تعریف سیاست­های سیستم مدیریت امنیت اطلاعات، برحسب مشخصات تجاری، سازمان، موقعیت آن، دارایی­ ها و تکنولوژی که شامل:
چارچوبی برای تعیین اهداف و ایجاد یک فهم کلی از جهت و قواعد با توجه به امنیت اطلاعات می­باشد

( اینجا فقط تکه ای از متن پایان نامه درج شده است. برای خرید متن کامل فایل پایان نامه با فرمت ورد می توانید به سایت feko.ir مراجعه نمایید و کلمه کلیدی مورد نظرتان را جستجو نمایید. )

در نظر گرفتن الزامات تجاری، قانونی و نظارتی و تعهدات امنیتی قراردادی
قرارگرفتن، ایجاد و نگهداری سیستم مدیریت امنیت اطلاعات هم­راستا با زمینۀ مدیریت ریسک استراتژیک در سازمان­ها
ایجاد معیارهایی که ریسک به وسیلۀ آنها ارزیابی شود
اثبات شده به وسیلۀ مدیریت
تعریف رویکرد ارزیابی ریسک سازمان:
شناسایی متدولوژی ارزیابی ریسکی که مناسب سیستم مدیریت امنیت اطلاعات باشد و شناسایی الزامات قانونی و نظارتی در زمینۀ امنیت کسب و کارها
توسعۀ معیارها برای پذیرش ریسک­ها و شناسایی سطح ریسک قابل قبول
شناسایی ریسک:
شناسایی دارایی­ هایی که در محدودۀ سیستم مدیریت امنیت اطلاعات قرار دارند و صاحب این دارایی­ ها
شناسایی تهدیدات مرتبط با این دارایی­ ها
شناسایی آسیب پذیری­هایی که ممکن است با تهدیدات مورد سوء استفاده قرار گیرند
شناسایی تأثیری که از دست دادن محرمانگی، درستی و در دسترس بودن می ­تواند برروی دارایی­ ها داشته باشد
تحلیل و ارزیابی ریسک:
ارزیابی تأثیرات عوامل تجاری مانند شکست­های امنیتی، در نظر گرفتن نتایج از دست دادن محرمانگی، صحت و دردسترس بودن دارایی­ ها برسازمان
ارزیابی واقع بینانۀ احتمال کلی رخ دادن خرابی­های امنیتی در اثر تهدیدات شایع، آسیب­پذیری­ها و تأثیر برروی دارایی­ ها و کنترل­های اخیر
تخمین سطوح ریسک­ها
تعیین این­که آیا ریسک قابل پذیرش است و یا این­که با بهره گرفتن از معیارهای پذیرش ریسک نیاز به ارزیابی دارد
شناسایی و ارزیابی گزینه­ ها برای از بین بردن ریسک. فعالیت­های ممکن در این زمینه عبارتند از:
اجرای کنترل­های مناسب
پذیرش ریسک به صورت آگاهانه و هدفمند و مشروط بر تأمین سیاست­های سازمان و مقبولیت معیارهای ریسک
اجتناب از ریسک
انتقال ریسک­های تجاری به سایر شرکای تجاری مانند تضمین کننده و تأمین کننده
انتخاب کنترل­ها برای اهداف و از بین بردن ریسک­ها
کسب مجوز مدیریت برای اجرا و ادارۀ سیستم مدیریت امنیت اطلاعات.
ایجاد کردن یک بیانیۀ قابل اجرا (استاندارد ایزو/آی ایی سی، ۲۰۰۵).

مشخصات زیرساخت­ها و پیاده­سازی
امروزه امنیت به یک موضوع پیچیده تبدیل شده، از این رو محافظت از زیرساخت­ها یک فعالیت جدی و ضروری محسوب می­ شود. در این راستا محصولات نرم افزاری زیادی ازجمله مدیریت امنیت اطلاعات وجود دارند که می­توانند به شرکت­ها برای مدیریت فرایند و متمرکز کردن اطلاعات مرتبط کمک نمایند (ناتان، ۲۰۰۵). باید در نظر داشت که شاید در گذشته، اهمیت زیرساخت­های پایۀ شبکه، به منظور توسعۀ یک طرح مؤثر حفاظت از داده ­ها، دست کم گرفته می­شد؛ اما امروزه با توجه به افزایش حجم داده ­ها در انواع طرح­های زیربنایی جدید، بیشترین اهمیت را دارد (گالسورتی، ۱۹۹۶)؛ در نتیجه توسعۀ هر پدیدۀ اجتماعی _ فنی، نیازمند زیرساخت­ها و الزاماتی است که ممکن است از خود سیستم مستقل باشند یا نباشند.
از این رو رشد تجارت الکترونیک، نیازمند زیرساخت­های انعطاف­پذیری است که می­توان آنها را در دو حوزۀ خرد و کلان در نظر گرفت؛ حوزۀ کلان به زیرساخت­هایی که باید توسط دولت­ها فراهم گردد، مربوط می­ شود و حوزۀ خرد به زیرساخت­هایی مربوط می­ شود که سازمان­ها به صورت جداگانه، باید برای خود فراهم نمایند. اما متأسفانه کشورهای در حال توسعه، معمولاً با کمبود زیرساخت­های ارتباطی خوب مواجهند در نتیجه مردم و کسب و کارها در کشورهای در
حال توسعه نمی ­توانند بدون وجود زیرساخت­های کافی در تجارت الکترونیک سرمایه ­گذاری کنند، علاوه بر آن ایجاد زیرساخت­های مورد اعتماد، امری پرهزینه است و در بسیاری از مواقع مسئولیت تأمین مالی زیرساخت­های مورد نیاز در کشورهای در حال توسعه، برعهده دولت است (آلجفری و همکاران، ۲۰۰۳).
البته در حوزۀ سازمان­ها، زیرساخت­های امنیتی، بیان کنندۀ پیاده­سازی سیاست­های امنیتی هستند. این زیرساخت­ها، در واقع تکنولوژی­هایی هستند که به منظور امن نگه داشتن کسب و کار الکترونیک و قواعدی که باید به آنها عمل کرد به کار می­روند و مستلزم مدیریت رفتار منابعIT و انسانی می­باشند، علاوه بر آن باید به طور منظم آنها را سیاست گذاری نمود و در نهایت، موارد تعیین­شده اجرا شوند و همچنین باید مجازات برای نقض سیاست­های امنیتی برای تمام کارمندان و شرکا روشن گردد (سنگوپتا و همکاران، ۲۰۰۵).
بر این اساس برای پیاده­سازی زیرساخت­های امنیتی در تجارت الکترونیک، سازمان­ها باید یک چارچوب کلی برای پیاده­سازی و توسعۀ برنامه ­های کاربردی ایجاد کنند، سپس می­توان الزامات را برای هریک از سطوح یا بخش­های تعریف شدۀ چارچوب، در نظر گرفت و با بهره گرفتن از این الزامات، طراحی اولیه از هر سطح چارچوب می ­تواند به صورت پیش نویس درآید که در واقع همان سیاست­های امنیتی است؛ در نهایت مطالعۀ جامع از سیستم، باید به منظور فهم روابط بین سطح و مفاهیم گسترۀ سیستم و فرصت­های طراحی ایجاد شده برای چارچوب هر سطح، ایجاد گردد.
در این فاز تحلیل­های حاصل از مشخصات الزامات امنیتی با مشخصات زیرساخت­های امنیتی که برگرفته از سیاست­های امنیتی است، برای ایجاد لیستی از ابزارهای مورد نیاز، به منظور حفاظت از دارایی­ ها به کار می­رود، سپس برای بدست آوردن، پیکربندی و گسترش در سطح سیستم مورد استفاده قرار می­گیرد.
۲-۴-۵-۱) استفاده از صادرکنندۀ گواهی دیجیتال:
گواهی دیجیتال، ساختمانی از داده ­ها است که کلید عمومی و اطلاعات هویتی صاحب کلید را به همراه اطلاعات احتمالی دیگر، دربر می­گیرد و با کلید خصوصی یک مرجع گواهی، امضاء می­ شود.
گواهینامۀ دیجیتال تصدیق می­ کند که دارندۀ کلید خصوصی یا عمومی، همان شخصی است که ادعا می­ کند؛ برای این منظور شخص ثالثی که به صادر کنندۀ گواهینامه معروف است، مسئولیت صدور گواهینامۀ دیجیتالی را بر عهده دارد و یک مقام مورد اعتماد است که گواهی­های دیجیتال را صادر و مدیریت می­نماید. او در واقع از یک زیرساخت کلید عمومی، برای انجام مدیریت چرخۀ عمر گواهی­های دیجیتال استفاده می­ کند. این گواهی­ها عموماً شامل کلید عمومی مالک، تاریخ انقضای گواهینامه، نام مالک و سایر اطلاعات هستند. در بعضی موارد صادر کنندگان گواهی دیجیتال، در تعدادی از وظایف اداری از قبیل ثبت­نام کاربر نهایی درگیر می­شوند، اما این وظایف اغلب به مقام ثبت­نام کننده واگذار می­گردد (ریووید، ۲۰۰۵).
در واقع به واسطۀ گواهینامه­های دیجیتالی، هویت صاحب یک کلید عمومی یا خصوصی، تأیید می­ شود؛ تمام مشترکان بالقوه پیش از اخذ گواهینامۀ دیجیتال توسط صادرکنندۀ گواهی، تصدیق هویت می­شوند. فرایند تصدیق هویت، از یک تأیید ساده در زمینۀ تعلق ایمیل به فردی خاص، تا فرایند پیچیدۀ تضمین اسناد و مدارک را در بر می­گیرد. فرایند جامع­تر
در این زمینه، ارائۀ اطمینان قوی نسبت به مشترکی که ادعا می­ کند، می­باشد. این را نباید فراموش کرد که گواهینامۀ دیجیتال، تنها مربوط به یک کلید با یک هویت است؛ نه متعلق به شخصی فیزیکی (مایک، ۲۰۱۲).
هنگامی که شخص درخواست یک متن را ارسال می­ کند، ابتدا از دریافت کننده می­خواهد که گواهینامه­های امضاء شده را بفرستد و فرستنده از کلید عمومی صادرکنندۀ گواهی دیجیتال، برای پنهان­سازی گواهینامه استفاده می­نماید. در این روش، فرستنده اطمینان خاطر بیشتری از صحت هویت دریافت کننده دارد و پس از پنهان­­سازی گواهینامه، فرستنده از کلید عمومی صادرکنندۀ گواهی دیجیتال، برای آشکارسازی متن استفاده می­ کند؛ در این صورت تنها کلید عمومی که فرستنده واقعاً مجبور به شناخت آن است، کلید عمومی صادرکنندۀ گواهی دیجیتال می­باشد. انواع گواهینامه­های موجود، شامل گواهینامه­های وب سایت، اشخاص، گواهینامۀ سازندگان نرم­افزارها و غیره است که حاوی نکاتی چون: مدت اعتبار، نام دارنده، اطلاعات کلید عمومی و یک هش^[۱۹۰] امضاء شده از داده ­های گواهینامه می­باشد (صنایعی، ۱۳۸۷).
گواهی­دیجیتال و مدیریت گواهی، از اجزا اصلی زیرساخت­های کلید عمومی هستند. یک صادرکنندۀ گواهی دیجیتال^[۱۹۱]، می ­تواند پس از بررسی کلید عمومی که به نام فرد است، گواهینامه­ای که گواه براین حقیقت باشد، را صادر نماید. صادر کننده، صدور گواهینامه را از طریق امضاء دیجیتال کلید عمومی افراد و اطلاعات مرتبط با آن انجام می­دهد و استاندارد X.509، فرمت لازم برای گواهی­های کلید عمومی را تعریف می­نماید؛ سپس این گواهی به مخزن گواهینامه­ها و لیست ابطال گواهی که نشان دهندۀ گواهی­های ابطال شده می­باشد، ارسال می­گردد. پس از آن کاربران می­توانند به مخزن اطلاعات دسترسی پیدا کنند (ناهاری و کراتز، ۲۰۱۱).

هانی­پات:
هانی­پات را می­توان برای جمع آوری اطلاعات، به منظور شناسایی همدست و پاسخ به سوالاتی از این قبیل به کار برد که چگونه باید در برابر نفوذگرانی که هویت آنها شناخته شده نیست و دانشی در مورد عملکرد و انگیزۀ آنها وجود ندارد، دفاع کرد و آنها را شکست داد؟ (آرتیل، سفا، سرج، کوواتلی و آلماسری^[۱۹۲]، ۲۰۰۶). اما در میان سایر تکنولوژی­های امنیتی همچون دیوارۀ آتش و سیستم­های تشخیص نفوذ، هانی­پات­ها سهم کوچکی در زمینۀ تشخیص نفوذ دارند؛ با این وجود قادرند که از حمله به اطلاعات منحصر به فرد جلوگیری نموده و آنها را به هر وسیله­ای، غیرقابل دسترس نمایند.
هانی­پات­ها منابع سیستم­های اطلاعاتی، فایروال­ها، مسیریاب­ها، سرورهای پایگاه داده، فایل­ها و مانند آن می­باشند و طراحی آنها به گونه ­ای است که شبیه سیستم­های تولیدی به نظر برسند، اما در واقع کار نمی­کنند. محققان با مشاهدۀ­ هانی­پات­ها، می­توانند راجع به علت حملات هکرها، زمان حمله، چگونگی حمله، آن­چه بعد از هجوم انجام می­ دهند و چگونگی ارتباط با یکدیگر در حین و پس از حمله اطلاعاتی بدست آورند؛ بنابراین هانی­پات یک سیستم دفاعی فعال برای امنیت شبکه می­باشد.
این سیستم حملات را به دام می­ اندازد، اطلاعات نفوذ در ابزارها و فعالیت­های مربوط به فرآیندهای هک را ثبت و از حملات خطرساز خارج از سیستم، جلوگیری می­ کند. در صورت ترکیب هانی پات با سایر راه­های امنیتی، بسیاری از معضلات سنتی حل می­گردد؛ از این رو هانی­پات یک ابزار ارزشمند برای کمک به فناوری امنیتی سنتی، به منظور بهبود عملکرد مربوط به آن می­باشد. باید در نظر داشت که وظیفۀ اصلی هانی­پات به دام انداختن حمله­ها و بدست آوردن اطلاعات نفوذ، در حالی که از دیگر حملات به سیستم جلوگیری می­ کند، است (ژانگ، ژو، کین و لییو^[۱۹۳]، ۲۰۰۳).
هانی­پات­ها براساس نوع استفاده­ای که از آنها می­ شود با یکدیگر تفاوت دارند. هانی­پات می ­تواند یک نرم­افزار شبیه­سازی، سیستم عامل با کارکرد کامل و تنظیمات پیش فرض، شبکۀ واقعی شامل سیستم عامل­های متفاوت و برنامه ­های کاربردی یا سیستمی باشد که صرفاً برنامه­ ها و سیستم­های دیگر را شبیه­سازی می­نماید. همین­طور می ­تواند از سلاح­های روانی مانند فریب دادن، بازداشتن، کم کردن یا متوقف کردن حملات استفاده نموده و حملات را شناسایی و ثبت کرده و به شناخته­های قبلی اضافه کند؛ این اطلاعات می ­تواند منجر به دانش بهتر از نفوذها شده که به نوبه خود به افزایش امنیت کلی شبکه کمک می­نماید.