امنیت در محیط پر ریسک : راهبردهایی به منظور مدیریت امنیت به عنوان یک امر روزمره، مسئله عملی

ویکی‎کتاب، کتابخانهٔ آزاد
پرش به ناوبری پرش به جستجو

عنوان انگلیسی مقاله: Security in the wild: user strategies for managing security as an everyday, practical problem عنوان فارسی مقاله: امنیت در محیط پر ریسک : راهبردهایی به منظور مدیریت امنیت به عنوان یک امر روزمره، مسئله عملی

1. مقدمه در حالی که فراگیری شبکه های کامپیوتری دستیابی به اهداف بالاتری را پشتیبانی می‌کنند، یک چالش بزرگ در ارتباط با مسئله امنیت را نیز معرفی می نمایند. اگرچه امنیت سیستم های اطلاعاتی یک قسمت مهم از صنایع نظامی و شرکت ها بوده است، اما به دغدغه اصلی شبکه های کامپیوتری و موبایل تبدیل شده است. با ورود تجارت الکترونیک خطر دزدی اطلاعات کارت های اعتباری، اطلاعات هویت فردی، نقل و انتقالات بانکی و غیره افزایش یافته است و از سوی دیگر در شبکه های پرتابل مکان جغرافیایی و فعالیت ها در معرض خطر دزدی قرار دارند. منظور از امنیت در این مقاله توانایی کاربر برای اعتماد به یک سری از کارکردهایی است سیستم به طور مستقیم و غیرمسقیم به منظور حفاظت از اطلاعات کاربر و دیگر منابع استفاده می‌کند. در حالی که امنیت اجتماعی و امنیت در سیستم های شبکه ای رابطه بسیار نزدیکی دارند اما در این مقاله تفاوت عمده ای میان امنیتی که یک نگرانی تکنیکی است و امنیتی که یک نگرانی اجتماعی است قائل شده ایم. 2. رویکرد به عوامل انسانی یا عوامل فنی مشکل امنیت در شبکه های کامپیوتری در حقیقت به تضادی بر می‌گردد که بین استفاده آسان از کامپیوتر و مسئله امنیت وجود دارد، سیستم های امنیتی عموما سعی می‌کنند که محدودیت هایی را برای استفاده ایجاد نمایند.(مانند کلمه عبور و سایر موارد تشخیص هویت)معمولا محدودیت هایی که سیستم های امنیتی ایجاد می‌نمایند باعث دردسر کاربران می‌باشد، درحالی که همان ها در نهایت به نقاط ضعف شبکه تبدیل می‌شوند، محققان دو رهیافت برای غلبه بر این مشکل ابداع نموده اند که یکی از پایین به بالا است (تمرکز بر سیستم های تکنیکی و فنی است) و دومی‌از بالا به پایین است(تمرکز بر عوامل انسانی) یکی از تکنیک ها در رهیافت پایین به بالا از منظر تکنیکی فرآیند ایجاد امنیت در پشت پرده سیستم اتفاق می‌افتد و کاربر اطلاعات چندانی از تکنیک ها و فرآیندهای ایجاد امنیت ندارد. بزرگترین مشکل این نوع سیستم ها این است که چون کاربر اطلاعت چندانی از سیستم ندارد ، در مواقع لزوم واکنش های مورد نیاز را نمی‌تواند به مشکلات ایجاد شده نشان دهد. تکنیک دیگر این رهیافت دسته بندی و قید گذاری سیستم های امنیتی با ایده افزایش کیفیت سیستم های امنیتی می‌باشد و با توجه به اینکه در یک ساختار سازمانی برای استفاده بهینه از منابع موجود لازم است، عوامل مختلف سازمان با یکدیگر ارتباط موثری داشته باشند که سیستم امنیتی نیز از این قاعده مستثنی نیستند، مدیریت به منظور استفاده راحت تر از منابع این سیستم های امنیتی را از کار خواهد انداخت.دومین رهیافت تمرکز بر تحلیل عوامل انسانی را در اولویت نسبت به تمرکز بر تکنولوژی قرار می‌دهد. 1.1 روش تحقیق در این مقاله از دو رهیافت نیمه ساخت یافته کیفی مصاحبه ای برای بدست آوردن اطلاعات و تحلیل آنها استفاده شده است، هدف اصلی در این مقاله این نیست که کاربران چه می‌کنند، بلکه مهم نحوه تفکر آنها نسبت به مقوله امنیت است. در این مقاله سعی شده است بجای استفاده از سیستم های آماری سوالات عمیق تری از نمونه کوچکتر پرسیده شود تا اطلاعات بیشتری بدست آید، و بتوان دسته بندی درست تری از کاربران ارائه کرد. کل نتایج مصاحبه ها در دو دسته تقسیم شده است، اول اینکه چگونه مقوله امنیت بر فعالیت های روتین افراد تاثیر می‌گذارد و افراد چه برداشتی از مقوله امنیت دارند و دوم اینکه افراد چه الگویی را برای برآوردن نیازهای امنیتی خود استفاده می‌نمایند. از اولی به تجربه امنیت و از دومی‌به تمرین امنیت تعبیر شده است. 2.1 تجربه امنیت در حالی که توابع ریاضی و تکنیک های برنامه نویسی حد و مرزهای امنیت را مشخص می‌نمایند کاربران نگاه متفاوت و بازتری نسبت به این مقوله دارند. در این قسمت نویسندگان مقاله سعی دارند که تشریح نمایند، چگونه افراد با تکنولوژی های مختلف امنیتی مواجه می‌شوند و بر 3 تجربه ای که از داده های جمع آوری شده مشخص شده بود تکیه دارند. 1.1.1 گرایش های به امنیت ناراحتی و ناخوشایندی : اگرچه جزئیات تجربیاتی که افراد مختلف با سیستم های امنیتی دارند بسیار متفاوت است داده های جمع آوری شده گرایش های مشخص و معمولی که افراد نسبت به سیستم امنیتی نشان می‌دهند مشخص می‌کند. متاسفانه داده های جمع آوری شده مشخص می‌نماید که بیشترین واکنش ها و گرایش ها به مقوله امنیت گرایش های منفی و خنثی است. در حالی که نمونه گیری ها در این تحقیق بر روی سن افراد تمرکز نداشته است، بر اساس داده های بدست آمده می‌توان حدس زد که سن و تجربه کار با کامپیوتر با گرایش افراد به سیستم های امنیتی وابستگی دارد، به طور مثال افراد جوانتر که سابقه کار بیشتری با کامپیوتر دارند اعتماد بیشتری در مواجهه با سیستم های امنیتی که به نظر بیشتر مزاحم می‌رسند تا یاری دهنده از خود بروز می‌دهند، به عنوان مثال هنگام انتقال اطلاعات از طریق شبکه و خاموش کردن فایر وال ها این افراد تمایل بیشتری به گزارش کردن آن دارند و همانقدر که به هزینه های راه اندازی سیستم های امنیتی توجه دارند در مورد فوائد آن نیز صحبت می‌کنند. عمل گرایانه: در مرحله قبل توضیح داده شد که جوانترها عمل گرایانه تر با سیستم های امنیتی برخورد می‌کنند، به طور مثال جوانترها هنگامی‌که فکر می‌کردند با ریسک بالاتری مواجه هستند(مانند زمان استفاده از یک درایو خارجی که به نظر می‌رسید مملو از ویروس باشد) از تکنولوژی های مطمئن تری استفاده می‌نمودند. در نهایت برای کاربران عمل گر سیستم هم باید به صورت قابل انعطاف و نیم شفاف (توضیح داده شده) عمل نماید تا روابط آنها با سیستم به صورت عملی برقرارگردد. بی فایدگی ، پوچی : این افراد بیشترین اعتماد را نسبت به توانایی های خود دارند حتی عمل گراتر از دسته پیشین به مقوله امنیت می‌نگرند، لیکن بدلیل عدم کارایی های ملاحظه شده پیشین اعتماد به سیستم را از دست داده اند. نتیجه این احساس پوچی در مقابل تهدیدات مختلف متفاوت است. تجربه سیستم به عنوان یک عامل محدود کننده یافته های نویسندگان مقاله نشان می‌دهد که یکی از دلایلی که نگاه کاربران به مسائل امنیتی منفی است بدلیل محدودیت هایی است که این گونه سیستم ها در دسترسی آنها به اطلاعات ایجاد می‌نماید. به عنوان مثال هنگامی‌که در مصاحبه ها بر روی مسائل تکنولوژیک تمرکز شده بود پاسخ دهندگان بحث را به مسائل بازتری مانند پست های الکترونیک ناخواسته و غیره می‌کشاندند. سه مورد در این خصوص به ذهن متبادر می‌شود که بر اساس اطلاعات جمع آورری شده به قرار زیر می‌باشند. - یک سیستم امنیتی که صرفا بتواند یک مسئله امنیتی را حل کند و نتواند به مشکلات دیگر پاسخ گوید از طرف کاربران مورد قبول قرار نخواهد گرفت. - ممکن است تلقی اشتباه کاربران از یک سیستم امنیتی منجر به ناکارآمد جلوه کردن آن سیستم شود، - در نهایت تمرکز کاربر بر یک جنبه از امنیت می‌تواند باعث افزایش خطر جنبه های دیگر شود. 3.1 تمرین امنیت در قسمت قبل به نوع نگرش عموم به مقوله امنیت پرداخته شد در این قسمت به نحوه تعامل افراد در استفاده از تکنولوژی هایی که در امنیت استفاده می‌شوند پرداخته شده است. بسیاری از مردم در کارهای روزمره‌اشان نه تمایل و نه وقت آن را دارند که دائما نسبت به تهدیدات جدید هوشیار باشند، آنها بر روی انجام کار خود تمرکز می‌نمایند. یکی از نکات جالب در این زمینه مدل هایی است که بر اساس آن افراد این هوشیاری دائمی خود را به آن محول می‌نمایند. - اتقال این مسئولیت به تکنولوژی است. - انتقال این مسئولیت به شخص دیگری است. - انتقال این مسئولیت به یک سازمان دیگر است. - انتقال این مسئولیت به یک موسسه مانند موسسات مالی و اعتباری است. 2.1.1 اعمال امنیت واقعیت این است که افراد از سیستم پست الکترونیک استفاده می نمایند. حتی زمانی که بدانند اطلاعاتی که جابجا می‌شوند می‌بایست مورد محافظت قرار گیرند اما برای محافظت از این اطلاعات کلا دو دسته رویکرد وجود دارد. اول اینکه از یک امضای الکترونیک در پایان فایلهای پیوست شده استفاده می‌شود و دوم اینکه با استفاده از ادبیات کاری موضوع اصلی را که پیوست پست الکترونیک مخفی می‌نمایند(نوعی رمزنگاری) باید توجه داشت که راهبرد دوم به صورت تصادفی انتخاب نشده است و عموما به صورت یک الگو استفاده می‌شود. نکته دیگر این است که شفافیت بالاتر سیستم کاربرد و امنیت باعث افزایش احساس امنیت در افراد می‌شود به عنوان مثال بسیاری از مصاحبه شوندگان ادعا کرده اند که برای مکالماتشان سیستم تلفن را ترجیح می‌دهند و هنگامی‌که موضوعات حساسی مطرح می‌شود تلفن را به استفاده از پست الکترونیک ترجیح می‌دهند. در نهایت و بر اساس مطالعات دیگری که انجام شده است می‌توان به این نتیجه رسید که عموم مردم رسانه‌ای را ترجیح می‌دهند که از طریق آن اسناد مکتوب جابجا نشود و بجای آن از کلمات شفاهی استفاده گردد. 3.1.1 مدیریت امنیت در مقیاس کلان راهبرد دیگر مدیریت امنیت در طراحی فضا های اداری قرار دارد. بهترین مثال برای این راهبرد افرادی هستند که از یک سو می‌بایست اطلاعات محرمانه (بر روی نمایشگر کامپیوتر) را مورد تحلیل قرار دهند و از سوی دیگر به طور همزمان با اشخاص مختلف تماس داشته باشند. همانطور که مشخص است این گونه برنامه ریزی ها بر روی جانمایی محیط کاری اثر خواهد گذارد. 4.1.1 مدیریت هویت نویسندگان این مقاله در طی انجام مصاحبه های خود با چالش امنیتی دیگری مواجه شده اند که به مسئله هویت بر میگردد این چالش هم به تولید و معرفی هویت و هم به تحلیل و تفسیر آن برمیگردد. این مصاحبه ها نشان می‌داد که افراد نسبت به معرفی خود در فضای مجازی حساسیت زیادی به خرج می‌دهند. مورد دوم تفسیری است که از هویت فرد در محیط مجازی انجام می‌گیرد. به عنوان مثال در محیط اینترنت در مواردی افراد مختلفی می‌بایست به یک فضا دسترسی داشته باشند که این تعیین هویت آنها را دچار مشکل خواهد نمود به عنوان مثال BOB@COMPAY.COM به یک شخص اشاره می‌کند اما SOCCER@COMPAY.COM احتمالا به یک گروه اشاره می‌نماید. 3. نتیجه گیری امنیت و خصوصی سازی شاید دومین مشکل مهم در شبکه های فراگیر کامپیوتری باشد در بسیاری از کنفرانس ها و مقالات از امنیت به عنوان بزرگترین مشکل سیستم های کامپیوتری نام برده شده است. سندروم دوم بودن مقاله امنیت دو مفهوم را مشخص می‌نماید. اول اینکه امنیت و خصوصی سازی مهمترین چالش سازمان برای پیشبرد اهداف آینده است و از سوی دیگر کمتر درک شده اند . در حالی که تکنیک ها و مدل های ریاضی لازم برای ارتقاء سیستم های امنیتی هر روزه ارتقاء پیدا می‌کنند اما رشد ایجاد امنیت در شبکه های فراگیر کامپیوتری متناسب با آن نبوده است. به نظر می‌رسد بزرگترین مشکل این سیستم های امنیتی عدم کارایی لازم آنها در مواجهه با کاربران می‌باشد. این تحقیق بیشتر به منظور تبیین استراتژی هایی در طراحی این سیستم ها انجام گرفته و از سوی دیگر این مسئله را مد نظر دارد که مدیریت امنیت یک مفهوم سیال است در درون سازمان می‌باشد.

منبع مورد استفاده برای این مقاله : http://82.138.248.200/hcs-temp/teaching/GA10/lec1extra/dourishsecwild.pdf

S89231568 ‏۲۷ اکتبر ۲۰۱۱، ساعت ۱۶:۲۱ (UTC)--S89231568 ‏۲۷ اکتبر ۲۰۱۱، ساعت ۱۶:۲۱ (UTC)