أمن المعلومات ضرورة أم ترف ?

يشكل أمن المعلومات في الوقت الراهن حجر الزاوية فى نهضة تكنولوجيا المعلومات والاتصالات ... فمن المعروف أن المسافة المتاحة للخصوصية تتناسب عكسيا مع التقدم التكنولوجى لأدوات المعلوماتية والاتصالات.. لذا, فإنه من المفترض أن بناء تكنولوجيا وطنية لأمن المعلومات والاتصالات قد يسمح بعضوية دائمة فى مجلس الأمن التكنولوجى! ...وللتبسيط نتناول هذه الأسئلة:

ما هو الأمن?

حماية أصول وموارد نظام ما بطرق مشروعة, كذلك هو أداة تنظيم العلاقات والاتصالات داخل النظام دون أن يؤثر على قدرة مستخدمي النظام على الأداء. وهو لا يمنع الجريمة أو الاختراق نهائيا, ولكن كلما كان النظام الأمني قوىا ودقيقا كان الاختراق والجريمة في أحد الصور الآتية:

1- مكلفة, بمعنى أن تكون تكاليف الاقتحام أو الاختراق باهظة .

2- تحتاج إلى وقت طويل يمكن خلاله اكتشاف المخترق.

3- تحتاج إلى وقت طويل مما سهل اكتشافها

ما هى أنواع الشبكات التي قد تحتاج إلى تأمين?

الشبكات الخاصة: مغلقة مثل Intranet

هل هناك أنواع أخرى من الأمن?

أولا: أمن المعلومات: Information Security

1- المعلومات

2- أمن مخازن المعلومات

ثانيا: أمن الوصول إلى الأنظمة :Access Control

1- التحكم في الدخول

2- التحكم في عدة مستويات

3- التحكم فى التطبيقات

ثالثا: أمن البرمجيات Software Security

1- تأمين ضد القرصنة للبرمجيات

2- التأمين ضد السطو على قواعد البيانات

3- التأمين لأهداف قومية

رابعا: أمن الاتصالات Communications Security

أ- السلكي:

1- الخطوط التليفونية

2- خطوط وكوابل النقل

3- أجهزة النقل

4- محطة الاتصالات

ب- اللاسلكي:

1- المستقل

2- الملحق بأجهزة أخرى

ما هى التهديدات التي تواجه المستخدم?

* التهديدات الرقمية:

1- الفيروس: هو أداة إفساد وإضرار.

2- الدودة: وهى أداة تعطيل فقط.

3- حصان طروادة: وهو أداة للإضرار والسيطرة على المعلومات.

* الاختراق:

1- اختراق المعلومات الثابتة.

2- اختراق المعلومات المتحركة أو المنقولة.

ما هي أغراض الاختراق?

1- اللهو.

2- التعطيل.

3- التخريب والتدمير.

4- التجسس (والحصول على الأكواد والشفرات)

5- السطو على الأموال.

ما هي الجريمة الإلكترونية ?

هي جريمة القرن الجديد المسايرة للتطور الهائل في تكنولوجيا المعلومات والاتصالات, حيث تعتبر شبكة الإنترنت هي أكبر شبكة في تاريخ البشرية وهى أحدث أدوات العالم لربط أكثر من 500 مليون جهاز كمبيوتر في أكثر من 200 دولة ويستخدمها أكثر من مليار مشترك والجريمة الإلكترونية هي صراع بين التقدم التكنولوجي وحماية وأمن الخصوصية. حيث لم تعد الآن عملية سرقة مصرف تجارى تتطلب أسلحة ولكن تحتاج إلى معرفة بالتقنية الحديثة والشبكات الإلكترونية والشفرات وأنظمة التحويل المالي.

والجريمة الإلكترونية تبدأ من عمليات الاقتناص لأرقام الحسابات, وبطاقات الائتمان, إلى التخريب في المواقع, ونشر الصور الإباحية, والمواقع الكاذبة, وغسيل الأموال, والتجسس . الخ.

ما هو حجم الجريمة الإلكترونية?

يقال أن السرقات السنوية وصلت إلى أكثر من مليوني حالة بالإضافة إلى مئات الآلاف من الشركات التي وقعت ضحية القراصنة والمتلصصين, وذلك بسبب الخلل وعدم الأحكام في وسائل الأمن لدى المواقع الإلكترونية والتي يجب سدها في أسرع وقت,حيث أنه من المتوقع أن تتضاعف هذه الأرقام.

هل هناك أمثلة ونماذج للجريمة الإلكترونية?

مصر: اك تشفت عملية ابتزاز عن طريق الإنترنت بتهديد المسئولين بإحدى الشركات المنتجة للمياه الغازية بطلب مبلغ من المال مقابل عدم نشر صورة زجاجة بها صرصار, ادعاء أنها من إنتاج الشركة وبالفعل نفذ التهديد وشاهد الصورة حوالي 3700 مشاهد وتم ضبطه واعترف بالواقعة.

كذلك كشف تقرير من بنك إلى النيابة العامة عن حادث سرقة أرصدة رجل أعمال مصري عن طريق الفيزا كارت الخاصة بالبنك وقد أكدت التحريات أن مرتكبي الحادث اشتريا بضائع أمريكية عبارة عن ملابس تقدر بحوالي 12 ألف دولار.

أمريكا:كشفت تحريات وكالة التحقيق الفيدرالية الأمريكية هذا العام عن مليون حالة سرقة لأرقام بطاقات الائتمان الواردة بموقع 40 شركة أمريكية تمارس نشاطها عبر الإنترنت وقد استخدموا الابتزاز مع الشركات إما نشر بيانات العملاء أو دفع مبالغ نقدية كبيرة. ويعتقد أنه تم بيع معظم البيانات المسروقة لعصابات الجريمة المنظمة. ويصف ال- FBI هذه العملية بأنها اكبر عملية في تاريخ الشبكة. كذلك أعلنت هيئة النقل البرى الأمريكية أن متسللين صينيين أصابوا نظامها الكمبيوتري بالعطب وذلك في سياق احتجاج على حادث طائرة التجسس وقد وافق ذلك أيضا الذكرى الثانية لقصف الطائرات الأمريكية للسفارة الصينية في بلجراد.

بريطانيا:ماكينات الصرف الآلي, تم السطو عليها مما كبدها خسائر فادحة وصلت إلى 15 مليون جنيه إسترليني من 33 ألف ماكينة خلال عام 2000 .

من هم القراصنة?

إن معظم المتسببين في عمليات القرصنة هم أصلا مبرمجون لديهم دوافع نفسية غير سوية كأنه يقول "أنا هنا ألا تشعرون بي".

ونستطيع تقسيم هؤلاء المؤلفين أو القراصنة إلى ثلاثة أنواع:

1) ذوو القبعات البيضاء: الذين يهاجمون أجهزة الكمبيوتر بطريقة شرعية وبأوامر من السلطة وبهجمات مخططة وينظمون الهجوم عندما يطلب منهم.

2) ذوو القبعات الرمادية: أحيانا يقومون بالمهمة كقراصنة أشرار وأحيانا لهدف آخر. وبعضهم يؤمنون بنظرية "حرية المعلومات أيا كانت هذه المعلومات" بما فيها التي تتعلق بتأمين الأجهزة والشبكات ومعرفة نقاط الضعف.. ولا يرون غضاضة في الهجوم على أي موقع من أجل المزيد من إجراءات الأمن والوقاية.

3) ذوو القبعات السوداء: يهاجمون بهدف سطو مالى أو معلوماتى ضار.

كذلك يجب التفرقة بين نوعين هما Hackers وCrackers فأما Hackers فتكون أفعالهم إما من خلال الهواية أو العمل أصلا لتخريب مواقع هامة أو شراء بعض المنتجات والبرامج بطرق ملتوية, وأيضا الحصول على معلومات هامة من أماكن مختلفة وأخطرهم صانعو الفيروسات وملفات كسر الحماية حيث أنهم مبرمجون متخصصون ذوو قدرات عالية جدا, أما Crackers فهو مستخدم عادى أو هاوي لديه القدرة على البرمجة والبحث الجيد على صفحات الإنترنت للوصول إلى ملفات كسر الحماية بغرض استعمالها وأيضا يكون من أصحاب النسخ غير القانوني للبرامج.

من هو المتهم في الجريمة الإلكترونية ?

1- مهاجم محترف من خارج الكيان.

2- عميل من داخل الكيان.

3- مهاجم محترف من داخل الكيان.

4- مجهول محترف.

5- مجهول هاوي.

ما هي الطبقات الأمنية?

4- الأمن الإلكتروني (الأمن عن بعد).

لماذا هذه الطبقات الأمنية?

كان من المعروف أن كسر الأمن الطبيعي هو انتهاك أمن شبكة أو نظام من مستخدم قانوني للشبكة أو النظام.

و الآن أصبح هناك وسائل الاختراق البسيط عن بعد مثل الفيروسات والديدان وكلها تعمل مستقلة عن الجهة التي زرعتها, وهناك أنواع اختراق عن بعد تظل على اتصال بالجهة التي زرعتها (وهى الأخطر) مثل حصان طروادة... وفى كل الأحوال فإن هذه الأنواع عبارة عن جزء من شفرة تلحق ببرنامج أو ملف أو مكان شرعي...وبالتأكيد هناك أنواع أخرى ...!! لذلك فقد يحتاج الأمن الطبيعي إلى طبقة أمنية أخرى مثل أمن الوصول . وبالطبع, فإن أمن الوصول قد يفرض قيودا أمنية أخرى على النظام, منها قيود زمنية أو قيود مكانية مثل:

1- فرض زمن معين للدخول وبعده يتم إلغاء كلمة السر.

2- عدم الدخول من مكان غير مصرح به لشخص قانوني .

3- إعطاء فرصة ثلاثة أخطاء في كلمة السر ثم الإلغاء.

4- إلغاء العمل عند ترك النقطة أو العقدة (الجزء المتصل بالنظام) لمدة محدده حيث يتم الإيقاف الأتوماتيكي Auto - logoff.

5- غيرها.

وفى كثير من الاحيان يتم اللجوء إلى سياسة تحديد المستخدم Identification وتوثيق الاستخدام Authentication:

عناصر تحديد المستخدم:

- كلمة المرور

- بصمة الصوت

- بصمة الإصبع / الكف

- شبكية العين

- غيرها

عناصر توثيق الاستخدام:

- كلمة السر

- معلومات إضافية تطلب من المستخدم

- غيرها

وفي التطبيقات الأكثر حساسية, مثل البنوك قد يكون مطلوب أكثر من كلمة سر أو شفرة لتوثيق ونقل الأموال من بنك إلي آخر أو من حساب إلى آخر. ويعيب هذه الطريقة أن على المستخدم أن يتذكر أو يكتب في مكان ما كل كلمات السر المتعددة, وكذلك عليه أن يحفظ ترتيب الدخول باستخدامها.

وهناك طريقة أخرى تخول للمستخدم الوصول إلى مستويات مختلفة من النظام مثل:

1- قراءة الملفات فقط.

2- الكتابة على الملفات.

3- تنفيذ الأوامر على الملف.

4- إلغاء الملفات.

ويعيب هذه الطريقة أيضا احتياجها لنظام مطابقة مركزي مما يتطلب سعة تخزينية كبيرة قد تزيد من احتمالات الاختراق.

ومع الإمكانيات الأخرى للاختراق عبر البرمجيات كبيرة الحجم وعبر منافذ الشبكة الدولية فقد ظهرت طبقة التشفير.

ما هو التشفير?

جعل البيانات غير مفهومة (بدون مفتاح الشفرة).

مفتاح التشفير:

ويتطلب تحديده عناصر عديدة منها:

الإنشاء - التوزيع - التخزين - الحماية - الاسترداد - معايير الأداء.

معايير تشفير البيانات:

معايير تشفير البيانات هى وسائل قياسية تحددها جهات متعددة, مثل

DES (Data Encryption Standards) وهناك العديد من الأنواع الأخرى المعروفة وغير المعروفة.

ما هي أمثلة مفاتيح التشفير?

1- المفتاح العام والمفتاح الخاص.

2- مفتاح الباب الخلفي.

3- المفتاح السري.

4- شريحة كليبر.

5- غيرها.

ما هي وسائل التراسل غير الآمنة التي قد تحتاج إلى تشفير?

- الراديو أو اللاسلكي.

- الخطوط الموصلة بين المرسل والمرسل إليه في أي شبكة.

- الحاسبات الآلية (مراكز الإرسال والاستقبال).

إن تحويل نص غير مشفر Plain Text إلى نص مشفر Cipher Text يحتاج إلى مفتاح الشفرة. ويعد تحويل نص الشفرة إلى نص غير مشفر بدون مفتاح التشفير أمرا صعبا ويتوقف مدى الصعوبة على عناصر عديدة منها:

1- المفتاح.

2- أدوات وأجهزة التشفير.

3- عناصر أخرى.

ولكن هل التشفير هو نهاية المطاف ?

والإجابة لا.

حيث أن الكلام عن الأمن الإلكتروني ( الأمن عن بعد) اصبح حقيقة وليس مجرد خيال علمي يختلف البعض على صياغته في المسلسلات والأفلام !!!

والخلاصة أن معظم وسائل الأمن المعروفة هي وسائل تأخير, منها البدائي ومنها المتقدم ومنها المتطور باستمرار ولأن معظم صناع وسائل الحماية يعتمدون على النظم والبرمجيات فإنهم دائما يقولون أن الناس هم أضعف وصلة أمن !!!