نوشته‌ها

سلامت الکترونیک و امنیت اطلاعات افراد

/در /توسط

پزشکان برای تصمیم‌گیری درست و مطمئن نیازمند داده‌های صحیح هستند، داده‌هایی که به نحو مطلوب ذخیره شده و در زمان مناسب، مکان مناسب و به شکل و ساختار درست قابل بازيابی باشند. اما شیوه‌های سنتی ذخیره مدارک پزشکی اين نیازها را به خوبی پوشش نمی‌داد و همواره نقص‌ها و ناکارآمدی‌های روش‌های سنتی (حجم بسیار زياد داده‌های متنی، فضای قابل ملاحظه اشغال شده توسط آن‌ها، بازيابی توام با اشتباه داده‌ها و غیره) علیرغم بهبودهای زيادی که در طی زمان داشته است، مانع از تصمیم‌گیری‌های دقیق درمانی و توسعه سريع علم بود.

به همین دلیل همراستا با پیشرفت‌های علم و فناوری، مراقبت سلامت نیز به سرعت در حال پیشرفت بوده، به گونه‌ای که فناوری‌های جدید، جنبه‌های جدیدی از خدمات مراقبت سلامت را شکل داده‌اند. یكی از مهمترین جنبه‌های جدید خدمات مراقبت سلامت، كاربرد فن آوری اطلاعات، در حوزه بهداشت و درمان است.

مشکلات شیوه‌های سنتی از طريق توسعه فناوري اطلاعات و به ويژه سيستم‌های اطلاعات بهداشتی، قابل حل می‌باشند.

  • سیستم‏ های اطلاعات مراقبت بهداشتی

سيستم‌هاي اطلاعات بيمارستاني، سيستم‌هاي كامپيوتري هستند كه براي مديريت آسان اطلاعات پزشكي و مديريتي بيمارستان و در جهت بهبود كيفيت مراقبت‌هاي بهداشتي طراحي شده‌اند.

سیستم‌های اطلاعات مراقبت بهداشتی یک عامل مهم در بهبود کیفیت مراقبت و کاهش هزینه‏ها محسوب می‌گردند. این سیستم‏ها به عنوان زیرساختی برای تصمیم‏گیری و در مدیریت هزینه‌ها، بهبود کیفیت مراقبت و گسترش تحقیقات نقش مهمی دارند.

سیستم‌های اطلاعاتی الکترونیک، سهولت دسترسی و انتقال داده‌های ناشی از آن، اهمیت رعایت استانداردهای امنیت و حریم داده‌ها در این سیستم‌ها را دو چندان کرده است.

انتقال داده‌های سلامت مستلزم وجود ساختار يکپارچه و استانداردی است که شرايط انتقال داده‌ها و مفاهیم را به نحوی مهیا سازد که اطلاعات بدون هیچ کم وکاست و يا سوء تعبیر و تفسیر و با رعايت محرمانگی به مقصد انتقال يابد.

سیستم‎های اطلاعات الکترونیکی شامل پرونده‌های الکترونیک سلامت، که به آن‌ها (Electronic Health Record)  EHR نیز گفته می‌شود، هستند.  EHRدر برگيرنده اطلاعات مراقبت بهداشتي درماني در طول حيات فرد، ذخيره شده به صورت الكترونيكي، با هدف پشتيباني از مراقبت مستمر، آموزش و پژوهش می‌باشد. اين نظام توسط ارائه‌دهندگان مراقبت در مكان‌های مختلف قابل اشتراک بوده و موجب توسعه کيفي مراقبت بهداشتي درماني مي‌شود. پرونده الكترونيكي سلامت با در برداشتن ساختار و استانداردهای مناسب و حفظ اصول محرمانگي، يك پرونده مادام العمر از سابقه بهداشتي درماني فرد و مراقبت از وی در نظام سلامت را فراهم مي‌نماید. با پردازش داده‌های موجود در پرونده الكترونيكي سلامت، دستيابي به اطلاعات با ارزش، داده کاوی و کشف دانش امكان‌پذير مي‌باشد.

پرونده‌های الکترونیک سلامت، حاوی اطلاعات حساس در مورد سابقه پزشکی بیماران است، که امنیت شبکه بیمارستان را به یکی از دغدغه‌های اصلی فناوری اطلاعات تبدیل کرده است. در ادامه به مهمترین تهدیدات امنیت سایبری EHR ولزوم امنیت شبکه بیمارستانی می‌پردازیم.

  • مهم‌ترین تهدیدات امنیت سایبری EHR

از جمله مهمترین تهدیدات امنیت سایبری مراکز مراقبت‌های پزشکی می‌توان به موارد زیر اشاره نمود:

  • حملات فیشینگ

حملات فیشینگ اغلب از طریق ایمیل انجام می‌شود تا کاربر را مجاب کند تا روی پیوند کلیک کرده و اطلاعات ورود به سیستم را فاش کند و/یا نوعی بدافزار را ذخیره کند. در این خصوص می‌بایست، به متخصصان مراقبت‌های بهداشتی نحوه شناسایی حملات فیشینگ آموزش داده شود.

  • بدافزار و باج افزار

بدافزارها می‌توانند از طرق مختلف وارد شبکه فناوری اطلاعات سیستم مراقبت‌های بهداشتی شوند. از طریق بارگیری، حملات فیشینگ، آسیب پذیری‌های نرم افزاری، از طریق ترافیک رمزگذاری شده و موارد دیگر. با این حال، نحوه تأثیر هر نوع حمله بدافزار بر سیستم مراقبت‌های بهداشتی می‌تواند از سرقت اطلاعات تا آسیب به رایانه‌ها و شبکه‌های میزبان متفاوت باشد.

باج افزار نیز نوعی بدافزار است که کار متفاوتی انجام می‌دهد. باج افزار با رمزنمودن اطلاعات، اجازه دسترسی به اطلاعات را نمی‌دهد و در ازای دسترسی مجدد به داده‌ها، اطلاعات و فایل‌ها درخواست پرداخت (باج) می‌کند. در بیمارستان یا محیط مراقبت‌های بهداشتی، این بدان معناست که دسترسی به EHR تا زمان پرداخت میسر نمی‌باشد.

  • تهدیدهای ابری

با توجه به اینکه سازمان‌های بهداشتی بیشتری برای بهبود مراقبت از بیمار و همکاری‌های مشترک از سیستم Cloud یا رایانش ابری استفاده می‌کنند، اطمینان از امنیت داده‌های خصوصی و رعایت رعایت اصول HIPAA اهمیت فزاینده‌ای پیدا می‌کند.

  • کارکنان

یکی از بزرگ‌ترین تهدیدها برای امنیت فناوری اطلاعات مراقبت‌های بهداشتی، کارکنان بیمارستان‌ها و سایر مراکز درمانی است. آموزش امنیت سایبری برای کارکنان از اهمیت بالایی برخوردار است. زیرا معمولا کارکنان مراکز درمانی اطلاعی از چگونگی شناسایی حملات فیشینگ یا حملات باج افزار و نوع اجتناب یا مقابله با آن‌ها ندارند.

  • حریم خصوصی

حریم شخصی به عنوان اصل اساسی انسانیت و یکی از حقوق بنیادین  هر انسان و نیاز ضروري و مهمی‌است که به ویژه رعایت آن در سازمان‌های مراقبت بهداشتی و هنگام پرستاری الزا‌می‌شناخته شده است. این مقوله با احترام به شان افراد مربوط ‌می‌شود، از اين رو به عنوان اساس و بنیاد پزشکی در نظر گرفته شده است و اهمیت روزافزونی مي يابد. وضع قوانین در این زمینه حاکی از این امر است. نقض حریم بیماران نه تنها مي تواند صدمات غير قابل جبراني را به بيماران وارد كند بلكه مي تواند كل سيستم مراقبت سلامت را تحت تاثير قرار دهد.

  • امنیت داده‌های سلامت

با توجه به اهميت داده‌هاي سلامت و ضرورت تأمين امنيت آن‌ها، بسياري از سازمان‌ها به تدوين استاندارد‌هاي ملي و بين‌المللي مبادرت ورزيده‌اند. اين استانداردها شامل CPRI, AAMC ,ISO 27000, HIPPA, ASTM,  NAIC  می‌باشند. قابل ذكر است كه استانداردهاي امنيتي ديگري با كاربري‌هاي خاص در علم انفورماتيك پزشكي به‌منظور ساخت سيستم‌هاي اطلاعاتي مورد استفاده‌اند اما پرکاربردترین آن‌ها استاندارد HIPPA می‌باشد.

  • استاندارد HIPPA

در سال ۱۹۹۶ قانون قابلیت جابه‌جایی و پاسخگویی بیمه HIPAA (Health Insurance Portability and Accountability)  سلامت توسط وزارت بهداشت و خدمات انسانی  DHHS (Department of Health and Human Services) آمریکا تصویب شد. این قانون در سال‌های اخیر با نقض بسیاری از داده‌های بهداشتی ناشی از حملات سایبری و حملات باج افزارها به بیمه‌گذاران و ارائه‌دهندگان خدمات درمانی، اهمیت بیشتری یافته است.

استاندارد مهم مديريتي و فني  HIPPA امن‌سازي فضاي تبادل اطلاعات پرونده پزشكي بيماران را بر عهده دارد این استاندارد در ابتدا به منظور حفظ اصول امنيتي مرتبط با داده‌هاي مورد نياز شركت‌هاي بيمه شكل گرفت اما امروزه با توسعه اين استاندارد، بسياري از كشورهاي دنيا به عنوان مرجع قوانين مربوط به حافظت داده‌هاي سلامت از آن بهره‌برداري مي‌کنند.

 این استاندارد جامع و مرجع به منظور ايجاد بستر امنيتي در سيستم‌هاي الكترونيك سلامت با تمركز بر حفظ حريم خصوصي و محرمانگي اطلاعات و پياده‌سازي سياست‌هاي افشاي آن شكل يافته است. از سوئي توجه به اين نكته ضروري است كه هنوز ويژگي مهم استاندارد  HIPPA در راستاي حفاظت از داده‌هاي مالي و بیمه‌اي بيماران مورد توجه استفاده‌كنندگان مي‌باشد.

در واقع استاندارد HIPPA دارای دو هدف اصلی است: ارائه پوشش بیمه درمانی مداوم برای کارگرانی که شغل خود را از دست می‌دهند یا تغییر می‌دهند و درنهایت کاهش هزینه مراقبت‌های بهداشتی با استانداردسازی انتقال الکترونیکی معاملات اداری و مالی. اهداف دیگر شامل مبارزه با سوءاستفاده، تقلب و اتلاف در بیمه خدمات درمانی و ارائه خدمات درمانی و بهبود دسترسی به خدمات مراقبت‌های طولانی مدت و بیمه سلامت است.

تدوین: مهندس بهنوش سعیدی

تحلیل شکاف با رویکرد امنیت

/در /توسط

تحلیل شکاف با رویکرد امنیت

یکی از مهمترین تکنیک ‏ها برای تعیین وضعیت سازمان و مشخص نمودن مسیر راه برای بهبود، تحلیل شکاف یا (Gap Analysis) است. تحلیل شکاف، یک فرآیند گزارش‌دهی است که در صنایع مختلف برای بهبود فرآیندها استفاده می‎شود. تحلیل شکاف ابزار مناسبی جهت ارزیابی سطح بلوغ امنیت سازمان‌ها می‌باشد که گاها ذیل پروژه سیستم مدیریت امنیت اطلاعات انجام می‌گردد. پروژه های سیستم مدیریت امنیت اطلاعات و بلوغ سایبری، در سال‌های اخیر مجددا مورد توجه سازمان‌ها قرار گرفته‌اند.

در واقع تحلیل شکاف، بررسی و ارزیابی عملکرد فعلی سازمان (وضعیت فعلی) و جایگاهی است که می‌خواهد به آن برسد (وضعیت مطلوب) این امر به منظور شناسایی تفاوت بین وضعیت فعلی (As is) و وضعیت مطلوب (To be) و ایجاد راه حل هایی جهت رسیدن به اهداف می‌باشد.

  • تحلیل شکاف را می توان در چند سوال خلاصه کرد:
  • سازمان اکنون در چه وضعیتی قرار دارد؟
  • سازمان می‌خواهد در چه وضعیتی قرار گیرد؟
  • چگونه می‌تواند فاصله این دو وضعیت را کاهش دهد؟

از تحلیل شکاف می‌توان برای یک فرآیند یا کل کسب و کار سازمان استفاده نمود، و در زمینه‌های مختلف مانند فروش، عملکرد مالی، رضایت کارمندان یا امنیت بکار برد. همچنین می‌توان به عنوان رویکردهای استراتژیک یا عملیاتی در نظر گرفته شود. رویکرد عملیاتی بر کار روزمره تمرکز دارد، در حالی که رویکرد استراتژیک بر برنامه‌ریزی و استراتژی‌های آینده متمرکز است.

  • چگونه یک تجزیه و تحلیل شکاف انجام دهیم؟

فرآیند استانداردی برای انجام تجزیه و تحلیل Gap وجود ندارد، زیرا معمولاً باید متناسب با نیازهای تجاری سازمان طراحی شود. اما در اینجا مراحلی وجود دارد که عموما در تحلیل شکاف انجام می‌گردد.

  • مراحل انجام کار
  • تعیین وضعیت کنونی
  • تعیین شرایط مطلوب یا ایده‏آل آینده
  • تعیین شکاف‏ها
  • مشخص نمودن اینکه چگونه این شکاف‏ها از رسیدن به هدف جلوگیری می‎کنند.
  • تعیین اهدافی روشن جهت اعمال درست تغییرات و نزدیک شدن به شرایط مطلوب
  • ابزارهای تجزیه و تحلیل شکاف

ابزارهای زیادی وجود دارند که به شما برای پل زدن روی شکاف‌ها کمک می‎کنند. چند مورد از مهم‌ترین آن‌ها در ادامه، شرح داده شده‎اند.

  • تحلیل SWOT

واژه SWOT مخفف چهار کلمه نقاط قوت، ضعف‌ها، فرصت‌ها و تهدیدها است. تحلیل SWOT می‌تواند به دو صورت کمی ‎و کیفی انجام گردد. این فرآیند، کمک می‎کند تا تهدیدات داخلی و خارجی برای سازمان تعیین گردد و همچنین رویکردهای رقابت و ایستادگی در بازار نیز مشخص گردد.

  • چارچوب هفت اس مکنزی (McKinsey 7S)

چارچوب مکنزی توسط شرکت مشاوره‎ای به همین نام توسعه یافته است. این ابزار در نهایت کمک می‎کند تا تعیین کنید که آیا یک شرکت انتظارات را برآورده می‎کند یا به طور کلی ارزش های مشترک یک سازمان را تأمین می‎کند یا خیر. این کار از طریق ۷ اس موجود در سازمان انجام می‎شود. علاوه بر این، این چارچوب به فاصله بین وضعیت فعلی و وضعیت مطلوب شرکت پل می‎زند.

  • هفت اس عبارتند از:
  • Structure: ساختار
  • Strategy: استراتژی
  • System: سیستم
  • Skills: مهارت
  • Style: سبک
  • Staff: کارکنان
  • نمودار استخوان ماهی  (Fishbone Diagram)

نمودار استخوان ماهی، ابزاری برای ترسیم گرافیکی انواع علت‌های کوچک و بزرگی است که دست به دست یکدیگر داده و یک مشکل یا مسئله را به‌وجود می‌آورند (یا آن را تشدید می‌کنند).

این نمودار معمولاً به صورت یک خط افقی با تعدادی خط شیب‌دار کوچک‌تر ترسیم می‌شود به خاطر شکلش، به نمودار استخوان ماهی یا Fishbone Diagram مشهور است.

  • مدل نادلر تاشمن (Nadler-Tushman)

شاید بتوان گفت پویاترین مدل، مدل نادلر تاشمن است. این مدل بررسی می‎کند که چگونه هر فرآیند کسب و کار بر فرآیندهای دیگر تاثیر می‎گذارد. همچنین مشخص می‎کند که شکاف‌ها چه تاثیری بر کارایی می‎گذارند. این مدل، یک دید کلی از روند عملیات سازمان شما، از ابتدا (ورودی) تا انتها (خروجی) ایجاد می‎کند.

  • مدل نادلر تاشمن، فرآیندهای موجود در سازمان را به سه دسته تقسیم می‎کند:
  • ورودی: کل فرهنگ و نیروی کار شرکت؛ تمام منابع مورد استفاده برای ایجاد محصول/ خدمات و محیط عملیاتی
  • تبدیل: سیستم‌ها، تیم‌ها و فرآیندهایی که ورودی‌ها را می‎گیرند و آن‌ها را به محصول خروجی تبدیل می‎کنند.
  • خروجی: محصول یا خدمات نهایی.
  • تحلیل شکاف بر مبنای استاندارد ISO 27001

یکی از مهم‌ترین نیازهای امروزی شرکت‌ها و سازمان‌ها در حوزه امنیت اطلاعات، استانداردسازی و میزان انطباق فرآیندها، مکانیزم‌ها و کنترل‌های امنیتی سازمانی با معیارهای معتبر جهانی است. در این خصوص معمولاً سازمان‌ها با بهره‌گیری از استانداردهای مرجع امنیت اطلاعات نظیر ISO 27001  اقدام به سنجش میزان تطابق فعالیت‌های خود با اصول و مفاهیم این استاندارد‌های بین‌المللی می‌نمایند.

همانطور که پیش‌تر گفته شد، استاندارد ISO 27001:2013 به استانداردی شناخته شده در سطح جهانی تبدیل شده است كه سازمان‌ها می‌توانند از آن برای ممیزی و تأیید سیستم مدیریت امنیت اطلاعات (ISMS) خود استفاده كنند.

تجزیه و تحلیل شکاف ISO 27001 یک نمای کلی در سطح بالایی از آنچه برای دستیابی به سطح مطلوب در حوزه امنیت، می‌بایست انجام گردد را فراهم می‌نماید و به سازمان امکان می‌دهد ترتیبات امنیت اطلاعات موجود سازمان را با الزامات ISO 27001 بررسی و مقایسه نماید. همچنین سنجش میزان آمادگی سازمان جهت پیاده‌سازی استانداردهای امنیت اطلاعات، را انجام می‌دهد.

تحلیل شکاف که ذیل پروژه سیستم مدیریت امنیت اطلاعات انجام می‌گردد، به بررسی وضعیت فعلی سازمان در حوزه امنیت می‌پردازد و با مقایسه آن با وضعیت مطلوب، اعلام می‌دارد که در چه حوزه‌هایی می بایست بیشتر سرمایه گذاری نمود تا سازمان در همه جهات به وضعیت مطلوب امنیتی خود برسد.

تحلیل شکاف به سازمان امکان می‌دهد تا فرآیندهای سازمان، سیاست‌ها و کنترل‌های فنی که ممکن است از دستیابی سازمان به ISO 27001 جلوگیری کند را شناسایی نماید، این امر سازمان را قادر می‌سازد تا اقدامات کنترلی لازم را پیش از ممیزی انجام دهد و کاملا آماده برای ممیزی نهایی باشد.

شرکت مهندسی اوژن تدبیر پارس با بهره‌گیری از مدل بومی طراحی شده توسط کارشناسان مجرب خود اقدام به ارائه سرویس تحلیل شکاف (Gap Analysis) بر اساس استانداردهای مرجع نظبر ISO 27001:2013 می‌نماید.

تدوین: مهندس بهنوش سعیدی

کنترل های امنیتی CIS نسخه ۸

/در , /توسط

CIS Controls version 8

CIS Controls (که پیش تر با نام Critical Security Controls شناخته می شد) مجموعه ایی از اقدامات و کنترل های پیشنهادی برای دفاع سایبری و امن سازی می باشد که روش های خاص و قابل اجرا به منظور جلوگیری از وقوع گسترده ترین و خطرناک ترین حملات ارائه می نماید.

نسخه ۸ از CIS Controls در ۱۸ مه ۲۰۲۱ (۲۸ اردیبهشت ۱۴۰۰) ارائه گردید که تغییرات آن نسبت به نسخه قبل در شکل زیر نشان داده شده است.

 در ادامه به تشریح ۴ کنترل نخست از نسخه ۸ کنترل های CIS پرداخته شده است:

  • کنترل شماره ۱ – فهرست موجودی و کنترل دارایی های سازمانی

کلیه دارایی های متصل به زیرساخت سازمان (شامل تجهیزات مورد استفاده توسط کاربر نهایی از جمله تجهیزات قابل حمل و سیار، تجهیزات شبکه، دستگاه های غیرمحاسباتی/اینترنت اشیا (IOT) و سرورها) و همچنین دارایی  های موجود در محیط ابری می بایست از سوی مدیران و افراد مربوطه، به منظور شناسایی کلیه دارایی های سازمانی که نیاز به پایش و محافظت دارند،  به صورت فعالانه مدیریت گردند. شایان ذکر است اتصال این دارایی ها به زیرساخت سازمان می تواند به صورت فیزیکی، مجازی، از راه دور و یا از طریق سرویس های ابری انجام پذیرد. همچنین سازمان ها می بایست از این موضوع مطلع باشند که کنترل بر روی دارایی ها با هدف نظارت بر امنیت دارایی ها، واکنش به رویدادها و رخدادهای امنیت سایبری، پشتیبان گیری و بازیابی سیستم ها صورت می پذیرد.

همچنین به منظور پیشگیری از نفوذ مهاجمین، لازم و ضروری است پیکربندی تجهیزات شبکه و سیستم های رایانه ای به درستی انجام گیرد. درهمین راستا بایستی سیستم مدیریت رخداد و حوادث و همچنین سامانه ثبت لاگ در سازمان فعال و به روز باشند.

یکی دیگر از تهدیدات و چالش هایی که اکثر سازمان ها با آن مواجه هستند، ورود تجهیزات غیرمجاز و همچنین دستگاه های قابل حمل کارکنان (از قبیل لپ تاپ، هارد اکسترنال و حافظه فلش) به سازمان می باشد که همین امر می تواند برای سازمان مخاطرات امنیتی جدی به همراه داشته باشد. از این رو می بایست تمهیداتی برای مقابله با این مخاطره در سازمان، از سوی مدیران اندیشیده شود. برای رعایت این کنترل امنیتی بایستی موارد زیر پیاده سازی شوند:

  1. فهرست اموال دقیق، کامل و به روزی از دارایی های سازمان ایجاد و از آن نگهداری گردد.
  2. فرآیند و روالی برای بررسی و رسیدگی به دارایی های غیر مجاز در سازمان به صورت دوره ای در نظر گرفته شود. بر اساس این روال ممکن است سازمان در مواجهه با دارایی غیرمجاز اقدام به حذف آن از شبکه سازمان، جلوگیری از اتصال راه دور آن به شبکه یا قرنطینه آن نماید.
  3. از ابزارهای پویشگر فعال (Active)  برای کشف و شناسایی دارایی های متصل به شبکه سازمانی استفاده گردد. این ابزارها باید به نوعی پیکربندی شود که به صورت روزانه یا در فاصله های زمانی کمتر اجرا گردد.
  4. برای به روز رسانی لیست دارایی های سازمان، از رویدادنگاری DHCP بر روی تمامی سرورهای DHCP یا ابزارهای مدیریت آدرس IP به صورت هفتگی یا به طور مکرر استفاده نمایید.
  5. از ابزارهای پویشگر غیرفعال (Passive) برای کشف و شناسایی دارایی های متصل به شبکه سازمان استفاده نمایید.

کنترل شماره ۲ – فهرست موجودی و کنترل دارایی های نرم افزاری

این دارایی ها شامل سیستم عامل ها و نرم افزارهای مورد استفاده در شبکه می باشند. مدیران و افراد مربوطه بایستی بر روی نصب و اجرای نرم افزارها نظارت کرده و از نصب و اجرای نرم افزارهای غیرمجاز و مخرب جلوگیری کنند.

فهرست موجودی دارایی های نرم افزاری با هدف پیشگیری از حملات تهیه می گردد. مهاجمین به طور مداوم سازمان های مختلف را مورد هدف قرار می دهند که یکی از راه های نفوذ، سوء استفاده از آسیب پذیری های موجود در نرم افزار مورد استفاده سازمان می باشد. به عنوان مثال، اگر یک کاربر وارد یک وب سایت شده و فایلی مخرب از آن دانلود کند و بر روی سیستم خود نصب و اجرا نماید، مهاجم می تواند با استفاده از آن فایل مخرب اقدام به ایجاد در پشتی (Backdoor) نموده و در ادامه پس از نفوذ به سیستم کاربر به تمامی سیستم ها، سرورها و تجهیزات سازمان نفوذ کند.

راه حل این موضوع کنترل و نظارت بر روی دارایی‌های نرم افزاری و به روزرسانی نرم افزارها و اعمال وصله های امنیتی مربوط به آنها می باشد. برای رعایت این کنترل امنیتی بایستی موارد زیر پیاده سازی شوند:

  1. فهرست اموال دقیق، کامل و به روزی از دارایی های نرم افزاری سازمان ایجاد و از آن نگهداری گردد.
  2. اطمینان حاصل گردد که نرم افزارهای مورد استفاده در سازمان، مجاز و قابل پشتیبانی هستند.
  3. به دارایی های نرم افزاری غیر مجاز که می توانند خطر ساز باشند، بررسی و رسیدگی شود. اطمینان حاصل گردد که نرم افزار غیرمجاز یا از دارایی های شرکت حذف شده یا در صورت نیاز به استفاده، یک مجوز استثنای مکتوب داشته باشد.
  4. در صورت امکان از ابزارهای خودکار برای کشف و مستندسازی نرم افزارهای نصب شده در سازمان استفاده شود.
  5. فهرستی از نرم افزارهای مجاز که قابل استفاده و اجرا برای کاربران در سازمان می باشند، ایجاد گردد.
  6. فهرستی از کتابخانه ها و فایل های مجاز که قابل استفاده و اجرا برای کاربران در سازمان می باشند، ایجاد گردد.
  7. فهرستی از script های مجاز که قابل استفاده و اجرا برای کاربران در سازمان می باشند، ایجاد گردد.

کنترل شماره ۳ – حفاظت از داده های سازمان

حفاظت از داده ها شامل بخش هایی از قبیل شناسایی، طبقه بندی، کنترل و نگهداری ایمن داده ها می شود. امروزه حفاظت از داده ها به امری مهم تبدیل شده است، این داده ها می تواند اطلاعات ثبتی سازمان، اطلاعات مالی، اطلاعات پرسنل، اطلاعات مشتریان و غیره باشد که مهاجمین با نفوذ به شبکه ی سازمان، قصد تخریب یا استخراج این اطلاعات را دارند.

بایستی در سازمان تمامی عملیات انتقال و ذخیره سازی داده ها از سوی مدیران و افراد مربوطه مورد پایش قرار گیرد و داده ها در تمامی این موارد به صورت رمزنگاری شده و مبهم باشند. از دیگر وظایف مدیران سازمان، نظارت بر روی ترافیک داخلی شبکه می باشد تا در هنگام نفوذ و استخراج داده توسط مهاجمین، از آن مطلع و از انجام آن جلوگیری کنند. همچنین مدیران سازمان می بایست از این موضوع باید آگاه باشند که نشت اطلاعات در بعضی از مواقع، توسط خود پرسنل سازمان و با استفاده از تجهیزات قابل حمل از قبیل حافظه فلش صورت می پذیرد. برای رعایت این کنترل امنیتی بایستی موارد زیر پیاده سازی شوند:

  1. فرآیند و روالی برای مدیریت و حفاظت از داده ها در سازمان پیاده سازی و اجرا گردد.
  2. فهرست اموال دقیق، کامل و به روزی از داده های سازمان را ایجاد و از آن ها نگهداری کنید.
  3. پیکربندی کنترل دسترسی و لیست دسترسی افراد به داده ها براساس نیاز میزان نیاز هر کاربر به اطلاعات صورت پذیرد.
  4. مدیریت و حفاظت از داده ها می بایست براساس روال مدیریت داده های سازمان انجام پذیرد.
  5. استفاده از راهکار امن برای امحا داده ها و اطلاعات تا نشت اطلاعاتی صورت نگیرد.
  6. می بایست داده های حساس بر روی دستگاه کاربر نهایی رمزنگاری گردد.
  7. یک رویه و قالب طبقه بندی داده برای سازمان خود ایجاد و نگهداری کنید. سازمان ها ممکن است از برچسب هایی نظیر “حساس” ، “محرمانه” و “عمومی” برای طبقه بندی داده های خود استفاده کنند.
  8. جریان داده در سازمان را مستند نمایید. مستندات جریان داده شامل جریان های داده ارائه دهنده خدمات بوده و  می بایست مبتنی بر فرآیند مدیریت داده های سازمان باشد.
  9. کلیه اطلاعات موجود بر روی تجهیزات قابل حمل به مانند USB می بایست رمزگذاری گردد.
  10. در هنگام انتقال اطلاعات حساس می بایست کلیه اطلاعات با استفاده از پروتکل های امن به مانند SSL/TLS وSSH رمزگذاری گردد.
  11. داده ها بایستی در حالت بلا استفاده یا استراحت نیز بر روی سرورها، برنامه ها و پایگاه های داده به صورت رمزگذاری شده باشند.
  12. پردازش و ذخیره سازی داده ها را براساس حساسیت داده ها تقسیم بندی نموده و داده های حساس سازمان را بر روی دارایی های با حساسیت پایین تر سازمان پردازش و ذخیره سازی ننمایید.
  13. از راهکارهای خودکار پیشگیری از دست دادن داده ها (DLP) برای شناسایی کلیه داده های حساس ذخیره شده، پردازش شده یا منتقل شده از طرق دارایی های سازمان استفاده نمایید.
  14. لاگ های مربوط به دسترسی و تغییرات در داده های حساس سازمان را ثبت و پایش نمایید.

کنترل شماره۴ – پیکربندی امن دارایی های سازمانی و نرم افزار ها

 طبق توضیحات بیان شده در کنترل های پیشین، دارایی های سازمانی شامل دستگاه های مورد استفاده کاربر نظیر رایانه، موبایل و دارایی های دیگری به مانند سرورها و تجهیزات شبکه و همچنین تجهیزات اینترنت اشیا (IOT) می شوند و دارایی های نرم افزاری شامل سیستم عامل ها و نرم افزارهای مورد استفاده در شبکه می باشند. موضوع این کنترل پیکربندی امن و صحیح این دو نوع از دارایی سازمان می باشد.

طبق بررسی های انجام شده، تقریبا تمامی تولیدکنندگان و عرضه کنندگان محصولات و تجهیزات در حوزه ی فناوری اطلاعات محصولات و تجهیزات خود را در قالب تنظیمات پیش فرض به مشتریان ارائه می نمایند که این کار معمولا با هدف سهولت کاربران صورت می پذیرد. تنظیمات پیش فرض عموما شامل سرویس ها و پورت های باز، حساب های کاربری یا رمز های عبور پیش فرض، تنظیمات DNS از قبل پیکربندی شده، پروتکل های قدیمی و آسیب پذیر و نصب نرم افزار های غیر ضروری می باشد که همین امر موجب بروز آسیب پذیری متعدد بر روی محصولات شده و مهاجمین با بهره برداری و سوءاستفاده از این تنظیمات پیش فرض اقدام به نفوذ و دسترسی به سیستم ها و سرورهای سازمان می کنند.

از این قبیل مشکلات در سازمان ها و سازمان های خدمات دهنده سرویس نیز رخ می دهد برای مثال بسیاری از شرکت های ارائه دهنده خدمات ابری ممکن است در ارائه خدمات خود اشتباهاتی به مانند حساب یا گذر واژه پیش فرض، دسترسی نامحدود و سرویس هایی با پیکربندی پیش فرض در ارائه خدمات انجام دهند که مخاطراتی برای سازمان های دریافت کننده خدمات به همراه دارد.

برای جلوگیری از بروز این مخاطرات، مدیران و افراد مربوطه بایستی پیکربندی امن و صحیح دارایی های سازمانی و نرم افزاری و بروز رسانی آنها را به صورت مداوم و دوره ایی انجام دهند. برای رعایت این کنترل امنیتی بایستی موارد زیر پیاده سازی شوند:

  1. فرآیند و روالی برای پیکربندی امن و صحیح دارایی ها در سازمان پیاده سازی و اجرا گردد.
  2. فرآیند و روالی برای پیکربندی امن و صحیح برای زیرساخت شبکه در سازمان پیاده سازی و اجرا گردد.
  3. برای کلیه دارایی های سازمان خط مشی قفل خودکار و انقضای نشست کاربران در صورت عدم فعالیت آن ها در مدت زمانی مشخص به مانند بیش از ۱۰ الی ۱۵ دقیقه فعال گردد.
  4. فایروال را بر روی سرورها (در صورت پشتیبانی) پیاده سازی، پیکربندی و مدیریت نمایید.
  5. فایروال را بر روی تجهیزات کاربران نهایی پیاده سازی، پیکربندی و مدیریت نمایید.
  6. از پروتکل های امن شبکه به مانند HTTPS و SSH برای مدیریت از راه دور دارایی‌ها استفاده نمایید.
  7. کلیه حساب های کاربری پیش فرض مدیریت (برای مثال حذف و یا غیرفعال کردن حساب ها) گردد.
  8. سرویس ها و نرم افزارهای بلا استفاده در سازمان و شبکه را حذف و غیرفعال نمایید.
  9. سرورهای  DNSمورد اعتماد و معتبر را بر روی دارایی های سازمان پیکربندی نمایید.
  10. خط مشی قفل خودکار را بر روی تجهیزات قابل حمل کاربران نهایی (به مانند USB) اعمال نمایید.
  11. قابلیت حذف از راه دور اطلاعات را بر روی تجهیزات قابل حمل کاربران نهایی (به مانند گوشی های موبایل) را فعال نمایید تا در صورت سرقت این تجهیزات امکان امحا از راه دور اطلاعات سازمانی موجود بر روی این تجهیزات میسر باشد.
  12. فضای کاری و حساب کاربری مجزایی برای دسترسی به اطلاعات سازمانی بر روی تلفن همراه کاربران (در صورت پشتیبانی) ایجاد نمایید. برای این منظور می توان از Apple® Configuration Profile  یا  Android™ Work Profileبرای جداسازی برنامه ها و داده های سازمانی از برنامه ها و داده های شخصی استفاده کرد.

تدوین: مهندس امین اسفندیاری

در بخش های آتی موارد باقی مانده از کنترل های امنیتی CIS بررسی خواهد شد.