نقش عوامل انسانی در امنيت شبکه های کامپيوتری
يک سيستم کامپيوتری از چهار عنصر : سخت افزار ، سيستم عامل ، برنامه های کاربردی و کاربران ، تشکيل می گردد. سخت افزار شامل حافظه ، دستگاههای ورودی ، خروجی و پردازشگر بوده که بعنوان منابع اصلی پردازش اطلاعات ، استفاده می گردند. برنامه های کاربردی شامل کمپايلرها ، سيستم های بانک اطلاعاتی ، برنامه های تجاری و بازرگانی ، بازی های کامپيوتری و موارد متنوع ديگری بوده که روش بخدمت گرفتن سخت افزار جهت نيل به اهداف از قبل تعريف شده را مشخص می نمايند. کاربران ، شا مل انسان ، ماشين و ديگر کامپيوترها می باشد . هر يک از کاربران سعی در حل مشکلات تعريف شده خود از طريق بکارگيری نرم افزارهای کاربردی در محيط سخت افزار می نمايند. سيستم عامل ، نحوه استفاده از سخت افزار را در ارتباط با برنامه های کاربردی متفاوتی که توسط کاربران گوناگون نوشته و اجراء می گردند ، کنترل و هدايت می نمايد. بمنظور بررسی امنيت در يک سيستم کامپيوتری ، می بايست به تشريح و تبين جايگاه هر يک از عناصر موجود در يک سيستم کامپيوتری پرداخته گردد.
در اين راستا ، قصد داريم به بررسی نقش عوامل انسانی دررابطه با امنيت اطلاعات پرداخته و جايگاه هر يک از مولفه های موجود را تبين و تشريح نما ئيم . اگر ما بهترين سيستم سخت افزاری و يا سيستم عامل را بخدمت بگيريم ولی کاربران و يا عوامل انسانی درگير در يک سيستم کامپوتری، پارامترهای امنيتی را رعايت ننمايند ، کاری را از پيش نخواهيم برد. وضعيت فوق مشابه اين است که شما بهترين اتومبيل با درجه بالای امنيت را طراحی و يا تهيه نمائيد ولی آن را در اختيار افرادی قرار دهيد که نسبت به اصول اوليه رانندگی توجيه نباشند ( عدم رعايت اصول ايمنی ) .
ما می بايست به مقوله امنيت اطلاعات در عصر اطلاعات نه بصورت يک کالا و يا محصول بلکه بصورت يک فرآيند نگاه کرده و امنيت را در حد يک محصول خواه نرم افزاری و يا سخت افزاری تنزل ندهيم .هر يک از موارد فوق ، جايگاه خاص خود را با وزن مشخص شده ای دارند و نبايد به بهانه پرداختن به امنيت اطلاعات وزن يک پارامتر را بيش از آنچيزی که هست در نظر گرفت و پارامتر ديگری را ناديده گرفته و يا وزن غير قابل قبولی برای آن مشخص نمائيم . بهرحال ظهور و عرضه شگفت انگيز تکنولوژی های نو در عصر حاضر ، تهديدات خاص خود را نيز بدنبال خواهد داشت . ما چه کار می بايست بکنيم که از تکنولوژی ها استفاده مفيدی را داشته و در عين حال از تهديدات مستقيم و يا غير مستقيم آنان نيز مصون بمانيم ؟ قطعا" نقش عوامل انسانی که استقاده کنندگان مستقيم اين نوع تکنولوژی ها می باشند ، بسيار محسوس و مهم است .
با گسترش اينترنت و استفاده از آن در ابعاد متفاوت ، سازمانها و موسسات با مسائل جديدی در رابطه با امنيت اطلاعات و تهاجم به شبکه های کامپيوتری مواجه می باشند. صرفنظر از موفقيت و يا عدم موفقيت مهاجمان و عليرغم آخرين اصلاحات انجام شده در رابطه با تکنولوژی های امنيتی ، عدم وجود دانش و اطلاعات لازم ( سواد عمومی ايمنی ) کاربران شبکه های کامپيوتری و استفاده کنندگان اطلاعات حساس در يک سازمان ، همواره بعنوان مهمترين تهديد امنيتی مطرح و عدم پايبندی و رعايت اصول امنيتی تدوين شده ، می تواند زمينه ايجاد پتانسيل هائی شود که توسط مهاجمين استفاده و باعث بروز مشکل در سازمان گردد. مهاجمان همواره بدنبال چنين فرصت هائی بوده تا با اتکاء به آنان به اهداف خود نائل گردند. در برخی حالات اشتباه ما زمينه موفقيت ديگران! را فراهم می نمايد . اگر سعی نمائيم بر اساس يک روش مناسب درصد بروز اشتباهات خود را کاهش دهيم به همان نسبت نيز شانس موفقيت مهاجمان کاهش پيدا خواهد کرد.
مديران شبکه ( سيستم ) ، مديران سازمان و کاربران معمولی جملگی عوامل انسانی در يک سازمان می باشند که حرکت و يا حرکات اشتباه هر يک می تواند پيامدهای منفی در ارتباط با امنيت اطلاعات را بدنبال داشته باشد . در ادامه به بررسی اشتباهات متداولی خواهيم پرداخت که می تواند توسط سه گروه ياد شده انجام و زمينه بروز يک مشکل امنيتی در رابطه با اطلاعات حساس در يک سازمان را باعث گردد.
اشتباهات متداول مديران سيستم
مديران سيستم ، به افرادی اطلاق می گردد که مسئوليت نگهداری و نظارت بر عملکرد صحيح و عملياتی سيستم ها و شبکه موجود در يک سازمان را برعهده دارند.در اغلب سازمانها افراد فوق ، مسئوليت امنيت دستگاهها ، ايمن سازی شبکه و تشخيص ضعف های امنيـتی موجود در رابطه با اطلاعات حساس را نيز برعهده دارند. بديهی است واگذاری مسئوليت های متعدد به يک فرد، افزايش تعداد خطاء و اشتباه را بدنبال خواهد داشت . فشار عصبی در زمان انجام کار مستمر بر روی چندين موضوع متفاوت و بصورت همزمان ، قطعا" احتمال بروز اشتباهات فردی را افزايش خواهد داد. در ادامه با برخی از خطاهای متداولی که ممکن است توسط مديران سيستم انجام و سازمان مربوطه را با تهديد امنيتی مواجه سازد ، آشنا خواهيم شد.
مورديک : عدم وجود يک سياست امنيتی شخصی
اکثر قريب به اتفاق مديران سيستم دارای يک سياست امنيتی شخصی بمنظور انجام فعاليت های مهمی نظير امنيت فيزيکی سيستم ها ، روش های بهنگام سازی يک نرم افزار و روشی بمنظور بکارگيری patch های جديد در زمان مربوطه نمی باشند .حتی شرکت های بزرگ و شناخته شده به اين موضوع اذعان دارند که برخی از سيستم های آنان با همان سرعت که يک باگ و يا اشکال تشخيص و شناسائی می گردد ، توسط patch مربوطه اصلاح نشده است .در برخی حالات ، مديران سيستم حتی نسبت به آخرين نقاط آسيب پذيرتشخيیص داده شده نيز آگاهی بهنگام شده ای را نداشته و قطعا" در چنين مواردی انتظار نصب patch مربوطه نيز توقعی بی مورد است . وجود نقاط آسيب پذير در شبکه می تواند يک سازمان را در معرض تهديدات جدی قرار دهد . امنيت فرآيندی است که می بايست بصورت مستمر به آن پرداخته شود و هرگز به اتمام نمی رسد.در اين راستا لازم است، بصورت مستمرنسبت به آخرين حملات بهمراه تکنولوژی ها ی مربوطه ، آگاهی لازم کسب و دانش خود را بهنگام نمائيم .اکثر مديران سيستم ، کارشناسان حرفه ای و خبره امنيتی نمی باشند ، در اين رابطه لازم است ، بمنظور افزايش حفاظت و ايمن سازی شبکه ، اطلاعات و دانش مربوطه بصورت مستمر ارتقاء يايد .افراديکه دارای گواهينامه های خاصی امنيتی و يا دانش و اطلاعات اضافه در رابطه با امنيت اطلاعات می باشند ، همواره يک قدم از کسانی مهارت آنان صرفا" محدود به شبکه است ، جلوتر می باشند . در ادامه ، پيشنهاداتی بمنظور بهبود وضعيت امنيتی سازمان و افزايش و ارتقاء سطح معلومات مديران سيستم ، ارائه می گردد :

































با سلام .به امید روزهای روشن IT