پیاده سازی سیستم مدیریت امنیت اطلاعات با ارزیابی مدل کنترل دسترسی

حسین سلیمانی¹، مهدی بازرگانی² ، سید پیمان عمادی³

¹گروه امنیتی آفتاب، Soleimani.Husein@Gmail.com

²دانشگاه آزاد اسلامی واحد زنجان، Mbzirn@Gmail.com

³موسسه آموزش عالی روزبه، Emadi@Roozbeh.ac.ir

چکيده – وابستگی بر سیستم های مبتنی بر کامپیوتر روزانه در حال افزایش است. در حال حاضر سیستم­های اطلاعاتی تمام جنبه­های زندگی را پوشش می­دهند. به علت افزایش وابستگی به سیستم­های مبتنی بر کامپیوتر، مفهوم امنیت اطلاعات این سیستم­ها نیز رشد قابل توجهی داشته است. هدف امنیت اطلاعات محافظت از دارایی­های با ارزش است زيرا عواقب ناشي از ناديده گرفتن امنيت اطلاعات نه تنها ممكن است در كاركرد سازمان­ها اختلال ايجاد كند بلكه ممكن است مشكلات قانوني درپي داشته باشد و حتي به اعتبار سازمان لطمه وارد نمايد.سیستم مدیریت امنیت اطلاعات یک رویکرد سیستماتیک جهت برقراری امنیت سازمان در مقابل تهدیدات داخلی و خارجی ارائه داده و دارای یک­سری استاندارد­های امنیتی است. از آن­جائیکه ارزیابی ریسک یکی از فرایند­های مهم در سیستم مدیریت امنیت اطلاعات می باشد، برای کاهش ریسک­های دسترسی غیر مجاز به دارایی­های سازمانی، لازم است سیاست کنترل دسترسی در سیستم مدیریت امنیت اطلاعات مورد ارزیابی قرار گیرد.

كليد واژه- امنیت اطلاعات، دارایی سازمان، سیستم مدیریت امنیت اطلاعات

1-     مقدمه

ايجاد امنيت اطلاعات روز به روز بيشتر مورد  توجه سازمان­ها قرار مي گيرد. سازمان­ها برای برقراری امنیت اطلاعات مناسب و منطبق با اهداف و سیاست­های سازمانی خود نیاز به یک رویکرد امنیتی دارند زيرا امروزه با توجه به تهديدات متنوع و زيادي كه براي داده­ها وجود دارد ناديده گرفتن امنيت اطلاعات عواقب سنگين و حتي جبران ناپذيري را به سازمان­ها تحميل مي­كند و باعث اتلاف منابع و زمان سازمان مي شود. اين عواقب ممكن است در كاركرد جاري سازمان اختلال ايجاد كند كه در اين صورت تاثير آن بلافاصله قابل مشاهده است. برخي از پيامدها مشكلات حقوقي به همراه دارند و در طول يك دوره زماني خود را نشان مي­دهند و ممكن است در آينده كاري سازمان تاثير منفي داشته باشند. برخي از پيامدها اعتبار سازمان را زير سوال مي­برد كه ممكن است يك عمر دامنگير سازمان شود و در عملكرد كاركنان سازمان تاثير منفي داشته باشد و مانع رشد سازمان بشود. براي جلوگيري از چنين مشكلاتي ايجاد و توسعه يك سيستم مديريتي براي برقراري امنيت اطلاعات در سازمان ضرورري به نظر مي رسد. در این مقاله به معرفی کنترل­های دسترسی و نقش آن در امنیت اطلاعات و سپس به سیستم مدیریت امنیت اطلاعات و استاندارد امنیت اطلاعات پرداخته می­شود ]1[.

2-    امنیت اطلاعات و مفاهیم آن

اطلاعات هم مانند سایر دارایی­های سازمان، یک دارایی مهم محسوب می­گردند. اطلاعات، مجموعه­ای از آگاهی­هاست و چه، کجا و چطور بودن یک موضوع را نشان می­دهد. به تعبیر کامپیوتری، اطلاعات، داده­های پردازش شده هستند که دارای ارزش و اعتبار می­باشند. برای تعریف امنیت اطلاعات می­توان گفت: توانایی سیستم در مدیریت، محافظت و توزیع اطلاعات حساس ]2][3[. امنیت اطلاعات طبق استاندارد ایزو چنین تعریف می­شود: حفاظت از محرمانگی، جامعیت و دسترس پذیری اطلاعات در مقابل ریسک­ها، تهدید­ها و آسیب پذیری­ها، علاوه بر این­ها سایر ویژگی ها از قبیل حسابرسی و پاسخگویی، انکار ناپذیری و قابلیت اطمینان اطلاعات نیز می­تواند مشمول این حفاظت باشد.]4 [

2-1-        سیاست امنیتی

سیاست امنیتی، قوانین سطح بالایی را تعیین می­کند که نشان می­دهند چه دسترسی به منابع و داده­ها در سیستم اعطا یا لغو شود. به عبارت دیگر، سطوح امنیتی مورد نظر سیستم را توسط وضعیت­های مجاز و غیر مجاز که نشان دهنده کار­های مجاز و کار­های غیر مجاز در سیستم می­باشند تعریف می­کند ]3][4[.

3-   مفهوم کنترل دسترسی در امنیت اطلاعات

3-1-       تعریف کنترل دسترسی

کنترل دسترسی به مجموعه­ی سیاست­ها و اقدامات مربوط به اعطا یا رد مجوز دسترسی یک کاربر خاص به منابع و یا محدود کردن دسترسی به منابع سیستم­های اطلاعاتی اطلاق می­شود. وظیفه اصلی کنترل دسترسی، کنترل نمودن دسترسی کاربران به سیستم و منابع آن به طریقی است که فقط دسترسی مجاز امکان پذیر باشد. کنترل دسترسی تعیین می­کند که به درخواست دسترسی به سیستم اجازه داده شود یا نشود، این تنظیمات کنترل دسترسی بر پایه سیاست­های کنترل دسترسی سیستم می­باشد و توسط مکانیزم­های کنترل دسترسی اجرا می گردد.

هدف کنترل دسترسی محدود کردن فعالیت­ها و عملیاتی  است که یک کاربر مجاز در سیستم کامپیوتری می­تواند انجام دهد و توسط مولفه اجرایی به نام Reference Monitor که واسط بین دسترسی کاربران به اشیاء سیستم می­باشد، اجرا می­گردد.]5 [

3-2-      معرفی سیاست­های کنترل دسترسی

قانون دسترسی به منابع به عنوان "سیاست" مطرح می­شود. سیاست­ها قوانین سطح بالایی هستند که برای یک سازمان یا یک پروژه خاص مطرح می­شوند. به عنوان مثال یکی از سیاست­های عمومی "تفکیک وظایف" می­باشد که به معنی اعطای مجوز دسترسی به چندین منبع برای یک موجودیت است که با یکدیگر پتانسیل خرابی زیادی دارند. سیاست­های کنترل دسترسی با توجه به اهداف به دو دسته تقسیم می­شوند: سیاست­های کنترل دسترسی بصیرتی و غیر بصیرتی. در سیاست­های کنترل دسترسی بصیرتی، اعطای مجوز دسترسی بر عهده دارنده منبع است، در نتیجه این سیاست­ها شدیداً انعطاف پذیرند ولی از نظر امنیتی ضعیف هستند، از سوی دیگر در سیاست­های غیر بصیرتی، دسترسی از طریق راهبر و بر اساس قوانین می­باشد ]1[.

3-3-     مدل های کنترل دسترسی

مدل­های کنترل دسترسی را می­توان به دو گروه سنتی و توسعه یافته تقسیم بندی نمود. در گروه سنتی دو مدل کنترل دسترسی بصیرتی و اجباری قرار دارند که مدل­های پایه و زیر بنایی به حساب می­آیند. مدل­های گروه توسعه یافته، مدل­هایی می­باشند که بر پایه مدل­های سنتی بنا نهاده شده و آن­ها را به نوعی توسعه داده و مشکلاتشان را رفع نموده­اند. در جدول زیر گروه­ها معرفی می­شوند:

جدول 1: معرفی انواع گروه­های کنترل دسترسی

4-    سیستم مدیریت امنیت اطلاعات

سیستم مدیریت امنیت اطلاعات یک رویکرد سیستماتیک شامل افراد، فرآیند و سیستم­های تکنولوژی اطلاعات که سیستم­ها و اطلاعات را در مقابل تهدیدات داخلی و خارجی محافظت می­کند. سیستم مدیریت امنیت اطلاعات شامل ارزیابی ریسک و یکسری استاندارد­های امنیتی مانند ایزو 27001 می­باشد که در ادامه آن پرداخته می­شود ]4[.

4-1-       استاندارد ایزو 27001

استاندارد بین المللی ایزو 27001 قوانین و کنترل­های لازم برای تدوین، پیاده سازی، اجرا، نظارت، بازبینی، نگهداری و بهبود سیستم مدیریت امنیت اطلاعات را  مقرر نمود. قوانین شامل 11 بند کنترلی، 39 هدف کنترلی و 133 کنترل می­باشد. این استاندارد برای تمامی انواع سازمان­ها اعم از خصوصی یا دولتی قابل اجرا می­باشد ]4[. ایزو27001 از روند تکرار شوند مبتنی بر مدل PDCAبرای تدوین و مدیریت سیستم مدیریت امنیت اطلاعات استفاده می­کند و چهار فاز را برای این سیستم ارائه می­کند که به شرح زیر است:

4-1-1- طرح ریزی و برنامه ریزی

در این مرحله تعاریف اولیه پیاده سازی سیستم مدیریت امنیت اطلاعات مشخص می­شود. تهیه سیاست­های امنیتی، مقاصد تعریف فرآیند­های مختلف درون سازمان و ... در این مرحله پیاده سازی می­شوند. برای مرحله آگاه سازی پایان معنی ندارد زیرا یک رویه ادامه دار است و پایه­ای برای مرحله آموزش می­باشد. سه گام اصلی برای توسعه برنامه آگاه­سازی و آموزش عبارتند از:

4-1-1-1- حوزه برنامه، اهداف و مقصد باید مشخص شود:

مرحله اول در توسعه آگاهی و آموزش نیاز به درکی از چالش­هایی دارد که سازمان با آن روبرو است. هر مرحله از برنامه باید دارای هدف باشد، هدف اصلی این برنامه ایجاد و پشتیبانی یک سطح محافظتی مناسب برای تمام منابع اطلاعاتی موجود در سازمان است ]6[.

4-1-1-2-  اهداف انگیزه بخش برای تمام اعضای سازمان باید تعریف شود:

به عنوان یک برنامه راه­گشا، مدیر باید به لزوم برقراری امنیت اطلاعاتی پی برده باشد و برای ایجاد انگیزه بیشتر در کارکنان سازمان باید به کارآیی کارکنان خود امتیاز دهد. می­توان از پوستر­های که به طور منظم نصب می­شوند جهت یادآوری مسئولیت کارکنان استفاده کرد، اگر این پوستر­ها مرتباً تغییر پیدا نکنند کارکنان سازمان به سرعت شروع به نادیده گرفتن آن­ها می­کنند ]6[.

4-1-1-3-  یک برنامه نگهداری منظم برای به روز نگه داشتن برنامه باید به کار رود:

سرعت تغییر تکنولوژی در زمینه اطلاعات باعث می­شود نیاز  به­روز کردن برنامه­های آگاه­سازی و آموزشی به طور مداوم انجام شود زیرا ممکن است این برنامه­های آگاهی کارآیی خود را از دست بدهند بنابراین همانطور که برنامه­ها به­روز می­­شوند محیط درونی هم باید تغییر یابد، بنابراین این برنامه به استاندارد مناسب نگهداری نیاز دارد.

4-1-2- پیاده سازی و عملی کردن

این مرحله شامل آنالیز شکاف­ها و ایجاد استراتژی تسهیل برنامه آگاه­سازی و آموزش است. کارکنان باید نیاز­ها را درک کرده و به سیاست­های سازمان احترام بگذارند تا امنیت بهبود یابد، در واقع افراد سازمان در خط مقدم دفاع از تجاوز به حریم امنیتی سازمان هستند. اگر افراد سازمان به مقدار لازم آموزش ببینند، نه تنها از وقوع حوادث جلوگیری می­کنند بلکه اثر حوادث پس از وقوع احتمالی کاهش خواهند داد. هدف اصلی از این آگاه­سازی القای آهسته درک مناسبی از خطرات و توسعه فرهنگ آگاهی امنیتی در سازمان است. کارگاه آموزشی جهت آگاه سازی امنیتی موثر می­باشد. در ایجاد این کارگاه آموزشی مرحله اول، شناسایی و دعوت از اعضای کلیدی شرکت کننده برای وارد شدن به فرآیند است. نماینده­های تجاری و مدیریتی باید وضع موجود را تعریف و فعالیت­های تجاری را طرح­ریزی نمایند و برای هر فعالیت تهدید و خطراتی که برای آن انتظار می­رود را مشخص کنند سپس برای هر فعالیت کنترل مرتبط با آن را بررسی نمایند. این فعالیت­ها باید به طور منظم در اهداف مدیریتی کوتاه مدت و بلند مدت بررسی شده و توسعه یابد ]6[.

4-1-3- بررسی، نظارت و بازبینی

یک اصل مهم در ادامه دار بودن موفقیت، داشتن آگاهی همه جانبه امنیتی و آموزش برنامه­هایی که روند نگه­داری و مهندسی مجدد را داشته باشند، می­باشد. یک طرح جامع با توجه به جزئیات زیر جهت توسعه و نگه­داری هر سازمانی نیاز است.

مستندات مقررات امنیت اطلاعات: قوانین امنیت اطلاعات جهت توسعه مدیریت و پشتیبانی امنیت اطلاعاتی است، این سند یک مسیر روشن از پشتیبانی مدیریت و تعهد به امنیت اطلاعات از طریق این سیاست­ها را نشان می­دهد.

بررسی و ارزیابی: جهت انتشار یک قانون، تاثیر فرآیند استاندارد در سازمان و امضای صاحبانی که قرار است تاثیر اصلی را داشته باشند، بسیار مهم است. این امر با استفاده به یک بازبینی در مرحله آخر جهت اطمینان از تاثیر صاحبان نیاز دارد.

مجمع مدیریت امنیت اطلاعات: مجمع مدیریت امنیت اطلاعات مسئول پاسخگویی و ضامن آگاهی و آموزش برنامه بر سازمان می باشد. این نکته حائز اهمیت می­باشد که آگاهی و ارزیابی تیم باید به صورت دوره­ای وجود داشته باشد.

عهده دار بودن امنیت اطلاعات به صورت اختصاصی: این نکته حائز اهمیت است که در سازمان، مسئولیت موثری نسبت به برقراری امنیت اطلاعات کارکنان به آن­ها داده شود و از آگاه بودن مسئولیت­های امنیتی توسط کارکنان اطمینان حاصل شود ]6[.

4-1-4- نگهداری و بهبود بخشی

سازمان­ها جهت پیاده سازی امنیت نیاز به انتخاب مدل کنترل دسترسی دارند و از آنجائیکه استاندارد­های مدیریت امنیت فقط یک چارچوب و نقشه راه ارائه می­دهند با توجه به مزایا و معایب انواع کنترل دسترسی، باید مدل مناسب برای هر سازمان انتخاب شود. اگر بخواهیم رویکردی جهت بهبود بخشی و ارزیابی کنترل­های دسترسی مبتنی بر سیستم مدیریت امنیت اطلاعات ارائه دهیم، آن را به دو سطح اصلی تقسیم می­نماییم، ابتدا شناسایی محیط عملیاتی صورت می­پذیرد و نیازمندی­های امنیتی در حوزه کنترل دسترسی بر مبنای اهداف و کسب و کار تجاری سازمان به همراه سرویس امنیتی مورد نیاز سازمان (محرمانگی، جامعیت و دسترسی پذیری) به همراه سیاست­های کنترل دسترسی تعیین می­گردند. کلیه دارایی­ها اعم از سیستم­ها و سرویس­های اطلاعاتی مانند شبکه، سیستم­های عامل، برنامه­های کاربردی و اطلاعاتی که نیاز به برقراری امنیت در حوزه دسترسی مجاز دارند، شناسایی می­گردند. در مرحله بعدی تهدید­های هر یک از دارایی­ها، کنترل­های جاری و آسیب پذیری­ها شناسایی شده و در آخر نتایج و تاثیر­های آن­ها مورد بررسی قرار می­گیرد. نمی­توان اهمیت مدیریت ریسک را در محافظت از منابع سازمان در برابر دسترسی غیر مجاز نادیده گرفت، و از آنجائیکه ارزیابی ریسک فقط یک رویه در اختیار گذاشته و نحوه و چگونگی پیاده سازی در حوزه امنیتی را مطرح نکرده است، به همین جهت می­خواهیم، ارزیابی ریسک حوزه کنترل دسترسی را به عنوان یکی از سطوح در این رویکرد مطرح کرده که به عنوان یک نوآوری در این زمینه محسوب می­شود ]6[.

5-    نتیجه گیری

مردم ما خط اول دفاع ما هستند. اجرای موفقیت آمیز سیستم مدیریت امنیت اطلاعات نقش حیاتی در اجرای کل برنامه امنیت اطلاعات را دارد. حفاظت از داده­ها که امروزه به عنوان دارایی سازمان­ها می­باشد، بنابراین اهمیت حفاظت در برابر خطرات و آسیب پذیری­ها ملموس می­باشد، بدین جهت سعی شده است در این مقاله به جزئیات و گام­های مورد نیاز برای توسعه سیستم مدیریت امنیت اطلاعات مبتنی بر کنترل دسترسی و ارائه آگاهی­های امنیتی و سیستم­های آموزشی در درون سازمان­ها تمرکز داشته باشیم. مراحل مورد استفاده در این مقاله برای فرآیندسیستم مدیریت امنیت اطلاعات مبتنی بر سیاست کنترل دسترسی به دو فاز تقسیم می­شوند. فاز اول شناسایی و طبقه بندی دارایی، شناسایی نیازمندی­های کنترل دسترسی، تعریف سیاست­های کنترل دسترسی، تعیین مدل­های کنترل دسترسی، معیار مقایسه و ارزیابی مدل­های کنترل دسترسی و فاز دوم ارزیابی ریسک بر مبنای سیستم مدیریت امنیت اطلاعات، مشخص شدن سطوح ریسک تهدیدات در هر دارایی، بکارگیری اقدامات متقابل برای کاهش ریسک، دسته بندی کنترل­ها بر اساس مقایسه مدل­ها، حسابرسی مبتنی بر سیستم چک کردن می­باشد.

مراجع

[1]     S. Vivy, “A Survey On Access Control Deployment ” .Communication in computer and informatin science, Vol. 259, No. 3, pp. 11-20, 2011.

[2]     M.Bishop, Introduction to computer security.  pp. 50-52, 2002.

[3]     Z. Saad, Integratin of Access Control Requirements into System Spicifications .  pp. 33-36, 2008.

[4]     H. Susanto , M. Nabil Almunawar and Y.Chee Tuan, “Information Security Management Standard: A Comparative Study of the Big Five ” IJECS. International Journal of Electrical & Computer Sciences, Vol. 11, No. 05, pp. 24, 2011.

[5]     S. D. C Vimercati, S.Paraboschi and P.Samarati, “Access Control: Principles And Solutions,” Softw. Pract. Exper, Vol. 33 pp. 397-421, 2003.

[6]     Humphreys, Information Security Management Standards: Compliance, governance and risk management. Elsevire, pp. 247-255, 2008.