أمن المعلومات وإدارة مخاطر تقنية المعلومات

تحليل مخاطر تقنية المعلومات وإدارة المخاطر 737 معالجة المعاملات�إلى البرام تعمل بش لمعايير الرقابة. على س وثائق الشحن، لضمان تسجيل جميع المبيعات الصحيحة. يقدم مثالاً فقط ولم يقدم تعريف رس(وفي حين أن معيار إلى تعريف لهذا المصطلح. واس� تش لتقني ، يمكن مقارنة الضوابط العام(50 الضوابط العامة المنصة الأساس إذا كان نظام تقنية المعلومات يس فإن احتمال المعاملات الاحتيالية يزداد بش المصممة للتحقق من الأنشطة التجارية المختلفة. لذلك يعد الحفاظ على بنية تحتية آمنة لتقنية المعلومات من خلال الضوابط العامة أمر مهم للتحقق بش هذا نُعرف الضوابط العامة لتقنية المعلومات بأنها أنشطة الرقابة التي التجارية. وبناء على تق المنظمة. فإن خبراء تقنية المعلومات يشاركون في يوعند المشاركة المتعلقة بقانون ساربينز أوكس تدقيق الضوابط العامة لتقنية المعلومات. إج :يبقانون ساربينز أوكس ، فإن الصناعة قد وضعت (وفقاً لمبدأ التوجيه (.٩الإجراءات التالية لتدقيق الضوابط العامة لتقنية المعلومات على التقارير المالية( 1 .النظر في التقارير المالية للمنظمة ٢ .تحديد بنود المواد: ( ولمزي٩( (2013/1/ResearchDeliverables/Pages/IT-Control-Objectives-for-Sarbanes-Oxley (accessed 1

الفصل الرابع ع أمن المعلومات وإدارة مخاطر تقنية المعلومات73٨ 3 .ما يحتاج المستثمر المتعقل أن يعرفه 4 .تحديد العمليات التجارية التي تصب في هذه البنود 5 .تحديد منصات تقنية المعلومات التي تدعم هذه العمليات-نظم التش البيانات، التطبيقات، خوادم الشبكات. 6 .التأكد من تحقيق أهداف الضوابط العامة لتقنية المعلومات والمرتبطة بتلك المنصات 7 .إعداد تقرير بنقاط ضعف المواد الخل اكتشاف. 5. وللعنصر رقميوهذه العملية تتكرر سنوياً وذلك للامتثال لقانون ساربينز أوكس هدفاً رقابياً اعتماداً على أفضل ممارسات الصناعة، متضمناً ذلك 1٢القائمة أعلاه، تم تحديد (. 0بنود مثل إدارة التغيير وإدارة البيانات الامتثال في مقابل إدارة المخاطر: في مجال الضوابط العامة لتقنية المعلومات على يالمثال المتعلق بقانون س التقاري المخاطر يتم فرضها بواس القوانين واللوائح والأنظم إدارة المخاطر يتم تحديده بواس أو على معايير (في تطوير خطة إدارة مخاطر خاصة بها اعتماداً على معاي . لماذا لا يتم تعهيد إدارة المخاطر للمشرعين وخبراء الصناعة، وتقوم المنظمة (ISO 27000( بالامتثال للقوانين واللوائح ورموز الصناعة وغيرها والتي يطورها هؤلاء الخبراء؟ وإذا فكرت في هذا التس المخاطر، ومن ثم فإن الامتثال يتطلب مجموعة صغيرة من أنشطة إدارة المخاطر لمنع وقوع 11 في صفحة(( انظر شكل0(

تحليل مخاطر تقنية المعلومات وإدارة المخاطر أمن المعلومات وإدارة مخاطر تقنية المعلومات73٩ الكوارث التي يمكن أن تؤثر في الآخرين. الامتثال لا ينظم المخاطر التي تؤثر فقط فيك وفي منظمتك. يات لا داع� على س النتائج السلبية لهذه الأنشطة محدودة بالشخص وحده، فلا يوجد أي لوائح أو قوانين تمنع الش لذا يُطلب من السائقين الالتزام بقوانين القيادة الخطر قد يضع السائقين الآخرين في خطر. الآمنة، كما تُفرض عقوبات صارمة للقيادة تحت تأثير الكحول. ك وبالمثل فإن أنش المنظمة لا يضع المستثمرين والمنظمات الأخرى في خطر. لكنك وحدك المسؤول عن التأكد م فعله حتى لا تضر نفسك. الترويج للأمن: ليس من السهل الترويج لأمن تقنية المعلومات. فالإدارة العليا عادة ما تفكر من الأحيان قياس �، ومن الصعب في كث(Return on Investments الاس�ع أو حئي شيء�العائ الحوادث المعروفة والحالية، ما زالت بعض �الرغم من س المنظمات مترددة في تحصيص موارد للأمن. اتيجيات هي محاولة تحديد نس�وأحد أفضل الإس وع الذي يتضمن �وع من مش�في كل م ق(« تكلفة البرمجيات اللازمة لتشفير البيانات الشخصية مثل أرقام الضمان الاجتماعي . وإذا ت(Security Numbers يمكن ترخيص نفس البرمجيات لتش الخوادم.

الفصل الرابع ع 740 وللأسف فإن واحدة من أسهل الطرق للحصول على التمويل هي الاستفادة من الحوادث التي وقعت للمنظمات المشابهة. مثلاً تسرب أرقام الضمان الاجتماعي في الجامعات القريبة في جامعتك. الطلاب سيتساءلون عن ي شك تسنىس كيفية حماية أرقام الضمان الاجتماعي، وقد تتس الموقف �ل هذه الأوقات، قد تحصل إدارة تقنية المعلومات على تمويل كبير لتحس�وخ اتيجية جاهزة للاس�الأمني للبنية التحتية. ومن المهم أن يكون هناك إس الحالات وألا يتم تبديد تلك الأموال في شراء موارد لا حاجة لها. نموذج حالة - الشراء من أسواق الإنترنت: ، أعلن المدعي العام الأمريكي للمقاطعة الشرقية ٢01٢في الخامس من ديس من مدينة نيويورك اعتقال ستة أشخاص رومانيين وواحد ألباني بتهمة الاحتيال على الزبائن ، (AutoTrader.com، و(eBay، وذلك في أس�الأمريكي . وتم الاعتقال بتعاون وكالات إنفاذ القانون في رومانيا، وجمهورية التشيك، (و والمملكة المتحدة، وكندا، والولايات المتحدة الأمريكية. نشر المحتالون إعلانات تفصيلية لس الإنترن « �كين معهم والذين يُسمون ب �مرين مش آالمحتالون بمت حسابات مصرفية باستخدام جوازات سفر مزورة بطريقة عالية الجودة. وقد استجابت تلك السهام لطلبات الزبائن المرتقبين، وحصلوا في مقابل ذلك على الأموال. إلى خارج الولايات المتحدة بواس�وت ألف دولار 1٨السهام إما نقداً أو عن طريق الحوالة البنكية. وفي إحدى الحالات تم إرسال إلى خ لشراء ساعات باهظة الثمن ومن ثم إرسالها عبر البريد إلى المحتالين. وبلغ مجموع الأرباح المقدرة لهذه العصابة المرجع: https://www.justice.gov/usao/nye/pr/2012/2012dec05.html

تحليل مخاطر تقنية المعلومات وإدارة المخاطر 741 الملخص ذج المتاحة لتحلي�في ه استخدمنا تحليل المخاطر لربط محتويات هذا الكتاب بالأهداف الإدارية الشاملة للمنظمة. لتحليل المخاطر، اس(ومن خلال نموذج في الأجزاء الس رأينا أن تحلي�ك المخاطر وذلك بهدف المقارنة والتقييم. وناقشنا أيضاً نموذج محدد لإدارة المخاطر والمتعلق نة مأ والذي يستخدم من قبل الشركات المطروحة للتداول العام لط يبقانون ساربينز أوكس المستثمرين بمصداقية التقارير المالية. أسئلة مراجعة للفصل: 1 .ما المخاطر؟ وفي رأيك، ما أهم ثلاث مخاطر لتقنية المعلومات واجهتها شخصياً؟ ٢ . ما إدارة المخاطر؟ اذكر نش كن التنبؤ بها.يمُ حددتها في السؤال الأول 3 .اذكر نش في السؤال الأول. 4 . (ما النماذج؟ ولماذا تستخدم في الإدارة؟ صف باختصار (في جملة واحدة إلى جملت نموذجاً درس الموضوع المنظم بواسطة النموذج. 5 .؟(ما أهداف نموذج 6 .1 (صفحة(م ؟( من المعيار٢ 7 . (Apple Computer المُقدم من قبل شركة (انظر في التقرير الشامل للأداء ى في مجال تقنية المعلومات ومطروحة للتداول �(أو إذا كن

الفصل الرابع ع أمن المعلومات وإدارة مخاطر تقنية المعلومات74٢ . اذك((Microsoft(Oracle(D ell(IB M(HPالع أنها عوامل مخاط�المخاطر المحددة بواس . صنف تلك العوامل بأنها أحد المخاطر التنظيمية المذكورة في نموذج (عبارة قصيرة .(NIST 800 -39( ٨ .. ارس(ق عناصر النموذج وعلاقة هذه العناصر فيما بينها. ٩ . إدارة مخاطر تقنية المعلومات �م وإدارة المخاطر الشاملة للمنظمة؟ 10 .؟ وما دور إطار المخاطر(م إدارة مخاطر تقنية المعلومات؟ 11 .؟ وما دور( م تقييم مخاطر تقنية المعلومات في إدارة مخاطر تقنية المعلومات؟ 1٢. ؟ وما (ما الاستجابة لمخاطر تقنية المعلومات كما وردت في نموذج دور الاستجابة لمخاطر تقنية المعلومات في إدارة مخاطر تقنية المعلومات؟ 13 .؟ وما دور(ما رقابة مخاطر تقنية المعلومات كما وردت في نموذج رقابة مخاطر تقنية المعلومات في إدارة مخاطر تقنية المعلومات؟ 14 .ما العلاقة بين المخاطر والتهديدات؟ 15 .أثناء مرحلة تحديد المخاطر كمرحلة من مراحل تقييم المخاطر، ما البنود التي يجب معرفتها لتحديد المخاطر؟ 16 .اكتب المخاطر التي حددتها في السؤال الأول على شكل عبارات مخاطر وذلك باتباع الأمثلة الموجودة في هذا الفصل. وحدد بوضوح جميع عناصر المخاطر في كل عبارة من عبارات المخاطر. 17 .لكل خطر من المخاطر المحددة في سؤال

تحليل مخاطر تقنية المعلومات وإدارة المخاطر 743 كل خطر. وباستخدام هذه التقديرات، قم بقياس كل خطر من تلك المخاطر ورتبها استناداً إلى تلك التقديرات. 1٨. والتي وضعتها المنظمة الدولية (قدم لمحة موجزة عن سلس ؟ وإذا كان عليك (NIST 800- 39. وما العلاقة بينها وبين معاي(للمعاي اختي مخاطر تقنية المعلومات؟ ولماذا؟ 1٩. والتي وُضعت بواس(قدم لمحة موجزة عن منهجية NIST 800. ما العلاقة بين هذه المنهجية من جهة وبين معيار(البرمجي من جهة أخرى؟(ISO 27000 ومعيار(39 ٢0 .؟يما هي بعض الأحكام المهمة التي حددها قانون ساربينز أوكس ٢1 . من قانون(404 و(30٢م ؟يساربينز أوكس ٢٢. ؟يما الرقابة الداخلية كما تم تعريفها في قانون ساربينز أوكس ٢3 .ما معايير التدقيق المحاسبي؟ ٢4 .اشرح باختصار إجراءات التدقيق المحاس للتحقق م . يأوكس ٢5 .ما الفرق بين إدارة المخاطر والامتثال؟ أسئلة على نموذج الحالة: 1 .اق العميل المُرتقب بصحة إعلاناتهم تعرفه من الآليات التي يستخدمها المحتالون لإقناع التجارية.

الفصل الرابع ع 744 ٢ .بن سلعة باهظة الثمن من الإنترنت؟ نشاط التدريب العملي - تقييم المخاطر باستخدام الأمر لمراجعة الأوامر المستخدمة في ( في هذا النش اتصال الشبكة ولإجراء تقييم المخاطر لآلة لينكس الافتراضية. وذلك (وللبدء، انتقل إلى الحس لمشاهدة جميع اتصالات الشبكة المفتوحة:

تحليل مخاطر تقنية المعلومات وإدارة المخاطر 745 [alice@sunshine ∼]$ su - Password: thisisasecret [root@su nshine ∼]# lsof -i COMMAND PID USER FD TYP E DEVICE SIZE/OFF NODE NAME sshd 1862 root 3u IPv4 11083 0t0 TCP *:ssh (LISTEN( sshd 1862 root 4u IPv6 11085 0t0 TCP *:ssh (LISTEN( ntpd 1870 ntp 16u IPv4 11113 0t0 UDP *:ntp ntpd 1870 ntp 17u IPv6 11114 0t0 UDP *:n tp ntpd 1870 ntp 18u IPv6 11118 0t0 UDP v6.sunshine.edu:ntp ntpd 1870 ntp 19u IPv6 11119 0t0 UDP [fe80::a00:27ff:fef6:cadf]: ntp ntpd 1870 ntp 20u IPv4 11120 0t0 UDP sunshine.edu:ntp ntpd 1870 ntp 21u IPv4 1878265 0t0 UDP 10.0.2.15:ntp mysqld 2148 mysql 10u IPv4 11438 0t0 TCP *:mysql (LISTEN( master 2276 root 12u IPv4 11742 0t0 TCP sunshine.edu:smtp (LISTEN( master 2276 root 13u IPv6 11744 0t0 TCP v6.sunshine.edu:smtp (LISTEN( httpd 2316 root 4u IPv6 11985 0t0 TCP *:http (LISTEN( qpidd 2335 qpidd 10u IPv4 12079 0t0 TCP *:amqp (LISTEN( qpidd 2335 qpidd 11u IPv6 12080 0t0 TCP *:amqp (LISTEN( dnsmasq 13558 nobody 4u IPv4 1877904 0t0 UDP *:domain dnsmasq 13558 nobody 5u IPv4 1877905 0t0 TCP *:domain (LISTEN( dnsmasq 13558 nobody 6u IPv6 1877906 0t0 UDP *:domain dnsmasq 13558 nobody 7u IPv6 1877907 0t0 TCP *:domain (LISTEN( dhclient 13624 root 6u IPv4 1878166 0t0 UDP *:bootpc httpd 31152 apache 4u IPv6 11985 0t0 TCP *:http (LISTEN( httpd 31153 apache 4u IPv6 11985 0t0 TCP *:http (LISTEN( httpd 31154 apache 4u IPv6 11985 0t0 TCP *:http (LISTEN( httpd 31156 apache 4u IPv6 11985 0t0 TCP *:http (LISTEN( httpd 31157 apache 4u IPv6 11985 0t0 TCP *:http (LISTEN( httpd 31158 apache 4u IPv6 11985 0t0 TCP *:http (LISTEN( httpd 31159 apache 4u IPv6 11985 0t0 TCP *:http (LISTEN( httpd 31160 apache 4u IPv6 11985 0t0 TCP *:http (LISTEN(

الفصل الرابع ع 746 وتقدم لك مخرجات ه مثل: •.(اسم البرنامج الذي يعمل •.(المستخدم الذي يشغل البرنامج •.(رقم عملية البرنامج •.(المنفذ الذي يتصل به البرنامج أو ينتظر عملية الاتصال . ويكون ش(وأكثر هذه الأعمدة أهمية هو عمود التالي: server: port (STATE(: ،(بحيث يكون الخادم هو جهاز الحاسب الآلي (اسم الجهاز أو عنوان بروتوكول الإنترنت والعملية تكون متصلة به، والمنفذ هو اسم الخدمة التي تستخدمها العملية. أما رقم المنفذ . (المتصلة به العملية فيتحول إلى اسم خدمة من خلال البحث عنه في دليل ولأن أرقام المنافذ يمكن اس دائماً لكنه يساعد على التخمين الجيد. لا تكون متصلة بخ(*وقوائ تكون مضافة لكثير (القوائم تس من هذه المُدخلات. قم بالبحث في الإنترنت عن مزيد من المعلومات حول كل عملية من العمليات المدرجة وقم بتجميع المعلومات في جدول. (في مخرجات أمر

تحليل مخاطر تقنية المعلومات وإدارة المخاطر 747 مثال أسئلة: 1 . التي يمكن أن تمثل خطراً على الأمن وقد تحتاج(في رأيك، ما الخدمات (إن وجدت إلى تعطيل؟ ٢ .ب المخاطر؟ تمرين التفكير النقدي-تقديرات المخاطر المتحيزة: في السنوات الأخيرة، كان هناك الكثير من الأبحاث حول كيفية تحيز الأشخاص في تقييم ، وهو أحد أب(المخاط مخاطر مختلفة جداً، م�في عصرن وضغ الحدس المهني، وفقد الكراهية، واس (مق كي كان هناك تكرار كبير جداً لتلك الفرص مثل قيادة السيارة. وفي مجال بحثي متصل يُسمى Yale من جامعة ييل(Dan Kahan« �ب ويرفضون ئي« (University الحقائق بالطريقة التي تدعم وجهات نظرهم

الفصل الرابع ع أمن المعلومات وإدارة مخاطر تقنية المعلومات74٨ المراجع: Sunstein, C.R. »Laws of Fear: Beyond the Precautionary Principle, « Cambridge University Press, March 2005. Available at SSRN: http://ssrn. com/abstract = 721562 Diamond, J. »That daily shower can be a killer,« New Yor k Times, 012013/28/ Schneier, B. Cryptogram, February 1, 2013 Kahan, D.M., Slovic, P ., Braman, D., and Gastil, J. »Fear of democracy: A cultural evaluation of Sunstein on risk, « Harvard Law Review, 2006, 119, Yale Law School, Public Law Working Paper No. 100, Yale Law & Economics Research Paper No. 317. Available at SSRN: http://ssrn.com/ abstract = 801964 أسئلة على تمرين التفكير النقدي 1 .ل تقييم مخاطر تقنية المعلوم�خ في التقدير إلى المبالغة في تقدير المخاطر غير المهمة، والتقليل من المخاطر المهمة؟ ٢ .يش المخاطر الهامة. هل تتفق مع هذا التقييم؟ علل إجابتك. تصميم حالة: ، حان الوقت أن نقدم الخلاصة. في مثالنا سيالآن وبعد أن انتهيت من هذا المقرر الدرا إلى الآن، وقد طلب منك مدير سيأنك عملت في جامعة ولاية الشمس المشرقة لمدة عام درا تقييماً لمخاطر المنظمة. قم بإنش الجامعة أن تضعا معاً بعض يإلى جمي الإرشادات:

تحليل مخاطر تقنية المعلومات وإدارة المخاطر أمن المعلومات وإدارة مخاطر تقنية المعلومات74٩ •ق الكتاب من أجل إعداد وثيقة لتقييم المخاطر. •اجعل وثيقة تقييم المخاطر سهلة القراءة. •استخدم الرسوم البيانية لتوضيح النقاط. •قارن الوضع الحالي لجامعة ولاية الشمس المشرقة بجامعات أخرى كلما أمكن ذلك. •ابحث التحديات الممكنة التي يمكن أن تُثيرها التقنيات الجديدة. • أنهي الوثيقة ببعض النقاط المقترحة لتحسين الحالة الأمنية للجامعة. ملحق أ: قائمة بكلمات المرور لآلة لينكس الافتراضية يوجد بعض الحسابات المهيئة مسبقاً لآلة لينكس الافتراضية والمستخدمة في التدريبات العملية في هذا الكتاب. ويتضمن الجدول التالي بعض الحس ت المرور، افتح الدليل �التدريب في محرر نصي على الآلة الافتراضية. (التا كلمة المروراسم المستخدم rootthisisasecret aliceaisforapple bobbisforbanana charliecisforcookie davedisfordog ericeisforelephant fredfisforfrog

المصطلحات 750 المصطلحات عملية تحديد الوصول الذي يستدقي بناءً على البيانات المُقدمة من سجل الشخص والسياسات الأمنية الحالية. هو تقييد الوصول إلى موارد نظم المعلومات التحكم في الوصول للمصرح لهم فقط من المستخدمين والبرامج والعمليات والنظم. توضيح لمدى توافر الموارد في النظام.نماذج التحكم في الوصول هي قائمة من الأذونات تتبع قا مكونات محددة. جمينظ والإجراءات والتطبيقات التي تأخذ البيانات من س بهدف اتخاذ قرار بشأن منح صلاحيات الوصول للموارد. الأداة التي توفر لمسؤولي الأمن رؤية موحدة س لحسابات وأذونات الأفراد عبر المنظمة بأكملها. هو العمل الذي يقوم به الوسيط للتأثير على خصوصية الأصل النش أو تكامله أو جاهزيته. هو مجموعة من التقنيات التي توفر المركزية الدليل النشط لإدارة المستخدم وللتحكم في الوصول لكافة الأجهزة الموجودة في نفس المجال. خدم خدمة توسServices إلى الموارد المحلية والخارجية باس .(والبروتوكولات الأخرى. ويشار لها اختصاراً وهو هجوم بشري متواصل التهديد المتقدم الدائم ومكثف يتم من خلاله رفع المدى الكامل لتقنيات التسلل لأجهزة الحاسب الآلي.

المصطلحات 751 أنظمة كشف التسلل المُعتمدة على الانحرافات هي عملية الكشف عن الانحرافات بين الأحداث المُلاحظة وأنماط النشاط المحددة. هي الموارد أو المعلومات التي يجب حمايتها.الأصول هي مقياس لمدى أهمية الأصل للبقاء الحالي أهمية الأصول للمنظمة. : هو فرد أو وحدة يملك مسمالك الأصل الوظائف غير المتوقعة والمرتبطة بتأمين الأصل. هحساس بسبب اختراق خصوصية الأصول أو انتهاك تكاملها. هي العملية التي يقوم فيها المسالمصادقة المالك للهوية التي يتم استخدامها. هي استخدام Authentication tokenرك �المصادقة المعتمدة على الرمز المش مُعرِف فريد أو دالة تجزئة مشفرة تُثبت هوية المستخدم بملكيته للرمز. هي ضمان الوصول الموثوق للمعلومات واسالجاهزية في الوقت المناسب. هالأجه ت الأصابع أو نمط الأوعية �في بعض المواصفات الجس الدموية في العين، وذلك لتحديد هوية الفرد. هالعلام ملاحظتها بين الناس. هو عمليتش العادي إلى مجموعات مشفرة.

المصطلحات أمن المعلومات وإدارة مخاطر تقنية المعلومات75٢ هو الطريقة التي يحاول قراصنة هجوم القوة الغاش النظام المس�الحاس « هي الحالة التيتجاوز سعة المخزن المؤقت يق المخزن تحمله. هBusiness impact analysis العم�تحلي والمنتجات البالغة الأهمية للمنظمة. بروتوك هprotocol المصدر، وخصوصاً في مجال التعليم العا هالتوثي المشفر للخادم، كما تحتوي على التعريف بمزود المفتاح. هو الأمر الخاص بتغيير الدليل والذي يسأمر تغيير الدليل دليل آخر. ويتم تحديد اسم المجلد المستهدف كمعامل للأمر. هو قيمة يتم حسابها بناء على البيانات خاصية المجموع الاختياري بهدف كشف الأخطاء أو كشف التلاعب في البيانات أثناء الإرسال. هو النص المشفر غير المفهوم للقارئ.مصطلح هي تقديم البرامج وغيرها من موارد الحوس الحاسب الآلي عبر الإنترنت كخدمة وليس كمنتج منفصل. ، والأنظمة، والقواعد، ورموز � هو عملية اتباع القوانالامتث الصناعة، والالتزامات التعاقدية. هي انتهاك أو ح تهديد وشيك بانتهاك سياس أو ممارسات الأمان الموحدة.