نقش عامل های انسانی در امنیت اطلاعات/چارچوبی برای عوامل انسانی در امنیت اطلاعات
|
|
مقدمه
[ویرایش]هر سیستم امنیتی بدون توجه به چگونگی طراحی و اجرا مجبور خواهد بود به افراد تکیه کند. این حقیقت که عوامل انسانی نقش حیاتی را در اکثر حوادث بازی می کنند بسیار نگران کننده می باشد. اکنون ما توانایی اجرای راه حل های مناسب فنی را داریم و راه حل های بسیاری برای امنیت سیستم ها تاکنون بررسی شده است ولی هنوز نقش عامل های انسانی به درستی بررسی نشده است. هدف از این مقاله درک بهتر از نقش عامل های انسانی در امنیت اطلاعات می باشد. توسعه یک مدل شبیه سازی سیستم های دینامیکی ، راه حلی برای کشف مشکلات امنیتی پیچیده است ما با استفاده از یک سیستم غیرواقعی ساده، برای نشان دادن اینکه چگونه یک سیستم دینامیکی میتواند به مشکل امنیتی مردم شناخت ایجاد نماید و به طراحی سیاست ها ی امنیتی قوی کمک کند. برای پیشرفت های آتی نیاز به جمع آوری مطالعات موردی بیشتر از شرکت ها و سازمانها میباشیم با تمام تمهیداتی که برای امنیت اطلاعات انجام گرفته با این وجود عوامل انسانی به عنوان نقطه ضعف مطرح است.
امنیت اطلاعات شامل افراد و فناوری می باشد؛ در واقع عوامل انسانی نقطه ضعف امنیت اطلاعات می باشند. Schneier در سال ۱۹۹۴ کتابی با عنوان «کاربرد رمزگذاری» ارائه کرد که در آن استدلالهای بسیار قوی را در بحث امنیت ارائه کرده بود اما ۶ سال بعد در کتاب «امنیت اطلاعات در شبکه جهانی» ادعاهای قبلی خود را به کل ملغی کرده و نوشت: «اگر شما فکر می کنید به وسیله فناوری (تکنولوژی) مشکلات امنیتی خود را حل کرده اید پس شما درکی از این مشکلات و تکنولوژی نداشته اید زیرا انسان و تکنولوژی هیچکدام نمی توانند مشکل عوامل انسانی را در امنیت حل کنند.»
با توجه به اینکه در ۸۰-۹۰٪ اتفاقات در سازمان ها تقصیر با عوامل انسانی می باشد لذا باید دید که چرا این حوادث اتفاق می افتد. درواقع همانطور که برای رسیدن به تکنولوژی از رفتار انسانها الگو برداری شده است برای بحث امنیت نیز باید عملکرد و بازخور رفتار انسان بررسی گشته و الگو های رفتاری از آنها تهیه گردد.
مطالعات تجربی
[ویرایش]دو منبع جمع آوری داده منعکس کننده رویارویی تکنولوژی، محیط کار و رفتار انسانی در سیستم های امنیت اطلاعاتی وجود دارد : (1) مطالعات میدانی ، (2) تجربیات (شبیه سازی شده) در "دنیای میکرو" .
روش اول به جمع آوری بخشی اطلاعات از مواردی که سیستم امنیتی به درستی عمل نکرده و در روش دوم به مواردی می پردازد که سیستم امنیتی با موفقیت پیاده سازی شده است. متاسفانه تا کنون هیچ مطالعه منتشر شدهای از این دو روش در دسترس نیست. بعلاوه هیچ مطالعه مناسبی نیز از عملکرد انسان در سیستم امنیت اطلاعات شبیه سازی شده یافت نشده است. مطالعات تجربی نشان می دهد شرایط محیط کار و رفتار انسانی در امنیت سیستم های کامپیوتری نقش به سزائی را ایفا می کنند.
متدولوژی
[ویرایش]برای بررسی رفتار عوامل انسانی باید سیستمهای مبتنی بر بازخوردی طراحی شوند که بتوانند تغییرات سریع، تأخیرهای زمانی، فاکتورهای (عوامل) نرمافزاری و سایر جنبههای غیر متعارف را در نظر گرفته و مدیریت کنند. به چنین سیستمهایی سیستمهای داینامیکی گفته میشود. اصل اساسی در یک سیستم داینامیکی این است که یک انسان نباید دراین سیستم مدل شود زیرا مشکلات سیستم بر اساس الگوهای رفتاری شخص سنجیده میشوند.
انطباق رفتار انسان با سیستم داینامیکی
[ویرایش]عملکرد رفتارهای انسانی باید در سیستم منطبق گردد و نباید به صورت مدل درآورده شود. عوامل بسیاری بر این انطباق مؤثر میباشند؛ به عنوان مثال فاکتورهایی مانند هزینه، منفعت، پیشبینی مطالبات شخصی و ضررها، تعارض بین اهداف شخصی و دولتی و ... بر این انطباق تأثیر میگذارند.
وقوع خطرات نباید به اقدامات ضد خطر موکول شود
[ویرایش]خطر ها همواره طبق روتین اتفاق نمی افتند بنابراین باید آمادگی پذیرش خطردر هر زمان را دارا بود .
شناسائی علت رفتارهای عاملهای انسانی
[ویرایش]انسانها معمولاً اقدامات امنیتی را تا زمانی که آسیب جدی برایشان پیش نیاید به انحام نمیرسانند حال این سوال پیش میآید که چرا باید امنیت در دست افراد با حالات روحی متغییر و غیرقابل پیش بینی باشد مضاف بر اینکه این افراد برای محافظت از سیستمها با توجه به سطح دانش خود اقدامات امنیتی را انجام میدهند؛ لذا برای مقابله با این مشکلات نیاز به یک مدل مرجع برای سیستمهای امنینی داریم.
ابعاد مورد پذیرش
[ویرایش]عوامل شکل دهنده پذیرش
[ویرایش]ابعاد مورد پذیرش زیادی ملاکهای امنیتی را تحت تاثیر قرار میدهد ابتدا فشار برونداد است که تاکید زیادی بر تولید و تاکید کمتری بر موارد امنیتی می نماید (حفظ رابطه هزینه به درآمد) شامل منافع و ضررهای شخصی ، تضاد بین اهداف فردی و سازمانی که هر دو در جهت تخریب اهاف ایمنی عمل می کنند؛ در نهایت ریسک یا ریسک های درک شده مد نظر قرار دارد که به دلیل ریشه ای که در ادراک دارد بسیار متغیر و وابسته به شرایط است. مکانیزم قوی روانشناختی از طریق شرطی سازی عامل که دلالت بر هوشیاری نسبت به ریسک دارد تاثیر مثبتی بر پذیرش دارد. از سوی دیگر تخفیف رفتار شرطی شده دلیل کلیدی برای افت پذیرش در طول زمان است.
تئوری نظم رفتاری
[ویرایش]الگو کردن وابستگی به پذیرش ادراک ریسک باید نقطه شروع خوبی برای مطالعه سیستم امنیت اطلاعات قرار داد. شرطی شدن ابزاری یادگیری از طریق نتیجه است . رفتاری که به پاداش منجر می گردد تقویت می شود و برعکس رفتاری که تقویت نشود یا نتیجه منفی روبرو شود رفته رفته از یاد می رود. هبستگی بین موارد مورد علاقه (پاداش) و چیزی که بوسیله فرد کمتر مورد علاقه ارزیابی شود (پاسخ ابزاری) و همبستگی بین پاسخ ابزاری و پاداش. سعادت رفتاری در اینجا به منزله عمومیت دادن به فعالیت ها در غیاب ممانعت های دستوری است.
مورد مطالعاتی :پذیرش وابستگی به ریسک مشکل امنیتی کیم
[ویرایش]کیم که در کودکی آموخته بود در ازای درس خواندن می تواند موزیک مورد علاقه خود را گوش کند حال بزرگ شده و به عنوان متخصص کامپیوتر در دانشگاه کوچکی کار می کند. در قبل کامپیوتر های محل کار او صدمه ای از حملات ندیده است و او به این ریسک پایین عادت کرده است رفتار خوب او در این باره بکار انداختن برنامه ویروس کش هر پانزده روز یکبار است. ما این را کار مربوط به ایمنی می گوییم. از اول جولای سال 2002 دانشگاه کیم هدف حمله هکرها قرار گرفتهاست. سیستم امنیی خاصی به کیم معرفی می شود و مورد پذیرش قرار می گیرد و او هر روزه به این کار مبادرت می کند که بیش از اندازه هم هست. این مورد ریسک حادثه را ازبین می برد و ریسک را پایین تر از حد تصادف قرار می دهد.
هویت یابی رفتار مرجع برای مشکل امنیتی کیم
[ویرایش]برای مشکل کیم لازم به فرموله کردن چارچوب زمانی و رفتار مرجع است.
1- چارچوب زمانی را درنظر می گیریم که به اندازه کافی طولانی هست که وزن ریسک تغییر نکند و لی نه آن اندازه که طولانی ارزیابی شود تا تغییر رفتاری را بدنبال آورد.
2- از آنجایی که امنیت بالا می رود عدم رخ دادن تصادف را خواهیم داشت و به این ترتیب کاهش ریسک اتفاق می افتد. تا آنکه یکبار دیگر شبکه کامپیوتری کیم صدمه پذیر می شود. پس از رخداد های چندی و درک ریسک ، پذیرش بالا می رود و این چرخه ادامه خواهد داشت.
3- بسته به شخصیت کیم و سیاست های مدانشگاه این چرخه چندین با اتفاق می افتد تا در س های اصلی آموخته شود.
4- ما روی زمان ورای یادگیری اصلی تمرکز می کنیم یعنی چند تا از چرخه های ادراک ریسک .
الگو قرار دادن مشکل امنیتی کیم
[ویرایش]ساختار مدل فعال
[ویرایش]مفهوم شرطی سازی عامل به معنی پاسخ شرطی و رضایت است مانند کاهش اضطراب و نبود حوادث است. این الگو معتقد است که هر اندازه درک ریسک با میزان خارجی یا واقعی ریسک منطبق باشد به همان اندازه واکنش های توصیه شده برای سطح و میزان امنیت واقعی تر خواهد بود. درک ریسک اساسا با دو جریان تغییر می یابد . جریان مثبت که درک ریسک را در هنگامی که حادثهای رخ می دهد افزایش می دهد. و جریان منفی که درک ریسک را در زمانی که حادثه رخ نمی دهد کاهش می دهد. از طرفی نمودار چرخه علتی رابطه را به تاثیر یک عامل تاثیر گذار با یک تاخیر زمانی ساده می نماید. "سطح ریسک توصیه شده" = "نقطه سعادت رفتاری" باشد . "حد ایمنی ترجیح داده شده" = "سطح ریسک توصیه شده" باشد و اینکه شکاف نتیجه شده "تاثیر ریسک درک شده بر پذیرش" در برابر "ریسک درک شده" افزایش یکنواختی به صورت یک منحنی با شکل S خواهد بود. سطح ایمنی یک موجودیت پایدار است که بتدریج در طی زمان با جریان تغییر می کند. "میزان امنیت ترجیح داده شده" بالای ارزش جاری "سطح امنیت" است. هنگامی که میزان امنیت ترجیح داده شده به پایین ارزش جاری سطح امنیت
الگوی رفتاری در برابر رفتار مرجع
[ویرایش]در طی هر سیکل ادراک ریسک می توان دو حوزه را شناسایی نمود بستگی دارد آیا "سطح ایمنی ترجیح داده شده" < "سطح امنیت است" یا "سطح ایمنی ترجیح داده شده" > "سطح امنیت است" مورد اول "حوزه شرطی شده" را داریم در این مورد ادراک درست فرد او را به درستی به سمت پذیرش تشویق می نماید. در مورد دوم حوزه خاموش شدن یا کاهش (رفتار شرطی شده) را داریم است. آنچه ناراحت کننده است این است که چرا حوزه شرطی این اندازه کوتاه و حوزه خاموش شدن متعاقبا این اندازه طویل است؟ و چرا این یک مشکل بحساب می آید؟ پاسخ 2 صریح است. حوزه خاموش یک همسویی بین رفتار غیر پذیرشی و فقدان تصادف وجود دارد- بر اساس تکنولوژی موفق جدید امنیتی که موفق که بیشتر حملات را دفع می کند . این دلالت بر این دارد که حوزه خاموش شدن جایگاهی مناسب برای یادگیری موهوم است. پاسخ به سوال اول مرکب است؛ اول رفتار شرطی شده عامل پایدار تر است اگر الگوی پاداشی بصورت "بخشی" یعنی پاداش در هر نوبت ارائه نمی شود(نه مستمر) . این همان مورد روند طبیعی کار است که نیاز های متفاوت و فشار زمانی ممکن است در ارائه پاداش نقش داشته باشد. دوم امکان کم موفقیت حملات در دنیای مدرن جایگاه های امنیت اطلاعات به معنی این است که عدم پذیرش و مطابعت می تواند برای مدت زیادی بدون آشکار شدن تبعات آن صورت پذیرد. در واقع می توان گفت که سیستم امنیت اطلاعات قربانی موفقیت تکنولوژی امنیتی دنیای مدرن شده که موجب طولانی شدن حوزه خاموشی رفتار شرطی شده قرار گرفته که شامل یادگیری غیر واقعی می شود. استدلال غلط در رابطه با ریسک ، نتایج ریسک و نتایج عدم پذیرش
طراحی و تحلیل سیاست
[ویرایش]چگونه می توان از دور باطل تصادفاتی که بوسیله این الگو ارائه شده خلاص شد؟ کیم شروع ب پذیرفتن در هنگامی کرد دریافت ریسک به اندازه کافی زیاد است. درک کیم از ریسک ارتقاء یافت : حدوث آنها درک ریسک او را افزایش و فقدان آن درک ریسک را کاهش داد و در نتیجه پذیرش او را. از دیدگاه طراحی سیاست تاثیر مثبت تصادف در پذیرش بسیار جالب است. ولی به دلایل واضحی تصادفات به خودی خود سیاست درستی برای بهبود امنیت اطلاعات نیست. ما به روشهای دیگر برای حفظ سطح مناسب از درک ریسک داریم. همچنین مطلوب همسویی با امنیت به جایگاه امن آورده شود خیلی پیش از آنکه وارد حوزه تصادف شود،پیش از آنکه وارد حوزه رفتار خاموش شود. هر دو هدف می تواند بوسیله "تجدید درک ریسک" این امر درک خاموشی ریسک را یک مرحله بالاتر و دقیقتر می برد. آموزشهای، انتشارات، سمینارها مختلف و دیگر روش های مداخله دیگر که بر ریسکهای تکنولوژی اطلاعات تمرکز می کنندممکن است که پیشنهاد شوند که بالقوه ابزار های موثری برای افزایش و تجدیددانش امنیتی در بین استفاده کننده گان سیستم تکنولوژی اطلاعات( و در اینجا ما در رابطه با استفاده کننده نهایی سیستم و همچنین مدیران آنها گفتگو می کنیم. در واقع سازمانها این آموزشها را به عنوان مداخله گر ها به عنوان بخشی از سیاست سازمانی عنوان می کنند. ولی این مداخله کننده ها باید بخوبی برنامه ریزی شوند تا اثر یبخش تر ین شوند. همانگونه که به وسیله الگوی ما پیشنهاد شده مداخله برای خذف تصادفات باید در شروع تحلیل رفتن درک ریسک انجام شود تا تا تضمین کننده اصلاح دوره پیش آنکه سیستم خیلی صدمه پذیر شود و یادگیری مصنوعی رخ دهد.
نتیجهگیری
[ویرایش]چون سیستمهای امنیتی نیاز به مدیریت منطبق با ماهیت انسانی دارند لذا نمیتوان به آنها به خوبی تکیه کرد و در آینده باید راه حلهای تکنولوژی برای ایجاد امنیت به طور خودکار البته منطبق با رفتارهای انسانی طراحی گردد که در عملکرد آنها کلیه عوامل شامل روابط میان افراد، تکنولوژی و محیط کار نقش داشته باشند.
منابع
[ویرایش]عنوان انگلیسی مقاله:A Framework for Human Factors in Information Security
عنوان فارسی مقاله:چارچوبی برای عوامل انسانی در امنیت اطلاعات