چالش های تفکیک فیزیکی شبکه ها (جداسازی اینترنت از شبکه داخلی!)

3. پیاده سازی فرایندهای امنیتی آموزشی و پیشگیرانه ISMS

تا دستور العمل های امنیتی منسجم و الزام آور استاندارد نباشد تا آموزش ها و پیشگیری های اولیه نباشد عملا امنیت شبکه معنا ندارد. قبول دارید که پیشگیری بهتر از درمان است!؟

سیستم مدیریت امنیت اطلاعات یا ISMS بدون درنظر گرفتن اینکه از چه ساختار شبکه‌ ای دارید در تمام بخش‌ها و کسب و کارها قابل استفاده است ان هم برای:

• تعیین و اعمال سیاست های امنیتی مناسب کارآمد
• بررسی بلادرنگ وضعیت امنیت اطلاعاتی بعد از اعمال سیاست امنیتی
• بازرسی و تست امنیت شبکه ی اطلاعاتی
• بهبود روش های امنیت اطلاعاتی سازمان

و این فرایندها برای تعیین امنیت هر نوع اطلاعاتی است شامل اطلاعات کاغذی، الکترونیکی، و یا حتی شفاهی است.

سیستم مدیریت امنیت اطلاعات (ISMS) با هدف تبیین شفاف راهکار های امن سازی به صورت مدیریت مخاطره های امنیت فناوری اطلاعات درون سازمانی و برون سازمانی در یک سطح توافق شده مطرح شده است.

فواید پیاده سازی استانداردهای سیستم مدیریت امنیت اطلاعات (ISMS)

• تامین امنیت در همه سطوح شامل امنیت فیزیکی، پرسنلی و ارتباطات
• استفاده از جدیدترین استاندارد امنیت اطلاعات
• افزایش اعتبار سازمان
• سیستم مدیریت امنیت پویا و مستمر
• رویکرد پیشگیرانه
• نگاه همه جانبه به امنیت
• رویکرد آموزش پرسنل
• کاهش هزینه ها

سازمان های بسیاری دیدم که فرایندهای ISMS را دارند اما فقط دارند! و بطور منسجم اقدامی در خصوص پیاده سازی دقیق و استفاده روزانه از آن نمی کنند! و این سیستم صرفا به دهها فایل و فرم بلا استفاده ختم شده!

4. پیکربندی استاندارد احراز هویت کاربران بر پایه LDAP یا Active Directory

متاسفانه چیزی که در بسیاری از سازمان ها می توان دید وجود و پراکندگی دهها نرم افزار سامانی با احراز هویت های مختص به خود هستند این مشکل بیش از آنکه ناشی از عدم توجه مدیران فناوری باشد به شرکت های ایرانی تولید کننده نرم افزارهای سازمانی باز می گردد آنها به واسطه فقر دانش، ساده سازی کار خود برای ایجاد و دسترسی کاربران به نرم افزار از نام کاربری و احراز هویت داخلی خود استفاده می کنند همین امر سبب تعدد و تکثر نام کاربری و رمز عبور برای استفاده از هر نرم افزاری می شود. چراکه اغلب این نرم افزارها قابلیت ادغام پذیری با اکتیودایرکتوری را پوشش نمی دهند!

اکتیو دایرکتوری (Active Directory)پیش از آنکه یک سرویس مایکروسافتی باشد در حقیقت یک پروتکل استاندارد برای تجمیع منابع سازمان و احراز هویت منسجم است که بر اساس LDAP ver3 و NSPI که استاندارد جهانی هستند نوشته شده است و اطلاعات مربوط به اشیاء شبکه را ذخیره و با ارائه یک ساختار سلسله مراتبى، زمینه سازماندهى دامین ها و منابع را به سادگى میسر مى‌کند. بدین ترتیب کاربران بسادگى قادر به مکان یابى منابع شبکه نظیر فایل ها و چاپگرها خواهند بود و مدیران شبکه امکان اعمال کردن انواع سیاست ها، تعیین حدود دسترسی به سرویس ها و منابع را از آن طریق خواهند داشت.

تدابیر امنیتى در ارتباط با اکتیو دایرکتوری، پیش بینى و زمینه تحقق آن با استفاده از Log on و کنترل دستیابى به اشیاء موجود در دایرکتورى، فراهم مى شود. پس از فرآیند ورود کاربران به شبکه، مدیران شبکه قادر به مدیریت داده هاى موجود در دایرکتورى مى شوند. کاربران تائید شده نیز امکان دستیابى به منابع موجود در شبکه را از هر مکانى بدست خواهند آورد.

سازمان هایی دیدم که اکتیودایرکتوری آنها دقیقاً شبیه یک زباله دانی است و هر شی زنده و مرده (فعال و غیرفعال) در آن هست نه نظارتی، نه بازرسی و نه پالایشی! فقط برای ورود به ویندوز از آنها استفاده می شود که به شکلی بسیار نازیبا، غیر استاندارد و ناموزون و حتی با نام های کاربری بسیار بهم ریخته ای نامگذاری کرده اند.

ادامه مطلب در صفحه بعد…