أمن المعلومات وإدارة مخاطر تقنية المعلومات

تحديد الأصول والتعرف على خصائصها 241 مرحلة الإدارة مرحل نشر الأصول يجب التأكد من أنها لا تطرح ثغرات جديدة للمنظمة. وبالنس دعنا نبدأ بمثال صغير يركز على جهاز الحاسب الآلي الذي تم تركيبه مؤخراً. صافح الموظف وهو في غاية الس المعتادة وبعد ذلك انتقل الموظف مع جهاز الحاس جهاً لوجه قد انته م التي تحدث في الواجهة الخلفية والتي تُعد في كثير من الأحيان غير مرئية للمستخدم. وشيء واحد نود أن نفعله هو التأكد من مكان نشر الجهاز، ومعرفة المستخدم الرئيسي ممكناً للتطبيق، وكذلك معرفة العن للجه للجهاز (حتى نتمكن من تتبع الجهاز على الشبكة). وهذا يساعد على تتبع الأصول والذي بدءاً من جداول سنناقش ت الصغيرة ووصولاً للبرمجيات الآلي�البيانات المبس عادة مع الجهاز. ومن وجهة نظر أمنية، هناك عنصر أساسي يجب القيام به دورياً من أجل الحفاظ على أم patches and security updates( القادمة لكن في الوقت الحالي يكفي القول بأن التصحيحات ضرورية لكل من نظام التشغيل والتطبيقات وبرامج مكافحة الفيروسات. وعلى الرغم من أنه تم التخطيط مبدئياً ليكون هناك نهاية لحياة أصول تقنية المعلومات، على س ارتباطه تطبي

الفصل الخامس 242 نفس ة ممكنة. وسرالبرمجي الصيان استخدام الجهاز الحالي القديم ولأن نستبدل به جهازاً جديداً. مرحلة التقاعد: مرحلة التقاعد هي المرحلة التي يتم فيها التوقف عن اس دائماً بس ”التقاعد“في تحقي إن الس استخدامه. والسبب الآخر هو استخدام أصول أحدث وأفضل مع ميزات متطورة. في هذه المرحلة على حماية الملكي�كروي الواجبات الائتمانية. وتحتوي الأجهزة المُراد إحالتها للتقاعد عادة على بيانات، وبعض تلك البيان ردادها من الأجهزة المُراد إحالتها للتقاعد. على س�اس من نى قادرة على توفير الحد الأد�ة في أحد الكليات إلى مرحلة تكون فيها غ�الآلي المنت الخدمات للعميد وللطلاب، ويجب أن تحال هذه الأجهزة للتقاعد. وخلال مدة انتش ب، وبطاقات � الجهاز بيانات الط�م الائتمان، وغيرها من البيانات الحساس حى جميع تلك البيانات. تمُأن وفي الفص الخيارات، لذا تأكد أنه تم مسح البيانات من الجهاز قبل التبرع به. وإذا كان لدى منظمتك عق من وجود تعهد بأن الأجهزة التي تحتوي على البيانات سيجري التخلص منها بشكل مناسب، ولي النفايات.

تحديد الأصول والتعرف على خصائصها 243 ض أن أستاذاً في كلية الهندسة رمتى يكون قد جلب الكلية. لكن الأدوات التي يستخدمها تتطلب اتصالاً بالشبكة، وتعمل أدوات الأستاذ حالياً على أجهزة قديمة بنظام تشغيل ويندوز علان عن أن الجهاز أصبح مستهلكاً ويتوجب إزالته لإتصحيحات لهذا النظام. هل حان الوقت ل من الشبكة؟ الجواب: الحقيقة هو أنه لا يوجد شيء غير قابل للتغيير. فالقرار الذي يجب اتخاذه في هذه الحالة لا يعتمد على الجانب التقني فقط، بل يجب النظر أيضاً إلى البعد السياسي وعدم الاكتفاء بالمستوى الفني. وتتمثل وظيفة المحلل الأمني الجيد في توفير المعلومات بحيث يتمكن المديرون من اتخاذ قرار مستنير يستند إلى حقائق متوازنة من الجهة التقنية والقانونية والسياسية وحتى التداعيات ذات الصلة بوسائل الإعلام. فلنأخ وني الحالي بنظام جديد يعتمد على الحوسبة السحابية ويوفر رلاس الاس سيس المُحتمل للاستخدام المستمر لجهاز انتهت رس اضية في الجامعة وكما سنقوم بتحليل مخاطر ومنافع هذا الدعم. رحياته الاف ونذكر هنا مثالاً لما يمكن أن يحدث نتيجة لضعف إجراءات مرحلة التقاعد. ففي عام شراء قرص صلب من موقع إي باي الصاروخي الأمريكي حيث يعود هذا القرص لشركة لوكهيد مارتن شركة متعهدة في وزارة الدفاع الأمريكية. التحديد النمطي لمواصفات النظام في الأمثل وخ

الفصل الخامس 244 لكن عند تقييم الأهمية والحساس في سياق النُظم التي تُستخدم فيها. الأص الواقع العملي إذا كانت المنظمة اس الأص عند النظر إليه في سياق النظام (ترخيص نظام الجدولة في شركة الطيران على سبيل المثال). ويمكن أن تُعد مجموعة من الأصول الفردية في حد ذاتها أصولاً ً بوصفها مجموعة يمكن أن تُعد أصولا النمطي لمواصفات النظام. تعقيداً من قائمة جرد مبس ويُع الحاس فن تم جردها، وتصنيفها حس تكوين رؤية مكبرة لنظام أو عملية معينة. ووفقاً لتوجيهات إدارة مخاطر تقنية المعلومات ، )16()National Institute of Standards and Technology( ير�الوطن الأجهزة والبرامج وواجهات النظ�ف ومه تحديد حدود النظام بشكل واضح جنباً إلى جنب مع الوظيفة والأهمية والحساسية. تأم الموجودة في الجامعة لتشغيل الجانب الأكاديمي والجانب المهني من بيئة التعليم. إن نظام معلومات الطالب تلك الأنظمة الأساسية. )16(http://csrc.nist.gov/publications/nistpubs/800-30/sp800-30.pdf

تحديد الأصول والتعرف على خصائصها أمن المعلومات وإدارة مخاطر تقنية المعلومات 245 ): نظام معلومات الطالب 4 - 5 الشكل نظام معلومات الطالب: يقوم نظام معلومات الطالب بالوظيفة التي يدل عليها اس بتخزي الاجتماعي، وبيانات الإرش ) عينة من نظام معلومات الطالب. ويس 4 - 5 عملي نت. ويس ر الطلاب اس المشرفين الأكاديميين والأس من خلال واجهة جهاز الحاسب الآلي المكتبي. )، يمكننا التعرف 30 - NIST SP800 لتوجيهات إدارة مخاطر تقنية المعلوم ً فق وو على مواصفات النظام على النحو التالي.

الفصل الخامس 246 مكونات الحاسب الآلي المادية تتكفل البدائل الاحتياطية لخوادم الشبكة الخاصة بالطلاب بالتعامل مع واجهة الطلاب. وكل خ المستخدم النهائي هو تأثير بسيط جداً في الأداء يتثمل في تأخير بسيط في تحميل الصفحات. نت فإن رلكن الخوادم مجتمعة تمثل أصولاً مطلوبة: إذا تم بطريقة ما فقدان اتصالها بالإن ات رب لن يكون�الط ً ضرورية: إذا فقدت اتصالها بالشبكة فلن يكون أحد قادراً على التسجيل. التسجيل أصولا ويمكن إجراء تحلي بمستويات مختلفة من الأهمية والحساسية.البرمجيات: يُع الجامع Ellucian›s Banner( وغالب وتك اخيص المرتبطة ر فتكون واجهة مخصصة. ويُنظر ع�الموظف بأنها أصول ضرورية. البيانات: م بأنها من البينات المُقيدة: الدرجات الدراس�م وأرقام الضمان الاجتماعي. الدرجات الدراس الطال سابقاً في هذا الفصل. وأرقام الضمان Educational Rights and Privacy Act

تحديد الأصول والتعرف على خصائصها 247 لاجتماعي (وبقية معلومات التعريف الشا سرة بالإضافة إلى أنظمة الولاية والأنظمة الفيدرالية الأخرى. وإجمالاً فإنه �والخصوصية ل وبس بأنها نظم مُقيدة. واجهات النظام: واجه المدخلات التالية: •القبول: كيف يتم قبول الطالب في الجامعة؟ •المتقدمون: هل هناك واجهة منفصلة يستخدمها المتقدمون لبرامج الجامعة؟ • عن المساعدات المالية؟ ماذا عن غبلالإالمساعدات المالية: هل هناك أي متطلبات ل الاعتبارات الضريبية؟ • عنها؟غالمنح الدراسية: كيف يتم مَنح المِنح الدراسية والإبلا •اكمي، ر عن عدد الطلاب، ومتوسط المعدل ال غبلالإالامتثال: هل هناك أي متطلبات ل أو أي نوع آخر من المعلومات إلى إدارة التعليم؟ •الدرجات الدراس إدارة التعليم؟ •الفصول: كيف يتم إرس معلومات حديثة عن الذين تم تسجليهم وعن المخولين بالوصول إلى الفصول المعينة؟ بيانات يتم تبادلها بين نظ�كل م وأنظمة أخرى. وإذا كانت تلك البيانات تُعد بيانات مقيدة فإن هذا التبادل يجب تشفيره، أو على الأقل تشفير تلك البيانات المقيدة. يجب أن تكون بيانات اعتماد المُس خصوصاً بيانات اعتماد الحسابات ذات الصلاحيات الواسعة.

الفصل الخامس أمن المعلومات وإدارة مخاطر تقنية المعلومات24٨ من الممكن أن يتضمن التحديد النمطي لمواصفات النظام معرفة التطورات الأخيرة بالأدوات البرمجية. على سبيل المثال، في شهر أكتوبر من عام وهو مطور لبرمجيات وتطبيقات الشبكة، بإطلاق ملحق لبرنامج فايرفوكس كة، مثل ر) وظيفته الأساسيةFiresheep( نت العامة، بحثاً عن البيانات غير المشفرة. والنص التالي من الموقعرنقاط الدخول إلى شبكة الإن 17(وني لإيريك بتلررالإلك ونية بحماية كلمة السر الخاصة بك عن طريق تشفير رمن الشائع كثيراً أن تقوم المواقع الإلك ك ملفات رالدخول الأولي، لكن من الغريب أن يكون تشفير أي شيء آخر أمراً نادراً. وهذا ي الارتباط المتشعب ملفات الارتباط لمستخدم ما والذي يتيح للمهاجم القيام بأي شيء يمكن للمستخدم القيام به على موقع معين. إن ملفات الارتباط مما يجعل هذه الهجمات سهلة للغاية. أداة إيريك هذه ليست جديدة بل هي شكل من أشكال برامج التلصص على الشبكات أو ما يعرف sniff er( �ب وبه مع جميع تبعياته حتى نتمكن من اتخاذ قرار بش للنظام من خلال وسائل غير آمنة على سبيل المثال)، وتحديد نقاط العطل المفردة points of failure كيز البحثي، وهو نظام الحوسبةروهناك نظام تقني آخر مهم، بالخصوص في الجامعات ذات ال العالي الأداء مجموعة من الخوادم تعمل جنباً إلى جنب وتتقاسم فيما بينها المعالج وموارد الذاكرة للعمل على مشكلة واحدة. وليس من النادر أن نرى مئات من الخوادم التي تم تكوينها بهذه الطريقة. وفي جلاً. وعندما يتعطل أحد هذه الخوادم هذا الإعداد كل خادم على حدة مصمم أن يكون أصلاً مؤ يكون هناك خلل بسيط جداً في الأداء بحيث يستمر العمل الأساسي. وتم تصميم النظام الشامل ليسمح بنسبة معينة من تلك الخوادم أن تكون خارج الخدمة ومع ذلك يستمر النظام في العمل. )17(http://codebutler.com/firesheep/

تحديد الأصول والتعرف على خصائصها 249 ملكية الأصول والمسؤوليات التشغيلية ناقش الجمع الاستباقي لكل المعلومات الضرورية عن أصول المنظمة والتي يمكن أن تكون مفيدة في الاس الفني مهم من عناصر �الأص الاستجابة للتهديدات التي تواجه الأصول: من الذي يجب أن يرد على تهديد محدد يواجه الأصول؟ ولهذا السبب، وكجزء من التعرف على خصائص الأصول، فإنه من الضروري أيضاً تحديد المسؤولية الفردية عن الأصل. في الشبكة المنزلية الخاصة بك هذا أمر سهل - أنت مسؤول نت مسرع بالاتص مشكلتان محددتان من المُحتمل أن تواجههما. المشكلة الأولى هي أنه من المرجح أن يكون أفراد مختلفون أو وحدات مختلفة مسؤولين عن وظائف مختلفة تتعلق بالأصل. والمشكلة اً على توقع كل ما يمكن أن يتعرض له أحد الثاني الأصول وذلك على الرغم من محاولاتك الحثيثة لتحقيق ذلك. المس باستخدام أحد الأصول. وتحدد المسؤوليات التشغيلية دور أعضاء المنظمة المرتبطة بجميع مس الوظائ مسؤولية تشغيلية لجميع الوظائف غير المتوقعة والمرتبطة بتأمين الأصل. وقد تلاحظ أن التعريف السابق لمالك الأصل لا يشير إلى الجهة التي تدفع الأموال لشراء يضاً الأصول، هذا لأنه كما يمكن تشارك الإسهامات المتعلقة بالميزانية وملكية الأصل، يمكنها أ أن تكون منفصلة بعضها عن بعض. ويمكن توضيح ذلك من خلال المثال التالي.

الفصل الخامس 250 مخاطر غير متوقعة - قصة حقيقية في عام من أجهزة الحاسب الآلي لإعداد مختبر في القسم. وتم وضع أجهزة الحاسب الآلي في غرفة في القسم، وقام عضو هيئة التدريس مع بعض طلاب الدراسات العليا، بتمويل من إدارة القسم، بضبط أجهزة المختبر والبرمجيات التابعة لها. وهكذا فإن الإدارة الأكاديمية تحملت كافة النفقات المتصلة بالأصول. ولم يكن لوحدة تقنية المعلومات في الجامعة أي دور في إنشاء المختبر، وفي الواقع، لم تكن وحدة تقنية المعلومات مشاركة في العملية. اق وتم استخدامه رولكن في ذلك الصيف تعرض أحد أجهزة الحاسب الآلي في المختبر للاخ بوصفه جزءاً من الروبوتات لتشغيل هجمات القاموس (تخمين كلمات السر) على أجهزة حاسب آلي لوكالة مصنفة بأنها وكالة حكومية اتحادية. وأصبح جهاز الحاسب الآلي في المختبر جزءاً من تحقيقات مكتب التحقيقات الفيدرا التحقيقات الفيدرالي لإنتاج صورة القرص لجهاز الحاسب الآلي. وأحال المستشار العام للجامعة الاستدعاء إلى وحدة تقنية المعلومات في الجامعة. ولأنه لم يكن لدى الإدارة الأكاديمية الخبرة أو الموارد لتقديم صورة القرص، قامت وحدة تقنية المعلومات في الجامعة بإنجاز المهام المطلوبة وقدمت المعلومات اللازمة لمكتب التحقيقات الفيدرالي. ويج الأصول، فإن المسؤولية التش المتوقعة للأصل بما في ذلك تثبيت البرامج وتحديثاتها، والنسخ الاحتياطي للبيانات، وإدارة ضحاً من المثال أن استدعاء مكتب التحقيقات حس الفدرالي كان س وح ض أن يكون رلوح مال الجامعة؟

تحديد الأصول والتعرف على خصائصها 251 ولأن عملي المعلومات تكون غالباً مسؤولة عن جميع المهام المتبقية والمتعلقة بأصول تقنية المعلومات. ولأن معظ الخاص محل تنس معرفة خصائص الأصول مفيداً في تخطيط ردود الفعل للمخاطر المحتملة على الأصول. وفي مثال آخر دعنا ننظر في نوع معين من الأصول المعلوماتية الش تُعرّف جامعة جنوب فلوريدا البيانات المؤسسية على النحو وهي التالي: تُعرف البيانات المؤسس عليها واس جنوب فلوريدا ويمكن أن تشمل واحدة أو أكثر من الخصائص التالية: •ذات صلة بالعملي الوحدات الإدارية والأكاديمية. •بش وتكون أيضاً مشمولة في التقرير الرسمي المنشور عن نظام الجامعة. •يتم إنتاج أو اشتقاق البيانات بواسطة وحدة تابعة لنظام جامعة جنوب فلوريدا أو موظف، أو إحدى الجهات التابعة أو وكيل لنظام جامعة جنوب فلوريدا. •مصنفة ومقيدة وفقاً لنظام وسياسة جامعة جنوب فلوريدا وقانون الولاية والقانون الفيدرالي. ومن الس وإلى مجموعة متنوعة من الملاك. ومن المهم توضيح خطوط مس يتعاملون مع هذا النوع من البيانات. وهنا يأتي دور ملكية الأصول المعلوماتية والمسؤوليات التشغيلية للأصول المعلوماتية.

الفصل الخامس 252 تتوقف الملكي�وبين قادراً على اتخاذ قرار بش الس المنظمة. ويُعرف هؤلاء الأفراد بملاك الأصول المعلوماتية. أما المس لا يملك البيانات لأنه يس المواد الدراسية الأكثر ملاءمة من أجل التخرج في الوقت المحدد. ويتمتع المشرف الأكاديمي بالمسؤولية الائتمانية للحفاظ على سرية هذه البيانات ولكنه لا يعد مالكاً للبيانات. العقود غير المكتملة، والملكية، والمسؤوليات المتبقية: هناك أس القضاي ماً يمكن للمش غير المكتملة الاحتمالات والردود المناسبة لكل احتمال. ومن ثم فإن العقود غير مكتملة بالضرورة، ومن المفيد وضع آلية للتعامل مع القضايا غير المتوقعة عند حدوثها. الاقتصاديان سانفورد غروسمان وضعا فكرة مع هذه الفجوات. و ح الاقتصاديان أن الملكية مردافة رحقوق الاستخدام التي اُستبعدت صراحةً في العقد. ويق اس�في معناها إ أن الملكي كبيراً في إنتاجية الأصل، وذلك لأن الحقوق المتبقية تحفز بقية الأطراف وبقوة للاس تطوير إنتاجية الأصل.

تحديد الأصول والتعرف على خصائصها 253 نظرية العقود غير المكتملة إلى أن الجهة المسؤولة�ماذا عن المس التي يجب أن تس المتبقية واللازمة للحفاظ على الأصول مفيدة بالنس القيام بالاستثمارات المناسبة في الأصول متضمناً ذلك استثمارات أمن المعلومات. ويمك المعلومات في المنظمة. وعلى هذا النحو فإن تحديد ملكية الأصول يتطلب مش تقنية المعلومات في مراحل التخطيط لكافة المش المعلومات. وهذه المش Level Agreement بذلك وذلك لإنجاز وإدارة توقعات العميل أو مالك النظام المراجع: Grossman, S.l. and Hart, O.D. ” The costs and benefits of ownership: a theory of vertical and lateral integration,“ The Journal of Political Economy, 1986.94) 4 ( : 691719-. Hart, O.D. ”Incomplete contracts and the theory of the firm, “ Journal of Law, Economics and Organization, 1988,4) 1 ( : 119139-. وبهذه الخلفية نس والمسؤولية على النحو المبين في الجدول

الفصل الخامس 254 ): التعرف على خصائص الأصول والملكية والمسؤوليات4-5 الجدول حساسية نوع الأصلالأصل الأصل المسؤولياتالمالكأهمية الأصل جهاز الحاسب الآلي لعضو هيئة التدريس أصل مكونات الحاسب الآلي المادية ع التدريس - وح �ال ا الاحتياطي - وحدة تقنية المعلومات، التصحيحات - عضو هيئة التدريس ال ال للطالب مكتب مراقب ضروري مقيدةأصل معلوماتي م ا المالية وحدة تقنية المعلومات وظيفة محلل أمني وح المعلومات وحدة تقنية المعلومات حزمة برامج مايكروسوفت أوفيس ا النهائي وحدة تقنية المعلومات ت مايكروسوفت أوفيس وح المعلومات وحدة تقنية المعلومات نموذج حالة-ستكسنت تُعد منش وحساس نووي أجهزة حاسب آلي تُستخدم لرصد ومراقبة أجهزة الطرد المركزي.

تحديد الأصول والتعرف على خصائصها 255 وتش النووي. وبعد النظر في جميع الخيارات المتاحة حددت هذه الدول أجهزة الحاس المس التقدم الإيراني. وكانت النتيجة دودة حاس « 1٨تعطيل شهراً. وق ك أي أثر وراءها. لكن الأجهزة المستهدفة كانت ربأداء وظيفتها ثم تدمر نفس نت، رتخضع لحراس نت الوصول إلى تلك المرافق. ومن وجهة نظر ربمعنى أنه لا يمكن لأي هجوم من شبكة الإن المهاجمين فإن الأش USB thumb drive( بيالممكن إقناع ش اض أن هذا رإلى المنش ما حدث بالضبط. وتُعد ستكسنت الدودة الحاسوبية الأولى في العالم التي استخدمت كسلاح. المراجع: Sanger, D.E. ”Obama order sped up wave of cyberattacks against Iran, “ New York Times, June 1,2012. Ed Barnes, ” Mystery surrounds cyber missile that crippled Iran ’s nuclear weapons ambitions,“ Fox News, November 26, 2010, http://www.foxnews.com/tech/201026/11// secret-agent-crippled-irans-nuclear-ambitions.html )accessed 2/4/2013(.

الفصل الخامس 256 الملخص ناقشنا في هذا الفصل موضوع تحديد أصول تقنية المعلومات والتعرف على خصائصها في ً عامة أو أصولاً ذاتية، كما أن تحديد الأصول يتطلب المنظمة. ويمكن أن تكون الأصول أصولا ثيقاً بالاحتياجات الفريدة للمنظمة والموارد التكنولوجية الضرورية لنجاح المنظمة اهتماماً و في تحقيق رس كافة المعلومات الضرورية لحماية الأصول في أوقات الحرب والس بناءً على الحساسية وأهمية الأصول. كما يجب تعيين المسؤوليات خصائص الأصول تصنيفها الفردية لجميع المس أثناء استخدام الأصل. أسئلة مراجعة للفصل: 1 .ما الأصول من وجهة نظر أخصائي أمن المعلومات؟ 2 .خلال عملي للمنظمة؟ 3 .ما الطريقتان الأكثر شيوعاً لمعرفة ما هو مهم بالنسبة للمنظمة؟ 4 .م لتحديد كل منهما بالشكل الصحيح؟ 5 . )٨ما قائمة المراجعة؟ ولماذا تُعد قوائم المراجعة مفيدة في قطاع الأعمال بشكل عام؟( ولماذا لا تُعد قوائم المراجعة مفيدة جداً في تحديد الأصول؟ 6 .ما الغرض من بيان رس رؤية المنظمة 7 .ما الأصل المعلوماتي؟ أعط بعض الأمثلة http://وني والكتاب الموجود على الرابطرلمزيد حول هذا الموضوع، ننصح بشدة الاطلاع على هذا الموقع الإلك )٨( atulgawande.com/book/the-checklist-manifesto