كتب audit systems

نقاط ضعف الشبكة

• الاعتراض: البيانات التي تُرسل عبر الشبكة عرضة للاعتراض من قبل طرف ثالث غير مقصود يمكنه استخدام البيانات بصورة ضارة.
• التوافرية: أصبحت الشبكات واسعة النطاق، إذ تجتاز مئات أو آلاف الأميال ويعتمد عليها الكثير من الناس للوصول إلى معلومات الشركة، وقد يؤدي فقد الاتصال إلى انقطاع الأعمال.
• الوصول / نقطة الدخول: الشبكات عرضة للوصول غير المرغوب فيه. يمكن أن تجعل نقطة الضعف في الشبكة معلومات الشبكة متاحة للمتسللين. قد توفر أيضًا نقطة دخول للفيروسات وأحصنة طروادة.

ضوابط

• ضوابط الاعتراض: يمكن ردع الاعتراض جزئيًا من خلال ضوابط الوصول الفيزيائي في مراكز البيانات والمكاتب، بما في ذلك حيث تنتهي وصلات الاتصال وحيث توجد أسلاك الشبكة والتوزيع. يساعد التشفير أيضًا على تأمين الشبكات اللاسلكية.
• ضوابط التوافرية: أفضل ضبط لذلك هو امتلاك بنية ومراقبة ممتازة للشبكة. يجب أن يكون للشبكة مسارات زائدة بين كل مورد ونقطة وصول وتوجيه تلقائي لتحويل حركة المرور إلى المسار المتاح دون فقدان البيانات أو الوقت.
• ضوابط الوصول أو ضوابط نقطة الدخول: تُوضع معظم ضوابط الشبكة عند النقطة التي تتصل فيها الشبكة بالشبكة الخارجية. تحد هذه الضوابط حركة المرور التي تمر عبر الشبكة. يمكن أن تشمل هذه الضوابط الجدران النارية وأنظمة كشف التسلل وبرامج مكافحة الفيروسات.

يجب على المدقق طرح أسئلة معينة لفهم الشبكة ونقاط ضعفها بصورة أفضل. يجب أن يقيّم المدقق أولاً مدى اتساع الشبكة وكيف بُنيت. قد يساعد مخطط الشبكة المدقق في هذه العملية. السؤال التالي الذي يجب على المدقق طرحه هو ما هي المعلومات الهامة التي يجب أن تحميها هذه الشبكة. عادةً ما تكون أشياء مثل أنظمة المؤسسة وخوادم البريد وخوادم الويب والتطبيقات المضيفة التي يصل إليها العملاء من المجالات التي يجب التركيز على حمايتها. من المهم أيضًا معرفة من يملك صلاحية الوصول وما الأجزاء التي تملك صلاحية الوصول إليها. هل يمكن للعملاء والبائعين الوصول إلى الأنظمة الموجودة على الشبكة؟ هل يمكن للموظفين الوصول إلى المعلومات من المنزل؟ وأخيرًا، يجب على المدقق تقييم كيفية اتصال الشبكة بالشبكات الخارجية وكيفية حمايتها. معظم الشبكات متصلة بالإنترنت على الأقل، ما قد يكون نقطة ضعف. تعد هذه الأسئلة حاسمة في حماية الشبكات.

التشفير وتدقيق تكنلوجيا المعلومات (آي تي)

عند تقييم حاجة العميل إلى تطبيق سياسات التشفير لمؤسسته، يجب على المدقق إجراء تحليل لمخاطر العميل وقيمة البيانات. يجب على الشركات التي لديها العديد من المستخدمين الخارجيين، وتطبيقات التجارة الإلكترونية، ومعلومات العملاء والموظفين الحساسة الحفاظ على سياسات التشفير الصارمة التي تهدف إلى تشفير البيانات الصحيحة في المرحلة المناسبة من عملية جمع البيانات.

يجب على المراجعين تقييم سياسات التشفير الخاصة بعملائهم وإجراءاتها باستمرار. الشركات التي تعتمد بصورة كبيرة على أنظمة التجارة الإلكترونية والشبكات اللاسلكية معرضة بشدة لسرقة وفقدان المعلومات الهامة في الإرسال. يجب توثيق السياسات والإجراءات وتنفيذها لضمان حماية جميع البيانات المرسلة.

يجب على المدقق التحقق من أن الإدارة لديها ضوابط سارية على عملية إدارة تشفير البيانات. يجب أن يتطلب الوصول إلى المفاتيح تحكمًا مزدوجًا، ويجب أن تتكون المفاتيح من مكونين منفصلين ويجب صيانتها على جهاز حاسب لا يمكن للمبرمجين أو المستخدمين الخارجيين الوصول إليه. علاوةً على ذلك، يجب على الإدارة أن تشهد أن سياسات التشفير تضمن حماية البيانات عند المستوى المطلوب والتحقق من أن تكلفة تشفير البيانات لا تتجاوز قيمة المعلومات نفسها. يجب تشفير جميع البيانات المطلوب الاحتفاظ بها لفترة زمنية طويلة ونقلها إلى موقع بعيد. يجب وضع إجراءات لضمان وصول جميع المعلومات الحساسة المشفرة إلى موقعها وتخزينها بصورة صحيحة. وأخيرًا، يجب أن يحصل المدقق على تأكيد من الإدارة بأن نظام التشفير قوي وانه غير معرض للهجوم ومتوافق مع جميع القوانين واللوائح المحلية والدولية.