مقاله سیستم مدیریت امنیت اطلاعات ISMS

آشنایی با سیستم مدیریت امنیت اطلاعات (ISMS)

مقدمه

در حال حاضر، وضعیت امنیت فضای تبادل اطلاعات کشور، بویژه در حوزه دستگاههای دولتی و خصوصی، در سطح نامطلوبی قرار دارد. از جمله دلایل اصلی وضعیت موجود، می توان به فقدان زیرساخت های فنی و اجرایی امنیت و عدم انجام اقدامات موثر در خصوص ایمن سازی فضای تبادل اطلاعات این دستگاه ها اشاره نمود.

بخش قابل توجهی از وضعیت نامطلوب امنیت فضای تبادل اطلاعات کشور، بواسطه فقدان زیرساخت هایی از قبیل نظام ارزیابی امنیتی فضای تبادل اطلاعات، نظام صدور گواهی و زیرساختار کلید عمومی، نظام تحلیل و مدیریت مخاطرات امنیتی، نظام پیشگیری و مقابله با حوادث فضای تبادل اطلاعات، نظام مقابله با جرایم فضای تبادل اطلاعات و سایر زیرساخت های امنیت فضای تبادل اطلاعات در کشور می باشد. از سوی دیگر، وجود زیرساخت های فوق، قطعا تاثیر بسزایی در ایمن سازی فضای تبادل اطلاعات دستگاه های دولتی خواهد داشت.

صرفنظر از دلایل فوق، نابسامانی موجود در وضعیت امنیت فضای تبادل اطلاعات دستگاه های دولتی، از یکسو موجب بروز اخلال در عملکرد صحیح دستگاه ها شده و کاهش اعتبار این دستگاه ها را در پی خواهد داشت، و از سوی دیگر، موجب اتلاف سرمایه های ملی خواهد شد. لذا همزمان با تدوین سند راهبردی امنیت فضای تبادل اطلاعات (افتا) کشور، توجه به مقوله ایمن سازی فضای تبادل اطلاعات دستگاه های دولتی، ضروری به نظر می رسد. این امر علاوه بر کاهش صدمات و زیانهای ناشی از وضعیت فعلی امنیت دستگاه های دولتی، نقش موثری در فرآیند تدوین سند راهبردی امنیت فضای تبادل اطلاعات کشور خواهد داشت.

با ارایه اولین استاندارد مدیریت امنیت اطلاعات در سال 1995، نگرش سیستماتیک به مقوله امنیت اطلاعات شکل گرفت. بر اساس این نگرش، تامین امنیت اطلاعات در یک مجموعه سازمانی، دفعتا مقدور نمی باشد و لازم است این امر بصورت مداوم و در یک چرخه ایمن سازی شامل مراحل طراحی ، پیاده سازی ، ارزیابی و اصلاح انجام گیرد. برای این منظور لازم است هر سازمان براساس یک متدولوژی مشخص، ضمن تهیه طرح ها و برنامه های امنیتی مورد نیاز، تشکیلات لازم جهت ایجاد و تداوم امنیت اطلاعات خود را نیز ایجاد نماید.

این مقاله در 2 بخش تهیه گردیده است که بخش اول آن درباره آشنایی با مراحل طی شده در زمینه امنیت اطلاعات از ابتدا و بخش دوم آشنایی با چگونگی روند رو به رشد استاندارد BS7799 می باشد.

آشنایی با مراحل طی شده در زمینه امنیت اطلاعات

امنیت اطلاعات دارای مراحل مختلفی بوده که در بازه های زمانی متفاوت این مراحل با دیدگاههای خاص خودشان طی گردیده است. اولین مرحله که تا اوایل دهه 80 میلادی بطول انجامید، امنیت را فقط با دیدگاه فنی مشاهده می نمود وبرقراری آن را منوط به امنیت کامپیوتر و دستگاههای جانبی می دانستند اما با گذشت زمان متوجه شدند که بیشتر تجاوزات امنیتی از طریق مسایلی همچون ضعف های مدیریتی (از لحاظ امنیتی) و عوامل انسانی (بدلیل ندیدن آموزش های امنیتی پرسنل سازمان مربوطه) می باشد لذا از اواسط دهه 80 میلادی که تا اواسط دهه 90 میلادی هم بطول انجامید، بحث مدیریت امنیت اطلاعات مطرح شد که در آن امنیت اطلاعات را منوط به خطی مشی امنیت اطلاعات و ساختارهای سازمانی می دانستند اما در اواسط دهه 90 میلادی این مرحله تکمیل تر گردید که آمیزه ای از دو مرحله قبلی و پارامترهای دیگری همچون تعریف استراتژیهای امنیتی و خطی مشی های امنیتی بر اساس نیازهای اصلی سازمان و مدیریت آن می باشد. این مرحله شامل مولفه هایی نظیر استانداردسازی امنیت اطلاعات، گواهینامه های بین المللی، فرهنگ سازی امنیت اطلاعات در سازمان و پیاده سازی معیارهای ارزیابی دایمی و پویای امنیت اطلاعات می باشد. لازم به ذکر می باشد که این مرحله هنوز ادامه دارد و در حال تکمیل شدن می باشد.

فهرست عناوین مقاله

مقدمه

آشنایی با مراحل طی شده در زمینه امنیت اطلاعات

چگونگی روند رو به رشد استاندارد BS

استاندارد BS

گزارش فنی ISO/IEC TR

گزینه سیستم عامل ویندوز

گزینه استفاده از سیستم عامل متن باز لینوکس

کامپیوتر خود را بهتر بشناسیم

انتخاب یک سیستم عامل

ویندوز (Windows)

مهمترین نقاط آسیب پذیر ویندوز

مهمترین نقاط آسیب پذیر ویندوز

اولین نقطه آسیب پذیر : (Internet Information Services (IIS

سیستم های عامل در معرض تهدید

نحوه تشخیص آسیب پذیری سیستم

نحوه حفاظت در مقابل نقطه آسیب پذیر

برنامه کمکی IIS Lockdown

دومین نقطه آسیب پذیر : (Microsoft SQL Server (MSSQL

سیستم های عامل در معرض تهدید

نحوه تشخیص آسیب پذیری سیستم

نحوه حفاظت در مقابل نقطه آسیب پذیر

مبانی امنیت اطلاعات

داده ها و اطلاعات حساس در معرض تهدید

معرفی سیستم مدیریت امنیت اطلاعات

ایجاد و تعریف سیاست ها

تعیین محدوده عملیاتی

برآورد دارایی ها و طبقه بندی آنها

ارزیابی خطرات

مدیریت خطرات

انتخاب کنترل مناسب

تعیین قابلیت اجرا

مبانی امنیت اطلاعات

اهمیت امنیت اطلاعات و ایمن سازی کامپیوترها

داده ها و اطلاعات حساس در معرض تهدید

ویروس ها

برنامه های اسب تروا (دشمنانی در لباس دوست)

ویرانگران

حملات

ره گیری داده (استراق سمع)

کلاهبرداری (ابتدا جلب اعتماد و سپس تهاجم)

نامه های الکترونیکی ناخواسته

ابزارهای امنیتی

نرم افزارهای آنتی ویروس

سیاست های امنیتی

رمزهای عبور

فایروال ها

رمزنگاری

چند نکته اولیه در خصوص ایمن سازی اطلاعات و شبکه های کامپیوتری

NAT برگرفته از (Network Address Translation)

فیلترینگ پورت ها

ناحیه غیرنظامی (Demilitarized Zone)

فورواردینگ پورت ها

تعاریف

طبقه بندی(INFOSEC)

فناوری های امنیت اطلاعات کنشگرایانه

فناوری های امنیت اطلاعات واکنشی

تفاوت http با https در امنیت اطلاعات

امنیت شبکه - Social Engineering Phishing LAN Security

تکنیکهای مهندسی اجتماعی

سیاستها

جمع بندی

استفاده از نرم افزارهای محافظتی (مانند ضدویروس ها) و به روز نگه داشتن آنها

باز نکردن نامه های دریافتی از منابع ناشناس

استفاده از گذرواژه های مناسب

محافظت از کامپیوتر در برابر نفوذ با استفاده از حفاظ(Firewall)

خودداری از به اشتراک گذاشتن منابع کامپیوتر با افراد غریبه

بررسی منظم امنیت کامپیوتر

امنیت در پایگاههای داده ای

معماری امن شبکه با نگاه به پایگاه داده

ارایه امن اطلاعات

تولید اطلاعات به صورت استاتیک و مسایل امنیتی آن

تولید اطلاعات به صورت دینامیک

تمامی اطلاعات در بین راه قابل شنود هستند

نتیجه گیری

منابع

فهرست شکل ها