کنترل دسترسی

تذاتدذ

شامل محدودیت‌های دسترسی به سیستم‌ها و محافظت از اطلاعات می‌شوند. نمونه‌هایی از انواع این کنترلها عبارتند از رمزگذاری، کارت‌های هوشمند، لیستهای کنترل دسترسی و پروتکلهای انتقال.

این کنترلها باعث یکی شدن محافظان با ساختمان امنیتی می‌شوند، به عنوان مثال قفل کردن درها، امن‌سازی اتاق‌های سرور، محافظت از کابلها، جداسازی وظائف و پشتیبان‌گیری از فایل‌ها را می‌توان ذکر کرد.

کنترلها پاسخگوئی اشخاصی را که به اطلاعات حساس دسترسی دارند را تأمین می‌کند. این پاسخگوئی از طریق مکانیزمهای کنترل دسترسی تکمیل می‌گردد که نیازمند شناسائی و صدور مجوز و توابع ممیزی می‌باشد. این کنترلها باید با سیاست‌های امنیتی سازمان مطابق باشند.

رویه‌های تضمین باعث می‌شوند که مکانیزمهای کنترلی، سیاست امنیتی را در کل چرخه حیات سیستم‌های اطلاعاتی به درستی پیاده‌سازی نمایند.

در استاندارد ISO ۱۷۷۹۹ مجموعاً ۱۰ دامنه وجود دارد که هر کدام پیرامون بخشی از حوزه‌های امنیت تدوین شده‌اند. هر دامنه دارای چندین کنترل است. کنترل دسترسی ششمین آنهاست.

مبحث کنترل دسترسی (کنترل دسترسی) یکی از دامنه‌های مورد نظر در استاندارهای امنیت اطلاعات (از جمله ایزو ۱۷۷۹۹ و BS-۷۷۹۹) می‌باشد. واضح است که در بازرسی‌ها و ممیزی‌هایی که از یک سازمان به عمل می‌آید تا میزان امن بودن آن سازمان سنجیده شود (مثلاً مطابق با استاندارد ممیزی ایزو ۲۷۰۰۱) این دامنه را نیز تحلیل خواهند کرد. اما جدای از این مورد، کنترل دسترسی تقریباً در تمام سازمان‌ها از اهمیت ویژه‌ای بر خوردار است. در اغلب سازمان‌ها وقتی در اجرای دامنه‌های ایزو ۱۷۷۹۹ بحث محدودیت مالی و منابع پیش آید و نیاز به رتبه‌بندی و اولویت سنجی دامنه‌ها باشد، دامنه کنترل دسترسی غالباً رتبه «ارحج‌ترین» را می‌گیرد.

مجوز دسترسی موضوع به یک شیء بستگی به برچسبها، که نمایان‌کننده اختیار و کلاسه بندی یا حساست شیء می‌باشد. برای مثال مستندات طبقه‌بندی شده نظامی به غیرسری، کمی محرمانه، محرمانه و خیلی سری. به همین نحو، یک شخص می‌تواند یک اختیار کمی محرمانه، محرمانه یا خیلی محرمانه داشته باشد تا به اطلاعات طبقه‌بندی شده مرتبط با محدودیت‌های تعیین شده، دسترسی داشته باشد.

این محدودیت این است که اشخاص باید یک نیاز برای آگاهی مرتبط با مستندات طبقه‌بندی شده درگیر را داشته باشند. بنابر این، مستندات باید برای اشخاص به جهت تکمیل وظایف مرتبط ضروری باشند.

تا زمانی‌که اشخاص مطابق با طبقه‌بندی موردنیاز مشخص نشده‌اند نباید به اطلاعات دسترسی داشته باشند.

کنترل دسترسی برمبنای قانون یک نوع از کنترل دسترسی اجباری است زیرا این کنترل بر اساس قوانین تشخیص داده می‌شود و نه به تنهایی توسط موجودیت موضوعات و اشیأ به تنهایی.

موضوع اختیار لازم به همراه محدودیت‌های مسلم برای مشخص کردن اینکه کدام اشیأ دسترس پذیر هستند را دارد. برای مثال لیستهای کنترل دسترسی قابل استفاده هستند.

این نوع از کنترل دسترسی یه صورت محلی، در موقعیتهای پویایی که موضوعات باید احتیاطهایی برای مشخص کردن اینکه به چه منابعی کاربران مسلمی مجاز برای دسترسی هستند، بکار می‌رود.

زمانیکه یک کاربر با محدودیت‌های مسلم، حق جابجایی کنترل دسترسی به اشیأ مسلمی را دارد، این اصطلاح بکار می‌رود: کاربر هدایت شده با دسترسی احتیاطی یک کنترل دسترسی براساس موجودیت یک نوع از کنترل دسترسی احتیاطی است که برمبنای موجود یا اشخاص می‌باشد. در بعضی نمونه‌ها، یک رویکرد پیوندی بکار می‌رود، که ترکیبی از قابلیت‌های کنترل دسترسی احتیاطی بر مبنای کاربر و بر مبنای موجودیت می‌باشد.

یک اختیار مرکزی مشخیص می‌کند که چه موضوعاتی می‌توانند دسترسی به اشیأ مسلمی بر مبنای سیاست امنیتی سازمان داشته باشند. کنترلهای دسترسی ممکن است برمبنای نقش اشخاص در سازمان یا در پاسخگویی‌های موضوع و وظایف باشند. در یک سازمانی که تغییرات دائمی پرسنل را داریم، کنترل دسترسی غیراحتیاطی مفید است زیرا کنترل دسترسی بر اساس نقش اشخاص یا سمت در سازمان می‌باشد. این کنترل دسترسی هروقت که پرسنلی دارای نقشی دیگر می‌شود نیاز به تغییر ندارد.

نوع دیگری از کنترل دسترسی غیراحتیاطی کنترل دسترسی برمبنای شبکه(lattice-based) می‌باشد. در این نوع کنترل، یک مدل شبکه‌ای بکار رفته‌است. در یک مدل شبکه‌ای زوجی از اجزا موضوع و شیء می‌باشند و موضوع بیشترین کران پایین و کمترین کران بالای حق دسترسی به شیء را دارد.

در این نوع، اهمیت بر اساس مکانیزمهای «نرم» که پشتیبان اهداف کنترل دسترسی است، می‌باشد. این مکانیزمها شامل سیاست‌های سازمانی و رویه‌ها، موافقت نامه‌های کارمندان، رویه‌های اختتامیه کارکنان به صورت دوستانه یا غیر دوستانه، زمانبندی تعطیلات، برسب بر روی مواد حساس، آگاهی‌های رفتاری و رویه‌های نشانه‌گذاری برای حصول شبکه‌ها و سیستم‌های اطلاعاتی و… می‌باشند.

این نوع، از تکنولوژی به منظور اچبار سیاست‌های کنترلی استفاده می‌کند. این کنترلهای فنی همچنین به عنوان کنترلهای منطقی شناخته می‌شود و می‌توانند در سیستم‌عامل، نرم‌افزارهای کاربردی یا در سخت‌افزارها یا نرم‌افزارهای الحاقی گذاشته شوند.

بعضی از انواع کنترلهای ممانعت/ فنی شامل پروتکلها، کدگذاریها، کارت‌های هوشمند، بیومتریکها (برای اخذ مجوز)، بسته‌ای نرم‌افزاری کنترل دسترسی از راه دور، رمزها، منوها، پوسته‌ها، بانک‌های اطلاعاتی، نرم‌افزارهای تشخیص ویروس می‌باشند.

پروتکلها، کدگذاریها، کارت‌های هوشمند مکانیزمهای فنی برای محافظت اطلاعات و رمزها از افشاسازی می‌باشند.

بیومتریکها در تکنولوژیهایی نظیر اثرانگشت، شبکیه چشم، و جستجوی عنبیه برای اخذ مجوز از اشخاص برای دسترسی به منابع بکار می‌روند.

تعداد زیادی از سنجه‌های مانع / فیزیکی قابل حس و درک هستند. این سنجه‌ها به عنوان محدودکننده دسترسی فیزیکی به نواحی ای که اطلاعات حساس سیستم نگهداری می‌شود. نواحی مورد محافظت قرار گرفته توسط یک فضای امنیتی حلقوی تعریف می‌شود که تحت نظرکنترل دسترسی می‌باشد.

کنترلهای ممانعت/ فیزیکی شامل: حفاظها، امضاءها، درهای چندگانه (به عنوان مثال وجود چندین در پشت هم که در صورت ورود به یکی با درهای دیگر مواجه می‌شویم)، سیستم ورودی کارت‌های مغناطیسی، بیومتریکها به منظور تعیین صلاحیت، گاردها، سگها، سیستم‌های کنترل محیط (مانند درجه حرارت، رطوبت و…)، و ساختمان و نواحی دسترسی.

سنجه‌های ممانعت/ فیزیکی همچنین برای نواحی که برای پشتیبان‌گیری فایل‌ها بکار می‌روند، کاربرد دارد.

تعداد زیادی از کنترل‌های این نوع با کنترل‌های مانع / راهبر همپوشانی دارند و این همپوشانی میتواتند در ممانعت از تخلفات سیاست امنیتی آینده یا تشخیص تخلفات موجود، ظاهر گردد. نمونه‌هایی از این کنترل‌ها سیاست‌های سازمان و رویه‌ها، زمانبندی تعطیلات، برچسب‌گذاری مواد حساس و… می‌باشند. کنترلهای اضافی تشخیص دهنده/ راهبری شامل گردش کار؛ تسهیم مسئولیت‌ها و بررسی رکوردهای ممیزی هستند.

سنجه‌های کنترلی تشخیص دهنده/ فنی به منظور آشکارسازی تخلفات ناشی از سیاست امنیتی با کاربری فنی بکار می‌روند. این سنجه‌ها شامل موارد سیستم‌های تشخیص حمله و گزارشات خودکار تخلفات از اطلاعات ارزیابی شده می‌باشند. این گزارشات می‌توانند واریانسهایی از عملیات نرمال نمایان سازند یا تشخیص امضاهای دسترسی‌های غیرمجاز را داشته باشند.

کنترلهای تشخیص دهنده/ فیزیکی معمولاً نیازمند نیروی انسانی برای ارزیابی ورودی از سنسورها یا دوربینها برای تشخیص تهدیدها و حملات موجود می‌باشند. بعضی از انواع این کنترلها تشخیص دهنده حرکت و جنبش هستند یا تشخیص دهنده‌های حرارتی و دوربینهای ویدئویی می‌باشند.