آزمون امنیت اطلاعات

متن زیر یك تست سریع و آموزنده می باشد كه به برخی از سوالات شما در زمینه امنیت اطلاعات پاسخ می دهد. همانطور كه خواهید دید به صورت پرسش و پاسخ بیان شده است.

باب امنیت اطلاعات اغلب پیچیده می باشد. بر همین اساس این مبحث به برخی از سوالاتی كه ممكن است برای شماایجاد شود ، پاسخ داده است و پیشنهاداتی را برای آن ارائه داده است تا به سادگی قبول كنید كه سیستم های شما نیز ممكن است در معرض خطر قرار گیرد.

1-اگر امنیت اطلاعات را افزایش دهیم ، كارایی كاهش پیدا می كند. درست یا غلط ؟

درست –

امنیت اطلاعات هزینه مربوط به خودش را دارد. افزایش امنیت اطلاعات ممكن است به روالهای موثر اضافی از جمله «تكنولوژی» و «سرمایه گذاری » نیاز داشته باشد.

افزایش امنیت اطلاعات ممكن است پیشرفت جریان كار را با كندی مواجهه كند و این امر ممكن است در كارایی افراد و شبكه شما نمود پیدا كند. امنیت اطلاعات ممكن است به معنی قفل كردن ایستگاههی كاری و محدود كردن دسترسی به اتاقهای كامپیوتر و سرور شما باشد. هر سازمانی باید هنگامی كه به مقوله امنیت اطلاعات می پردازد به صورت اندیشمندانه ای بین خطرات (Risks ) و كارآیی توازن برقرار كند.

2-حملاتی كه توسط نفوذگران خارجی انجام می گیرد نسبت به حملات كارمندان داخلی هزینه بر تر و خسارت بار تر می باشد. درست یا غلط ؟

غلط-

حملات كارمندان داخلی نوعا بسیار خسارت بار تر از حملات خارجی گزارش شده است. بر طبق آمارهای انستیتو امنیت كامپیوتر (Compuetr Security Inistitu ) میانگین حملات خارجی 57000 دلار و میانگین هزینه حملات داخلی 2700000 دلار برآورد شده است.

كارمندان داخلی اطلاعات محرمانه بیشتری درباره سیستم های هدف در دسترس دارند از آن جمله می توان اطلاعاتی درباره فعالیت های دیده بانی (Monitoring ) را نام برد (به خصوص نقاط ضعف این فعالیتها )

3-پیكربندی یك دیواره آتش (Firewall ) به صورت كامل ما ر در مقابل حملات خارجی ایمن می كند. درست یا غلط ؟

غلط –

آمارهای انستیو امنیت كامپیوتر نشان می دهد كه 3/1 شركتهایی كه از دیواره آتش استفاده كرده اند هنوز از دست نفوذگران بد اندیش در امان نمانده اند. اولین كاركرد دیواره آتش بستن پورتهای مشخص می باشد به همین دلیل در بعضی از مشاغل نیاز است كه بعضی از پورتها باز باشد. هر پورت باز می تواند یك خطری را برای سازمان ایجاد كند و یك معبر برای شبكه شما باشد.

ترافیكی كه از میان یك پورت می گذرد را باید همیشه به صورت سختگیرانه ای دیده بانی (Monitor ) كرد تا تمامی تلاشهایی كه منجر به نفوذ در شبكه می شود شناسایی و گزارش شود.

یك دیواره آتش به تنهایی نمی تواند یك راه حل جامع باشد و باید از آن به همراه تكنولوژی هایIDS (Intrusion Detection System ) و روشهای تركیبی استفاده كرد.

4-اگر دیواره آتش من به صورت مناسبی پیكر بندی شود دیگر نیازی به دیده بانی بیشتر ترافیك شبكه نمی باشد. درست یا غلط ؟

غلط –

همیشه نفوذگران خبره می توانند یك دیواره آتش را در هم شكنند و به آن نفوذ كنند. به همین دلیل دیده بانی كلیدی برای هر برنامه امنیت اطلاعات می باشد. فراموش نكنید كه دیواره آتش نیز ممكن است هك شود وIDS ها راهی می باشند برای اینكه بدانید چه سیستم هایی در شرف هك شدن می باشند.

5-دیواره های آتش باید به گونه ای پیكربندی شوند كه علاوه بر ترافیك ورودی به شبكه ، ترافیك های خروجی را نیز كنترل كنند . درست یا غلط ؟

درست  -

بسیاری از سازمانها توجه زیادی به محدود كردن ترافیك ورودی خود دارند ، اما در مقایسه توجه كمتری در مسدود كردن ترافیك خروجی از شبكه را دارند. خطرات زیادی ممكن است در درون سازمان وجود داشته باشد. یك كارمند ناراضی یا یك نفوذگر كه شبكه شما را در دست گرفته است ، ممكن است كه بخواهد اطلات حساس و محرمانه شما را برای شركت رقیب بفرستد.

6-امنیت اطلاعات به عنوان یك مبحث تكنولوژیكی مطرح است  درست یا غلط ؟

غلط –

امنیت اطلاعات یك پی آمد تجاری -فرهنگی می باشد. یك استراتژی جامع امنیت طلاعات باید شامل سه عنصر باشد: روالها و سیاستهای اداری ، كنترل دسترسی های فیزیكی ، كنترل دسترسی های تكنیكی . این عناصر – اگر به صورت مناسبی اجرا شود – مجموعا یك فرهنگ امنیتی ایجاد می كند. بیشتر متخصصین امنیتی معتقدند كه تكنولوژیهای امنیتی فقط كمتر از 25 درصد مجموعه امنیت را شامل می شوند. حال آنكه در میان درصد باقیمانده آنچه كه بیشتر از همه نمود دارد ،« افراد » می باشند. (كاربر انتهایی) افراد یكی از ضعیف ترین حلقه ها ، در هر برنامه امنیت اطلاعات می باشند.

7-هرگاه كه كارمندان داخلی ناراضی از اداره اخراج شوند ، خطرات امنیتی از بین می روند. درست یا غلط ؟

غلط –

به طور واضح غلط است. برای شهادت غلط بودن این موضوع می توان به شركتMeltdown اشاره كرد كه لشكری از كارمندان ناراضی اما آشنا به سرقتهای كامپیوتری برای خود ایجاد كرده بود. بر طبق گفته هایFBI حجم فعالیتهای خرابكارانه از كارمندان داخلی افزایش یافته است. همین امر سازمانها را با خطرات جدی در آینده مواجهه خواهد كرد.

8-نرم افزارهای بدون كسب مجوز (Unauthorized Software ) یكی از عمومی ترین رخنه های امنیتی كاربران داخلی می باشد. درست یا غلط ؟

درست –

رخنه ها (Breaches ) می تواند بدون ضرر به نظر بیاید ، مانندScreen Saver های دریافت شده از اینترنت یا بازی ها و ...

نتیجه این برنامه ها ، انتقال ویروس ها ، تروجانها و... می باشد. اگر چه رخنه ها می تواند خطرناكتر از این باشد. ایجاد یا نصب یك برنامه كنترل از راه دور كه می تواند یك در پشتی (Backdoor ) قابل سوءاستفاده ای را در شبكه ایجاد كندكه به وسیله دیواره آتش نیز محافظت نمی شود.

بر طبق تحقیقاتی كه توسطICSA.net وGlobal Integrity انجام شده است بیش از 78 درصد گزارش ها مربوط به ایجاد یك رخنه در نرم افزار دریافتی از افراد یا سایتهای ناشناخته است.

9-خسارتهای ناشی از سایتهای فقط اطلاعاتی كمتر از سایتهای تجاری می باشد. درست یا غلط ؟

درست –

درست است كه خطرهای مالی در سایتهای فقط اطلاعاتی كمتر از سایتهای تجاری می باشد ولی خطر مربوط به شهرت و اعتبار، آنها را بیشتر تهدید می كند. سازمانها نیازمند این می باشند كه مداوم سایت های اطلاع رسانی را بازبینی كنند تا به تهدید های احتمالی شبكه های خودخیلی سریع پی ببرند و در مقابل آنها واكنش نشان دهند تا از خسارتهایی كه ممكن است شهرت آنها را بر باد دهد جلوگیری كنند.

10-رمزهای عبور می تواند جلو كسانی كه دسترسی فیزیكی به شبكه را دارند ، بگیرد. درست یا غلط ؟

غلط –

كلمات رمز نوعا خیلی كم می توانند جلو كارمندان داخلی و خبره را بگیرند. بسیاری از سازمانها تمامی تلاش خود را روی امور تكنیكی امنیت اطلاعات صرف می كنندو در برخورد با مسائل اداری و كنترل دسترسی فیزیكی لازم برای ایجاد یك محافظت مناسب ، با شكست مواجه می شوند.

11-یك نام كاربری و یك رمز عبور می تواند شبكه ما را از ارتباط با یك شبكه غیردوستانه (Unfriendly ) محافظت كند. درست یا غلط ؟

غلط –

یك ارتباط فیزیكی و یك آدرس شبكه همه آنچیزی می باشد كه یك نفوذگر برای نفوذ در شبكه نیاز دارد.با یك ارتباط می توان تمامی ترافیك شبكه را جذب كرد (به این كارSniffing می گویند ) . مهاجم قادر است با استفاده از تكنیكهایSniffing كل ترافیك حساس شبكه ، شامل تركیباتی ازنام كاربری/رمز عبور را جذب كند و در حملات بعدی از آنها استفاده كند.

12-هیچكسی در سازمان نباید به رمزهای عبور دسترسی داشته باشد به جز مدیر امنیت شبكه . درست یا غلط ؟

غلط –

هیچ كس در سازمان نباید به كلمات رمز كاربران دسترسی داشته باشد ، حتی مدیر امنیتی شبكه! رمزهای عبور باید به صورت رمز شده (Encrypted ) ذخیره شوند. برای كاربران جدید ابتدا با یك رمز عبور ساخته شده اجازه ورود به شبكه داده می شود و پس از آن باید روالی قرار داد تا كاربران بتوانند در هر زمانی كلمات رمز خود را تغییر دهند. همچنین باید سیاستهایی را برای مواردی كه كاربران رمزهای عبور خود را فراموش كرده اند در نظر گرفت.

1

3- رمزگذاری باید برای ترافیك های داخلی شبكه به خوبی ترافیك خروجی شبكه انجام گیرد.

درست یا غلط ؟

درست –

به عنوان یك نكته باید گفت كه فرآیندSniffing (جذب داده هایی كه روی شبكه رد و بدل می شود) به عنوان یك خطر امنیتی داخلی و خارجی مطرح می شود.

14-امنیت داده ها در طول انتقال آنها هدف رمزگذاری است .  درست یا غلط ؟

غلط –

رمزگذاری همچنین می تواند جامعیت (Integrity ) ، تصدیق (Authentication ) و عدم انكار (nonrepudiation ) داده ها را نیز پشتیبانی كند.

برگرفته ازسایت SGNEC.net