شرکت فناوری اطلاعات رجاء ارائه دهنده مشاوره IT به سازمان ها و شرکت ها در حوزه های مختلف با ده سال سابقه فعالیت میباشد. شاخص پروژه های انجام شده در سطح ملی، مشاوره و نظارت در طرح ادغام پنج بانک در بانک سپه و مهاجرت به بانکداری نوین الکترونیکی می باشد. سایر خدمات مشاوره ای این شرکت به شرح ذیل می باشد:
دسترس پذیری (در حوزه استانداردهای دسترس پذیری الکترونیکی، شرکت رجا مفتخر به ارائه خدمات مشاوره در این حوزه به هفت بانک و چهار شرکت بیمه ای در کشور می باشد.
خدمات مشاوره 5G (در چند سال اخیر رشد ترافیک داده به میزان چند صد برابر، افزایش تعداد دستگاهها / تجهیزات متصل به شبکههای بیسیم به میزان چند ده برابر و متنوع شدن سرویسهای مورد تقاضای کاربران، توسعه شبکههای فعلی را فراتر از نسل چهار و یا همان شبکههای نسل پنجم ۵G مطرح میسازد. در همین راستا، شرکت فناوری اطلاعات رجا خدمات مشاوره ای خود را به منظور بررسی نسل پنجم شبکه ارتباطی از منظر فنی و اقتصادی راه اندازی نموده است)
دولت الکترونیک (شرکت رجا، با توجه به تجربیات خود در راه اندازی بیش از یکصد سرویس الکترونیکی در پنج سال گذشته، در حوزه ارائه خدمات مشاوره دولت الکترونیک نیز فعال می باشد و در این زمینه به سازمان ها و نهادهایی مانند کمیسیون اجتماعی و دولت الکترونیک دولت، سازمان فناوری اطلاعات، نهاد ریاست جمهوری، معاونت توسعه مدیریت سابق، وزارت خانه ها و… خدمات مشاوره در سطوح ملی و سازمانی ارائه نموده است)
تحول دیجیتال (در سال های اخیر تحول دیجیتال در سازمان ها و شركتهای بزرگ گسترش یافته است و در جهت یکپارچه سازی تمامی فعالیت های سازمان، تحول دیجیتال به کار گرفته شده است. در همین راستا، شرکت فناوری اطلاعات رجا خدمات مشاوره ای خود را در راستای ایجاد تحول دیجیتال در سازمان ها را ارائه می دهد)
امنیت (با توجه به حیاتی بودن مسئله امنیت سامانه های فناوری اطلاعات و ارتباطات و همچنین افزایش روزافزون تنوع تهدیدات و پیچیدگی های سامانه های مذکور، شرکت ها و سازمان ها نیاز دارند بتوانند امنیت سامانه های خود را از مرحله طراحی و سپس تولید و پس از آن استقرار و نگهداری تامین نمایند. شرکت رجا در این امر همراه آنهاست)
https://rajaco.com/wp-content/uploads/2020/09/unnamed-2.jpg384512فرهادی مهرانhttps://rajaco.com/wp-content/uploads/2020/09/logo-03-300x104.jpgفرهادی مهران2020-10-01 11:20:492020-10-01 11:20:53مشاوره پروژه های نرم افزاری در سطح ملی
ارائه خدمات متعارف دولتی به شهروندان، صاحبان کسبوکار و سایر طرفهای تعامل دولت با استفاده از امکانات فناوری ارتباطات و اطلاعات (فاوا) با هدف تسریع خدمترسانی، کاهش هزینه و افزایش بهرهوری مبین دولت الکترونیکی است. ارائه خدمات به صورت الکترونیکی مستلزم برقراری ارتباط دوسویه با استفاده از امکانات فاوا جهت تعامل با شهروندان، صاحبان کسبوکار، دیگر سازمانهای دولتی، کارکنان دولت و نهادهای غیردولتی میباشد. چنانچه سایر قوای سهگانه و نهادهای غیردولتی حاکمیتی، ارائه خدمات به ذینفعان و طرفهای تعامل خود را به صورت الکترونیکی به انجام برسانند آنگاه دولت الکترونیکی به حکمرانی الکترونیکی ارتقاء مییابد.
اصول پایه
سازمان ملل متحد در سال 2002 میلادی بر اساس بررسی 190 کشور عضو پنج اصل زیر را به عنوان اصول پایه حکمرانی الکترونیک اعلام نمود:
ایجاد و ارائه خدمات مورد نیاز، از منظر نیاز شهروندان
دسترسپذیری هر چه بیشتر دولت و خدمات ارائه شده توسط آن
توجه به همه ابعاد ظرفیتهای اجتماعی (جامعهشناسی، روانشناسی، آموزش، سیاست و اقتصاد)
مسئولیتپذیری اطلاعات تولید شده و انتشار یافته
بکارگیری توأم امکانات فناوری اطلاعات و منابعانسانی به صورت کارآمد و اثربخش
در سال 2003 نیز اتحادیه اروپا اصول نهگانه زیر را به عنوان ارکان کلیدی حکمرانی الکترونیکی اعلام نمود (UNDP 2003):
دسترسی فراگیر در مقیاس جهانی به اطلاعات
شفافیت و بازبودن فضای اطلاعاتی
مشارکت
برابری
مسئولیتپذیری
اثربخشی
تعاملپذیری
کیفیت و انسجام خدمات
حفاظت از حریم شخصی، حقوق مصرف کننده و حقوق مالکیت فکری
اصول فوق متناسب با شرایط متفاوت کشورها با تفاوتهای معقول به عنوان چارچوب راهنمای محدوده کلی فعالیت دولت الکترونیکی و به طریق اولی حکمرانی الکترونیکی است و الزامات و جهتگیریهای اصلی در رویکرد حکمرانی الکترونیکی را مشخص میکند.
ابعاد حکمرانی الکترونیکی
اصول پایه اشاره شده انعکاس خود را در چهار بعد یا چهار موجودیت اصلی در هر یک از دستگاهها و سازمانهای دولتی به شرح زیر مییابند:
استاندارهای رفتاری
این استانداردها تحت تأثیر شیوه و سبک رهبری و اداره سازمان توسط مدیریت مربوطه، منشور اخلاق حرفهای سازمانی و الزامات رفتاری کارکنان هر سازمان تعیین و تعریف میشوند و اساس ارتقاء فرهنگ سازمانی را فراهم میکنند. لذا توجه به این بعد عملاً بسط و توسعه سازوکارهای دولت الکترونیک را تسریع و از برگشت به شیوههای قدیمی و ناکارآمد جلوگیری مینماید.
ساختارهای سازمانی و فرآیندهای عملیاتی
ساختارها و فرآیندهای جاری بخش دولتی تحت تأثیر موارد ذیل بایستی مورد بازنگری و اصلاح قرار گیرند:
وضوح و شفافیت کافی در تعریف مسئولیتها و نقشهای سازمانی و چگونگی تحقق آنها
ارتباط شفاف با ذینفعان
پاسخگو بودن در چارچوب قوانین و مقررات جاری
پایش
نظارت و کنترل تحقق اهداف، میزان اثربخشی و کارایی حاصله، رعایت قوانین و مقررات و خطمشیهای درون سازمانی به همراه کنترل تأثیر عوامل مخاطره و ریسک بر تحقق اهداف، ممیزی و کنترل داخلی، مدیریت بودجه و هزینه و آموزش نیروی انسانی در فرآیند انجام کار لازمه حرکت هماهنگ و تصحیح مسیر تحقق اهداف حاکمیت الکترونیکی است.
پاسخگویی و گزارشدهی برون سازمانی
تأمین و ارائه اطلاعات لازم توسط هر یک از دستگاهها و سازمانها جهت اعمال ممیزی و کنترل برون سازمانی در چارچوب اهداف مرحلهای و نهایی فراسازمانی به منزله گزارشدهی برون سازمانی است.
مراحل بلوغ دولت/ حاکمیت الکترونیکی
در جدول زیر در کلیترین سطح ممکن و به شیوه اجمالی چهار مرحله یا فاز مربوط به دوران تکامل تدریجی دولت الکترونیک و سیاهه کلی خدمات قابل ارائه در سه بخش تعامل شامل سازمانهای دولتی با یکدیگر (G2G)، سازمانهای دولتی با شهروندان و بالعکس (G2C) و سازمانهای دولتی با بنگاههای اقتصادی و صاحبان کسبوکار (G2B) ارائه شده است:
نوع تعامل/مراحل چهارگانه
دولت/حاکمیت با شهروندان
دولت/حاکمیت با صاحبان کار
اجزاء دولت/حاکمیت با یکدیگر
فاز 1: اطلاعات
اطلاعات در سطح محلی/ملی/بین المللیبیانیه ماموریت و ساختار سازمانیآدرس، ساعات کار، کارکنان، تلفنقوانین و مقرراتدادخواست/شکایتواژه نامه دولتیاخبار
اطلاعات تجاری شامل آدرس، ساعات کار، کارکنان، تلفن، قوانین، مقررات و ضوابط
اینترانت ایستا و دانش بنیانمدیریت دانش در مقیاس شبکههای محلی
فاز 2: تعامل
دریافت یکطرفه فرم ها از وب سایتتحویل فرم هاابزارکمکی برخط برای پرکردن فرمهافرآیندهای نهادینه شده در اخذ مجوزایمیلروزنامهگروه های مباحثهنظرسنجی و اخذ آرای عمومیصفحاب وب شخصیتذکر و هشداردهی
دانلود فرم های الکترونیکیتکمیل و تحویل فرمهاابزار کمکی برخط تکمیل فرمفرآیندهای نهادینه در اخذ مجوزایمیلتذکر و هشداردهی
ایمیلپایگاه های دانش تعاملابزار رسیدگی به شکایات
فاز 3: تراکنش
درخواست پروانه/نوسازی/ثبتخودرو و …حساب های شخصی (مالیات، جرایم، گواهینامهها و ..)پرداخت مالیاتپرداخت جرایمثبت نام و رای دادن برخط
اخذ پروانه و مجوزپرداخت مالیاتخرید
تراکنش های بین سازمانهای دولتی
فاز 4: تغییر شکل و دگرگونی
شخصی سازی وب سایت های همراه با ارائه خدمات الکترونیکی یکپارچه
شخصی سازی وب سایت ها همراه با ارائه خدمات الکترونیکی یکپارچه
یکپارچگی پایگاه های داده
چارچوب استراتژیک طرحریزی دولت الکترونیک
دولتها علیرغم تفاوتهای متعددی که از نظر نظامهای سیاسی و قانونی و همچنین شرایط اقتصادی، اجتماعی و فرهنگی دارند ولی به لحاظ چالشهای طرحریزی و پیادهسازی دولت الکترونیک دارای برخی وجوه مشترک هستند. این وجوه اشتراک بیشتر در اصول پیادهسازی خود را نشان میدهند و به معنی امکان کپیبرداری نظیر به نظیر از تجربه پیادهسازی دولت الکترونیک یک کشور در کشور دیگر نمیباشد. بنابراین برای دستیابی به این اصول پایه و وجوه اشتراک، علیالقاعده بایستی به تجارب برتر و درس آموختهها و یافتههای ناشی از تلاشهایی که کشورهای مختلف جهت طراحی و استقرار دولت الکترونیکی صرف کردهاند توجه نمود.
ساختار و محتوای استراتژیهای طرحریزی و استقرار دولت الکترونیک در قالب یک چارچوب که مدل پیشنهادی مشخصی را به همراه دارد، ارائه شده است.
تصویر (1) – چارچوب مشترک تدوین استراتژیهای طراحی و استقرار دولت الکترونیک
چشمانداز
ترسیم چشمانداز استقرار دولت الکترونیک از دو جنبه اهمیت دارد. نخست مبنای وفاق گروههای دست اندر کار توسعه دولت الکترونیک و کلیه ذینفعان آن میباشد و در وهله دوم مبنای تعیین سیاستها و خطمشیهای اجرایی جهت تحقق آن خواهد بود.
اهداف استراتژیک
این اهداف مبنای توجیه و درک هر چه بیشتر چرایی لزوم استقرار دولت الکترونیک توسط طیفهای مختلف اعم از دولتمردان تصمیمگیر تا آحاد مردم و کلیه طرفهای تعامل با آن میباشد. بررسی تجارب دیگر کشورها نشان میدهد که گرایش دولتها بعضاً در این زمینه متفاوت است. برخی کشورها جهتگیری افزایش سطح رضایتمندی شهروندان را مدنظر قراردادهاند (سنگاپور). برخی دیگر نظیر کره جنوبی ارتقاء مشارکت شهروندان در اداره امور جامعه را هدفگذاری کردهاند. براساس بررسی اشاره شده که 18 کشور با سطوح مختلف رشد اقتصادی از کشورهای درحال توسعه تا کشورهای پیشرفته اقتصادی را در بر گرفته است، اهداف استراتژیکی که دارای بالاترین میزان فراوانی بودهاند به شرح زیر میباشند:
کره جنوبی، هلند، مصر برزیل، نیزیلند، انگلستان، فنلاند اتریش، دانمارک
دسترسپذیری در مقیاس بینالمللی
هند، ژاپن، برزیل، انگلستان، اتریش، نیوزلند
کاربر محوری
ژاپن ، مصر، استرالیا، انگلستان، دانمارک
افزایش تعاملپذیری بین سازمانهای دولتی
فنلاند، فرانسه، دانمارک، اتریش
دولت دانش بنیان
کره جنوبی، فنلاند، برزیل، انگلستان، بلژیک، آلمان
توسعه شفافیت
هند، هلند، اتریش
ارتقاء اعتمادپذیری
فنلاند، هلند، نیوزلند
دولت یکپارچه
کره، برزیل، نیوزلند
بر اساس اصول راهنمای استقرار دولت الکترونیکی در کشورهای مورد بررسی، برخی نواحی تمرکز که بیشترین میزان فراوانی بکارگیری را داشتهاند عبارتند از:
برخی نواحی تمرکز
کشورهای مربوطه
ارائه خدمت
هند، مصر، کانادا، آلمان، استرالیا، هلند، دانمارک
ارتقاء کارایی
هند، برزیل، انگلستان، هلند، دانمارک، مصر
دولت شبکهای
آلمان، فنلاند، دانمارک، اتریش، برزیل، بلژیک
توسعه زیرساخت
هند، ژاپن، مصر، برزیل، آلمان
دسترسپذیری (از منظر واسطهای کاربری)
هند، کانادا، انگلستان، فنلاند
اصلاح نظام اداری
کره جنوبی، فنلاند، هلند، بلژیک
مدیریت دانش و اطلاعات
کره جنوبی هند، برزیل، آلمان
قوانین و مقررات
هند، مصر، انگلستان
تجارت الکترونیک
ژاپن، مصر، انگلستان
توسعه منابع انسانی
هند، ژاپن
سنگ بناهای دولت الکترونیکی
دراکثر موارد در برنامههای توسعه الکترونیک، مؤلفههای اصلی و سنگ بناهای شکلگیری آن حول سه محور زیرساخت، سازمان و اصول راهنما طبقهبندی شدهاند.
اولویت بندی محورهای تغییر
برای ایجاد مؤلفهها و سنگ بناهای دولت الکترونیکی قاعدتاً بایستی پروژههای متعددی تعریف شوند که انجام آنها منجر به تحقق مؤلفههای فوق گردند. این پروژهها از منظر تعلق به محورهای سه گانه فوق و زیرمجموعههای مربوطه و نیز سنخیت آنها با یکدیگر گروهبندی شده و محورهای تغییر را شکل میدهند. بدیهی است اولویتبندی محورهای تغییر و برنامهریزی انجام پروژههای هر یک تحت تأثیر ارزیابی تحلیلی از شرایط موجود هر کشور قرار دارد.
استقرار دولت الکترونیک نیازمند نقشه راه است/ عناصر اصلی جهت تدوین نقشه راه را میتوان به شرح زیر طبقهبندی کرد. بدیهی است فقدان هر یک از این عناصر و یا کیفیت نامناسب تحقق آنها میتوانند خروجی کار را مسألهدار نمایند. این عناصر عبارتند از :
(1) تحلیل نیازهای عملیاتی
شناخت و ارزیابی وضعیت موجود، تکنولوژی مورد استفاده و منابع انسانی مرتبط با توجه به کانونهای تمرکز نظیر ساختار و فرآیندهای اجرایی در دستگاهها و سازمانهای دولتی، خدمات مورد نیاز شهروندان و فعالیتهای بنگاههای اقتصادی، مبین تحلیل نیاز میدانی است.
(2) تعریف استراتژی و خط مشیها
در این ارتباط ابتدا چشمانداز استقرار دولت الکترونیکی در سه حوزه سازمانهای دولتی، شهروندان و صاحبان کسبوکار ترسیم میشود. سپس استراتژیهای تحقق آن به همراه خطمشیهای پیادهسازی آنها تشریح میشود. آنگاه در سطح کلیات، محدودیتها و قابلیتهای مربوط به منابع و امکانات تحقق استراتژی مرور میشود.
(3) طرحریزی معماری هسته مرکزی دولت الکترونیکی
برای انجام این طرحریزی بایستی ابتدا مدل کسبوکار در فضای تعامل بین دستگاههای دولتی، شهروندان و صاحبان کسبوکار خصوصی و غیردولتی تعریف و تدوین شود. آنگاه ضوابط و الزامات چارچوبی یکپارچه با هدف جلوگیری از تکرار اطلاعات در دستگاهها و سازمانهای دولتی، سهولت دسترسی به اطلاعات اعم از اطلاعات عملیاتی و یا ضمائم اطلاعاتی متعارف تعریف شود.
(4) توسعه زیرساخت
در ادامه ایجاد زیرساخت تکنولوژیک که امکان کنترل فرآیندها در سازمانهای دولتی و مشارکت گسترده صاحبان کسبوکار و شهروندان را در انجام امور جاری خود و دریافت خدمات را فراهم میکند در این مرحله در دستور کار قرار دارد. بدیهی است محدودیتهای ناشی از اطلاعات عملیاتی در سیستمهای سنتی موجود در دستگاههای دولتی، رعایت حریم خصوصی اطلاعات شهروندان و سهولت نقاط دسترسی اطلاعاتی آنها به همراه پوشش مطلوب شبکه از جمله کانونهای توجه در این حوزه میباشند.
(5) زنجیره ارزش و خدمات یکپارچه
کانون اصلی تمرکز در این زمینه در دستگاهها و سازمانهای دولتی و زیرمجموعه آنها مسأله یکپارچگی و تعامل بین سازمانی آنها میباشد. به گونهای که امکان ارائه خدمات عمومی به نحو مطلوب به شهروندان و صاحبان کسب وکار فراهم شود.
(6) تجهیز و سازماندهی جهت پیادهسازی
این امر دو وجه مشخص را در بر دارد. نخست ساختار و روشهای اجرایی حاکم بر پیادهسازی در سطوح ستادی و صف. دوم منابع مورد نیاز اعم از منابع انسانی یا ظرفیتهای تکنولوژیک مورد نیاز جهت استقرار و پیادهسازی دولت الکترونیک.
(7) ارزیابی برنامه عمل
در این زمینه ضمن اعمال مدیریت ریسک بایستی مدیریت عملکرد هم از منظر آنچه که به دفتر مدیریت پروژهها (PMO) مرتبط میشود و نیز آنچه به دفتر مدیریت تغییر (CMO) ارتباط مییابد اعمال شود و نسبت به بهبود عوامل عملکردی یا تصحیح برنامه بازخور لازم داده شود.
بنابراین نقشه راه چه در مقطع ارائه نسخه نهایی و قابل اجرای آن توسط سازمان مجری و چه در مرحله اجراء به لحاظ بازخورهای عملکردی علیالقاعده مشمول اصلاحات خواهد شد. نقش ناظر در این ارتباط بیان تنگناها و مسائل موجود و در صورت لزوم ارائه توصیههای مشخص در خصوص تصحیح مسیر خواهد بود.
توجیه و همراه شدن ذینفعان با نقشه راه
مشارکت ذینفعان در فرآیند تدوین و نهاییسازی نقشه راه و توجه آنان در خصوص چیستی، چرایی و چگونگی استقرار دولت الکترونیک، نقش و جایگاه هر یک و الزامات انجام سفر تغییر سازمانی، به نوبه خود حاصل فعالیتها و اقدامات متعددی است و بعضاً پروژه یا پروژههای خاص خود را دارد که تحقق آنها انجام پروژه اصلی را امکانپذیر مینماید.
بررسی آمادگی الکترونیکی دستگاهها
شیوه مطرح برای بررسی آمادگی در این زمینه متعلق به مجمع جهانی اقتصاد است که در آن 4 محور مشخص را در نظر گرفته است :
الف- عوامل محیطی :
– محیط سیاسی و تنظیمگیری ضوابط و مقررات
– محیط کسبوکار و نوآوری
ب- عوامل ویژه آمادگی :
– زیرساخت و محتوای دیجیتالی
– توجیه مالی و منابع مربوطه
– مهارتهای انسانی
ج- عوامل سطح کاربرد:
– قابلیت بکارگیری توسط افراد
– قابلیت بکارگیری توسط کسبوکارها
– قابلیت بکارگیری توسط سازمانهای دولتی
د- عوامل مربوط به آثار و نتایج حاصله :
– تأثیرات اقتصادی
– تأثیرات اجتماعی
میانگین چهار محور فوق نشانگر شاخص آمادگی الکترونیکی در مقیاس کشوری است.
در این ارتباط شیوههای متعددی در خصوص سنجش آمادگی سازمانی وجود دارد. از جمله ابزار موسوم به Quick – Check Tool e-gov که ابزار و روش اجرایی است که براساس سنجش پنج مؤلفه عمل میکند.
مهارتهای فاوا
دسترسی به امکانات فاوا (مترادف شاخص توسعه ICT تهیه شده توسط ITU)
شاخصهای قوانین مرتبط فاوا که توسط مجمع جهانی اقتصاد انتشار یافته
شاخصهای حکمرانی در مقیاس جهانی تهیه شده توسط بانک جهانی
شاخصهای خدمات عمومی مبتنی در وب (منتشر شده توسط UNDESA)
سنجش آمادگی الکترونیکی در مقیاس کلان کشوری و سازمانهای اصلی درگیر در اجرای دولت الکترونیک و شناسایی موارد عدم برازش و تناسب بین مؤلفههای اصلی آنها به لحاظ برطرف کردن تنگناها از اهمیت ویژهای برخوردار است. زیرا از این طریق امکان شناسایی تنگناها و عدم تناسب بین مؤلفههای پیشنیاز فراهم میشود و با برطرف کردن آنها شرایط پیشنیازی جهت ورود به مرحله استقرار دولت الکترونیک در مقیاس ملی و با مشارکت دستگاه یا سازمان خاص فراهم میگردد.
درحال حاضر براساس رتبهبندی سال 2013 کشور ما در جایگاه 101 قرار دارد و این رتبه نشانگر حجم بالای فعالیتهای پیشنیاز جهت ارتقاء سطح آمادگی الکترونیکی کشور میباشد.
پیشنیازهای اصلی استقرار
استانداردها
تعیین و رعایت استانداردها در سطوح مختلف طراحی و اجراء از جمله مهمترین پیشنیازها تلقی میشود. برخی از این استانداردها در سطح کلان قابل طرحاند نظیر استاندارد تعاملپذیری بین سازمانهای دولتی (eGIF) و یا مدل داده استاندارد در حوزه تجارت خارجی (Standard Data Model 3.1) که توسط سازمان جهانی گمرک و با همراهی برخی نهادهای بینالمللی دیگر طی بیش از 50 سال کار مستمر ایجاد شده و به نوبه خود حداقل در دو سطح تبادل اطلاعات و تبادل محتوا تأثیر قطعی در مناسبات و تعاملات فیمابین کلیه نقش آفرینان تجارت خارجی (بانک، بیمه، بازرسی، گمرک، کلیه سازمانهای مرتبط و …) ایجاد مینماید.
استانداردهای مربوط به تعریف خدمت و فرآیندهای ارائه خدمات نیز نقش بسیار مهمی در سهولت کاربری دریافتکنندگان خدمات ایفاء میکنند و در ردیف استاندارهای تأثیرگذار در سطح کلان میباشند. بخشی از استانداردها بیشتر بعد فنی و فناورانه دارند نظیر استانداردهای حوزه شبکه، زیرساخت، امنیت، واسطهای کاربری و ابزارهای سمت کاربر، کارت هوشمند بیومتریک، سرویسهای وب، اطلاعات مکان محور، پیامهای مورد مبادله، کدینگهای پایه و یا مورد استفاده مشترک و … که رعایت آنها نوعاً اجتناب ناپذیر است.
اطلاعات پایه مشترک
برخی اقلام اطلاعاتی که کاربران عمومی و فراگیری دارند بایستی قبل از استقرار دولت الکترونیک تعریف مشترکی از آنها ارائه شود و اصطلاحاً کدگذاری لازم و سراسری انجام شود به گونهای که اولاً همه طرفهای استفاده کننده با استفاده از کدها عملاً قاعده “این همانی” را رعایت کرده باشند ثانیاً مرجع واحدی مشخص شده باشد که تغییرات احتمالی را به صورت متمرکز اعمال نماید و از ناهماهنگی اجرایی در آینده از این طریق جلوگیری شود. مثال بارز در این زمینه تقسیمات کشوری است.
ارتباط بین نظامهای اطلاعاتی پایه
در شرایط حاضر ارتباط منطقی بین نظامهای اطلاعاتی پایه نظیر نظام مالیاتی، نظام بازرگانی، نظام بانکی، نظام گمرکی و … برقرار نمیباشد. در نتیجه گسیختگی اطلاعاتی باعث میشود که امکان پیگیری و ردیابی در کلیه موارد مجاز از نظر قوانین و مقررات موجود امکانپذیر نباشد. برقراری ارتباط به نوبه خود براساس تجارب برتر بینالمللی به صورت یکباره با مشکلات عدیدهای مواجه است و لازم است سناریو مرحلهای مشخصی جهت حل تدریجی ارتباط تنظیم شود تا هر نوع اقدامات بهبود درون سازمانی مورد نیاز دستگاهها و سازمانهای مرتبط در هماهنگی سناریوهای مرحلهای تدوین و اجرا شوند.
دستورالعملهای فنی اجرایی
کلیه الگوهای ارائه خدمات در زمینههای مختلف حتیالمقدور میبایستی از چارچوبی مشابه برحسب نوع کلی خدمت (خدمات اطلاعات عمومی و تخصصی/ خدمات تراکنش عمومی/خدمات ارائه اطلاعات شخصی/خدمات تراکنش همراه با پرداخت) برخوردار باشند.
طرح پیادهسازی دولت الکترونیک و الزامات مکمل آن
چارچوب مشترک استراتژیهای مدون جهت طرحریزی و استقرار دولت الکترونیک مستلزم توجه به دو الزام پایهای زیر است:
دفتر مدیریت طرح (PMO)
در هر سازمان که بخشی از وظایف تحقق اهداف دولت الکترونیکی را عهدهدار است یا ساختار متولی و هدایتگر کل طرح، لازم است که دفاتر مدیریت پروژه/طرح ایجاد شوند. این دفاتر وظیفه خطیر تصمیمگیری و هدایت امور را در سطوح مختلف از انجام داخلی پروژهها یا برون سپاری آنها و کنترل ارتباط منطقی بین پروژهها و زیرپروژهها و ارتباط محورهای تغییر متشکله پروژهها با اهداف استراتژیک ترسیم شده را در مقیاس سازمان تابعه برخوردار میباشند.
دفتر مدیریت تغییر (CMO)
بدون توجه به مسائل فرهنگ سازمانی و مقاومت احتمالی طیفی از نیروی انسانی در مقابل تغییر، امکان طرحریزی پروژههایی که منجر به کاهش مقاومت و تقویت مناسبات و ارتباطات دورن سازمانی و بین سازمانی جهت تسریع در انجام اهداف ترسیم شده گردند فراهم نمیشود. لذا در کلیه سطوح بایستی دفاتر مدیریت تغییر با هدف آمادهسازی منابع انسانی سازمانها در جهت تحقق اهداف متعالی مدنظر ایجاد شوند و با طرحریزی و اجرای پروژههای معینی نسبت به آمادهسازی محیط سازمانی و کاهش مقاومتهای احتمالی اقدامات لازم معمول گردد. در ادامه با استنتاج از چارچوب استراتژیک تشریح شده، مدل دولت الکترونیکی (به عنوان یک نمونه) ارائه شده است.
ارزیابی سیاستها و خط مشیهای اجرایی تحقق دولت الکترونیک
ارزیابی سیاستها و خطمشیهای اجرایی توسعه دولت الکترونیکی با هدف شناسایی تنگناها و تلاش در جهت برطرف کردن آنها به طور کلی امر پیچیدهای است. میزان شناخت یا عدم شفافیت اهداف، دیدگاههای بعضاً متناقض ذینفعان و همچنین وجوه اشتراک محورهای تغییر از وضعیت موجود به وضعیت مطلوب معمولاً این ارزیابی را دشوار میسازند. روشهای ارزیابی متنوعی در این زمینه ارائه شده است. در زیر یکی از این روشها که ارزیابی خط مشیهای اجرایی را از طریق ارتباط جنبههای ارزیابی با سطوح ارزیابی دنبال میکند تشریح شده است.
جنبههای ارزیابی
ارزیابی خطمشیهای اجرایی دولت الکترونیکی میتواند از چهارجنبه زیر صورت گیرد:
ارزیابی آثار تغییر (سازمانی)
تغییرات در ارتباط با پسخوان (Back Office) ، کاستن از سطوح سلسله مراتب سازمانی، مهندسی مجدد فرآیندهای سازمانی، برون سپاری، کاهش موانع اداری در تعامل با مراجعین، صرفه جویی در هزینهها و مواردی از این قبیل
ارزیابی سرمایهگذاری در حوزه زیرساخت
زیرساختهای فاوا، زیرساختهای دادههای مورد نیاز، منابع انسانی، چارچوب قانونی از بعد زیرساختی
ارزیابی تأثیرات سیاسی و اجتماعی
شفافیت، بازبودن فضای تعامل، فساد، رضایتمندی کاربران، مشارکت و اعمال نظر شهروندان
ارزیابی تأثیرات در حوزه اقتصاد و توسعه پایدار
هزینههای مربوطه، منافع عمومی، تأثیرات حاصله بر تولید ناخالص داخلی، شاخص رقابتپذیری، رشد اقتصادی، توسعه پایدار
سطوح ارزایابی
سطوح ارزیابی شامل پنج سطح از پایینترین سطح یعنی پروژهها، تا دستگاه/ سازمان، برنامه، بخش و نهایتاً سطح ملی مدنظر میباشند. این ارتباط سه گانه بین سطوح جنبههای ارزیابی با خطمشیهای اجرایی تحقق دولت الکترونیک در قالب مدل مفهومی زیر ارائه میشود:
مدل مفهومی ارزیابی سیاستها و خطمشیهای اجرایی توسعه دولت الکترونیکی
در عمل بایستی به کمک تجارب برتر موجود و برخی ابزارهای پشتیبان نسبت به شناسایی معیارهای ارزشیابی هر سطح در ارتباط با چهار جنبه ارزیابی اقدام شود و مبنای کنترل میزان تحقق خطمشیهای اجرایی مدون قرار گیرد.
ارزیابی استقرار دولت الکترونیک
مدلها، چارچوبها و شیوههای متعددی متناسب با موضوع نیاز جهت پایش وجود دارند. قبلاً در مورد سنجش آمادگی الکترونیکی سازمانها طرح موضوع شده است. اکنون در رابطه با استقرار دولت الکترونیک با ارائه یکی از مدلهای مطرح تحت عنوان مدل بلوغ قابلیت دولت الکترونیکی، تصویری از چگونگی اعمال پایش و نیز پشتیبانی فرآیند توسعه دولت الکترونیک که براساس تجارب برتر موجود در برخی کشورهای آمریکای لاتین استفاده شده است ارائه میشود.
مدل پیشنهادی تحت عنوان مدل بلوغ قابلیت دولت الکترونیکی ابزار پشتیبانی و پیاده سازی دولت الکترونیک در مقیاس ملی است. این مدل به ابزار تشخیص و ارزیابیای برگردان میشود که میتواند قابلیت و درجه بلوغ سازمانها و دستگاههای دولتی را که با چالشهای استقرار دولت الکترونیکی مواجهاند مشخص نماید.
طبعاً این مدل ابزاری برای مدیریت و کنترل فرآیندها و عملکرد آنها نمیباشد و بیشتر در خدمت تشخیص و ارزیابی چگونگی صحت استقرار دولت الکترونیکی در چارچوب اهداف تعریف شده قرار دارد. این مدل، تفاوت و تمایز شفافی بین قابلیت و بلوغ قائل میشود :
سطح قابلیت: خاصیت یا ویژگی هر متغیر اصلی و نواحی کلیدی حوزههای عملیاتی (Key Domain Areas/KDA) است که توسط متغیرهای اصلی آن مشخص میشود.
سطح بلوغ : خاصیت یا ویژگی مربوط به کل سازمان است. هر سطح مربوط به مجموعهای از نواحی کلیدی حوزههای عملیاتی (KDA) میباشد و سطح بلوغ سازمانی مبنای ترسیم نقشه راه توسعه دولت الکترونیک و تدوین استراتژی ارتقاء کیفیت خدمات قابل ارائه است.
1/4/4- ساختار عمومی
تعامل بین سه مؤلفه اصلی در مدل در شکل زیر نشان داده شده است. نیازهای کسبوکار در کنار اطلاعات ایجاد شده توسط سازمانها مبین معیارهای اطلاعاتی است که نیازهای هر ناحیه کلیدی حوزه عملیاتی (KAD) را از طریق بکارگیری امکانات و منابع مربوط با فناوری اطاعات تأمین میکند و از این طریق سطح قابلیت ناحیه کلیدی حوزه عملیاتی را تضمین مینماید.
2/4/4- عناصر مدل
عناصر مدل شامل معیار اطلاعاتی، منابع IT و سلسله مراتب حوزههای عملیاتی مؤثر، نواحی کلیدی هر حوزه (KAD) و متغیرهای کلیدی هر ناحیه میباشد. این سه بعد مدل که در شمای فوق تشریح شدهاند با نیازمندیهای کسبوکار در تعاملی منطقی به منظور ایجاد یک چرخه مستمر ارتقاء مطابق شکل زیر عمل میکنند.
معیارهای اطلاعاتی
برای پوشش نیازهای کسبوکار، اطلاعات بایستی معیارهای معینی را پوشش دهند که آنها نیز به نوبه خود نیازهای کسبوکار را پوشش خواهند داد. این معیارهای اطلاعاتی توسط هر یک از نواحی کلیدی حوزههای عملیاتی (KDA) ارائه میشوند. این معیارهای اطلاعاتی درخصوص هر ناحیه کلیدی حوزه عملیاتی عبارتند از:
اثربخشی: اطلاعات بایستی مرتبط، به موقع، صحیح و سازگار باشد.
کارایی: اطلاعات بایستی با حداکثر کارایی و رعایت جنبههای اقتصادی در مصرف منابع تأمین آنها فراهم شوند.
محرمیت: اطلاعات بایستی صرفاً در سطوح مجاز قابل دسترسی باشند.
شفافیت: اطلاعات بایستی صحیح، قابل استناد و کامل باشد.
دسترسپذیری: اطلاعات باید در مقطع نیاز فرآیند کسبوکار در دسترس باشد.
تبعیت از مقررات: اطلاعات بایستی در انطباق با قوانین و مقررات و نیازهای کسبوکار باشند. به عبارت بهتر اطلاعات در عین رعایت نیازهای کسبوکار بایستی الزامات ناشی از خط مشیهای اجرایی را مدنظر داشته باشند.
توان اعمال مدیریت: اطلاعات بایستی به سهولت و با کفایت لازم در اختیار مدیران سازمانها جهت اداره امور قرار داده شوند.
قابلیتها و منابع IT
حوزههای عملیاتی مؤثر به منابع و قابلیتهای IT برای ایجاد، ذخیرهسازی و ارائه اطلاعات برای تحقق اهداف کسبوکار نیاز دارند. قابلیتها و منابع اطلاعاتی عبارتند از:
سیستمهای کاربردی: سیستمهای اطلاعاتی و رویههای اجرایی برای پردازش دادهها و ایجاد اطلاعات استفاده میشوند.
دادهها: انواع دادهها با فرمتها و قالبهای مختلف که مورد نیاز کسبوکارهای مختلف و آحاد مردم هستند و توسط سیستمهای اطلاعاتی تهیه میشوند.
زیرساخت: مجموعه امکانات زیرساختی فناورانه نظیر سخت افزار، سیستمهای عامل، پایگاههای داده، شبکه ابزارهای چندرسانهای و .. که امکان فعالیت سیستمهای اطلاعاتی و کاربردی را فراهم میسازند.
تسهیلات: محیطی که امکان استقرار زیرساختهای فناوری اطلاعات را فراهم نموده و آنها را پشتیبانی مینماید.
حوزههای عملیاتی مؤثر و نواحی کلیدی
در شکل زیر حوزهها و نواحی مربوطه ارائه شده است:
برای هر یک از نواحی کلیدی معرفی شده در شکل فوق متغیرهای اصلی مشخص و تعریف میشوند به نحوی که اطلاعات پیرامون این متغیرها بتوانند معیارهای لازم برای ارزیابی نواحی کلیدی را در مقیاس سازمانها و دستگاههای دولتی فراهم سازند و از سوی دیگر امکان ارزیابی میزان پوشش نیازمندیهای کسبوکار در حوزه دولت الکترونیکی یعنی نیازهای مربوط به حوزه تعاملات دولت با دولت، دولت با کارکنان، دولت با شهروندان و همچنین دولت با بنگاههای خصوصی و نهایتاً دولت با سازمانها و تشکلهای مردمی و غیردولتی را محقق نماید.
ساختار مورد استفاده در شبکه های صنعتی یا برق و پروتکل های رایج آنها با شبکه های کامپیوتری متفاوت است. کشف حملات نیاز به IDS هایی دارد که علاوه بر قابلیت پردازش بسته های این پروتکل ها، مشخصات خاص شبکه های صنعتی یا برق و دستگاه های خاص آنها را در نظر بگیرند. توسعه این تکنولوژی نیاز به تحقیقات بنیادی و تیم بین رشته ای دارد. تاکنون دو نوع IDS برای شبکه های صنعتی و برق که ماحصل بیش از پنج سال تحقیق و توسعه میباشد توسط شرکت فناوری اطلاعات رجاء توسعه یافته است که در ساختارهای شبیه سازی آزمایشگاه آپا دانشگاه تربیت مدرس در فاز عملیاتی می باشد.
مشخصات فنی:
تکنولوژی غیر فعال (Passive)
طراحی برای پروتکل مختلف
پشتیبانی از پروتکلهای صنعتی مانند EtherCAT، S7، IEC104، DNP3
پشتیبانی از پروتکلهای ارتباطی مانند OPC
امکان پشتیبانی از پروتکلهای میترینگ مانند DLMS/COSEM
سیستم مدیریت لاگ مرکزی با توانایی ارسال و مدیریت هشدارها
https://rajaco.com/wp-content/uploads/2020/09/SCADA_Blog.png6281200فرهادی مهرانhttps://rajaco.com/wp-content/uploads/2020/09/logo-03-300x104.jpgفرهادی مهران2020-09-25 23:01:492020-09-25 23:03:18راهکار جامع و یکپارچه امنیت سایبری در سیستمهای کنترل صنعتی
امنیت دشوار است، امنیت گران قیمت است . این دو عبارت بازگو کننده نظرات افرادی است که برای ارتباطات الکترونیکی خود نیاز مبرم به امنیت را دریافته اندو به دنبال آن هستند. کلمه “امنیت شبکه های تجاری” یا “Enterprice network security” با افزایش درک شرکتها از ریسکهای موجود و همچنین توسعه نرم افزارهای کاربردی در محاورات متداول تر شده است.گرچه جمله ذیل در ابتدا ممکن است نگران کننده باشد، اما حقیقتی است انکار ناپذیر اینکه “امنیت مطلق وجود ندارد” زیرا: تنظیمات تجهیزات ناکافی است، حملات جدیدی طراحی می شوند و نرم افزارها باگهای امنیتی دارند که لازم است به آنها پرداخته و رفع گردد. بهترین کارهایی که هر شرکت می تواند انجام دهد عبارتند از تشخیص ریسکها و تهدیدات امنیتی و نقاط ضعف ها، تصمیم گیری بر این موضوع که چه موارد بحرانی وجود دارد، سپس پیاده سازی سیاستهای امنیتی است با کارآیی بالا و مطلوب. همچنین این مسئله مهم است که تحقیق و بررسی شود که آیا سیاستهای امنیتی بدرستی اجرا میشوند که این امر متضمن مونیتورینگ و نظارت فعال ترافیک روی شبکه و انجام بررسی دوره ای مجوزهای امنیتی است. امنیت شبکه موضوعی است پیچیده. این مساله تا حدودی ناشی از وفور تکنولوژیهای امنیتی قابل دسترس میباشد. در اینجاست که برای شروع پیاده سازی استراتژیهای امنیتی، با توجه به امکانات قابل دسترس و تشخیص تهدیدات بالقوه و بالفعل باید با تکیه بر مشاورین متخصص سریعاً اقدام نمود.
حفاظت از زیرساختهای حیاتی ملی برای ایجاد جامعهای امن، ایمن و مقاوم در قبال حملات سایبری و سایر مخاطرات طبیعی و انسانی امری ضروری است. در این راستا زیرساختهای حیاتی نیازمند سازوکارهایی برای حفظ محرمانگی، یکپارچگی و دسترسپذیری داراییهای خود میباشند. با توجه به نوپایی مفهوم امنیت فضای تولید و تبادل اطلاعات و با عنایت به میزان تأثیر آن بر امنیت ملی کشور، پرداختن به این موضوع و نهادینهسازی آن بهعنوان یک ضرورت و اولویت تلقی میشود.
مرکز مدیریت راهبردی افتای ریاست جمهوری در اسفندماه سال ۹۷ نسخه جدید طرح امن سازی زیرساختهای حیاتی در قبال حملات سایبری را به تمامی دستگاههای اجرایی دارای زیرساخت حیاتی کشور ابلاغ نمود. در این مطلب تلاش شده است، خلاصهای از الزامات در نظر گرفته شده در مستند مذکور ارائه گردد. در بخش اول این مقاله مرکز مدیریت راهبردی افتا و اهداف آن معرفی شده و در ادامه به الزامات و مخاطبین طرح که پیاده سازی موارد برای آنها الزامی است اشاره شده است.
معرفی مرکز مدیریت راهبردی افتا ریاست جمهوری
پیشینه تشکیل مرکز مدیریت راهبردی افتا به تدوین سند راهبردی افتا باز میگردد. در سال ۱۳۸۲ شورای عالی افتا بر اساس ضرورتها، توسط دولت وقت ایجاد و ملزم به تدوین این سند برای کشور شد. سند تدوینشده توسط شورای مذکور، در سال ۱۳۸۴ توسط هیئت دولت به تصویب رسید و به دستگاهها ابلاغ شد.
پس از تصویب و ابلاغ سند راهبردی افتا توسط هیئتوزیران، مرکز مدیریت راهبردی افتا، بهمنظور برنامهریزی، سیاستگذاری و نظارت بر حسن اجرای دستورالعملهای ابلاغی در دستگاههای اجرایی و نیز بهعنوان دبیرخانه سند در سال ۱۳۸۶ تشکیل شد. سند راهبردی افتا که مأموریت اجرای آن توسط دولتهای نهم، دهم و یازدهم به این مرکز محول شده است، در سال ۱۳۸۷ موردبازنگری قرار گرفت. موضوع مسئولیت مرکز در اجرای سند نیز توسط معاون اول رؤسای محترم جمهور در هر دوره، بهمنظور همکاری دستگاههای اجرایی به آنها ابلاغ شد. در ذیل، عناوین مستندات سیر تشکیل مرکز و مأموریتهای محوله آن ارائه شده است:
تأسیس شورای عالی افتا – سیزدهم اسفند سال ۱۳۸۲
تدوین سند راهبردی افتا توسط شورای عالی افتا و تصویب در هیئت محترم وزیران – سال ۱۳۸۴
تأسیس مرکز مدیریت راهبردی افتا – سال ۱۳۸۶
بازنگری سند راهبردی افتا و ابلاغ آن – اسفندماه ۱۳۸۷
بخشنامه دبیر محترم شورای عالی و رئیس مرکز ملی فضای مجازی در بهمنماه سال ۹۴
سیاستهای کلان مرکز مدیریت راهبردی افتا
سیاستهای کلی این مرکز را میتوان در محورهای ذیل دستهبندی نمود:
اشراف بر فناوریهای نوین و بهرهگیری از آنها
انجام امور رگولاتوری (تنظیم مقررات)، ساماندهی، نظارت و هماهنگی حوزه افتا در سطح کشور
بهرهگیری از تدابیر صحیح و فنی، جهت پیشگیری از مخاطرات امنیتی، تشخیص بهموقع، مقابله صحیح و هوشمندانه با مخاطرات
توجه اکید به رویکردهای ایجابی در انجام مأموریتها و در حد امکان دوری از رویکردهای سلبی
امنسازی مدبرانه فضای تولید و تبادل اطلاعات بهمنظور عدم توقف استمرار ارائه خدمات
انجام اقدامات حمایتی از صنعت افتای بومی کشور
تأسیس مراکز افتا در استانها با رویکرد نظارتی و کنترلی
مخاطبین طرح
مخاطب اصلی این طرح کلیه زیرساختها و دستگاههای دارای طبقهبندی کشور بوده و سایر دستگاهها نیز میتوانند به فراخور نیاز خود از آن استفاده نمایند. آنچه در این بخش ضروری است، این موضوع است که دستگاه ما بهعنوان یک زیرساخت حیاتی به شمار میرود یا خیر. زیرساختهای حیاتی (Critical Infrastructure) بهصورت کلی به آن دسته از سامانهها، خدمات یا حتی عملیاتی اطلاق میشود که اختلال یا تخریب آنها موجب تضعیف یا ناتوانی در خدمات بهداشت عمومی، تجارت و اقتصاد، امنیت ملی یا هر ترکیب دیگری از این قبیل موارد شود. این موارد شامل سازمانهای فعال در حوزه ارتباطات، انرژی، سامانههای بانکی، خطوط حملونقل، بهداشت عمومی و خدمات ضروری دولتی میشود.
در حال حاضر لیست مشخصی از سازمانها و دستگاههای حیاتی در کشور وجود ندارد (و یا توسط نگارنده این مقاله یافت نشده است) و تصمیمگیری در این خصوص معمولا بر مبنای استعلام از مرکز مدیریت راهبردی افتا صورت می گیرد. همچنین تطابق با الزامات آورده شده در این طرح، برای مخاطبین آن، به عنوان یک الزام مطرح می باشد و در صورت اقدام این مخاطبین برای ممیزی و دریافت گواهینامه ملی سیستم مدیریت امنیت اطلاعات -ISMS، علاوه بر الزامات استاندارد مرجع -ISO 27001 اجرای الزامات این طرح نیز باید مورد تایید قرار بگیرد.
خلاصه مدیریتی طرح
هدف از این طرح، تأمین امنیت فضای تولید و تبادل اطلاعات سازمان و جلوگیری از بروز اختلال در ارائه سرویسهای حیاتی آن است. در این طرح الزاماتی برای ایجاد، پیادهسازی، نگهداری و بهبود مستمر امنیت اطلاعات در حوزههای زیرساختی ارائهشده است. همچنین سازمان نیازمند ساختاری برای تأمین منابع انسانی و مالی بهمنظور اجرای طرح است. این ساختار متناسب با شرایط و اهداف سازمان میتواند در قالب کمیته اجرای طرح یا ایجاد واحدی سازمانی باشد. تشکیل این ساختار بهعنوان پیشنیازی برای اجرای سایر الزامات طرح بوده و پس از انجام اقدامات فوق در سازمان، لازم است طرح امنسازی متناسب با نقشه راه اجرایی گردد. (برای کسب اطلاعات بیشتر به مقاله سازماندهی امنیت و ضرورت وجود واحد و مدیر امنیت اطلاعات – CISO رجوع شود)
نقشه راه اجرای طرح امنسازی
زیرساختهای حیاتی لازم است بر اساس گامهای نقشه راه، نسبت به اجرای طرح امن سازی اقدام نمایند. گامهای نقشه در شکل زیر مشخصشده است.
الزامات طرح امنسازی
این الزامات، کنترلهای حداقلی بهمنظور کاهش مخاطرات دارای اولویت در زیرساختها است و هدف از این بخش جهتدهی راهبردی به فعالیتهای ملی در حوزه امنیت سایبری زیرساختها و ارائه یک نقشه راه، برای توسعه همزمان امنیت سایبری در بخشهای مختلف کشور در سالهای پیش رو است. سطح بلوغ امنیتی مطلوب سازمان در هر یک از الزامات این طرح، میتواند بر اساس سطح قابلپذیرش مخاطرات سازمان تعیین گردیده و این سطح در برنامه عملیاتی سازمان تصریح و به تأیید مرکز افتا خواهد رسید.
مدیریت مخاطرات
راهبرد اصلی طرح امنسازی زیرساختهای حیاتی در قبال حملات سایبری، مدیریت مخاطرات است. مدیریت مخاطرات فرآیندی مستمر است که در آن تهدیدات و آسیبپذیریهای موجود در یک سازمان شناسایی و ارزیابی میشوند و از طریق انجام اقدامات امنسازی که اولویت بیشتری دارند، مخاطرات مدیریت میشوند. لازمه این امر وجود یک رویکرد مدیریت مخاطرات سیستماتیک متناسب با بافتار، شرایط و مخاطرات خاص سازمان است که بدین منظور، امروزه استانداردها و روشهای متعددی نظیر ISO/IEC 27005 ،ISO 31000 ،ISA/IEC 62443 و … چارچوبهای مناسبی را برای مدیریت مخاطراتی که به امنیت اطلاعات لطمه میزند در اختیار سازمانها قرار میدهند. سازمان باید مدیریت مخاطرات امنیت را مطابق با الزامات شکل زیر تعیین نماید.
این فرایند شامل شناخت بافتار سازمان است که شامل ساختار سازمانی، نقشها و مسئولیتها، خطمشیها و … است. در این راستا باید محدوده و قلمرو فرایند مدیریت مخاطرات و معیارهای ارزیابی تعیین گردد و در گام بعد در مرحله ارزشیابی مخاطره، شناسایی مخاطره، تحلیل مخاطره و ارزیابی مخاطره صورت میپذیرد.
پایش و کنترل سایبری
با توسعه روزافزون فناوری اطلاعات و نیاز سازمانها به استفاده از بسترهای الکترونیکی و مجازی و پیچیدگی و تنوع حملات و تهدیدات سایبری، صرفاً بهکارگیری تجهیزات مرسوم امنیتی مانند فایروال کافی نیست، زیرا این تجهیزات هر یک بهطور منفرد بخشی از نیازهای امنیتی سازمان را مرتفع میسازد. لذا بهمنظور شناسایی حملات و تهدیدات سایبری پیشرفته، استفاده از راهکارهای پایش یکپارچه و هوشمند رویدادهای امنیتی ضروری است. مطابق با الزامات این بخش سازمان باید مرکز عملیات امنیت را با استفاده از ظرفیتهای داخل سازمان و یا با استفاده از ظرفیت سازمان بالادستی ایجاد کند.
اهداف فرآیندی در این بخش شامل موارد زیر است:
پایش بر خط رویدادهای امنیتی که باهدف تشخیص ناهنجاریهای ترافیکی و ممیزی انطباق عملکردها با خطمشیهای امنیتی سازمان قابل انجام است.
تحلیل عمیق رویدادهای امنیتی که پس از بررسی و صحت سنجی رویدادهای امنیتی گزارششده و در صورت تأیید وقوع حادثه، راهکار پیشگیری و مقابله، تدوین و به تیم سایبری ارسال میگردد.
پایش و تحلیل آسیبپذیریها
معماری مرکز عملیات امنیت که ضمن احصاء نیازمندیهای فنی بخشهای مختلف و نظارت بر طراحی، پیادهسازی و عملکرد مطلوب این سامانهها، راهبری، نگهداری و بهروزرسانی آنها را همگام با فناوریهای روز این حوزه بر عهده دارد.
مؤلفه فناوری در این بخش نیز شامل دو المان زیر است:
سامانه مدیریت رویداد و اطلاعات امنیتی (SIEM)
آزمایشگاههای امنیتی جهت بهبود وضعیت عملکرد مرکز عملیات امنیت
مدل عملیاتی مرکز عملیات امنیت
مدیریت حوادث سایبری (IT/OT)
آن دسته از رویدادهایی که موجب نقض اصول و سیاستهای فضای مجازی شود، حادثه سایبری نامیده میشود. هدف از مدیریت حوادث سایبری، کنترل و به حداقل رساندن خسارت، حفاظت از شواهد، بازیابی سریع و مؤثر سیستمها، جلوگیری از تکرار حوادث مشابه و به دست آوردن دید مناسب نسبت به تهدیدات علیه سازمان است.
مؤلفه فرآیند در مدیریت حوادث سایبری به دودسته اعلام هشدار حوادث و پاسخگویی به حوادث تقسیم میگردد؛ که هر دسته شامل فرایندهای داخلی و ارتباط با سایر واحدها مطابق شکل زیر است.
بخش پاسخگویی به حوادث خود نیز به سه دسته فعالیتهای قبل از حادثه، فعالیتهای حین حادثه و فعالیتهای بعد از حادثه تقسیم میشود.
مؤلفه فناوری شامل استفاده از تجهیزات و ابزارهای بروز و کارآمد، ابزارهای تهیه ایمیج، ابزارهای بازیابی اطلاعات، ابزارهای تست و عیبیابی شبکهها، ابزارهای مقابله با بدافزار قابل بوت و قابلنصب و … است.
مدیریت تهدیدات بدافزاری
امروزه بدافزارها بهعنوان یکی از جدیترین تهدیدات فضای مجازی هستند. انجام عملیات شنود و جاسوسی، سرقت، تخریب اطلاعات، تخریب سامانهها، کاهش اعتبار و به خطر افتادن کسبوکار سازمان، بخشی از خطرات بدافزارها است.
از مؤلفههای تشکیلدهنده واحد مقابله با بدافزار میتوان به سه مؤلفه نیروی انسانی، فرآیند و فناوری اشاره نمود.
مؤلفه نیروی انسانی شامل جذب نیروی انسانی متخصص و ماهر، تعیین نقشها و مسئولیتها، تدوین و اجرای برنامه آموزشی است.
مؤلفه فرآیند شامل شناسایی و جمعآوری شواهد، تحلیل بدافزار، مقابله با بدافزار است.
جهت تحلیل بدافزار، محیطی امن و ایزوله آزمایشگاهی نیاز است و این فرایند شامل مراحل زیر است.
تحلیل ایستای اولیه: جهت کسب آگاهی از عملکرد و مشخصات فایل مشکوک بدون اجرای فایل برنامه در سیستم، از طریق ابزارهای مختلفی تحلیل میشود.
تحلیل رفتاری: هدف از تحلیل رفتاری، تحلیل رفتار شبکهای شامل استخراج دامنهها و آدرس آیپیهای مورداستفاده توسط بدافزار
تحلیل کد: با استفاده از ابزارهای دیباگر و Disassembler
تحلیل حافظه: این نوع تحلیل به بررسی حافظه تصادفی سیستم آلوده میپردازد تا نشانههایی از برنامه مشکوک را بازیابی کند.
مستندسازی نتایج: خروجی فرآیند تحلیل بدافزار
مقابله با بدافزار: هدف پیشگیری از نصب بدافزار، تشخیص و پاکسازی بدافزارهای شناساییشده از روی کلیه تجهیزات است. خروجی این فرایند شامل ابزار شناسایی، راهنما و دستورالعمل پاکسازی و راهکارهای امنیتی برای پیشگیری از آلودگی سایر سامانهها.
مدیریت تداوم کسبوکار
مدیریت تداوم کسبوکار، مدیریت بازیابی و تداوم فعالیت و سرویسهای حیاتی کسبوکار در هنگام وقوع حوادث و شرایط بحرانی است. پس باید با برنامهریزی منسجم از تداوم ارائه این خدمات حتی در زمان وقوع حوادث احتمالی اطمینان پیدا کرد که این امر در قالب مدیریت تداوم کسبوکار سازمان محقق میگردد.
از مؤلفههای تشکیلدهنده مدیریت تداوم کسبوکار میتوان به سه مؤلفه نیروی انسانی، فرآیند و فناوری اشاره نمود.
مؤلفه نیروی انسانی شامل جذب نیروی انسانی متخصص و ماهر، تعیین نقشها و مسئولیتها و تدوین و اجرای برنامه آموزشی است.
در مؤلفه فرآیند دستیابی به اهدافی چون پیشگیری از حادثه، شناسایی حادثه، پاسخ به حادثه، بازیابی و بهبود دنبال میگردد.
فرایند مدیریت تداوم کسبوکار از چهار گام به شرح زیر تشکیلشده است.
شناخت سازمان
تحلیل اثرات کسبوکار
تدوین طرحهای مدیریت تداوم کسبوکار
تمرین، نگهداری و بازنگری جهت اطمینان از اثربخشی طرحهای تداوم کسبوکار و بازیابی از فاجعه
در راستای فرایند مدیریت کسبوکار باید حداقل سالیانه یک مانور طرح تداوم کسبوکار جهت مشخص شدن نقاط ضعف طرحهای تدوینشده اجرا گردد.
زیرساخت محرمانگی و استناد پذیری
زیرساخت محرمانگی و استناد پذیری نیازمند تدوین سیاستها، ضوابط، رویهها در بعد مدیریتی و بهرهگیری از ابزارهای امنیت اطلاعات و ارتباطات در بعد فنی بوده که محرمانگی اطلاعات را برای سازمان تضمین مینماید. قلمرو این زیرساخت در بعد فنی شامل الگوریتمهای رمزنگاری، پروتکلهای امنیتی، زیرساخت کلید عمومی و… است. لزوم استقرار زیرساخت محرمانگی و استناد پذیری در سازمان، جلوگیری از افشاء دادهها و اطلاعاتی است که باید محافظت شوند و در اختیار افراد غیرمجاز قرار نگیرند.
تمامی کاربردهای زیرساخت محرمانگی و استناد پذیری در بستر زیرساخت کلید عمومی قابل تحقق است. هر نوع داده یا مبادله الکترونیکی مطرح در حوزه عملیات خصوصی و غیرخصوصی که تهدید امنیتی در مورد آن مطرح باشد، جزء مواردی است که میتوان از زیرساخت کلید عمومی برای امن سازی آن بهره گرفت.
از موارد پرکاربرد زیرساخت محرمانگی سازمانها میتوان به مدیریت کلیدهای رمزنگاری، امنسازی کاربردهای تحت وب، امنسازی برنامه اتوماسیون اداری، تصدیق هویت و … اشاره نمود.
مدیریت هویت و دسترسی
کاربران در سازمان بهعنوان مهمترین بازیگر در فرآیندهای سازمان، دارای دسترسی به منابع مختلف سازمان هستند. ایجاد، کنترل و مدیریت این دسترسیها از وظایف اصلی تعریفشده در مدیریت هویت و دسترسی است. مدیریت هویت و دسترسی، چهارچوبی است که در آن سازمان سیاستها و فرایندهای خود در چرخه حیات هویتهای دیجیتال را تبیین مینماید. این چرخه شامل: تعریف هویت دیجیتال، ایجاد و مجازشماری دسترسی به منابع و داراییهای دیجیتال و فیزیکی سازمان و حذف هویت و دسترسیها در مواقعی که کارمند مسئولیت خود را به هر دلیلی از دست میدهد.
لازم است سازمان خطمشی مدیریت هویت و دسترسی شامل مدیریت چرخه حیات هویتهای دیجیتال، کنترل دسترسی، تجهیزات قابلحمل شامل رسانههای قابل سازمانی و دستگاههای شخصی، مدیریت رسانههای دیجیتال و غیر دیجیتال، ارتباطات راه دور و همچنین حفاظت فیزیکی خود را تدوین و اجرایی نماید.
مدیریت زنجیری تأمین
مهمترین اقدام برای شناسایی بهموقع موارد نفوذ و اختلال در زیرساختهای حیاتی کشور، مدیریت همهجانبه فنی و حفاظتی زنجیره تأمین، در فرآیند طراحی، پیادهسازی، بهرهبرداری و نگهداری از زیرساختهای حیاتی کشور است. لازم است سازمان خطمشی مدیریت زنجیره تأمین خود را تدوین و اجرایی نماید و در آن مواردی همچون تعیین سطح کیفی ارائه خدمت (SLA)، اخذ تعهدنامه محرمانگی و عدم افشاء اطلاعات، استفاده از خدمات برونسپاری شده مطابق “آییننامه ساماندهی خدمات امنیت فضای تولید و تبادل اطلاعات”، نظارت بر فعالیتهای شرکت ارائهدهنده خدمت و … را لحاظ کند.
امن سازی زنجیره تأمین: در این راستا رعایت موارد زیر الزامی است.
نیازسنجی و طراحی
انتخاب تأمینکنندگان
خرید/ تولید داخلی و خارجی: شامل مواردی چون استعلام از مرکز افتا پیش از خرید محصولات خارجی مورداستفاده در سامانههای ملی، استفاده از محصولات و سامانههای داخلی دارای گواهی ارزیابی امنیتی مورد تأیید مرکز افتا، انعقاد قرارداد رسمی برونسپاری و تدوین پیوست امنیتی برای آن و … اشاره نمود.
انتقال موارد خریداریشده و انبارداری: شامل استفاده از فرآیند، عناصر و عوامل کنترلشده در توزیع، تحویل و انبارداری، اعتبارسنجی اصالت و اطمینان از عدم دستکاری محصولات از زمان خرید تا تحویل با استفاده از سازوکارهای امنیتی است.
نصب، راهاندازی و اجرا: شامل تأمین و نگهداری امن مستندات محصولات و سامانهها، اعم از مستندات تحلیل و طراحی، معماری، پیادهسازی، تست و ارزیابی بهطوریکه در زمان موردنیاز در دسترس افراد مجاز باشد، پیکربندی امن و اعمال تنظیمات امنیتی در سامانه بهمنظور مقاومسازی و امن سازی، ممیزی بر روی خدمات دریافتی توسط کارفرما وفق مفاد قرارداد و … است.
راهبری، بهرهبرداری و خاتمه: شامل ایجاد سازوکار لازم جهت اطلاع بهموقع از نسخههای جدید، وصلهها و راهکارهای رفع آسیبپذیریهای منتشرشده برای سامانهها، پایش مداوم محصولات و سامانههای مورداستفاده، پیگیری تعهدات قراردادی و … توسط سازمان پس از خاتمه قرارداد برونسپاری است.
آموزش و فرهنگسازی
منشأ بسیاری از حملات سایبری عامل انسانی است که عموماً بهصورت ناخواسته و ناآگاهانه زمینه را جهت نفوذ و حمله فراهم میکند. خطمشی امنیت اطلاعات سازمان باید بهگونهای باشد که افراد قبل از دسترسی به سیستمهای حساس، درزمینهٔ امنیت سایبری، آموزش و آگاهی لازم را کسب کنند و با خطمشیها و رویههای امنیتی سازمان آشنا شوند.
در این زمینه لازم است سازمان خطمشی آموزش و فرهنگسازی خود را تدوین و اجرایی نماید. برنامه آموزش امنیت اطلاعات سازمان باید متناسب با نقشها و مسئولیتهای مبتنی با “سند معرفی دورههای آموزشی افتا” باشد، بهمنظور ارتقای فرهنگ امنیت سایبری، حداقل یک همایش عمومی برگزار کند، ارزیابی میزان آمادگی و آگاهی کارکنان در حوزه امنیت سایبری بهصورت دورهای انجام شود و … .
مدل بلوغ طرح امنسازی
سازمان نیازمند ساختاری برای تأمین منابع انسانی و مالی بهمنظور اجرای طرح است و تشکیل این ساختار پیشنیازی برای اجرای سایر الزامات طرح است. لذا بدین منظور در مدل بلوغ، دامنهای با عنوان “سازمان امنیت” در نظر گرفتهشده است.
باهدف ایجاد قابلیت سنجش پیشرفت، هر دامنه به سطوحی که به آن سطح شاخص بلوغ گفته میشود تقسیمشده است. این سطوح از یک تا ۴ شمارهگذاری شده و دارای اولویت میباشند. سازمان باید بر اساس اقدامات هر یک از سطوح در دامنههای مختلف، ارزیابی دقیقی از اقداماتی که انجام داده داشته باشد و درنهایت بلوغ سازمان خود را اندازهگیری نماید.
ممیزی اجرای برنامه عملیاتی امنسازی
پس از پیادهسازی و اجرای برنامههای عملیاتی تدوینشده، باید از اجرای اثربخش برنامه مذکور اطمینان حاصل گردد. در این راستا ضروری است ممیزیهای مستمر و ادواری در سازمان انجام شود. لذا مرکز افتا موظف است تا کلیه ممیزیها را بر اساس ابزار ارزیابی سطح بلوغ ارائهشده، مدیریت و سازمان را از نتیجه مطلع نماید.
ممیزی داخلی: سازمان باید روالهای مشخصی را برای برگزاری ممیزی داخلی تدوین کرده و بهطور منظم نسبت به برگزاری آنها اقدام کند. جهت اطمینان از اجرای الزامات، سازمان گزارشهای لازم را بر اساس فرمهای ممیزی مرکز افتا تهیه و جهت بررسی و اخذ تأییدیه به مرکز افتا ارسال مینماید.
ممیزی خارجی: جهت نظارت بر روند اجرای برنامههای عملیاتی و اثربخشی آنها ممیزی خارجی توسط مرکز افتا انجام خواهد شد. سازمان پس از اخذ گزارشهای ممیزی خارجی، نسبت به رفع انطباقها اقدام نموده و در صورت نیاز، درخواست ممیزی مجدد از مرکز افتا را خواهد نمود.
https://rajaco.com/wp-content/uploads/2020/09/336333.jpg418784فرهادی مهرانhttps://rajaco.com/wp-content/uploads/2020/09/logo-03-300x104.jpgفرهادی مهران2020-09-25 22:47:192020-09-25 22:47:23مشاوره پیاده سازی طرح امن سازی زیرساخت
نظارت و کنترل زیرساختهای حساس و حیاتی با ظهور سیستمهای کنترل صنعتی، توسعه و پیشرفت چشمگیری داشتهاند. هرچند ساختار و عملکرد سیستمهای کنترلی، پیشرفت شایان توجهی داشته، اما موضوع امنیت سایبری در آنها چندان مدنظر قرار نگرفته و این زیرساختها را در معرض تهدید قرار داده است. با توجه به عدم ارتقا امنیت در سیستمهای کنترل صنعتی همگام با توسعه و پیشرفت آنها، این امکان برای مهاجمین سایبری فراهم گردیده تا با استفاده از سادهترین روشها بتوانند خسارات جبران ناپذیری به زیرساختهای کشور وارد کنند. شرکت فناوری اطلاعات رجاء با توجه به احساس نیاز کشور در این حوزه راهکار جامع و یکپارچه امنیت سایبری در زیرساختهای صنعتی را تدوین نموده است که در ادامه به معرفی آن میپردازیم.
راهکار جامع و یکپارچه امنیت سایبری در زیرساختهای صنعتی
راهکار جامع و یکپارچه امنیت زیرساختهای صنعتی با اتکا به استانداردها و بهترین روشهای معرفی شده در دنیا، در نظر گرفتن شرایط بومی کشور و همچنین عدم تحمیل هزینه هنگفت به زیرساختهای کشور طراحی شده است. راهکار مذکور با اتکا به مجموعهای از خدمات و محصولات ارائه شده توسط شرکت فناوری اطلاعات رجاء در حوزه امنیت سیستمهای کنترل صنعتی، توانایی مرتفع نمودن تهدیدات بالقوه و بالفعل در این حوزه را دارد.
شناسایی و ارزیابی
مرحله اول مربوط به شناسایی و ارزیابی واحد صنعتی به منظور یافتن نقاط ضعف امنیتی میباشد. در این مرحله ابتدا واحد صنعتی از نظر فرایندهای عملیاتی، داراییها و معماری شبکه شناسایی میشود و همچنین وضعیت امنیتی آن مورد ارزیابی قرار میگیرد. هدف از این فاز ارزیابی سیاستها و رویههای امنیتی موجود، شناسایی آسیبپذیریها، نواقص پیکربندی، و نقصهای معماری شبکه میباشد. فاز شناسایی و ارزیابی از اهمیت ویژهای برخوردار است و خروجیهای آن زمینه مناسبی را برای پیادهسازی راهکارهای امنسازی مناسب جهت کاهش ریسکهای امنیتی فراهم میکند. در این مرحله خدمات زیر توسط شرکت فناوری اطلاعات رجاء ارائه میشود:
شناسایی فرآیندهای عملیاتی، داراییها، شبکه و ارتباطات واحد صنعتی
شناسایی آسیبپذیریها و ارزیابی پیکربندی سیستمها شامل سرورها، ایستگاههای کاری، ایستگاههای مهندسی، تجهیزات صنعتی مانند PLCها، RTUها، و..
ارزیابی معماری شبکه و پیکربندی تجهیزات زیرساخت شبکه صنعتی
ارزیابی مخاطرات
ممیزی تطابق با طرح ها و استانداردهای شاخص در حوزه امنیت سیستمهای صنعتی و زیرساختهای حیاتی
تست نفوذ به شبکه صنعتی (تحت شرایط خاص)
طراحی و امنسازی
در بخش امنسازی با توجه به آسیبپذیریها و نقاط ضعف شناسایی شده در فاز ارزیابی، راهکار امنیتی بر اساس مفهوم دفاع در عمق جهت رفع آسیبپذیریهای شناسایی شده و امنسازی ارائه و پیادهسازی میشود. دفاع در عمق به معنی به کارگیری راهکارهای دفاعی لایهای میباشد و سطوح مختلفی چون سیاستها و رویه های سازمانی، آموزش و آگاهی رسانی، امنیت فیزیکی و محیطی، امنیت شبکه و ارتباطات، و امنیت میزبانها را شامل میشود. بر این اساس خدمات زیر در این بخش ارائه میشود:
رفع آسیبپذیریهای شناسایی شده در شبکه صنعتی در مرحله ارزیابی از طریق اعمال وصله
امنسازی پیکربندی سیستمها شامل ایستگاههای کاری، سرورها، ایستگاههای مهندسی و…
اصلاح معماری شبکه صنعتی بر اساس مفهوم بخش بندی شبکه و تعریف مناطق امنیتی
امن سازی و مقاومسازی پیکربندی تجهیزات زیرساخت
استقرار راهکارهای EndPoint Security در ایستگاههای کاری، سرورها، و ایستگاههای مهندسی جهت مقابله با بدافزار
استقرار راهکارهای مدیریت تغییرات در شبکه صنعتی
آموزش و آگاهی رسانی در حوزه امنیت شبکه های صنعتی
ارائه راهکار جهت مطابقت با استانداردها و طرح های شاخص در حوزه امنیت سیستمهای کنترل صنعتی و زیرساختهای حیاتی
در این بخش می توان از محصولات بومی زیر استفاده کرد:
سامانه تشخیص نفوذ صنعتی RAJA-IIDS
سامانه مدیریت دسترسی های ویژه RAJA-PAM
سامانه جلوگیری از نشت اطلاعات RAJA-DLP
تشخیص
از آن جایی که آگاهی از وضعیت شبکه و تشخیص رویدادهای امنیتی در زمان مناسب تاثیر زیادی در انتخاب پاسخ به شکل موثر و بهینه و حداقل ساختن اثرات منفی آن دارد، در این فاز با توجه به وضعیت شبکه طرحی جهت استقرار ابزاهای تشخیص در شبکه ارائه میشود. برای این منظور می توان از سیستمهای تشخیص نفوذ مبتنی بر شبکه، سیستمهای تشخیص نفوذ مبتنی بر میزبان ها و در سطوح بالاتر از سامانه مدیریت اطلاعات و رخدادهای امنیتی(SIEM) بهره برد.
بعد از پیادهسازی تجهیزات تشخیصی، با اتکا به استقرار سامانه مدیریت امنیت اطلاعات و رخدادهای صنعتی/IT به عنوان قلب تپنده مرکز عملیات امنیت صنعتی می توان بسیاری از موارد مربوط به امنیت داراییهای زیرساخت صنعتی را پوشش داد.
در این بخش می توان از محصولات بومی زیر بهره برد:
سامانه مدیریت یکپارچه تهدیدات (RAJA-EDR)
سامانه تشخیص و جلوگیری از نفوذ شبکه صنعتی (RAJA-Industrial IDS)
سامانه پیشگیری از نشتداده (RAJA DLP/DRM)
پاسخگویی به رخدادها
با اینکه پس از اجرای فازهای ارزیابی و امنسازی سطح حمله سیستم به شدت محدود میشود اما به دلیل ماهیت متغیر تهدیدات هیچ گاه نمی توان احتمال روی دادن حملات سایبری را به صفر رساند. پیادهسازی فاز تشخیص امکان شناسایی رخدادهای احتمالی را فراهم می کند و در کنار آن وجود قابلیت پاسخ به رخدادهای امنیتی و بازیابی سیستم از اهمیت بالایی برخوردار است. در این حوزه خدمات زیر توسط شرکت فناوری اطلاعات رجاء ارائه میشود:
رسیدگی به رخدادهای امنیتی شامل واکنش در محل، خدمات جرمشناسی و پی جویی حملات و رخدادها، و ترمیم و بازیابی سیستمها
تحلیل و بررسی مصنوعات و ابزارهای مورد استفاده در حملات و فعالیت های غیرمجاز همچون بدافزارها
ارائه طرح های پاسخ به رخدادهای امنیتی بر اساس استانداردهای مدیریت رخداد جهت تضمین استمرار کسب و کار و بازیابی پس از بحران
ارائه طرح تابآوری سایبری و ارزیابی آن در زیرساخت صنعتی
بلوغ امنیت سایبری مبتنی بر اهداف تعیینشده و ایجاد چرخه حیات
بعد از پیادهسازی کامل راهکار جامع و یکپارچه امنیت زیرساختهای صنعتی که متشکل از مجموعهای از خدمات و محصولات بومی تولید شده توسط شرکت فناوری اطلاعات رجاء است، اهداف بلوغ امنیت در زیرساخت تعیین خواهد شد و معماری امنیت پیادهسازی شده مبتنی بر راهکار جامع سعی به گذراندن مراحل بلوغ خود خواهد کرد. بعد از گذراندن هدف اول بلوغ، اهداف بعدی مشخص خواهد شد و این چرخه بطور متوالی در جهت بهبود و ارتقا امنیت سایبری در زیرساخت مدنظر تکرار خواهد شد.
تست نفوذ و امن سازی نرم افزار Software PenTest آزمون نفوذ و امن سازی برنامه کاربردی موبایل Mobile App PenTest آزمون نفوذ و امن سازی شبکه و زیرساخت ارزیابی امنیت سیستم های صنعتی / ICS Cyber Security Assessment
با افزایش گسترش استفاده از فضای تبادل اطلاعات، بایستی موضوع امنیت در این فضا بیش از گذشته مورد توجه قرار گیرد. این فضا در معرض چالشها، آسیبها و تهدیدهای گوناگونی نظیر تخریب بانکهای اطلاعاتی، حملات مختلکنندهی خدمات، شنود، خرابکاری، نقض حریم خصوصی و … قرار دارد و نپرداختن یا رویکرد نادرست به امنیت این فضا، خسارت جبرانناپذیر مادی و معنوی وارد خواهد آورد.
ارزیابی امنیتی یا Penetration Testing، یك عمل مجاز، برنامهریزی شده و سیستماتیك برای ارزیابی امنیت یک شبکه (شامل تجهیزات فعال و غیرفعال شبکه، سرویسدهندهها، سرویسگیرندهها، برنامههای کاربردی و …) است كه از طریق شبیهسازی حمله یك هكر یا نفوذگر خرابكار صورت میگیرد. کلیه متخصصان امنیت در حوزه فناوری اطلاعات بر این باورند که تنها روش اطمینان یافتن از امن بودن شبکههای رایانهای و زیرساختهای ارتباطی و سامانههای اینترنتی، انجام عملیات ارزیابی امنیتی (آزمون نفوذپذیری) است. ارزیابی امنیتی یکی از فعالیتهای اصلی این مرکز بوده و تیمی با نام تیم ارزیابی در واحد فنی و عملیات این مركز وجود دارد. سه دسته فعالیت توسط اعضای تیم ارزیابی در واحد فنی و عملیات این مركز انجام میشود: ارزیابی زیرساخت: این فعالیت شامل بررسی تنظیمات سختافزار، نرمافزار، مسیریابها، firewallها، serverها و سیستمهای desktop برای حصول اطمینان از این است که این تنظیمات مطابق با سیاستهای سازمان و تنظیمات استاندارد صورت گرفته است.
تست نفوذ: در این فعالیت امنیت یک سازمان با انجام حملات طراحی شده بر روی سیستمها و شبکه به منظور شناخت نقاط آسیبپذیر بررسی و ارزیابی میشود. قبل از انجام تست نفوذ لازم است موافقت مدیریت سازمان حاصل شده باشد زیرا ممکن است انجام برخی از این تستها توسط سازمان منع شده باشد.
پویش: در این فعالیت از ابزارهای پویش ویروسها یا آسیبپذیریها استفاده میشود تا سیستمها و یا شبکههای آلوده یا آسیبپذیر تشخیص داده شوند.
شرکت دانش بنیان فناوری اطلاعات رجاء با داشتن دانش فنی و متخصصین لازم در حوزه تحلیل و مدل سازی فرآیندهای سازمانی و با تکیه بر خط تولید نرم افزار خود (SLP) شامل واحدهای طراحی، معماری نرم افزار، برنامه نویسی و تست نرم افزار آمادگی دارد براساس فرآیندهای اختصاصی سازمانها و با لحاظ کردن اهداف و استراتژیهای آنها نرم افزار سفارشی مورد نیاز سازمانها را طراحی و پیاده سازی نماید.
متخصصین شرکت مطابق با استانداردهای مهندسی نرم افزار و الگوهای بین المللی که براساس فرهنگ کسب و کار ایرانی بومی سازی شده است، ابتدا فرآیندها و دستورالعملهای سازمان را شناسایی و تحلیل کرده (As Is) و پس از مقایسه با روش های جهانی و داخلی (Best Practice)، فرآیندهای بهینه سازی شده مطلوب (To be) را ارائه می کنند.
پس از تائید فرآیندهای مطلوب، با استفاده از زیرساخت دانش بنیان تولید نرم افزار شرکت بهینه، طراحی و تولید نرم افزار انجام شده و ضمانت اجرایی فرآیندها همراه با یکپارچگی اطلاعات در نرم افزار تولید شده فراهم میگردد.
SOC کوتاه شده ی عبارت Security Operation Center و به معنای مرکز عملیات امنیت می باشد. در واقع مرکز عملیات امنیت (SOC) مجموعه ای است که با پایش تمامی فعالیت های ورود و خروج شبکه (LOG) ، تمامی رخداد های امنیتی را جمع آوری و تحلیل میکند و در صورت برخورد با مخاطرات امنیتی با تولید هشدارهای امنیتی و انجام اقدامات مناسب مانع از به خطر افتادن امنیت سازمان شما می شود.
چه سازمان هایی به SOC نیاز دارند؟
برقراری امنیت فقط برای بانک ها و سازمان های مهم و ضروری نیست زیرا دسترسی به اطلاعات محرمانه ی هر سازمان و یا تجارتی می تواند خسارت های جبران ناپذیری را رقم بزند. امروزه با افزایش قدرت تهدیدات و حملات امنیتی و همچنین زیاد شدن تعداد هکر ها برقراری امنیت در سازمان ها و تجارت ها یک امر مهم و حیاتی محسوب میشود. یکی از بهترین و سریع ترین راه های تشخیص مخاطرات امنیتی، بررسی لاگ های سرورها و تجهیزات سازمان ها است که این کار توسط SOC انجام می شود. SOC میتواند حملات درحال انجام را شناسایی کند و با انجام فعالیت های مناسب جلوی اجرای حملات را بگیرد. از این رو شرکت فناوری اطلاعات رجاء پیاده سازی SOC را علاوه بر بانک ها و سازمان های بزرگ، به سازمان ها و تجارت های کوچیک نیز توصیه میکند.
مزایای استفاده از SOC :
از مزایای ایجاد و راه اندازی مرکز عملیات امنیت (SOC) می توان به موارد زیر اشاره کرد:
پايش امنيتی تجهيزات، شبكههاي ارتباطي و رايانهها، به صورت 7/24
نقطهی تماس متمرکز براي رسيدگي به مشکلات امنيتي کاربران و راهبران شبکه
جمعآوري و آناليز ترافيک شبکه و توليد گزارشات امنيتي در سطوح مختلف
شناسایی تهدیدات و حملات امنیتی در کمترین زمان ممکن
پاسخدهي به مشکلات و رخدادهاي امنيتي
مدیریت و پایش لحظه ای تهدیدات
کاهش هزينههاي مديريت امنيت شبکه
وظایف اصلی ای که SOC انجام می دهد :
محافظت فعالانه و شبانه روزی از شبکه
مدیریت آسیب پذیری ها
مدیریت لاگ های تولید شده در شبکه به وسیله ی راهکارهای امنیتی
آگاهی بلادرنگ از تهدیدات امنیتی
فناوری اطلاعات رجاء از معدود مراکز داخل کشور است که توانایی و تجربه پیادهسازی مراکز عملیات امنیت را در سطوح مختلف سازمانی و فراسازمانی را داراست.
همه روزه اخبار جدیدی در مورد نشت اطلاعات ، تهدیدات کامپیوتری و سو استفاده کاربران منتشر می شود این گونه اشتباهات غالبا به دلیل عدم کنترل و نظارت برسیستم های کامپیوتری رخ می دهد در گذشته بسیاری از حملات با هدف تخریب اتفاق افتاده اند. اما با گذشت زمان و ورود به عصر اطلاعات و ارتباطات هدف حملات نیز تغییر کرده است . امروزه تلاش مهاجمین در راستای دستیابی به اطلاعات سازمانی است . بسیاری از گزارشگران و مشاوران هزینه های امنیتی را تا میلیاردها دلار برآورد کرده اند . با توجه به افزایش کاربران سیستم های اطلاعاتی دسترسی آسان به اطلاعات و رشد و فرایند کاربران مطلع تعداد سو استفاده ها از فن آوری و انواع تهدیدها افزایش یافته است گسترش این نوع حملات لزوم تشکیل تیم امنیتی و یک نرم افزار امنیتی کاملا بومی و مستقل را پیش از پیش مشخص می نماید.
سامانه ی جلوگیری از نشت اطلاعات (DLP) چیست؟
DLP کوتاه شده ی عبارت Data Loss Prevention و به معنای سامانه ی جلوگیری از نشت اطلاعات می باشد. در سامانه ی جلوگیری از نشت اطلاعات (DLP) اطلاعات حساس به وسیله ی محیط های ابری و دستگاه های قابل حمل مانند موبایل، تبلت، لپتاپ از محیط شبکه خارج میشوند و در نتیجه سارقان با حمله به شبکه ی شما نمی توانند به این اطلاعات مهم دسترسی پیدا کنند. در ادامه به بررسی دقیق تر ویژگی های DLP و مزایای استفاده از آن خواهیم پرداخت.
مزایای DLP :
شما میتوانید به وسیله ی موبایل، تبلت و لپتاپ خود در هر زمان و هر مکان که هستید به اطلاعات خود دسترسی پیدا کنید.
میتوانید اطلاعات کاربران داخلی و خارجی شبکه خود را مانیتور کرده و در هر زمان آن ها را مشاهده و بررسی نمایید.
DLP امنیت شبکه شما را افزایش داده و مانع از به سرقت رفتن اطلاعات مهم شما میشود.
امکان برقراری ارتباط بین اعضای شبکه به صورت امن.
امکان استفاده از بیش از 60 سیاست امنیتی آماده و ساخت سیاست امنیتی جدید مخصوص سازمانتان.
امکان مدیریت و رسیدگی به رخداد های سرور با استفاده از یک کنسول تحت وب.
اجزا تشکیل دهنده
سرور گزارش گیری و رویداد نگاری
سرور مدیریت کلید های رمز نگاری
سرور پایگاه داده
سرور SFTP
کنسول مدیریت و راهبردی
عامل کلاینتی
امکانات امنیتی
تعیین سطح دسترسی به منابع اطلاعاتی بر اساس نقش افراد، سطح حساسیت داده و خط مشی امنیتی سازمان
امکان تعریف و اعمال سیاست های گروهی در محیط های workgroup / domain
کنترل تمام درگاه های سخت افزاری سیستم های انتهایی
اعمال انواع سیاست های امنیتی بر روی دیسک ها، برنامه کاربردی و فایل ها
رمزنگاری انواع فایل ها و دستگاه ها به صورت نامحسوس و الگوریتم رمز نگاری خاص بومی و غیرقابل بازگشت با استفاده از ویژگی application protection
رمز نگاری فایل های ارسالی و دریافتی توسط ایمیل و کنترل ایمیل ها بر اساس نوع و پسوند فایل های پیوست شده
تعیین / تعریف انواع الگوریتم رمز نگاری خاص برای هر گروه
تعیین مجوز رمزگشایی برای کاربران
تهیه پشتیبان از کلیه فایل های موجود بر روی دستگاه ها پیش و پس از رمز نگاری
کنترل و ردیابی چاپگرها با توجه به سطوح دسترسی مختلف ، نام چاپگر ، برنامه های کاربردی مرتبط کاربران ، زمان چاپ ، ip ، mac و …
قابلیت نشانه گذاری و ردیابی
انتقال کلیه داده ها بین کلاینت ها و سرور / سرور ها با پروتکل SSL
قابلیت استفاده از سیاست های امنیتی آماده
قابلیت ساخت سیاست امنیتی جدید متناسب با نیاز های سازمان خود در سامانه جلوگیری از نشت اطلاعات (DLP)
امکانات مدیریتی سامانه جلوگیری از نشت اطلاعات DLP
امکان گزارش گیری از نوع و نام چاپگر ، زمان چاپ ، تعدادصفحات چاپ شده ، کاربر و …
تعریف لیست سیاه و سفید از چاپگر ها، انواع دستگاه های ذخیره سازی و دیگر سخت افزار ها، انواع برنامه های کاربردی
تهیه خودکار فهرستی از دارایی های نرم افزاری و سخت افزاری سازمان و فهرستی از سخت افزار های مجاز و ثبت تغییرات آن ها
ثبت و جستجوی سیستم ها بر اساس تاریخ ، زمان و محدودیت آن ها
تولید گزارشات کامل از فایل های ارسالی و دریافتی در سامانه ایمیل
اعمال تنظیمات شبکه بر روی کلاینت ها
مدیریت وصله ها، سرویس ها، درایورها و اشتراک گذاری داده ها
کنترل انتقال اطلاعات در شبکه
دسته بندی نرم افزار ها بر اساس دسترسی به شبکه اینترنت
ثبت ترافیک آپلود و دانلود شبکه به تفکیک اینترانت و اینترنت و بر اساس UDP ، TCP و ICMP
مدیریت کنترل کلیه تنظیمات شبکه ، IP و PROXY
تهیه و نمایش گزارشات جامع و بلادرنگ از URL ها و تهیه فهرست های سیاه و سفید از صفحات وب
امکان تعریف چندین مدیر در سطوح و لایه های کاربردی مختلف
ارسال پیام های اخطار و هشدار در صورت نقض سیاست ها به مدیر از طریق ایمیل ، پیام کوتاه ، پیام صوتی اجرای یک برنامه و …
امکان ارسال پیام های سفارشی به کاربران مطابق با سیاست های اعمالی به کاربران
گزارش نقاط آسیب پذیری کلاینت ها
دسترسی به کامپیوتر ها و کاربران گروه ها و امکان دسترسی راه دور به کلاینت ها از طریق کنسول مرکزی
تعیین محدوده زمانی مجاز برای روشن کردن و ورود به سیستم و تعیین میزان مجاز استفاده از منابع سیستم برای هر نرم افزار
امکان گرفتن عکس از صفحه نمایش کاربر در زمان مشخص و براساس یک رویداد خاص
مشاهده و اعمال تغییرات بر روی انواع کلاینت ها
مدیریت و شروع به کار دوباره و حالت خواب سیستم ها
کنترل و نظارت بر فعالیت کاربران در سرتاسر فرایند تولید انتقال پردازش و تغییر محتوای داده
اعمال سیاست های هشداری و نظارتی براساس تغییرات سخت افزاری و نرم افزاری
https://rajaco.com/wp-content/uploads/2020/09/dlp.png413525فرهادی مهرانhttps://rajaco.com/wp-content/uploads/2020/09/logo-03-300x104.jpgفرهادی مهران2020-09-25 22:10:032021-01-07 21:27:29سامانه جلوگیری از نشت اطلاعات DLP