مشاوره پیاده سازی طرح امن سازی زیرساخت

امنیت دشوار است، امنیت گران قیمت است . این دو عبارت بازگو کننده نظرات افرادی است که برای ارتباطات الکترونیکی خود نیاز مبرم به امنیت را دریافته اندو به دنبال آن هستند. کلمه “امنیت شبکه های تجاری” یا “Enterprice network security” با افزایش درک شرکتها از ریسک‌های موجود و همچنین توسعه نرم افزارهای کاربردی در محاورات متداول تر شده است.گرچه جمله ذیل در ابتدا ممکن است نگران کننده باشد، اما حقیقتی است انکار ناپذیر اینکه “امنیت مطلق وجود ندارد” زیرا: تنظیمات تجهیزات ناکافی است، حملات جدیدی طراحی می شوند و نرم افزارها باگ‌های امنیتی دارند که لازم است به آن‌ها پرداخته و رفع گردد. بهترین کارهایی که هر شرکت می تواند انجام دهد عبارتند از تشخیص ریسک‌ها و تهدیدات امنیتی و نقاط ضعف ها، تصمیم گیری بر این موضوع که چه موارد بحرانی وجود دارد، سپس پیاده سازی سیاست‌های امنیتی است با کارآیی بالا و مطلوب. همچنین این مسئله مهم است که تحقیق و بررسی شود که آیا سیاست‌های امنیتی بدرستی اجرا می‌شوند که این امر متضمن مونیتورینگ و نظارت فعال ترافیک روی شبکه و انجام بررسی دوره ای مجوزهای امنیتی است. امنیت شبکه موضوعی است پیچیده. این مساله تا حدودی ناشی از وفور تکنولوژی‌های امنیتی قابل دسترس می‌باشد. در اینجاست که برای شروع پیاده سازی استراتژی‌های امنیتی، با توجه به امکانات قابل دسترس و تشخیص تهدیدات بالقوه و بالفعل باید با تکیه بر مشاورین متخصص سریعاً اقدام نمود.

حفاظت از زیرساخت‌­های حیاتی ملی برای ایجاد جامعه‌ای امن، ایمن و مقاوم در قبال حملات سایبری و سایر مخاطرات طبیعی و انسانی امری ضروری است. در این راستا زیرساخت‌های حیاتی نیازمند سازوکارهایی برای حفظ محرمانگی، یکپارچگی و دسترس‌پذیری دارایی­‌های خود می­‌باشند. با توجه به نوپایی مفهوم امنیت فضای تولید و تبادل اطلاعات و با عنایت به میزان تأثیر آن بر امنیت ملی کشور، پرداختن به این موضوع و نهادینه‌­سازی آن به‌عنوان یک ضرورت و اولویت تلقی می­‌شود.

مرکز مدیریت راهبردی افتای ریاست جمهوری در اسفندماه سال ۹۷ نسخه جدید طرح امن سازی زیرساخت‌های حیاتی در قبال حملات سایبری را به تمامی دستگاه‌های اجرایی دارای زیرساخت حیاتی کشور ابلاغ نمود. در این مطلب تلاش شده است، خلاصه‌­ای از الزامات در نظر گرفته شده در مستند مذکور ارائه گردد. در بخش اول این مقاله مرکز مدیریت راهبردی افتا و اهداف آن معرفی شده و در ادامه به الزامات و مخاطبین طرح که پیاده ­سازی موارد برای آن­ها الزامی است اشاره شده است.

معرفی مرکز مدیریت راهبردی افتا ریاست جمهوری

پیشینه تشکیل مرکز مدیریت راهبردی افتا به تدوین سند راهبردی افتا باز می‌گردد. در سال ۱۳۸۲ شورای عالی افتا بر اساس ضرورت‌ها، توسط دولت وقت ایجاد و ملزم به تدوین این سند برای کشور شد. سند تدوین‌­شده توسط شورای مذکور، در سال ۱۳۸۴ توسط هیئت دولت به تصویب رسید و به دستگاه‌ها ابلاغ شد.

پس از تصویب و ابلاغ سند راهبردی افتا توسط هیئت‌وزیران، مرکز مدیریت راهبردی افتا، به‌منظور برنامه‌ریزی، سیاست‌گذاری و نظارت بر حسن اجرای دستورالعمل‌های ابلاغی در دستگاه‌های اجرایی و نیز به‌عنوان دبیرخانه سند در سال ۱۳۸۶ تشکیل شد. سند راهبردی افتا که مأموریت اجرای آن توسط دولت‌های نهم، دهم و یازدهم به این مرکز محول شده است، در سال ۱۳۸۷ موردبازنگری قرار گرفت. موضوع مسئولیت مرکز در اجرای سند نیز توسط معاون اول رؤسای محترم جمهور در هر دوره، به‌منظور همکاری دستگاه‌های اجرایی به آن‌ها ابلاغ شد. در ذیل، عناوین مستندات سیر تشکیل مرکز و مأموریت‌های محوله آن ارائه شده است:

• تأسیس شورای عالی افتا – سیزدهم اسفند سال ۱۳۸۲
• تدوین سند راهبردی افتا توسط شورای عالی افتا و تصویب در هیئت محترم وزیران – سال ۱۳۸۴
• تأسیس مرکز مدیریت راهبردی افتا – سال ۱۳۸۶
• بازنگری سند راهبردی افتا و ابلاغ آن – اسفندماه ۱۳۸۷
• بخشنامه دبیر محترم شورای عالی و رئیس مرکز ملی فضای مجازی در بهمن‌ماه سال ۹۴

سیاست­های کلان مرکز مدیریت راهبردی افتا

سیاست‌های کلی این مرکز را می‌­توان در محورهای ذیل دسته‌بندی نمود:

• اشراف بر فناوری‌های نوین و بهره‌­گیری از آن‌ها
• انجام امور رگولاتوری (تنظیم مقررات)، ساماندهی، نظارت و هماهنگی حوزه افتا در سطح کشور
• بهره‌گیری از تدابیر صحیح و فنی، جهت پیشگیری از مخاطرات امنیتی، تشخیص به‌موقع، مقابله صحیح و هوشمندانه با مخاطرات
• توجه اکید به رویکردهای ایجابی در انجام مأموریت‌ها و در حد امکان دوری از رویکردهای سلبی
• امن‌سازی مدبرانه فضای تولید و تبادل اطلاعات به‌منظور عدم توقف استمرار ارائه خدمات
• انجام اقدامات حمایتی از صنعت افتای بومی کشور
• تأسیس مراکز افتا در استان‌ها با رویکرد نظارتی و کنترلی

مخاطبین طرح

مخاطب اصلی این طرح کلیه زیرساخت­‌ها و دستگاه­‌های دارای طبقه‌­بندی کشور بوده و سایر دستگاه‌­ها نیز می­‌توانند به فراخور نیاز خود از آن استفاده نمایند. آنچه در این بخش ضروری است، این موضوع است که دستگاه ما به‌عنوان یک زیرساخت حیاتی به شمار می‌­رود یا خیر. زیرساخت‌های حیاتی (Critical Infrastructure) به‌صورت کلی به آن دسته از سامانه‌ها، خدمات یا حتی عملیاتی اطلاق می‌شود که اختلال یا تخریب آن‌ها موجب تضعیف یا ناتوانی در خدمات بهداشت عمومی، تجارت و اقتصاد، امنیت ملی یا هر ترکیب دیگری از این قبیل موارد شود. این موارد شامل سازمان­‌های فعال در حوزه ارتباطات، انرژی، سامانه‌های بانکی، خطوط حمل‌ونقل، بهداشت عمومی و خدمات ضروری دولتی می‌شود.

در حال حاضر لیست مشخصی از سازمان‌­ها و دستگاه‌­های حیاتی در کشور وجود ندارد (و یا توسط نگارنده این مقاله یافت نشده است) و تصمیم‌­گیری در این خصوص معمولا بر مبنای استعلام از مرکز مدیریت راهبردی افتا صورت می گیرد. همچنین تطابق با الزامات آورده شده در این طرح، برای مخاطبین آن، به عنوان یک الزام مطرح می باشد و در صورت اقدام این مخاطبین برای ممیزی و دریافت گواهینامه ملی سیستم مدیریت امنیت اطلاعات -ISMS، علاوه بر الزامات استاندارد مرجع -ISO 27001 اجرای الزامات این طرح نیز باید مورد تایید قرار بگیرد.

خلاصه مدیریتی طرح

هدف از این طرح، تأمین امنیت فضای تولید و تبادل اطلاعات سازمان و جلوگیری از بروز اختلال در ارائه سرویس­‌های حیاتی آن است. در این طرح الزاماتی برای ایجاد، پیاده‌­سازی، نگهداری و بهبود مستمر امنیت اطلاعات در حوزه­‌های زیرساختی ارائه‌شده است. همچنین سازمان نیازمند ساختاری برای تأمین منابع انسانی و مالی به‌منظور اجرای طرح است. این ساختار متناسب با شرایط و اهداف سازمان می­‌تواند در قالب کمیته اجرای طرح یا ایجاد واحدی سازمانی باشد. تشکیل این ساختار به‌عنوان پیش‌نیازی برای اجرای سایر الزامات طرح بوده و پس از انجام اقدامات فوق در سازمان، لازم است طرح امن­‌سازی متناسب با نقشه راه اجرایی گردد. (برای کسب اطلاعات بیشتر به مقاله سازماندهی امنیت و ضرورت وجود واحد و مدیر امنیت اطلاعات – CISO رجوع شود)

نقشه راه اجرای طرح امن‌سازی

زیرساخت­‌های حیاتی لازم است بر اساس گام‌­های نقشه راه، نسبت به اجرای طرح امن سازی اقدام نمایند. گام‌­های نقشه در شکل زیر مشخص‌شده است.

الزامات طرح امن‌سازی

این الزامات، کنترل‌های حداقلی به‌منظور کاهش مخاطرات دارای اولویت در زیرساخت‌ها است و هدف از این بخش جهت‌دهی راهبردی به فعالیت‌های ملی در حوزه امنیت سایبری زیرساخت‌ها و ارائه یک نقشه راه، برای توسعه هم‌زمان امنیت سایبری در بخش‌های مختلف کشور در سال‌های پیش رو است. سطح بلوغ امنیتی مطلوب سازمان در هر یک از الزامات این طرح، می‌تواند بر اساس سطح قابل‌پذیرش مخاطرات سازمان تعیین گردیده و این سطح در برنامه عملیاتی سازمان تصریح و به تأیید مرکز افتا خواهد رسید.

مدیریت مخاطرات

راهبرد اصلی طرح امن­‌سازی زیرساخت‌های حیاتی در قبال حملات سایبری، مدیریت مخاطرات است. مدیریت مخاطرات فرآیندی مستمر است که در آن تهدیدات و آسیب‌پذیری‌های موجود در یک سازمان شناسایی و ارزیابی می‌شوند و از طریق انجام اقدامات امن‌­سازی که اولویت بیشتری دارند، مخاطرات مدیریت می‌شوند. لازمه این امر وجود یک رویکرد مدیریت مخاطرات سیستماتیک متناسب با بافتار، شرایط و مخاطرات خاص سازمان است که بدین منظور، امروزه استانداردها و روش‌های متعددی نظیر ISO/IEC 27005 ،ISO 31000 ،ISA/IEC 62443 و … چارچوب‌های مناسبی را برای مدیریت مخاطراتی که به امنیت اطلاعات لطمه می‌زند در اختیار سازمان‌ها قرار می‌دهند. سازمان باید مدیریت مخاطرات امنیت را مطابق با الزامات شکل زیر تعیین نماید.

این فرایند شامل شناخت بافتار سازمان است که شامل ساختار سازمانی، نقش‌ها و مسئولیت‌ها، خط‌مشی‌ها و … است. در این راستا باید محدوده و قلمرو فرایند مدیریت مخاطرات و معیارهای ارزیابی تعیین گردد و در گام بعد در مرحله ارزشیابی مخاطره، شناسایی مخاطره، تحلیل مخاطره و ارزیابی مخاطره صورت می‌پذیرد.

پایش و کنترل سایبری

با توسعه روزافزون فناوری اطلاعات و نیاز سازمان‌ها به استفاده از بسترهای الکترونیکی و مجازی و پیچیدگی و تنوع حملات و تهدیدات سایبری، صرفاً به‌کارگیری تجهیزات مرسوم امنیتی مانند فایروال کافی نیست، زیرا این تجهیزات هر یک به‌طور منفرد بخشی از نیازهای امنیتی سازمان را مرتفع می‌سازد. لذا به‌منظور شناسایی حملات و تهدیدات سایبری پیشرفته، استفاده از راهکارهای پایش یکپارچه و هوشمند رویدادهای امنیتی ضروری است. مطابق با الزامات این بخش سازمان باید مرکز عملیات امنیت را با استفاده از ظرفیت‌های داخل سازمان و یا با استفاده از ظرفیت سازمان بالادستی ایجاد کند.

اهداف فرآیندی در این بخش شامل موارد زیر است:

• پایش بر خط رویدادهای امنیتی که باهدف تشخیص ناهنجاری‌های ترافیکی و ممیزی انطباق عملکردها با خط‌مشی‌های امنیتی سازمان قابل انجام است.
• تحلیل عمیق رویدادهای امنیتی که پس از بررسی و صحت سنجی رویدادهای امنیتی گزارش‌شده و در صورت تأیید وقوع حادثه، راهکار پیشگیری و مقابله، تدوین و به تیم سایبری ارسال می‌گردد.
• پایش و تحلیل آسیب‌پذیری‌ها
• معماری مرکز عملیات امنیت که ضمن احصاء نیازمندی‌های فنی بخش‌های مختلف و نظارت بر طراحی، پیاده‌سازی و عملکرد مطلوب این سامانه‌­ها، راهبری، نگهداری و به‌روزرسانی آن­ها را همگام با فناوری‌های روز این حوزه بر عهده دارد.

مؤلفه فناوری در این بخش نیز شامل دو المان زیر است:

• سامانه مدیریت رویداد و اطلاعات امنیتی (SIEM)
• آزمایشگاه‌های امنیتی جهت بهبود وضعیت عملکرد مرکز عملیات امنیت

مدل عملیاتی مرکز عملیات امنیت

مدیریت حوادث سایبری (IT/OT)

آن دسته از رویدادهایی که موجب نقض اصول و سیاست‌های فضای مجازی شود، حادثه سایبری نامیده می‌شود. هدف از مدیریت حوادث سایبری، کنترل و به حداقل رساندن خسارت، حفاظت از شواهد، بازیابی سریع و مؤثر سیستم‌ها، جلوگیری از تکرار حوادث مشابه و به دست آوردن دید مناسب نسبت به تهدیدات علیه سازمان است.

مؤلفه فرآیند در مدیریت حوادث سایبری به دودسته اعلام هشدار حوادث و پاسخگویی به حوادث تقسیم می‌گردد؛ که هر دسته شامل فرایندهای داخلی و ارتباط با سایر واحدها مطابق شکل زیر است.

بخش پاسخگویی به حوادث خود نیز به سه دسته فعالیت‌های قبل از حادثه، فعالیت‌های حین حادثه و فعالیت‌های بعد از حادثه تقسیم می‌شود.

مؤلفه فناوری شامل استفاده از تجهیزات و ابزارهای بروز و کارآمد، ابزارهای تهیه ایمیج، ابزارهای بازیابی اطلاعات، ابزارهای تست و عیب‌یابی شبکه‌ها، ابزارهای مقابله با بدافزار قابل بوت و قابل‌نصب و … است.

مدیریت تهدیدات بدافزاری

امروزه بدافزارها به‌عنوان یکی از جدی‌ترین تهدیدات فضای مجازی هستند. انجام عملیات شنود و جاسوسی، سرقت، تخریب اطلاعات، تخریب سامانه‌ها، کاهش اعتبار و به خطر افتادن کسب‌وکار سازمان، بخشی از خطرات بدافزارها است.

از مؤلفه‌های تشکیل‌دهنده واحد مقابله با بدافزار می‌توان به سه مؤلفه نیروی انسانی، فرآیند و فناوری اشاره نمود.

مؤلفه نیروی انسانی شامل جذب نیروی انسانی متخصص و ماهر، تعیین نقش‌­ها و مسئولیت‌ها، تدوین و اجرای برنامه آموزشی است.

مؤلفه فرآیند شامل شناسایی و جمع‌آوری شواهد، تحلیل بدافزار، مقابله با بدافزار است.