امنیت اطلاعات در کار الکترونیکى

 امنیت اطلاعات در کار الکترونیکى

 تهدیدات موجود در پیش روى امنیت سیستم هاى اطلاعاتى را مى توان به سه دسته اصلى تقسیم کرد: افشاى اطلاعات محرمانه (تهدید «افشا»)، صدمه به انسجام اطلاعات (تهدید «دستکارى») و موجود نبودن اطلاعات (تهدید «تضییق خدمات»). به طور مرسوم، امنیت اطلاعات در وهله اول با تهدید «افشا» همراه بوده است.

 

در دنیاى امروز، وابستگى ما به سیستم هاى اطلاعاتى طورى است که دستکارى غیرمجاز یا فقدان گسترده اطلاعات، پیامدهاى ناگوارى را موجب خواهد شد. در کار الکترونیکى، لازم است که همه انواع اطلاعات از طریق شبکه ، دسترس پذیر باشند. بنابراین، امنیت اطلاعات شرط ضرورى کار الکترونیکى است.

در هنگام کارکردن در یک شبکه باز، جریان اطلاعات در شبکه در معرض افشا و دستکارى غیرمجاز است. بنابراین براى حفاظت از محرمانگى و انسجام آن اطلاعات، رمزگذارى قوى ضرورى است. کمک غیرمستقیم رمزگذارى به ما این است که از وجود شبکه هاى اطلاعاتى اطمینان حاصل کنیم. پس از مقابله موثر با تهدیدات «دستکارى» و «افشا»، مى توان با ایجاد اضافات کافى در شبکه هاى اطلاعاتى، دردسترس بودن اطلاعات را تحقق بخشید. فناورى اینترنت در اصل براى به وجود آوردن همین نوع از اضافات طراحى شد و هنوز هم براى این منظور مناسب است.

• ایجاد زیرساختار شبکهمعمارى اینترنت، معمارى شبکه اى غالب در اوایل دهه ۲۰۰۰ است. اینترنت بر پروتکل اینترنت (آى پى) استوار است، که مى توان آن را روى همه انواع شبکه هاى فیزیکى و تحت همه انواع برنامه هاى کاربردى به کار انداخت. استقلال پروتکل اینترنت هم از شبکه هاى فیزیکى و هم از برنامه هاى کاربردى، نقطه قوت اصلى آن است. این پروتکل حتى با فناورى هاى شبکه اى کاملاً جدید، مثل «شبکه محلى بى سیم» (دبلیولن) یا «سرویس رادیویى بسته اى عمومى» (جى پى آراِس) و شبکه «سامانه عمومى ارتباطات همراه» (جى اس ام) نیز کار مى کند.

برنامه هاى جدید، مثل وب، «ووآى پى» و بسیارى برنامه هاى دیگر که در آینده عرضه مى شوند را مى توان به راحتى با سرویس استاندارد پروتکل اینترنت اجرا کرد. معمارى اینترنت اساساً از سال ۱۹۷۴ ثابت مانده و همچنان قدرت خود را اثبات مى کند. بنابراین شعار قدیمى «آى پى وراى همه، همه چیز برروى آى پى» امروز بیش از هر زمان دیگرى صدق مى کند.

عیب هاى اصلى «آى پى» ، فضاى ناکافى نشانى، عدم پشتیبانى از جابه جایى فیزیکى، فقدان کیفیت متمایز سرویس و فقدان امنیت آن است. «گروه فوق العاده مهندسى اینترنت» هر یک از این موضوعات را مدنظر قرار داده و راه حل هاى استانداردى نیز براى هر یک از آنها پیشنهاد شده. در نگارش ششم و جدید «آى پى» عملاً تعداد نشانى هاى نامحدود و گسترش پذیرى آن بهتر از نگارش ۴ (کنونى) است. «آى پى سیار» (اِم آى پى) براى هر دو نگارش تعریف شده.

این «آى پى» براى میزبان سیار این امکان را فراهم مى آورد که از یک شبکه به شبکه دیگر جابه جا شود، ضمن اینکه نشانى هاى «آى پى» دائمى خود را که در همه ارتباطات با این میزبان مورد استفاده قرار مى گیرد، حفظ مى کند. این امر منجر به تحرک واقعى، نه صرفاً در چارچوب فناورى یک شبکه (مثل «جى اس ام»)، بلکه بین انواع مختلف شبکه ها، مثل «دبلیولن» ، «جى پى آر اس» و شبکه هاى سیمى مى شود. کیفیت سرویس را مى توان در اینترنت به وسیله «سرویس هاى متمایز اینترنتى» که یک طرح اولویت بندى ساده مستقل از کشورها است و کاملاً مناسب شبکه هاى جهانى است، تکمیل کرد.

امنیت عمومى سطح «آى پى» توسط «آى پى سک» (پروتکل امنیت اینترنت) که بر رمزنگارى و «پروتکل مدیریت کلید» همراه با آن یعنى «مبادله کلید اینترنتى» (آى کائى) استوار است، فراهم مى شود.اگرچه همه این کارکردها را نمى توان در لایه «آى پى» به انجام رساند، اما هرکار که ممکن است باید در همانجا به انجام برسد؛ و این، ویژگى خوب معمارى اینترنت است که کل کارکردهاى لایه «آى پى»، چه از شبکه هاى فیزیکى و چه از برنامه ها، مستقل است. مثلاً «آى پى سِک» با (و در) همه شبکه ها و تحت انواع برنامه ها کار مى کند. اینترنت مى تواند از «قانون مور» نهایت استفاده را ببرد. این قانون در اصل خود حکایت از آن دارد که عملکرد ریزپردازنده ها هر ۱۸ ماه دو برابر مى شود، در حالى که قیمت آنها ثابت مى ماند. عجیب اینکه، این قانون بیش از ربع قرن است که دوام آورده.

تقریباً همین رفتار را مى توان در بسیارى از حوزه هاى دیگر نیز مشاهده کرد، از جمله در مورد حافظه موقت، دیسک سخت، شبکه محلى، شبکه محلى بى سیم، سوئیچ شبکه محلى و مسیریاب «آى پى». اما حتى در حوزه مخابرات سیار [موبایل] که نسبتاً سریع پیشرفت مى کند، طول عمر یک نسل از تولید، ۱۰ سال است، نه دو سال. تلفن رادیویى اتومبیل در سال ،۱۹۷۱ تلفن همراه اروپاى شمالى در سال ۱۹۸۱ و سامانه عمومى ارتباطات همراه در ۱۹۹۱ مورد استفاده عموم قرار گرفتند و «یوام تى اس» احتمالاً در سال ۲۰۰۲ وارد میدان مى شود.
این بدان معنا است که صرفه مندى فناورى اینترنت براساس بسته، همواره بسیار سریع تر از فناورى مخابراتى مبتنى بر «ترکیب تقسیم زمانى» متعارف پیشرفت مى کند.

بنابراین در زمان کوتاهى، همه برنامه ها روى «آى پى» قرار مى گیرند. در سیستم تلفن معمولى، روشن است که «ووآى پى» بسیار با صرفه تر از مخابرات معمول، چه در محدوده هاى محلى و چه در مناطق گسترده است. با پیشرفت هایى که در ارتباطات بى سیم و «آى پى» به وقوع پیوسته، فقط دو سال طول مى کشد که ارتباطات سیار هم به همین وضعیت برسد. اگر قرار باشد که «یواِم تى اِس» یک لاکر بوم شناختى داشته باشد، همان شبکه فیزیکى، همراه با شبکه محلى بى سیم (دبلیولن)، سرویس رادیویى بسته عمومى (جى پى آر اس) و...

تحت «آى پى» خواهد بود. بنابراین منطقاً مى توانیم بپذیریم که کار الکترونیکى بر معمارى اینترنت استوار خواهد بود و جنبه هاى امنیت شبکه اى آن نیز همانند امنیت اینترنت خواهد بود.
دانش فراگیر به معناى استفاده از فناورى اطلاعات در یکى از اشکال گوناگون آن، در همه عرصه هاى زندگى و با همه ابزار قابل تصور است. وسایل خانگى متداول شامل ریزپردازنده هایى هستند که نرم افزارهایى را به کار مى اندازند که بخش عمده کارکرد این وسایل را به انجام مى رسانند. در آینده نزدیک، اکثر این ابزارها، اغلب با دسترسى بى سیم، شبکه بندى خواهند شد. همچنین به منظور حصول امنیت، لازم است که سیستم هاى رمزنویسى کلید عمومى و کلیدهاى رمزنویسى مخفى داشته باشند تا پیکربندى و مدیریت امن آنها امکانپذیر شود. این بدان معنا است که ما در همه جا، رایانه هاى با شبکه بندى کوچک و رمزنویسى تعبیه شده در درون آنها خواهیم داشت. این رایانه ها به قدرى رایج خواهند شد که آنها را رایانه یا فناورى اطلاعات به شمار نخواهیم آورد؛ همان طور که امروزه به الکتریسیته که همه جا از آن استفاده مى کنیم، چندان توجه نمى کنیم.

به زودى تقاضاى بسیار براى ابزارهاى ارزان قیمت و کوچک را که محیط رابط «آى پى»، «آى پى سک» و «دبلیولن» را بر روى فقط یک تراشه سیلیکن به کار مى اندازند شاهد خواهیم بود. بقیه سطح این تراشه به یک ریزکنترل گر همه منظوره، درگاه هاى ورودى و خروجى و حافظه اختصاص مى یابد تا دستگاه هاى مختلف را کنترل کند. این تراشه ها اکنون تولید شده اند و به زودى اکثر میزبان هاى متصل به اینترنت را تشکیل مى دهند.

• تأثیر افزایش جابه جایى پذیرىسیاربودن در مفهوم وسیع تر کلمه به معناى توانایى کاربر در دسترسى به اطلاعات، مستقل از محل و مکان او است. در عمل، لازمه این امر معمولاً نوعى از پشتیبانى جابه جایى پذیرى از سوى دستگاه پایانه و شبکه اصلى است. البته جابه جایى پذیرى تهدیدهاى جدید امنیتى را به دنبال نمى آورد، اما تهدیدهاى موجود را جدى تر مى سازد؛ زیرا دسترسى به اطلاعات، مستقل از مکان صورت مى گیرد. همچنین امنیت سیستم، از هر جایى و توسط هر فرد مجاز مى تواند مورد حمله قرار گیرد.

باید توجه کرد که جابه جایى پذیرى و بى سیم بودن دو چیز متفاوتند، اگر چه اغلب با هم همراهند. جابه جایى پذیرى به معناى توانایى کاربر یا پایانه، در حرکت از یک شبکه (یا نقطه اتصال) به شبکه دیگر است؛ بى سیم بودن یعنى جایگزین ساختن کابل شبکه یا آخرین پیوند شبکه با پیوندهاى ارتباطى بى سیم (مثل رادیویى یا مادون قرمز). بى سیم بودن به تنهایى، جابه جایى پذیرى چندانى را امکانپذیر نمى کند. مثلاً در یک شبکه «سامانه عمومى همراه» (جى اس ام)، عمده پیچیدگى شبکه و نرم افزار پایانه باید به امر انتقالات، یعنى گذر پایانه سیار از یک ایستگاه اصلى به ایستگاه دیگر تخصیص یابد. ضمن این که بى سیم بودن و جابه جایى پذیرى، هر یک به طور جداگانه ممکن است مفید باشند، وقتى که با هم ترکیب مى شوند بهترین عملکرد را دارند. به همین دلیل دسترسى بى سیم به شبکه هاى سیار اهمیت روزافزونى پیدا مى کند.

• راه حل هاى ممکنامنیت اطلاعات موضوعى چند بعدى است که با جنبه هاى غیرفنى متعددى ارتباط دارد. همواره براى تحقق امنیت، ابزارهاى فیزیکى، پرسنلى و اجرایى لازمند و ابزارهاى فنى به تنهایى بى فایده اند. اما وقتى که در یک شبکه نامطمئن کار مى کنید، امنیت بدون استفاده از رمزنگارى میسر نمى شود. بنابراین بخشى از راه حل، «آى پى سک» است که مى توان به عنوان یک سازوکار استاندارد براى حفاظت در برابر استراق سمع و دستکارى پیام در شبکه به کار برد.

رمز نگارى کلید عمومى، مثلاً براى تایید اصالت و براى مدیریت کلیدها، لازم است. به علاوه یک «زیرساختار کلیدهاى عمومى» لازم است تا کلیدها را به شیوه اى اطمینان بخش، به مالکان آنها پیوند دهد. «زیرساختار کلیدهاى عمومى» نمونه اى از خدمات «شخص ثالث امین» است که همیشه بر اعتماد و اطمینان استوارند. تحقق فیزیکى «زیرساختار کلیدهاى عمومى» در قالب گواهینامه انجام مى گیرد. اعتماد به دست آوردنى است نه دیکته کردنی. طرف هاى مختلف باید بتوانند تصمیم بگیرند به چه کسى، در چه موضوعاتى و تا چه اندازه اعتماد کنند. همچنین در هر سیستم به یک «مبناى رایانشى قابل اعتماد» نیاز داریم. این «مبناى رایانشى قابل اعتماد» باید [تا حد امکان] کوچک شده و مبتنى بر طرح هاى آزاد باشد. باید بتوانیم حسابرسى کنیم تا به آن اعتماد کنیم.

چشم پوشى از امنیت بخش هایى از سیستم در خارج از «مبناى رایانشى قابل اعتماد» نباید امنیت کل سیستم را به خطر اندازد. به طور سنتى، کنترل دسترسى و صدور مجوز براى آن براساس تایید اصالت هویت کاربر (هویتى که در شکل یک نام نمود مى یابد) صورت مى گیرد. این کار در سیستم هاى بزرگ عملى نیست، زیرا تشخیص حقوق دسترسى یک فرد صرفاً براساس نام او، امکان ناپذیر است. عموماً ما بیشتر علاقه مندیم که اطمینان حاصل کنیم کاربر به انجام کارى که انجام مى دهد مجاز است یا خیر و نه این که بدانیم او کیست. بنابراین به جاى تعیین هویت او، باید قادر به تایید اصالت حقوق او باشیم. صدور مجوز ها ابزار عمومى خوبى هستند که مى توان براى چنین اهدافى، حتى در سطوح سیستم هاى جهانى به کار گرفت. امنیت و قابلیت استفاده، از اقتضائات متضاد با هم هستند. وقتى که سیستم ها را امن تر مى کنیم، طبعاً از قابلیت استفاده آنها مى کاهیم. کار الکترونیکى چیزى است که باید در شرایط مربوط به کاربر عادى هم عمل کند، یعنى براى هر کسى قابل استفاده باشد. ترکیب قابلیت استفاده با امنیت، چالش اصلى عصر ما است.

کار با اینترنت به پیشرفت خود ادامه مى دهد و به عرصه هاى جدید برنامه هاى کاربردى گسترش مى یابد. کاهش سرانه قیمت محصولات، عملاً همه برنامه ها را به استفاده از فناورى اصلى «آى پى» سوق خواهد داد. اگر جابه جایى پذیرى، کیفیت خدمات و امنیت، محور اصلى خدمات اینترنت در نسل آینده باشند، در آن صورت یک سکوى عمومى جهانى خواهیم داشت تا کار الکترونیکى را بر روى آن استوار کنیم.

«آى پى سک» و «زیرساختار کلید عمومى» مانع موثرى در مقابل افشاى غیرمجاز و دستکارى ناشى از ترافیک شبکه ایجاد مى کنند. وجود اضافات کافى در شبکه، مانع تضییق خدمات است. با راه حل هاى استاندارد و ارزان قیمتى که مرتباً ارزان تر هم مى شوند، مى توان به همه اینها دست یافت.

بنابراین سکوى فنى براى کار الکترونیکى امن، در حال شکل گرفتن است و جنبه هاى شبکه اى امنیت را مى توان حل کرد. اما وقتى که با افراد و با جریان هاى پیچیده اطلاعات سروکار داریم، هیچ راه حل استاندارد ساده اى براى امنیت کل سیستم وجود ندارد. براى تعریف فرآیندهاى اصلى پیشگانى و جریان هاى اطلاعاتى و مقتضیات امنیتى ملازم با آنها کار زیادى لازم است. باید در طراحى این فرآیندها، امنیت نیز وارد شود. باید ساز و کارهاى استاندارد امنیت به کار گرفته شوند تا اطمینان حاصل شود که سیستم هاى اطلاعاتى مورد استفاده، امنیت جریان هاى اطلاعاتى را به خطر نمى اندازند.

هیچ روش شناخته شده اى براى اثبات امنیت کل فرآیندها وجود ندارد. باید مداوماً به نظارت و به بازخورد دادن به فرآیندهایمان بپردازیم. همچنین بازرسى به وسیله یک طرف بیرونى (که مسئولیتى در استقرار یا اجراى سیستم ندارد) لازم است.

خوشبختانه ما به مرحله اى رسیده ایم که قدرت پردازش فزاینده و دیگر پیشرفت هاى فنى آتى، به نفع افراد است. استفاده پذیرى هر سیستم اطلاعاتى یک چالش عمده است. ترکیب استفاده پذیرى با امنیت، بسیار دشوارتر است. هدف اصلى در طراحى سیستم ها نباید بهینه سازى استفاده از منابع رایانشى هر چه ارزان تر باشد، بلکه باید کار افراد را هر چه اثربخش تر و خوشایندتر سازد. این یک عرصه تحقیقاتى بین- رشته اى است که انتظار مى رود در آینده اهمیت بیشترى پیدا کند.

ضعیف ترین نقطه در موضوع امنیت، همچنان افراد و نگرش هاى آنها خواهد بود. مدت هاست که علت اصلى در عمده نقض امنیت ها، رفتار غیرمجاز افراد غیرمجاز در کارهاى روزانه شان است. درحالى که ابزارهاى فنى و سکوهاى فنى امن و قابل اندازه گیرى براى موفقیت در کار الکترونیکى ضرورت دارند، اما کمبودهاى موجود در جنبه هاى غیرفنى امنیت را جبران نمى کنند. امنیت را باید تعریف، طراحى و در فرآیندهاى کارى تعبیه کرد. افراد باید به خوبى راهنمایى شوند، آموزش ببینند و انگیزه مند شوند. همچنین باید به نظارت و بازخورد و نیز به بازرسى مستقل توجه کرد. این امر مستلزم آن است که کل سازمان ها کار را از رده بالاى مدیریت خود شروع کنند. امکانات حاصل از کار الکترونیکى چنان است که باید در درازمدت، اطمینان حاصل شود که از زمان و کار به بهترین صورت استفاده مى شود