أمن المعلومات وإدارة مخاطر تقنية المعلومات

المقدمة 65 ): ملخص للهيكل التنظيمي لجامعة ولاية الشمس المشرقة16-1 الشكل وبدأت كلية الهندس التموي بها الخاصة بانتشار الجنود في ساحة المعركة. وبالإضافة إلى الأنش حاضنة للأعمال التجارية والتي �كات المحلية ذات الأقلية في المجتمع من خلال توف�ال تس وم .)29وغيرها أما المكتبة فهي صغيرة لكنها نشطة جداً. وبالإضافة إلى خدمات المكتبة التقليدية تقدم المكتبة الدرجات الجامعية ودرجات الدارس بش للكت وتحسين نظم الإعارة بين المكتبات. وتقوم إدارة خدمات الطلاب بتلبية احتياجات الطلاب اللاصفية مثل القروض الطلابية، والإسكان، والقوانين الأخلاقية، والحكومة الطلابية، وغيرها من التنظيمات الطلابية الأخرى. % منها شخص أو أكثر من 5(لك ما لا يقل مني هي شركة صغيرة من ويكيبيديا: (الشركات الصغيرة الأقل حظاً) )29( المُصنفين على أنهم محرومون اجتماعياً واقتصادياً. واندراج الشركة تحت هذا المسمى يجعلها مؤهلة لمزايا العقود امج المشتريات الفدرالية. روالمناقصات التابعة ل

الفصل الأول 66 ل إلى حد كبير بالمركزية. وتت �وتتمي الإدارية ما يلي: المشتريات، والعيادة الصحية الجامعية، وخدمات الصيانة، وشرطة الجامعة. كما أنها تتعامل مع الرواتب، وإجراءات التوظيف، ومس تقنية المعلومات مع كل جهود تقنية المعلومات على مستوى المنظمة، متضمناً ذلك أنظمة Enterprise Business Systemsل المنظم�إدارة أع ونظام الموارد البشرية، ونظام الرواتب والمالية فكلها مُشغلة بطريقة مركزية. ويتم تش . وتش�المح الطباعة، وتوفير الحسابات، وإدارة أجهزة الخادم. ولتوفير التكاليف يقوم أعضاء هيئة التدريس عن تدريس المقررات الدراسية، بإدارة هذه الخدمات. سيغير الدائمين، والمس وبصفة عام فإن الفريق الفني يعمل لساعات طويلة مقابل أجر مالي قليل لكنه مؤهل ومُدرب ب على الرغم من �بش محدودية الميزانية. وتجدر الإشارة إلى أن أمن المعلومات جزء من إدارة تقنية المعلومات. أسئلة على تصميم الحالة الأمنية: أجب عن الأسئلة التالية فيما يتعلق بجامعة ولاية الشمس المشرقة: ( .ما هي بعض الطرق التي من الممكن أن تسبب الارتباك أو الخسائر المالية للجامعة بسبب ثغرات أمن المعلومات؟ 2 .اذك كن أن تؤدي إلى ُ خصوصيتها؟ ما هي بعض الطرق الت�تحاف الثلاثة؟صرانتهاك خصوصية كل عنصر من هذه العنا 3 .اذك كن أن تؤثر سُتحاف الثلاثة؟صرتكامل كل عنصر من هذه العنا 4 .اذك كن أن تؤثر سُ تحاف الثلاثة؟صرجاهزية كل عنصر من هذه العنا

67 الفصل الثاني إدارة النظام (الجزء الأول) نظرة عامة: ذكرنا في الفص�ك ن خصوصية المعلومات وتكاملها وجاهزيتها. ولقد �حماي ناقش تلك الانتهاكات. ومن الواضح أن الشركات تسعى لحماية نفسها وحماية عملائها. لذا كيف يمكن أن نفعل ذلك؟ بقية هذا الكتاب مخصص للإجابة فقط عن هذا السؤال. هذا الفصل يط أمن المعلومات. في نهاية هذا الفصل يجب أن تعرف: •ماهية إدارة النظام. •ضوعاً مهماً لأمن المعلومات. الأسباب التي تجعل من إدارة النظام مو •ا المؤسسة. مقدمة: تتكون الاس ذلك الإجراءات القياسية، وتدريب المس الموضوعات بالترتيب المناسب في هذا الكتاب. لكن خط الدفاع الأول هو الجهد المبذول من ولي النُظم لحماية أنظمة المعلومات الهامة. مسؤول النظام هو الشخص المسؤول قبل مسؤ عن العمليات اليومية للأنظمة التقنية(((. 1( ATIS Telecom glossary: http://www.atis.orglglossary/default.aspx

الفصل الثا 68 ونظ يؤدي في كثير من الأحيان دور مس المس النظم من أهم الوظائف التقنية في المنظمة. ويق المعلومات. ثم يس في برمجيات المؤسس ي في هذا الفصل فيعطيك الفرصة لتحميل وتثبيت وضبط النس�العم . ونظام التشغيل هذا تم تخصيصه من قِبَل مؤلفي الكتاب (نظام التشغيل لينكس ليشمل إصدارات الأدوات المساعدة لأمن المعلومات الأكثر شيوعاً لدى مسؤولي النظم. وتم اختبار تلك الإصدارات من قِبَل مؤلفي الكتاب. وس أيضاً في الأنش عات لجامعة ولاية الش فصول الكتاب والتي تكلمنا عنها سابقاً. لماذا نس التدريب العملي المتعلقة بإدارة النظم؟ إدارة النظ المهارات يس ملحقات الكتاب، أو أن نوجه الطلاب إلى مصادر على الإنترنت لتطوير هذه المهارات. لكننا نعتق فإننا نس بعد كل فصل لمسيالعم هي العنصر الأكثر قيمة في هذا المقرر الدراسي. يكثير من الطلاب بأن أنشطة التدريب العم ويثمن العديد من مسؤولي المنظمات هذه المهارات أيضاً خصوصاً للموظفين المبتدئين.

(إدارة النظام (الجزء الأول 69 ما هي إدارة النظام؟ إدارة النظ العمليات، وتعزز الاستخدام الفعال للنظام، وتضمن تحقيق أهداف جودة الخدمة المحددة. وتش وبروتوك وأنظمة الحاسب الآلي (أنظمة قواعد البيانات، وأنظمة البريد الإلكتروني، ( وغيرهاServers . واعتماداً على حج( وغيرها وأنظم المعنية فإن الوقت اللازم لتوفير هذه الخدمات يتراوح بين جزء بسيط من الوقت الأسبوعي لموظ والمبرمجين وموظفي الدعم. وإذا قمت في السابق بتثبيت برنامج جديد أو استبدال قطعة لا تعمل في جهازك فإنك قد قمت بوظيفة مس الطرف الآخر توظف شركات مثل شركة جوجل الآلاف من مس �وع من الموظفين لدعم مئات الآلاف من أجهزة الحاس الهامة خارج الخدمة يعني ذلك خس في كل دقيقة من الزمن، لذلك فإن مس هذه الصناعة. اتجاهات ذات صلة - الحوسبة السحابية: واستجابة لتعقيدات إدارة النظام، ظهر في السنوات الأخيرة اتجاهان حديثين للتكنولوجيا. وكل من هذين الاتجاهين يندرج تحت فئة الحوس ه ، وهي آلية (منفص لتس 2( http://www.dalacenterknowledge.com/archives/2011/08/01/report- google-uses-about-900000-servers/ (3( http://en. wikipedia.org/wikilCloud_computing

الفصل الثا 70 طري بتوفير جميع مكون(كخدم جوانب إدارة النظام. وسعر هذه الخدمة يكون على شكل اشتراك مع تكلفة مدفوعة لكل (مس العائد المادي من الإعلانات التجارية. وإذا اس�مجان أو استخدمت (التطبيقات على ش فإنك قد اس(خدم .(تطبيقات (البرمجيات كخدمة . و(البنية (الاتج هي نموذج أعمال تقوم المنظمات من خلاله باس(التحتية كخدمة . وتُعد (الأجه من أش((البنية التحتية كخدمة يوفر مكونات الأجهزة ويتحمل فقط مس(كخدمة، فإن مُورِد (البنية التحتية كخدمة تركيب الأجهزة والصيانة. ويجب أن تُنفذ جميع عمليات أنظمة التشغيل وإدارة التطبيقات من خلال مس الاس ((( وشركة شركة أمازون (. وم(دورة راك سبيس(((. بدأ مس بهدف زيادة كفاءة استخدام قطع أجهزة الحاسب الآلي. والآلة الافتراضية هي (machines وع الآلات الافتراضية تماماً مثل نظائرها المادية لكن دون إمكانية فشل مكونات أجهزة الحاسب الآلي. ويمكن تشغيل وإيقاف الآلات الافتراضية عند الطلب. مثلاً يمكن تشغيل آلة افتراضية وذلك في أوقات ذروة العمل (مثل (جديدة لتقوم بوظيفة خوادم الشبكة 4( http://aws.amazon.com/ (5( https://www.rackspace.com/cloud

(إدارة النظام (الجزء الأول أمن المعلومات وإدارة مخاطر تقنية المعلومات7( . وبمجرد انتهاء موسم الإجازة ورجوع معدل العمل(موسم الإجازات لتاجر ما على الإنترنت لمس في نهاية هذا الفصل بإنشاء آلتك الافتراضية، يالافتراضية س كما ستقوم باستخدامها في معظم الأنشطة العملية المُتبقية في هذا الكتاب. وعندما تتعاقد فإن المنظمة تشتري إذن استخدام الآلة الافتراضية. (المنظمة مع مُورِد (بنية تحتية كخدمة وتستطيع المنظمات أن تدفع فقط لعدد محدود من الخوادم التي تحتاج إليها في الوقت الذي تحتاج إليها فيه، وذلك عند الجمع بين البنية التحتية كخدمة والآلات الافتراضية، بدلاً ة العمل. من شراء وصيانة خوادم فعلية تكفي للتعامل مع ذرو إدارة النظام وأمن المعلومات: قد تتس إن إدارة النظ والتكامل، والجاهزي الدراس دادها، فإنك تتأثر بشكل مباشر بفشل مس�وس المش لمنع فش ماذا وقتهم في التخطيط لإصلاح واسترداد أعطال الأجهزة. وكمثال آخر تأمل في الخصوصية. قت من أنظمة الجامعة ووضعت ُلو أن معلومات هامة، ككش على صفحات الإنترنت ليراها كل شخص؟ هذا سيكون أيضاً فشلاً لإدارة الأنظمة. إن توقع مثل هذه المش الملف المناس الدرجات. وكما ترى فإن كل شيء يفعله مسؤولو الأنظمة يكون ذا علاقة بأمن المعلومات، ومعظم من قِبَل مسؤولي الأنظمة. ويوضح القسم الجوانب الفنية لأمن المعلومات يمكن معالجتها

الفصل الثا أمن المعلومات وإدارة مخاطر تقنية المعلومات7( التالي بعض المهام الش بعض الأدوات الش في تنفيذ هذه المهام. :)المهام الشائعة لمسؤولي النظام(( كل مرحلة من مراحل استخدام التقنية تتضمن مهام لإدارة الأنظمة. وتشمل هذه المهام تثبي بحيث يتمكن المس ن أن كافة المكونات تعم�للنظ وتطبيق التحديثات وبالأخص عندما تكشف المراقبة عن مشكلات ذات صلة بالأداء والأمن. التثبيت والضبط: التثبيت هو كتابة البيانات اللازمة في المكان المناسب على القرص الصلب لجهاز الحاسب الآلي بهدف تشغيل البرنامج. المهمة الأولى لإعداد جهاز حاسب آلي جديد هي تثبيت نظام التش فإن عملية التثبيت مألوفة بالنس(Linux أو توزي(Windows( وهي تبدأ بتش الضبط، وتختار القرص الصلب الذي س ستُثبتها، ومن ثم تنتظر حتى يتم نقل الملفات. وخطوات تثبيت متشابهة جداً بغض وهي النظر عن نظام التشغيل الذي تقوم بتثبيته. وبينما يكون تثبيت وضبط البرمجيات لجهاز تماماً، يكمُن التحدي الأكبر لمس واح العملية لمئات أو آلاف من أجهزة الحاسب الآلي في المنظمة. وفي القسم التالي سنقدم لمحة عامة عن بعض الأدوات الشائعة الاستخدام للقيام بهذه المهام. المجموعات الممكنة. وللضبط �الضب تأثيرات عدة على أمن المعلومات. ويمكن أن يؤسس الضبط المعقد مواطناً للضعف بسبب مصادر قصاصة البريد المزعج: (6( I. Morozov. E. ‹The common enemy,» WSJ Book Review. May 9, 2013. 2. Brunton. F. «Sparn: a shadow history of the Internet (infrastructures(,» MIT Press. ISBN 026201 887X.

(إدارة النظام (الجزء الأول أمن المعلومات وإدارة مخاطر تقنية المعلومات7( التفاع ه يؤدي إلى مخاطر في أمن المعلومات. ولهذه الأس . في حين أن القاعدة «عندما تشك لا تقم بالتثبيت»الأنظمة فيما يتعلق بالضبط تنص ع .«عندما تشك قم بالتثبيت أو التحديث»العامة بين المستهلكين تنص ع يُنسب لش في (اس . وقام بتوجيه الرسالة إلى نحو ألف شخص من زملائه المهندسين متضمناً ذلك (97(العالم في عام وزارة الدفاع الأمريكية. كان الهدف من أول رسالة إلكترونية مزعجة في العالم هو: أ. بيع أجهزة حاسب آلي مستخدمة ب. معارضة حرب فيتنام ج. البحث عن وظيفة د. توظيف طلاب في المختبر ((الإجابة في الصفحة التالية التحكم في الوصول وإدارة المستخدمين: التحك المس القيام به على النظام. وعادة يشير التحكم في الوصول إلى الملفات والأدلة التي يمكن للمستخدم أن يقرأها أو يعدلها أو يحذفها، لكن في بعض أنظمة التشغيل فإن الوصول إلى منافذ الشبكة أيضاً. ويمكن تطبيق التحكم وغيرها من مس في الوص للمستخدم رؤيتها في قاعدة البيانات أو تحديد الشاشات المتوفرة في تطبيقات الأعمال.

الفصل الثا أمن المعلومات وإدارة مخاطر تقنية المعلومات7( وتُع المس وعلى الأرجح أن إنش . ومن الشائع عند إدارة أعداد كبيرة من المستخدمين «إدارة المستخدم»عهم لمصطلح�س أن يت هيئة التدريس في قسم علوم الحاسب الآلي يمكن جعلهم في مجموعة يطلق عليها مجموعة نتمُ. ويمك(Compsci-Faculty( الموقع الإلكتروني للقسم أو تكون كقائمة بريد تُستخدم لمناقشات البريد الإلكترو العلاق علاقة واضحة ومباشرة حيث يقوم مسؤول النظام بتأسيس التحكم ((الخصوصية والتكامل في الوصول لمجموعة من المعلومات لضمان أن السماح يتم فقط للمستخدمين المصرح لهم معلوماتهم. ويمكن أن تكون هذه العملية بس( أو تعديل (تكامل(لرؤية (خصوصية لك كبير. وسنتطرق إلى هذه القضايا بعمق أكبر في الفصل السابع. الرقابة والفحص: وبمجرد تثبيت وضبط وتش والأمن المنشود. والرقابة هي الاستماع و/أو تسجيل لأنشطة النظام بهدف الحفاظ على الأداء ، (والأم . المراقبة التفاعلية هي كش(ومراقبة اس ( للحصول على 7((Nagios( �حدوثها. مثلاً يمكن للمس شبكاتهم الإلكترونية من خلال الحصول على رسائل فورية بالمشكلات «صحة» �فكرة عامة ل تقوم بجمع (التي تح وتحليل س وتس 7( https://www.nagios.org/

(إدارة النظام (الجزء الأول أمن المعلومات وإدارة مخاطر تقنية المعلومات7( والتي تُشير إلى حدوث انتهاك أمني. وفي حال حدوث انتهاك أمني يتم تحديد عدد الأنظمة المُحتمل تأثرها بهذا الانتهاك. أما المراقبة الاستباقية فهي فحص النظام لمشكلات محددة قبل حدوثها. ومن الممارسات (الش للوصول إلى النظام والبحث عن الثغرات المُحتملة. ثم يتم ترتيب الثغرات حسب أولويتها وم أمني وتقييم المستوى الذي يمكن تحقيقه من الوصول إلى النظام. تحديث البرمجيات: يؤدي الاستخدام والمراقبة المستمرة للبرمجيات عادة إما إلى كشف جوانب الضعف وإما إلى كشف متطلبات جديدة. وتُستخدم تحديثات البرامج لإصلاح هذه المشكلات. وتحديث البرمجيات هو استبدال المكونات المعيبة للبرامج بمكونات أخرى خالية من تلك العيوب التي تم تحديدها. ويمكن تقس الذي يُصلح مشكلات المكونات المنخفضة التطبيقات. تحديث نظام التشغيل هو التحديث المس نظم التش دون تدخل من مسؤول النظام. أما تحديث التطبيقات فيقوم بإصلاح التطبيقات الفردية. ويتضمن تحديث التطبيقات الكثير من العمل من جانب مس وأحياناً تكون الإضافات �التطبيق مطورة داخلياً في المنظمة. ولا يجري توثيق العديد من هذه التخصيصات أو فحصها بشكل جيد. وليس من الس وتُعد المحافظة على تحديث التحديث اليدوي غالباً يكون ضرورياً لنشر تحديث التطبيقات. النظم من التحديات الكُبرى في المنظمات بس الأنظمة المُحدثة. ولهذا الس

الفصل الثا 76 ، ومن ثم اختبار جميع التطبيقات في نظام التطوير(خادم التطوير قبل نشر التحديث على نظام الإنتاج. بيتر بوس (الإجابة: (ب .«لا توجد وسيلة للسلام. السلام هو الوسيلة»وكان نص الرسالة الفيسبوك، واستكشاف البريد الإلكتروني، وإدارة النظام، والقانون: بدأ مارك زوكربيرج في تأس عندم(00( . وعندما كان مارك طالباً في هارفارد وقبل نحو تسعة (ليُصبح الشركة المش أش قدم باول سيجليا دعوى (0(0. وفي عام(س �قضائية في مدينة بافالو في نيويورك يدّعي فيها أن العقد كان لتأس � من شركة فيس (%(0. ووفقاً للعقد يحق لباول الحصول ع(StreetFax( بلي(0التقدي الدعوى القضائية. وأحضر باول نسخة من عقده مع مارك دعماً لادعاءاته. حس صحة قب . ((-(ادعاءات باول (الشكل أعدت فيسبوك في حركتها لرد الدعوى نتائج للبحث في خادم البريد الإلكتروني في جامعة ...استعرضنا جميع رسائل » :يهارفارد. ونصت حركة فيسبوك للرد على الدعوى على ما ي وني والذي كان �البري يستخدمه عندما كان طالباً في جامعة هارفارد. وتضمن هذا الحساب رسائل إلكترونية من . واتضح أن رس(00( إ(00(الفترة

( إدارة النظام (الجزء الأول أمن المعلومات وإدارة مخاطر تقنية المعلومات 77 ش رس حرفة... ولا وجود ُ سيجليا الم من رسائل البريد الإلكتروني المزعومة والمقتبسة في شكوى باول لرس وجد في حس ُ وي لرس ( StreetFax العديد من رس والتي تحتوي على فش . كما تحتوي على أعذار سيجليا المتكررة وطلبه السماح من زوكربيرج ووعود ( StreetFax ( سيجليا بصرف المبلغ المستحق لزوكربيرج. وتوضح الرسائل الإلكترونية الحقيقية في حساب موضوع الفيس ً ج أن � ب زوكر س هي محض خيال. وهو مقال يس ( Wired Magazine تفاصيل الموضوع موجودة في مقال في مجلة القراءة للمهتمين بهذا الموضوع. ): باول سيجليا 1 - 2 الشكل

الفصل الثا 78 المراجع 1.Paul D. Ceglia vs. Mark Elliott Zuckerberg, “Memorandum of law in support of defendant’s motion to dismiss, ” March 26, 2012. 2. Raice, S. “A Facebook founder fight, ” Wall Street Journal, March 27, 2012, B7. 3. Kravets, D. “How forensics claims Facebook ownership contract is ‘forged’, ” Wired Magazine, March 27, 2012, http://www.wired.comlthreatlevel/2012103/facebook- ownership-forensics/ (accessed 07/23/2013(. نقاط العطل المفردة ما هو أقدم بريد إلكتروني في كل حسابات البريد الإلكتروني التي تمتلكها؟ ما هو موضوع ذلك البريد الإلكتروني؟ فيما س أمن المعلومات. بالإضافة إلى ذلك هناك نش لها تأثير على أمن المعلومات. بالتحديد له علاقة بنقطة العطل المفردة وهي جزء من النظام . وتؤثر نقاط العطل المفردة في الجاهزية. على (8إذا تعطل يؤدي إلى توقف النظام بأكمله س الكهربائي الذي إذا انقطع فإن أجهزة الحاس بديل للتيار الكهربائي. والحل القياسي للتعامل مع مشكلات نقاط العطل المفردة هو توفير . وتوفير القطع الاحتياطية يعني توفير إمكانيات إضافية (قط موثوقية النظام. على س�يت طاق وتُع غير التوقف عن العمل. لكن ومع ذلك سيكون هناك بعض الوقت الذي يكون فيه النظام متوفراً. ومعظم خوادم الحاس 8( https://en.wikipedia.org/wiki/Single_point_of_failure

(إدارة النظام (الجزء الأول 79 المكونات الاحتياطية التي تس أي تعط الأعطال الخارجية. على سبيل المثال، تسمح البطارية الاحتياطية لمسؤولي الأنظمة التعامل .((-(مع مشكلات انقطاع التيار الكهربائي (الشكل 2-2 الشكل أدوات إدارة النظام: ونظراً لل النظ وأجهزة المنظمة. ونقدم في هذا القس المس أيضاً أدوات مماثلة لإدارة النظام في المنظمات كقواعد البيانات والموجهات والأجهزة. وتتوفر وفي البداية س سنلقي نظرة على بعض أدوات إدارة النظام الشائعة لهذين النظامين.

الفصل الثا 80 مايكروسوفت ويندوز من (%9( بلغت الحصة الس(0((في ش (. مما يعني أنك إذا كنت تس9س فإنه على الأرجح يعمل بنظام تش Windows وويندوز إن(Windows 95(9(وعندما تم إصدار نظام التش : الأول ويندوز لأجهزة ((، أطلقت مايكروس(0((NT سطح المكتب، والثاني ويندوز لأجهزة الخوادم. ويشمل إصدار ويندوز لأجهزة سطح المكتب ، ويندوز 9(أرقام الإصدار المألوفة وهي: ويندوز . كما يشمل الدعم (فيستا، ويندوز لمجموعة واس احداً أو أكثر من هذه الإصدارات. وبعكس ذلك فإن المنزلية. وعلى الأرجح أنك استخدمت و يدعم مجموعة (إصدار ويندوز لأجهزة الخوادم من الأجهزة والطرفي�أصغ أجه م وين . (Active Directory Domain Services( هو مجموعة من التقني(الدلي لإدارة المستخدم وللتحكم في الوصول لكافة الأجهزة الأعضاء في المجال نفسه. فعند تحديد لمس(عضوي ولأجهزة الحاس بأنها البنية التحتية (في المنظمة. وتصف مايكروسوفت سياسية المجموعة (. وغالباً ما تُستخدم سياسة ((التي تس 9( https://www.netmarketshare.com/ (10( http://windows.microsoft.com/en-us/windows/history (11( https://technet.microsoft.com/en-us/library/cc779838(v=ws.10(.aspx