diamonds55
15th October 2008, 04:27 AM
مشكلات فناوري اطلاعات
چكيده
:
شايد مساله امنيت در هيچ برهه‌اي از زمان چنين بااهميت و مشكل‌ساز نبوده است. گسترش روزافزون خدمات مبتني بر وب و شبكه‌هاي به‌هم‌پيوسته سازمان‌ها از سويي، و روي آوردن تبهكاران به فناوري و شيوه‌هاي تكنولوژيك شيادي، كار متخصصين امنيت را روزبه‌روز سخت‌تر مي‌كند. ليستي كه در ادامه مي‌آيد ده مورد از برترين موارد امنيتي خاص فناوري اطلاعات مي‌باشد.
كليد واژه:
امنيت، شبكه، اينترنت، فناوري اطلاعات، آسيب‌پذيري، سازمان
Security, network, Internet, Information technology, vulnerability, organization
</SPAN>
امنیت مساله‌ای است كه از قدیم وجود داشته و منحصر به حادثه 11 سپتامبر نیست. هميشه دليلي براي نگراني هست: تضاد اولویت‌ها، عوامل محیطی مربوط به كسب و كار، حساسیت‌های مربوط به اطلاعات، نبود كنترل بر اینترنت، انحرافات اخلاقی، فعالیت‌های تبهكارانه، بی‌دقتی و سطوح بالاتری از ارتباط و آسیب‌پذیری، از جمله دلایل نياز به رعایت امنیت هستند. بین محدود كردن خطر و بازدهی رابطه‌ای برقرار است: 100% امنیت مساوی است با 0 % بازدهی، اما 0% امنیت مساوی با 100 % بهره‌وری نیست.
هیچ كس تمایلی ندارد تا فعالیت‌هایش كنترل شود. این امر باعث كاهش بهره‌وری می‌شود و ما از اين كه، تلويحا، در مورد اين كه ممكن است باعث خرابي شبكه شويم، مورد اعتماد نيستيم دچار آزردگي خاطر مي‌شويم. از سوی دیگر سازمان‌ها باید مساله این را در نظر بگیرند كه تا چه مدت می‌توانند بدون كامپیوتر یا شبكه كار كنند و یا این كه تا چه میزان می‌توانند به صحت و در دسترس بودن داده‌ها تكیه كنند. امنیت مطلق، امری دست‌نیافتنی و دور از انتظار است، بنابراین امنیت صحیح را مي‌توان كنترل و نظارت به منظور كاهش سطوح خطرات بالقوه دانست.
1- تهدیدات نفوذ به سیستم
راه‌های مختلفی براي به خطر انداختن سيستم وجود دارد. اصطلاح عامه، در زمان جنگ جهانی دوم این بود كه " اگر لب باز كنی كشتی‌ها غرق می‌شوند،" یعنی این كه طوری باید آگاه و گوش‌به‌زنگ باشی كه هرگز اجازه ندهی كه به طور مخفیانه به حرف‌های‌تان گوش دهند، حتی در حالت غیر عادی و ناآگاهی. بیشتر ما كم و بیش در انجمن‌های حرفه‌ای، رويدادهاي عمومي یا دیگر مجامع با افرادی حرفه‌ای سر و كار داریم. به طور خیلی تصادفی و بسیار راحت می‌توان اطلاعات مهم و حساسي را فاش كرد كه، گرچه غیراخلاقی و حتی غیر قانونی، به سود یك سازمان و به بهای ضرر دیگری تمام شود.
دور ریختن اطلاعات محرمانه به شكل كاغذ‌هاي زباله و دیگر اطلاعات شخصی بدون از بین بردن كامل آنها، باعث قرار دادن این اطلاعات در دسترس افراد سود جو می‌شود. سیستم‌هایی كه امنیت آنها ضعیف و به طور نامناسبي طراحی شده است (امنیت در سطح ساده و گذرواژه‌هايي[1] كه حدس زدن‌شان آسان است و یا داده‌های فاقد گذرواژه) همچون پلی به سوی مشكلاتي غيرقابل پيش‌بيني عمل مي‌كنند.
شبكه‌هایی كه از دیواره‌های آتش، *****های ضدویروس و ضدهرزنامه‌هاي نامناسب(يا به شكل نامناسب) استفاده می‌كنند به آسانی در معرض نفوذ قرار می‌گیرند. براي مقابله با اين معضل بايد بودجه امنیتی كافی در نظر گرفت. اگر مدیریت بودجه استانداردهای امنیتی را به عنوان هزینه‌های احتیاطی و برگشت‌ناپذیر در نظر بگیرد، در واقع حیات سازمان را به خطر انداخته است. اصولا، پذیرفتن مسئولیت در قبال اقدام‌ها (و یا سهل‌انگاری‌ها) همراه با درك صحیح از خط مشی امنیتی، بهترین راهكار در برابر نفوذ و رخنه‌ها است.
2- حقایقی درباره امنیت اینترنت
اینترنت كه در ابتدا برای كاربردهای نظامی ساخته شده بود، امروزه امكانات حفاظتي و امنیتي ناچیزی در قبال اطلاعات در اختیار دارد. مدیران سایت‌های اینترنتی پیام‌هايي را مشاهده می‌كنند كه بدون رمزگذاري مناسب فرستاده شده‌اند و همین امر باعث ايجاد خطر می‌شود. اینترنت به طور خودكار از اطلاعات سازمانی محافظت نمی‌كند و این سازمان‌ها هستند كه باید راسا در این باره اقدام كنند. بدون كنترل مناسب (و حتی گاهي با وجود آن،) كارمندان به سادگی به اطلاعات دسترسی دارند؛ حتی می‌توانند این اطلاعات را با خود به خانه ببرند. مهاجمان به شبكه‌ها و كامپیوترهای شخصی دسترسی دارند. عموما منبع ارسال كننده پیام‌های خارجی ناشناخته مي‌مانند و از سوي ديگر، ارسال كنندگان پیام هم نمی‌دانند كه چه كسانی به جز گیرنده اصلي (و یا حتی به جای او) پیام آنها را می‌خواند.
جامعه هكرها به طور فزاینده‌اي در حال رشد است و این افراد به شكل گسترده‌ای باهم در ارتباطند. شبكه‌ها به راحتی و به طور بسیار گسترده در معرض خطر قرار گرفته‌اند. اینترنت فضایی باز و شبكه‌ای بدون نظارت است كه یقینا نمي‌توان آن را طبق نیاز سازمان‌ها تغيير داد. نفوذهای شناخته شده به طور خودكار اصلاح نمي‌شوند. در حقیقت، اكثر مشكلات امنیتی در اینترنت ناشی از خود اینترنت نیستند. سازمان‌ها باید اینترنت را محیطی بالقوه برای عملیات خصمانه فرض كنند و با استفاده از رمزگذاری، پنهان كردن كامل اطلاعات حساس، امضاهای دیجیتالی برای اعتبارسنجي پیام‌ها، دیواره‌های آتش با كیفیت بالا و دیگر *****ها، برنامه‌های ارتباطی و هشداردهنده برای كارمندان و نظارت‌های داخلی مناسب و در حد معقول، خود را در برابر خطرات احتمالی محافظت نمایند.
3- قابلیت حمل سخت‌افزار
هموار كردن مسیر برای افرادی كه با كامپیوتر سفر می‌كنند، نوعی چالش امنیتی به حساب می‌آید. ديسك‌هاي سخت سریع‌تر و بزرگتر و پردازنده‌های قدرتمندتر امكان دريافت و استفاده نسخه‌های محلی پایگاه داده‌های حساس و محرمانه را فراهم می‌كنند. اینترنت كه در همه جا موجود است اجازه ارتباط با شبكه و سیستم‌هایی را كه در محل كار از آنها استفاده می‌كنیم فراهم می‌آورد. خدمات مبتني وبي از قبیل Groove می‌تواند برای "دور زدن" سياست‌هاي مدون شركت‌ها مورد سوءاستفاده واقع شوند.
لپ‌تاپ‌ها حداقل باید با دو مرحله كنترل امنیتی شامل تركیبی از رمزگذاري گذرواژه و شناسه كاربر[2] و ابزارهای زيست‌سنجي[3] و نظایر آن، در برابر این نفوذها محافظت شوند. سازمان‌ها باید سياست‌هاي صریح و محكمی را در قبال استفاده از فناوری در شرایط سفر اتخاذ نمایند.
4- ازدیاد روش‌های ارتباطی جدید
آیا سازمان شما برای ارتباط با شبكه از PDAهایی همانند BlackBerry و یا Treo استفاده می‌كند؟ آیا این ابزارها به خودی خود امن هستند؟ بسیاری از شركت‌ها درك درستی از تهدیدات امنیتی این ابزارهای كوچك ندارند. این ابزارها عموما، به سرویس‌های مركزی شركت‌ها، مانند Outlook و یا Lotus Notes، متصل می‌شوند و ارتباطي همزمان، دايمی، خودكار و بی‌سیم را با پست الكترونیكی، تقویم و دفترچه نشاني‌ها فراهم می‌كنند. ابزار آسیب‌پذيري كه به خاطر لو رفتن گذرواژه‌اش ناامن شده، می‌تواند يك دسترسی مجازی به آن سیستم‌ها فراهم كند. این تاثیر، دست كم می‌تواند باعث افزایش صورت‌حساب تلفن همراه شود.
شركت‌ها باید علی‌رغم مشكلات مربوط به گذرواژه، از این قابلیت در چنین ابزارهایی استفاده كنند، به طوري كه از همان قوانیني تبعيت كنند كه براي شبكه محلي استفاده مي‌شود. اين قوانين مي‌تواند شامل قالب و فواصل زماني تغيير رمزواژه شود. همچنين بايد سياستي اتخاذ شود كه گم شدن چنين ابزارهایي سریعا گزارش و سيگنال خاصي براي از بين بردن يا بي‌مصرف نمودن داده‌هاي ذخيره شده در آنها ارسال شود.
5- پیچیدگی نرم‌افزار
اين حقیقت كه سیستم‌ها و برنامه‌هاي نرم‌افزاري از اجزای متعدد و به‌هم‌پيوسته‌اي تشكيل شده‌اند كه ايمن كردن تك‌تك‌‌شان امري دشوار است، دستاویز مناسبي برای فراهم نكردن سطوح چندگانه امنیت نيست. كاربرانی كه برای دسترسی به شبكه عمومی انتخاب می‌شوند، لزوما نباید صلاحیت دسترسی به اجزای اصلی خاص مربوط به شبكه و یا حتی به محیط یكپارچه‌اي مانند نرم‌افزار برنامه‌ريزي منابع ابرسازماني[4] را داشته باشند. از سوي ديگر، مطالعات و بررسی‌ها نشان می‌دهد كه وجود رمزواژه‌هاي فراوان در یك سازمان گاهي باعث می‌شود كارمندان سازمان را ترك كنند! كاربران بعضی از شركت‌ها باید تركیبی از گذرواژه و شناسه كاربري، هر كدام با بیش از 15 كاراكتر را حفظ كنند. روش‌های مبتني بر "يك بار ورود"[5] قابلیتی را ارايه می‌دهند كه با استفاده از آن می‌توان سیستم‌ها را، جزء به جزء، بر پایه يك دسترسی واحد ایمن كرد. با انجام این كار دیگر لزومی به تن دادن كاربران به موارد امنیتي طاقت‌فرسا نیست.
6- ميزان ارتباط بين‌شبكه‌‌ايشكل دیگر پیچیدگی مربوط
به ميزان ارتباط بين‌شبكه‌‌اي است كه نیازمند شناسایی واقعیت‌های مربوط به استفاده عمومی از اینترنت است. فرآیند مربوط به زنجیره تولید به ارتباط بین تهیه كننده مواد خام، تولید كننده، مونتاژ كننده و فروشنده نیاز دارد. مثلی است مشهور كه قدرت زنجیر به ضعیف‌ترین حلقه‌اش وابسته است. حتی اگر سازمان‌های مستقل در يك زنجیره تولید، نظارت‌های امنیتی صحیح و بجایی را بكارگیرند، یك اشتباه از یكی از این زنجیرها (شركا) می‌تواند باعث توقف كامل عملیات تولید شود.
وضعیتی را در نظر بگیرید كه در آن اجزای شبكه يك تولید كننده قطعه در معرض نفوذ و خطر قرار گرفته است. تاخیر یا فقدان یك جز اساسی و یا داده‌های آلوده، همانند یك اشتباه كوچك كه كل گروه تولید را از كار می‌اندازد، تمام فرآیندهای اجزای تشكیل‌دهنده زنجيره را تحت تاثیر منفی قرار می‌دهد. سازمان‌ها باید برآوردی از خطرات فراگیر انجام دهند و تلاش كنند تا شركا و یا تهیه كنندگان‌شان را به اتخاذ نظارت‌های امنیتی مناسب تشویق نمایند و یا لااقل احتمال توقف همكاری با شركاي با ریسك بالا را خاطر نشان نمایند.
7- فراواني و دسترسی رسانه
اطلاعات ثروت، دانش قدرت است. با دانستن این مساله تمام ما مسئول حفظ یكپارچگی و امنیت داده‌های سازماني هستیم كه در آن كار مي‌كنيم. وجود انبوهی از رسانه‌های[6] قابل حمل لزوم رعایت هرچه بیشتر این مسئولیت را دو چندان می‌كند. CD، DVD، فلش‌كارت و دیگر رسانه‌های قابل حمل كه ظرفیت ذخیره چندین گیگابایت داده، در هر قالبي، را دارند، امكان دسترسی به اطلاعات را برای همگان راحت كرده است.
كاربران شركت‌ها باید از این رسانه‌ها با احتیاط استفاده كنند. خط مشی امنیتی فناوري اطلاعات سازمان باید چنان باشد كه هر داده‌ای كه از طریق USB و یا هر روش دیگری كه برای ایجاد رسانه استفاده می‌شود رمزگذاری شود. خط مشی صحیح و عقل سلیم حكم مي‌كند كه این نوع رسانه‌ها نباید هرگز برای تهیه نسخه‌های تكی از اطلاعات استفاده شوند، به‌خصوص در مورد ماموریت‌های محرمانه شغلی و عملیات حساس. همچنین در زمینه جابجایی موقت این داده‌ها از نقطه‌ای به نقطه دیگر حتما باید محدودیت‌هایی اتخاذ شود.
8- تمركز
در زمینه مسايل امنیتی، كوچك‌ترین قصور و اشتباه می‌تواند منجر به كابوسی هولناك شود. همان طور كه امنیت شبكه، سیستم و داده‌ها برای شركت‌ها حايز اهمیت است، هنگام متمركز كردن اين دارايي‌ها در يك مكان نيز باید نهایت دقت اعمال شود. سازمان‌های كوچك با منابع تكنولوژیكی محدود، به طور اخص، بيشتر در معرض آسیب‌پذیری‌اند، چرا كه عموما یك اتاق شبكه محلي یا یك قفسه سرويس‌دهنده[7] دارند كه كل شبكه سازمان را تشكیل می‌دهد.
دسترسی غیرمجاز، مشكلات برق، مشكلات ارتباطی، ناسازگاری پروتكل‌ها و وجود سیستم مشكوك می‌تواند پیامدهای وخیمی در پی داشته باشد. زمانی كه فناوری موجود، چه به سبب منابع محدود و چه تنها به خاطر رسیدگی به طرحي صحیح و معتبر، متمركز می‌شود، برای اطمینان از تداوم عملكرد باید توجه كافی به نیازهای امنیتی خاص مبذول داشت.
9- تمركززدایی
عكس قضیه تمركز نيز ملاحظات امنیتی خاص خود را دارد. نسخه‌های متعدد از سیستم و یا پایگاه داده‌ها، باید به طور يكساني ایمن شوند. یك نسخه به خطر افتاده، تمام برنامه‌ها را تحت تاثیر قرار می‌دهد. یكی از موقعیت‌های دشوار در مورد سازمان‌های جهانی كه در كشورهای مختلف حضور دارند، زمانی است كه دسترسی به اینترنت قابل اطمینان یا پایدار وجود ندارد. در این مورد بهترین راه نصب سرور DNS توزیع شده برای هم‌گام شدن با شبكه اصلی شركت به صورت غيربرخط[8] است. این روش كه به صورت محلی استفاده می‌شود اگرچه ممكن است داده‌های آن بلادرنگ[9] نباشد ولی لااقل نسخه جامع و به اندازه نيم روز قدیمی‌اي از داده‌هاي ضروري را در اختيار مي‌گذارد. از آن جايي كه چنين كاري مستلزم قرار دادن اطلاعات حساس و محرمانه شركت در معرض ديد است، لذا رويه‌ها و سياست‌هايي بايد اعمال شود كه براي تسهیلات غيرمتمركز نیز همان سطح امنیت را در نظر بگیرد كه براي شبكه اصلی شركت لحاظ مي‌كند، تا بدين وسيله، از وقوع خطرات احتمالی جلوگیری شود.
10- جابجايي
كارمندانی كه شغل خود را تغییر می‌دهند نوعی چالش امنیتی سخت و خاصی را براي شركت‌ها ایجاد می‌كنند. یك نسل پیش به‌سادگی كلید را می‌چرخاندید و كارتان را ادامه مي‌داديد. اما اكنون كه كلیدهای ورودی به سیستم‌ها مجازی هستند، دیگر كار بدان راحتی نیست.
هر دسترسی‌اي كه به كارمندي داده می‌شود باید ردگیری شود، تا در زمان جدایي‌اش از شركت، دسترسی او غيرفعال شود. گاهي، وقتي كه كارمند بلندپايه‌اي از سازمان به سازماني ديگر مي‌رود، لازم است نظام امنیتی برای ديگر افرادی كه در سازمان باقي مي‌مانند كلا تغيير كند
چكيده
:
شايد مساله امنيت در هيچ برهه‌اي از زمان چنين بااهميت و مشكل‌ساز نبوده است. گسترش روزافزون خدمات مبتني بر وب و شبكه‌هاي به‌هم‌پيوسته سازمان‌ها از سويي، و روي آوردن تبهكاران به فناوري و شيوه‌هاي تكنولوژيك شيادي، كار متخصصين امنيت را روزبه‌روز سخت‌تر مي‌كند. ليستي كه در ادامه مي‌آيد ده مورد از برترين موارد امنيتي خاص فناوري اطلاعات مي‌باشد.
كليد واژه:
امنيت، شبكه، اينترنت، فناوري اطلاعات، آسيب‌پذيري، سازمان
Security, network, Internet, Information technology, vulnerability, organization
</SPAN>
امنیت مساله‌ای است كه از قدیم وجود داشته و منحصر به حادثه 11 سپتامبر نیست. هميشه دليلي براي نگراني هست: تضاد اولویت‌ها، عوامل محیطی مربوط به كسب و كار، حساسیت‌های مربوط به اطلاعات، نبود كنترل بر اینترنت، انحرافات اخلاقی، فعالیت‌های تبهكارانه، بی‌دقتی و سطوح بالاتری از ارتباط و آسیب‌پذیری، از جمله دلایل نياز به رعایت امنیت هستند. بین محدود كردن خطر و بازدهی رابطه‌ای برقرار است: 100% امنیت مساوی است با 0 % بازدهی، اما 0% امنیت مساوی با 100 % بهره‌وری نیست.
هیچ كس تمایلی ندارد تا فعالیت‌هایش كنترل شود. این امر باعث كاهش بهره‌وری می‌شود و ما از اين كه، تلويحا، در مورد اين كه ممكن است باعث خرابي شبكه شويم، مورد اعتماد نيستيم دچار آزردگي خاطر مي‌شويم. از سوی دیگر سازمان‌ها باید مساله این را در نظر بگیرند كه تا چه مدت می‌توانند بدون كامپیوتر یا شبكه كار كنند و یا این كه تا چه میزان می‌توانند به صحت و در دسترس بودن داده‌ها تكیه كنند. امنیت مطلق، امری دست‌نیافتنی و دور از انتظار است، بنابراین امنیت صحیح را مي‌توان كنترل و نظارت به منظور كاهش سطوح خطرات بالقوه دانست.
1- تهدیدات نفوذ به سیستم
راه‌های مختلفی براي به خطر انداختن سيستم وجود دارد. اصطلاح عامه، در زمان جنگ جهانی دوم این بود كه " اگر لب باز كنی كشتی‌ها غرق می‌شوند،" یعنی این كه طوری باید آگاه و گوش‌به‌زنگ باشی كه هرگز اجازه ندهی كه به طور مخفیانه به حرف‌های‌تان گوش دهند، حتی در حالت غیر عادی و ناآگاهی. بیشتر ما كم و بیش در انجمن‌های حرفه‌ای، رويدادهاي عمومي یا دیگر مجامع با افرادی حرفه‌ای سر و كار داریم. به طور خیلی تصادفی و بسیار راحت می‌توان اطلاعات مهم و حساسي را فاش كرد كه، گرچه غیراخلاقی و حتی غیر قانونی، به سود یك سازمان و به بهای ضرر دیگری تمام شود.
دور ریختن اطلاعات محرمانه به شكل كاغذ‌هاي زباله و دیگر اطلاعات شخصی بدون از بین بردن كامل آنها، باعث قرار دادن این اطلاعات در دسترس افراد سود جو می‌شود. سیستم‌هایی كه امنیت آنها ضعیف و به طور نامناسبي طراحی شده است (امنیت در سطح ساده و گذرواژه‌هايي[1] كه حدس زدن‌شان آسان است و یا داده‌های فاقد گذرواژه) همچون پلی به سوی مشكلاتي غيرقابل پيش‌بيني عمل مي‌كنند.
شبكه‌هایی كه از دیواره‌های آتش، *****های ضدویروس و ضدهرزنامه‌هاي نامناسب(يا به شكل نامناسب) استفاده می‌كنند به آسانی در معرض نفوذ قرار می‌گیرند. براي مقابله با اين معضل بايد بودجه امنیتی كافی در نظر گرفت. اگر مدیریت بودجه استانداردهای امنیتی را به عنوان هزینه‌های احتیاطی و برگشت‌ناپذیر در نظر بگیرد، در واقع حیات سازمان را به خطر انداخته است. اصولا، پذیرفتن مسئولیت در قبال اقدام‌ها (و یا سهل‌انگاری‌ها) همراه با درك صحیح از خط مشی امنیتی، بهترین راهكار در برابر نفوذ و رخنه‌ها است.
2- حقایقی درباره امنیت اینترنت
اینترنت كه در ابتدا برای كاربردهای نظامی ساخته شده بود، امروزه امكانات حفاظتي و امنیتي ناچیزی در قبال اطلاعات در اختیار دارد. مدیران سایت‌های اینترنتی پیام‌هايي را مشاهده می‌كنند كه بدون رمزگذاري مناسب فرستاده شده‌اند و همین امر باعث ايجاد خطر می‌شود. اینترنت به طور خودكار از اطلاعات سازمانی محافظت نمی‌كند و این سازمان‌ها هستند كه باید راسا در این باره اقدام كنند. بدون كنترل مناسب (و حتی گاهي با وجود آن،) كارمندان به سادگی به اطلاعات دسترسی دارند؛ حتی می‌توانند این اطلاعات را با خود به خانه ببرند. مهاجمان به شبكه‌ها و كامپیوترهای شخصی دسترسی دارند. عموما منبع ارسال كننده پیام‌های خارجی ناشناخته مي‌مانند و از سوي ديگر، ارسال كنندگان پیام هم نمی‌دانند كه چه كسانی به جز گیرنده اصلي (و یا حتی به جای او) پیام آنها را می‌خواند.
جامعه هكرها به طور فزاینده‌اي در حال رشد است و این افراد به شكل گسترده‌ای باهم در ارتباطند. شبكه‌ها به راحتی و به طور بسیار گسترده در معرض خطر قرار گرفته‌اند. اینترنت فضایی باز و شبكه‌ای بدون نظارت است كه یقینا نمي‌توان آن را طبق نیاز سازمان‌ها تغيير داد. نفوذهای شناخته شده به طور خودكار اصلاح نمي‌شوند. در حقیقت، اكثر مشكلات امنیتی در اینترنت ناشی از خود اینترنت نیستند. سازمان‌ها باید اینترنت را محیطی بالقوه برای عملیات خصمانه فرض كنند و با استفاده از رمزگذاری، پنهان كردن كامل اطلاعات حساس، امضاهای دیجیتالی برای اعتبارسنجي پیام‌ها، دیواره‌های آتش با كیفیت بالا و دیگر *****ها، برنامه‌های ارتباطی و هشداردهنده برای كارمندان و نظارت‌های داخلی مناسب و در حد معقول، خود را در برابر خطرات احتمالی محافظت نمایند.
3- قابلیت حمل سخت‌افزار
هموار كردن مسیر برای افرادی كه با كامپیوتر سفر می‌كنند، نوعی چالش امنیتی به حساب می‌آید. ديسك‌هاي سخت سریع‌تر و بزرگتر و پردازنده‌های قدرتمندتر امكان دريافت و استفاده نسخه‌های محلی پایگاه داده‌های حساس و محرمانه را فراهم می‌كنند. اینترنت كه در همه جا موجود است اجازه ارتباط با شبكه و سیستم‌هایی را كه در محل كار از آنها استفاده می‌كنیم فراهم می‌آورد. خدمات مبتني وبي از قبیل Groove می‌تواند برای "دور زدن" سياست‌هاي مدون شركت‌ها مورد سوءاستفاده واقع شوند.
لپ‌تاپ‌ها حداقل باید با دو مرحله كنترل امنیتی شامل تركیبی از رمزگذاري گذرواژه و شناسه كاربر[2] و ابزارهای زيست‌سنجي[3] و نظایر آن، در برابر این نفوذها محافظت شوند. سازمان‌ها باید سياست‌هاي صریح و محكمی را در قبال استفاده از فناوری در شرایط سفر اتخاذ نمایند.
4- ازدیاد روش‌های ارتباطی جدید
آیا سازمان شما برای ارتباط با شبكه از PDAهایی همانند BlackBerry و یا Treo استفاده می‌كند؟ آیا این ابزارها به خودی خود امن هستند؟ بسیاری از شركت‌ها درك درستی از تهدیدات امنیتی این ابزارهای كوچك ندارند. این ابزارها عموما، به سرویس‌های مركزی شركت‌ها، مانند Outlook و یا Lotus Notes، متصل می‌شوند و ارتباطي همزمان، دايمی، خودكار و بی‌سیم را با پست الكترونیكی، تقویم و دفترچه نشاني‌ها فراهم می‌كنند. ابزار آسیب‌پذيري كه به خاطر لو رفتن گذرواژه‌اش ناامن شده، می‌تواند يك دسترسی مجازی به آن سیستم‌ها فراهم كند. این تاثیر، دست كم می‌تواند باعث افزایش صورت‌حساب تلفن همراه شود.
شركت‌ها باید علی‌رغم مشكلات مربوط به گذرواژه، از این قابلیت در چنین ابزارهایی استفاده كنند، به طوري كه از همان قوانیني تبعيت كنند كه براي شبكه محلي استفاده مي‌شود. اين قوانين مي‌تواند شامل قالب و فواصل زماني تغيير رمزواژه شود. همچنين بايد سياستي اتخاذ شود كه گم شدن چنين ابزارهایي سریعا گزارش و سيگنال خاصي براي از بين بردن يا بي‌مصرف نمودن داده‌هاي ذخيره شده در آنها ارسال شود.
5- پیچیدگی نرم‌افزار
اين حقیقت كه سیستم‌ها و برنامه‌هاي نرم‌افزاري از اجزای متعدد و به‌هم‌پيوسته‌اي تشكيل شده‌اند كه ايمن كردن تك‌تك‌‌شان امري دشوار است، دستاویز مناسبي برای فراهم نكردن سطوح چندگانه امنیت نيست. كاربرانی كه برای دسترسی به شبكه عمومی انتخاب می‌شوند، لزوما نباید صلاحیت دسترسی به اجزای اصلی خاص مربوط به شبكه و یا حتی به محیط یكپارچه‌اي مانند نرم‌افزار برنامه‌ريزي منابع ابرسازماني[4] را داشته باشند. از سوي ديگر، مطالعات و بررسی‌ها نشان می‌دهد كه وجود رمزواژه‌هاي فراوان در یك سازمان گاهي باعث می‌شود كارمندان سازمان را ترك كنند! كاربران بعضی از شركت‌ها باید تركیبی از گذرواژه و شناسه كاربري، هر كدام با بیش از 15 كاراكتر را حفظ كنند. روش‌های مبتني بر "يك بار ورود"[5] قابلیتی را ارايه می‌دهند كه با استفاده از آن می‌توان سیستم‌ها را، جزء به جزء، بر پایه يك دسترسی واحد ایمن كرد. با انجام این كار دیگر لزومی به تن دادن كاربران به موارد امنیتي طاقت‌فرسا نیست.
6- ميزان ارتباط بين‌شبكه‌‌ايشكل دیگر پیچیدگی مربوط
به ميزان ارتباط بين‌شبكه‌‌اي است كه نیازمند شناسایی واقعیت‌های مربوط به استفاده عمومی از اینترنت است. فرآیند مربوط به زنجیره تولید به ارتباط بین تهیه كننده مواد خام، تولید كننده، مونتاژ كننده و فروشنده نیاز دارد. مثلی است مشهور كه قدرت زنجیر به ضعیف‌ترین حلقه‌اش وابسته است. حتی اگر سازمان‌های مستقل در يك زنجیره تولید، نظارت‌های امنیتی صحیح و بجایی را بكارگیرند، یك اشتباه از یكی از این زنجیرها (شركا) می‌تواند باعث توقف كامل عملیات تولید شود.
وضعیتی را در نظر بگیرید كه در آن اجزای شبكه يك تولید كننده قطعه در معرض نفوذ و خطر قرار گرفته است. تاخیر یا فقدان یك جز اساسی و یا داده‌های آلوده، همانند یك اشتباه كوچك كه كل گروه تولید را از كار می‌اندازد، تمام فرآیندهای اجزای تشكیل‌دهنده زنجيره را تحت تاثیر منفی قرار می‌دهد. سازمان‌ها باید برآوردی از خطرات فراگیر انجام دهند و تلاش كنند تا شركا و یا تهیه كنندگان‌شان را به اتخاذ نظارت‌های امنیتی مناسب تشویق نمایند و یا لااقل احتمال توقف همكاری با شركاي با ریسك بالا را خاطر نشان نمایند.
7- فراواني و دسترسی رسانه
اطلاعات ثروت، دانش قدرت است. با دانستن این مساله تمام ما مسئول حفظ یكپارچگی و امنیت داده‌های سازماني هستیم كه در آن كار مي‌كنيم. وجود انبوهی از رسانه‌های[6] قابل حمل لزوم رعایت هرچه بیشتر این مسئولیت را دو چندان می‌كند. CD، DVD، فلش‌كارت و دیگر رسانه‌های قابل حمل كه ظرفیت ذخیره چندین گیگابایت داده، در هر قالبي، را دارند، امكان دسترسی به اطلاعات را برای همگان راحت كرده است.
كاربران شركت‌ها باید از این رسانه‌ها با احتیاط استفاده كنند. خط مشی امنیتی فناوري اطلاعات سازمان باید چنان باشد كه هر داده‌ای كه از طریق USB و یا هر روش دیگری كه برای ایجاد رسانه استفاده می‌شود رمزگذاری شود. خط مشی صحیح و عقل سلیم حكم مي‌كند كه این نوع رسانه‌ها نباید هرگز برای تهیه نسخه‌های تكی از اطلاعات استفاده شوند، به‌خصوص در مورد ماموریت‌های محرمانه شغلی و عملیات حساس. همچنین در زمینه جابجایی موقت این داده‌ها از نقطه‌ای به نقطه دیگر حتما باید محدودیت‌هایی اتخاذ شود.
8- تمركز
در زمینه مسايل امنیتی، كوچك‌ترین قصور و اشتباه می‌تواند منجر به كابوسی هولناك شود. همان طور كه امنیت شبكه، سیستم و داده‌ها برای شركت‌ها حايز اهمیت است، هنگام متمركز كردن اين دارايي‌ها در يك مكان نيز باید نهایت دقت اعمال شود. سازمان‌های كوچك با منابع تكنولوژیكی محدود، به طور اخص، بيشتر در معرض آسیب‌پذیری‌اند، چرا كه عموما یك اتاق شبكه محلي یا یك قفسه سرويس‌دهنده[7] دارند كه كل شبكه سازمان را تشكیل می‌دهد.
دسترسی غیرمجاز، مشكلات برق، مشكلات ارتباطی، ناسازگاری پروتكل‌ها و وجود سیستم مشكوك می‌تواند پیامدهای وخیمی در پی داشته باشد. زمانی كه فناوری موجود، چه به سبب منابع محدود و چه تنها به خاطر رسیدگی به طرحي صحیح و معتبر، متمركز می‌شود، برای اطمینان از تداوم عملكرد باید توجه كافی به نیازهای امنیتی خاص مبذول داشت.
9- تمركززدایی
عكس قضیه تمركز نيز ملاحظات امنیتی خاص خود را دارد. نسخه‌های متعدد از سیستم و یا پایگاه داده‌ها، باید به طور يكساني ایمن شوند. یك نسخه به خطر افتاده، تمام برنامه‌ها را تحت تاثیر قرار می‌دهد. یكی از موقعیت‌های دشوار در مورد سازمان‌های جهانی كه در كشورهای مختلف حضور دارند، زمانی است كه دسترسی به اینترنت قابل اطمینان یا پایدار وجود ندارد. در این مورد بهترین راه نصب سرور DNS توزیع شده برای هم‌گام شدن با شبكه اصلی شركت به صورت غيربرخط[8] است. این روش كه به صورت محلی استفاده می‌شود اگرچه ممكن است داده‌های آن بلادرنگ[9] نباشد ولی لااقل نسخه جامع و به اندازه نيم روز قدیمی‌اي از داده‌هاي ضروري را در اختيار مي‌گذارد. از آن جايي كه چنين كاري مستلزم قرار دادن اطلاعات حساس و محرمانه شركت در معرض ديد است، لذا رويه‌ها و سياست‌هايي بايد اعمال شود كه براي تسهیلات غيرمتمركز نیز همان سطح امنیت را در نظر بگیرد كه براي شبكه اصلی شركت لحاظ مي‌كند، تا بدين وسيله، از وقوع خطرات احتمالی جلوگیری شود.
10- جابجايي
كارمندانی كه شغل خود را تغییر می‌دهند نوعی چالش امنیتی سخت و خاصی را براي شركت‌ها ایجاد می‌كنند. یك نسل پیش به‌سادگی كلید را می‌چرخاندید و كارتان را ادامه مي‌داديد. اما اكنون كه كلیدهای ورودی به سیستم‌ها مجازی هستند، دیگر كار بدان راحتی نیست.
هر دسترسی‌اي كه به كارمندي داده می‌شود باید ردگیری شود، تا در زمان جدایي‌اش از شركت، دسترسی او غيرفعال شود. گاهي، وقتي كه كارمند بلندپايه‌اي از سازمان به سازماني ديگر مي‌رود، لازم است نظام امنیتی برای ديگر افرادی كه در سازمان باقي مي‌مانند كلا تغيير كند