امنیت سایبری: فرآیندهای بیش از فناوری IBM: چالش‌های امنیت سایبری برای سیستم‌های کنترل صنعتی و زیرساخت‌های حیاتی چه زمانی باید به امنیت سایبری فکر کرد

مسائل امنیت سایبری، به ویژه با توجه به حملات گسترده اخیر به رایانه های شرکت ها، بانک ها و سازمان های دولتی، بسیار مهم شده است. در کشور ما در این چند وقت اخیر مسائل امنیت اطلاعات(IB) در بخش های مختلف اقتصاد از جمله بخش مالی و بانکی توجه ویژه ای شده است.

امنیت اطلاعات شامل مجموعه کاملی از اقدامات و اقدامات مختلف است. این، اول از همه، کنترل اقدامات موضوعات مختلف فرآیندهای تجاری است - کارمندان عادی شرکت، کاربران ممتاز، برون سپاری های فناوری اطلاعات، پیمانکاران. علاوه بر این، این یک محدودیت واضح از حقوق دسترسی در شرکت، استفاده است کپی رزرو کنیدداده ها و همچنین وجود یک خط مشی امنیتی ساده، قابل فهم و ابلاغ شده به کارکنان. در واقعیت‌های کنونی، حفاظت باید انعطاف‌پذیر باشد تا هم سطح کافی از امنیت و هم تحقق اهداف تجاری را فراهم کند.

بانک روسیه معتقد است که به طور کلی، سطح تاب آوری سایبری در کشور ما در سطح مناسبی است. رگولاتور همچنین انتظار کاهش تعداد حملات سایبری موفق و بر این اساس، آسیب ناشی از آنها را دارد. بر اساس نتایج نیمه اول سال 2017، تعداد حملات موفق حدود 30 درصد از سطح سال قبل از نظر اشخاص حقیقیو حدود 25٪ - برای اشخاص حقوقی. به عنوان مثال، حمله ویروس های رمزگذاری WannaCry و NotPetya عملاً هیچ تأثیری بر سیستم مالی روسیه نداشت. موارد جداگانه ای از آلودگی زیرساخت های اطلاعاتی وجود داشت ، اما این عواقب منفی نداشت - سازمان های مالی و اعتباری به کار خود ادامه دادند ، هیچ موردی از ضرر مالی مشتریان خود مشاهده نشد.

سناریوهای فرضی که می توانند به واقعیت تبدیل شوند

بر اساس اطلاعات موجود در مطالعه مشترک لویدز لندن و ساینس، خسارات مالی ناشی از یک حمله سایبری در مقیاس بزرگ می تواند از 15.6 میلیارد دلار به 121 میلیارد دلار به اقتصاد جهانی خسارت وارد کند. در بدبینانه ترین سناریو حوادث، خسارات ناشی از حملات سایبری می تواند بیشتر از خسارت اقتصادی طوفان کاترینا باشد که مخرب ترین در تاریخ ایالات متحده بود. زیان حاصل از آن به 108 میلیارد دلار رسید.

این گزارش به دو سناریو بالقوه برای توسعه یک حمله سایبری جهانی اشاره می کند: ارائه دهندگان هک فضای ذخیره ابرییا بهره برداری از آسیب پذیری های احتمالی در سیستم عامل ها.
در سناریوی اول، هکرها «هایپروایزر» را که سیستم ذخیره‌سازی ابری را کنترل می‌کند، تغییر می‌دهند، در نتیجه تمام فایل‌های ذخیره‌شده برای کاربر از بین می‌رود. گزینه دوم یک مورد فرضی را در نظر می گیرد زمانی که یک تحلیلگر سایبری به طور تصادفی کیفی را در قطاری که حاوی گزارشی در مورد آسیب پذیری های همه نسخه های سیستم عامل نصب شده بر روی 45٪ از کل دستگاه های جهان است، رها می کند. این گزارش متعاقباً در "وب تاریک" به گروه های مجرمانه ناشناس فروخته می شود.

حداقل خسارت در سناریوی اول بسته به مدت زمان عدم دسترسی از 4.6 تا 53.1 میلیارد دلار خواهد بود. خدمات ابریو همچنین اینکه چه سازمان هایی مورد حمله قرار گرفتند. کارشناسان می گویند که این مبلغ در یک سناریوی خاص و منفی ممکن است به 121.4 میلیارد دلار افزایش یابد. در سناریوی دوم، زیان از 9.7 میلیارد دلار تا 28.7 میلیارد دلار متغیر است.

امنیت باید در فرآیندها تعبیه شود

در کنفرانس ها، سمینارها، میزهای گرد متعدد، موضوع مقابله با تهدیدات سایبری مدرن مطرح می شود. بنابراین، اخیراً در چارچوب XXVI کنگره بین المللی مالی (IFC-2017) که از 12 تا 14 جولای 2017 در سن پترزبورگ برگزار شد، جلسه «امنیت اطلاعات. چالش‌ها و روش‌های حمایتی مدرن».

شرکت کنندگان در این جلسه در مورد موضوع امنیت اطلاعات در بخش مالی و بانکی و راه های مقابله با تهدیدات سایبری مدرن، نیاز به نیروی انسانی از جمله نیاز به ارتقای سطح کلی سواد سایبری کارکنان شرکت و کارمندان دولت بحث و تبادل نظر کردند.

ناتالیا کاسپرسکایا، رئیس گروه شرکت های InfoWatch (GC) که مدیریت بحث را بر عهده داشت، در سخنان افتتاحیه خود یادآور شد که طبق نتایج مطالعه مرکز تحلیلی InfoWatch در روسیه در سال 2016، تعداد نشت اطلاعات افزایش یافته است. 80 درصد نسبت به سال 2015 ثبت شده است. در همان زمان، در نه مورد از ده مورد، اطلاعات شخصی (PD) و اطلاعات پرداخت به بیرون درز کرد.

در این جلسه، اولگا درگونوا، نایب رئیس هیئت مدیره بانک VTB، توجه را به عدم آمادگی سیستم قضایی روسیه برای کار با شواهد دیجیتال جلب کرد. وی خاطرنشان کرد که قوه قضائیه اساساً برای در نظر گرفتن شواهد دیجیتالی جرایم سایبری به عنوان استدلال در داوری یا دادرسی کیفری آماده نیست.
معاون رئیس هیئت مدیره Sberbank روسیه، استانیسلاو کوزنتسوف، در طول این بحث، خاطرنشان کرد که یک چارچوب قانونی مورد نیاز است که امکان اقدامات سخت‌تر علیه مجرمان سایبری و یک اکوسیستم امنیت سایبری را فراهم می‌کند که اتصال به آن محافظت در برابر تهدیدات سایبری را فراهم می‌کند. این کارشناس گفت: 80 درصد موفقیت در تضمین امنیت سایبری به این بستگی دارد که فرآیندها چقدر خوب ساخته شده اند و تنها 20 درصد به فناوری بستگی دارد.

رئیس بخش امنیت اطلاعات بانک گلوبکس، والری استخین، با آخرین پایان نامه موافق است. او معتقد است که امنیت ابتدا باید در فرآیندها مشخص شود و تنها پس از آن فناوری ها، ابزارها و تیم امنیت اطلاعات به طور موثر شروع به کار می کنند.

وسلاو سولنیک، رئیس بخش امنیت اطلاعات در بانک وام مسکن DeltaCredit نیز معتقد است که امنیت سایبری بیشتر به فرآیندهای ساخته شده به درستی وابسته است. «بیشتر بازیگران بازار از فناوری‌های امنیتی مشابه یا مشابهی استفاده می‌کنند، اما حتی با فناوری‌های مشابه، ممکن است یک شرکت تحت تأثیر یک حمله سایبری قرار گیرد و شرکت دیگری تحت تأثیر قرار نگیرد. و شرکتی که تنظیمات را به درستی انجام داده، نرم افزار را به روز کرده، حمله را به موقع شناسایی کرده و به آن پاسخ داده و این یک جزء عملیاتی است، متضرر نخواهد شد. با این حال، Vseslav Solenik این رزرو را انجام می دهد که همه موارد فوق فقط در صورت در دسترس بودن منابع صادق است. اگر کمبود بودجه قابل توجهی وجود داشته باشد یا منابع غیر مالی دیگر برای تضمین امنیت اطلاعات شرکت وجود نداشته باشد، بدون ابزارهای تکنولوژیکی مناسب، فرآیندها بسیار دست و پا گیر و زمان بر و در نتیجه ناکارآمد خواهند بود.

مدیر بخش ریسک های غیرمالی و نظارت مالی RosEvroBank Marina Burdonova معتقد است که اجرای روان فرآیندها جزء اصلی امنیت سایبری است. "اگر سیستم در ابتدا به درستی پیکربندی شده باشد، الگوریتم عملیات برای همه شرکت کنندگان روشن باشد، سطح حفاظت می تواند بسیار بالا باشد. این متخصص هشدار می‌دهد که البته راه‌حل‌های فن‌آوری جدید نیز به میزان قابل توجهی به افزایش سطح راندمان کاری کمک می‌کند، اما این ابزاری است که باید در دستان خوبی باشد.

عامل انسانی

مشکل «دست های قابل اعتماد» یا به عبارت دیگر پرسنل واجد شرایط است که هنوز یکی از فوری ترین هاست. این موضوع در سال‌های گذشته از اهمیت ویژه‌ای برخوردار بوده است، زیرا امروزه یک فرد آسیب‌پذیرترین پیوند در زیرساخت فناوری اطلاعات است.

والری استخین (بانک گلوبکس) مطمئن است: "ضعیف ترین حلقه در امنیت اطلاعات یک بانک کارمند شرکت است." این کارشناس فهرست می‌کند: «گاهی بی‌توجه، گاهی بی‌دقت، گاهی ساده لوح، گاهی حوصله سر کار، گاهی مزدور». گزینه های ممکنبروز مشکلات در تمام این موارد، عواقب آن نه تنها برای کارمند، بلکه برای سازمانی که در آن کار می کند نیز می تواند بسیار اسفناک باشد.

Marina Burdonova (RosEvroBank) نیز عامل انسانی را عامل اصلی خطر می داند. او دیدگاه خود را توضیح می دهد: "اگر کارکنان قوانین ایمنی را رعایت نکنند، فناوری قادر نخواهد بود از خود محافظت کند." Vseslav Solenik (بانک دلتا اعتبار) اشاره می کند که هنگام استفاده از مهندسی اجتماعی، مهاجمان می توانند کارمند یک سازمان را مجبور به انجام اقداماتی کنند که حمله را ساده می کند. "اغلب، برای حدس زدن رمز عبور یک حساب، مهاجم مجبور نیست آن را کرک کند - تمام اطلاعات مربوط به رمز عبور در پروفایل ها وجود دارد. شبکه های اجتماعییا کنار میز شما حتی کارمندان در پست‌های رهبری دستکاری‌هایی را انجام می‌دهند که توسط مزاحمان تحریک می‌شوند، تا چیزی در مورد کارمندان در پست‌های معمولی نگویند. در سطر جداگانه ای می توان به عدم تمایل کارکنان به رعایت سیاست ها و الزامات امنیت اطلاعات اشاره کرد، زیرا این امر می تواند کار آنها را پیچیده کند. در نتیجه خطراتی که به این شکل ظاهر می شود را نادیده می گیرند.»

به گفته وسلاو سولنیک، برای به حداقل رساندن تأثیر عامل انسانی، افزایش مداوم آگاهی کارکنان در زمینه امنیت اطلاعات و همچنین پیاده سازی سیستمی برای نظارت و نظارت بر رعایت سیاست ها و الزامات امنیت اطلاعات ضروری است. .

والری استخین از جمله راه های اصلی برای به حداقل رساندن تهدید امنیت اطلاعات، افزایش آگاهی پرسنل در امور امنیت اطلاعات، انجام تست ها، بازی های تجاری و تمرین های سایبری را نام می برد. به گفته والری استخین، همراه با عامل انسانی، تهدیدی جدی برای امنیت اطلاعات شرکت‌ها، ناوگان قدیمی تجهیزات و نرم‌افزارهایی است که توسط سازنده پشتیبانی نمی‌شود، فقدان راه‌حل‌های نظارتی. شبکه شرکتی، پایگاه داده از طریق کارمندان، برون سپاری های فناوری اطلاعات، توسعه دهندگان نرم افزار نشت می کند.

خطرات دست کم گرفته شده

در ارتباط با مشکل خطرات ناشی از عامل انسانی، جالب است که مطالعه شرکت آنتی ویروس ESET را که در جولای 2017 منتشر شد، یادآوری کنیم. از هر پنج شرکت، چهار شرکت خطرات امنیت اطلاعات مرتبط با عامل انسانی را دست کم می گیرند. این نتیجه گیری توسط کارمندان ESET پس از نظرسنجی از کاربران اینترنت از روسیه و کشورهای مستقل مشترک المنافع انجام شد.
از پاسخ دهندگان خواسته شد که پاسخی برای این سوال انتخاب کنند: "آیا در زمینه امنیت اطلاعات در محل کار آموزش دیده اید؟" یک واقعیت قابل توجه برای زمان ما، اما نتیجه به شرح زیر بود: یک پاسخ منفی با اختلاف زیادی منجر می شود. 69 درصد از پاسخ دهندگان هرگز در مورد اصول امنیت سایبری در شرکت های خود آموزش ندیده اند. 15 درصد دیگر از شرکت کنندگان در نظرسنجی گزارش کردند که کارفرمایان خود را به حداقل اطلاعات محدود کرده اند. آموزش فراتر از "در صورت بروز مشکل، رایانه را مجددا راه اندازی کنید"، قوانین امنیت سایبری تحت تأثیر قرار نگرفت.

تنها 16 درصد از پاسخ دهندگان آموزش های با کیفیت بالا را با داستانی دقیق در مورد امنیت اطلاعات و تهدیدات فعلی تکمیل کردند.

در مقایسه، بیش از 60 درصد از شرکت کنندگان در یک نظرسنجی مشابه در ایالات متحده گزارش دادند که کارفرمایان آنها آموزش امنیت سایبری را برای آنها ارائه کرده اند.

سپس از شرکت‌کنندگان در نظرسنجی ESET خواسته شد تا جنبه‌هایی از امنیت رایانه را که اطلاعاتی در مورد آن‌ها نداشتند فهرست کنند تا از حفاظت اطمینان حاصل شود. پاسخ دهندگان صادقانه اعتراف کردند که شکاف هایی در دانش آنها وجود دارد.

70 درصد از شرکت کنندگان گزارش کردند که به اندازه کافی با موضوع امنیت آشنایی ندارند شبکه های بی سیم، به ویژه تهدیدات Wi-Fi.

دسته های دیگر بدافزارها تروجان های بانکی و بدافزارهای هستند دستگاه های تلفن همراه- کسب 56 درصد آرا. 57٪ از شرکت کنندگان در نظرسنجی مایلند در مورد امنیت رمز عبور بیشتر بدانند، 51٪ - در مورد محافظت در برابر ابزارهای کلاهبرداری اینترنتی "کلاسیک" (فیشینگ و هرزنامه).

ویتالی زمسکیخ، رئیس مشاوره ESET، در مورد نتایج این نظرسنجی می گوید: «بیشتر موارد نقض امنیت اطلاعات در شرکت ها مربوط به خطاهای انسانی است. - حملات هدفمند به سازمان ها بر اساس عامل انسانی - مهندسی اجتماعی - و آسیب پذیری های نرم افزاری قدیمی صورت می گیرد. آموزش کارمندان و همچنین تست‌های مختلفی که تهدیدات امنیتی داخلی را شناسایی می‌کند، به شما این امکان را می‌دهد که خطرات را کاهش دهید و قبل از اینکه مهاجمان این کار را انجام دهند، یک حلقه ضعیف در شرکت پیدا کنید.

پرسنل گرسنگی IB

کارشناسان خاطرنشان می کنند که سرعت تغییر و ظهور فناوری های جدید باعث کمبود نیرو شده است و بیکاری صفر در بین متخصصان امنیت اطلاعات در سراسر جهان مشاهده می شود.
آرتم سیچف، معاون اداره اصلی امنیت و حفاظت اطلاعات (GUBZI) بانک مرکزی فدراسیون روسیه، در جلسه "امنیت اطلاعات. چالش‌های مدرن و روش‌های تضمین» در چارچوب IFC-2017 مشکل کمبود پرسنل در زمینه امنیت اطلاعات برای صنعت مالی را تأیید کرد. عملیات یک سیستم مالی مدرن بدون اعمال اصل امنیت از طریق طراحی (توسعه سیستم های اطلاعاتی، در ابتدا از انواع مختلف تهدیدات محافظت می شود) که به متخصصان واجد شرایط نیاز دارد.
آرتم سیچف در مورد مشکل پرسنل نیز به نیاز به ظهور حرفه های جدید در تقاطع فناوری اطلاعات و سایر رشته ها اشاره کرد. به عنوان مثال، ترکیبی از حرفه یک متخصص امنیتی و یک وکیل مورد نیاز است. چنین متخصصانی می توانند به سازمان های مجری قانون در مبارزه با مجرمان سایبری کمک کنند.

مارینا بوردونوا (RosEvroBank) تاکید می کند که امنیت سایبری یکی از پویاترین صنایع در حال توسعه است، بنابراین تقاضا برای پرسنل بسیار زیاد است. و بازار آموزشی وقت نداشت که به طور کامل به این روند پاسخ دهد، با این ارتباط دارد این مشکل. اما کارشناس RosEvroBank معتقد است در 3-5 سال وضعیت پرسنل بسیار بهتر خواهد شد.
والری استخین (بانک گلوبکس) می گوید: «با استعدادترین افراد می خواهند برای موفق ترین شرکت ها کار کنند. - ما باید برای مدت طولانی به دنبال افراد مناسب باشیم، به عنوان یک قاعده، با تجربه، با شرایط لازم. من می‌خواهم افرادی را استخدام کنم که با نتیجه‌گیری کار می‌کنند، نه ناله‌گران. الزامات صلاحیت، تجربه و شایستگی متخصصان به دلیل پیچیدگی و تنوع تجهیزات و نرم افزار مورد استفاده برای محافظت از اطلاعات تعیین می شود. این متخصص تأکید می کند که با وجود کمک یکپارچه ساز یا فروشنده در اجرای ابزارهای حفاظتی، عملکرد بیشتر راه حل بر دوش تیم امنیت اطلاعات شرکت است.

خطرناک ترین حملات سایبری

گزارش امنیت اطلاعات 1H 2017 سیسکو به تکامل و رشد سریع تهدیدها و همچنین گسترش حملات تخریب سرویس (DeOS) اشاره می کند که می تواند نابود کند. پشتیبان گیریو سیستم های ایمنی (شبکه ایمنی)، مورد نیاز سازمان هابرای بازیابی سیستم ها و داده ها پس از حمله. با ظهور اینترنت اشیا (IoT)، عملیات های بیشتری در صنایع کلیدی به صورت آنلاین منتقل می شوند که افق حملات را گسترش می دهد، مقیاس آنها را افزایش می دهد و پیامدهای آن را تشدید می کند.

حملات اخیر WannaCry و NotPetya گسترش بدافزاری را نشان داده‌اند که شبیه باج‌افزار به نظر می‌رسد، اما در واقع می‌تواند باعث تخریب بسیار بیشتر در زمینه فناوری اطلاعات شود. این خبر ظهور حملاتی است که سیسکو آن را «وقفه خدمات» می‌نامد: این حملات بسیار خطرناک هستند زیرا در صورت موفقیت، کسب‌وکار آسیب‌دیده عملاً قادر به بازیابی کامل نیست.

با این حال، پدیده های بسیار خطرناک دیگری نیز در حوزه امنیت اطلاعات وجود دارد. بنابراین، Vseslav Solenik از DeltaCredit حملات "بی صدا" را خطرناک ترین می داند که می تواند برای مدت طولانیبدون توجه هدف از حملات می تواند متفاوت باشد - سرقت اطلاعات، سرقت مالی، نفوذ به شرکا، بهره برداری از منابع، یا همه این اهداف به طور همزمان. به گفته این متخصص، زمانی که مهاجمان برای سال ها از زیرساخت های یک سازمان بانکی استفاده می کردند، سوابق قبلاً ثبت شده است و کارمندانی که مسئول حفاظت از اطلاعات شرکت ها هستند حتی از آن اطلاعی نداشتند - طبیعتاً تا لحظه ای که آسیب به کسب و کار وارد شد. واقعی و آشکار شد.

Marina Burdonova (RosEvroBank) معتقد است که خطرناک ترین حملات، حملاتی هستند که توسط متخصصان با تجربه در صنعت امنیت اطلاعات سازماندهی شده اند. به عنوان مثال، اگر ما در مورد نوعی حملات برنامه ریزی شده به نفع گروه های بزرگ نفوذ صحبت می کنیم. این کارشناس تاکید می کند: «در این صورت سطح خطر بسیار بالاست.

والری استخین (بانک گلوبکس) می‌گوید: «هر موقعیت اضطراری آزمایشی برای شایستگی حرفه‌ای افسران امنیتی، متخصصان هوش مصنوعی است. - رویدادهای اخیر با حملات WannaCry، NotPetya و دیگران به وضوح این را نشان داده است. موثرترین حملات برای شرکت های متوسط ​​و کوچک، به طرز عجیبی، انواع حملات نسبتاً ابتدایی و آسان برای پیاده سازی هستند، مانند تلاش برای نفوذ از طریق آسیب پذیری های نرم افزاری، فریب یا نقض اعتماد، آلودگی به بدافزار از طریق ایمیل های فیشینگ، حملات هدفمند برای پرسنل با سطح دسترسی مورد نیاز

بسیاری از این حملات با به کارگیری اصول اولیه امنیت اطلاعات قابل پیشگیری بودند. از جمله اصول اصلی، کارشناس بانک گلوبکس موارد زیر را نام می برد: استفاده از فیلترهای هرزنامه در ایمیل، بخش بندی شبکه شرکت، بررسی گواهی برنامه های نصب شده، فیلتر کردن URL های مشکوک، استفاده از وصله ها و به روز رسانی های امنیتی برای نرم افزارهای مورد استفاده، ردیابی. فرآیندهای در حال اجرادر شبکه شرکتی، افزایش آگاهی کارکنان. در کنار این، انجام اسکن با راه حل های ضد ویروس (به روز رسانی پایگاه داده های ضد ویروس)، تنظیم تجزیه و تحلیل رفتاری در راه حل های ضد ویروس، استفاده از فایروال، فایروال ها مهم است. البته کارمندان شرکت نباید لینک هایی را در ایمیل های منابع تایید نشده باز کنند. در نهایت، لازم است تبادل اطلاعات در مورد حوادث بین شرکت کنندگان در تعامل اطلاعاتی در چارچوب مراکز پاسخگویی به جرایم رایانه ای سازماندهی شود.

جدیدترین تهدیدها

امنیت اطلاعات بانک ها اخیراً با حملات هدفمند همراه شده است: پیام های ایمیل حاوی بدافزار به آدرس کارکنان ارسال می شود، در مورد وضعیت در سرویس مطبوعاتی بانک VTB 24 اظهار نظر می شود. تهدیدات مرتبط با حملات DDoS و حملات به مشتریان کنترل از راه دور خدمات بانکی (RBS).

این خطرات را می توان با پیاده سازی کاهش داد سیستم های مدرنرویه های حفاظت و واکنش موثر، رعایت الزامات امنیت اطلاعات، افزایش آگاهی پرسنل در زمینه امنیت اطلاعات. سرویس مطبوعاتی بانک تاکید می‌کند: «در هنگام توسعه اپلیکیشن‌های موبایل، آسیب‌پذیری‌ها و تهدیدات امنیتی را تحلیل و از آن جلوگیری می‌کنیم. - به طور منظم، بررسی آسیب پذیری برنامه ها با مشارکت شرکت های تخصصی خارجی انجام می شود. به نظر ما، یک پیمانکار خارجی با شهرت و تجربه قابل اعتماد در بازار به طور پیشینی دارای صلاحیت بیشتری از جمله صلاحیت در زمینه توسعه ایمن خواهد بود. همچنین VTB 24 سیستم ضد کلاهبرداری را پیاده سازی کرده است که رفتار غیرعادی مشتریان در بانکداری از راه دور (RBS) را شناسایی کرده و تراکنش های متقلبانه را متوقف می کند. در برنامه های VTB 24 احراز هویت چند عاملیدر تمام سیستم های RBS کار می کند. AT اپلیکیشن موبایل VTB 24 حتی یک مورد هک را ثبت نکرده است.

شناسایی بیومتریک

اخیراً بانک های بزرگ پروژه های آزمایشی را برای استفاده از ابزارهای شناسایی بیومتریک راه اندازی کرده اند. البته هنوز سوالات زیادی در این زمینه وجود دارد. به عنوان مثال، اینکه کدام نوع بیومتریک در عمل موثرتر و قابل اجرا است، چگونه می توان به معرفی بیومتریک از دیدگاه تکنولوژیک و همچنین از دیدگاه حمایت قانونی و روش شناختی از فرآیند شناسایی مشتریان با استفاده از داده های بیومتریک؟ از این گذشته، چشم انداز استفاده از فناوری های بیومتریک هنوز به دلیل شکاف در قوانین فعلی، هزینه های بالا و راه حل های ناقص محدود است. با این حال، با همه این‌ها، مؤسسات مالی و اعتباری بزرگ در حال حاضر از فناوری‌های بیومتریک برای تضمین امنیت اطلاعات و مقابله با تقلب‌های خارجی و داخلی استفاده می‌کنند. به عنوان مثال، VTB 24 علاقه مند به امکان استفاده از فناوری های بیومتریک است، اظهار نظر در سرویس مطبوعاتی این سازمان. "مزیت بیومتریک راحتی مشتری است. کارشناسان VTB 24 می‌گویند که رمزهای عبور ممکن است گم یا دزدیده شوند و داده‌های بیومتریک منحصربه‌فرد هستند، بنابراین می‌توانیم در مورد قابلیت اطمینان این روش صحبت کنیم.

در ابتدای سال 2017، VTB 24 یک پروژه آزمایشی برای شناسایی صوتی مشتریان در هنگام تماس با مرکز تماس را تکمیل کرد، که این امکان را ایجاد می کند تا فرآیندی برای تأیید تراکنش ها ایجاد شود که برای مشتری راحت و برای بانک قابل اعتماد است. به گفته سازمان مالی و اعتباری این امر می تواند حجم معاملات حسابرسی شده را به میزان قابل توجهی افزایش دهد و ریسک های مشتریان و بانک را به حداقل برساند.
VTB 24 نیز پروژه ای را راه اندازی کرد احراز هویت بیومتریکمشتریان در ظاهر در نوع جدیدی از دفتر بدون کاغذ. هنگام بازدید از چنین شعبه هایی، مشتریان فقط نسخه های الکترونیکی اسناد را امضا می کنند. در همان زمان، علاوه بر شناسایی سنتی با گذرنامه، بانک پیشنهاد می کند که احراز هویت را بر روی یک تبلت منتقل کند، که علاوه بر این تأیید می کند که این شخص بوده است که اسناد را در روز و زمان خاصی امضا کرده است.

در خرده فروشی بانک وی تی بی و وی تی بی 24، سرویس استفاده از اثر انگشت در موبایل بانک برای ورود، و در خرده فروشی بانک وی تی بی - همچنین برای تایید تراکنش ها از قبل معرفی شده است.
بدیهی است با توسعه فناوری های مالی و گنجاندن آنها در تجارت بانکی، هم ریسک ها در حوزه امنیت اطلاعات و هم الزامات بخش ها و بخش های تخصصی افزایش می یابد. کارشناسان بانکی مطمئن هستند که جاده توسط یک پیاده روی تسلط خواهد یافت. از سوی دیگر، موضع کلی آنها به شرح زیر است: از آنجایی که ما در مورد یک مسئله پیچیده چند جزئی صحبت می کنیم، پس برای حل آن لازم است یک رویکرد پیچیده. در زمینه تأمین «دیوار قلعه» مطمئن برای بانک ها، نمی توان یک راه حل یا اقدام واحدی وجود داشت که بتواند خطرات امنیت اطلاعات را یکبار برای همیشه از بین ببرد.

عکس از Nicholas Valejos/Flickr.com

کلمه "امنیت سایبری" اخیراً بیشتر و بیشتر در روسیه شنیده می شود. نمی توان گفت که فراوانی استفاده از آن با جدیت نگرش به مشکل و کیفیت راه حل های یافت شده مطابقت دارد. اما چالش های جهانی و تغییرات محلی، مقامات روسیه را وادار به واکنش و اقدام می کند. این اقدامات به طور فعال بر بسیاری از حوزه های زندگی دیجیتال، از جمله اکوسیستم رسانه ای تأثیر می گذارد.

ماکسیم کورنف

امنیت سایبری و رسانه

ما در دوران پرتلاطمی زندگی می کنیم که رسانه ها به میدان جنگ تبدیل شده اند. علاوه بر این، در تمام سطوح: فیزیکی، دیجیتالی، نهادی. نمونه های بیش از حد کافی وجود دارد:

• هکرهای داعش حساب های رسانه های اجتماعی وزارت دفاع ایالات متحده را هک می کنند و فعالانه از رسانه های اجتماعی سوء استفاده می کنند.
• مرگ کاریکاتوریست های فرانسوی از شارلی ابدو تضاد بین فرهنگ سنتی اسلامی و فرهنگ مدرن پس از مسیحیت در اروپا را آشکار می کند.
• در مقیاس کامل جنگ اطلاعاتیدر ارتباط با وقایع اوکراین، رسانه های با مشارکت روسیه در حال تبدیل شدن به اهداف نفوذ هستند.

جای تعجب نیست که دفاع فضای اطلاعاتینه تنها برای هر دولت توسعه یافته و جامعه فرهنگی، بلکه برای گروه های مختلف نفوذ نیز وظیفه ای خطیر است.

مسائل امنیت سایبری گسترده تر از محدودیت های رسانه ای است. همانطور که موضوع امنیت اطلاعات حتی گسترده تر از مشکلات امنیت سایبری است. اما می توان گفت با کمک رسانه ها است که تهدیدها و اقداماتی برای رفع آنها در فضای دیجیتال اجرا می شود. بنابراین رسانه یکی از اجزای کلیدی در سامانه پدافند فضای سایبری است.

اگر وارد نکات ظریف اصطلاحی نشوید، پس امنیت سایبری امنیت اطلاعات و زیرساخت پشتیبانی در یک محیط دیجیتال است. همچنین باید در نظر داشت که چندین سطح از مشکلات و راه حل ها وجود دارد: از خصوصی، مربوط به حفاظت از شهروندان و یک شخص خاص در برابر انواع متجاوزان، تا دولتی و فراملی، که در آن وظایف امنیت ملی و جنگ های اطلاعاتی حل می شود

انجمن امنیت سایبری (به طور سنتی در فوریه امسال برگزار می شود) را می توان با خیال راحت رویداد کلیدی و پلت فرم بحث در مورد امنیت سایبری در روسیه نامید. در اینجا علاوه بر مشکلات امنیت اطلاعات، امنیت ارتباطات در رسانه ها، فناوری های مخرب برای انتشار اطلاعات و همچنین امکان تأثیرگذاری بر مردم از طریق رسانه ها را نیز مورد بحث قرار می دهند. مهم است که در جریان چنین جلساتی، شرکت کنندگان راه حل های قانونی را مورد بحث و بررسی قرار داده و توسعه دهند که در سطح زیربنایی و اساسی، مستقیماً بر کار رسانه ها تأثیر بگذارد و مرزهای فرصت ها و مسئولیت ها را برای نویسندگان نشریات تعیین کند.

امنیت سایبری به زبان روسی: چه بر سر مفهوم استراتژی ملی آمد؟

سند اصلی در مورد مسائل امنیت سایبری «مفهوم استراتژی امنیت سایبری» بود. فدراسیون روسیه". او، در تئوری، می تواند پایه های تعامل همه شرکت کنندگان در ارتباطات مجازی دیجیتال در روسیه را پایه ریزی کند. اما این مفهوم در وضعیت یک پروژه ناهماهنگ باقی ماند، اگرچه نیاز به آن از مدتها پیش بود. به طور خاص، کارشناسان صنعت توجه زیادی به این مشکل دارند. از آنجایی که اهمیت امنیت اطلاعات Runet، استراتژی امنیت سایبری دولتی روسیه و نیاز به همکاری بین المللی در سال 2014 اغلب در همه سطوح مورد بحث قرار گرفت، از جمله این موضوع بارها توسط رئیس جمهور پوتین بیان شد.

در پایان نوامبر 2013، جلسات استماع پارلمان در مورد "مفهوم استراتژی امنیت سایبری فدراسیون روسیه" برگزار شد. سپس قرار شد این پروژه به شورای امنیت برود و در آنجا تصویب شود تا فرآیند توسعه استراتژی خود آغاز شود. با این حال، در حال حاضر، سرنوشت این پروژه نامشخص است و دلایلی وجود دارد که معتقدیم در مرحله تصویب گیر کرده یا به طور کلی رد شده است. این به طور غیرمستقیم این واقعیت را تأیید می کند که در فوریه 2014 روسلان گاتاروف زودتر از موعد از سمت خود در شورای فدراسیون استعفا داد و از توسعه مفهوم فاصله گرفت و به چلیابینسک بازگشت. جای او در شورای فدراسیون توسط لیودمیلا بوکووا گرفته شد که بر توسعه و استراتژی امنیت سایبری نیز نظارت خواهد کرد. پیش از این، او به طور عمده با تحصیلات مدرسه ایو آموزش و پرورش

امنیت سایبری در روسیه و جهان: روندهای اصلی و چگونه رسانه ها را تهدید می کند؟

بنابراین، در حال حاضر در روسیه هیچ سند اساسی وجود ندارد که با واقعیت‌ها و چالش‌های مدرن مطابقت داشته باشد، که نحوه برخورد با امنیت سایبری در سطح ملی را توضیح دهد. این برای همه از جمله رسانه ها بد است.

به جای یک سیستم ساختارمند از مقررات در رویه روسیه، تعدادی اسناد اعلامی (دکترین امنیت اطلاعات، استراتژی امنیت ملی تا سال 2020، پیش نویس مفهوم استراتژی امنیت سایبری (pdf) و موارد دیگر) و همچنین بسته هایی از قوانین محدود کننده و منع کننده وجود دارد. و اصلاحات (از جمله 139 -FZ برجسته در مورد محافظت از کودکان در برابر اطلاعات مضر، 136-FZ در مورد توهین به احساسات مؤمنان، "وبلاگر" FZ-97 و دیگران). بدیهی است که چنین اقداماتی برای ایجاد یک سیستم امنیتی انعطاف پذیر و موثر در محیط سایبری کافی نیست. از این رو برای تدوین استانداردهای ملی و هماهنگ سازی آن با هنجارهای بین المللی کار زیادی در پیش است.

از این نظر ما با رویکردهای «غربی» به توسعه تفاوت چشمگیری داریم اینترنت امن. در اروپا، هدف این شبکه کمک به توسعه جامعه و چندفرهنگی، حمایت از تنوع فرهنگی و زبانی، توانمندسازی کاربران و تشویق باز بودن است. در عین حال، اینترنت باید در سطح جهانی قابل دسترسی، باز و مدیریت غیرمتمرکز باشد. بر این اساس، مسائل امنیت سایبری باید از این مقدمات ارزشی به ظاهر ساده اما عمیق ناشی شود. اگرچه همه چیز در اروپا با باز بودن و چندفرهنگ گرایی خوب پیش نمی رود، نقاط شروع و دستورالعمل های منطقی برای طراحی آینده وجود دارد.

می توانید با چیزهای اساسی شروع کنید. اول از همه، در عمل روسیه لازم است مفاهیم "امنیت اطلاعات" و "امنیت سایبری" از هم جدا شوند. همچنین، روند اصلی در رویه بین المللی، تاکید بر همکاری بین دولت، تجارت و جامعه مدنی، یعنی ایجاد اکوسیستمی برای مقابله با تهدیدات سایبری است. در عین حال، کشورهای توسعه یافته در تلاش هستند تا از مقررات بیش از حد و توجه ناکافی دولت اجتناب کنند.

قابل توجه است که استراتژی های امنیت وب ملی نسبتاً اخیراً ظاهر شده اند. ایالات متحده به عنوان یکی از پیشروان در توسعه این حوزه، تنها در سال 2003 به یک استراتژی ملی امنیت سایبری دست یافت. به عنوان مثال، فرانسه قوانین و مقررات خود را تنها در سال 2011 تدوین کرد و یک استراتژی واحد برای اتحادیه اروپا تنها در فوریه 2013 ظاهر شد.

در سال 2014، تمرکز استراتژی های نسل جدید به طور قابل توجهی تغییر کرد. اگر قبلاً دولت بر حمایت از شهروندان و سازمان ها متمرکز بود، اکنون بر جامعه و نهادها به عنوان یک کل متمرکز شده است. این به دلیل نقش فزاینده اینترنت در اقتصاد و مدیریت عمومی و همچنین تهدیدات بالقوه سایر کشورها است. یعنی مشکلات امنیت سایبری از مشکلات خصوصی تنها در چند دهه گذشته به سطح بین ایالتی تبدیل شده است. بنابراین، تعامل بین بخشی و مشارکت عمومی-خصوصی در داخل کشورها و همکاری های بین دولتی در خارج تشویق می شود. نقش رسانه ها در این وضعیت را می توان با نقش سیستم عصبی در بدن انسان مقایسه کرد: انتقال تکانه ها و سیگنال هایی که منجر به عملکرد صحیحکل ارگانیسم اجتماعی

بدون ایده‌آل‌سازی نقش جامعه و رسانه‌ها، باید توجه داشت که حاکمیت دولت و حفظ منافع اقتصادی و سیاسی خود در وهله اول از سوی همه شرکت‌کنندگان فعال در این فرآیند قرار می‌گیرد، در حالی که باز بودن اینترنت ارزش دارد. و خودتنظیمی آن تزلزل ناپذیر شناخته می شود. از جامعه مدنی و روزنامه نگاری به عنوان یک نهاد عمومی خواسته می شود تا به حفظ این تعادل کمک کنند: استفاده از یک استراتژی انعطاف پذیر از سوی دولت باید به توسعه حقایق و شیوه های تصمیم گیری (بر اساس آرایه های دانش، نظارت بر تهدیدات سایبری و واکنش کمک کند. طرح ها به آنها). این حقایق، به ویژه، در انجمن امنیت سایبری ذکر شده در سال 2014 توسط متخصص Elena Voinikanis از Rostelecom مورد بحث قرار گرفت.

در سال 2015، کنترل و مبارزه با تروریسم سایبری آشکارا افزایش خواهد یافت، اما گسترش مشارکت شهروندان و رسانه ها در ایجاد سیستم امنیت شبکه به نفع همه مشارکت کنندگان خواهد بود.

امنیت سایبری، مشکل اعتماد شبکه و رسانه

یکی دیگر از مسائل کلیدی که در طول سال 2014 در حال افزایش بوده و همچنان در حال رشد است، مشکل اعتماد بین کشورها است. افشای رسوایی‌های جولیان آسانژ، ادوارد اسنودن و استراق سمع سیاستمداران آلمانی توسط سازمان‌های اطلاعاتی آمریکا، بی‌اعتمادی و بدگمانی کشورها را نسبت به یکدیگر آشکار کرد. کار به جایی رسید که آنگلا مرکل صدراعظم آلمان شروع به صحبت جدی در مورد "حاکمیت دیجیتال" کرد و برخی از ادارات آلمان پیشنهاد بازگشت به استفاده از ماشین تحریر را دادند.

خصومت متقابل بین سازمان‌های اطلاعاتی و رهبران کشورها، که با تضاد منافع در مناطق درگیری‌های محلی و با اقدامات تروریست‌های بین‌المللی تقویت شده است، به طور فعال توسط رسانه‌ها بازپخش می‌شود و همچنین میلیون‌ها نفر را در رسانه‌های اجتماعی اسیر می‌کند. همانطور که مشخص شد، اینترنت نه تنها می تواند به طور مؤثر متحد شود، بلکه درگیری ها را بین مردم در سراسر جهان تقسیم و تشدید کند و آنها را به اردوگاه های متضاد تبدیل کند.

در این راستا، کارشناسان احتمال فروپاشی اینترنت را به چند بخش ملی یا حتی گروهی پیش‌بینی می‌کنند. و اینترنت «عمومی» به یک «میدان وحشی» و محیطی حاشیه‌ای تبدیل می‌شود که در آن قوانین کار نمی‌کنند و خطرات زیادی وجود دارد. این به اصطلاح «بالکانیزاسیون» اینترنت است که در سال گذشته در مطالعه مرکز تحقیقات پیو به عنوان تهدید آنلاین شماره یک رتبه بندی شد.

یکی از عواقب (یا تا حدی علت) را می توان مشکل "دکمه قرمز" برای اینترنت نیز نامید: یک امکان فنی برای قطع ارتباط برخی از کشورها از شبکه جهانی برای مدتی وجود دارد. اما نسبتاً سریع، دسترسی بازیابی خواهد شد و نظامی‌سازی اینترنت و تهدیدات سایبری از بخش‌های بسته در حال افزایش است. به عنوان مثال، عربستان سعودی، سوریه، ایران، کره شمالی، چین با درجات مختلف بسته بودن «اینترنت» خود زندگی می کنند و این به نفع شبکه جهانی و امنیت جهانی نیست. برخی از تحلیل‌هایی که ممکن است اتفاق بیفتد در صورت تلاش برای قطع ارتباط روسیه با اینترنت در نتیجه تحریم‌ها را می‌توان در مقاله‌ای در وب‌سایت مرکز کارشناسی دولتی الکترونیک یافت.

در مورد اقدامات روسیه برای محدود کردن آزادی در اینترنت، به طور کلی، تمایل مقامات برای پرورش فضای شبکه و پیشنهاد قوانین بازی قابل درک است. حتی در جاهایی قابل قبول است، اما در سطح خرد، ابتکارات قانونگذاری اغلب به صورت بازدارنده و تنبیهی بیان می شود. و این برای هر دو طرف بد است: مقامات هرگز راه حلی برای مشکلات پیدا نمی کنند و رسانه ها و مردم فعال به طور فزاینده ای به منطقه "خاکستری" می روند و مشکلات از چشم ها دور می شوند اما از دستور کار حذف نمی شوند.

همانطور که تمرین نشان می دهد، تلاش برای محدود کردن آزادی دسترسی به سایت ها و رسانه های گروهی مختلف بی اثر است و حتی به اهداف متضاد دست می یابد. به عنوان مثال، وبلاگ "Humpty Dumpty" از گروه هکر "Anonymous International" بیش از یک سال است که تشکیلات سیاسی روسیه را در حالت تعلیق قرار داده است. در مورد سایت الکسی ناوالنی (navalny.com) تقریباً همین وضعیت وجود دارد. مسدود کردن منابع ریشه کار نمی کند، زیرا تغییر مسیرها و "آینه" منابع اصلی سازماندهی شده اند. یک بررسی موفق در مورد ممنوعیت های شبکه "اینترنت در سایه ها رفته است" در اواسط ژانویه در سایت slon.ru Anton Merkurov منتشر شد.

البته ما به استانداردها نیاز داریم، باید در سطح بین المللی در مبارزه با کلاهبرداری، تروریسم و ​​محتوای مجرمانه همکاری کنیم. اما تلاش برای ایجاد مرزها در اینترنت کوته بینانه است. در پاسخ به این، اشکال دیگری توسعه یافته است. فعالیت شبکهیا جوامع آنلاین، حتی غیرقابل دسترس برای نظارت و کنترل توسط مقامات. به عنوان مثال، پروژه های وب عمیق در حال توسعه هستند، شبکه های ناشناس مانند Tor، همچنین شبکه های اجتماعی ناشناس یا پیام رسان های فوری بدون اتصال به اینترنت. و اینها با تمام روندهای امنیت اطلاعات در آینده نزدیک فاصله دارند.

روندهای کلیدی در سال 2015

بر اساس پیش‌بینی‌های تحلیلگران RAEC، GROUP-IB و Kaspersky Lab که در سال گذشته از بسیاری جهات به حقیقت پیوست، و همچنین مشاهدات خودمان از مسیر رویدادها، می‌توانیم چندین روند کلیدی امنیت سایبری را برای سال آینده شناسایی کنیم.

1. 1. روند تنظیم اینترنت در سراسر جهان تنها تشدید خواهد شد. تدوین لوایح جدید و اصلاحات در قانون فعلی در زمینه ICT و اطلاعات رایانه ای فعالانه ادامه خواهد یافت.
2. 2. ارتباط موضوع حاکمیت دیجیتالی فدراسیون روسیه، به ویژه در رابطه با تشدید روابط با غرب و تحریم‌ها علیه روسیه، همچنان رو به رشد خواهد بود.
3. 3. از این رو - اولویت امنیت اطلاعات اشیاء بسیار مهم است.
4. 4. مضامین امنیت آنلاین کودکان، حفاظت از مومنان و اخلاقیات و شعارهای ضد تروریستی برای غلبه بر مقاومت افکار عمومی در اتخاذ تصمیمات لازم دولتی ادامه خواهد یافت.
5. 5. اهمیت نهادهای دولتی و نفوذ آنها بر صنعت اینترنت و شرکت‌های مخابراتی افزایش می‌یابد، اما حرکت متقابل تجارت و جامعه حرفه‌ای در قالب ابتکارات، پروژه‌های مشترک و تصمیم‌گیری‌ها نیز فعال‌تر خواهد شد.
6. 6. در سطح خانوار، امنیت سایبری: تلفن همراه، هرزنامه، بات نت، ویروس، فیشینگ، مبارزه با کلاهبرداران و گروه های جنایتکار بین المللی کلاهبرداران اینترنتی. همه اینها به تمایل افراد برای حفظ بیشتر حریم خصوصی و اسرار شخصی خود منجر می شود و به همین دلیل توسعه پلتفرم ها و خدمات به این سمت در حال حرکت است.
7. 7. تهدیدات برای تجارت: امنیت سایبری در حال تبدیل شدن به یک موضوع فزاینده از دیدگاه تجاری است. به ویژه در زمینه بانکداری، فناوری اطلاعات و تجارت رسانه و حفاظت از داده های شخصی.

امنیت سایبری در روسیه: بر چه اساسی است و چگونه بر رسانه های دیجیتال تأثیر می گذارد؟

اکنون به‌جای «استراتژی امنیت سایبری» یا حداقل «مفهوم» آن، چه چیزی در حال انجام است؟ امنیت سایبری روسیه چه در داخل و چه در خارج از کشور مبتنی بر چیست؟ کارشناسان RAEC در یک بولتن ویژه برای انجمن امنیت سایبری 2014 (PDF) به پاسخ به این سؤالات کمک کردند. در زیر اسناد اصلی همراه با توضیحات و وضعیت به روز شده وضعیت فعلی آنها آمده است.

مفهوم استراتژی امنیت سایبریبرای گردآوری تجارت، دولت و جامعه مدنی برای تضمین امنیت سایبری در کشور طراحی شده است. پس از جلسات استماع پارلمانی در شورای فدراسیون و بحث در وب سایت شورای فدراسیون، قرار بود این سند به والنتینا ماتوینکو برای حرکت بیشتر در امتداد زنجیره پیشرفت ها و تصویب ها برسد. اما به نظر می رسد که پس از یک بحث کوتاه در شبکه، ابتکار عمل به پایان رسید.

پروژه "مبانی سیاست دولتی برای شکل گیری فرهنگ امنیت اطلاعات". کار بر روی آن در ژوئیه 2013 به پایان رسید، وضعیت فعلی سند نامشخص است و حتی متن را نمی توان توسط موتورهای جستجو پیدا کرد.

قانون مسدود کردن محتوای "دزدان دریایی" به درخواست دارندگان حق چاپ(شماره 187-FZ قانون فدرال "در مورد اصلاحات برخی از قوانین قانونی فدراسیون روسیه در مورد حمایت از حقوق معنوی در شبکه های اطلاعات و مخابرات"). به اهداف تنظیم کننده ها نمی رسد، اما خطرات انجام تجارت اینترنتی قانونی در روسیه را افزایش داده است. در حال اجرا از 1 اوت 2013، عمل اجرای قانون در حال تشکیل است.

پیش نویس قانون تغییرات (بیش از 15) از قوانین مقررات در زمینه داده های شخصی(شماره 416052-6 "در مورد اصلاح قانون فدرال "در مورد داده های شخصی" و). اکنون در دومای دولتی در حال بررسی است و کارشناسان عملاً از نفوذ و ویرایش نسخه های بعدی آن حذف شده اند.

لایحه حفاظت از ساختار اطلاعات حیاتی(لایحه "در مورد امنیت زیرساخت اطلاعات مهم فدراسیون روسیه" و قانون فدرال در مورد اصلاحات سایر قوانین در ارتباط با تصویب آن). RAEC بیش از 20 نظر و تبصره را برای این سند آماده کرده است که در حال حاضر در دومای دولتی در دست بررسی است.

سند روش شناختی "اقدامات حفاظت از اطلاعات در سیستم های اطلاعات دولتی". از 11 فوریه 2014، اقداماتی را برای محافظت از سیستم های اطلاعاتی در نهادهای دولتی تنظیم می کند.

قانون مسدودسازی فوری منابع با محتوای افراطی به درخواست دادستانی(شماره 398-FZ "در مورد اصلاحات قانون فدرال "در مورد اطلاعات، فناوری اطلاعات و حفاظت از اطلاعات"). کمیسیون RAEC در مورد مسائل حقوقی نظرات خود را تنظیم کرد، اما هیچ یک از آنها در نظر گرفته نشد. این قانون از اول فوریه 2014 لازم الاجرا شد.

پیش نویس قانون اطلاع رسانی مشترکان از سوی شرکت های ارائه دهنده اینترنت در مورد امکانات سیستم های کنترل والدین(شماره 231833-6 ""). در پایان آوریل 2014 توسط دومای دولتی رد شد.

لوایح شماره 428884-6 "در مورد اصلاحات برخی از قوانین قانونی فدراسیون روسیه در مورد تنظیم مقررات تبادل اطلاعات با استفاده از شبکه های اطلاعاتی و مخابراتی" (با هدف ساده سازی انتشار اطلاعات و تبادل داده بین کاربران در اینترنت) و شماره 428896 -6 "در مورد اصلاحات برخی از قوانین قانونی فدراسیون روسیه" (شرایط نقل و انتقال پول الکترونیکی را سخت تر می کند). همین RAEC از این قوانین زیاد داشت مسائل حرفه ای، که در آن کارشناسان به تعدادی از کاستی های فنی، حقوقی، مفهومی و فناوری اشاره کردند. هر دو قانون در می 2014 لازم الاجرا شدند.

بسته ای از "اصلاحات ضد تروریستی"با هدف مقابله با تروریست ها در واقع، بسیاری از کارشناسان آنها را دلیلی رسمی برای "سفت کردن پیچ ها" در زمینه های مختلف می دانند: محدود کردن امکانات پرداخت های الکترونیکی، انتشار اطلاعات اعتراض آمیز در شبکه و تقویت کنترل در سطح دسترسی به اینترنت. به عنوان بخشی از گسترش همان بسته، "قانون وبلاگ نویسان" به تصویب رسید که در واقع ناشران فعال را از نظر مسئولیت با روزنامه نگاران یکسان می کند، در حالی که هیچ چیزی در ازای آن نمی دهد (البته به جز یک امتیاز،

تیم کامپستون با کلیف ویلسون، شریک وابسته، واحد تجاری امنیت IBM (بریتانیا و ایرلند)، درباره مسائل اصلی امنیت سایبری و آسیب‌پذیری‌های میراث بحث کرد. سیستم های صنعتیمدیریت و زیرساخت های حیاتی او همچنین به یک حمله سایبری به سیستم انرژی اوکراین اشاره می کند. ترجمه ای را برای شما آماده کرده ایم.

هنگامی که مصاحبه خود را با کلیف ویلسون، مدیر فرآیند کسب و کار امنیتی IBM برای صنایع، انرژی و تاسیسات در بریتانیا و ایرلند آغاز کردیم، او نگرانی خود را از این که بسیاری از سیستم های کنترل صنعتی مدت ها قبل از ظهور اینترنت طراحی، ساخته و مستقر شده اند، ابراز کرد. قرار بود این سیستم ها در یک محیط کم و بیش بسته، البته متصل به یک شبکه داده پهن باند ساده، کار کنند.

امروزه این زیرساخت ها به طور فزاینده ای به سیستم های کنترلی و تحلیلی برای کاربران نهایی متصل می شوند. حتی بسیاری برای راحتی و هزینه دسترسی کمتر به اینترنت متصل هستند. این فرصت جدیدارتباطات آنها را در برابر حملات سایبری توسط افراد یا دولت ها آسیب پذیر می کند: «علاوه بر سن، این سیستم ها می توانند بسیار شکننده باشند. بنابراین، تست نفوذ یا سایر تست‌های امنیتی تحلیلی باید با دقت انجام شود - غیرفعال کردن یک کنترل‌کننده منطقی قابل برنامه‌ریزی قدیمی (PLC) دشوار نیست."

از نظر دامنه سیستم های کنترل صنعتی، ویلسون تأیید می کند که آنها نقش مهمی در عملکرد روزانه تأسیسات مختلف ایفا می کنند: "تفکر از تاسیسات تولید، انرژی هسته ای غیر نظامی، تولید برق، توزیع برق، تاسیسات، تصفیه آب. و تعدادی از شرکت های دیگر،” - او می گوید.

شیوع حملات جدی

او با عطف به روندهایی که ویلسون و همکارانش در IBM در رابطه با سطح و منشأ حملات سایبری به سیستم‌های کنترل صنعتی مشاهده می‌کنند، خاطرنشان می‌کند که تصویر بسیار متفاوتی است.

از یک طرف، ویلسون خاطرنشان می کند که تعداد حملات به اصطلاح "جوانان دلال" که به سادگی به سایت رفته و سعی در نفوذ به سیستم دارند، کاهش یافته است. این یکی از دلایلی است که نمودار کلی حمله پایین می‌آید.» از سوی دیگر، ویلسون به تشدید نگران‌کننده حملات در سطح جدی‌تر اشاره می‌کند: «اینها حملاتی مانند حمله به شبکه برق اوکراین هستند که به طور گسترده در مطبوعات بین المللی گزارش شد.»

ویلسون در توضیح موضوع حمله سایبری به اوکراین، می‌گوید که شخصی که قرار بود شخص ثالثی باشد، اساساً به اهداف ضربه زد و ظرفیت شبکه برق را قطع کرد: سیستم را دوباره روشن کنید. آیا می توانید تصور کنید اگر در کشوری زندگی می کردید که آب ناگهان ناپدید شد، برق ناپدید شد، چقدر ترس و وحشت می تواند ایجاد کند.

تهدیدهای پنهان

ویلسون این موضوع را ادامه می دهد و به من می گوید که نگرانی زیادی نیز وجود دارد که بدافزار ممکن است در سیستم های مشتری وجود داشته باشد، به ویژه آنهایی که با زیرساخت های حیاتی مرتبط هستند. این بدان معناست که مهاجمان بالقوه - افراد یا نهادهای دولتی - به طور بالقوه می توانند سیستم ها و فرآیندهای حیاتی را مختل کنند - و هیچ کس متوجه نخواهد شد که در پشت صحنه چه اتفاقی می افتد: سیستم ها و نرم افزارهای پیدا شده که قرار نبود وجود داشته باشند، و در واقع، پس از آن وجود داشته است. ثابت شده است که این نرم افزار در برخی موارد برای مدت زمان قابل توجهی وجود داشته است.» ویلسون می گوید.

تجزیه و تحلیل پزشکی قانونی

ویلسون با تأکید بر اینکه چقدر آسان است تشخیص بدافزار چیست، اذعان می کند که در عمل همه چیز آنقدرها هم که در نگاه اول به نظر می رسد ساده نیست: نرم افزار. به عنوان مثال، من از یک سازمان در کشور دیگر مطلع هستم. هنگامی که آنها نرم افزار مشکوک را پیدا کردند، سازمان دولتی محلی توصیه کرد که آن را حذف نکنید یا کاری در مورد آن انجام ندهید، بلکه بر فعالیت آن نظارت کنید تا بفهمید هدف آن چیست. آیا این فیلترینگ داده بود؟ آیا به برخی از سیستم های فرماندهی و کنترل خارجی مربوط می شود؟ آیا این فقط جمع آوری اطلاعات در مورد شبکه است؟ گاهی اوقات فقط پاره کردن نرم افزارهای مشکوک، از نظر حذف آن از هر سروری، هوشمندانه ترین کار نیست."

اتصالات ساختمان

در مورد اینکه آیا یکی از مسائل این است که شرکت های خدماتی و سایر کاربران به دنبال پوشش گسترده تری از سیستم های خود از نقطه نظر تجاری هستند، درخواست نظر داد. ویلسون موافق است که این در واقع یک "پدیده قابل مشاهده" است: "بیشتر و سیستم های بیشتربه اینترنت متصل می شود زیرا باید بتواند نرم افزارهای کاربردی را وصله کند، داده های گزارش را بازیابی کند، نسخه ها را ارتقا دهد. نرم افزار- هر چه که باشد - و همچنین توانایی استخراج داده های فرآیند عملیاتی برای ارسال سیستم های شرکتیمدیریت. برای مثال، به‌جای اینکه وانت در سراسر کشور در نیمه‌های راه به عقب برود و به یک قطعه تجهیزات کنترل صنعتی نگاه کند، اتصال دستگاه به اینترنت و امکان پرس و جو از راه دور بسیار آسان‌تر است.» به گفته ویلسون، تهدید این است که مردم برخی از تجهیزات قدیمی خود را به سرعت و به راحتی و بدون ملاحظات امنیتی مناسب به اینترنت متصل می کنند.

ابزارهای جستجو

ویلسون می‌گوید که وضعیت سیستم‌های کنترل صنعتی با در دسترس بودن گسترده ابزارهای آنلاینی که مهاجمان می‌توانند از آنها به نفع خود استفاده کنند، حتی خطرناک‌تر می‌شود: «چیزی به نام Shodan یک محصول نرم‌افزاری است که می‌تواند دستگاه‌ها، از جمله سیستم‌های کنترل صنعتی را جستجو کند. وقتی آن را پیدا می کند، سعی می کند با استفاده از آنها وارد سیستم شود روش های مختلف. او دوباره از سیستم خارج می‌شود، اما این اطلاعات را در پایگاه داده‌ای در اینترنت ذخیره می‌کند که اکنون هر کسی می‌تواند آن را پیدا کند." ویلسون در ادامه پیامدهای این اطلاعات را که در دسترس عموم است توضیح می دهد. اساساً، او می‌گوید که اگر کسی برای مثال وارد سیستم‌های یک شرکت برق شود، می‌تواند به سرعت بفهمد که آیا تجهیزات کنترل صنعتی به اینترنت متصل است یا خیر: «آنها فقط از طریق Shodan جستجو می‌کنند تا دستگاه‌های آسیب‌پذیر را پیدا کنند.»

«اگر مردم نتوانند چیزی را در گوگل پیدا کنند، فکر می کنند هیچ کس نمی تواند آن را پیدا کند. جان ماترلی، خالق شودان، ترسناک ترین موتور جستجوی وب، می گوید که اینطور نیست.

برخلاف گوگل که وب سایت های ساده را جستجو می کند، شودان با کانال های سایه اینترنت کار می کند. این یک نوع Google "سیاه" است که به شما امکان می دهد سرورها، وب کم ها، چاپگرها، روترها و طیف گسترده ای از تجهیزات متصل به اینترنت و بخشی از آن را جستجو کنید. Shodan 24 ساعت شبانه روز و 7 روز هفته کار می کند و هر ماه اطلاعاتی در مورد 500 میلیون دستگاه و سرویس متصل جمع آوری می کند.

باورنکردنی است که با یک پرس و جوی ساده چه چیزی در Shodan پیدا می شود. تعداد بیشماری چراغ راهنمایی، دوربین های امنیتی، سیستم های اتوماسیون خانگی، سیستم های گرمایشی همگی به اینترنت متصل هستند و به راحتی قابل کشف هستند.

کاربران Shodan سیستم‌های کنترلی برای پارک آبی، پمپ بنزین، خنک‌کننده شراب هتل و کوره‌سوزی پیدا کرده‌اند. کارشناسان امنیت سایبری حتی سیستم های فرماندهی و کنترل نیروگاه های هسته ای و یک شتاب دهنده ذرات اتمی را با کمک Shodan کشف کرده اند.

و آنچه در مورد Shodan با قابلیت های ترسناکش قابل توجه است، این واقعیت است که تعداد بسیار کمی از سیستم های ذکر شده دارای هر نوع سیستم امنیتی هستند.

H.D. Moore، مدیر امنیت Rapid 7 گفت: "این یک شکست امنیتی غول پیکر است." این شرکت یک پایگاه داده خصوصی مانند Shodan را برای اهداف تحقیقاتی خود نگهداری می کند.

اگر یک جستجوی ساده برای «رمز عبور پیش‌فرض» انجام دهید، می‌توانید تعداد بی‌شماری چاپگر، سرور و سیستم‌های کنترلی را با ورود به سیستم «admin» و رمز عبور «1234» پیدا کنید. بسیاری از سیستم های متصل دیگر اصلاً اعتبار دسترسی ندارند - آنها را می توان با استفاده از هر مرورگری متصل کرد.

دن تنتلر متخصص نفوذ سیستم های مستقل سال گذشته در کنفرانس امنیت سایبری Defcon نشان داد که چگونه از شودان برای یافتن سیستم های کنترلی برای کولرهای تبخیری، آبگرمکن های تحت فشار و درب های گاراژ استفاده می کند.

آسیب پذیری ها

ویلسون با پیوستن به نگرانی‌ها در مورد ابزارهای جستجو، اشاره می‌کند که دولت‌ها و تولیدکنندگان تجهیزات کنترل صنعتی آسیب‌پذیری‌های شناخته‌شده مربوط به تجهیزات خاص در اینترنت را فهرست می‌کنند: «این کار ظاهراً به این دلیل انجام می‌شود که یک تکنسین بتواند مسائل مربوط به آن را بررسی کند. به تجهیزات تحت کنترل خود و انجام اقدامات اصلاحی مناسب، مانند انتشار یک به روز رسانی یا وصله، یا حتی تصمیم برای جایگزینی برخی از دستگاه ها. نکته منفی در اینجا البته این است که مهاجمان به دنبال همین مخازن اطلاعات می گردند، برای آنها به این معنی است که یک شرکت، یک هدف، با تجهیزات کنترل صنعتی زیادی وجود دارد، در اینجا لیستی از تمام آسیب پذیری ها وجود دارد. ویلسون توضیح می دهد که به سادگی می توان به آنها حمله کرد.

وقت عمل است

ویلسون با حرکت به سمت راه‌حل‌های بالقوه و نحوه همکاری IBM با مشتریان خود برای مقابله با چالش امنیت سایبری، گزارش می‌دهد که می‌توان از منظرهای مختلفی با آن مقابله کرد: «ما تست نفوذ و تست تضمین سیستم را انجام می‌دهیم، به ویژه در کنترل صنعتی، ایده این است که برای دیدن اینکه واقعاً نفوذ به سیستم های کنترل صنعتی مثلاً یک شرکت زیرساخت ملی حیاتی چقدر دشوار است. به اندازه کافی عجیب، معمولا ورود به آن چندان سخت نیست. ما همچنین به دنبال چیزهایی هستیم که نباید باشد و جایی که نشت داده وجود دارد که نباید باشد. ما همچنین به دنبال تفاوت بین سیستم های "چگونه طراحی" و "چگونه ساخته شده" هستیم. ما اغلب درگیر مشاوره دادن به مشتریان خود در مورد نحوه پر کردن این شکاف ها یا بستن این درهای پشتی در سیستم های کنترل صنعتی آنها و نحوه بهبود ایمنی هستیم.

ویلسون می‌گوید یکی از رویکردهایی که در حال پیاده‌سازی است، به شکل فناوری است که اساساً برای ارائه یک پوشش محافظ برای این سیستم‌های کنترل صنعتی قدیمی و ترسناک طراحی شده است: «در بریتانیا و ایرلند در IBM، ما یک راه‌حل امنیتی بر اساس بازرسی بسته عمیق (DPI) که می تواند تقریباً در هر سیستم کنترل صنعتی قدیمی از هر نوع وارد شود. این راه حل به شما امکان می دهد یک سیستم مدیریت امنیتی مدرن و قابل اعتماد را در اطراف دارایی های کلیدی قرار دهید. ویلسون نتیجه می گیرد: «اکنون دیگر بهانه ای برای داشتن سیستم های کنترل آسیب پذیر وجود ندارد.

بدکاران، از جمله کارکنان بی‌وجدان، خطرات امنیت سایبری شرکت‌ها را به دلیل تهدیدات موجود و در حال ظهور افزایش می‌دهند.

فناوری اطلاعات روش های جمع آوری، پردازش، تبدیل، ذخیره و توزیع اطلاعات را پوشش می دهد. طی یک دوره زمانی نسبتاً طولانی، این فناوری ها بر اساس زبان و بر اساس الفبایی «کاغذی» توسعه یافته اند. در حال حاضر فعالیت اطلاعاتی و تجاری بشر به سمت حوزه فضای سایبرنتیک سوق داده شده است. این فضا در حال تبدیل شدن به واقعیت جامعه جهانی است و انتقال به توسعه "بدون کاغذ، الکترونیکی" فناوری اطلاعات را تعیین می کند. تبادل اطلاعات الکترونیکی ارزان‌تر، سریع‌تر و قابل اعتمادتر از «کاغذی» است. به عنوان مثال، هزینه ارسال نامه از کالیفرنیا به نیویورک از طریق پست سنتی 29 سنت آمریکا (زمان تحویل 2-3 روز) است، در حالی که هزینه فکس 1.86 دلار و برای تلکس 4.56 دلار است. و در نهایت، هزینه تحویل یک سند از طریق ایمیل - به صفر می رسد (با کاهش سریع تعرفه های دسترسی به وب جهانیو افزایش توان عملیاتی این گونه کانال های ارتباطی) و زمان انتقال بر حسب ثانیه محاسبه می شود. در حال حاضر، انقلاب اطلاعاتی "بدون کاغذ" در همه جا در حال انجام است. از طریق دسترسی به فضای مجازی، رشد تبادل اطلاعاتبه صورت تصاعدی رخ می دهد.

فرآیندهای اطلاعاتی که در سرتاسر جهان اتفاق می‌افتد، در کنار وظایف پردازش و انتقال کارآمد اطلاعات، مهمترین وظیفه تضمین امنیت اطلاعات را برجسته می‌کند. این به دلیل اهمیت ویژه ای برای توسعه وضعیت آن است منابع اطلاعات، افزایش هزینه اطلاعات در شرایط بازار، آسیب پذیری بالای آن و اغلب آسیب های قابل توجه در نتیجه استفاده غیرمجاز از آن.

برای بسیاری از کشورهای مدرن و پیشرفته دنیا، نقض امنیت در سیستم های انتقال و پردازش اطلاعات زیان های زیادی را به همراه دارد. سیستم های مخابراتی که به موسسات بانکی و تجاری خدمات رسانی می کنند، خسارات قابل توجهی متحمل می شوند. به عنوان مثال، در ایالات متحده، خسارات ناشی از نفوذ غیرمجاز به این سیستم ها و نشت اطلاعات متعاقب آن ده ها میلیون دلار برآورد می شود.

میزان خطر جرایم الکترونیکی برای جامعه را می توان با هزینه های تجهیزات حفاظتی که قابل قبول و مناسب تلقی می شود قضاوت کرد. کارشناسان امنیت اسناد الکترونیکی ایالات متحده تخمین می‌زنند که کل هزینه تأمین امنیت بانک‌ها یا سایر مؤسسات مالی می‌تواند تا 510000 دلار باشد. با این حال، در نظر گرفته شده است سیستم قابل اعتمادحفاظت از یک مؤسسه مالی بزرگ که به 80000 مشتری خدمات ارائه می دهد حداقل 15 میلیون دلار هزینه دارد و این مبلغ کم فقط شامل هزینه سخت افزار و نرم افزار می شود (بدون احتساب حقوق کارکنان استخدام شده افسران امنیتی خود شرکت).

پیامدهای دریافت غیرمجاز اطلاعات در مقیاس‌های مختلف است: از شوخی‌های بی‌ضرر تا زیان‌های مالی در مقیاس بزرگ و ورشکستگی شرکت‌ها.

آسیب پذیرترین اشیایی که در معرض خطر دسترسی غیرمجاز به داده ها هستند، سیستم های انتقال خودکار هستند. اخیرا مواردی از سرقت برنامه ها در شبکه های کامپیوتر. این دزدی ها شکل یک بیماری همه گیر به خود گرفته اند: برای هر واحد از یک نسخه قانونی از یک برنامه که توزیع گسترده ای دارد، چندین نسخه (تعداد می تواند از چند تا صدها متغیر باشد) وجود دارد که به طور غیرقانونی به دست آمده است.

از آنجایی که تبادل اطلاعات اصلی بر اساس فناوری اطلاعات، سپس شرط مهمبه امنیت در شبکه های کامپیوتری تبدیل می شود. نقض این امنیت جرم رایانه ای نامیده می شود.

تهدیدات در شبکه به دو دسته منفعل و فعال تقسیم می شوند. تهدیدهای غیرفعال شامل استراق سمع (خواندن) اطلاعات و تحلیل ترافیک (شناسایی کاربران و تعیین شدت تبادل اطلاعات) است. تهدیدهای فعال شامل اصلاح داده ها، ایجاد داده های جعلی، معرفی ویروس ها و نشانک های نرم افزاری، مسدود کردن دسترسی به منابع شبکه است.