آشنایی با مفهوم دورکاری سطح صفر در شبکه/ لزوم حفظ امنیت سامانه‌های اداری در دوران قرنطینه
به گزارش خبرنگار حوزه علم، فناوری و دانش‌بنیان گروه فناوری خبرگزاری آنا، در سریال علمی‌تخیلی مشهور دهه نود میلادی X-Files جمله‌ای روی پوستر آن دیده می‌شد: «به هیچ کس اعتماد نکنید!». اعتماد کردن گرچه در بسیاری از اوقات می‌تواند موضوع مفیدی باشد اما وقتی پای منافع نهادها و شرکت‌های بزرگ در میان باشد، اعتماد کردن ممکن است موجب ایجاد کلاهبرداری شود. همچنین وقتی به فضای برخط نگاه می‌کنیم جایی که روزانه میلیون‌ها نفر با هویت غیرواقعی پرسه می‌زنند، می‌بینیم اعتماد کردن می‌تواند ساده‌لوحانه باشد. بنابراین عقل سلیم حکم می‌کند در زندگی شغلی و شخصی‌مان، این موضع کمابیش امنیتی و ارزشمندِ اعتماد نکردن را به کار ببندیم. با این حال، برخی از کارشناسان گمانه‌زنی می‌کنند در فضای مجازی، بدون اعتماد کردن، ایجاد یک هویت فردی برخط و اعطای دسترسی به برنامه‌ها و داده‌ها پیچیده خواهد بود.
بیشتر بخوانید:
اهمیت ترویج علم به زبان ساده/ آیا مردم کوچه و بازار هم می‌توانند علمی‌ترین مباحث روز را درک کنند؟
با طولانی شدن دوران کرونا، دورکاری کارمندان به امری عادی تبدیل شده است و عده زیادی از افراد باید روزانه از طریق اینترنت در منازل خود، به فعالیت بپردازند. از این رو ناخواسته وجه جدیدی به مدل دسترسی رایانه‌ای افراد اضافه شده است. این موضوع به طور ذاتی می‌تواند امنیت سازمان‌ها را به خطر بیندازد. هر سازمان، موسسه، شرکت و... دارای یک پروفایل ریسک( risk profile) است که نمایانگر خطراتی است که آن را تهدید می‌کند. اجرای برنامه‌ها و در دسترس قرار گرفتن داده‌های حیاتی از راه دور باعث می‌شود این پروفایل ریسک نیز تغییر کند. مهمترین مسئله این است که اکنون محیط سازمان به طور قابل توجهی گسترده‌تر شده است. چندین ISP، هات‌اسپات Wi Fi، مودم‌های خانگی و گزینه‌های مختلف دستگاه‌های شخصی و.... باعث شده شناسایی کاربر نهایی دشوارتر باشد.
اما برای شناسایی هویت کارمندان دورکار، تضمین اینکه جعل هویت صورت نگرفته است، برخورداری نیروها از دسترسی صحیح به سیستم‌ها و داده‌های مورد نیازشان و اطمینان از فرمانبرداری‌شان چه باید کرد؟ آیا مدل امنیتی «اعتماد سطح صفر» مناسب است؟
اعتماد سطح صفر
اصطلاح اعتماد سطح صفر برای اولین بار توسط یک تحلیلگر در مرکز تحقیق و توسعه فارستر در سال 2010 مطرح شد. در طرح مبتنی بر اعتماد سطح صفر ایده محیطی شبکه‌ای درون یک شرکت براساس پروتکل‌های مرسوم کنار گذاشته می‌شود.
معماری اعتماد سطح صفر در سطح عملی براساس تعاریف امنیتی به ساختاری گفته می‌شود که در آن با همه کاربران به عنوان تهدیدهای بالقوه و احتمالی رفتار می‌شود و از دسترسی به داده‌ها و منابع جلوگیری به عمل می‌آید تا زمانی که کاربران به درستی و با قطعیت احراز هویت شوند.
اهمیت این موضوع به این دلیل است که با گسترش رایانش ابری، دستگاه‌های تلفن همراه و اینترنت اشیا، دیگر مرزهای سنتی شبکه مخدوش شده است. اعتماد سطح صفر اعتماد اولیه‌ای را برای سیستم‌ها، داده‌ها یا حساب‌های کاربری بر اساس موقعیت فیزیکی(مانند داخل شبکه شرکت) یا مالکیت دارایی(دستگاه عرضه‌شده توسط شرکت) در نظر نمی‌گیرد. برای مثال اگر در منزل خود با لپ‌تاپ شرکت وارد سیستم شوید همچنان صد در صد به عنوان نیروی آن شرکت شناخته نخواهید شد. برای پیاده‌سازی اعتماد سطح صفر باید تأیید هویت چند مرحله‌ای و تعیین مجوز دسترسی برای تمام فعالیت‌ها به صورت جداگانه لحاظ شود تا قبل از برقراری ارتباط فرد با دارایی‌های شرکت از هویت او اطمینان حاصل شود.
چطور این معماری را مورد استفاده قرار دهیم؟
حال چگونه باید معماری اعتماد سطح صفر را به کار بست؟ برای شروع، باید بپذیریم که با فناوریِ واحد سر و کار نداریم بلکه برپایی این معماری در حقیقت اجرای مجموعه‌ای از اصول و فرایندهای راهنما برای بهبود وضعیت امنیتی سازمان است. در حین طراحی معماری امنیتی جدید باید فضا‌های داخلی و خارجی سازمان را در نظر بگیرید(یعنی آیا فرد داخل سازمان است؟ یا از خارج از سازمان به داده‌ها دسترسی دارد؟). در فضای داخلی، مراحل زیر را در نظر بگیرید:
مرحله 1: داده‌ها و برنامه‌های حساس خود را شناسایی کنید.
مرحله 2: جریان داده‌ها را در برنامه‌ها بازنمایی کنید.
مرحله 3: محیط مبتنی بر اعتماد سطح صفر را در سطوح مختلف اداری در نظر بگیرید.
مرحله 4: سیاست‌های دسترسی را تنظیم کنید(هر کس از طریق رایانه‌اش به چه چیزهایی می‌تواند دسترسی داشته باشد).
مرحله 5: اکوسیستم این معماری جدید را به طور مداوم با تجزیه و تحلیل امنیتی تحت کنترل داشته باشید.
سنگ بنای اعتماد سطح صفر در فضای داخلی سازمان تقسیم‌بندی شبکه است که اغلب از آن به عنوان ریزتقسیم‌بندی یا ریزمحیط یاد می‌شود. به زبان ساده، یک شخص یا برنامه با دسترسی به یک بخش از شبکه قادر نخواهد بود بدون مجوزی جداگانه به هیچ یک از بخش‌های دیگر دسترسی پیدا کند. در فضای خارجی، فناوری‌ها و فرآیندهای مستقل که ارتباطی با سازمان ندارند باید به طور منحصر به فرد شناسایی شوند:
الف)تأیید اعتبار تمام نقاط نهایی(در زمان دورکاری): کاربران، دستگاه‌ها، شبکه‌های خارجی، واسطه‌ها و....
ب)استفاده از هویت و مدیریت دسترسی پیشرفته: احراز هویت چند عاملی، بیومتریک، مدیریت دستگاه، اتخاذ سیاست‌های شدید سطح دسترسی و....
ج)تصویب اصل «حداقل امتیاز مخصوص»: هر کاربر، برنامه یا فرآیند باید از حداقل امتیازات لازم برای انجام کار خود برخوردار باشد.
د)نظارت و پیگیری سطح دسترسی به طور بلادرنگ: به طور مداوم حق دسترسی افراد را با خط مشی تعیین‌شده مقایسه کنید و برای مواردی که این اصول کلیدی نقض می‌شود، اصلاحات در نظر بگیرید.
پیروی از این دستورالعمل‌ها شروع خوبی برای به‌کارگیری اعتماد سطح صفر در سازمان است اما نباید آن را به عنوان یک سری اصول ثابت تصور کنید. شاید در ابتدا استفاده از چنین الگوریتمی سؤتفاهم برانگیز باشد اما در نهایت چیزی که اهمیت دارد حفاظت از داده‌های حساس و همراه با سیستم‌هایی که این داده‌ها را مصرف می‌کنند و کنترل بهره‌وری یک سازمان است.
با توجه به طولانی شدن دوران کووید-19 و عادی شدن دورکاری مشاغل، معماری اعتماد سطح صفر در محیط‌های سازمانی، دسترسی ایمن و مطمئن به داده‌های حساس را برای نیروی کار دورکار فراهم می‌کند. اعتماد سطح صفر یک مدل امنیتی قدرتمند است که به شما امکان می‌دهد با محافظت از افراد، دستگاه‌ها، برنامه‌ها و داده‌ها در هر کجا که باشند، با پیچیدگی‌های دوران دورکاری و نیروی کار مدرن مبتنی بر موبایل بدون نگرانی از مسائل امنیتی خود را سازگار شوید.
انتهای پیام/4144/
انتهای پیام/