراين ما در مقابل حملات ايمن خواهيم بود " . توجه داشته باشيد که امنيت يک فرآيند است نه يک محصول که با خريداری آن خيال خود را در ارتباط با امنيت راحت نمائيم . مديران سازمان لازم است شناخت مناسب و اوليه ای از پتانسل های عمومی يک فايروال و يا برنامه های ويروس ياب داشته باشند ( قادر به انجام چه کاری می باشند و چه کاری را نمی توانند انجام دهند. مثلا" اگر ويروس جديدی نوشته و در شبکه توزيع گردد ، برنامه های ويروس ياب موجود قادر به تشخيص و برخورد با آن نخواهند بود.اين نوع برنامه ها صرفا" پس از مطرح شدن يک ويروس و آناليز نحوه عملکرد آن می بايست بهنگام شده تا بتوانند در صورت بروز وضعيتی مشابه با آن برخورد نمايند) . ابزارهائی همچون فايروال و يا برنامه های ويروس ياب ، بخشی از فرآيند مربوط به ايمن سازی اطلاعات حساس در يک سازمان بوده و با بکارگيری آنان نمی توان اين ادعا را داشت که آنان سازمان را بطور کامل در مقابل تهاجمات ، حفاظت خواهند نمود .
مورد پنجم : يک مرتبه سرمايه گذاری در ارتباط با امنيت
امنيت مفهمومی فراگير و گسترده بوده که نيازمند هماهنگی و سرمايه گذاری در دو بعد تکنولوژی و آموزش است. هر روز ما شاهد ظهور تکنولوژی های جديدی می باشيم . ما نمی توانيم در مواجهه با يک تکنولوژی جديد بصورت انفعالی برخورد و يا عنوان نمائيم که ضرورتی به استفاده از اين تکنولوژی خاص را نداريم . بکارگيری تکنولوژی عملا" صرفه جوئی در زمان و سرمايه مادی را بدنبال داشته و اين امر باعث ارائه سرويس های مطلوبتر و ارزانتر به مشتريان خواهد شد. موضوع فوق هم از جنبه يک سازمان حائز اهميت است و هم از نظر مشتريان ، چراکه ارائه سرويس مطلوب با قيمت تمام شده مناسب يکی از مهمترين اهداف هر بنگاه تجاری محسوب شده و مشتريان نيز همواره بدنبال استفاده از سرويس ها و خدمات با کيفيت و قيمت مناسب می باشند. استفاده از تکنولوژی های جديد و سرويس های مرتبط با آنان،همواره تهديدات خاص خود را بدنبال خواهد داشت . بنابراين لازم است به اين موضوع توجه شود که امنيت يک سرمايه گذاری پيوسته را طلب می نمايد، چراکه با بخدمت گرفتن تکنولوژی ها ی نو بمنظور افزايش بهره وری در يک سازمان ، زمينه پرداختن به امنيت می بايست مجددا" و در ارتباط با تکنولوژی مربوطه بررسی و در صورت لزوم سرمايه گذاری لازم در ارتباط با آن صورت پذيرد . تفکر اينکه، امنيت يک نوع سرمايه گذاری يکبار مصرف است ، می تواند از يکطرف سازمان را در استفاده از تکنولوژی ها ی نو با ترديد مواجه سازد و از طرف ديگر با توجه به نگرش به مقوله امنيت ( يکبار مصرف ) ، بهاء لازم به آن داده نشده و شروع مناسبی برای پياده سازی يک سيستم امنيتی و حفاظتی مناسب را نداشته باشيم .
اشتباهات متداول کاربران معمولی
کاربران ، به افرادی اطلاق می گردد که طی روز با داده ها ی حساس در يک سازمان سروکار داشته و تصميمات و فعاليت های آنان، داده ها ی حساس و مقوله امنيت و حفاظت از اطلاعات را تحت تاثير مستقيم قرار خواهد داد. در ادامه با برخی از اشتباهات متداولی که اين نوع استفاده کنندگان از سيستم و شبکه مرتکب می شوند ، اشاره می گردد.
مورد يک : تخطی از سياست امنينی سازمان
سياست امنيتی سازمان ، اعلاميه ای است که بصورت جامع ، مسئوليت هر يک از پرسنل سازمان ( افراديکه به اطلاعات و سيستم های حساس در سازمان دستيابی دارند ) در ارتباط با امنيت اطلاعات و شبکه را تعريف و مشخص می نمايد. سند و يا اعلاميه مورد نظر ، بعنوان بخش لاينفک در هر مدل امنيتی بکارگرفته شده در سازمان محسوب می گردد.هدف عمده اعلاميه فوق ، ارائه روشی آسان بمنظور شناخت و درک ساده نحوه حفاظت سيستم های سازمان در زمان استفاده است . کاربران معمولی ، عموما" تمايل به تخطی از سياست های تدوين شده امنيتی در يک سازمان را داشته و اين موضوع می تواند عاملی مهم برای تحت تاثير قراردادن سيستم های حساس و اطلاعات مهم سازمان در مواجهه با يک تهديد باشد. پيامد اين نوع عمليات ، بروز اشکال و خرابی در رابطه با اطلاعات ارزشمند در يک سازمان خواهد بود.بهمين دليل است که اکيدا" توصيه می گردد که اطلاعات لازم در رابطه با نقش کاربران در تبعيت از سياست های امنيتی در سازمان به آنان يادآوری و بر آن تاکيد گردد .
مورد دوم : ارسال داده حساس بر روی کامپيوترهای منزل
يکی از خطرناکترين روش ها در رابطه با داده های حساس موجود در يک سازمان ، فعاليتی است که باعث غير فعال شدن تمامی پيشگيری های امنيتی ايجادشده و در گير شدن آنان در يک فرآيند غير امنيتی می گردد . پرسنل سازمان عادت دارند،اطلاعات حساس سازمان را بر روی کامپيوتر منزل خود فوروارد ( ارسال ) نمايند . در حقيقت کاربران تمايل به فوروارد نمودن يک پروژه ناتمام و يا برنامه ريزی تجاری به کامپيوتر منازل خود را داشته تا از اين طريق امکان اتمام کار خود در منزل را پيدا نمايند. کاربران به اين موضوع توجه نکرده اند که تغيير محيط ايمن سازمان با کامپيوتر منزل خود که دارای ايمنی بمراتب کمتری است ، بطور جدی اطلاعات را در معرض آسيب و تهاجم قرار خواهد داد . در صورتيکه ضروری است که اطلاعات را به کامپيوترهای منزل فوروارد نمود ، يک سطح مناسب ايمنی می بايست وجود داشته باشد تا اين اطمينان بوجود آيد که نوت بوک ها و يا کامپيوترهای منازل در مقابل مهاجمين اطلاعاتی حفاظت شده و ايمن می باشند.
مورد سوم : ياداشت داده های حساس و ذخيره غيرايمن آنان
ايجاد و نگهداری رمزهای عبور قدرتمند ، فرآيندی مستمر است که همواره می بايست مورد توجه قرار گيرد. کاربران همواره از اين موضوع نفرت دارند که رمزعبورهائی را ايجاد نمايند که قادر به بخاطرآوردن آن نمی باشند. سياست امنيتی تدوين شده سازمان می بايست تعيين نمايد که يک رمز عبور چگونه می بايست ايجاد و نگهداری گردد. بخاطر سپردن چنين رمزعبوری همواره مسائل خاص خود را خواهد داشت . بمنظور حل اينچنين مشکلی ، کاربران تمايل دارند که ياداشت های مخفی را نوشته و آنها را زير صفحه کليد ، کيف جيبی و يا هر مکان ديگر در محل کار خود نگهداری نمايند. ياداشت ها ی فوق ، شامل اطلاعات حساس در ارتباط با داده های مربوط به رمزعبور و ساير موارد مرتبط است .استفاده از روشهای فوق برای نگهداری اطلاعات ، يک تخطی امنيتی است .دراين راستا لازم است ،کاربران توجيه و به آنان آگاهی لازم داده شود که با عدم رعايت موارد مشخص شده امنيتی ،پتانسيل های لازم بمنظور بروز مشکل در سيستم افزايش خواهد يافت . لازم است به کاربران ، روش ها و تکنيک های متفاوت بخاطر سپردن رمز عبور آموزش داده شود تا زمينه استفاده کاربران از ياداشت برای ثبت اينگونه اطلاعات حساس کاهش يابد . سناريوی های متفاوت برای آنان تشريح و گفته شود که يک مهاجم با استفاده از چه روش هائی ممکن است به اطلاعات ثبت شده در ياداشت ها ، دست پيدا نموده و زمينه بروز مشکل را فراهم نمايد.
مورد چهارم : دريافت فايل از سايت های غير مطمئن
يکی از سرويس های اينترنت امکان دريافت فايل توسط کاربران است . کاربران بمنظور دريافت فايل از اينترنت ، اغلب از امتيازات خود تعدی و حتی سياست ها ی موجود در سازمان را در معرض مخاطره و آسيب قرار می دهند . دريافت فايل از وب سايت های گمنام و يا غير مطمئن باعث کمک در توزيع برنامه های مهاجم در اينترنت می گردد. بدين ترتيب ما بعنوان ابزاری برای توزيع يک برنامه مخرب در اينترنت تبديل خواهيم شد. فايل ها و برنامه های دريافتی پس از آلودگی به نوع خاصی از برنامه مخرب ( ويروس ، کرم ، اسب تراوا ) ، می تواند تاثيرات منفی فراوانی را در ارتباط با عملکرد يک سازمان بدنبال داشته باشد .کاربران می بايست بندرت فايل هائی را از اينترنت دريافت در موارديکه ضرورت اين کار حس و به برنامه ای خاص نياز باشد ، اکيدا" توصيه می گردد که موضوع با دپارتمان IT ( يا ساير بخش های مسئول در سازمان ) درميان گذاشته شود تا آنان بر اساس تجربه و دانش خود ، اقدام به تهيه برنامه مورد نظر از منابع مطمئن نمايند .
مورد پنجم : عدم رعايت امنيت فيزيکی
ميزان آگاهی و دانش کاربران در رابطه با رعايت مسائل ايمنی خصوصا" امنيت فيزيکی ، بطرز کاملا" محسوسی افزايش امنيت و حفاظت داده ها ی حساس در يک سازمان را بدنبال خواهد داشت . عموما" ، رفتار کاربران در زمان استفاده از ايستگاه های کاری سازمان سهل انگارانه و فاقد سوادعمومی ايمنی است . کاربران ، اغلب ايستگاههای کاری خود را بدون در نظر گرفتن امنيت فيزيکی رها و screensaver آنان ، بندرت دارای رمز عبور بوده و می تواند باعث بروزمسائل متعددی گردد. به کاربران می بايست آموزش های لازم در رابطه با استراتژی های متفاوت بمنظور استفاده از سيستم های سازمان داده شود : مطمئن شويد آنها قادرند بدرستی با اطلاعات حساس در سازمان برخورد نمايند و همواره پيامدهای عدم رعايت امنيت فيزيکی به آنان يادآوری گردد.
خلاصه
در اين مقاله به بررسی اهم اشتباهات متداول که ممکن است از جانب عوامل انسانی در يک سيستم کامپيوتری بروز نمايد ، اشاره و گفتته شد که عدم رعايت مسائل مربوطه می تواند زمينه بروز مشکلات متعدد ايمنی در سازمان را بدنبال داشته باشد . موارداعلام شده را جدی گرفته و در صورت ضرورت مدل امنيتی جاری را بازسازی نمائيد . به کاربران ، مديران شبکه و حتی مديران سازمان آموزش های لازم داده شود تا سطح آگاهی و اطلاعات آنان دررابطه با امنيت افزايش يابد( جملگی می بايست دارای يک سطح مناسب از سوادعمومی در ارتباط با امنيت اطلاعات باشيم ). تداوم عمليات يک سازمان در عصر حاضر ارتباط مستقيم به رعايت مسائل ايمنی توسط عوامل انسانی آن سازمان دارد.

منبع:http://www.srco.ir