باز کردن منو اصلی

تغییرات

تمیزکاری، + ویرایش با ماژول ابرابزار با استفاده از AWB
== جامعیت ==
از طریق اهداف زیر بیان می‌گردد:
# ممانعت از تغییر اطلاعات توسط افراد غیر مجازغیرمجاز.
# ممانعت از تغییر غیرعمدی توسط افراد مجاز
# محافظت از سازگاری داخلی و خارجی
واقعه یا فعالیتی که پتانسیل آسیب رسانی به اطلاعات سیستمها و یا شبکه‌ها را دارا می‌باشد.
 
== آسیب پذیریآسیب‌پذیری ==
ضعف یا کمبود محافظ، که می‌تواند توسط تهدید به وقوع بپیوندد و باعث آسیب رسانی به اطلاعات سیستمها و یا شبکه‌ها شود.
 
این کنترلها باعث یکی شدن محافظان با ساختمان امنیتی می‌شوند، به عنوان مثال قفل کردن درها، امن‌سازی اتاقهای سرور، محافظت از کابلها، جداسازی وظائف و پشتیبان گیری از فایلها را می‌توان ذکر کرد.
 
کنترلها پاسخگوئی اشخاصی را که به اطلاعات حساس دسترسی دارند را تامینتأمین می‌کند. این پاسخگوئی از طریق مکانیزمهای کنترل دسترسی تکمیل می‌گردد که نیازمند شناسائی و صدور مجوز و توابع ممیزی می‌باشد. این کنترلها باید با سیاستهای امنیتی سازمان مطابق باشند.
 
رویه‌های تضمین باعث می‌شوند که مکانیزمهای کنترلی، سیاست امنیتی را در کل چرخه حیات سیستمهای اطلاعاتی به درستی پیاده‌سازی نمایند.
در استاندارد ISO ۱۷۷۹۹ مجموعاً ۱۰ دامنه وجود دارد که هر کدام پیرامون بخشی از حوزه‌های امنیت تدوین شده‌اند. هر دامنه دارای چندین کنترل است. کنترل دسترسی ششمین آنهاست.
 
مبحث کنترل دسترسی (کنترل دسترسی) یکی از دامنه‌های مورد نظر در استاندارهای [[امنیت اطلاعات]] (از جمله ایزو ۱۷۷۹۹ و BS-۷۷۹۹) می‌باشد. واضح است که در بازرسی‌ها و ممیزی‌هایی که از یک سازمان به عمل می‌آید تا میزان امن بودن آن سازمان سنجیده شود (مثلا مطابق با استاندارد ممیزی ایزو ۲۷۰۰۱) این دامنه را نیز تحلیل خواهند کرد. اما جدای از این مورد، کنترل دسترسی تقریباً در تمام سازمانها از اهمیت ویژه‌ای بر خوردار است. در اغلب سازمانها وقتی در اجرای دامنه‌های ایزو ۱۷۷۹۹ بحث محدودیت مالی و منابع پیش آید و نیاز به رتبه بندیرتبه‌بندی و اولویت سنجی دامنه‌ها باشد، دامنه کنترل دسترسی غالباً رتبه «ارحج ترینارحج‌ترین» را می‌گیرد.
 
== تعریف کنترل دسترسی از دیدگاه CISSP ==
یک تعامل اولیه و خاص، بین یک فاعل و یک شئ است که در نهایت منجر به برقراری جریان اطلاعاتی از یکی از انهاآنها به دیگری خواهد شد.
 
نکته: به طور کلی عناصری که توان انجام فعالیت و اجرای عملی روی چیز دیگری دارند فاعل و عناصر دیگر مثل منابع و...و… را مفعول می‌نامیم.
 
مطابق توضیحات CISSP دامنه کنترل دسترسی، شامل این بخش هاست:
 
== چرا کنترل دسترسی اهمیت دارد؟ ==
کنترل دسترسی روشن‌ترین نماد امنیت است. در واقع آنرا قلب امنیت هم می‌دانند. همچنین برای به اجرا در آمدندرآمدن اهداف CIA (Confidentiality, Integrity, Authentication) در بحث امنیت از نگاه ISMS، این دامنه یک مبنا و پیش نیاز به حساب می‌آید.
کنترل دسترسی برای تحقق سه هدف عمده به کار گرفته می‌شود که عبارتند از:
# جلوگیری از دسترسی کاربران غیر مجازغیرمجاز به امکانات تغییر اطلاعات.
# جلوگیری از دستکاری اطلاعات به صورت غیر عمدیغیرعمدی توسط کاربران ناآشنا و غیر مجازغیرمجاز
# حصول اطمینان از سلامت اطلاعات و ثبات اطلاعات داخلی و خارجی.
 
== انواع کنترل دسترسی ==
کنترل دسترسی و به طور کلی کنترل را از دیدگاه‌های مختلفی می‌توان تقسیم بندیتقسیم‌بندی کرد از یک دیدگاه انواع کنترل عبارتند از:
# پیش گیرانه (که جلوی چیزی را قبل از حادث شدن می‌گیرند)
# شناسایی کننده. (شناسایی مخاطرات)
# اصلاح کننده (که تعمیر یا تصحیح امور را انجام می‌دهند)
# بازیاب (که چیزی را بازیافت و دوباره احیا می‌کنند)
 
اما از دیدگاه اجرایی و عملیاتی کنترلها سه دسته‌اند:
# کنترل‌های مدیریتی شامل سیاست‌ها، رویه‌ها، آموزش و کنترل سابقه کاری و...و… می‌باشند
# کنترل‌های منطقی / فنی مثل رمز گذاری و تهیه و استفاده از لیست کنترل دسترسی ACL
# کنترلهای فیزیکی مانند درها، حصارها، گاردها و...و…
 
== کنترل دسترسی در ISO ۱۷۷۹۹-۲۰۰۵ ==
 
== کنترل دسترسی در ISO ۱۷۷۹۹-۲۰۰۵۱۷۷۹۹–۲۰۰۵ ==
دامنه کنترل دسترسی به عنوان یکی از دامنه‌های استاندارد امنیتی ایزو ۱۷۷۹۹ دارای هفت بخش کلی است که هر کدام از آنها نیز از چندین زیربخش تشکیل شده‌اند. فهرست این بخش‌ها به شرح زیر است:
# ملزومات مورد نیاز برای پیاده‌سازی
## سیاست‌های کنترل دسترسی
# مدیریت دسترسی کاربران
## ثبت کاربر
## مدیریت امتیازات خاص کنترل
## مدیریت رمز عبور کاربران کنترل
## بررسی حقوق دسترسی کاربر کنترل
# مسئولیت‌های کاربر
## کاربرد رمز عبور
## تجهیزات دور از توجه مستقیم کاربر
## سیاست تمیز نگاه داشتن میز کار و صفحه نمایش تجهیزات الکترونیکی
# کنترل دسترسی به شبکه
## سیاست چگونگی استفاده از سرویس‌های شبکه
## تصدیق اعتبار کاربر برای ارتباطات و تماس‌های از خارج از سازمان
## شناسایی و تعیین هویت تجهیزات در شبکه
## مراقبت از پورت‌هایی که برای اجرای تنظیمات و رفع نقص‌ها از راه دور
## تفکیک و جداسازی در شبکه‌ها
## کنترل تماس با شبکه
# کنترل دسترسی به سیستم‌عامل
## فرآیندهایی امن برای ورود به سیستم
## شناسایی و تصدیق هویت کاربران
## سیستم مدیریت رمز عبور
## استفاده از برنامه‌های مزیتی سیستم
## مهلت زمانی نشست‌ها
## محدودیت زمان برقراری ارتباط
# کنترل دسترسی به برنامه‌های کاربردی و اطلاعات
## ممنوعیت دسترسی به اطلاعات
## جداسازی سیستم‌های حساس
# شبکه‌های بی‌سیم و ارتباطات سیار راه دور
## محاسبات و ارتباطات سیار
## کارکردن از راه دور
 
 
=== کنترل دسترسی اجباری ===
مجوز دسترسی موضوع به یک شیء بستگی به برچسبها، که نمایان کننده اختیار و کلاسه بندی یا حساست شیء می‌باشد. برای مثال مستندات طبقه بندیطبقه‌بندی شده نظامی به غیرسری، کمی محرمانه، محرمانه و خیلی سری. به همین نحو، یک شخص می‌تواند یک اختیار کمی محرمانه، محرمانه یا خیلی محرمانه داشته باشد تا به اطلاعات طبقه بندیطبقه‌بندی شده مرتبط با محدودیتهای تعیین شده، دسترسی داشته باشد.
 
این محدودیت این است که اشخاص باید یک نیاز برای آگاهی مرتبط با مستندات طبقه بندیطبقه‌بندی شده درگیر را داشته باشند. بنابر این، مستندات باید برای اشخاص به جهت تکمیل وظایف مرتبط ضروری باشند.
 
تا زمانیکه اشخاص مطابق با طبقه‌بندی موردنیاز مشخص نشده‌اند نباید به اطلاعات دسترسی داشته باشند.
=== ممانعت ===
==== راهبری ====
در این نوع، اهمیت بر اساس مکانیزمهای «نرم» که پشتیبان اهداف کنترل دسترسی است، می‌باشد. این مکانیزمها شامل سیاستهای سازمانی و رویه‌ها، موافقت نامه‌های کارمندان، رویه‌های اختتامیه کارکنان به صورت دوستانه یا غیر دوستانه، زمانبندی تعطیلات، برسب بر روی مواد حساس، آگاهی‌های رفتاری و رویه‌های نشانه گذاری برای حصول شبکه‌ها و سیستمهای اطلاعاتی و...و… می‌باشند.
 
==== فنی ====
نواحی مورد محافظت قرار گرفته توسط یک فضای امنیتی حلقوی تعریف می‌شود که تحت نظرکنترل دسترسی می‌باشد.
 
کنترلهای ممانعت/ فیزیکی شامل: حفاظها، امضاء‌ها،امضاءها، درهای چندگانه (به عنوان مثال وجود چندین در پشت هم که در صورت ورود به یکی با درهای دیگر مواجه می‌شویم)، سیستم ورودی کارتهای مغناطیسی، بیومتریکها به منظور تعیین صلاحیت، گاردها، سگها، سیستمهای کنترل محیط (مانند درجه حرارت، رطوبت و...و…)، و ساختمان و نواحی دسترسی.
 
سنجه‌های ممانعت/ فیزیکی همچنین برای نواحی که برای پشتیبان گیری فایلها بکار می‌روند، کاربرد دارد.
==== راهبری ====
تعداد زیادی از کنترل‌های این نوع با کنترل‌های مانع / راهبر همپوشانی دارند و این همپوشانی میتواتند در ممانعت از تخلفات سیاست امنیتی آینده یا تشخیص تخلفات موجود، ظاهر گردد.
نمونه‌هایی از این کنترل‌ها سیاستهای سازمان و رویه‌ها، زمانبندی تعطیلات، برچسب گذاری مواد حساس و...و… می‌باشند.
کنترلهای اضافی تشخیص دهنده/ راهبری شامل گردش کار؛ تسهیم مسئولیتها و بررسی رکوردهای ممیزی هستند.
 
Wiley] - The CISSP Prep Guide - Mastering the Ten Domains of Computer Security]
 
== جستارجستارهای وابسته ==
[[امنیت اطلاعات]]
 
== پیوند به بیرون ==
* [http://www.praxiom.com/ خلاصه متن استاندارد ایزو ۱۷۷۹۹]
 
{{داده‌های کتابخانه‌ای}}
۱۶٬۲۹۶

ویرایش