تست امنیت اطلاعات برای مدیران انفورماتیک

۱-اگر امنیت اطلاعات را افزایش دهیم ، كارایی كاهش پیدا می كند. درست یا غلط ؟
درست – امنیت اطلاعات هزینه مربوط به خودش را دارد. افزایش امنیت اطلاعات ممكن است به روالهای موثر اضافی از جمله «تكنولوژی» و «سرمایه گذاری » نیاز داشته باشد.
افزایش امنیت اطلاعات ممكن است پیشرفت جریان كار را با كندی مواجهه كند و این امر ممكن است در كارایی افراد و شبكه شما نمود پیدا كند. امنیت اطلاعات ممكن است به معنی قفل كردن ایستگاه های كاری و محدود كردن دسترسی به اتاقهای كامپیوتر و سرور شما باشد. هر سازمانی باید هنگامی كه به مقوله امنیت اطلاعات می پردازد به صورت اندیشمندانه ای بین خطرات ( Risks ) و كارآیی توازن برقرار كند.

۲-پیكربندی یك دیواره آتش (Firewall ) به صورت كامل ما را در مقابل حملات خارجی ایمن می كند. درست یا غلط ؟
غلط – آمارهای انستیو امنیت كامپیوتر نشان می دهد كه ۳/۱ شركتهایی كه از دیواره آتش استفاده كرده اند هنوز از دست نفوذگران بد اندیش در امان نمانده اند. اولین كاركرد دیواره آتش بستن پورتهای مشخص می باشد به همین دلیل در بعضی از مشاغل نیاز است كه بعضی از پورتها باز باشد. هر پورت باز می تواند یك خطری را برای سازمان ایجاد كند و یك معبر برای شبكه شما باشد.
ترافیكی كه از میان یك پورت می گذرد را باید همیشه به صورت سختگیرانه ای دیده بانی (Monitor) كرد تا تمامی تلاشهایی كه منجر به نفوذ در شبكه می شود شناسایی و گزارش شود.
یك دیواره آتش به تنهایی نمی تواند یك راه حل جامع باشد و باید از آن به همراه تكنولوژی های IDS -Intrusion Detection System  و روشهای تركیبی استفاده كرد.

 

۳-حملاتی كه توسط نفوذگران خارجی انجام می گیرد نسبت به حملات كارمندان داخلی هزینه بر تر و خسارت بار تر می باشد. درست یا غلط ؟
غلط- حملات كارمندان داخلی نوعا بسیار خسارت بار تر از حملات خارجی گزارش شده است. بر طبق آمارهای انستیتو امنیت كامپیوتر (Compuetr Security Inistitu ) میانگین حملات خارجی ۵۷۰۰۰دلار و میانگین هزینه حملات داخلی ۲۷۰۰۰۰۰ دلار برآورد شده است.
كارمندان داخلی اطلاعات محرمانه بیشتری درباره سیستم های هدف در دسترس دارند از آن جمله می توان اطلاعاتی درباره فعالیت های دیده بانی (Monitoring ) را نام برد (به خصوص نقاط ضعف این فعالیتها).

۴-اگر دیواره آتش من به صورت مناسبی پیكر بندی شود دیگر نیازی به دیده بانی بیشتر ترافیك شبكه نمی باشد. درست یا غلط ؟
غلط – همیشه نفوذگران خبره می توانند یك دیواره آتش را در هم شكنند و به آن نفوذ كنند. به همین دلیل دیده بانی كلیدی برای هر برنامه امنیت اطلاعات می باشد. فراموش نكنید كه دیواره آتش نیز ممكن است هك شود و IDS ها راهی می باشند برای اینكه بدانید چه سیستم هایی در شرف هك شدن می باشند.

۵-دیواره های آتش باید به گونه ای پیكربندی شوند كه علاوه بر ترافیك ورودی به شبكه ، ترافیك های خروجی را نیز كنترل كنند . درست یا غلط؟
درست – بسیاری از سازمانها توجه زیادی به محدود كردن ترافیك ورودی خود دارند ، اما در مقایسه توجه كمتری در مسدود كردن ترافیك خروجی از شبكه را دارند. خطرات زیادی ممكن است در درون سازمان وجود داشته باشد. یك كارمند ناراضی یا یك نفوذگر كه شبكه شما را در دست گرفته است ، ممكن است كه بخواهد اطلات حساس و محرمانه شما را برای شركت رقیب بفرستد.

۶-امنیت اطلاعات به عنوان یك مبحث تكنولوژیكی مطرح است درست یا غلط ؟
غلط – امنیت اطلاعات یك پی آمد تجاری – فرهنگی می باشد. یك استراتژی جامع امنیت طلاعات باید شامل سه عنصر باشد: روالها و سیاستهای اداری ، كنترل دسترسی های فیزیكی ، كنترل دسترسی های تكنیكی . این عناصر – اگر به صورت مناسبی اجرا شود – مجموعا یك فرهنگ امنیتی ایجاد می كند. بیشتر متخصصین امنیتی معتقدند كه تكنولوژیهای امنیتی فقط كمتر از ۲۵ درصد مجموعه امنیت را شامل می شوند. حال آنكه در میان درصد باقیمانده آنچه كه بیشتر از همه نمود دارد ،« افراد » می باشند. (كاربر انتهایی) افراد یكی از ضعیف ترین حلقه ها ، در هر برنامه امنیت اطلاعات می باشند.

۷-هرگاه كه كارمندان داخلی ناراضی از اداره اخراج شوند ، خطرات امنیتی از بین می روند. درست یا غلط ؟
غلط – به طور واضح غلط است. برای شهادت غلط بودن این موضوع می توان به شركت Meltdown اشاره كرد كه لشكری از كارمندان ناراضی اما آشنا به سرقتهای كامپیوتری برای خود ایجاد كرده بود. بر طبق گفته های FBI حجم فعالیتهای خرابكارانه از كارمندان داخلی افزایش یافته است. همین امر سازمانها را با خطرات جدی در آینده مواجهه خواهد كرد.

۸-نرم افزارهای بدون كسب مجوز (Unauthorized Software ) یكی از عمومی ترین رخنه های امنیتی كاربران داخلی می باشد. درست یا غلط ؟
درست – رخنه ها (Breaches ) می تواند بدون ضرر به نظر بیاید ، مانند Screen Saver های دریافت شده از اینترنت یا بازی ها و …
نتیجه این برنامه ها ، انتقال ویروس ها ، تروجانها و … می باشد. اگر چه رخنه ها می تواند خطرناكتر از این باشد. ایجاد یا نصب یك برنامه كنترل از راه دور كه می تواند یك در پشتی (Backdoor ) قابل سوءاستفاده ای را در شبكه ایجاد كند كه به وسیله دیواره آتش نیز محافظت نمی شود.
بر طبق تحقیقاتی كه توسط ICSA.net و Global Integrity انجام شده است بیش از ۷۸ درصد گزارش ها مربوط به ایجاد یك رخنه در نرم افزار دریافتی از افراد یا سایتهای ناشناخته است.

۹- رمزهای عبور می تواند جلو كسانی كه دسترسی فیزیكی به شبكه را دارند ، بگیرد. درست یا غلط ؟
غلط – كلمات رمز نوعا خیلی كم می توانند جلو كارمندان داخلی و خبره را بگیرند. بسیاری از سازمانها تمامی تلاش خود را روی امور تكنیكی امنیت اطلاعات صرف می كنند و در برخورد با مسائل اداری و كنترل دسترسی فیزیكی لازم برای ایجاد یك محافظت مناسب ، با شكست مواجه می شوند.

۱۰-یك نام كاربری و یك رمز عبور می تواند شبكه ما را از ارتباط با یك شبكه غیردوستانه (Unfriendly) محافظت كند. درست یا غلط ؟
غلط – یك ارتباط فیزیكی و یك آدرس شبكه همه آنچیزی می باشد كه یك نفوذگر برای نفوذ در شبكه نیاز دارد.با یك ارتباط می توان تمامی ترافیك شبكه را جذب كرد (به این كار Sniffing می گویند) . مهاجم قادر است با استفاده از تكنیكهای Sniffing كل ترافیك حساس شبكه ، شامل تركیباتی از نام كاربری/رمز عبور را جذب كند و در حملات بعدی از آنها استفاده كند.

۱۱-خسارتهای ناشی از سایتهای فقط اطلاعاتی كمتر از سایتهای تجاری می باشد. درست یا غلط؟
درست – درست است كه خطرهای مالی در سایتهای فقط اطلاعاتی كمتر از سایتهای تجاری می‌باشد ولی خطر مربوط به شهرت و اعتبار، آنها را بیشتر تهدید می كند. سازمانها نیازمند این می‌باشند كه مدام سایت های اطلاع رسانی را بازبینی كنند تا به تهدید های احتمالی شبكه‌های خود خیلی سریع پی ببرند و در مقابل آنها واكنش نشان دهند تا از خسارتهایی كه ممكن است شهرت آنها را بر باد دهد جلوگیری كنند.

۱۲-هیچكس در سازمان نباید به رمزهای عبور دسترسی داشته باشد به جز مدیر امنیت شبكه . درست یا غلط ؟
غلط – هیچ كس در سازمان نباید به كلمات رمز كاربران دسترسی داشته باشد ، حتی مدیر امنیتی شبكه! رمزهای عبور باید به صورت رمز شده (Encrypted ) ذخیره شوند. برای كاربران جدید ابتدا با یك رمز عبور ساخته شده اجازه ورود به شبكه داده می شود و پس از آن باید روالی قرار داد تا كاربران بتوانند در هر زمانی كلمات رمز خود را تغییر دهند. همچنین باید سیاستهایی را برای مواردی كه كاربران رمزهای عبور خود را فراموش كرده اند در نظر گرفت.

۱۳- رمزگذاری باید برای ترافیك های داخلی شبكه به خوبی ترافیك خروجی شبكه انجام گیرد. درست یا غلط ؟
درست – به عنوان یك نكته باید گفت كه فرآیند Sniffing (جذب داده هایی كه روی شبكه رد و بدل می شود) به عنوان یك خطر امنیتی داخلی و خارجی مطرح می‌شود.

۱۴-امنیت داده ها در طول انتقال آنها هدف رمزگذاری است . درست یا غلط؟
غلط – رمزگذاری همچنین می تواند جامعیت (Integrity) ، تصدیق (Authentication) و عدم انكار (nonrepudiation) داده ها را نیز پشتیبانی كند.