جایگاه و اهمیت امنیت اطالعات در شهرداری الکترونیک

Transcript

1 دوماهنامه شهرنگار شماره جایگاه و اهمیت امنیت اطالعات در شهرداری الکترونیک بخش ویژه چکیده سید محمد نعمتیان در جامعه جهانی عصر حاضر را عصر اطالعات و دانش مينامند و انبوه اطالعات موجود در شبکههایی نظیراینترنت منجر به ایجاد جامعه نوینی به نام جامعه اطالعاتی گشته است. مطابق سند چشمانداز 20 ساله جمهوری اسالميایران میبایستی تا سال 1404 به جایگاه اول اقتصادی علميو فناوری در سطح منطقه آسیای جنوب غربی دست یابد و به کشوری توسعه یافته تبدیل شود )مجمع تشخیص مصلحت نظام 1382 (. در عصر حاضر کشوری ميتواند به توسعه پایدار و همه جانبه دست یابد که مردم آن کشور در مسیر رشد بلوغ فکری گام بردارند واین امر تنها از طریق آسانسازی در دسترسی و تسهیم دانش و اطالعات میسر خواهد شد و از همین رو ضرورت توجه به فناوری اطالعات بشدت احساس ميگردد تا با استفاده از توانمندیهای آن زندگی شهروندان تسهیل گردد و اهداف عالیه کشور نیز با کمک مزایای حاصله از ایجاد و حفظ و گسترش شهرداری الکترونیک محقق گردد. یکی از مهمترین چالشهای پیش رو در مبحث شهرداری الکترونیک امنیت فضای تبادل اطالعات میباشدکه خود ضرورت ایجاد و توسعه سیستم مدیریت امنیت اطالعات را موجب میگردد. در همین راستا و طی تحقیق پیشرو الگویی برای سیستم مدیریت امنیت اطالعات بر اساس استاندارد ایزو )مورد کاوی مرکز داده سازمان فناوری اطالعات و ارتباطات شهرداری تهران( ارائه میگردد. واژگان کلیدی: شهرداری الکترونیک امنیت اطالعات سیستم مدیریت امنیت اطالعات 1. مقدمه در سند راهبردی نظام جامع فناوری اطالعات کشورایران یکی از راهبردهای دولت استقرار نظام امنیت فضای الکترونیکی تبادل اطالعات کشور تعیین شده است و ایجاد و توسعه سیستم مدیریت امنیت اطالعات در کنار توسعه و گسترش کاربرد فناوری اطالعات موجب خواهد شد تاایران با امادگی بیشتری وارد جامعه اطالعاتی شود )خالقی 1383 (. رویکردی نظام مند در این حوزه ضرورت استفاده از استانداردهای مربوطه از جمله استانداردهای خانوادهایزو کارشناس ارشد مدیریت فناوری اطالعات واحد الکترونیک

2 79 Bimmonthly, No استانداردایزو میدهد. قرار تأکید مورد را میکند بیان را اطالعات امنیت مدیریت سیستم نیازمندیهای به و مينماید ارائه خصوص همین در را دمینگ الگوی و میپردازد اطالعات امنیت مدیریت سیستم بر موثر عوامل صورت به استانداردایزو و ( )استانداردایزو و میدهد قرار بررسی مورد را الذکر فوق عوامل ویژه )استانداردایزو مينماید ارائه کار راه آنها سازی پیاده برای.) الکترونیک شهرداری 2. قدم با و مجازي عصر شروع و سوم هزاره به ورود با امروزه و اطالعات فناوري ظهور و تكنولوژي نانو حيطه به نهادن اند. شده اساسي و بنيادين تغييرات دچار جوامع ارتباطات فناوري مرحله در گذاشتن قدم و الكترونيك شهر ايجاد الكترونيك شهر است. ناپذير انكار فرصت يك نيز اطالعات دولتي ادارات شهرداري به شهروندان الكترونيكي دسترسي شبانه صورت به شهري خدمات كليه و اقتصادي بنگاههاي ايجاد جهت در عاملي شهر اين كند. مي فراهم را روزي و كاركردها تمام كه بهطوري است اي شيشه سازمانهاي اين باشد. مالحظه قابل شفاف بهطور سازمان هدفهاي به است برخوردار مخابراتي اطالعات پيشرفته بستر از شهر مدارس خانهها با كامپيوتر طريق از توان مي كه صورتي شهرداري مفهوم كرد. برقرار ارتباط غيره و دوستان ادارات عجين الكترونيك شهر مفهوم با زيادي ميزان به الكترونيك به شهروندان دسترسي امكان الكترونيك شهرداري است. و ساعته 24 صورت به شهرداري خدمات داده پايگاههاي با الكترونيك شهرداري آورد. مي فراهم را هفته روز هفت ساختار معماري در تغيير با اطالعات فناوري از بهرهگيري مجدد مهندسي و قوانين و رويهها سازي ساده با و خود شهروندان با موثر ارتباط و رويهها شفافيت و فعاليتها قابل صورت به شهرداري وظايف حوزه در را خود خدمات نه طريق اين از كند. مي ارائه شهروندان به امن و دسترس ميشود اعمال تري مناسبت شكل به دولتي مديريت تنها مندي رضايت شده كم شهروند و دولت بين فاصله بلكه مفهومي و يافته افزايش متمركز دولتي خدمات از شهروندان آنجايي از گيرد. مي نقش جامعه در الكترونيكي شهر چون در را سازمانها فعاليت از اي عمده قسمت شهرداريها كه تصميمگيري و ريزي برنامه نوع هر در و دار ه عهد شهرها توانند مي هستند دارا را اي عمده سهم شهري مديريت )روحانی 1388 (. باشند الكترونيكي شهر به رسيدن راه كانون اطالعات امنیت مدیریت سیستم 3. که ميباشد روالها و فرایندها از چارچوبی مدیریت سیستم کسب جهت در وظایف کردن براورده حیث از را سازمان قرار مدیریت سیستم اصلی هدف ميسازد. مطمئن اهداف میباشد مربوطه حوزه در مداوم بهبود مسیر در سازمان دادن.) )مایر و اهداف ریزی پایه اطالعات امنیت مدیریت سیستم اهداف تحقق منظور به را اطالعاتی امنیتی سیاستهای ميدهد. انجام سیستماتیک رویکرد اطالعات امنیت مدیریت سیستم آن از محافظت منظور به حساس اطالعات مدیریت برای را اطالعاتی سیستمهای و فرایندها و کارمندان که ميباشد دیواره نصب از بیش چیزی اطالعات امنیت ميگیرد. بر در سیستم ميباشد. امنیتی شرکت یک با قرارداد عقد یا 2 آتشین مورد را ضروریاتی سازمان در اطالعات امنیت مدیریت عناصری ضروریات آن به توجه با که ميدهد قرار توجه عنصر هر بطوریکه ميدهد قرار سازمان استراتژی در را و مينماید فراهم سازمان در را محافظت از بهینهای سطح رد بهینه بهطور تماميکوششها که میشود ایجاد اطمینان است. شده صرف امنیت آوردن بدست جهت در سازمان روش شامل بایستی اطالعات امنیت مدیریت سیستم که باشد نظر تجدید فرایندهای و مستندات 3 محافظ ارزیابی 2005(. 5 )بیسون است گرفته قرار 4 PDCA مدل در آن اصول دمینگ الگوی 3-1- استفاده اطالعات امنیت مدیریت سیستم در مدل این از از ميگردد مشاهده )1( شکل در که همانطور و ميگردد مربوطه مراحل که است شده تشکیل ذیل مرحله چهار مدیریت سیستم فرایندها از چارچوبی که ميباشد روالها و حیث از را سازمان وظایف کردن براورده اهداف کسب جهت در ميسازد. مطمئن 1. Mayer Nicolas 2. Firewall 3. Safeguard 4. Plan Do Check Action 5. Bisson Jacquelin

3 دوماهنامه شهرنگار شماره استانداردایزو بهصورت چرخشی تکرار ميشوند: مرحله طرح: 1 پایهریزی برای اهداف و فرایندهای ضروری بطوریکه با ویژگیهای نتایج تعیین شده تطابق داشته باشد. مرحله اجرا: 2 اجرای فرایندها مرحله بازنگری و پایش: 3 پایش و ارزیابی فرایندها و نتایج در مقابل اهداف و ویژگیها مرحله کنش: 4 فعالیتهایی بمنظور بهبود در تولید خروجیها در موارد ضروری )استانداردایزو ( استانداردایزو این استاندارد به ارائه نیازمندیهای ضروری برای پایه ریزی و مدیریت سیستم مدیریت امنیت اطالعات ميپردازد. در اکتبر سال 2005 منتشر گردید واین اولین استاندارد خانوادهایزو بود که منتشر گردید و مابقی استانداردهای این خانواده حولاین استاندارد شکل گرفتند. سازمانها ميتوانند گواهینامهایزو را پس از رفع نیازمندیهای آن کسب نمایند. این استاندارد از بخش دوم استاندارد انگلیسی BS7799 بوجود آمده است که استاندارد BS در حال حاضر منسوخ ميباشد )مایر 2009(. 5 این استاندارد مجموعهای از تجربیات موفق در زمینه سیستم مدیریت امنیت اطالعات میباشد که با هدف استفاده از تجارب فوق الذکر برای استفاده از سیستم مدیریت امنیت اطالعات و عوامل موثر بر آن میباشد و بهصورت راهنمای تمرین برای سیستم مدیریت امنیت اطالعات ایجاد شده است که راهنمای پیاده سازی 6 را نیز در بر دارد و بهصورت ویژه به عوامل موثر مربوطه ميپردازد. در سال 2005 از استانداردایزو نشات گرفته است که اولین نسخه استانداردایزو در دسامبر سال 2000 منتشر شده است. استانداردهایایزو وایزو کنترلها و اهداف کنترلی یازده گانهای )عوامل موثر بر سیستم مدیریت امنیت اطالعات( را شامل میشوند که در جدول 1 ذکر شدهاند. ضمنا هر سازمان در صورت نیاز ميتواند عالوه بر بخشهای کنترلی مزبور بخشهای کنترلی دیگری را نیز برای خود اضافه نماید که کنترلها بایستی در سیستم مدیریت امنیت اطالعات سازمان لحاظ گردند )استانداردایزو ( )استانداردایزو (. طرفهاي ذينفع طرح طرفهاي ذينفع امنيت اطلاعات مديريت شده کنش ايجاد سيستم مديريت امنيت اطلاعات طرح اجرا انتظارات و الزامات امنيت اطلاعات نگهداري و بهبود سيستم مديريت امنيت اطلاعات پيادهسازي و اجراي سيستم مديريت امنيت اطلاعات بازنگری و پايش پايش و بازنگري سيستم مديريت امنيت اطلاعات شكل (1) - مدل چرخشي دمينگ قابل اجرا در سيستم مديريت امنيت اطلاعات (استاندارد ايزو ) شکل 1. مدل چرخشی دمینگ قابل اجرا در سیستم مدیریت امنیت اطالعات. مأخذ: )استانداردایزو ( 1. Plan 2. DO 3. Check 4. Act 5. Mayer Nicolas 6. Implementation guidance

4 81 Bimmonthly, No مطالعه موردی ارائه الگو برای سیستم مدیریت امنیت اطالعات بر اساس استانداردایزو )مورد کاوی مرکز داده سازمان فناوری اطالعات و ارتباطات شهرداری تهران( )نعمتیان 1393 ( چکیده مطالعه موردی اطالعات مرتبط با شهروندان تهرانی و کاربران سیستمهای گوناگون در حوزه شهر تهران در مرکز داده سازمان فناوری اطالعات و ارتباطات شهرداری تهران نگهداری و پردازش میگردند. در این مورد کاوی چندین رتبه بندی از عوامل یازده گانه فوق الذکر با استفاده از آزمون فریدمن 1 و نیز با توجه به میزان علیت و تعامل عوامل یازده گانه موثر بر سیستم مدیریت امنیت اطالعات منطبق با استانداردایزو و تکنیک دیماتل 2 انجام پذیرفته است و چندین الگو با استفاده از مدل چرخشی دمینگ 3 و رتبهبندیهای انجام شده برای سیستم مدیریت امنیت اطالعات پیشنهاد شده است که در نهایت یکی از الگوها انتخاب و سپس مورد تحلیل قرار گرفته است تا با کمک الگوی نهایی ارائه شده پیاده سازی سیستم مدیریت امنیت اطالعات در مرکز داده سازمان فناوری اطالعات و ارتباطات شهرداری تهران انجام پذیرد. میزان موفقیت الگوی جدول 1. لیست اهداف کنترلی استانداردهایایزو وایزو )استانداردایزو ) )استانداردایزو ) شماره بخش هدف کنترلی 4 سیاست امنیتی 5 سازماندهی امنیت اطالعات 6 مدیریت دارائی 7 امنیت منابع انسانی 8 امنیت فیزیکی و محیطی 9 مدیریت ارتباطات و عملیات 10 مدیریت کنترل میزان دسترسی 11 اکتساب توسعه و نگهداری سیستمهای اطالعاتی 12 مدیریت حوادث امنیت اطالعات 13 مدیریت تداوم کسب و کار 14 انطباق 1. Friedman 2. DEMATEL 3. PDCA 4. Security policy 5. Organization of information security 6. Asset management 7. Human resources security 8. Physical and environmental security 9. Communications and operations management 10. Access control 11. Information systems acquisition, development and maintenance 12. Information security incident management 13. Business continuity management 14. Compliance

5 دوماهنامه شهرنگار شماره ارائه شده به میزان کاهش ریسک امنیت اطالعات )پس از اجرای الگو در مرکز داده مزبور( وابسته ميباشد روش تحقیق مطالعه موردی تحقيق حاضر از نظر هدف از نوع کاربردي است و از نظر تحقیقات و نحوه گردآوری دادهها بهصورت توصیفی با روش همبستگی انجام گرفته است و از نظر نحوه اجرای تحقیق از نوع توصیفی پیمایشی است و جامعه آماری خبرگان مرکز داده سازمان فناوری اطالعات و ارتباطات شهرداری تهران ميباشند و ابزار گردآوری دادهها پرسشنامه میباشد. به هر فرد خبره در ابتدا پرسشنامه اول داده شده بود که مربوط به شناسایی عوامل یازده گانه موثر بر سیستم مدیریت امنیت اطالعات در مرکز داده سازمان فناوری اطالعات و ارتباطات شهرداری تهران ميباشد که خبرگان جواب هر پرسش را بهصورت اعداد بین یک تا ده انتخاب کرده اند که عدد یک به منزله عدم موافقت کامل و عدد 10 به منزله موافقت کامل ميباشد و پس از انجام آزمونهای الزم و بررسی فرضیات مربوطه عوامل بدست آمده از فرضیات مزبور در پرسشنامه دوم گنجانده شده است و سپس به خبرگان پرسشنامه دوم داده شد تا نظر سنجی در مورد میزان تأثیر عوامل مزبور بر یکدیگر به عمل آید تا با توجه به آن اولویت بندی عوامل شناسایی شده انجام پذیرد و با رویکرد اولویت بندی عوامل الگوی نهایی ارائه گردد. برای پایایی پرسشنامهها از آلفای کرونباخ استفاده شده است و دادههای مربوطه با کمک نرم افزار spss مورد پردازش قرار گرفته اند. متغیرهای مستقل تماميعوامل یازده گانه موثر بر سیستم مدیریت امنیت اطالعات در مرکز داده سازمان فناوری اطالعات و ارتباطات شهرداری تهران طبق استانداردایزو میباشند و متغیر وابسته سیستم مدیریت امنیت اطالعات در مرکز داده سازمان فناوری اطالعات و ارتباطات شهرداری تهران طبق استاندارد ایزو ميباشد اولویت بندی عوامل موثر بر سیستم مدیریت امنیت اطالعات با کمک آزمون فریدمن آزمون فریدمن با استفاده از دادههای حاصله از پرسشنامه در سطح اطمینان آزمون %95 و خطای نوع اول %5 )0/05 = α( انجام پذیرفت که مطابق جدول 2 رتبه بندی عوامل با توجه به نتایج آزمون فریدمن بدست آمد اولویت بندی عوامل موثر بر سیستم مدیریت امنیت اطالعات با کمک تکنیک دیماتل با توجه به دادههای حاصله از پرسشنامه دوم میزان تأثیر گذاری عوامل موثر بر سیستم مدیریت امنیت اطالعات بر یکدیگر اندازه گیری ميگردد و با کمک تکنیک دیماتل و دادههای مربوطه عالوه بر مشخص شدن میزان اثرپذیری و اثرگذاری عوامل بر روی یکدیگر رابطه علی و تعاملی بین عوامل نیز مشخص ميگردد و براین مبنا عوامل فوق الذکر رتبهبندی و اولویتبندی ميشوند که در جدول 3 و شکل 2 مشاهده میگردد الگوی نهایی الگوی پیشنهادی با رویکرد اولویت بندی عوامل موثر بر سیستم مدیریت امنیت اطالعات با کمک آزمون فریدمن به دلیلاینکه به تأثیر عوامل بر روی یکدیگر توجه نشده است در نظر گرفته نميشود و کنار گذاشته میشود و الگوی پیشنهادی بر اساس مدل چرخشی دمینگ و با رویکرد اولویت بندی عوامل موثر بر سیستم مدیریت امنیت اطالعات با کمک تکنیک دیماتل با توجه هر دو شاخصه تعامل و علیت در نظر گرفته میشود که به صورت ذیل میباشد: در هر کدام از فازهای چهارگانه چرخشی طرح اجرا بازنگری و پایش کنش )با توجه به مدل چرخشی دمینگ( مراحل ذیل به ترتیب از مرحله اول تا مرحله ششم )برای توجه به عوامل موثر بر سیستم مدیریت امنیت اطالعات( انجام ميشود: مرحله اول: به عامل C )مدیریت دارایی( توجه شود. مرحله دوم: به عامل K )انطباق( و عامل F )مدیریت ارتباطات و عملیات( توجه شود. مرحله سوم: به عامل H )اکتساب توسعه و نگهداری سیستمهای اطالعاتی( و عامل J )مدیریت تداوم کسب و کار( توجه شود. مرحله چهارم: به عامل G )مدیریت کنترل میزان دسترسی( و عامل D )امنیت منابع انسانی( و عامل I )مدیریت حوادث امنیت اطالعات( توجه شود. مرحله پنجم: به عامل B )سازماندهی امنیت اطالعات( توجه شود. مرحله ششم: به عامل E )امنیت فیزیکی و محیطی( و عامل A )سیاست امنیتی( توجه شود.

6 83 Bimmonthly, No جدول 2. رتبه بندی عوامل با توجه به نتایج آزمون فریدمن عوامل موثر بر سیستم مدیریت امنیت اطالعات سیاست امنیتی امنیت منابع انساني امنیت فيزيکي و محیطی مدیریت حوادث امنیت اطالعات مدیریت دارايي اکتساب توسعه و نگهداری سیستمهای اطالعاتی سازماندهي امنیت اطالعات مدیریت ارتباطات و عملیات انطباق مدیریت کنترل میزان دسترسي مدیریت تداوم کسب و کار رتبه حاصله 8/23 6/55 6/45 6/24 6/06 5/82 5/76 5/65 5/53 5/32 4/39 شکل 2. نمودار مختصات دکارتي برونداد دیماتل R D 0.6 C 0.4 K F 0.2 H J G R+D D 0 I B E A 0.8 جدول 3. مقادیر حاصله در روش دیماتل R-D R+D D R عوامل موثر بر مدیریت سیستم امنیت اطالعات نقاط متناظر با عامل موثر 0/28 3/16 1/44 1/72 K انطباق 0/14 3/19 1/52 1/66 J مدیریت تداوم کسب و کار 0/02 3/76 1/87 1/89 I مدیریت حوادث امنیت اطالعات 0/15 3/61 1/73 1/88 اکتساب توسعه و نگهداری H سیستمهای اطالعاتی 0/09 3/92 1/92 2/01 G مدیریت کنترل میزان دسترسی 0/24 3/43 1/6 1/83 مدیریت ارتباطات و عملیات F -0/67 4/63 2/65 1/98 E امنیت فیزیکی و محیطی 0/06 3/74 1/84 1/9 D امنیت منابع انسانی 0/48 3/38 1/45 1/93 C مدیریت دارایی -0/12 4/12 2/12 2 سازماندهی امنیت اطالعات B -0/69 4/94 2/81 2/13 A سیاست امنیتی

7 70-71 شماره شهرنگار دوماهنامه 84 نتیجهگیری: ïïï اطالعات امنیت برانگیز چالش موضوع اهمیت به توجه با سرمایه به شدیدی نیاز الکترونیک شهرداری مبحث در مقوله در شهری ارشد مدیریت حمایت و آموزش گذاری در اطالعات گردش تا ميگردد احساس اطالعات امنیت و پذیرد انجام مشکالت حداقل با الکترونیک شهرداری به عمدی غیر و عمدی حرکت هرگونه جلوی حداالمکان ارزش با اطالعات از احتمالی استفاده ء سو و دزدی منظور در ریسک و شود گرفته الکترونیک شهرداری در شهروندان خدمت در وقفه و اطالعات خرابی و نابودی و افتادن خطر مشکل بروز احتمال کاهش هدف با یابد. کاهش نیز رسانی در رسانی خدمت میزان و کیفیت بردن باال و اطالعات برای در اطالعات امنیت مدیریت سیستم الکترونیک شهرداری خانوادهایزو استاندارد در شده مطرح پیشنهادی الگوی قالب و است شده ارائه کنترلی( موارد انجام در تأکید )با فناوری از نگهداری و سازی پیاده طراحی تماميمراحل در بایستی میباشد الکترونیک شهرداری شالوده که اطالعات اهداف به نیل مسیر در جامعه تا داشت ویژه توجه مهم بهاین بردارد. موثری گامهای خود استراتژیک و مدت دراز منابع: ïïï مدیریت سیستم سازی پیاده راهنمای )1383( محمود. خالقی 1. جمهوری ریاست اطالعات فناوری مرکز اطالعات امنیت کشور اطالعات تبادل فضای امنیت عالی شورای دبیرخانه متقابل رابطه )1388( راویا و مذهب احسام پریسا روحانی 2. کنفرانس دومین الکترونیک شهرداری و الکترونیک شهر و شهرداریها سازمان تهران الکترونیکی شهرداری بینالمللی کشور دهداریهای EMUN02_032.html اطالعات فناوری جامع نظام )1386( عبدالمجید. ریاضی 3. فناوری معاونت اطالعات فناوری و ارتباطات وزارت کشور اطالعات. چشمانداز سند نظام ) 1382 ( مصلحت تشخیص مجمع افق در اسالميایران جمهوری سیستم برای الگو ارائه )1393( دیگران. و محمد سید نعمتیان 5. مورد استانداردایزو اساس بر اطالعات امنیت مدیریت شهرداری ارتباطات و اطالعات فناوری سازمان داده مرکز کاوی تهران 6. Bisson Jacquelin, Saint-Germain Rene, (2005), The BS 7799/ISO Standard For a better approach to information security,callio technologies 7. Mayer Nicolas.,(2009), Model-based Management of Information System Security Risk,Press universitaries de Namur 8., (2005), Standard ISO/IEC 27001:2005 Information technology -security techniques - Information Security Management Systems - Requirements, ISO/IEC 9.,(2005),Standard ISO/IEC 27002:2005 Information technology - security tecniques - code of practice for information security management, ISO/IEC 10.,(2009), Information Security Plan for the State of Oregon, Department Of Administrative service, DAS September 2009, gov/das/cio/eso/pub/infosecurityplan finalapproved pdf