تحلیل شکاف امنیتی

فرآیند تجزیه و تحلیل شکاف امنیتی و نقض امنیتی GAP ANALYSIS

به عنوان یک شرکت امنیت اطلاعات ، یکی از مهمترین فرآیند هایی که در چارچوب کاری ما بوده ، تجزیه و تحلیل شکاف امنیتی اطلاعات است . این تجزیه و تحلیل مقایسه هایی از روند های امنیتی خود را در مقایسه با بهترین شیوه های امنیتی ارائه می دهد . با مقایسه شیوه های فوق با شیوه های واقعی ، می توانیم در مورد محدوده هایی که آسیب پذیری ها و خطرات مخفی و دور از دید مدیران وجود دارد راه کارهای مطلوبی را ارائه کنیم  با این حال، بسیار حائز اهمیت است که تجزیه و تحلیل شکاف های امنیتی به درستی انجام شود.

شرکت ایران سایبر طی چهار مرحله  تجزیه و تحلیل شکاف امنیتی اطلاعات که حائز اهمیت می باشد را عنوان می کند.

مرحله ۱: انتخاب یک چارچوب امنیتی استاندارد در تحلیل شکاف امنیتی

یکی از رایج ترین سیستم های استاندارد، ISO / EIC – 27002 است. ISO / IEC 27002: 2013 توصیه هایی را برای مدیریت امنیت اطلاعات ارائه می دهد. این استاندارد بهترین شیوه هایی را برای چنین حوزه های امنیت کلیدی مانند ارزیابی خطر، کنترل دسترسی، مدیریت تغییر، امنیت فیزیکی و دیگر موارد فراهم می کند.

استاندارد ایزو یک مرجع خوب است که شما می توانید سیاست های امنیتی و کنترل های شبکه خود را در برابر مخاطرات ارزیابی کنید . یک تیم امنیتی خوب با بهره گیری از موارد گفته شده می تواند تجزیه و تحلیل شکاف خود را انجام دهد . با این حال، حتی اگر شما یک تیم امنیتی خوب داشته باشید، داشتن یک فرد مستقل (حقوقی/ حقیقی) – کسی هیچ ارتباطی با معماری شبکه درون سازمانی ندارد جهت ارزیابی برنامه امنیتی شما توصیه می شود.

در حقیقت، برخی از استانداردهای انطباق ها (به عنوان مثال، HIPAA یا PCI) ممکن است نیاز به یک مشاور خارجی برای ارائه یک مجموعه روند اضافی برای اطمینان از اقدامات امنیتی مطابق با مقررات ملی داشته باشید . دلیل ساده این است که: یک مشاور خارجی، مانند خدمات در دسترس بودن Sungard، اغلب می تواند شکاف هایی را که توسط افرادی که روزانه در دور کاری با شبکه کار می کنند، برآورده کند.

مرحله ۲: ارزیابی فرایند ها و مشتری ها در تحلیل شکاف امنیتی 

متخصصان ایران سایبر برای انجام ارزیابی امنیت اطلاعات در حوزه تحلیل شکاف امنیتی و کشف حفره های امنیتی ، در گام اول اطلاعات مربوط به محیط IT سازمانی ، فهرست برنامه ها ، نمودارهای سازمانی ، خط مشی ها و فرآیندها و سایر جزئیات مربوطه را جمع آوری می کنند. نشست این گام مستلزم ارتباط حضوری با کارکنان فناوری اطلاعات و مدیریت سازمان است تا اطلاعات بیشتری در مورد اهداف کلیدی سازمان جمع آوری شود.

همچنین برای تیم امنیتی ایران سایبر مهم است که مصاحبه های عمیق و قانونی با ذینفعان اصلی سازمان مربوطه و بخش های خاص آن انجام دهد که معمولا این موارد شامل کارمندان فناوری اطلاعات ، مدیران امنیتی (اگر یک تیم امنیتی اختصاصی باشد ) و هر کاربر مجازی که با شبکه ، سرورها یا ایستگاه های کاری سرو کار دارد و اعمالی روی آنها انجام می دهد . توحه داشته باشید یکه شیوه های خوب امنیتی شامل همه افراد سازمان می باشد .

بسیاری از خطراتی که شبکه های سازمانی  با آن روبرو می شوند ، بوسیله دخالت کارمندان صورت می گیرد.

  • یک کارمند نا آگاه با کلیک کردن بر روی لینک های فیشینگ در یک ایمیل
  • آموزش ناکافی
  • یک کارمند ناراضی که عمدا اعمال مخرب روی شبکه انجام می دهد
  • و …

 اگر بخواهیم تا حد امکان برای کاهش تهدیدات اطلاعاتی مانور بیشتری بدهیم ، باید رفتار کارمندان را مورد توجه قرار دهیم. کارمندان کلیدی می توانند جزئیات زیادی در مورد چگونگی اجرای کنترل های مختلف ارائه دهند که این جزئیات خود می تواند عامل تخریب سازمانی هم باشد  . مثلا:

  • دسترسی به استخدام ها ، موارد مالی و … چگونه انجام می شود؟
  • آیا سازمان مربوطه سیاست مبتنی بر نقش خاصی دارد که اطمینان از دسترسی صحیح به موقعیت های شغلی ارائه شده داشته باشد ؟
  • چگونه تغییرات در محیط سازمانی اجرا می شود؟ آیا قبل از اینکه تغییر ایجاد شود ، روشهای استاندارد و تاییدیه مورد نیاز است؟ آیا تمهیداتی برای پشت سر گذاشتن در مورد یک مشکل وجود دارد؟
  • آیا آموزش کارکنان کمک می کند تا سازمان را در برابر خطرات امنیتی در حال رشد ایمن تر سازید ؟

هرچه بیشتر در مورد افرادی که دسترسی به شبکه و کنترل هایی که در حال حاضر در آن قرار دارند، بدانید، تیم امنیتی ایران سایبر تجزیه تحلیل امنیتی مناسب تری را برای سازمان ایجاد خواهند کرد

مرحله ۳: جمع آوری اطلاعات و فناوری تحلیل شکاف امنیتی

هدف ما از طریق جمع آوری داده ها این است که بدانیم برنامه امنیتی جاری در معماری فنی چگونه عمل می کند. به عنوان بخشی از این مرحله، ما بهترین کنترل های عمل (یعنی ISO 27002 یا NIST 800-53) یا الزامات مربوط به کنترل های سازمانی خود را مقایسه می کنیم؛ مدیران سازمان می توانند نمونه ای از دستگاه های شبکه، سرورها و برنامه های کاربردی برای تایید شکاف ها و ضعف ها را انتخاب کنید. بررسی کنترل های امنیتی خودکار؛ و بررسی پرونده های مربوط به حوادث، پروتکل های ارتباطی و فایل های ورود طی فرایندی بررسی می شود و با جمع آوری داده ها، تصویری واضح از محیط فنی سازمان ، حفاظت در محل و اثربخشی امنیتی کلی را به دست می آوریم.

همانطور که از روند جمع آوری داده ها در تجزیه و تحلیل شکاف امنیتی عبور می کنیم ، برنامه های امنیتی سازمان مربوطه را به بهترین شیوه های کلیدی طبق تخصص تیم ایران سایبر ارزیابی می کنیم . این استانداردها پس از سال ها مشاهدات و ارزیابی های ما برای ایجاد بینش درمورد اینکه کدام کنترل ها بیشترین تاثیر را داشته اند و نقص های امنیتی به طور معمول بوجود می آیند، توسعه یافت . این دانش امنیتی عمیق ما را قادر می سازد تا ببینیم که فرایند امنیتی شما چگونه با فرآیندهای دیگر و کنترل هایی که موفقیت آمیز هستند، به ویژه در مقایسه با سایر شرکت ها و کنترل های امنیتی در صنعت خاص خود، مطابقت دارد.

این مطلب را بخوانید: پیاده سازی سیستم مدیریت امنیت اطلاعات

مرحله ۴: تجزیه و تحلیل شکاف امنیتی

  پس از انجام مراحل فوق، یک تحلیل عمیق از برنامه امنیتی (تحلیل شکاف امنیتی) خود انجام می دهیم. برای انجام این کار، یافته ها و نتایج مربوط به همه عوامل را برای ایجاد یک تصویر واضح و مختصر از نمایه امنیتی IT خود که زمینه های قدرت و محدوده هایی است که نیاز به بهبود بیشتر است را مرتبط می کنیم . با استفاده از این اطلاعات به دست آمده ، ما می توانیم توصیه هایی برای حرکت به جلو با یک برنامه امنیتی که برای سازمان شما مناسب است، ارائه دهیم. این رهنمود امنیتی، خطرات، نیروی انسانی و نیازهای بودجه و همچنین زمان بندی های مختلف برای بهبود پیشرفت های مختلف امنیتی را در نظر می گیرد.

همانطور که احتمالا تا به حال به این نتیجه رسیده اید، تجزیه و تحلیل شکاف امنیتی کامل یک فرایند دقیق و عمیق است که نیازمند نه تنها دانش کامل در مورد بهترین شیوه های امنیت است ، بلکه باید دانش گسترده ای از خطرات امنیتی ، کنترل ها و مسائل عملیاتی نیز باشد. ما ممکن است خطراتی را که می توان با نصب یک پچ امنیتی اصلاح کرد ، کشف کنیم ، یا ممکن است توصیه کنیم که یک پروتکل ارتباطات منسوخ شده با یک راه حل قوی تر جایگزین شود.

تجزیه و تحلیل شکاف امنیتی نمیتواند ۱۰۰٪ امنیت را تضمین کند ، اما روند اطمینان از اینکه شبکه ، کارکنان و کنترلهای امنیتی قوی ، موثر و با هزینه معقول است، فرآیند طولانی مدتی است . هنگامی که تجزیه و تحلیل شکاف اطلاعات کامل را انجام می دهید، می توانید به مشتریان خود این اطمینان را بدهید که بهترین امنیت را ارائه داده اید و به نوبه خود، این تصمین را میکنید اطلاعاتی را که به شما تحویل داده اند در یک محیط امن نگهداری می شود

 

تحلیل در ویکی پدیا

تهیه کننده : سید محمد اسماعیلی

نوشته های مرتبط

Seedworm Malware

۲۲

آذر
آسیب پذیری ها, امنیت, هک و امنیت, همه موضوعات

گزارش باج افزار Seedworm

باج افزار و بدافزار Seedworm :  هدف بدافزار  Seedworm :گروه های سازمانی، آژانس های دولتی، نفت و گاز، سازمان های غیر دولتی، مخابرات، و شرکت های فناوری اطلاعات است. محققان سیمانتک یک گروه جاسوسی سایبری در حملات اخیر سایبری کشف کرده اند که هدف آنها جمع آوری اطلاعات در مورد اهداف گسترش یافته در درجه اول در خاورمیانه […]

Docker

۲۲

آذر
همه موضوعات

نحوه نصب Docker در اوبونتو ۱۸٫۰۴ LTS

نحوه نصب و استفاده از Docker در اوبونتو ۱۸٫۰۴ LTS برای انجام مجازی سازی کامل سیستم نیاز به حافظه و فضای دیسک کافی خواهید داشت Docker یک سیستم مخزنی است . یک ماشین مجازی داکر را می توان یک مخزن هم نام برد . داکر از هسته سیستم عامل میزبان استفاده می کند و از ویژگی های[…]