بخشی از مقاله
امنيت فيزيكي در مراكز حساس IT
اشاره :
برقراري امنيت فيزيكي، يعني كنترل تردد و دسترسي افراد به تأسيسات و مناطق خاص، نقش حساسي را در نيل به اهداف يك مركز داده ايفا مي‌نمايد. امروزه به‌كارگيري فناوري‌هاي جديد مانند تعيين هويت با استفاده از ويژگي‌هاي بيومتريك و مديريت از راه دور امنيت اطلاعات، در گستره وسيعي به كمك فعالان حوزه امنيت آمده است كه نتيجه آن، كنار گذاشتن روش‌هاي سنتي (كارت و نگهبان) توسط سيستم‌هاي امنيتي مدرن در داخل و اطراف مراكز داده است. در اين راه و پيش از صرف سرمايه و خريد تجهيزات، مديران IT بايد با تشخيص و تخمين صحيح نيازهاي امنيتي سازمان خود، مناسب‌ترين و مقرون به صرفه‌ترين روش حفاظتي را انتخاب نمايند. اين مقاله به صورت اجمالي اصول تشخيص هويت افراد (Personnel Identification) و روش‌هاي اجرايي آن، عناصر اصلي و شيوه‌هاي رايج در بحث سيستم‌هاي امنيتي را بررسي مي‌نمايد.
نيروي انساني؛ ريسكي كه بايد مديريت شود
زماني كه از امنيت يك مركز داده صحبت مي‌كنيم، اولين چيزي كه به ذهن خطور مي‌كند، حفاظت در برابر خرابكاري، جاسوسي و دزدي اطلاعات خواهد بود. نياز به محافظت در برابر اخلال‌گران و جلوگيري از وارد آمدن آسيب‌هاي عمدي نيز امري بديهي به حساب مي‌آيد. با اين‌حال خطراتي كه از جانب فعاليت‌هاي روزمره كاركنان و كارمندان متوجه يك مركز داده مي‌شود، مخاطرات و آسيب‌هاي عموماً پنهاني هستند كه اغلب تأسيسات اطلاعاتي به طور دائم با آن روبه‌رو هستند.
كاركنان جزو لاينفك يك مركز داده به حساب مي‌آيند. به طوري كه مطالعات نشان مي‌دهند، شصت درصد از مواردي كه منجر به از كار افتادن يك مركز داده مي‌شود به علت اشتباهات فردي، استفاده نادرست از ابزار و تجهيزات، عدم الصاق برچسب و نصب نوشته‌هاي راهنما، سقوط اشيا، اشتباه در تايپ فرامين و ديگر موارد پيش‌بيني نشده كوچك و بزرگ اتفاق مي‌افتند.
از آنجايي كه حضور كاركنان همواره همراه با اشتباهات اجتناب‌ناپذير انساني است، كنترل و ايجاد محدوديت در تردد كاركنان به مناطق حساس، يكي از نكات كليدي در مقوله مديريت ريسك است. اين مطلب حتي در زماني كه احتمال حركات و فعاليت‌هاي مشكوك ضعيف به نظر مي‌رسد نيز به قوت خود باقي است.
فناوري‌هاي تشخيص هويت با همان سرعتي كه تجهيزات، اطلاعات و ارتباطات تغيير مي‌كنند، در حال پيشرفت است. همراه با پديد آمدن تجهيزات و تكنيك‌هاي جديد نبايد اين نكته را فراموش نمود كه مشكل اصلي‌اي كه تمام اين تلاش‌ها به خاطر آن صورت مي‌گيرند، نه نكته‌اي فني و نه مسئله‌اي پيچيده است.
اين مشكل به زبان ساده عبارت است از: «دور نگهداشتن افراد غيرمجاز يا بدخواه از محل‌هايي كه نبايد در آنجا حضور داشته باشند.» اولين قدم، ترسيم نقشه مناطق حساس و تعيين قوانيني براي دسترسي به اين مناطق خواهد بود. اگرچه اين‌كار ممكن است به ايجاد يك طرح پيچيده و چندلايه منجر شود، در نهايت كار خيلي دشواري نيست. مديران IT عموماً مي‌دانند كه چه افرادي بايد در چه نقاطي حضور داشته باشند. دشواري كار در قدم دوم نهفته است: تصميم درباره انتخاب فناوري مناسب براي اجراي طرح.
كه هستيد و چرا اينجاييد؟
پياده‌سازي فناوري‌هاي امنيتي ممكن است به نظر عجيب و پيچيده بيايد. به اين اسامي توجه كنيد: اثر‌انگشت، اسكن كف دست، اسكنر چشم، كارت‌هاي هوشمند و شناسايي طرح چهره. مفاهيم اساسي امنيت از همان زماني كه براي اولين بار انسان اقدام به محافظت از اموال خود نمود تا كنون بدون تغيير باقي مانده است. اين مفاهيم كه ساختاري ساده دارند و براي همه ما قابل فهمند، عبارتند از: پاسخي قاطع و روشن به اين سؤال كه: كه هستيد و اينجا چه مي‌كنيد؟
سؤال اول، يعني «كه هستيد؟»، بيشترين مشكلات را در طراحي سيستم‌هاي امنيتي خودكار ايجاد مي‌كنند. فناوري‌هاي امروزي تلاش مي‌كنند با سطوح مختلفي از اطمينان، به طريقي هويت افراد را تعيين نمايند. وجود تفاوت در ميزان دقت هر فناوري، باعث ايجاد تفاوت در هزينه استفاده از آن فناوري مي‌گردد.
براي مثال، استفاده از كارت‌هاي مغناطيسي، هزينه پاييني به همراه دارد. اما از سوي ديگر نتيجه آن به هيچ‌وجه قابليت اطمينان صددرصد را ندارد. زيرا هيچ‌گاه مطمئن نيستيد كه چه كسي از كارت استفاده مي‌نمايد. اسكنر عنبيه چشم گران‌قيمت است، ولي نتيجه قطعي به همراه دارد. يافتن تعادلي مناسب بين دقت و هزينه، نكته اصلي در طراحي يك سيستم امنيتي به شمارمي‌رود.
سؤال دوم يعني «اينجا چه مي‌كنيد؟»، به زبان ديگر به اين معني است كه: «وظيفه شما در اين بخش چيست؟» پاسخ به اين سؤال مي‌تواند به طور تلويحي به همراه احراز هويت فرد مشخص گردد (نام اين پرسنل آليس ويلسون متخصص كابل‌كشي ما است. وي در زمينه كابل‌ها كار مي‌كند. بگذاريد وارد شود) يا اين‌كه اطلاعات مربوطه به طرق مختلف جمع‌آوري گردند.
اين كار مي‌تواند به اين شكل انجام شود كه اطلاعات مرتبط با «هويت» و «دليل» حضور شخص در يك ناحيه حفاظت شده با يكديگر تركيب شوند و براي مثال در يك كارت مغناطيسي ذخيره گردند. در چنين حالتي هويت يك فرد مي‌تواند از طريق فرا‌خواندن اطلاعات موجود روي يك رايانه با دسترسي مجاز تأييد شود.
البته براي اين بخش مي‌توان از روش‌هاي دسترسي متفاوتي نيز استفاده نمود؛ روش‌هايي كه بر پايه حضور با اهداف مختلف طراحي گرديده‌اند. گاهي سؤال دوم، يعني دليل حضور، تنها سؤال مهم است و پاسخ به سؤال اول اهميتي ندارد. مثال مناسب براي اين حالات، كاركنان بخش تعميرات و نظافت هستند.
تركيب تخصص‌ها براي يافتن راه‌حل
مديران فعال در حوزه IT به خوبي با «چه كسي و چرا»هاي مسائل امنيتي آشنايي دارند. اما ممكن است در خصوص جزئيات يك روش خاص يا يك تكنيك مناسب براي پياده‌سازي آن‌ها، بينش و بصيرت كافي نداشته باشند يا ساده‌تر اين‌كه، اصولاً به چنين شناختي احتياجي نداشته باشند. در عوض، مديران IT با آگاهي از
نقشه حفاظتي
محدوديت‌هاي ناشي از بودجه و شناخت خطرات و تهديدات موجود، مسائلي كه سازمان آنان در موارد امنيتي با آن‌ها دست به گريبان است را به خوبي مي‌فهمند.
از سوي ديگر، شايد مشاوران فعال در زمينه سيستم‌هاي امنيتي با جزئيات ريز و ظريف سازمان آشنايي نداشته باشند. اما با شناخت ظرفيت‌ها، موانع و هزينه‌هاي روش‌هاي جديد، كمك خوبي براي مديران محسوب مي‌گردند. مشاوران معمولاً تجارب خوبي در ديگر زمينه‌هاي طراحي سيستم‌هاي امنيتي دارند و به همين خاطر قادرند براي هرچه واضح‌تر شدن مسئله
سؤالات خوبي را در كنار دو سؤال اصلي «چه كسي و چرا؟» مطرح سازند.
بدين شكل و با استفاده از تلفيق تخصص‌ها، طراحي سيستم امنيتي با برقراري تعادل مناسب بين ملزومات، ميزان خطرپذيري، روش‌هاي در دسترس و محدوديت‌هاي مالي صورت خواهد پذيرفت.
شناسايي مشكل
مناطق محافظت شده: چه چيزي نيازمند محافظت است؟
اولين قدم در پياده‌سازي طرح حفاظتي يك تأسيسات، تهيه نقشه‌اي از اماكن فيزيكي، شناسايي نواحي و نقاط ورودي است. در اين نقشه بايد كليه نواحي از لحاظ سطوح امنيتي و همچنين قواعد دسترسي مشخص و دسته‌بندي گردند.
جانمايي مناطق ذيل مي‌تواند به صورت نواحي هم‌مركز طراحي گردد:
- محدوده بنا
- محدوده ساختمان
- بخش كامپيوتر
- اتاق سرورها
- رك حاوي تجهيزات
به همين شكل نواحي زير نيز مي‌توانند به صورت مجاور با يكديگر در نظر گرفته شوند:
- بخش ملاقات كنندگان
- دفاتر
- انبار، سرويس‌ها و تأسيسات
در مناطق هم‌مركز مي‌توان از روش‌هاي دسترسي متفاوت يا افزاينده استفاده نمود. در صورتي كه از روش امنيتي افزاينده استفاده شود، با نزديك‌تر شدن به ناحيه مركزي بر شدت و ميزان توجه و محافظت افزوده خواهد شد.
حُسن اين روش در اين است كه براي دسترسي به مناطق داخلي، علاوه بر قوانين امنيتي مربوط به آن ناحيه، قوانين مربوط به نواحي بيروني و لايه‌هاي خارجي نيز ناظر بر تردد افراد خواهند بود. علاوه بر آن، هر گونه نفوذ به يك ناحيه بيروني، توسط لايه حفاظتي بعدي خنثي خواهد شد.
Rack-Level Security: در قلب لايه‌هاي امنيتي «رك» قرار دارد. قفل‌هاي مخصوص رك كه به طور ويژه براي اين محفظه‌ها ساخته شده‌اند، هنوز كاملاً عموميت نيافته‌اند. اما در صورت رواج، به عنوان آخرين سد دفاعي در برابر دسترسي‌هاي غير مجاز در تجهيزات حساس به كار گرفته خواهند شد.
اتاقي را در نظر بگيريد كه در دور تا دور آن رك‌هاي حاوي سرور قرار دارند. در چنين اتاقي بسيار بعيد به نظر مي‌رسد كه تمامي افراد حاضر در اتاق به دسترسي به تمام رك‌ها نياز داشته باشند. استفاده از قفل رك اين اطمينان را به وجود خواهد آورد كه كاركنان سرورها به رك سرورها، كاركنان مخابرات به رك تجهيزات مخابراتي و به همين شكل هر فردي به رك مربوط به كار خود دسترسي داشته باشد.
«قفل‌هاي رك قابل مديريت» اين قابليت را دارند كه از راه دور پيكربندي شوند تا تنها در زمان نياز و براي افراد مشخص دسترسي به رك را امكان‌پذير سازند. با استفاده از اين قفل‌ها خطرات ناشي از حوادث، خرابكاري يا نصب غيرمجاز تجهيزات اضافه (كه خطراتي از قبيل افزايش مصرف برق و درجه حرارت داخلي رك را به دنبال دارد) به حداقل خواهد رسيد.
Infrastructure Security: توجه به اين نكته ضروري است كه در تهيه نقشه‌هاي امنيتي، علاوه بر نواحي دربرگيرنده تجهيزات عملياتي IT، به نواحي شامل المان‌هاي زيرساختي فيزيكي نيز توجه شود. زيرا تهديد اين المان‌ها مي‌تواند موجب از كار افتادن كل سيستم و در نتيجه بروز Downtime گردد.
براي مثال، تجهيزات HVAC (برق فشار قوي) مي‌توانند عمداً يا سهواً خاموش شوند، ژنراتوري كه باتري‌ها را شارژ مي‌كند احتمال دارد به سرقت برود يا كنسول مديريت هوشمند سيستم احتمالا‌ً به اشتباه سيستم اطفاي حريق را فعال سازد.
ضوابط دسترسي: چه كسي؟ كجا؟
اجازه دسترسي يك فرد به يك ناحيه حفاظت شده، به عوامل گوناگوني بستگي دارد. در كنار عواملِ مرسومِ «هويت» و «هدف حضور»، سه عامل مهم‌تر (عوامل ديگري نيز مي‌توانند تأثيرگذار باشند) عبارتند از:
هويت شخصي: پرسنل مشخصي كه در يك سازمان مشغول كارند، بايد به بخش‌هاي مرتبط با وظيفه آن‌ها دسترسي داشته باشند. براي نمونه، مدير امنيت يك شركت بايد به اكثر بخش‌هاي ساختمان دسترسي داشته باشد.
اما دليلي وجود ندارد كه همين شخص به اطلاعات مشتريان در بانك اطلاعات شركت دسترسي داشته باشد. ممكن است مسئول IT يك شركت به اتاق‌هاي كامپيوتر و سيستم‌عامل‌هاي نصب شده روي آن‌ها دسترسي داشته باشد.
اما همين شخص اجازه ورود به بخش تأسيسات و تجهيزات ولتاژ قوي ساختمان را نخواهد داشت. يا مديرعامل شركتي را در نظر بگيريد كه بايد به دفتر مدير حراست، بخش IT و بخش‌هاي عمومي شركت دسترسي داشته باشد.
اما دليلي وجود ندارد اجازه دستيابي به اتاق سرور يا بخش تأسيسات را داشته باشد.
مجوز حضور: ممكن است يكي از پرسنل بخش تعميرات (صرف‌نظر از نام و مشخصاتش) تنها به قسمت تأسيسات و نواحي عمومي دسترسي داشته باشد. از سوي ديگر، ممكن است مجوز دسترسي يك كارگر بخش خدمات كه وظايف محوله وي معمولاً به طور روزانه تغيير مي‌كند، فقط براي دسترسي به قسمت‌هاي عمومي و مشترك اعتبار داشته باشد. يك متخصص سوييچ‌هاي شبكه تنها اجازه دسترسي به رك‌هايي را دارد كه حاوي اين سوييچ‌ها هستند، نه رك‌هايي كه سرورها و ديگر ابزار ذخيره‌سازي در آن‌ها جاي داده شده‌اند.
در يك مركز كه سرورهاي ميزبان وب در آن قرار دارند، امكان دارد كارمند بخش «پشتيباني از سيستم‌هاي كلاينت» فقط اجازه ورود به اتاق كلاينت‌ها (يعني جايي كه براي انجام وظايف مديريتي، از آنجا به وسيله كلاينت به سرورها متصل مي‌شوند) را داشته باشد.
اطلاعات مجاز: اجازه دستيابي به قسمت‌هاي فوق‌العاده حساس تنها به برخي افراد خاص و براي اهداف خاص داده مي‌شود. البته افرادي كه «بايد» به اطلاعات مربوطه دسترسي داشته باشند، اين دسترسي تا هنگام «نياز» براي آن‌ها مهيا خواهد بود.
استفاده از فناوري
روش‌هاي احراز هويت: «قابليت اطمينان» در «برابر هزينه
روش‌هاي شناسايي افراد به سه بخش عمده تقسيم مي‌شوند. اين سه بخش از نظر قابليت اطمينان و البته ميزان هزينه به ترتيب صعودي عبارتند از:
- چه به همراه داريد؟
- چه مي‌دانيد؟
- چه كسي هستيد؟
چه به همراه داريد؟: ضعيف‌ترين قابليت اطمينان (امكان استفاده به صورت اشتراكي و امكان به سرقت رفتن)
اين بخش شامل وسايلي مي‌شود كه فرد مي‌تواند با خود حمل كند يا بپوشد. يك كليد، يك كارت يا يك شيء كوچك (Token) كه مي‌تواند به جايي از لباس فرد متصل گردد يا در داخل يك جا كليدي قرار داده شود. اين ابزارها مي‌توانند خيلي ساده، مانند يك كليد فلزي، يا خيلي هوشمند، مانند يك كارت با تراشه هوشمند باشند.
چنين ابزاري مي‌تواند يك كارت داراي نوار مغناطيسي حاوي اطلاعاتي در مورد شما (مانند كارت‌هاي آشناي ATM)، يا يك كارت يا Token مجهز به فرستنده و/يا گيرنده كه در فواصلي كوتاه با يك Reader در ارتباط است (proximity card يا proximity token)، باشد.
اين دسته از روش‌هاي احراز هويت، پايين‌ترين قابليت اطمينان و اعتماد را دارند. زيرا هيچ ضمانتي وجود ندارد كه اين ابزار توسط فرد مجاز مورد استفاده قرار گيرند. اين ابزارها مي‌توانند به اشتراك گذاشته شوند، به سرقت بروند، مفقود شوند يا فردي آن را پيدا كرده باشد.
چه مي‌دانيد؟: قابل اطمينان‌تر (به سرقت نمي‌روند. اما مي‌توانند بين چند نفر به اشتراك گذاشته شوند يا در جايي نوشته شوند)
متدهاي اين دسته شامل كلمات عبور، كد، دستورالعملي براي انجام يك كار (مانند باز كردن يك قفل رمز شده)، عمليات تأييد توسط يك card reader يا دسترسي به يك رايانه از طريق صفحه كليد هستند. استفاده از كلمه عبور يا كد براي تأمين امنيت معمولاً يك معماي امنيتي را ايجاد مي‌كند: به خاطر سپردن كلمه عبور يا كد بسيار آسان است.
به همين دليل، حدس زدن آن نيز كار ساده‌اي است. اگر عبارت انتخاب شده سخت و مشكل باشد، آن‌گاه نمي‌توان به سادگي آن را حدس زد. اما چون كلمه عبور و كد را مي‌توان جايي نوشت و يادداشت كرد، همين امر ايمني آن را كاهش مي‌دهد.
اين دسته، از دسته اول قابل اطمينان‌تر است. اما كلمات عبور و كدها نيز همچنان مي‌توانند مشتركاً مورد استفاده چند نفر قرار گيرند و اگر در جايي نوشته شوند، آن‌گاه خطر لو رفتن آن افزايش خواهد يافت.
چه كسي هستيد؟: بالاترين قابليت اطمينان (وابسته به خصوصيت فردي كه منحصراً متعلق به يك شخص است).
اين دسته از روش‌هاي احراز هويت، بر پايه شناسايي مشخصات منحصربه فرد فيزيكي و فيزيولوژيكي افراد ايجاد شده‌اند. شناسايي قاطع هويت اشخاص، نيازي است كه همگي به طور روزمره به آن احتياج داريم. وقتي اين عمل با استفاده از روش‌هاي تكنولوژيك صورت مي‌گيرد، نام «روش‌هاي بيومتريك» به آن اطلاق مي‌شود. تكنيك‌هاي اسكن بيومتريك بر اساس چند ويژگي خاص انساني كه قابل تبديل به اطلاعات كمّي و قابل تحليل هستند طراحي مي‌شوند. برخي از رايج‌ترين اين تكنيك‌ها عبارتند از:
- اثر انگشت
- عنبيه (الگوي رنگي)
- شبكيه (الگوي مويرگ‌هاي خوني چشم)
- صدا
- دست (شكل انگشت‌ها و ضخامت دست)
- صورت (موقعيت نسبي چشم‌ها، بيني و دهان نسبت به يكديگر)
- دستخط (الگوي حركت قلم در هنگام نوشتن)
نتيجه پردازش ابزارهاي بيومتريك (در صورتي كه هويت شخص را تأييد نمايند) معمولاً قابليت اطمينان بسيار بالايي دارد. يعني چنانچه دستگاه، هويت فردي را تأييد نمود، با اطمينان مي‌توان گفت كه اين همان فردي است كه در روز اول، اطلاعات او به دستگاه داده شده است.
