10 نکته امنیتی برای سازمان ها

امتیاز کاربران

ستاره غیر فعالستاره غیر فعالستاره غیر فعالستاره غیر فعالستاره غیر فعال
 

q64

یکی از مهم ترین مسائلی که باید در سازمان ها در نظر گرفته شود مسئله امنیت است.حفظ امنیت اطلاعات سازمان، زیرساخت ها و داده های شخصی کاربران از جمله موارد مهم و حیاتی است که یک سازمان باید برای آن بسیار تلاش کند. اما یکی ازمشکلات موجود برای سازمان ها، حجم بالایی از اطلاعات است که روزانه با آن مواجه می شوند در حالی که بسیاری از این اطلاعات، برای سازمان مفید و قابل استفاده نمی باشد. از اینرو در این نوشته قصد داریم نکات و موضوعاتی را مطرح کنیم که اعمال آن ها در سازمان ها کاملا ضروری بنظر می رسد.اتخاذ مواردی که در ادامه بیان می شود می تواند نقطه شروعی برای سازمان ها بمنظور مجهز ساختن آن ها در مواجه با بسیاری از مشکلاتی باشد که دغدغه بسیاری از آن ها است. در این صورت توانایی حفاظت در برابر بسیاری از مشکلات امنیتی در سازمان ها فراهم می شود.

1. آنتی ویروس
نصب و استفاده از آنتی ویروس در سازمان ها توصیه می شود اما استفاده از آن به تنهایی نمی تواند کافی باشد.همانطور که اطلاع دارید، آنتی ویروس از طریق ارتباط با یک پایگاه داده که حاوی اطلاعاتی در رابطه با تهدیدات و ریسک های شناسایی شده در سراسر جهان است، کار می کند. از اینرو همواره توصیه می شود که آنتی ویروس ها را بروز نگه دارید.
باید توجه کرد که اگر آنتی ویروس درباره یک ویروس و یا تهدیدی اطلاعی نداشته باشد قادر به حفاظت از شما در برابر آن نخواهد بود. بنابراین بنظر می رسد که علاوه بر آنتی ویروس، وجود سیستم های جلوگیری از نفوذ نیز در سازمان ها ضروری است.در این صورت IPS قادر به کنترل و بازرسی تمامی بسته های اطلاعاتی بمنظور کشف تهدیدات و موارد مشکوک خواهد بود.علاوه بر آن، توانایی مانیتور کردن رفتار سیستم ها برای شناسایی رفتارهای غیرنرمال را نیز دارد. بعبارت دیگر نه تنها می تواند به جستجو وکشف ویروس ها و تهدیدات شناسایی شده در سراسر جهان بپردازد بلکه در صورت مشاهده جریان های مشکوک و غیرنرمال که می توانند تاثیر منفی بر روی سیستم های سازمان داشته باشد، سبب توقف این جریان ها می شود.
یکی از واژگانی که توسط کارشناسان امنیتی تعریف می شود حملات zero-day است به این مفهوم که پیش از شناسایی یک آسیب پذیری و یا حفره امنیتی در یک برنامه و یا سیستم توسط توسعه دهنده آن، این آسیب پذیری توسط مهاجمان کشف شده و مورد سوء استفاده قرار می گیرد. در این صورت با مانتیورینگ رفتارهای غیرنرمال و غیرعادی، علاوه بر حفاظت در برابر ریسک ها و تهدیدات شناخته شده در سراسر جهان، امکان توقف جریان های تهدیدآمیز نیز فراهم می شود.
امروزه سطوح مختلفی از IPS ها ارائه می شود که اصولا بصورت host-based و network-based هستند.سیستم های جلوگیری از نفوذ بصورت network-based در نقطه ورود به شبکه قرار می گیرد در حالی که IPSهای مبتنی بر host بر روی deviceهای کاربری نظیر لپ تاپ ها قرار می گیرند، در اینصورت در زمان ارتباط با شبکه ای دیگر، سبب حفاظت در برابر تهدیدات امنیتی می شوند.

2. فایروال
فایروال یا دیواره آتش نرم افزار و یا تجهیزات امنیتی است که براي جلوگیري از دسترسی غیرمجاز به شبکه و یا سیستم به کارمی رود. بطور کلی فایروال ها به دو صورت فایروال شبکه و فایروال سیستمی تقسیم می شوند.اما فایروال های شبکه نیز دارای تقسیم بندی دیگری هستند که بصورت فایروال سخت افزاری و فایروال نرم افزاری می باشد. فایروال های نرم افزاری در واقع نرم افزارهایی هستند که بر روی سیستم عامل و برای مانیتوریگ ترافیک شبکه پیاده سازی می شوند.
بسیاری از فایروال ها در واقع مانند یک گارد امنیتی عمل می کنند و هدف آن ها جلوگیری از حمله به شبکه است. همچنین فایروال هایی ارائه شده اند که بصورتApplication-level هستند و به بررسی و آنالیز هر بسته داده و اتصالات در لایه کاربردی و نیز پروتکلهاي استاندارد این لایه می پردازد.در این صورت قابلیت شناسایی رفتارهای غیرعادی را خواهند داشت. بنابراین لزوم وجود فایروال در سازمان کاملا احساس می شود. فایروال تمامی اطلاعات ورودی و خروجی را دریافت، بازرسی و بر حسب مورد از عبور آنها جلوگیری می کند.
توجه داشته باشید که فایروال ها بی نقص و عالی عمل نمی کنند و نمی توانند جلوی تمامی خطراتی که سازمان شما را به یک قربانی فعالیت های خرابکارانه تبدیل می سازد، بگیرند. اما تا حد بسیار زیادی شانس خرابکارها را کم کرده و سازمان شما را از بسیاری خطرات نجات می دهند.

3. کارکنان سازمان
پیش از بیان سایر تکنولوژی هایی که می توانند برای حفظ امنیت سازمان مورد استفاده قرار گیرند، سازمان ها باید به این نکته توجه کنند که چه میزانی از ریسک ها و تهدیدات از جانب کارکنان به سازمان تحمیل می شود.در بسیاری از موارد کارکنان سازمان منجر به افشا و یا از دست دادن اطلاعات خواهند شد. برای نمونه این خطرات در مواقعی نمود پیدا می کنند که کارکنان سازمان بدون lock کردن، سیستم های خود راترک می کنند. در این شرایط، در صورت وجود اطلاعات محرمانه بر روی دسکتاپ ها، این اطلاعات براحتی برای افراد سودجو قابل دسترسی می باشند. بعلاوه وجود دستگاه های چاپ مرکزی در سازمان و ارسال پرینت ها به این دستگاه ها می تواند سبب افشای اطلاعات مهم و محرمانه در سازمان شود.موارد دیگری که در این زمینه می توان نام برد استفاده از پسوردها و کلمات عبور ضعیف توسط افراد است که براحتی قابل حدس زدن می باشند.عدم وجود قوانین، سیاست ها و استانداردهای مشخص و دقیق در سازمان، عدم تعیین میزان اجازه دسترسی برای کارکنان و یا ورود به سایت های نامعتبر و دانلود هر گونه نرم افزاری می تواند سبب کاهش امنیت سازمان و افزایش خطر افشای اطلاعات شود.
بنابراین نیاز به تعیین قوانین و استاندارهایی در سازمان است که بتوانند کنترل هایی را بر روی عملکرد کارکنان سازمان اعمال کند.در این صورت می توان از رخداد بسیاری از حملات و ریسک هادر سازمان جلوگیری نمود.

4. تجهیزات
لازم است تمامی دستگاه ها و تجهیزاتی که در سازمان ردوبدل می شوند و یا به سازمان وارد می شوند و از آن خارج می شوند، مورد نظارت قرار گیرند. لزوم حفظ امنیت در بسیاری از سازمان ها سبب می شود که گزارشی از تمامی تجهیزات و دستگاه ها تهیه شود.حتی در مواردی با دریافت تلفن های موبایل و ضبط کننده ها در جلوی درب ورودی سازمان ها مواجه هستیم، چرا که در بسیاری از مواقع تلفن ها، دوربین ها و تجهیزات این چنینی می توانند برای ثبت و ذخیره اطلاعات مورد استفاده قرار گیرند و یا حاوی اطلاعات مهمی از سازمان باشند که خروج آن ها از سازمان می تواند پی آمدهای منفی را برای سازمان بهمراه داشته باشد.همچنین مشاهده شده است که از وجود قابلیت اتصال به پورت های USBدر این تجهیزات، برای انتقال داده ها و اطلاعات مهم سازمان به خارج از آن استفاده می شود.همچنین اینکار می تواند سبب ورود ویروس ها و نرم افزارهای مخرب به سیستم ها و در نهایت آلوده شدن شبکه سازمان شود.
با این حال این احتمال وجود دارد که تدوین سیاست های خشک و سختگیرانه که مانع استفاده از deviceهای شخصی می شوند برای افراد چندان خوشایند نباشد.در این صورت اقدامات احتیاطی و پیشگیرانه نظیر پیکربندی کامپیوترها بگونه ای که پورت USBآن ها غیرفعال باشد، مانیتورینگ هوشمندانه برای کشف فعالیت های غیرمعمول در شبکه و شناسایی ویروس ها و گزارش آن ها کاملا ضروری بنظر می رسد.همچنین لازم است در صورتی که شخصی با استفاده از تجهیزات شخصی و بصورت guestبه شبکه log inکند، این تجهیزات اسکن شوند تا امنیت آن ها تضمین شود.

5. برقراری امنیت برای کار و دسترسی از راه دور
یکی دیگر از مشکلاتی که مطرح می شود احتمال نشت و افشای اطلاعات از خارج سازمان است.در گام اول باید اطمینان حاصل شود که تمامی لینک های اینترنت در شبکه سازمان از طریق یک VPN قابل قبول و با رعایت تمامی نکات امنیتی لازم قابل دسترسی هستند.در گام دوم لازم است فعالیت کارکنان خارج از سازمان، تحت تاثیر و سلطه استانداردها و قوانین امنیتی باشد. بنابراین در صورتی که کارکنان اجازه انجام فعالیت هایی را در داخل سازمان ندارند تمامی این محدودیت ها برای کار خارج از سازمان نیز برقرار است. تمامی این موارد با اعمال امنیت بر روی دروازه ها و ایجاد شبکه های هوشمند قابل اعمال می باشد.

6. شبکه های وایرلس
از جمله موارد دیگری که برای حفظ امنیت سازمان ها باید در نظر گرفت و اهمیت آن هم در بخش قبلی بسیار واضح بیان شد، بررسی تنظیمات شبکه وایرلس، هم از نظر داخلی و هم از نظر خارج سازمان است.هرگز به شبکه هایی که در لپ تاپ ها و تلفن های همراهتان شناسایی می شوند اعتماد نکنید.در بسیاری از این موارد آن ها دارای امنیتی در سطح WEP هستند و هکرها براحتی می توانند از آن ها سوء استفاده کنند. بنابراین لازم است که برای ارتباط تمامی تجهیزات با شبکه وایرلس سازمان، چه از داخل و چه از خارج سازمان، سطح بالایی از امنیت در نظر گرفته شود. با این حال در نظر گرفتن نکات زیر می تواند بسیار موثر باشد:
اگر تنظیمات وایرلس بصورت WEP است لازم است که این تنظیمات به سطح WPA ارتقا یابد.همچنین باید از پسوردهای بسیار قدرتمند استفاده شود و پسوردهای پیش فرضی که بر روی تجهیزات ست شده است تغییر داده شوند.
نیاز است که کامپیوترها و روترهای شبکه دارای شناسه ای بنام SSID باشند که در این صورت قابل شناسایی در منوی تنظیمات روتر خواهند بود.تعیین SSID و جلوگیری از broadcast شدن آن قابلیت جستجو و نفوذ به داخل شبکه را برای هکرها از بین خواهد برد و در واقع این فرصت را از آن ها خواهد گرفت.
لازم است که تنظیم اتصال اتوماتیک به شبکه های WiFi بحالت offباشد.در این صورت کاربر تنها به شبکه های مطمئن متصل می شود.تخصیص استاتیک آدرس IPبه تجهیزات، عملکرد دیگری است که می تواند از دیدگاه امنیتی بسیار مهم باشد. درغیر این صورت اختصاص آدرس هایIPبصورت تصادفی میباشدکه ممکن است در جستجوی یک device با مشکل مواجه شد.بعلاوه باید از فعال بودن فایروال ها اطمینان حاصل شود.
توصیه می شود در صورت عدم استفاده از شبکه برای مدت طولانی، آن را به حالت turn off در آورید.

7. احتمال هک شدن شبکه سازمان؟
تا اینجا بحث بر این بوده است که چگونه می توان احتمال هک شدن سازمان را کاهش داد و از سازمان در برابر خطرات این چنینی حفاظت کرد.اما آیا می دانید که چقدر احتمال نفوذ و دسترسی غیرمجاز به سیستم ها و شبکه های شما وجود دارد؟
باید توجه کرد که در حال حاضر مهاجمان بگونه ای هک و حملات امنیتی را سازماندهی می کنند تا قابلیت سرقت حجم بالایی از اطلاعات مهم و محرمانه از سیستم ها و شبکه های بی ملاحظه و با سطح امنیتی ضعیف فراهم شود.
هک و سرقت اطلاعات می تواند با ایجاد بات نت های خودکار در اینترنت صورت پذیرد که عملکرد آن ها، اسکن پورت ها بمنظور یافتن دروازه های ورودی برای نفوذ به شبکه ها است.بنابراین نیاز به مانیتورینگ تمامی فعالیت ها در شبکه سازمان است تا بتوان از تمامی اتفاقات در شبکه مطلع شد. اینکار می تواند با اعلام هشدارهایی در صورت شناسایی عملکرد نادرست سیستم ها و کاربران شبکه همراه باشد.

8. کسب و کار آنلاین
در دنیای امروزی شاهد روند روبه رشد در کسب و کار آنلاین هستیم، در این صورت نیاز به اتخاذ عملکردهایی بمنظور حفاظت از اطلاعات محرمانه سازمان و نیز اطلاعات شخصی کاربران و مشتریان کاملا احساس می شود.تمامی مواردی که تا بحال بیان شد می تواند در محافظت از سازمان در برابر تهدیدات امنیتی بسیار کارآمد باشند اما علاوه بر آن، سازمان می تواند راهکارهای دیگری را نیز بمنظور افزایش سطح امنیتی خود در نظر بگیرد.یکی از این موارد رمزنگاری داده ها و اطلاعات می باشد که در این صورت امکان دسترسی آسان و سهولت خواندن اطلاعات از بین می رود.

9. میزان سرمایه گذاری برای امنیت
یکی از مهم ترین نگرانی ها و دغدغه های موجود برای بسیاری از سازمان ها این است که آیا سرمایه گذاری و در نظر گرفتن هزینه برای تکنولوژی هایی که سبب حفظ امنیت در سازمان می شوند، برای آن ها بازخورد مثبت را بهمراه دارد؟
این امر در حیطه امنیت کمی نامشهود و غیر ملموس است. با این وجود در پاسخ به سازمان هایی که برای حفاظت از سازمان های خود به پرداخت هزینه برای اعمال تکنولوژی های امنیتی می اندیشند اما نگران میزان بازخورد حاصل از این سرمایه گذاری هستند، باید بیان شود که لازم است در مقابل اینکار درنظر بگیرند که در صورت عدم اتخاذ این راهکار، افشای اطلاعات مهم و نفوذهای امنیتی، تا چه اندازه می تواند سبب هدر رفتن سرمایه های سازمانی شود.
بهرحال باید اظهار داشت که سرمایه گذاری در حوزه امنیت قطعا برای بسیاری از سازمان ها بازگشت و صرفه جویی در هزینه ها را بهمراه خواهد داشت چرا که اعمال بسیاری از این تکنولوژی های امنیتی سبب متوقف شدن اعمال خرابکارانه و غیر نرمالی می شود که افزایش مخارج سازمان را بهمراه دارند.

10. واگذاری امنیت سازمانی به شرکت ثالث
اگر حفظ امنیت برای سازمان بسیار دشوار باشد و از اعمال همه جانبه آن اطمینان کامل نداشته باشد، می توان از واگذاری اینکار به شرکت های ثالث استفاده کرد.شرکت های بسیاری در این حوزه وجود دارند که دارای کارشناسان و متخصصان و نیز تجربه و مهارت لازم برای انجام این کار و ایجاد امنیت در سازمان ها می باشند و صرفه جویی در هزینه و زمان را برای سازمان ها بهمراه دارند.
افزایش اعتبار و محبوبیت سازمان برای مشتریان در صورت ایجاد و حفظ امنیت در تمامی سطوح سازمان میسر می شود.
در هر صورت اولین گام در هر سازمان و با هر ظرفیت و اندازه ای این است که آیا می خواهند راهکارهای امنیتی را اتخاذ کنند یا نه؟ خوشبختانه نقطه شروع اینکار، هزینه زیادی را برای سازمان بهمراه نخواهد داشت و راهکارها و مهارت های زیادی وجود دارد که اتخاذ آن ها می تواند برای سازمان بسیار اثر بخش باشد.