14 مورد از بهترین best practice های امنیت داده‌ها - موارد 1 تا 4

یکی از چالش‌های مهمی که طراحان بانک‌های اطلاعاتی و کارشناسان امنیتی با آن روبرو هستند، نقض داده‌ای و نشت اطلاعات (Data Breach) است. درست است که بانک‌های اطلاعاتی و مخازن ذخیره‌سازی اطلاعات با خطر نفوذ و سرقت اطلاعات روبرو هستند، اما راهکارهایی وجود دارد که رعایت آن‌ها باعث می‌شود ریسک پیرامون بانک‌های اطلاعاتی و فایل‌های مهمی که روی کامپیوترها و سرورها قرار دارند را به میزان قابل توجهی کم کنیم. در این مجموعه مقالات با 14 مورد از بهترین الگوهایی که باعث می‌شوند امنیت داده‌ها بیشتر شوند، آشنا خواهیم شد. 

1. درک مفاهیم فناوری های مربوط به داده و پایگاه داده

پایگاه‌های داده‌ی در چند دهه‌ی گذشته پیچیده شده‌اند، زیرا قابلیت‌های کاربردی مختلفی همسو با پیشرفت‌های دنیای فناوری اطلاعات به آن‌ها افزوده شده است. پایگاه‌های داده‌ی رابطه‌ای، پر کاربردترین گزینه برای ذخیره‌سازی و نگه‌داری از داده‌ها هستند که به روش‌های مختلفی به نیازهای کاربران و مدیران پایگاه داده که مشاهده و دسترسی به داده‌ها است، پاسخ می‌دهند. 

رایج‌ترین زبانی که برای برقراری ارتباط با پایگاه‌های داده استفاده می‌شود، زبان پرس‌و‌جو ساخت یافته (SQL) مخفف Structured Query Language است. SQL به کاربران اجازه می‌دهد تا کوئری‌هایی که قابلیت اجرای سریع دارند را برای سرورهای پایگاه داده ارسال کنند. با این‌حال، اگر در هنگام طراحی بانک‌های اطلاعاتی اصول اولیه‌ی امنیتی رعایت نشده باشند، انعطاف‌پذیری بیش از اندازه، باعث بروز مشکلات مختلفی می‌شود. 

نکته‌ی مهمی که باید در این بخش به آن اشاره داشته باشیم این است که زبان SQL و نرم‌افزار مدیریت پایگا‌های داده‌ی مایکروسافت که SQL Server نام دارد، دو مفهوم کاملا متفاوت هستند. با این‌حال، همانند بیشتر پایگاه‌های داده، SQL Server از زبان پرس‌و‌جو ساخت یافته استفاده می‌کند.

سامانه‌های مدیریت پایگاه داده‌ی اولیه کاربر نهایی را به شکل مستقیم از طریق برنامه‌های کاربردی به داده‌ها متصل می‌کردند. در این مدل معماری، حفظ امنیت فیزیکی به طور معمول تمام آن چیزی بود که برای محافظت از داده‌ها به آن نیاز داشتیم. امروزه، شرکت‌ها برای بهبود عملکرد و امنیت پایگاه‌های داده یکی از مدل‌های زیر را انتخاب می‌کنند:

• مدل تک لایه (One-tier): در مدل تک لایه، پایگاه داده و برنامه‌ی کاربردی در یک سامانه‌ی واحد قرار دارند. این مدل بیشتر در سیستم‌های دسکتاپ که یک پایگاه داده‌ی مستقل را اجرا می‌کنند مورد استفاده قرار می‌گیرد. نسخه‌های اولیه‌ی سیستم‌عامل‌ یونیکس بر مبنای چنین معماری‌ای کار می‌کردند. در معماری فوق، هر کاربر به یک ترمینال وارد می‌شود و یک برنامه‌ی اختصاصی را اجرا می‌کند که به داده‌ها دسترسی دارد.
• مدل دو لایه (Two-tier): در یک مدل دو لایه، ایستگاه کاری کلاینت (کاربر) یا سیستمی که یک برنامه‌ی‌ کاربردی را اجرا می‌کند با پایگاه داده‌ای که روی سرور دیگری در حال اجرا است ارتباط برقرار می‌کند. مدل دو لایه، یک معماری رایج است و با بیشتر برنامه‌‌های کاربردی، عملکرد خوبی دارد. 
• مدل سه لایه (Three-tier): مدل سه لایه با ارائه یک سرور میانی که نقش واسط را دارد به شکل کارآمدی کاربر نهایی را از پایگاه داده جدا می‌کند. این سرور درخواست‌های کاربران را دریافت می‌کند، آن‌ها را ارزیابی می‌کند و برای پردازش به سرور پایگاه داده ارسال می‌کند. در ادامه، سرور بانک اطلاعاتی، داده‌ها را به سرور میانی ارسال می‌کند و در نهایت داده‌ها برای سیستم کلاینت ارسال می‌شوند. امروزه، بیشتر الگوهای طراحی پایگاه‌های داده بر مبنای مکانیزم فوق قرار دارند. علاوه بر این، سرور میانی می‌تواند دسترسی به پایگاه داده را کنترل کرده و امنیت را بهبود بخشد. 

NoSQL

پایگاه داده‌ی NoSQL در مقایسه با الگوی پایگا‌ه‌های داده‌ی رابطه‌ای مفهوم جدیدتری است. همان‌طور که اشاره شد، بیشتر سیستم‌های مدیریت پایگاه داده‌ی رابطه‌ای تجاری (Oracle، Microsoft SQL Server، MySQL، PostGres و غیره) از SQL استفاده می‌کنند. پایگاه داده‌ی NoSQL یک پایگاه داده‌ی رابطه‌ای نیست و در نتیجه از SQL استفاده نمی‌کند. این مدل پایگاه‌های اطلاعاتی کاربردهای خاصی دارند و اغلب در پروژه‌هایی که مبتنی بر مقیاس‌بندی (Scaling) هستند، استفاده می‌شوند. تفاوت‌های اصلی این دو فناوری در جدول زیر نشان داده شده است:

کلان داده‌ها (Big Data) 

برخی از سازمان‌ها مجبور به ذخیره‌سازی حجم زیادی از داده‌ها هستند که مقیاس آن‌ها به ترابایت می‌رسد. به طور معمول، این کلان داده‌ها  را نمی‌توان روی یک سرور منفرد ذخیره‌سازی کرد، از این‌رو، نیازمند راهکاری هستیم که SAN مخفف storage area network  نام دارد. SAN یک شبکه‌‌ی جداگانه پیاده‌سازی می‌کند که پیکربندی آن به صورتی است که به عنوان یک سرور در شبکه‌ی اصلی سازمانی پیاده‌سازی می‌شود. 

به طور مثال، چند سرور و دستگاه‌های ذخیره‌ساز شبکه‌ی، ممکن است به عنوان یک شبکه‌ی کوچک پیکربندی شوند که هدف همه‌ی آن‌ها ذخیره‌سازی داده‌هایی در مقیاس ترابایت است. این شبکه به شبکه‌ی اصلی (LAN) متصل است تا کاربران بتوانند بدون مشکل خاصی در ارتباط با پیچیدگی‌های موجود در SAN به داده‌های آن دسترسی داشته باشند. به طور معمول، SANها بر مبنای اتصالات فیبر نوری پرسرعت یا اتصالات مبتنی بر شبکه‌های اترنت پیاده‌سازی شده و دسترسی به آن‌ها انجام می‌شود. 

یکی از چالش‌های مرتبط با کلان داده‌ها افزایش خیلی سریع حجم آن‌ها است که باعث می‌شود، جستجو، ذخیره‌سازی، اشتراک‌گذاری، پشتیبان‌گیری و مدیریت آن‌ها دشوار شود. 

File system

سیستم‌ فایلی روش دیگری برای ذخیره‌ی داده‌های بدون ساختار و نظارت بر نحوه‌ی بازیابی آن‌ها است. بدون وجود File system، هیچ راهی برای تشخیص این مسئله که یک بخش از اطلاعات در چه مکانی ذخیره شده و بخش بعدی در چه مکانی قرار دارد، وجود ندارد. به ویژه زمانی که حجم عظیمی از اطلاعات روی هارد دیسک‌ها یا حافظه‌های حالت جامد قرار می‌گیرند. برای حل مشکل فوق، باید از راهکاری برای جداسازی داده‌ها به بخش‌های مختلف و تخصیص نام به آن‌ها استفاده کرد. در این حالت فرآیند جداسازی و شناسایی داده‌ها به شکل ساده‌تری انجام می‌شود. 

File system را می‌توان روی انواع مختلفی از رسانه‌ها، مانند SSD، هارد دیسک‌ها، نوارهای مغناطیسی و دیسک‌های نوری مشاهده کرد. هر یک از سیستم‌عامل‌های مدرن از File system مخصوص به خود استفاده می‌کنند. به عنوان مثال، لینوکس از File system مثل ext family، xfs و jfs استفاده می‌کند. سیستم‌عامل ویندوز از fat، fat32 و ntfs استفاده می‌کند و MacOS از apfs و hfs+ استفاده می‌کند.

2. شناسایی داده‌های حساس و طبقه‌بندی آنها

برای محافظت بهتر از داده‌ها، باید دقیقا بدانید چه نوع داده‌هایی در اختیار دارید. برای این منظور باید از مکانیزیم فناوری کشف داده‌ها استفاده کنید. فناوری کشف داده‌ها، با اسکن داده‌های شما گزارشی دقیق در ارتباط با نوع داده‌ها ارائه می‌کنند. سپس، می‌توانید داده‌ها را با استفاده از فرآیند طبقه‌بندی به گروه‌های مختلفی طبقه‌بندی کنید. موتور کشف داده به طور معمول از عبارات باقاعده برای جستجوهای خود استفاده می‌کند که انعطاف‌پذیری زیادی دارد، اما طراحی آن پیچیده است. 

به‌کارگیری فناوری کشف و طبقه‌بندی داده‌ها کمک می‌کند دسترسی کاربر به داده‌های حیاتی را کنترل کنید و از ذخیره‌سازی داده‌ها  در مکان‌های غیر ایمن اجتناب کنید، بنابراین خطر نگه‌داری داده‌ها در مکان‌های پر خطر و از دست رفتن داده‌ها کاهش پیدا می‌کند. نکته‌ی مهمی که باید در این بخش به آن اشاره کنیم این است که همه‌ی داده‌های حساس یا حیاتی باید با امضای دیجیتالی برچسب‌گذاری شوند تا بتوان بدون مشکل طبقه‌بندی آن‌ها را مشاهده کرد. در ادامه، می‌توان بر مبنای ارزشی که برای سازمان دارند به محافظت از آن‌ها پرداخت. ابزارهایی مانند Netwrix Data Classification، می‌توانند فرآیند کشف و طبقه‌بندی داده‌ها را آسان‌تر و دقیق‌تر کنند.

دقت کنید، هنگامی که داده‌های جدیدی ایجاد، ویرایش، ذخیره یا انتقال داده می‌شوند، طبقه‌بندی باید به‌روز شود. با این حال، باید از مکانیزم‌های کنترلی برای پیشگیری از بروز مشکل جعل سطح طبقه‌بندی از سوی کاربران استفاده کرد. به عنوان مثال، فقط کاربران ممتاز یا مدیران پایگاه داده توانایی تغییر در طبقه‌بندی داده‌ها را داشته باشند. 

برای تعریف یک خط‌مشی قدرتمند در ارتباط با طبقه‌بندی ‌داده‌ها، باید نکاتی که اشاره شد را دنبال کنید. فراموش نکنید فرآیند کشف و طبقه‌بندی داده‌ها را به عنوان بخشی از فرآیند ارزیابی ریسک فناوری اطلاعات انجام دهید.

3. ایجاد یک خط‌مشی در استفاده از داده‌ها

طبقه‌بندی داده‌ها به تنهایی کافی نیست. شما باید یک خط‌مشی ایجاد کنید که انواع دسترسی، شرایط دسترسی به داده‌ها را بر اساس طبقه‌بندی، افرادی که به داده‌ها دسترسی دارند، استفاده صحیح از داده‌ها و غیره را مشخص کند. در هنگام تدوین خط‌مشی امنیتی باید به این نکته دقت کنید که تخطی از خط‌مشی‌ها چه پیامدهایی برای کارمندان به همراه خواهد داشت. 

4. کنترل دسترسی به داده‌های حساس

همچنین، باید از کنترل‌های دسترسی مناسب در ارتباط با داده‌ها استفاده کنید. این کنترل‌ها حداقل مجوزها را برای دسترسی به اطلاعات در اختیار کاربران قرار می‌دهند. به عبارت دیگر، کاربران تنها مجوزهایی را دریافت کنند که برای انجام فعالیت‌ها به آن‌ها نیاز دارند. رویکرد فوق کمک می‌کند تا اطمینان حاصل شود که کارمندان تنها به داده‌هایی که نیاز دارند دسترسی خواهند داشت. همان‌گونه که در ادامه شرح داده خواهد شد، کنترل‌های دسترسی می‌توانند فیزیکی، فنی یا مدیریتی/اجرایی باشند.

کنترل‌های اجرایی/مدیریتی (Administrative controls)

کنترل‌های دسترسی اجرایی، رویه‌ها و خط‌مشی‌هایی هستند که همه‌ی کارکنان باید از آن‌ها پیروی کنند. یک خط‌مشی امنیتی می‌تواند اقداماتی را که قابل قبول تلقی می‌شوند، سطح ریسکی که شرکت مایل به قبول آن‌ها است، مجازات‌هایی در صورت تخطی و غیره را فهرست کند. این خط‌مشی را متخصصانی تهیه می‌کنند که اهداف کسب‌وکار را به خوبی می‌شناسند. 

ساختار نظارتی (Supervisory structure) یکی از مفاهیم مهم مرتبط با کنترل‌های اجرایی است. تقریبا همه سازمان‌ها، مدیران بخش‌های مختلف را مسئول فعالیت‌های کارکنان خود می‌دانند تا اگر کارمندی از کنترل‌های اجرایی تخطی کرد، کارمند و سرپرست با هم پاسخ‌گو باشند.

آموزش و آگاهی‌رسانی به پرسنل

باید برنامه‌های آموزشی شخصی تدوین شوند تا کاربران از خط‌مشی‌های مرتبط با داده‌های سازمانی آگاه شوند و تاکید شود که امنیت مقوله جدی برای شرکت است. دقت کنید که آموزش، فرآیند مستمری است و باید به طور دوره‌ای انجام شود، تاثیرگذاری آن آزمایش شود تا اطمینان حاصل شود کارمندان به خوبی با مخاطرات پیرامون داده‌ها آشنا هستند. 

درست است که ابزارها و تمهیدات امنیتی برای محدود کردن کارهایی که کاربران می‌توانند انجام دهند وجود دارد، اما این ابزارها کامل نیستند. اگر کاربران پیوست‌های ایمیلی را باز کنند، احتمال این‌که برخی از حمله‌های روز صفر (Zero-day) یا سوء استفاده‌های دیگری که در پایگاه داده آنتی ویروس فهرست نشده است، امنیت پایگاه داده را به خطر بیاندازند، زیاد می‌شود. از این‌رو، کاربران باید در مورد مسئولیت‌هایی که متوجه آن‌ها است و شیوه‌های استفاده درست از رایانه‌ها آموزش‌های لازم را ببینند.

نکاتی که باید هنگام خروج کارمندان از سازمان‌ها دقت کنید 

اطمینان از این موضوع که هر کارمند در حال خروج از سازمان به زیرساخت فناوری اطلاعات دسترسی ندارد، نکته بسیار مهمی در جهت حفظ امنیت سامانه‌ها و داده‌ها است. در این مورد باید با کارمندان منابع انسانی سازمان در تعامل باشید تا بدانند، هنگامی که کارمندی سازمان را ترک کرد باید چه اقداماتی را انجام دهند. یکی از ابتدایی‌ترین اقدامات در این زمینه غیرفعال کردن حساب کاربری فردی است که سازمان را ترک کرده است. در بیشتر موارد توصیه می‌شود، برای حفظ سوابق و دسترسی به فعالیت‌های کارمند، حساب کاربری او را به طور کامل پاک نکنید، بلکه آن‌را غیرفعال کنید. 

کنترل‌های فنی

در بیشتر موارد، کاربران نباید اجازه داشته باشند که داده‌های حساس را به صورت محلی کپی یا ذخیره کنند. علاوه بر این، در صورت نیاز باید راهکاری برای دسترسی از راه دور به داده‌ها در اختیارشان قرار دهید. کش هر دو سیستم، کلاینت و سرور، باید پس از خروج کاربر یا اتمام یک جلسه (Session)، به طور کامل پاک شود. در حالت ایده‌آل، داده‌های حساس نباید هیچ‌گاه در سیستم‌های قابل حمل ذخیره شوند. همه سیستم‌ها باید مجهز به مکانیزم login باشند و اگر کاربران برای مدت زمان کوتاهی از سامانه‌ها استفاده نکردند، سامانه‌ها قفل شوند. 

مجوزها (Permissions)

مجوزهای کارمندان باید بر اساس اصل حداقل امتیازات تخصیص داده شود. به طور مثال، در سیستم‌ عامل مایکروسافت مجوزهای اولیه‌ی File System به شرح زیر است:

• کنترل کامل (Full Control): کاربر می تواند فایل‌ها را بخواند، اجرا کند، تغییر دهد و حذف کند. در این حالت مالکیت کاملی بر فایل‌ها دارد. 
• اصلاح (Modify): کاربر می‌تواند فایل را بخواند، بنویسد و حذف کند.
• خواندن و اجرا کردن (Read and Execute): کاربر می‌تواند فایل اجرایی را اجرا کند یا محتوای فایل‌های متنی را بخواند.
• خواندن (Read): کاربر می‌تواند فایل را بخواند، اما نمی‌تواند آن را تغییر دهد.
• نوشتن (Write): کاربر می‌تواند فایل را بخواند و تغییر دهد، اما قادر به حذف آن نیست. 

مجوزهای قابل ارائه به پوشه‌ها یکسان با فایل‌ها هستند، همچنین، فهرست محتویات پوشه نیز وجود دارد که به کاربر امکان می‌دهد آن‌چه در یک پوشه قرار دارد را مشاهده کنند، اما قادر به خواندن فایل‌ها نخواهند بود. 

لیست‌های کنترل دسترسی (Access control lists)

لیست کنترل دسترسی، لیستی است که مشخص می‌کند چه افرادی به چه منبعی و در چه سطحی دسترسی داشته باشند. رویکرد فوق می‌تواند در سطح سیستم‌عامل یا برنامه کاربردی تعریف شود. به عنوان مثال، یک برنامه‌ی سفارشی ممکن است یک فهرست کنترل دسترسی داشته باشد که شامل فهرستی از کاربران و مجوزهای تخصیص داده شده به آن‌ها است. 

لیست‌های کنترل دسترسی (Access control lists) می‌توانند بر مبنای اصل لیست‌های سفید یا سیاه (whitelists یا  blacklists) تعریف شوند. لیست سفید فهرستی از موارد مجاز است، مانند فهرستی از وب‌سایت‌هایی که کاربران مجاز به بازدید از آن‌ها با استفاده از رایانه‌های شرکت هستند یا فهرستی از نرم‌افزارهایی که مجاز به نصب بر روی رایانه‌های شرکت هستند. لیست‌های سیاه فهرستی از موارد ممنوعه هستند، مانند وب‌سایت‌های خاصی که کارمندان مجاز به بازدید از آن‌ها نیستند یا نرم‌افزارهایی که نصب آن‌ها بر روی رایانه‌های شرکت ممنوع است.

در فرآیند مدیریت فایل‌ها، فهرست‌های کنترل دسترسی سفید بیشتر مورد استفاده قرار می‌گیرند و در سطح File System پیکربندی می‌شوند. به عنوان مثال در ویندوز، می‌توانید مجوزهای NTFS را پیکربندی کنید و لیست‌های کنترل دسترسی NTFS بر مبنای آن‌ها ایجاد کنید. به یاد داشته باشید که کنترل‌های دسترسی باید در هر برنامه‌ای که دارای کنترل دسترسی مبتنی بر نقش (application that has role base access control)  هستند، اجرا شود. 

روش‌ها و دستگاه‌ها امنیتی

دستگاه‌ها و سیستم‌های خاصی وجود دارند که کمک می‌کنند دسترسی به داده‌ها را محدود کنید. از مکانیزم‌های رایج‌ باید به موارد زیر اشاره کرد:

پیشگیری از بروز مشکل از دست دادن داده‌ها (Data loss prevention): این فناوری، ایستگاه‌های کاری، سرورها و شبکه‌ها را زیر نظر می‌گیرد تا مطمئن شود که داده‌های حساس حذف، جابجا یا کپی نمی‌شوند. همچنین، بر عملکرد افرادی که از داده‌ها استفاده می‌کنند و آن‌ها را انتقال می‌دهند نظارت می‌کند تا امکان شناسایی فعالیت‌های مشکوک یا خارج از عرف وجود داشته باشد. 

دیوارآتش (Firewall): یکی از اولین خطوط دفاعی در شبکه‌ها است که امکان جدا کردن یک شبکه از دیگری را فراهم می‌کند. فایروال‌ها می‌توانند سیستم‌های مستقل باشند یا می‌توانند به شکل توکار در دستگاه‌های زیرساخت مانند روترها یا سرورها قرار داشته باشند. دیوارهای آتش به هر دو حالت سخت‌افزاری و نرم‌افزاری در دسترس قرار دارند.

برخی از فایروال‌ها به عنوان تجهیزاتی در دسترس هستند که وظیفه جداسازی دو شبکه را بر عهده دارند. فایروال‌ها ترافیک نامطلوب را از ورود به شبکه‌ی سازمانی حذف می‌کنند تا مانع بروز مشکل نشت داده‌ها و ارسال داده‌های حساس سازمانی به سرورهایی شوند که تحت کنترل هکرها قرار دارد. بسته به خط‌مشی تعریف شده در فایروال سازمانی، ممکن است تمام یا بخشی از ترافیک ورودی یا خروجی به شبکه، مسدود شود یا ممکن است هنگامی که ترافیک خاصی قصد ورود یا خروج از شبکه را دارد به یک تایید نیاز باشد. 

کنترل دسترسی به شبکه (Network access control): رویکرد فوق شامل محدود کردن دسترسی به منابع شبکه برای دستگاه‌های End Point است. برخی از راه‌حل‌های NAC می‌توانند به طور خودکار یک گره‌ی غیر مجاز را شناسایی کنند و مانع دسترسی آن به منابع شبکه شوند. همچنین، بسته به خط‌مشی امنیتی تعریف شده، قادر به تشخیص این مسئله هستند که کاربران مجاز به چه منابعی دسترسی خواهند داشت. 

NAC زمانی مفید است که تعداد مشخص و ثابتی از کاربران در شبکه قرار دارند و باید به شکل دقیقی بر عملکرد آن‌ها نظارت کرد. از این‌رو، در محیط‌هایی که شامل مجموعه‌ی متنوعی از کاربران و دستگاه‌هایی هستند که به طور مرتب در حال تغییر هستند، عملکرد فناوری فوق خیلی کارآمد نیست. NAC می‌تواند دسترسی دستگاه‌های غیرمجاز به شبکه سازمانی را مسدود کند. 

سرور پروکسی (Proxy server): این فناوری به عنوان مذاکره‌کننده (negotiators) مسئولیت رسیدگی به درخواست‌های نرم‌افزاری کلاینتی را دارد که قصد دارند به منابع سرور دسترسی پیدا کنند. یک کلاینت به سرور پروکسی متصل می‌شود و خدماتی را درخواست می‌کند (مثلا دسترسی به یک وب سایت). سرور پروکسی درخواست را ارزیابی می‌کند و سپس آن‌را مجاز دانسته یا رد می‌کند. در سازمان‌ها به طور معمول از سرورهای پراکسی برای فیلتر کردن ترافیک و بهبود عملکرد استفاده می‌شود. سرورهای پروکسی از جمله فناوری‌هایی هستند که مانع از آن می‌شوند تا هکرها بتوانند به داده‌های حساس شبکه‌ی سازمانی دسترسی پیدا کنند. 

کنترل‌های فیزیکی

یکی از جنبه‌های نادیده امنیت داده‌ها، امنیت فیزیکی است. داشتن یک خط‌مشی ضعیف که امنیت فیزیکی در آن لحاظ نشده است، خطر از دست دادن داده‌ها یا افشا داده‌ها را دوچندان می‌کند. ایستگاه‌های کاری باید به قفل‌های فیزیکی تجهیز شده باشند تا امکان انتقال آن‌ها به خارج از شبکه سازمانی وجود نداشته باشد.

 علاوه بر این، کیس‌ها باید با قفل‌هایی ایمن شوند تا نتوان کیس را باز کرد و مولفه‌های داخلی آن‌را مشاهده کرد. در صورت عدم توجه به مسئله‌ی فوق، هارد دیسک‌ها یا سایر مولفه‌های حساسی که داده‌ها را ذخیره‌سازی می‌کنند، به راحتی در دسترس افراد غیرمجاز قرار می‌گیرند. همچنین، بایوس سیستم باید با رمزعبور محافظت شده باشد تا افراد غیرمجاز موفق نشوند تنظیمات بوت سیستم را تغییر دهند تا سیستم از طریق سیستم‌عامل‌هایی که روی رسانه‌های قابل حمل قرار دارد، بوت شوند. علاوه بر این، دستگاه‌های سیار مانند تلفن‌های هوشمند، تبلت‌ها، لپ‌تاپ‌ها، درایوهای فلش USB، آی‌پاد و دستگاه‌های دارای بلوتوث نیازمند توجه ویژه هستند. 

امنیت لپ‌تاپ

در مورد لپ‌تاپ‌ها، بزرگ‌ترین نگرانی‌ در ارتباط با سرقت یا مفقود شدن آن‌ها است که هر دو حالت، شانس دسترسی به داده‌های ذخیره شده روی هارد دیسک‌ها یا حافظه‌های حالت جامد دستگاه را زیاد می‌کند. رمزگذاری کامل دیسک باید در هر لپ‌تاپ سازمانی اعمال شود. همچنین، اتصال به هات‌اسپات‌های وای‌فای عمومی کار عاقلانه‌انی نیست، مگر این‌که از یک کانال ارتباطی امن مانند VPN یا SSH استفاده شود. هکرها می‌توانند، اطلاعات حساس کاربری را از طریق حملات پیرامون شبکه‌های بی‌سیم سرقت کنند و امنیت شبکه‌ی سازمانی را با چالش جدی روبرو کنند. 

امنیت تجهیزات سیار 

دستگاه‌های سیار می‌توانند ویروس‌ها یا بدافزارهای مختلفی را به شبکه‌ی سازمانی انتقال دهند که در نهایت باعث می‌شود، داده‌های حساس از سرورهای سازمان استخراج و برای هکرها ارسال شوند. به همین دلیل، دستگاه‌های تلفن همراه باید به شدت کنترل شوند. دستگاه‌هایی که مجاز به اتصال هستند باید از نظر عاری بودن از ویروس‌ها اسکن شوند. علاوه بر این، اطلاعات روی دستگاه‌های قابل حمل باید رمزگذاری شوند. استفاده از NAC برای این منظور عالی است.

تلفن‌های هوشمند اغلب حاوی اطلاعات حساس هستند، اما متاسفانه از مکانیزم‌های امنیتی کمتری به نسبت لپ‌تاپ‌ها برای محافظت از اطلاعات ذخیره‌سازی شده روی آن‌ها استفاده می‌شود. دستگاه‌های سیاری که قادر به دسترسی به داده‌های حساس هستند بهتر است با استفاده از گذرواژه‌ها ایمن شوند.

یکی دیگر از ابزارهای نشت داده‌ها، دوربین‌های نصب شده روی گوشی‌های هوشمند است که می‌توانند عکس‌ها و فیلم‌هایی با وضوح بالا ضبط کنند یا صدایی با کیفیت را ضبط کنند. محافظت از اسناد حساس در برابر دستگاه‌های تلفن همراهی که آلوده به بدافزارهایی هستند که ممکن است بدون اطلاع کاربر اقدام به عکس‌برداری یا فیلم‌برداری کنند، سخت است. از این‌رو، توصیه می‌شود، استفاده از گوشی‌های دوربین‌دار را هنگام ورود به جلسات مهم ممنوع کنید. 

تقسیم‌بندی شبکه (Network segregation)

تقسیم‌بندی شبکه به معنای مجزا کردن واحدهای منطقی یا عملکردی از یکدیگر تحت عنوان مناطق (Zones) است. در این حالت، می‌توان برای هر منطقه قواعد خاص مرتبط با طبقه‌بندی داده‌ها را مشخص کرد. مزیتی که روش منطقه‌بندی دارد این است که می‌توان از سطوح امنیتی مختلفی برای دسترسی به شبکه و نظارت بر آن استفاده کرد. 

علاوه بر این، اگر منطقه‌ای با آسیب‌پذیری یا حمله‌ی هکری روبرو شود، امکان ایزوله کردن آن منطقه وجود دارد. تکنیک تقسیم‌بندی شبکه، باعث می‌شود یک هدف به چند هدف تقسیم شوند که سردرگمی مهاجمان را به همراه دارد. 

در این حالت هکرها مجبور هستند هر بخش را به‌عنوان یک شبکه جداگانه در نظر بگیرند و عملیات موازی مختلفی را انجام دهند که ضریب شناسایی آن‌ها را زیاد می‌کند یا آن‌ها را مجبور خواهد کرد یک شبکه را انتخاب کرده و سعی کنند از شکاف امنیتی آن عبور کنند. هیچ کدام از این دو گزینه مورد علاقه هکرها نیست. 

زیر نظر گرفتن هر بخش به عنوان یک شبکه جداگانه، به وقت و کار زیادی نیاز دارد، زیرا مهاجم باید برای حمله به هر بخش از یک مکانیزم مشخص استفاده کند و همان‌گونه که اشاره شد، فرآیند شناسایی را به شکل چشم‌گیری بیشتر می‌کند. انصراف از حمله به یک بخش و تلاش برای حمله به بخش دیگر کار دشواری است، زیرا هر بخش بر مبنای مکانیزم‌های امنیتی مختلفی محافظت می‌شود و حتی در برخی از مناطق ممکن است از ابزارهای امنیتی پیشرفته‌تری برای نظارت دقیق بر ترافیک وارد یا خارج شوند به شبکه استفاده شده باشد. به طور مثال، دسترسی به سرورهای دامنه که برای اعمال مدیریت متمرکز استفاده می‌شوند کار سختی است، زیرا بالاترین سطح از مکانیزم‌های امنیتی در ارتباط با این سرورها استفاده می‌شوند. 

نظارت تصویری (Video surveillance)

نظارت بر تمامی تجهیزات سخت‌افزاری شرکت از طریق دوربین‌های ویدئویی با حسگرهای حرکتی و قابلیت دید در شب راهکار بزرگی است که باید مورد توجه قرار گیرد. این ابزارها برای شناسایی افراد غیرمجاز که سعی در سرقت داده‌های شما از طریق دسترسی مستقیم به سرورهای فایل، آرشیو یا نسخه‌های پشتیبان دارند و همچنین شناسایی افرادی که از داده‌های حساس عکس می‌گیرند، ضروری است. 

قفل کردن (Locking)

محل کار و هر وسیله‌ای که از آن استفاده می‌شود، نباید به حال خود رها شوند. به عنوان مثال، درها، کشوهای میز و پنجره‌ها باید قفل شوند و کاغذها روی میز قرار نگیرند. اسناد حساس باید در کمدهای قفل‌دار قرار بگیرند و زمانی که دیگر نیازی به آن‌ها نیست از بین بروند. همچنین، هرگز کلیدهای دسترسی، کارت شناسایی، کدهای قفل و غیره را به اشتراک نگذارید یا در مکان‌های عمومی قرار ندهید. 

قبل از دور انداختن یا فروختن دیسک درایو، تمام اطلاعات آن‌را به طور کامل پاک کنید و مطمئن شوید که داده‌ها دیگر قابل بازیابی نیستند. هارد دیسک‌های قدیمی و سایر دستگاه‌های فناوری اطلاعات که حاوی اطلاعات حیاتی هستند، باید به طور فیزیکی نابود شوند. بهتر است، فردی مسئول نظارت بر فرآیند امحا باشد. 

جمع بندی

در این مقاله به 4 مورد از best practice های امنیت داده پرداختیم. در مقاله ی بعد به توضیح و بررسی موارد بیشتر می پردازیم.