راهکار برای ایجاد چارچوب ملی برای «اطلاعات حساس غیرطبقه‌بندی شده»
۱-اطلاعات بسیاری در کشور وجود دارند که برای طبقه بندی آنها فکری نشده است یا اگر دسته بندی هم دارند نانوشته و غیر فرمال است که این یک خطر جدی برای امنیت در دستگاه‌های دولتی و وابسته ایجاد میکند .
با الگو گیری از دستور اجرایی سال ۲۰۰۸ در آمریکا برای ایجاد دسته
Controlled Unclassified Information
مطالب زیر را بعنوان راهکار برای وضع موجود در کشور ارائه میدهم.
**تعریف رسمی از «اطلاعات حساس» که طبقه‌بندی محرمانه، سری و فوق سری ندارند اما افشایشان آسیب‌زا است (مثل داده‌های عملیاتی، سوابق اداری، داده‌های کاربران).
** تعیین مسئولیت قانونی برای نهادها جهت برچسب‌گذاری این نوع اطلاعات.
** تدوین استاندارد مشترک برای اشتراک‌گذاری امن بین سازمان‌ها (هم دولتی هم شبه‌دولتی).
۲. طراحی نظام سه‌سطحی یا چند‌سطحی حفاظتی
سطح پایه: فقط اقدامات استاندارد (کنترل دسترسی، رمزگذاری ساده، ثبت لاگ)
سطح مشخص‌سازی شده: حفاظت اضافه برای کاهش خطر افشای تصادفی (مانند آموزش کاربر، کنترل کانال‌های انتشار، بررسی قبل از ارسال)
سطح تقویت‌شده: کنترل سخت‌گیرانه شامل رمزنگاری پیشرفته، احراز هویت چندمرحله‌ای، ممیزی دوره‌ای، و محدودیت شدید انتشار
📌 پیشنهاد: این سطح‌بندی باید به ارزیابی ریسک و اهمیت داده وابسته باشد، نه صرفاً به دسته‌بندی سازمان.
۳. الزام به مستندسازی و ممیزی دوره‌ای
هر سازمان باید فهرست اطلاعات حساس غیرطبقه‌بندی‌شده خود را به‌روز نگه دارد.
ممیزی‌ها باید هم وضعیت حفاظت و هم فرآیند انتشار را بررسی کنند.
وجود یک مرکز ملی نظارت و راهنمایی (شبیه Information Sharing Council) برای پایش این دسته داده‌ها.
۴. فرهنگ‌سازی و آموزش
آموزش کارکنان در شناخت این نوع اطلاعات و قواعد انتشار آنها
طراحی کمپین‌های داخلی در نهادها (پوستر، ویدئو، جلسات کوتاه) درباره خطرات افشای داده حساس غیرطبقه‌بندی‌شده
۵. زیرساخت فنی مشترک
ایجاد پلتفرم امن ملی برای اشتراک‌گذاری این نوع داده‌ها بین نهادها
مشخص‌کردن پروتکل‌های ارتباطی استاندارد، logging مرکزی، و سیستم‌های هشدار خودکار برای انتشارهای غیرمجاز
امید که این ایده مورد استفاده قرار گیرد .
روزبه نوروزی
۴ مهر ۱۴۰۴
منبع: سرفصل دوره CISSP و دستورالعمل اجرایی نهایی در سال ۲۰۱۰
https://obamawhitehouse.archives.gov/the-press-office/2010/11/04/executive-order-13556-controlled-unclassified-information
۱-اطلاعات بسیاری در کشور وجود دارند که برای طبقه بندی آنها فکری نشده است یا اگر دسته بندی هم دارند نانوشته و غیر فرمال است که این یک خطر جدی برای امنیت در دستگاه‌های دولتی و وابسته ایجاد میکند .
با الگو گیری از دستور اجرایی سال ۲۰۰۸ در آمریکا برای ایجاد دسته
Controlled Unclassified Information
مطالب زیر را بعنوان راهکار برای وضع موجود در کشور ارائه میدهم.
**تعریف رسمی از «اطلاعات حساس» که طبقه‌بندی محرمانه، سری و فوق سری ندارند اما افشایشان آسیب‌زا است (مثل داده‌های عملیاتی، سوابق اداری، داده‌های کاربران).
** تعیین مسئولیت قانونی برای نهادها جهت برچسب‌گذاری این نوع اطلاعات.
** تدوین استاندارد مشترک برای اشتراک‌گذاری امن بین سازمان‌ها (هم دولتی هم شبه‌دولتی).
۲. طراحی نظام سه‌سطحی یا چند‌سطحی حفاظتی
سطح پایه: فقط اقدامات استاندارد (کنترل دسترسی، رمزگذاری ساده، ثبت لاگ)
سطح مشخص‌سازی شده: حفاظت اضافه برای کاهش خطر افشای تصادفی (مانند آموزش کاربر، کنترل کانال‌های انتشار، بررسی قبل از ارسال)
سطح تقویت‌شده: کنترل سخت‌گیرانه شامل رمزنگاری پیشرفته، احراز هویت چندمرحله‌ای، ممیزی دوره‌ای، و محدودیت شدید انتشار
📌 پیشنهاد: این سطح‌بندی باید به ارزیابی ریسک و اهمیت داده وابسته باشد، نه صرفاً به دسته‌بندی سازمان.
۳. الزام به مستندسازی و ممیزی دوره‌ای
هر سازمان باید فهرست اطلاعات حساس غیرطبقه‌بندی‌شده خود را به‌روز نگه دارد.
ممیزی‌ها باید هم وضعیت حفاظت و هم فرآیند انتشار را بررسی کنند.
وجود یک مرکز ملی نظارت و راهنمایی (شبیه Information Sharing Council) برای پایش این دسته داده‌ها.
۴. فرهنگ‌سازی و آموزش
آموزش کارکنان در شناخت این نوع اطلاعات و قواعد انتشار آنها
طراحی کمپین‌های داخلی در نهادها (پوستر، ویدئو، جلسات کوتاه) درباره خطرات افشای داده حساس غیرطبقه‌بندی‌شده
۵. زیرساخت فنی مشترک
ایجاد پلتفرم امن ملی برای اشتراک‌گذاری این نوع داده‌ها بین نهادها
مشخص‌کردن پروتکل‌های ارتباطی استاندارد، logging مرکزی، و سیستم‌های هشدار خودکار برای انتشارهای غیرمجاز
امید که این ایده مورد استفاده قرار گیرد .
روزبه نوروزی
۴ مهر ۱۴۰۴
منبع: سرفصل دوره CISSP و دستورالعمل اجرایی نهایی در سال ۲۰۱۰
https://obamawhitehouse.archives.gov/the-press-office/2010/11/04/executive-order-13556-controlled-unclassified-information
Comments
Be the first to add a comment
Log in to comment