کنترل دسترسی: تفاوت میان نسخه‌ها

# ممانعت از تغییر اطلاعات توسط افراد غیر مجازغیرمجاز.

== آسیب پذیریآسیب‌پذیری ==

کنترلها پاسخگوئی اشخاصی را که به اطلاعات حساس دسترسی دارند را تامینتأمین می‌کند. این پاسخگوئی از طریق مکانیزمهای کنترل دسترسی تکمیل می‌گردد که نیازمند شناسائی و صدور مجوز و توابع ممیزی می‌باشد. این کنترلها باید با سیاستهای امنیتی سازمان مطابق باشند.

مبحث کنترل دسترسی (کنترل دسترسی) یکی از دامنه‌های مورد نظر در استاندارهای [[امنیت اطلاعات]] (از جمله ایزو ۱۷۷۹۹ و BS-۷۷۹۹) می‌باشد. واضح است که در بازرسی‌ها و ممیزی‌هایی که از یک سازمان به عمل می‌آید تا میزان امن بودن آن سازمان سنجیده شود (مثلا مطابق با استاندارد ممیزی ایزو ۲۷۰۰۱) این دامنه را نیز تحلیل خواهند کرد. اما جدای از این مورد، کنترل دسترسی تقریباً در تمام سازمانها از اهمیت ویژه‌ای بر خوردار است. در اغلب سازمانها وقتی در اجرای دامنه‌های ایزو ۱۷۷۹۹ بحث محدودیت مالی و منابع پیش آید و نیاز به رتبه بندیرتبه‌بندی و اولویت سنجی دامنه‌ها باشد، دامنه کنترل دسترسی غالباً رتبه «ارحج ترینارحج‌ترین» را می‌گیرد.

یک تعامل اولیه و خاص، بین یک فاعل و یک شئ است که در نهایت منجر به برقراری جریان اطلاعاتی از یکی از انهاآنها به دیگری خواهد شد.

نکته: به طور کلی عناصری که توان انجام فعالیت و اجرای عملی روی چیز دیگری دارند فاعل و عناصر دیگر مثل منابع و...و… را مفعول می‌نامیم.

کنترل دسترسی روشن‌ترین نماد امنیت است. در واقع آنرا قلب امنیت هم می‌دانند. همچنین برای به اجرا در آمدندرآمدن اهداف CIA (Confidentiality, Integrity, Authentication) در بحث امنیت از نگاه ISMS، این دامنه یک مبنا و پیش نیاز به حساب می‌آید.

# جلوگیری از دسترسی کاربران غیر مجازغیرمجاز به امکانات تغییر اطلاعات.

# جلوگیری از دستکاری اطلاعات به صورت غیر عمدیغیرعمدی توسط کاربران ناآشنا و غیر مجازغیرمجاز

کنترل دسترسی و به طور کلی کنترل را از دیدگاه‌های مختلفی می‌توان تقسیم بندیتقسیم‌بندی کرد از یک دیدگاه انواع کنترل عبارتند از:

# شناسایی کننده. (شناسایی مخاطرات)

# کنترل‌های مدیریتی شامل سیاست‌ها، رویه‌ها، آموزش و کنترل سابقه کاری و...و… می‌باشند

# کنترلهای فیزیکی مانند درها، حصارها، گاردها و...و…

# ملزومات مورد نیاز برای پیاده‌سازی

## سیاست‌های کنترل دسترسی

# مدیریت دسترسی کاربران

## ثبت کاربر

## مدیریت امتیازات خاص کنترل

## مدیریت رمز عبور کاربران کنترل

## بررسی حقوق دسترسی کاربر کنترل

# مسئولیت‌های کاربر

## کاربرد رمز عبور

## تجهیزات دور از توجه مستقیم کاربر

## سیاست تمیز نگاه داشتن میز کار و صفحه نمایش تجهیزات الکترونیکی

# کنترل دسترسی به شبکه

## سیاست چگونگی استفاده از سرویس‌های شبکه

## تصدیق اعتبار کاربر برای ارتباطات و تماس‌های از خارج از سازمان

## شناسایی و تعیین هویت تجهیزات در شبکه

## مراقبت از پورت‌هایی که برای اجرای تنظیمات و رفع نقص‌ها از راه دور

## تفکیک و جداسازی در شبکه‌ها

## کنترل تماس با شبکه

# کنترل دسترسی به سیستم‌عامل

## فرآیندهایی امن برای ورود به سیستم

## شناسایی و تصدیق هویت کاربران

## سیستم مدیریت رمز عبور

## محدودیت زمان برقراری ارتباط

# کنترل دسترسی به برنامه‌های کاربردی و اطلاعات

## ممنوعیت دسترسی به اطلاعات

## جداسازی سیستم‌های حساس

# شبکه‌های بی‌سیم و ارتباطات سیار راه دور

## محاسبات و ارتباطات سیار

مجوز دسترسی موضوع به یک شیء بستگی به برچسبها، که نمایان کننده اختیار و کلاسه بندی یا حساست شیء می‌باشد. برای مثال مستندات طبقه بندیطبقه‌بندی شده نظامی به غیرسری، کمی محرمانه، محرمانه و خیلی سری. به همین نحو، یک شخص می‌تواند یک اختیار کمی محرمانه، محرمانه یا خیلی محرمانه داشته باشد تا به اطلاعات طبقه بندیطبقه‌بندی شده مرتبط با محدودیتهای تعیین شده، دسترسی داشته باشد.

این محدودیت این است که اشخاص باید یک نیاز برای آگاهی مرتبط با مستندات طبقه بندیطبقه‌بندی شده درگیر را داشته باشند. بنابر این، مستندات باید برای اشخاص به جهت تکمیل وظایف مرتبط ضروری باشند.

در این نوع، اهمیت بر اساس مکانیزمهای «نرم» که پشتیبان اهداف کنترل دسترسی است، می‌باشد. این مکانیزمها شامل سیاستهای سازمانی و رویه‌ها، موافقت نامه‌های کارمندان، رویه‌های اختتامیه کارکنان به صورت دوستانه یا غیر دوستانه، زمانبندی تعطیلات، برسب بر روی مواد حساس، آگاهی‌های رفتاری و رویه‌های نشانه گذاری برای حصول شبکه‌ها و سیستمهای اطلاعاتی و...و… می‌باشند.

کنترلهای ممانعت/ فیزیکی شامل: حفاظها، امضاء‌ها،امضاءها، درهای چندگانه (به عنوان مثال وجود چندین در پشت هم که در صورت ورود به یکی با درهای دیگر مواجه می‌شویم)، سیستم ورودی کارتهای مغناطیسی، بیومتریکها به منظور تعیین صلاحیت، گاردها، سگها، سیستمهای کنترل محیط (مانند درجه حرارت، رطوبت و...و…)، و ساختمان و نواحی دسترسی.

نمونه‌هایی از این کنترل‌ها سیاستهای سازمان و رویه‌ها، زمانبندی تعطیلات، برچسب گذاری مواد حساس و...و… می‌باشند.

== جستارجستارهای وابسته ==

* [http://www.praxiom.com/ خلاصه متن استاندارد ایزو ۱۷۷۹۹]