برای مطالعه بخش قبل روی این آدرس کلیک کنید.
مدیریت دارایی
سازمانها باید خطمشیهای مشخصی برای مدیریت دارایی داشته باشند. این رویکرد شامل خطمشیهای مربوط به خرید، مدیریت روزانه و کنار گذاشتن داراییهای سازمانی میشود. به عنوان مثال، شرکتها باید به دنبال تامینکنندگانی باشند که در صورت نیاز به خرید سختافزارهای جدیدی مثل سرور به سرعت در دسترس باشند. باید خطمشیهایی وجود داشته باشد که حفظ و نگهداری از داراییهای ارزشمند مثل سرور و نحوه کنار گذاشتن آنها پس از سپری شدن عمر مفید را شامل شود.
تغییر خطمشی کنترل/مدیریت
یکی از مهمترین خطمشیهایی که باید وجود داشته باشد، خطمشی کنترل یا مدیریت تغییر است که فرآیندی را تعریف میکند که تغییر در شبکه را اجرایی میکند. هنگامی که یک فرآیند مدیریت تغییر وجود نداشته باشد و خطمشی مشخصی در این زمینه وجود نداشته باشد، ممکن است به دلیل اشتباهاتی که هنگام اجرای تغییرات ایجاد میشود دسترسی به شبکه غیر ممکن شود.
داشتن یک خطمشی مدیریت تغییر که رویههایی که باید دنبال شوند را مشخص میکند، باعث کم شدن اشتباهات در پیکربندی میشود، زیرا یک فرآیند میتواند تضمین دهد که تغییر به درستی آزمایش میشود. خطمشی مدیریت تغییر همچنین باید مشخص کند که چه کسی باید قبل از اجرای تغییر از آن مطلع شود.
خطمشی از دسترس خارج کردن ایمن تجهیزات
یکی از حیاتیترین خطمشیهایی که امروزه باید در نظر گرفته شود، از دسترس خارج کردن ایمن تجهیزات است. بهطور مثال، با کامپیوتری که اطلاعات حساس شرکت را دارد، اما مستهلک شده و دیگر قابل استفاده نیست چه کاری انجام میدهید؟ آیا آنرا به مدارس محلی اهدا میکنید؟ در مورد دادههای شرکتی که روی هارد دیسک آن سیستم قرار دارند چطور عمل میکنید؟ به همین دلیل مهم است خطمشیای داشته باشید که مشخص کند با سیستمها و دستگاهها پس از خارج شدن از تولید چه باید کرد.
در محیطهایی که امنیت آنها باید حفظ شود، بسیار مهم است که هر دیسک سختی که اطلاعات حساسی در خود نگه میدارد، از بین برود. در محیطهای کمتر امن، ممکن است بخواهید درایوها را بهطور ایمن پاک کنید تا دادهها قابل بازیابی نباشند. صرفاً فرمت مجدد یک درایو اطلاعات را حذف نمیکند، زیرا امکان بازیابی اطلاعات وجود دارد.
در این خطمشی باید مشخص کنید که با سایر تجهیزات قدیمی خارج شده از تولید چه باید کرد. این موضوع شامل سرورها، نوارهای مغناطیسی، سوئیچها، روترها و دستگاههای تلفن همراه میشود. موارد زیادی را دیدهام که در آن مدیر شبکه سرور یا روتر قدیمی شرکت را در اینترنت بدون اطمینان از پاک شدن دادهها و پیکربندی موجود فروخته است. به همین دلیل مدیران باید در مورد خطرات مربوط به عدم حذف ایمن تجهیزات آموزشهای لازم را ببینند.
خطمشیهای موثر بر مدیریت
اگرچه بخش عمدهای از خطمشیها مستقیماً بر کارمندان با هدف اطلاعرسانی در مورد نحوه اعمال تغییرات در شبکه تدوین میشوند، با اینحال، برخی خطمشیها مستقیماً بر مدیریت تأثیرگذار هستند. در این بخش چند خطمشی مهم که مدیریت باید برای کمک به محافظت از کسبوکار و داراییهای مدنظر قرار دهد آشنا میشویم.
خطمشیحفظ حریم خصوصی
یکی از جنبههای مهم برای هر سازمان امروزی داشتن یک خطمشی حفظ حریم خصوصی است که برای آموزش کارکنان و مشتریان در مورد چگونگی و چرایی جمعآوری اطلاعات از مشتریانش و نحوه استفاده از آن اطلاعات استفاده میشود. اکثر کسب و کارها بیانیه حریم خصوصی را در وبسایت خود قرار میدهند تا به مردم اطلاع دهند که چگونه قصد استفاده و مدیریت آن اطلاعات را دارند.
طبقهبندی اطلاعات
نمونه دیگری از خطمشیای که به دغدغههای مدیریت میپردازد، خطمشی طبقهبندی اطلاعات است. خطمشی طبقهبندی اطلاعات به تعریف طبقهبندیهای مختلف اطلاعات (مثلاً سری و فوق سری) و اینکه چه سطحی برای دسترسی به آن اطلاعات نیاز است، کمک میکند.
اختصاص یک سطح طبقهبندی (معروف به برچسب داده) اطلاعات، تعیین میکند که کدامیک از کنترلهای امنیتی برای ایمنسازی اطلاعات استفاده شود و چه مقدار سرمایه برای محافظت از آن اطلاعات باید هزینه شود. به عنوان مثال، اطلاعاتی که به عنوان محرمانه طبقهبندی میشوند، کنترلهای امنیتی بیشتری برای محافظت از اطلاعات را نسبت به اطلاعات طبقهبندی شده با درجه پایینتر نیاز دارند.
در ادامه برخی از طبقهبندیهای اطلاعاتی رایج که سطح بالایی از امنیت را ارایه میکنند را بررسی میکنیم:
■ فوق سری (Top secret): بالاترین سطح طبقهبندی است. افشای عمومی اطلاعات فوق محرمانه آسیب جدی به امنیت ملی یا سازمانی وارد میکند.
■ سری (Secret): سطح طبقهبندی مخفی یک مرحله پایینتر از محرمانه قرار دارد. افشای عمومی اطلاعات طبقهبندی شده به عنوان سری میتواند چالش جدی برای یک کشور یا سازمان به وجود آورد.
■ محرمانه (Confidential): افشای اطلاعات این سطح میتواند به امنیت ملی آسیب برساند.
■ طبقهبندی نشده (Unclassified): به هرگونه اطلاعاتی که طبقهبندی نشدهاند اشاره دارد. افشای عمومی اطلاعات طبقهبندی نشده ایمن تلقی میشود و چالشی به وجود نمیآورد.
خطمشی امنیتی باید مشخص کند که چه نوع اطلاعاتی فوق سری، سری، محرمانه و طبقهبندی نشده هستند. این خطمشی نه تنها باید نحوه طبقهبندی اطلاعات را مشخص کند، بلکه باید نشان دهد در چه شرایطی اطلاعات باید از طبقهبندی خارج شوند و فرآیند تغییر طبقهبندی در اطلاعات چگونه است.
هنگامی که اطلاعات موجود در سازمان طبقهبندی شد، گام بعدی این است که به افراد داخل سازمان یک سطح دسترسی اختصاص دهیم. به عنوان مثال، برای دسترسی به اطلاعات فوق محرمانه، یک کارمند به مجوز فوق سری با وضعیت فقط خواندنی (بدون اعمال تغییر) نیاز دارد.
گواهی امنیتی و برچسبهای دادهای
بسیاری از مردم مفاهیم برچسبهای طبقهبندی دادهها و سطوح مجوز امنیتی را اشتباه میگیرند. شما باید برای آزمون سکیوریتیپلاس تمایز این نکات را بدانید.
برچسبهای طبقهبندی (مانند سری، فوق سری یا حتی طبقهبندی نشده) به اطلاعات یا داراییها اختصاص داده میشوند. هنگامی که برچسبهای طبقهبندی به همه داراییها اختصاص داده شد، میتوانید مجوزهای امنیتی درستی به کارمندان اختصاص دهید که تعیین میکند به کدام داراییها میتوانند دسترسی داشته باشند. به عنوان مثال، یک کارمند با مجوز امنیتی فوق سری میتواند به اطلاعات با برچسب فوق سری که به او اختصاص داده شده است دسترسی پیدا کند.
علاوه بر موارد یاد شده، سطوح دیگری از طبقهبندی اطلاعات نیز وجود دارد. موارد یاد شده عمدتا در ارتباط با سازمانهای دولتی و مراکز نظامی کاربرد دارند، اما شرکتها ممکن است از سیستم طبقهبندی داخلی خود استفاده کنند. موارد زیر نمونههای دیگری از برچسبهای طبقهبندی را نشان میدهند:
■ زیاد/متوسط/کم (High/medium/low): شرکت شما ممکن است از سیستم طبقهبندی داخلی کم، متوسط و زیاد برای رتبهبندی خطر امنیتی در صورتی که اطلاعات در معرض دید عموم قرار گیرد، استفاده کند.
■ خصوصی/عمومی (Private/public): یک رویکرد ساده برای طبقهبندی اطلاعات است که از برچسبگذاری خصوصی یا عمومی برای توصیف آنها استفاده میکند. خصوصی به این معنا است که اطلاعات برای استفاده داخلی است، در حالی که عمومی به این معنا است که در صورت قرار گرفتن به شکل عمومی خطر امنیتی ایجاد نمیکند.
■ دادههای حساس (Sensitive data): دادههایی هستند که باید محافظت شوند تا طرفهای خارجی به اطلاعات دسترسی نداشته باشند. دادههای حساس اغلب برچسب خصوصی میگیرند.
■ دادههای محرمانه (Confidential Data): باید محرمانه تلقی شوند اگر در صورت دسترسی افراد غیرمجاز، خطر قابلتوجهی برای کسبوکار ایجاد کنند. دادههای محرمانه و دادههای حساس اصطلاحاتی هستند که اغلب به جای یکدیگر استفاده میشوند.
■ دادههای حیاتی (Critical data): دادههایی هستند که برای عملیات تجاری مهم هستند. به عنوان مثال، دادههای حیاتی برای یک کسب و کار ممکن است فهرست مشتریان یا فهرست محصولات آنها باشد.
■ اختصاصی (Proprietary): یکی دیگر از برچسبهایی که میتوان از آن برای توصیف اطلاعات خصوصی یا درون شرکتی استفاده کرد. اطلاعات اختصاصی به دادههایی اشاره دارند که متعلق به شرکت است و نباید بدون مجوز در خارج از شرکت بهاشتراک گذاشته شوند.
خطمشی حفظ دادهها
یکی دیگر از خطمشیهای رایج، خطمشی حفظ داده است که مشخص میکند اطلاعات خاص تا چه مدت باید در سازمان حفظ شوند. سازمانها ممکن است یک خطمشی حفظ داشته باشند که تعدادی از اقدامات انجام شده بر روی دادهها را به شرح زیر مشخص میکند:
■ عصر دادهها (Age of data): برخی از شرکتها خطمشیهایی دارند که مشخص میکند هر بخش از اطلاعات باید شامل متادیتا باشد که تاریخ ایجاد و انقضا را مشخص کند. رویکرد فوق به فردی که به دادهها نگاه میکند کمک میکند بداند که آیا باید آنها را حفظ کرد یا میتواند از بین برود، زیرا ممکن است دادههای قدیمی بی استفاده و نادرست باشند. محدودیت سنی دادهها میتواند سه سال تا هفت سال باشد و خطمشی حفظ دادهها ممکن است مشخص کند که دادهها پس از این تاریخ باید از بین بروند.
■ حفظ دادهها ( Retaining data): شرکتها باید خطمشیهایی داشته باشند که مشخص میکند اطلاعات چه مدت باید قبل از اینکه اجازه نابودی صادر شود حفظ شوند. بسیاری از شرکتها دارای دورههای نگهداری تا هفت سال هستند. خطمشی نگهداری همچنین باید دورههای نگهداری انواع مختلف اطلاعات را مشخص کند. به عنوان مثال، دادههای حسابداری میتوانند یک دوره نگهداری هفت ساله داشته باشند، در حالی که دادههای بازاریابی میتوانند یک دوره نگهداری تنها سه ساله داشته باشند. خطمشی نگهداری همچنین باید محل بایگانی اطلاعات برای ذخیرهسازی طولانی مدت را مشخص کند. برخی از دادهها ممکن است دارای یک گروه نگهداری اختصاصی باشند، مانند دادههای گذرا که دادههایی هستند که نیازی به نگهداری ندارند. این موضوع ممکن است شامل مواردی مانند پست صوتی و برخی از ایمیلها باشد. لازم به ذکر است که مقررات حاکم بر یک سازمان ممکن است خطمشیهای نگهداری که برای انواع مختلف اطلاعات مورد نیاز است را دیکته کند.
سایر خطمشیهای محبوب
همانگونه که ذکر شد، خطمشیهای مختلف متعددی در یک چکلیست امنیتی وجود دارد. شما در مورد خطمشیهای مهمی مانند خطمشی استفاده قابل قبول، خطمشیهای حفظ حریم خصوصی و خطمشیهای طبقهبندی اطلاعات نکات مهمی به دست آوردید. در زیر برخی از خطمشیهای محبوب دیگر وجود دارد که در سازمانهای بزرگ استفاده میشوند:
■ خطمشی دسترسی از راه دور (Remote access policy): خطمشی دسترسی از راه دور برای تعیین نحوه دسترسی کاربران راه دور به شبکه طراحی شده است. در خطمشی دسترسی از راه دور، شما پروتکلهای دسترسی از راه دور که باید استفاده شوند و راهحلهای نرمافزاری خاصی که شرکت آزمایش و تایید کرده را مشخص میکنید. همچنین میتوانید مشخص کنید که سیستم کلاینت باید وصلهها و بهروزرسانیهای ضدویروسی را دریافت کند.
■ خطمشی بیسیم (Wireless policy): خطمشی بیسیم مشخص میکند که آیا شبکههای بیسیم مجاز به استفاده در شرکت هستند یا خیر. اگر شبکههای بیسیم مجاز باشند، خطمشی بیسیم کنترلهای امنیتی را مشخص میکند که باید برای ایمن کردن ارتباطات بیسیم اعمال شوند. به عنوان مثال، اینکه آیا از فیلتر MAC استفاده میشود و آیا رمزگذاری بیسیم، مانند WPA2 یا WPA3، مورد نیاز است.
■ خطمشی شبکه خصوصی مجازی (VPN policy): خطمشی شبکه خصوصی مجازی (VPN) نحوه اتصال کاربران راه دور را با استفاده از اینترنت به شبکه مشخص میکند. VPN ارتباط بین کلاینت و سرور VPN را رمزگذاری میکند. در خط مشی VPN، شما مشخص میکنید که کدام پروتکل و راهحل VPN برای دسترسی از راه دور از طریق VPN استفاده شود. همچنین میتوانید مشخص کنید که سیستم کلاینت باید با وصلهها و بهروزرسانیهای آنتیویروس محافظت شوند.
■ خطمشی واکنش به حادثه (Incident response policy): خطمشی واکنش به حادثه برای تیم امنیتی طراحی شده است که به حوادث امنیتی رسیدگی میکند. خطمشی واکنش به حادثه مشخص میکند که هر یک از افراد در تیم واکنش به حادثه چه مسئولیتی دارند و چگونه حوادث امنیتی را مدیریت کنند.
■ خطمشی فایروال (Firewall policy): خطمشی فایروال راهحل دیوارآتش شرکت و انواع ترافیک مجاز و غیر مجاز برای عبور از دیوار آتش را مشخص میکند.
■ خطمشی حفاظت در برابر ویروس (Virus protection policy): خطمشی حفاظت از ویروس مشخص میکند که کدام دستگاهها و سیستمها به نرمافزار آنتیویروس نیاز دارند. همچنین مشخص میکند که چه تنظیماتی باید در نرمافزار AV پیکربندی شوند، مثل بهروزرسانی خودکار و زمانبندی اسکن ویروس.
■ خط مشی حسابرسی ( Audit policy): خطمشی حسابرسی خطمشی مهمی است که مشخص میکند حسابرسی باید کجا در شرکت اجرا شود. خطمشی حسابرسی باید مشخص کند که چه نوع سرورهایی در شبکه نیاز به ممیزی دارند و چه نوع فعالیتی باید ممیزی شود. خطمشی حسابرسی همچنین باید مشخص کند که چه کسی باید گزارشها را بررسی کند و چند مرتبه یکبار اینکار را انجام دهد.
■ خطمشی امنیت فیزیکی (Physical security policy): خطمشی امنیت فیزیکی برای تعیین هرگونه کنترل امنیتی فیزیکی، مانند درهای قفل شده، حصارها و حفاظهایی که باید استفاده شوند تعریف میشود. مهم است که اطمینان حاصل کنید دسترسی به سرورها را با قرار دادن آنها در اتاق سرور قفل شده کنترل میکنید.
■ خطمشی نرمافزار (Software policy): خطمشی نرمافزار مشخص میکند کدام نرمافزار برای کسبوکار تأیید شده و نشان میدهد چه نرمافزاری میتوان و چه نرمافزاری را نمیتوان روی سیستم نصب کرد. خطمشی نرمافزار همچنین باید مشخص کند که چگونه یک نرمافزار میتواند به لیست تایید شده اضافه شود. همچنین تضمین میکند که کارمندان مجاز به استفاده از نرمافزارهای متفرقه نخواهند بود.
■ خطمشی پشتیبانگیری ( Backup policy): خطمشی پشتیبانگیری مشخص میکند چه نوع دادههایی باید پشتیبانگیری شوند و هر چند وقت یکبار. بهطور معمول این مدیران هستند که باید نگاه دقیقی به خطمشی پشتیبانگیری داشته باشند.
خطمشیهای منابع انسانی
حوزهای که اغلب نادیده گرفته میشود این است که چگونه کارکردهای منابع انسانی (HR) میتوانند بر امنیت کسب و کار تأثیر بگذارند و منابع انسانی چه کاری میتوانند برای کمک به بهبود امنیت در سازمان انجام دهند. منابع انسانی مسئول مدیریت پرسنل است و تعدادی از خطمشیهای امنیتی وجود دارد که میتواند توسط منابع انسانی برای کمک به ایجاد یک محیط امنتر اجرا شود. در زیر به برخی از خطمشیهایی که بخش منابع انسانی باید به آنها مقید باشد ارایه شده است:
خطمشی استخدام (Hiring Policy)
خطمشی استخدام باید به گونهای تدوین شود که به منابع انسانی کمک کند در طول فرآیند استخدام چه کاری انجام دهد تا به حفظ امنیت کمک کنند. خطمشی استخدام ممکن است هر یک از موارد زیر را شامل شود:
■ فرایند مصاحبه (Interview process): خطمشی استخدام ممکن است ترتیب انواع مصاحبههایی که باید انجام شود را مشخص کند. به عنوان مثال، خطمشی استخدام ممکن است مشخص کند که قبل از انجام مصاحبههای حضوری، یک مصاحبه تلفنی به عنوان اولین سطح غربالگری انجام شود.
■ مرجع تماس (Contact references): در طول مصاحبه حضوری، ممکن است خطمشی استخدام مشخص کند که مراجع (معرفان) درخواست شود تا قبل از مصاحبه بعدی بتوان با آنها تماس گرفت. همچنین، خطمشی استخدام ممکن است مشخص کند که چه زمانی و چگونه با مراجعی که داوطلب ارائه کرده تماس بگیرد و چه سوالاتی را بپرسد.
■ بررسی پسزمینه (Background check): خطمشی استخدام ممکن است به بررسی پیشینه افرادی بپردازد که قصد استخدام در شرکت را دارند. در طول این مرحله از فرآیند استخدام، اطلاعات مربوط به رزومه متقاضی باید تأیید شود. هر گونه نشانهای مبنی بر اینکه داوطلب در رزومه خود دروغ گفته است دلیل خوبی برای عدم استخدام فرد است. هدف از بررسی سوابق این است که اطمینان حاصل شود داوطلب واقعاً دارای تحصیلات و تجربه شغلی ادعا شده در رزومه خود است. این خطمشی همچنین ممکن است مستلزم بررسی سوابق جنایی و جستجوهای گوگلی باشد.
■ امضای قرارداد عدم افشای اطلاعات (NDA) : خطمشی استخدام ممکن است بیان کند که از نامزدها باید در آخرین مصاحبه پرسیده شود که آیا مایل به امضای قرارداد غیررقابتی و قرارداد عدم افشای (NDA) در صورت استخدام هستند. اگر نامزدی مایل به امضای چنین قراردادهایی نیست، ممکن است دلیلی برای عدم استخدام نامزد باشد.
■ غربالگری مواد (Drug): خطمشی استخدام همچنین ممکن است بیان کند که از داوطلبان باید در آخرین مصاحبه پرسیده شود که آیا مایل به انجام آزمایش غربالگری هستند یا خیر. مجدداً، اگر نامزدی به غربالگری مواد مخدر نه بگوید، ممکن است دلیلی برای عدم استخدام نامزد باشد، البته بسته به نوع شغل.
هدف از داشتن یک خطمشی استخدام کمک به ایجاد محیط امنتر برای سازمان با استخدام افراد صادق است.
خطمشی پایان کار (Termination Policy)
بسیار مهم است که یک خطمشی خاتمه کار برای کمک به منابع انسانی در تعیین مراحلی که باید برای اخراج یک کارمند بهطور قانونی دنبال کند تعریف شده باشد. مراحل انجام شده در حین فسخ بستگی به این دارد که فسخ دوستانه یا غیر دوستانه باشد.
یک خاتمه دوستانه معمولاً شامل ترک شرکت با شرایط خوب و معمولاً به دلایل غیررقابتی است. با یک فسخ دوستانه، خطمشی پایان باید مشخص کند که HR میزبان مصاحبه خروج است و دلایل خروج کارمند از شرکت را مستند کند. مهمتر از آن، منابع انسانی باید NDA را که هنگام پیوستن به شرکت امضا کردهاند را به کارمند یادآوری کند و به آنها اطلاع دهد با وجود اینکه دیگر برای شرکت کار نخواهند کرد، همچنان باید به توافق پایبند باشند. HR باید مطمئن شود که هر کارت و کلیدی از کارمند دریافت کرده و به تیم شبکه دستور دهد تا حسابهای فرد را پس از خروج از شرکت غیرفعال کنند.
یک خاتمه غیر دوستانه معمولاً شامل اخراج یک کارمند از شرکت یا ترک با شرایط بد است. اغلب، خاتمه غیر دوستانه ناشی از خروج کارمند از شرکت به دلیل استخدام شدن توسط رقیب شرکت یا اخراج به دلیل عدم پیروی از خطمشی شرکت است. در هر صورت، خطمشی فسخ باید به HR دستور دهد تا تیم شبکه را از قصد خود برای اخراج کارمند آگاه کند تا تیم شبکه بتواند دسترسی کارمند به منابع شبکه و مناطق حساس ساختمان را در زمانی که HR به سازمان اطلاع رسانی میکند غیرفعال کند.
در شماره آینده مبحث فوق را ادامه میدهیم.
برای مطالعه تمام قسمتهای آموزش سکوریتی پلاس اینجا کلیک کنید.
معرفی آموزشگاه شبکه و امنیت
- تهران: آموزشگاه عصر رایان شبکه
- مهندس اطلاعات
تلفن: 02188549150 کانال: Asrehshabakeh@
تبلیغات لینکی:
ماهنامه شبکه را از کجا تهیه کنیم؟
ماهنامه شبکه را میتوانید از کتابخانههای عمومی سراسر کشور و نیز از دکههای روزنامهفروشی تهیه نمائید.
ثبت اشتراک نسخه کاغذی ماهنامه شبکه
ثبت اشتراک نسخه آنلاین
کتاب الکترونیک +Network راهنمای شبکهها
- برای دانلود تنها کتاب کامل ترجمه فارسی +Network اینجا کلیک کنید.
کتاب الکترونیک دوره مقدماتی آموزش پایتون
- اگر قصد یادگیری برنامهنویسی را دارید ولی هیچ پیشزمینهای ندارید اینجا کلیک کنید.
نظر شما چیست؟