امنیت اطلاعات در رایانش ابری

امنیت اطلاعات که به اختصار infosec نیز نامیده می شود، مجموعه ای از استراتژی ها برای مدیریت فرابند ها ، سیاست ها و ابزارهایی است که تهدیدات دیجیتالی اطلاعات را شناسایی می کند و جلوی آنها را می گیرد.

وظیفه امنیت اطلاعات در رایانش ابری، اعمال مجموعه ای از فرایند های کسب و کار برای محافظت از دارایی های اطلاعات است.

امنیت اطلاعات از یک مثلث به نام CIA نشات می گیرد :

Confidentiality (محرمانه بودن)

Integrity (یکپارچه بودن)

Availability (در دسترس بودن)

بسیاری از سازمانهای بزرگ، تیمی را برای پیاده سازی و نگهداری برنامه امنیت اطلاعات سازمان استخدام می کنند. تیم امنیت ، مسئولیت مدیریت ریسک را نیز بر عهده دارند که  یک فرایند که از طریق آن آسیب پذیری ها و تهدیدات به دارایی های اطلاعاتی به طور مداوم ارزیابی می شود و کنترل های محافظتی مناسب بر روی آن اتخاذ و اعمال می شود. ارزش یک سازمان به ارزش  اطلاعات آن است. امنیت آن برای عملیات کسب و کاربسیار حیاتی است، همچنین حفظ اعتبار و کسب اعتماد مشتریان است. تهدیدات به اطلاعات حساس و خصوصی در اشکال مختلف نمود پیدا می کنند مانند انواع بدافزار و حملات فیشینگ، سرقت هویت و خرابکاری. برای جلوگیری از حمله کنندگان و کاهش آسیب پذیری ها در نقاط مختلف، کنترل های امنیتی متعددی به عنوان بخشی از یک استراتژی دفاعی لایه لایه در نظر گرفته شده و هماهنگ شده اند. این مورد باید تاثیر حمله را به حداقل برساند. برای آمادگی  نقض امنیت، گروه های امنیتی باید یک طرح واکنش حادثه (IRP) داشته باشند.این امر به آنها اجازه می دهد که آسیب را محدود کنند، علت را حذف کرده و کنترل های دفاع روز افزون را اعمال کنند.

فرآیندهای امنیتی اطلاعات و سیاستها معمولا شامل اقدامات امنیتی فیزیکی و دیجیتال برای محافظت از داده ها از دسترسی غیر مجاز، استفاده، تکرار یا نابودی است. این اقدامات شامل موارد زیر می باشد: مدیریت کلید های رمزنگاری، سیستم های تشخیص نفوذ شبکه، سیاست های رمز عبور و انطباق قانونی. ممیزی ممکن است برای ارزیابی توانایی سازمان برای حفظ سیستم های ایمنی علیه مجموعه ای از معیارهای تعیین شده انجام شود.مشاغل در حوزه امنیت اطلاعات در عناوین خود متفاوت است، اما برخی از نامگذاری های رایج عبارتند از: افسر امنیت عمومی (CSO)، افسر امنیت اطلاعات (CISO)، مهندس امنیت، تحلیلگر امنیت اطلاعات، مدیر سیستم های امنیتی و مشاور امنیتی فناوری اطلاعات.

اجزای پایه امنیت اطلاعات:

۱٫ محرمانگی:

محرمانه بودن پنهان سازی اطلاعات یا منابع است. نیاز به نگهداری اطلاعات با استفاده از رایانه در زمینه های حساس مانند دولت و صنعت ناشی می شود. به عنوان مثال، نهادهای نظامی و غیر نظامی در دولت اغلب دسترسی به اطلاعات را برای کسانی که به این اطلاعات نیاز دارند محدود می کنند. نخستین کار رسمی در امنیت  اطلاعات، تلاش نیروهای نظامی برای اجرای نظم «نیاز به دانستن» بود. این اصل همچنین در مورد شرکت های صنعتی نیز صادق است، که طرح های اختصاصی خود را ایمن نگه می دارد تا رقبای خود سعی نکنند طرح ها را سرقت کنند. به عنوان نمونه ای دیگر، همه نوع مؤسسات رکورد پرسنل را مخفی نگه می دارند.مکانیزم کنترل دسترسی از محرمانه بودن حمایت می کند. یک مکانیزم کنترل دسترسی برای حفظ محرمانه بودن، رمزنگاری است که اطلاعات را به صورت غیر قابل درک محفوظ نگه می دارد. یک کلید رمزنگاری دسترسی به داده های رمزگذاری نشده را کنترل می کند، اما پس از آن کلید رمزنگاری خود را تبدیل به یک پایگاه داده دیگر برای محافظت می کند.

۲٫ یکپارچگی:

یکپارچگی به اعتبار داده ها یا منابع اشاره دارد و معمولا از لحاظ جلوگیری از تغییر نامناسب یا غیر مجاز است. یکپارچگی شامل یکپارچگی داده ها (محتوای اطلاعات) و یکپارچگی منبع (منبع داده ها، اغلب احراز هویت می شود). منبع اطلاعات ممکن است بر دقت و اعتبار آن و اعتماد مردم در اطلاعات قرار گیرد. این دوگانگی را نشان می دهد که جنبه ی یکپارچگی شناخته شده به عنوان اعتبار، برای عملکرد مناسب یک سیستم مهم است.مکانیزمهای یکپارچگی به دو دسته تقسیم می شوند: مکانیسم های پیشگیری و مکانیزم های تشخیص.سازوکارهای پیشگیرانه به دنبال حفظ یکپارچگی داده ها با مسدود کردن تلاش های غیر مجاز برای تغییر داده ها و یا هر گونه تلاش برای تغییر داده ها در روش های غیر مجاز است. تمایز بین این دو نوع تلاش مهم است. اولین رخ می دهد زمانی که یک کاربر تلاش می کند تا داده هایی را تغییر دهد که او مجاز به تغییر نیست. این اتفاق می افتد زمانی که یک کاربر مجاز به ایجاد تغییرات خاص در داده ها تلاش می کند تا داده ها را به شیوه های دیگر تغییر دهد. به عنوان مثال، فرض کنید یک سیستم حسابداری بر روی رایانه است. کسی وارد سیستم می شود و تلاش می کند اطلاعات حسابداری را تغییر دهد. سپس یک کاربر غیر مجاز تلاش کرد تا یکپارچگی پایگاه داده حسابداری را نقض کند. اما اگر یک حسابدار استخدام شده توسط شرکت برای نگهداری این کتاب تلاش کند پول خود را با فرستادن آن در خارج از کشور و پنهان کردن تراکنش های پولی، یک کاربر (حسابدار) سعی کرده است داده ها (داده های حسابداری) را به شیوه های غیر مجاز تغییر دهد (با حرکت دادن آن به یک حساب بانکی سوئیس) احراز هویت صحيح و کنترل دسترسی عموما مانع ورود به داخل از خارج می شود، اما جلوگیری از نوع دوم تلاش مستلزم کنترل های بسیار متفاوت است.

مکانیزم های تشخیص سعی نمی کنند از نقض صحت جلوگیری کنند؛ آنها به سادگی گزارش می دهند که یکپارچگی داده ها دیگر قابل اعتماد نیست. مکانیزم های تشخیص می توانند رویدادهای سیستم (کاربر یا اقدامات سیستم) را برای تشخیص مشکلات یا (به طور معمول) ممکن است داده های خود را تجزیه و تحلیل کنند تا ببینند آیا محدودیت های مورد نیاز یا انتظار می رود هنوز هم وجود دارد. این مکانیزم ها می توانند علت واقعی نقض یکپارچگی را گزارش کنند (بخش خاصی از یک فایل تغییر یافته)، یا ممکن است به سادگی گزارش دهند که فایل در حال حاضر فاسد است.کار یکپارچگی بسیار متفاوت از کار محرمانگی است. با محرمانه بودن، داده ها یا به خطر می افتند یا خیر، اما یکپارچگی شامل صحت و اعتبار داده ها است. منشاء داده ها (چگونه و از چه کسانی به دست می آید)، اینکه چگونه اطلاعات قبل از ورود به دستگاه فعلی محافظت شد، و اینکه چگونه داده ها بر روی دستگاه فعلی محافظت می شوند، بر تمامیت داده ها تأثیر می گذارد. بنابراین، ارزیابی یکپارچگی اغلب بسیار دشوار است، زیرا بر پیش فرض ها درباره منبع داده ها و اعتماد به آن منبع، دو پایه امنیتی که اغلب نادیده گرفته می شود، تکیه می کند.

۳٫ دسترس پذیری:

در دسترس بودن به توانایی استفاده از اطلاعات یا منابع مورد نظر اشاره دارد. در دسترس بودن یک جنبه مهم قابلیت اطمینان و همچنین طراحی سیستم است، زیرا سیستمی که  در دسترس نیست به همان اندازه بد است که هیچ سیستمی وجود ندارد. جنبه در دسترس بودن مربوط به امنیت این است که کسی ممکن است عمدا ترتیب دهد که دسترسی به داده ها یا سرویس را از طریق دسترسی غیرمجاز به آن ممنوع کند. طرح های سیستم معمولا مدل آماری را برای تجزیه و تحلیل الگوهای مورد انتظار استفاده می کنند و مکانیزم های اطمینان در دسترس بودن زمانی که این مدل آماری را نگه می دارد. کسی ممکن است بتواند از استفاده (یا پارامترهایی که از استفاده از کنترل نظیر ترافیک شبکه استفاده می کنند) دستکاری شود، بنابراین فرضیه های مدل آماری دیگر معتبر نیستند. این بدان معنی است که مکانیسم نگهداری منابع یا داده های موجود در محیطی که برای آنها طراحی نشده است، کار می کنند. در نتیجه، اغلب آنها شکست خواهند خورد.تلاش برای جلوگیری از دسترسی به خدمات، به نام حملات انکار سرویس، می تواند برای تشخیص سخت تر باشد، زیرا تحلیلگر باید تعیین کند که آیا الگوهای دسترسی غیرمعمول مربوط به دستکاری عمدی منابع یا محیط هستند. پیچیدگی این تعیین ماهیت مدل های آماری است. حتی اگر مدل به طور دقیق محیط را توصیف کند، حوادث غیرمعمول به سادگی به ماهیت آمار کمک می کند. یک تلاش عمدی برای ایجاد یک منبع در دسترس نیست ممکن است به یک رویداد غیر معمول تبدیل شود. در برخی از محیط ها ممکن است حتی غیرعادی نباشد.