امنیت اطلاعات فقط به حفاظت از پایگاه داده اصلی محدود نمی‌شود
اطلاعات شخصی شما ممکن است خارج از سامانه اصلی افشا شود؛ خطر پنهان تجمیع داده‌ها چیست؟
نشت اطلاعات همیشه از پایگاه داده اصلی اتفاق نمی‌افتد. با خطر تجمیع داده‌های کاربران، دسترسی پیمانکاران و راهکارهای حفاظت از حریم خصوصی آشنا شوید.
نشت اطلاعات همیشه نتیجه نفوذ مستقیم به پایگاه داده اصلی یک سازمان نیست. گاهی اطلاعات کاربران در جریان ارائه خدمات، تبادل داده با سامانه‌های دیگر یا دسترسی پیمانکاران به اطلاعات، در نقاطی خارج از زیرساخت اصلی سازمان در معرض افشا قرار می‌گیرد. هشدار اخیر رئیس مرکز فرماندهی عملیات امنیت سایبری کشور درباره تجمیع اطلاعات در بخش‌های ثالث، بار دیگر اهمیت حفاظت از داده‌ها در تمام مراحل جمع‌آوری، پردازش و انتقال را مطرح کرده است.
اطلاعات کاربران چگونه خارج از پایگاه داده اصلی در معرض خطر قرار می‌گیرد؟
بسیاری از خدمات دیجیتال برای فعالیت به اطلاعاتی نیاز دارند که ممکن است در اختیار چند سازمان یا شرکت مختلف قرار داشته باشد. برای مثال، ارائه یک خدمت آنلاین می‌تواند به دریافت اطلاعات هویتی، بررسی وضعیت مالی یا استعلام اطلاعات از یک پایگاه داده دیگر وابسته باشد. در چنین شرایطی، اطلاعات برای انجام فرایند موردنظر میان سامانه‌های مختلف جابه‌جا می‌شود و ممکن است بخشی از آن در زیرساخت‌های واسط یا سامانه‌های متعلق به ارائه‌دهندگان خدمات ذخیره شود.
این فرایند به‌خودی‌خود غیرعادی یا ناامن نیست؛ بسیاری از خدمات دیجیتال بر اساس تبادل داده میان سامانه‌ها فعالیت می‌کنند. مشکل زمانی ایجاد می‌شود که دسترسی به اطلاعات بیش از نیاز واقعی باشد، داده‌ها بدون محدودیت زمانی نگهداری شوند یا نظارت کافی بر نحوه استفاده و حفاظت از آن‌ها وجود نداشته باشد. در چنین وضعیتی، حتی اگر پایگاه داده اصلی یک سازمان از تجهیزات امنیتی مناسبی برخوردار باشد، نسخه‌های منتقل‌شده یا اطلاعات ذخیره‌شده در سامانه‌های دیگر می‌توانند به نقطه‌ای آسیب‌پذیر تبدیل شوند.
تجمیع اطلاعات چگونه خطر نقض حریم خصوصی را افزایش می‌دهد؟
تجمیع داده‌ها به معنای جمع‌آوری اطلاعات از منابع مختلف و قرار دادن آن‌ها در کنار یکدیگر برای پردازش، تحلیل یا ارائه خدمات است. این روش در بسیاری از کسب‌وکارها و خدمات الکترونیکی کاربرد دارد؛ اما ترکیب اطلاعاتی که به‌صورت جداگانه ممکن است حساسیت محدودی داشته باشند، می‌تواند تصویر دقیق‌تری از هویت، فعالیت‌ها و شرایط افراد ایجاد کند.
برای نمونه، اطلاعات هویتی یک فرد در کنار سوابق مالی، اطلاعات تماس و داده‌های مربوط به استفاده از خدمات آنلاین می‌تواند امکان شناخت دقیق‌تری از او فراهم کند. اگر چنین مجموعه‌ای بدون مجوز معتبر یا خارج از هدف اولیه جمع‌آوری اطلاعات مورد استفاده قرار بگیرد، خطر نقض حریم خصوصی افزایش پیدا می‌کند. همچنین دسترسی غیرمجاز به یک مجموعه تجمیع‌شده ممکن است اطلاعات بیشتری را نسبت به افشای یک پایگاه داده محدود در اختیار مهاجم قرار دهد.
این مسئله فقط به سرقت اطلاعات از طریق حملات سایبری محدود نیست. استفاده فراتر از هدف تعیین‌شده، نگهداری غیرضروری داده‌ها و اشتراک‌گذاری بدون کنترل نیز می‌توانند زمینه سوءاستفاده از اطلاعات شخصی را فراهم کنند. بنابراین، امنیت داده‌ها علاوه بر ابزارهای فنی، به سیاست‌های روشن درباره چرایی جمع‌آوری اطلاعات، نحوه استفاده از آن‌ها و اشخاص مجاز برای دسترسی وابسته است.
ارزیابی امنیت پایگاه‌های داده ملی؛ تمرکز بر سامانه‌های متصل و محل تجمیع اطلاعات
در همین زمینه، علی حجت، رئیس مرکز فرماندهی عملیات امنیت سایبری کشور، از آغاز ارزیابی‌های تخصصی پایگاه‌های داده ملی خبر داده است. به گفته او، بررسی‌های امنیتی نباید صرفاً به ارزیابی زیرساخت اصلی و وجود ابزارهایی مانند مرکز عملیات امنیت (SOC) محدود شود؛ بلکه نحوه پیکربندی، عملکرد واقعی سامانه‌های تشخیص و پاسخ به تهدیدات و امنیت سرویس‌هایی که به این پایگاه‌ها متصل هستند نیز باید بررسی شود.
حجت همچنین با اشاره به راه‌اندازی سامانه ملی تبادل اطلاعات تهدیدات سایبری و سامانه حکمرانی امنیت سایبری، بر ضرورت اشتراک‌گذاری اطلاعات مربوط به شیوه‌های نفوذ و ردپای مهاجمان میان دستگاه‌ها تأکید کرده است. اجرای برنامه‌های باگ‌بانتی برای پایگاه‌های داده ملی نیز از دیگر اقداماتی است که با هدف شناسایی آسیب‌پذیری‌های احتمالی از طریق مشارکت متخصصان امنیت سایبری دنبال می‌شود.
این اقدامات در کنار یکدیگر نشان می‌دهند که ارزیابی امنیت پایگاه‌های داده باید فراتر از حفاظت از سرور اصلی انجام شود و سامانه‌های واسط، مسیرهای تبادل اطلاعات و محل‌های نگهداری داده‌های منتقل‌شده را نیز در بر بگیرد.
چرا امنیت پیمانکاران و سامانه‌های واسط اهمیت دارد؟
سازمان‌ها برای ارائه خدمات دیجیتال ممکن است بخشی از فعالیت‌های خود را به شرکت‌های پیمانکار یا ارائه‌دهندگان خدمات فناوری اطلاعات واگذار کنند. این شرکت‌ها در برخی موارد برای پشتیبانی، پردازش اطلاعات یا نگهداری زیرساخت‌ها به داده‌های سازمان دسترسی دارند. به همین دلیل، امنیت اطلاعات تنها به شبکه و سرورهای متعلق به سازمان اصلی محدود نمی‌شود و باید تمام مجموعه‌هایی را که به داده‌ها دسترسی دارند نیز در بر بگیرد.
اگر دسترسی پیمانکاران به اطلاعات به‌درستی محدود نشده باشد، حساب‌های کاربری بدون استفاده همچنان فعال بمانند یا سامانه‌های واسط از آسیب‌پذیری‌های شناخته‌شده رنج ببرند، مهاجمان ممکن است از همین نقاط برای دسترسی به اطلاعات استفاده کنند. به همین دلیل، سازمان‌ها باید مشخص کنند هر پیمانکار به چه داده‌هایی نیاز دارد، این دسترسی برای چه مدتی فعال است و فعالیت‌های انجام‌شده با اطلاعات چگونه ثبت و بررسی می‌شود.
یکی از اصول مهم در این زمینه، حداقل‌سازی دسترسی است؛ یعنی هر فرد یا سامانه فقط باید به اطلاعاتی دسترسی داشته باشد که برای انجام وظیفه مشخص خود به آن نیاز دارد. علاوه بر این، استفاده از ارتباطات رمزنگاری‌شده، احراز هویت مناسب، ثبت رویدادهای دسترسی و بررسی امنیتی سرویس‌های متصل می‌تواند احتمال دسترسی غیرمجاز را کاهش دهد.
سازمان‌ها چگونه از نشت اطلاعات در زنجیره تبادل داده جلوگیری کنند؟
حفاظت از اطلاعات باید از زمان جمع‌آوری داده آغاز شود و تا پایان دوره نگهداری و حذف آن ادامه پیدا کند. سازمان‌ها پیش از تبادل اطلاعات باید مشخص کنند چه داده‌هایی برای ارائه یک خدمت ضروری هستند و آیا امکان انجام همان فرایند با اطلاعات محدودتر وجود دارد یا خیر. جمع‌آوری و انتقال داده‌های بیشتر از نیاز واقعی، سطح مواجهه با خطر را افزایش می‌دهد و در صورت وقوع رخداد امنیتی، دامنه اطلاعات افشاشده را نیز گسترده‌تر می‌کند.
در مرحله بعد، باید مسیر حرکت اطلاعات میان سامانه‌ها مشخص باشد. سازمان‌ها لازم است بدانند داده‌ها از کدام پایگاه دریافت می‌شوند، در چه سرویس‌هایی پردازش می‌شوند، چه اشخاص یا شرکت‌هایی به آن‌ها دسترسی دارند و در چه محل‌هایی نگهداری می‌شوند. بررسی دوره‌ای دسترسی‌ها، حذف مجوزهای غیرضروری، رمزنگاری اطلاعات حساس و ارزیابی امنیت پیمانکاران از اقداماتی است که می‌تواند نقاط ضعف این زنجیره را کاهش دهد.
همچنین وجود مرکز عملیات امنیت (SOC) یا سامانه‌های تشخیص و پاسخ به تهدیدات به‌تنهایی کافی نیست. این ابزارها باید به‌درستی پیکربندی شوند و توانایی شناسایی رفتارهای غیرعادی، دسترسی‌های مشکوک و انتقال غیرمعمول اطلاعات را داشته باشند. ارزیابی امنیتی مستمر، آزمون نفوذ و استفاده از ظرفیت پژوهشگران امنیت سایبری در قالب برنامه‌های باگ‌بانتی نیز می‌تواند به شناسایی ضعف‌هایی کمک کند که در بررسی‌های معمول از دید سازمان پنهان می‌مانند.
کاربران هنگام ارائه اطلاعات شخصی به سرویس‌های آنلاین چه نکاتی را رعایت کنند؟
کاربران نیز می‌توانند با رعایت چند اصل ساده، احتمال سوءاستفاده از اطلاعات شخصی خود را کاهش دهند. پیش از ثبت‌نام در یک سرویس یا ارسال مدارک هویتی، بهتر است ضرورت درخواست اطلاعات و اعتبار ارائه‌دهنده خدمت بررسی شود. اگر یک سرویس برای انجام کاری ساده اطلاعاتی نامرتبط یا بیش از نیاز درخواست می‌کند، باید درباره دلیل دریافت آن‌ها حساس بود.
همچنین نباید تصویر مدارک هویتی، اطلاعات بانکی یا کدهای تأیید را در اختیار اشخاص و حساب‌های ناشناس قرار داد. استفاده از گذرواژه‌های منحصربه‌فرد، فعال‌سازی احراز هویت دو مرحله‌ای و بررسی پیام‌های مربوط به ورود یا دسترسی به حساب‌ها نیز به کاهش خطر سوءاستفاده کمک می‌کند. البته کاربران نمی‌توانند به‌تنهایی امنیت زیرساخت‌هایی را که اطلاعاتشان در آن‌ها پردازش می‌شود تضمین کنند؛ مسئولیت اصلی حفاظت از داده‌ها بر عهده سازمان‌ها و ارائه‌دهندگان خدماتی است که اطلاعات را جمع‌آوری و نگهداری می‌کنند.
امنیت اطلاعات به حفاظت از تمام مسیرهای دسترسی وابسته است
اظهارات اخیر رئیس مرکز فرماندهی عملیات امنیت سایبری کشور درباره دشواری شناسایی منشأ نشت اطلاعات، نشان می‌دهد ارزیابی امنیتی پایگاه‌های داده باید فراتر از بررسی زیرساخت اصلی انجام شود. زمانی که اطلاعات میان چند سامانه جابه‌جا می‌شود یا در اختیار بخش‌های ثالث قرار می‌گیرد، هر نقطه از این مسیر می‌تواند در صورت نبود کنترل‌های مناسب به محلی برای افشای داده‌ها تبدیل شود.
در نهایت، حفاظت از اطلاعات شهروندان تنها با خرید تجهیزات امنیتی یا نصب سامانه‌های تشخیص حمله محقق نمی‌شود. سازمان‌ها باید بر تمام چرخه عمر داده، از جمع‌آوری و پردازش تا انتقال، اشتراک‌گذاری و حذف آن نظارت داشته باشند. هرچه تعداد سامانه‌های درگیر و اشخاص دارای دسترسی بیشتر باشد، ضرورت مدیریت دقیق‌تر این زنجیره نیز افزایش پیدا می‌کند.
