8 تکنولوژی خطرناک برای امنیت اطلاعات سازمان ها و شرکت ها

تکنولوژی‏های جدید اعم از محصولات و سرویس ها از انواع مختلف با روش های گوناگونی وارد محیط های کار می‏شوند.
از گوشی‏های هوشمند، سیستم های voice-over-ip و حافظه‏های فلش گرفته تا دنیای آنلاین. این تکنولوژی‏ها پس از مدتی بخشی از زندگی روزمره مردم می‏شوند به طوری که تصور زندگی بدون آنها غیرممکن می‏شود. اما سوال اینجاست که آیا کارکنان باید حتما از آنها در محیط کار استفاده کنند یا بالعکس باید از آنها پرهیز کنند.
در نظرسنجی اخیری که مرکز تحقیقاتی yankee group انجام داده است، 86درصد از 500 پاسخ‏دهنده در این نظرسنجی گفته‏اند که حداقل از یکی از تکنولوژی‏های مورد بحث در این مقاله در محل کار استفاده می‏کنند.
متاسفانه این تکنولوژی‏ها باعث بروز برخی مشکلات در واحدهای IT سازمان ها هم شده‏اند. استفاده از برخی تکنولوژی‏ها نوعی ریسک محسوب می‏شود. از سوی دیگر کاربران توقع دارند که واحد IT از دستگاه‏ها و سرویس ها به ویژه آنهایی که با آنها در برنامه‏ها سر و کار دارند، پشتیبانی کند.
ممنوع کردن استفاده از برخی تکنولوژی‏ها در بسیاری از شرکت های بر خلاف فرهنگ آن سازمان است ولی از طرفی دیگر نمی‏توانند تمام ریسک های امنیتی را نیز نادیده بگیرند.
«من فکر نمی‏کنم کارکنان وقت این را داشته باشند که در مورد تمام تکنولوژی‏ها مطالعه کنند و همه جنبه‏های آن را در نظر بگیرند، آنها مشغول کار خودشان هستند و وقت چنین کارهایی را ندارند.» این صحبت های«شارون فاینی»، مدیر بخش امنیت اطلاعات مرکز درمانی dekalb است. او ادامه می‏دهد: «من فکر می‏کنم این وظیفه من است که در مورد این تکنولوژی‏ها تحقیق کنم و به صورت ساده به آنها آموزش دهم و در عین حال مسائل امنیتی آن را هم در نظر بگیرم.»
برخی دیگر مانند «مایکل میلر»، معاون بخش امنیت سرویس های ارتباطی شرکت global crossing معتقد است که ابتدا واحد IT باید صبر کند تا ببیند استفاده از این دستگاه‏ها تاثیری مثبت بر روی راندمان کار دارد یا باعث بروز مشکلاتی مانند نفوذ worm و یا افزایش ترافیک شبکه می‏شود. براساس نظر او واکنش به این تکنولوژی‏ها باید ترکیبی از پیروی از فرهنگ سازمان و دادن حق دسترسی (در حد منطقی) به کارکنان و مطمئن بودن از سطح امنیتی شبکه باشد.
«جاش ها لبروک» تحلیلگر yankee group می‏گوید: «مقابله با مشکلاتی که این تکنولوژی‏ها باعث آن هستند، منابع زیادی از بخش IT سازمان را به خود اختصاص می‏دهد. استفاده از برخی تکنولوژی‏ها برای بخش های IT سازمان ها به یک کابوس تبدیل خواهد شد، مگر آنکه کارکنان سیاست های سازمان در خصوص استفاده از تکنولوژی‏های جدید را به خوبی بپذیرند. در همان حال بی‏توجهی به زیر نظر داشتن تکنولوژی‏های جدید خطر بالقوه‏ای در خصوص امنیت اطلاعات سازمان است.»
برای نمونه در زیر به بررسی خطرهای 8 تکنولوژی معروف پرداخته می‏شود:
1. Instant Messaging
این روزها مردم از IMها (Instant Messaging) برای هر چیزی استفاده می‏کنند، از مطمئن شدن رسیدن بچه‏ها به منزل تا گفت وگو با همکاران و یا حتی شرکای تجاری. براساس تحقیق y،yankee groupن40 درصد از پاسخگویان گفته بودند که از IM در محل کار استفاده می‏کنند. IMها مسائل امنیتی متعددی را به چالش می‏کشاند. به خصوص که تبادل اطلاعات در IM و در محیط اینترنت، خط ارتباطی ناامنی محسوب می‏شود و چه بسا یک نفوذگر از همین طریق بتواند به اطلاعات محرمانه‏ای که مثلا یک کارمند با یک مشتری در خارج از سازمان و بر روی بستر اینترنت در حال تبادل آن هستند، دسترسی پیدا کند.
یک راه برای مقابله با تهدیدات IMها استفاده از سرورهای IMهای درون‏سازمانی است. مثلا در اواخر سال 2005، شرکت global crossing از نرم‏افزار Live Communications Server یا به اختصار lcs، برای این منظور استفاده کرد. این شرکت در ادامه در آگوست 2006، کارکنانش را از استفاده از IMهای شرکت هایی نظیر AOL، MSN و Yahoo منع کرده است. در حال حاضر تمام تبادل اطلاعاتی که از طریق سرورهای داخلی انجام می‏شود، رمز شده (ENCRYPTED) و تمامی IM برون سازمانی محافظت شده‏اند.
همچنین به کارگیری سرورهای IMهای داخلی به واحد امنیت آن سازمان کنترل بیشتری می‏دهد. «میلر» می‏گوید: «از این طریق ما این توانایی را داریم که سیاست های امنیتی را به راحتی اعمال کنیم. برایی نمونه ما می‏توانیم تبادل فایل از طریق IM را محدود کنیم یا کاربران اجازه استفاده از urlهای ارسال شده از طریق شخصی که با آن مشغول چت هستند، نداشته باشند. اینها روش های متداولی برای جلوگیری از ورود wormها به درون سازمان است.» او ادامه می‏دهد: «این روش از اتلاف وقت هم جلوگیری می‏کند.»
روش های سخت‏گیرانه‏تری هم وجود دارد. سیاست امنیتی مرکز درمانی dekalb، استفاده از IMها را کلا ممنوع کرده است. «فاینی» برای اطمینان بیشتر نیز اکثر سایت هایی را که از طریق آنها می‏توان IMها دانلود کرد را نیز محدود کرده است. اما او نمی‏تواند سایت های AOL یا Yahoo را هم بلاک کند؛ چرا که بسیاری از پرسنل از این سایت ها برای ایمیل استفاده می‏کنند. گروه او همچنین از یک نرم‏افزار کمکی که وظیفه آن پیدا کردن کامپیوترهایی است که بر روی آنها نرم‏افزار IM نصب شده است نیز استفاده می‏کنند. در صورتی که این نرم‏افزار وجود چنین کامپیوتری را اعلام کند، به کارمند خاطی تذکر داده و سیاست امنیتی سازمان به او یادآور می‏شود. فاینی همچنین متدهای مختلفی را برای بلاک کردن ارسال اطلاعات از درون سازمان به بیرون به کار گرفته است. در حال حاضر او از یک برنامه کمکی متعلق به شرکت vericept برای مانیتور کردن اطلاعات استفاده می‏کند. همچنین تیم او اکثر پورت های کامپیوترها را بسته‏اند تا نرم‏افزارها راهی جز استفاده از پورت 80 (HTTP Port) برای تبادل اطلاعات با بیرون از سازمان را نداشته باشند.
مرکز درمانی dekalb به دنبال یافتن ایده‏هایی برای استفاده از نرم‏افزارهایی نظیر ibm Lotus Notes یا حتی نرم‏افزارهای رایگان IM نظیر jabber برای افرادی که برای امور کاری می‏خواهند در داخل سازمان چت کنند می گردد. فاینی در آخر می‏گوید: «هیچ چیز 100درصد نیست. IM هنوز نگرانی بزرگی برای امنیت و همین طور کارایی سازمان است.»
2. web mail
50درصد پاسخگویان نظرسنجی yankee group گفته‏اند که آنها از ایمیل ها برای اهداف تجاری سازمان استفاده می‏کنند. مشکل استفاده از ایمیل های سرویس‏دهنده‏هایی نظیر g،google gmail، Microsoft hotmail، AOL و Yahoo این است که کاربران به ناامن بودن آنها توجه نمی‏کنند. چرا که اطلاعات بر روی سرورهای ispها و همان میل‏سرورها ذخیره می‏شوند. کارکنان بی‏توجه به این مسائل، اطلاعات بسیار مهمی نظیر شماره‏های امنیتی، کلمه عبور و بسیاری دیگر از اطلاعات محرمانه سازمان را از این طریق بر روی اینترنت جابه جا می‏کنند.
یکی از راه‏های کاهش دادن خطر لو رفتن اطلاعات سازمان از طریق ایمیل ها استفاده از برنامه‏های مانیتورینگ و اعمال فیلترها برای بررسی محتوای ایمیل ها و بلاک کردن آنها در صورت مغایر بودن با سیاست های امنیتی سازمان است. در این زمینه «مایکل ماشادو» مدیر بخش IT شرکت WebEx از برنامه‏ای متعلق به شرکت reconnex برای مانیتور و فیلتر کردن ایمیل ها استفاده می‏کند.
همچنین مرکز درمانی dekalb از نرم‏افزار vericept برای مانیتور کردن تمامی ایمیل ها استفاده می‏کند. در صورت وجود مشکل، بخش IT به کاربر مربوطه آموزش می دهد و او را از خطرات احتمالی چنین اقداماتی آگاه می‏سازد.
3. دستگاه‏های ذخیره‏سازی قابل‏حمل
(Portable storage Devices)
یکی از اصلی‏ترین نگرانی‏های مدیران IT، افزایش روزافزون دستگاه‏های ذخیره‏سازی اطلاعات از Apple iPhone و ipodها گرفته تا حافظه‏های فلش و ورود آنها به سازمان است. «هالبروک» این رابطه می‏گوید: «مردم براحتی می‏توانند با این وسایل تمامی اطلاعات محرمانه سازمان را کپی کنند و آنها را به محلی ناامن منتقل کنند.»
«تنها در این سه هفته اخیر، من 6 مطلب مختلف در مورد خطرات این دستگاه‏ها شنیدم» اینها مطلبی بود که « مارک رودس اوسلی» معمار امنیت اطلاعات و نویسنده کتاب
«Network Security: the complete reference» بیان می‏کند.
در حالی که بستن پورت های USB کار آسانی است، اما بسیاری از مدیران شبکه این روش را روشی درست نمی‏دانند. «میلر» در خصوص استفاده از این روش می‏گوید: «اگر مردم بخواهند اطلاعاتی جابه جا کنند، به هرحال راهی برای آن پیدا می‏کنند. اگر شما پورت های USB را بلاک کنید، در مورد Infrared، و CD Writer و سایر موارد چه می‏خواهید بکنید؟»
او پیشنهاد می‏دهد باید حفاظت از اطلاعات به خود کارکنان آموزش داده شود و آنها را توجیه کرد که استفاده نادرست از این وسایل چه خطراتی برای سازمان می‏تواند به همراه داشته باشد. میلر ادامه می‏دهد: «بسیاری از فاجعه‏هایی که در این رابطه اتفاق می‏افتد، غیرعمدی بوده است و به همین خاطر است که کارکنان باید آموزش ببینند.»
«ماشادو» هم موافق بلاک کردن usbها در شرکت WebEx نیست. چرا که این موضوع باعث درخواست های بی‏شمار به واحد IT سازمان می‏شود و کم‏کم مسوولان ناچار می‏شوند در خصوص این درخواست ها استثناهایی را لحاظ کنند و پس از اندک مدتی مدیریت این استثناها غیرکنترل می‏شود. او می‏گوید: «همه یک استثنا دارند که از نظر خودشان مهم ترین کار سازمان است. پاسخگویی به این کاربران زمان‏بر است.»
او معتقد است که بهترین کار استفاده از ابزاری است که به صورت خودکار به کاربری که در حال کپی کردن اطلاعات بر روی این دستگاه‏ها است، پیغام هشدار دهد. او می‏گوید: «در این صورت او خواهد دانست که به او حق انتخاب داده شده است اما کارش نیز قابل ردیابی خواهد بود.»
اما فاینی خود را طرفدار بلاک کردن usb در مرکز درمانی dekalb می‏داند و از نرم‏افزار vericept برای این منظور استفاده می‏کند. او همچنین دادن یپغام هشدار به کاربر را نیز ایده جالبی می‏داند.
در همین حال دانشگاه ایالتی grand Valley میشیگان و برخی دیگر از دانشگاه‏ها به دنبال روشی برای استاندارد کردن رمزگذاری حافظه‏های فلش برای بالا بردن امنیت این دستگاه‏ها هستند.
4. pdaها و گوشی‏های هوشمند
هر روز بر تعداد کسانی که از pdaها استفاده می‏کنند، افزوده می‏شود. اما زمانی که آنها می‏خواهند اطلاعات را از روی pc به آن منتقل کنند یا بالعکس، می‏توانند مسبب مشکلاتی شوند. از ایجاد یک اشکال کوچک گرفته تا صفحه آبی ویندوز. «هالبروک» در این خصوص می‏گوید: «این نوع مشکلات، اشکالات غیررایجی نیستند. اشکالات ناخوشایندی هستند که مدام تکرار می شوند.»
مساله اینجا است که آیا پرسنل باید برای استفاده از این دستگاه‏ها آزاد باشند. یک کارمند می‏تواند از در خارج شود، در حالی که اطلاعات زیادی از سازمان را در درون pda خود ذخیره کرده است.
مانند بسیاری از سازمان ها، شرکت WebEx خطرات این دستگاه‏ها را از طریق استاندارد کردن استفاده از یک برند خاص pda کاهش داده است. کارکنان تنها اجاز استفاده از نوع خاصی از pda را در محل کار دارند که مسائل امنیتی آن به شدت تحت کنترل واحد IT است. این شرکت همین کار را در مورد laptopها نیز انجام داده است که بنا به عقیده «ماشادو» از pdaها بسیار خطرناکترند؛ چرا که می‏توانند اطلاعات بیشتری را در خود ذخیره کنند. کارکنان اجازه آوردن laptop با برند دیگر را به درون سازمان ندارند.
5. گوشی‏های دوربین‏دار
یک کارگر بیمارستان در مقابل اتاق پرستاران ایستاده بود و با پرستاران بسیار خودمانی مشغول صحبت بود. هیچ کس متوجه این موضوع نبود که او مدام دکمه کوچک موبایلش را می‏فشارد. این یک صحنه از دزدی اطلاعات با گوشی دوربین‏دار می‏تواند باشد.
«فاینی» در این مورد می‏گوید: «یکی از این تست ها که من برای مرکز درمانی dekalb انجام داده بودم، رفتن به اتاق پرستاران (در حالی که خودشان در اتاق بودند) و عکس گرفتن از اتاق آنها به صورت نامحسوس بود. من می‏خواستم ببینم که آیا از این طریق می‏توان به اطلاعات پرونده‏ها و کاغذهایی که روی میز قرار داشتند، دسترسی داشت یا خیر.»
وقتی او به اتاق کارش باز می‏گردد، اطلاعات خاصی در مورد آن پرونده‏ها از آن عکس ها به دست نمی‏آید اما به صورت تصادفی نام کامپیوتر (نه ip) را که بر روی مانیتور نمایش داده شده بود، در یکی از عکس ها می‏بیند.
«این نوع اطلاعات می‏تواند در کنار سایر اطلاعات به دست آمده از روش های دیگر باعث ایجاد دیدی روشن برای طرح ریزی یک حمله شود.»
او در این مورد با کارکنان صحبت کرده است و در مورد خطرناک بودن در معرض دید قرار دادن اطلاعات کلیدی هشدار داده است.
6. skype و دیگر سرویس های voip
تکنولوژی دیگری که به شدت در حال رشد است skype است، نرم‏افزاری قابل‏دانلود که کاربران از طریق آن می‏توانند تماس های تلفنی رایگان برقرار کنند. 20درصد از پاسخگویان به این نظرسنجی گفته‏اند از این سرویس برای اهداف تجاری استفاده می‏کنند.
خطری که skype یک سازمان را تهدید می‏کند، همان خطری است که هر نرم‏افزار کوچک قابل‏دانلود دیگر را تهدید می‏کند. هالبروک در این خصوص می‏گوید: «نرم‏افزارهای تجاری برای یک سازمان از لحاظ امنیتی مطمئن‏تر از برنامه‏های کوچک قابل‏دانلود بر روی اینترنت می‏باشند. بنابراین دانلود هر نرم‏افزاری می‏تواند نوعی ریسک برای سازمان محسوب شود.»
skype حداقل 4 مورد مشکل امنیتی را اعلام کرده است و برای آنها آپدیت ارائه کرده است. متاسفانه اغلب بخش های IT سازمان ها آماری در مورد اینکه چه تعداد از پرسنل از این نرم‏افزار استفاده می‏کنند و از این تعداد چند نفر از آخرین نسخه استفاده نمی‏کنند، اطلاعاتی ندارند. لذا نمی‏تواند کنترل صحیحی را اعمال کند.
بنا به نظر شرکت gartner ایمن‏ترین راه، محدود کردن ترافیک های مربوط به این نرم‏افزار در شبکه است و اگر قرار شد برخی افراد از آن استفاده کنند، باید ویرایش آخر این نرم‏افزار را به همراه آپدیت‏هایش اجرا کنند.
7. برنامه‏های کوچک قابل‏دانلود
براساس تحقیق yankee group استفاده‏کنندگان این برنامه‏ها از دستگاه‏هایی نظیر q و Nokia e62 جهت دسترسی سریع به اینترنت برای دانلود آنها استفاده می‏کنند. این برنامه‏ها می‏توانند به آسانی وارد یک کامپیوتر شوند و این درگاهی دیگر برای ورود اطلاعات ناخواسته به اکوسیستم سازمان است که با معیارهای امنیتی بخش IT سازگار نیست.
مشکل اینجا است که این برنامه‏های کوچک قدرت پردازش کامپیوتر و پهنای باند شبکه را اشغال می‏کنند. هالبروک می‏گوید: «من نمی‏خواهم بگویم اینها ویروس هستند اما شما در حال دانلود کردن نرم افزاری هستید که اطمینان زیادی به آن ندارید.»
WebEx به کارکنانش در خصوص ریسک های این برنامه‏های کوچک آموزش می‏دهد و از reconnex برای مانیتور برنامه‏های نصب شده بر روی کامپیوترها استفاده می‏کند، ضمن اینکه برخی از حق دسترسی‏هایی را که به صورت پیش فرض برای دانلود فعال می‏باشند نیز غیرفعال کرده است.
8. دنیاهای مجازی (virtual worlds)
کارکنان شرکت های تجاری در حال تجربه کردن زندگی کاری در دنیاهایی مجازی هستند، دنیاهایی که برخی معتقدند زندگی دوم ما انسان ها است. اما وظیفه بخش IT سازمان این است که در خصوص خطرات آن آگاه باشد.
در همان حال ذات این محیط ها براساس دانلود حجم زیادی از اطلاعات و برنامه‏ها است که با عبور از Firewall و ورود به سازمان شروع به اجرا شدن می‏کنند.
gartner پیشنهاد می‏کند که کارکنان حتی‏الامکان در خارج از شبکه درونی سازمان و یا منزل در حالی که توسط Firewall بیرونی سازمان کامپیوترشان محافظت می‏شود، از این محیط ها استفاده کنند. در واقع سازمان دارای دو دیواره آتش باشد. اولی از کامپیوترهایی که می‏خواهند به این محیط ها دسترسی داشته باشند محافظت کند و دومین دیواره آتش بعد از دیواره آتش اول از شبکه داخلی سازمان محافظت کند.