أمن المعلومات وإدارة مخاطر تقنية المعلومات

إدارة الهوية والوصول 401 الرقم التعريفيالاسم الأولاسم العائلةالدور 13579 24680 ومن خلال القيام بعملية ملاءمة الهوية نستطيع معرفة أن كلا السجلين يعود للشخص نفسه المدعو هنري جونز الرقم التعريفيالاسم الأولاسم العائلةرقم الطالبرقم الموظفتاريخ الميلاد 13579 سجل الشخص كما ترى في المثال السابق فقد صدر لهنري جونز إلى مُع المُع Person Registry سجل الشخص�قاعدة بيانات تُدعى ب المركزي الذي يربط المُعرِفات من جميع نظم السجلات في هوية رئيسية واحدة، ويجعل من ارتباط وانتقال بيانات الهوية (مثل الرقم الجامعي والرقم الوظيفي) أمراً ممكناً. مم يتكون سجل الشخص؟ السجل في حد ذاته هو مجرد قاعدة بيانات بسيطة. وتقوم قاع لاحظ أن هذه المُعرِّفات تصدر وكما رأينا في المثال أعلاه أنه يمكن أن يكون لكل شخص هويات متعددة في نظام السجلات، صدار مُعرِّف واحد لكل ش لكن الهدف من س الش الأخرى (كالاسم، وتاريخ الميلاد، وغيرها) وذلك لكل فرد في المنظمة.

الفصل الثامن 402 وظائف ملاءمة الهوية تتميز عملية ملاءمة الهوية بثلاث وظائف رئيس ودم « الس المُحدث مع البيانات ش المرتبطة بالسجل الحالي للشخص. وإذا لم يتم العثور على تطابق مناسب في سجل الشخص ثل شُ فإنه يُفترض أن البيانات المُقدمة ت « الش المُقدمة من قبل نظام ولحل مشكلة تعارض الهوية يجب على المسؤول تقييم بيانات الهوية السجلات، ومن ثم يُقرر ما إذا كانت الهوية جديدة، أو يقوم المسؤول بمطابقة الهوية يدوياً مع هوية أخرى من الهويات الموجودة في النظام. ويوضح الش لعملية المطابقة والدمج. وم حجم المنظمة وعلى عدد نظم الس على نظام واحد للسجلات، فإن عملية ملاءمة الهوية وسجل الشخص لا حاجة لهما. وعلى كل ح إدارة الهوية وهي إثراء الهوية. لماذا لا يتم استخدام أرقام الضمان الاجتماعي السؤال الطبيعي في هذه المرحلة: لماذا لا نستخدم أرقام الضمان الاجتماعي في كل الأنظمة؟ فأرقام الضمان الاجتماعي تصدر بالنتيجة لكل فرد وليس لكل هوية. وهذا من شأنه القضاء إلى حد كبير على الحاجة لملاءمة الهوية. أحد الأسباب المهمة لعدم استخدام أرقام الضمان الاجتماعي على نطاق واسع هو أن استخدام هذه الأرقام على ضافياً على المنظمة للحفاظ على أمن هذه الأرقام. هذا النحو سيخلق عبئاً إ

إدارة الهوية والوصول 403 المرحلة الثالثة: إثراء الهوية حت نظام الس المنظم الس ب وقاعدة بيانات الموارد �) من قاعدة بيانات الطHenry Jonesي جونز�مُعرِفات ه البشرية، لكن لم يتم جمع أي معلومات عن علاقة هذا الشخص بالجامعة. وفي أثناء مرحلة إثراء الهوية س قس الشخص الخاص بهنري جونز سيكون كما يلي: ويُشار إلى علاقة الفرد بالمنظمة بدور الفرد وانتمائه للمنظمة. ويمكن أن يكون للأفراد أدوار متعددة في المنظمة، كما يمكن أن يكون لهم عدة أدوار في منظمات متعددة في وقت واحد. على س في المنظمة، كما يحمل دور الموظف من حيث الشركة بأكملها. ولهذا الس لكل فيت ترى من الضروري تحديد الدور الرئي�المنظ تطبي المُحدد. ففي المثال يلكل شخص يمكن ترتيب القائمة بناءً على قيمة الأولوية والدور الرئي الس لهنري ي الذي سيتم تسجيله للمُستخدم سيكون يالرئي جونز وعن ث

الفصل الثامن أمن المعلومات وإدارة مخاطر تقنية المعلومات 404 بما فيه الكفاية من أنه تم تعريف كل فرد في المنظمة بشكل فريد، كما تم استرجاع ً متأكدا الكثير م بل نظام إدارة الوصول والذي ِ ق يحصل عليها هذا الفرد. الآن الهوية جاهزة للاستخدام من يتعامل مع قرارات الوصول والأنشطة الناتجة عن ذلك. ): المخطط الانسيابي لعملية المطابقة والدمج 2 - 8 الشكل إدارة الوصول: ؤس ُ ت س ُ ي والإجراءات والتطبيقات التي تأخذ البيانات من س اتخاذ قرار بشأن منح صلاحيات الوصول للموارد.

إدارة الهوية والوصول 405 التحكم في الوصول المُعتمِد على الدور قب قيادة المنظمة تطوير سياس السياسات تستخدم نهج التحكم في الوصول المُعتمِد على الدور وفي نظام التحكم في الوصول المعتمد على الدور، فإن الأذونات اللازمة لتنفيذ مجموعة من العملي تل الدور يمنح الأفراد ذوي الأدوار المحددة امتيازات وصول تتناس يُس لها. على س نح القدرة على الموافقة على الدفع ُجديد، لكن لا يُس لدور مرتبط بش ام مهمة كاملة بحالة فصل المهام. وتُعد حالة فصل المهام ست من ش أنظمة الأعمال وخاصة عندما يتعلق الأمر بالمعاملات النقدية. ويه نح فقط الأدوار يمُتعك ام عمله بنجاح، وكل دور يجتالضروري لأداء المه مباشرة بالوظائف الحقيقية للأفراد في المنظمة، يس مباشرة مع مس التي س فالمس المرتبطة بوظيفة معينة. سجل الوصول تُعد قاعدة بيانات سجل الوصول جوهر عملية إدارة الوصول حيث يوفر سجل الوصول لمس

الفصل الثامن 406 جمي تغييرات الحسابات والأذونات وليتم بعد ذلك تحديث البيانات في سجل الوصول. وبالإضافة إلى ذلك يحتوي سجل الوصول على تطبيقات تقوم بتدقيق الوصول بشكل دوري. ويعمل تدقيق الوصول على البيانات المُقدمة من س ومن خلال مقارنة نتائج تدقيق الوص في سجل الوصول، يستطيع مس يجب أن يُضاف أو يُحذف وذلك لضمان امتثال النظام للسياسات الأمنية. ات الوصول المطلوبة �الخط عن طريق أنشطة الإرس الاحتياط إنشاء حسابات أو إضافة أذونات لا يملكها الفرد أو حذف الحسابات أو الأذونات . )3،)2التي لم تعد هناك حاجة لها معايير التدابير الاحتياطية سابقاً كانت التطبيقات المستخدمة في إرسال أنشطة التدابير الاحتياطية متخصصة للغاية، كما كانت مكتوبة بشكل عام لاستهداف تطبيق أو خدمة واحدة فقط. لكن نظراً لأهميتها كان هناك توجه لإنشاء أُطر موحدة لإرسال البيانات الاحتياطية مثل SPML( )2()Language SPMLت الموافقة على مواصفات نظام ت). و SCIM( )2()Management محدود، خاصة في المنظمات الكبيرة جداً، وذلك نظراً لتعقيدها. من ناحية أخرى يعد نظام نسبياً (تم إطلاق الإصدار الأول منه في شهر ديسمبر من عام من السابق لأوانه معرفة ما إذا كان نظام النظام حصل على دعم كبير من المزودين الرئيسين لخدمات الحوسبة السحابية. وبمجرد انتهاء مسؤول النظام من عمليات إدارة الهوية وإدارة الوصول سيكون النظام جاهزاً لخدمة المس كِن آليات المصادقة المستخدمين من إثبات هوياتهم.ُ يمكن تقديم الامتيازات المناسبة لهم حيث ت )2( h ttps://www.oasis-open.org/committees/tc_home.php?wg_abbrev = provision )3( http://www.simplecloud.info/

إدارة الهوية والوصول 407 :)المصادقة في ش المالك للهوية التي يتم استخدامها. فعندما يقوم المستخدم بإدخال اسم المستخدم (والذي يضاً أس يس على مس عاً هي أن نس الأكثر ش المعلومات المُس شيوعاً إلى ثلاث فئات رئيسية: •شيء تعرفه. •لكه.تشيء •شيء منك. شيء تعرفه: كلمات المرور: كلمة المرور هي أقدم وأبس سلسلة من الرموز السرية التي لا يعرفها سوى صاحب الهوية ويقوم باستخدامها للمصادقة كلمة المرور � الهوي�ع الصحيحة فإنه يُفترض أن هذا الش أنك على دراية باس تحت سابقاً أن هناك العديد السر يُعد الأكثر ش من المس :)4المهاجمين يستخدمون طريقتين شائعتين لتخمين كلمات المرور وللاطلاع على تقرير سهل القراءة عن حالة السوق، انظر الرابط التالي، )4( http://www.dailymail.co.uk/sciencetech/article-2331984/Think-strong-password-Hackers-crack- 16-character-passwords-hour.html#ixzz2UcKeZwyW )accessed 042013/4/(

الفصل الثامن 408 • هجمات القاموس من قواميس ضخمة لكلمات المرور والكلمات الشائعة من لغات متعددة. •هجمات القوة الغاش حتى يتم تخمين كلمة المرور حيث يتم تجريب كل مزيج ممكن من الرموز. وتس ض هجمات القوة الغاشمة، من ناحية أخرى، تستطيع تخمين أي كلمة مرور عندما يكون لديها الوق سياسات تفرض كلمات مرور قوية. وفيما يلي بعض من القواعد النموذجية المستخدمة: •يجب أن تتكون كلمة المرور من ثمانية رموز أو أكثر. •يجب أن تحتوي كلمة المرور على رقم، وحرف صغير، وحرف كبير، ورمز خاص. •يجب ألا تحتوي كلمة المرور على كلمة من القاموس. ):Password e ntropyمقياس عشوائية كلمة المرور لسوء الحظ فإن تلك القواعد تولد كلمات مرور يصعب تذكرها، ولكن لا تؤدي بالضرورة إلى كلمات مرور قوية. ففي عام Technology 6()entropy( معينة باستخدام هجمات القوة الغاشمة. على سبيل المثال، كلمة المرور التالية لأنها تلبي جميع القواعد النموذجية التي تم ذكرها أعلاه. واتضح أن كلمة المرور هذه تحتوي ع 225ثلتمقياس العشوائية والتي من فقط باعتبارها عبارة المرور مثل المطلوب لتخمين كلمة المرور إلى أكثر من وكما ترى فإن كلمة مرور ذات المقياس العشوائي العالي ستكون أكثر مقاومة لهجمات القوة الغاشمة )5( http://csrc.nist.gov/publications/nistpubs/800-63/SP800-63V1_0_2.pdf )Houghton Mufflin Harcourt eReferenceمقياس للفوضى والعشوائية في النظام المغلق )6( Bruce Schneier, »Passwords are not broken, but how we choose themً عن هذا الموضوع، انظر مقالا )7( )2013/18/sure is,« http://www.schneier.com/essay-246.html)accessed 07

إدارة الهوية والوصول 409 شيء تملكه: القطع الرمزية بدلاً من إس غير ذلك) ش الرمزي لكهتجمي تعرف العوامل) وس الوصول إلى النظام. وقد استخدمت المؤسسات المالية نظام التوثيق الثنائي العوامل (بطاقة راف الآلي والرقم السري) لعقود من الزم�ال حالات الانتحال الإلكتروني وغيرها من هجمات كلمات المرور في الس العديد من المنظمات لإضافة عامل إضافي لنظام المصادقة الحالي. أما البطاقات الذكية فهي عبارة عن قطع رمزية في حجم البطاقة الائتمانية تقوم بحفظ رقم الهوية، والذي يحدد البطاقة بشكل فريد، أو تحتوي البطاقة الذكية على ذاكرة صغيرة يُحدد المس تحفظ توثيقاً رقمياً واس إلى بطاق والعسكرية. وبديلاً للمصادقة المستندة إلى التوثيق، يمكن تحميل التوثيق مباشرة في قرص يو إس التوثي تساعد على تأمين الحفظ الداخلي من خلال استخدام كل من التوثيق وكلمة المرور. ومن عيوب القط باس ي دائماً خاصة عند اس آلي مفت

الفصل الثامن أمن المعلومات وإدارة مخاطر تقنية المعلومات 410 تحتاج إلى اتصال مباشر بجهاز الحاس ) التعامل مع هذه المش Vasco ) وشركة RSA سلس ) صغيرة في الجزء الأمامي من LCD توليد سلس القطعة الرمزية. وبعد ذلك يتم إدخال سلسلة الأرقام من قبل المستخدم ككلمة مرور لمرة )، وهي عبارة عن كلمة المرور يمكن استخدامها لمرة واحدة one-time password واحدة عد القطع الرمزية التي من هذا القبيل ُ ت فق ) شائعة الاستخدام منذ س 4 - 8 (الش أو غيرها من الملحقات لتكون متصلة بكل ً خاصا ً ، ولا تتطلب قارئا ً لأنها سهلة التطبيق نسبيا جهاز حاسب آلي في المنظمة، كما يمكن استخدامها بسهولة في أجهزة الحاسب الآلي المكتبية أو المحمولة. ) USB ): بطاقة ذكية في قارئ بطاقة متصل بمنفذ يو إس 3 - 8 الشكل

إدارة الهوية والوصول أمن المعلومات وإدارة مخاطر تقنية المعلومات 411 ) Token ): قطعة رمزية 4 - 8 الشكل وتق أساليب تعتمد على الوقت أو أساليب تعتمد على التسلسل. • تعمل القط ثانية. 60 أو 30 خلال فترة زمنية محددة، عادة تكون • أم على كلمات المرور السابقة ً بناء لاستحداث سلسلة من كلمات مرور لا يمكن تخمينها في هذه السلسلة. وبغض النظر عن النوع المستخدم، يتم تسجيل القطعة الرمزية في خادم التوثيق قبل أن عطى للمستخدم، مما يؤدي إلى إعطائها قيمة مبدئية لبدء خوارزمية تعتمد على التسلسل ُ ت د على الوقت. ِ عتم ُ ب الم أو إلى مزامنة الساعة الداخلية لبدء الأسلو قدم قطع ُ ت ) RSA وبالإضاف )، وهي عبارة عن تطبيق software tokens رمزي بنفس طريقة القطع الرمزية لكن لا تتطلب من المستخدم أن يحمل جهاز منفصل. ولأنها لا تنطوي على تقديم جهاز فعلي فإن هذه القطع الرمزية البرمجية لها فائدة إضافية تتمثل في الانتشار السريع والبسيط – من خلال تثبيت التطبيق. وبمجرد تثبيت التطبيق فإن القطع

الفصل الثامن 412 اماً مثل القطع الرمزية الماديت الرمزي كلمة مرور تس لتحقي رمزية برمجية للمصادقة الثنائية العوامل لحس . )8تعمل بنظام الآي أو إس وبالإضاف الحديث تُعد طريقة مبسطة لتوفير عامل إضافي للمصادقة حيث يقوم المستخدمون القصيرة أثناء إعداد حس عندما يحاول المستخدم المصادقة، يتم إرسال رمز المرور في رسالة قصيرة إلى هاتفه المحمول. � ثم يقوم المس حوزته. وأحد عيوب اس ماً على كل رسالة. العديد من شركات الهاتف المحمول تأخذ رسو ) مثالاً عن نهج جديد للمصادقة وذلك بالاستفادة tiQR( ) http://tiqr.orgوتُقدِم شركة م شركة Quick Response code( السريعة باس متوفر على أجهزة أندرويد ثم يقوم المس عبارة المرور التي تم فك شفرتها. ويقوم خادم المصادقة بالتحقق من كلمة مرور المستخدم ومن عبارة المرور للتأكد من هوية المستخدم. شيء منك: القياسات الحيوية تُعد القطع الرمزية والقطع الرمزية البرمجية وس الأم )8( http://googleonlinesecurity.blogspot.com/2012/03/improved-google-authenticator-app-to.html

إدارة الهوية والوصول 413 تُس ال تحلل الفروق الدقيقة في بعض المواصفات الجس نمط الأوعية الدموية في العين، وذلك لتحديد هوية الفرد. وبشكل عام فإن الأجهزة الحيوية تعمل من خلال مقارنة بين بيانات القياس نس وإذا كانت بيانات القياس البيانات المحفوظة في النظام، فإنه يُفترض بأنه نفس الشخص وتكون عملية المصادقة ناجحة. ويطلق على الفروق المادية التي يمكن ملاحظتها بين الناس بالعلامات الحيوية. وهناك العدي : )9خلال العديد من العوامل، بما في ذلك •العمومية: يجب أن تكون السمة أو الصفة لدى كل شخص. •التفرد: لا يوجد شخصان لهما الصفة نفسها. •الدوام: يجب ألا تتغير الصفة مع مرور الوقت. •التحصيل: يجب أن تكون الصفة قابلة للقياس كمياً. •الأداء: يجب أن يتم الحصول على قياس دقيق من خلال موارد معقولة. •القبول: استعداد المستخدمين لقبول قياس الصفة. •.)10التلاعب: صعوبة تقليد صفات شخص آخر )9( J ain, A.K., Bolle, R., Pankanti, S., eds. B iometrics: Personal Identification in Networked Society. Kluwer Academic Publications, 1999 في شهر يونيو من عام)10( المتحدة بشرعية جمع القياسات الحيوية للتعرف على من يُقبض عليهم، واستخدام تلك القياسات في الكشف عن جرائم أخرى ليست ذات صلة بالجريمة الأساسية، 13/11/files/cases/maryland-v-king/ )Accessed 10

الفصل الثامن 414 بصمات الأصابع تُعد بصمات الأصابع أكثر العلامات الحيوية المعروفة والمس ت الأصابع من نمط فريد من النتوءات على الأصابع، أو على راحة اليد البشرية والتي �بص 100ل أكثر من�تُع من ملايين من بصمات الأصابع، لم يتم العث�أك أصابع متطابقة. وفي السابق كانت تكنولوجيا مسح بصمات الأصابع شائعة الاستخدام فقط في التطبيقات الت ت الأصابع جزءاً م�أصبحت ماس المكتبية المصممة لاس اً رقمية للإصبع، أو على ماسحات ضوئية مجس بالس الكهربائي. وبدلاً من مقارنة كامل بصمة الإصبع، يقوم برنامج المس ومكان العديد من ميزات البصمة الفريدة (التفصيلات) (الشكل التفصيلات بين بصمتي الأصابع، يس النوع م تُعد نقطة ضعف في وغيرها) من التأثير على نتيجة تطابق بصمات الأصابع. ومع ذلك فإنها مصادقة القياس انتحال الشخص المستهدف بل يكفي أن يقوم المهاجم بنسخ ما يكفي من أجل إقناع الماس ماً إلا أنها س) 11الهجمات الناجحة ضد ماس والتقنية الأكثر استخداماً في تحديد هوية القياسات الحيوية لسنوات قادمة. مسح قزحية وشبكية العين: تسجل الماسحات الضوئية لشبكية العين النمط الفريد من الأوعية الدموية الموجودة في )11( Matsumoto, T. et al. I mpact of Artificial » Gummy « Fingers on Fingerprint Systems. International Society of Optics, 2002

إدارة الهوية والوصول أمن المعلومات وإدارة مخاطر تقنية المعلومات 415 الجزء الخلفي من العين. وبالإضافة إلى شبكية العين، تحتوي العين على سمة تحديد فريدة أخ لونها. وبش من أفلام ً ءا ويمكن اس التجس ً منا س ُ أمني. أما في الحياة العملية فإن هذه الأنظمة ت مثل وزارة الدفاع أو مناطق عادية مثل الصالة الرياضية المحلية. ً عاليا وقد اس عديدة. وبالنس جرى في مكتب طبيب العيون حيث يتم النظر إلى عدس ُ ي ال من الضوء لعدة ثوان، في حين يلتقط الماس للاستخدام العام ً لا عد مقبو ُ للغاية لكنه لا ي ً بمعالجة البيانات. ويعد مسح شبكة العين دقيقا لأنه توسعي أكثر من التقنيات الأخرى، كما أنه أبطأ من البدائل الأخرى. ): بصمة الإصبع مع تحديد (تفصيلات) البصمة 5 - 8 الشكل

الفصل الثامن أمن المعلومات وإدارة مخاطر تقنية المعلومات 416 وعلى عكس المس وماس ) والذي يسمح بالتقاط صورة محسنة للقزحية. وإن كان infrared أش ستخدم في العديد التطبيقات ُ ي كمسح ش ً مس لأخذ الصور بالكاميرا حيث ً جدا ً عد مسح قزحية العين مشابها ُ بسبب سهولة الاستخدام. وي لا يتطلب مس لفترة طويلة من الزمن، وذلك لأن الصور يتم التقاطها بشكل فوري. ً و يبقى ثابتا قليلة) أ للمس ً نامجا بدأت وزارة الداخلية في دولة الإمارات العربية المتحدة بر 2001 وفي عام عن الأش ً بحثا الض ). ويحتوي النظام 6 - 8 من البلاد بس ً س طردهم كن ت ن . وحتى الآ ً ملايين من الهويات كما يقوم بمليارات من عملي � ع آلاف ش 10 النظام من القبض على أكثر من . ) 12 ( بوثائق سفر مزورة ): مسح قزحية العين في مطار دبي 6 - 8 شكل ) 12 ( Daugman, J. Encyclopedia of Biometrics. Springer, 2010