خدمات امنیتی

نکته مهمی که باید در این زمینه به آن دقت کنیم، بحث احراز هویت است که اشاره به تایید و آزمایش هویت، یک کاربر دارد. فرآیند احراز هویت مبتنی بر اطلاعاتی است که از قبل از کاربر دریافت شده و تطابق هویت افراد با اطلاعاتی که درون بانک‌های اطلاعاتی سازمان قرار دارد. به‌طور مثال، احراز هویت دو عاملی شامل تایید هویت کاربر با استفاده از روش‌های مختلف مثل رمز عبور و معیارهای زیستی مثل اثر انگشت است. هنگامی که فرآیند فوق به درستی انجام شود، دسترسی به کاربر، متناسب با نقشی که در سازمان دارد، انجام می‌شود تا بتواند به منبع یا سرویس موردنیاز دسترسی پیدا کند. به عنوان مثال، یک کارمند می‌تواند بر اساس موقعیت شغلی و مجوز‌های امنیتی که دارد به فایل‌ها یا پایگاه‌های داده خاصی دسترسی داشته باشد.

هنگامی که افراد به منابع یا سرویس‌های موردنیاز خود دسترسی پیدا می‌کنند باید بر مبنای یک سنجه، عملکردشان مورد بررسی قرار گیرد. این فرآیند تحت عنوان ممیزی (Audit) انجام می‌شود. ممیزی مکانیزمی است که از طریق آن، افراد در ارتباط با کارهایی که انجام می‌دهند، پاسخ‌گو هستند. این فرآیند بر مبنای مستندسازی و ثبت فعالیت‌های موضوعی همچون احراز هویت، دسترسی به پایگاه‌های داده‌ای، اطلاعات استخراج یا بارگذاری شده روی بانک‌های اطلاعاتی و غیره انجام می‌شود. به عنوان مثال، ثبت تمام فعالیت های کاربر در یک سیستم، برای ردیابی چه کسی و چه زمانی به چه منابعی دسترسی پیدا کرده است، یکی از فرآیندهای مهم برای شناسایی علت بروز حملات است.

پاسخ‌گویی به این معنا است که، کاربران هنگام استفاده از یک سیستم یا دسترسی به منابع، مسئول اعمال خود باشند. این فرآیند ارتباط مستقیمی با اثبات هویت و پیگیری فعالیت‌های انجام شده توسط کاربر دارد. به عنوان مثال، اگر نقض داده‌ای رخ دهد، می‌توان بر مبنای مجموعه اقدامات انجام شده توسط کاربر مشخص کرد، چه کسی مسئول نقض بوده و اکنون باید چه اقداماتی را باهدف به حداقل رساندن پیامدهای این مسئله انجام داد. این فرآیند ما را به مفهومی هدایت می‌کند که انکارناپذیری (Non-repudiation) نام دارد و این اطمینان را می‌دهد که کاربر یا کاربران نمی‌توانند وقوع یک فعالیت یا رویداد را انکار کنند. به بیان دقیق‌تر، یک کاربر نمی‌تواند ادعا کند، پیامی ارسال نکرده است، عملی را انجام نداده است یا عامل بروز یک یک رویداد نبوده است.