امنیت اطلاعات در دولت الکترونیکی - بخش سوم

6.بهبود 1 در 1 1

برای در دسترس قرار دادن 1 به کسانی که به آن نیاز دارند و برای این منظور قابل اعتماد هستند، یک دفاع قوی باید وجود داشته باشد که نیاز به یک استراتژی انعطاف پذیر دارد که سازگاری با محیط در حال تغییر، سیاست ها و روش های به خوبی تعریف شده، استفاده از ابزارهای قوی و هوشیاری پایدار را میسر سازد. آغاز یک برنامه بهبود امنیت با در نظر گرفتن وضعیت فعلی امنیت مفید خواهد بود. روش های قابل اطمینان برای رسیدن به این مقصود وجود دارد. یک برنامه امنیتی به طور یکپارچه شامل سیاست ها و رویه های مستند و تکنولوژی هایی است که از اجرای آنها پشتیبانی می کند.[9]

6.1  سیاست امنیتی[10]

کلیه سیاست های امنیتی با مکانیسم هایی که به اندازه کافی قوی هستند اعمال می شود. روش های سازمان یافته و استراتژی های ارزیابی ریسک برای اطمینان کامل بودن سیاست های امنیتی و اطمینان از اینکه آنها به طور کامل اجرا می شوند وجود دارد. در سیستم های پیچیده مانند سیستم های اطلاعاتی، سیاست ها را می توان به زیر سیاست هایی تقسیم کرد تا تخصیص مکانیزم های امنیتی برای اجرای این زیر سیاست ها را آسانتر نماید. یک سیاست یا همان خط مشی یک طرح سطح بالای مستند برای امنیت رایانه ها و اطلاعات سازمان است. سیاست یک چارچوب برای تصمیم گیری خاص از جمله اینکه از چه مکانیسم های دفاعی استفاده شود و یا چگونه سرویس ها پیکربندی شوند، فراهم می کند. همچنین مبنایی برای ایجاد دستورالعمل های برنامه نویسی امن و رویه ها برای کاربران و مدیران سیستم است. از آنجا که یک سیاست امنیتی یک سند بلند مدت است، در محتوای آن از طرح مسائل مربوط به فناوری خاص خودداری می شود. محتوای سیاست امنیتی شامل موارد زیر است:

• تعریف استفاده قابل قبول برای کاربران
• دستورالعمل برای واکنش به یک مصالحه
• توصیف سطح بالا در مورد محیط فنی، محیط حقوقی (قوانین حاکم)، اقتدار سیاست و فلسفه اصلی که هنگام تفسیر سیاست استفاده می شود.
• تجزیه و تحلیل ریسک که دارایی ها را شناسایی می کند، تهدیداتی که علیه این دارایی ها وجود دارد و هزینه های از دست دادن دارایی ها
• دستورالعمل برای مدیران سیستم در مورد نحوه مدیریت سیستم ها
•  

6.2 شیوه های امنیتی

• حملات روزانه اسپم ها که در حال حاضر به همراه حملات بدافزار ها رخ می دهد، همچنین خطرات ناشی از مهاجمان مخرب به لپتاپ های آلوده که در پشت فایروال ها و سیستم های پیشگیری از حملات سایبری اتفاق می افتند، امروزه از واقعیت های ارتباطات شبکه ای هستند. به این دلیل توجه و اقدامات در زمینه تنطیم و رعایت مقرراتی که باعث روان کردن عملیات امنیتی سیستم ها می شود  مخصوصا اگر تاکنون وجود نداشته باشد، اهمیت پیدا می کند. شیوه های مدیریت سیستم نقش کلیدی در امنیت شبکه ایفا می کنند. خوشبختانه امروزه چک لیست ها و توصیه های عمومی بسیاری در مورد اقدامات امنیتی مناسب در دسترس هستند. نمونه هایی از این شیوه های پیشنهادی متداول به شرح زیر می باشد[11] :
• اطمینان حاصل کنید که تمام حساب ها رمز عبور دارند و حدس این رمز عبور دشوار است. یک سیستم رمز عبور یک بار مصرف ترجیح داده می شود.
• از ابزارهایی مانند MD5 Checksum و روش های رمزنگاری قوی برای اطمینان از صحت سیستم نرم افزاری به طور مداوم استفاده کنید.
• هنگام نوشتن نرم افزار از تکنیک های برنامه نویسی امن استفاده کنید. این موارد را می توان در سایت های مرتبط با امنیت در وب جهانی پیدا کرد.
• در پیکر بندی و استفاده از شبکه های کامپیوتری هوشیار و مراقب باشید و به محض شناسایی 1 های آسیب پذیر تغییرات ایجاد نمایید.
• به طور منظم با سازندگان سیستم های سخت افزاری و نرم افزارهای امنیتی جهت دریافت آخرین به روز رسانی ها در ارتباط بوده و سیستم ها را به روز نگهدارید. به طور منظم بایگانی های امنیتی آنلاین را برای هشدارهای امنیتی و مشاوره فنی بررسی کنید.
• سیستم ها و شبکه های کامپیوتری و گزارشات ثبت وقایع آن ها را مرتباً بازرسی نمایید. بسیاری از سیستم هایی که گزارشات رویدادهای امنیتی کامپیوتر را ثبت نمی کنند، اطلاعات حسابرسی کافی جمع آوری نکرده، بنابراین شناسایی و ردیابی حملات سایبری دشوار خواهد شد.

به طور کلی می توان گفت بهترین کارها انجام کارهاست. بدین معنی که از هیچ برنامه ریزی و اقدام و فعالیت امنیتی فرو گزاری نکنید به عنوان مثال، رمزگذاری بهترین عمل است و نه یک محصول یا ابزار. همچنین بسیاری از ابزارهای تجاری و آزاد نیز در دسترس هستند که می توانند برای پیاده سازی بهترین شیوه های امنیتی مناسب باشند.

6.3 روندهای امنیتی

روند ها اقدامات صورت گرفته بر مبنای سیاست های امنیتی کامپیوتری هستند. روند ها به موضوعاتی مانند بازیابی برنامه ها از شبکه، اتصال به سیستم از خانه یا در سفر، استفاده از رمزگذاری، احراز هویت برای صدور حساب ها، پیکربندی و نظارت رسیدگی می کنند.

7.فناوری های امنیتی

انواع تکنولوژی ها برای کمک به سازمان ها  در جهت امن سازی سیستم ها و اطلاعات خود در مقابل مزاحمان پیشرفت کرده اند. این فن آوری ها به حفاظت از سیستم ها و اطلاعات در برابر حملات، شناسایی فعالیت های غیر معمول یا مشکوک کمک می کند و به رویدادهایی که بر امنیت تاثیر می گذارند، پاسخ می دهند.[12و13]

7.1 فناوری عملیاتی

مزاحمان به طور فعال به دنبال راه هایی برای دسترسی به شبکه ها و میزبان ها هستند. آنها به طور مسلحانه با آگاهی از آسیب پذیری های خاص، تکنیک های مهندسی اجتماعی و ابزارهای خودکار سازی جمع آوری اطلاعات و نفوذ سیستم، اغلب می توانند با سهولت مبهوت کننده ای وارد سیستم ها شوند. مدیران سیستم با معضل به حداکثر رساندن دسترسی سرویس های سیستم به کاربران معتبر مواجه می شوند، در حالی که می بایست حساسیت زیرساخت های شبکه پیچیده نسبت به حمله ها به حداقل برسانند. متأسفانه، سرویس ها اغلب به همان ویژگی ها و مشخصه هایی از سیستم ها و پروتکل های شبکه بستگی دارند که آنها را در معرض خطر مزاحمان قرار می دهد. در پاسخ، فناوری ها برای کاهش تاثیر چنین تهدیداتی تکامل یافته اند. هیچ فناوری به تنهایی همه مشکلات را حل نمی کند. با این وجود، سازمان ها می توانند به طور قابل توجهی مقاومت خود را در برابر حملات از طریق آماده سازی دقیق و استراتژیک استقرار پرسنل و فن آوری های عملیاتی بهبود بخشند. منابع داده و دارایی ها می تواند محافظت شود، فعالیت های مشکوک را می توان شناسایی و ارزیابی کرد و پاسخ های مناسب را می توان به رویدادهای امنیتی در صورت وقوع آنها داد.

7.2 رمز های عبور یک بار مصرف

مزاحمان اغلب برنامه های گشایش پکت های شبکه را برای ضبط رمزهای عبور در هنگام فرایندهای  ورود از راه دور به سیستم نصب می کنند. بنابراین، تمام گذرواژه ها باید حداقل در هنگام عبور از شبکه های کامپیوتری رمزگذاری شوند. یک راه حل بهتر این است که از رمز های عبور یک بار مصرف استفاده کنیم زیرا گاهی اوقات این رمز عبور برای شروع و محافظت از یک ارتباط محرمانه به کار گرفته می شود. یکی از نمونه های معمول در اتصالات از راه دور Dial-up اتفاق می افتد. کاربران از راه دور مثلاً افرادی که در ماموریت کاری می روند، به مودم سازمان خود دسترسی پیدا می کنند تا به منابع شبکه و داده دسترسی پیدا کنند. برای شناسایی و تأیید اعتبار خود به سرور از راه دور، آنها باید یک شناسه کاربری و رمز عبور وارد کنند. از آنجا که این تبادل اولیه بین کاربر و سرور ممکن است توسط مزاحمان نظارت شود، ضروری است که رمز عبور قابل استفاده مجدد نباشد. به عبارت دیگر، مزاحمان نباید بتوانند به عنوان یک کاربر مشروع با استفاده از یک رمز عبور که از قبل ضبط کرده اند به سرور دست یابند.

7.3 رمزنگاری

گاهی اوقات ضروری است که پیام فرستاده شده را با هدف جلوگیری از استراق سمع شدن محتوای پیام منتقل شده روی کانال ارتباطی رمزنگاری نمود. یکی از دلایل اصلی که مزاحمین می توانند موفقیت باشند این است که بیشتر اطلاعاتی که آنها از یک سیستم به دست می آورند در قالب هایی هستند که می توانند آنها را بخوانند و درک کنند. همانگونه که میلیون ها پیام الکترونیکی هر روز از اینترنت عبور می کنند، آسان است که ببینیم چگونه یک شنود کننده (Sniffer) شبکه ممکن است اطلاعات فراوانی را که کاربران دوست ندارند به خوانندگان ناخواسته افشا کنند ضبط میکنند. مزاحمان ممکن است اطلاعات را به دیگران نشان دهند، آن را اصلاح کنند تا فرد یا سازمان را بد جلوه دهند و  یا جهت حمله سایبری از آن استفاده کنند. یک راه حل برای این مشکل این است که از طریق استفاده از رمزنگاری، از ضبط اطلاعات توسط مزاحمان جلوگیری نماییم. رمزگذاری فرآیند انتقال اطلاعات از فرم اصلی خود (متن ساده) به شکل رمز شده و غیر قابل درک (رمز شده) است. رمزگشایی به فرایند گرفتن متن رمز شده و ترجمه آن به متن ساده اشاره دارد. هر نوع داده ای ممکن است رمزگذاری شود، از جمله تصاویر و صداهای دیجیتالی. اعتبار داده ها را می توان با روش مشابه محافظت کرد. برای مثال، برای انتقال اطلاعات به یک همکار از طریق ایمیل، فرستنده ابتدا اطلاعات را رمزگذاری می کند تا از محرمانه بودن آن محافظت کند و سپس یک امضای دیجیتال رمز شده را به پیام متصل می کند. هنگامی که همکار این پیام را دریافت می کند، منشا پیام را با استفاده از یک کلید برای تأیید امضای دیجیتال فرستنده بررسی می کند و اطلاعات را با استفاده از کلید رمز گشایی مربوطه رمزگشایی می کند. برای محافظت از اطلاعات در حال انتقال در برابر جعل شدن،از امضای دیجیتال استفاده می شود. اثر جانبی احراز هویت به این روش، مفهوم عدم رد شدن است. فردی که امضای دیجیتال رمزنگاری خود را بر روی یک سند الکترونیکی قرار می دهد نمی تواند بعدا ادعا کند که آن را امضا نکرده است، زیرا در تئوری او تنها کسی است که امضای درست را ایجاد کرده است.

7.4 دیواره آتش

یک فایروال مجموعه ای از سخت افزارها و برنامه های مربوطه است که در ابتدای ورود به شبکه داخلی قرار می گیرد تا از منابع داخلی شبکه خصوصی در برابر کاربران شبکه های دیگر محافظت کند. یک شرکت دارای اینترانت داخلی که به کارکنانش اجازه دسترسی به اینترنت گسترده را می دهد، فایروال را نصب می کند تا مانع از دسترسی افراد بیرونی به منابع داده داخلی خصوصی شود و همچنین دسترسی کاربران خود به منابع خارجی را  کنترل کند. هدف آن این است که از جریان بسته ها یا درخواست هایی که قادر به برآورده کردن معیارهای امنیتی مورد نظر سازمان نیستند جلوگیری شود. یک فایروال ساده می تواند از یک روتر فیلتر کننده که برای از بین بردن بسته های وارد شده از آدرس های غیر مجاز پیکربندی شده است تشکیل شده باشد. پیاده سازی های پیچیده تری مثل سپرهایی که در آن مکانیسم های پروکسی به نمایندگی از خدمات عمل می کنند نیز وجود دارد. این مکانیسم درخواست ها را تأیید هویت کرده، فرم و محتوای آن ها را بررسی می کند و درخواست های سرویس مورد تأیید را به میزبان های سرویس مناسب ارسال می کند. از آنجا که فایروالها معمولا اولین خط دفاع در برابر مزاحمان هستند، قبل از برقراری ارتباط بین شبکه های داخلی و اینترنت، باید تنظیمات آنها را با دقت انجام داد.

7.5 ابزارهای تحلیل

نیاز شدید به ابزار تجزیه و تحلیل به دلیل افزایش پیچیدگی روش های نفوذ و آسیب پذیری برنامه هایی که به طور متداول استفاده می شوند وجود دارد، از این رو لازم است که به طور دوره ای قابلیت آمادگی و حساسیت شبکه ارزیابی شود. انواع ابزار شناسایی آسیب پذیری در دسترس هستند که هم نظر مثبت و هم نقد را به دست آورده اند. مدیران سیستم این ابزار ها را برای شناسایی نقاط ضعف در سیستم هایشان مفید می دانند. منتقدان ادعا می کنند که چنین ابزارهایی، مخصوصا آن دسته که به صورت رایگان در اینترنت قابل دسترس هستند، در صورتی که به دست مزاحمان بیفتند و مورد سوء استفاده قرار گیرند موجب تهدید شبکه خواهند گردید.

7.6 ابزارهای نظارت

اگر یک سیستم به دنبال حفظ محرمانگی و  امنیت در شبکه و منابع داده خود می باشد، نظارت مستمر بر فعالیت های آن ضروری است. ابزارهای نظارتی شبکه می توانند در مکان های استراتژیک نصب شوند تا اطلاعات را مستقیما جمع آوری و بررسی کنند تا فعالیت های مشکوک را شناسایی نمایند. این ابزار توانایی ارسال هشدار اتوماتیک به مدیران سیستم ها در صورت تشخیص فعالیت های غیر عادی مانند فعالیت های بی وقفه مشکوک به حملات محرومیت از سرویس را دارد. این اعلان ها ممکن است از طریق کانال های مختلف از جمله پست الکترونیکی و پیجرها به مدیران ارسال شوند. سیستم های پیچیده ای که قادر به واکنش به فعالیت های مشکوک شبکه می باشند، می توانند برای قطع ارتباط و مسدود کردن اتصالات مشکوک، محدود کردن یا غیرفعال کردن سرویس های تحت تأثیر، جداسازی سیستم های آسیب دیده و جمع آوری شواهد برای تجزیه و تحلیل های بعدی پیاده سازی و اجرا شوند. شناخت مسائل امنیتی و ایجاد یک ادراک امنیتی بر اساس مشخصات تهدید های موجود برای مستند سازی یک سیاست امنیتی مهم است. برای ترجمه سیاست های امنیتی به یک برنامه عملی و توسعه، زیرساخت های امنیتی به همراه توسعه زیرساخت کلی فناوری اطلاعات، باید بخشی جدایی ناپذیر از معماری سازمانی مدیریت دولت الکترونیکی باشد.(رفرنس) در زمان پیشنهاد و اجرای یک راه حل می بایست مسایل زیرساختی و مزایا و معایب هر یک مورد تجزیه و تحلیل قرار گیرد.]14[

8. نتیجه گیری

بر اساس مطالب توضیح داده شده واضح و بدیهی است که امنیت اطلاعات یک بخش ضروری در اقدامات دولت الکترونیکی می باشد. طراحی و اجرای چارچوب ها و سیاست های موثرتر برای تامین امنیت دولت الکترونیکی مسئله بسیار مهمی است، چرا که اطلاعات دولتی معمولا بسیار حساس هستند. محرمانه بودن هر معامله یا اطلاعات موجود در دولت الکترونیکی امری حیاتی است. اسناد دولتی و سایر موارد مهم باید از طرف کاربران غیر مجاز در  پروژه های الکترونیکی محافظت شود. این محافظت اطلاعات باید در تجارت الکترونیکی و هر سیستم اطلاعاتی مبتنی بر وب پیاده سازی شود. استفاده از ترکیبی از فناوریهای امنیتی موجود برای تأمین امنیت خدمات الکترونیکی نقش مهمی در تشکیل اعتماد شهروندان و قبول دولت الکترونیکی از سوی آنها دارد. با این حال ارائه امنیت دولت الکترونیکی قطعا بیش از یک مسئله فنی است.

منابع و ماخذ

[9] شناسایی و رتبه بندی بسترهای استقرار اثربخش سیستم مدیریت امنیت اطلاعات دردولت الکترونیک براساس روش های تصمیم گیری AHPفازی،سنا جاوید،1393

[10] Investigating the Effectiveness of E-government Establishment in Government Organizations, Reza Khodaee Mahmoodia, Sadegheh Hosseinzadeh Nojedehb, 3rd International Conference on New Challenges in Management and Organization: Organization and Leadership, 2 May 2016, Dubai, UAE

[11] Security and Vulnerability in the EGovernment Society, Contemporary Engineering Sciences, Rabah Alshboul, (2012), Vol. 5, no. 5, 215 – 226

[12] Protecting personal data in E-government: A cross-country, Yuehua Wu, Government Information Quarterly,Volume 31, Issue 1, January 2014, Pages 150-159

[13] طراحی و پیاده سازي مدل مرجع پسنگري براي شناسایی خدمات دولت الکترونیکی در ایران (CSF) عوامل کلیدي موفقیت، فاطمه ثقفی، علی رضا علی احمدي، سید سپهر قاضی نوري، منصوره حورعلی،1393

[14] Critical issues pertaining to the plaing and implementation of E-Government initiatives , Wade R. Rose, Gerald G. Grant,Government Information Quarterly, Volume 27, Issue 1, January 2010, Pages 26-33