فرضیات:
برای ادامه کار فرض می کنیم که یک بانک وجود دارد و قرار است برای این بانک یک گروه پاسخگویی به رخدادهای امنیتی تدارک دیده شود.
(( اینجا فقط تکه ای از متن درج شده است. برای خرید متن کامل فایل پایان نامه با فرمت ورد می توانید به سایت feko.ir مراجعه نمایید و کلمه کلیدی مورد نظرتان را جستجو نمایید. ))
با توجه به اینکه این بانک شبکه گسترده ای را در سراسر کشور دارا می باشد و دامنه محصولات و خدمات آن بسیاری از نیازمندیهای مالی را پوشش می دهد و بسیاری از مجموعه های خدمات ، محصولات و مشتریان در ارتباط با این بانک هستند. دیدگاه مدیریت ایجاد یک تیم پاسخگویی به رخدا های امنیتی مالی است که با تمام بخشها ی مختلف تجاری و موسسات همکار هماهنگ شود تا بتوان یک پروسه قابل تکرار و سازگار با اجزا را ایجاد کرد.
۴-۱- اقدامات اولیه
جهت ایجاد و استقرار یک گروه پاسخگویی به رخدادهای امنیتی مناسب در یک موسسه مالی در گام نخست می بایست ساختار کلی بانک را شناسایی و نحوه استقرار و اشتغال و شرح وظایف قسمتهای مختلف را بررسی نمود تا با توجه به مطالب ارائه شده و بررسی مدل های مختلف نحوه استقرار و عملکرد گروه های پاسخ به رخدادهای امنیتی بتوان مدل مناسب و قابل اعتماد را انتخاب و طراحی نمود .
۴-۲- شناسایی ساختار سازمانی بانک و نیازمندیها
۴-۲-۱-ساختار کلی بانک
مدیریت عامل بانک فرضی با انتخاب و رای رئیس هیات مدیره و اعضای اصلی هیات مدیره به عنوان رهبر اصلی در راس امور قرار گرفته و به هدایت مجموعه در راستای تحقق به چشم اندازها و اهداف کلان مجموعه مالی می پردازد که در این راستا از مشاوران مختلف در زمینه های گوناگون بر حسب نیاز استفاده می نماید. همچنین بانک دارای معاونتهایی نیز می باشد که هر کدام متناسب با حوزه کاری و عملکردی به فعالیت می پردازند و در رهبری . هدایت مجموعه مالی مدیر عامل را یاری می نمایند. که هر کدام از این معاونتها در یک ساختمان اداری تحت عنوان دفتر مرکزی استقرار می یابند. در شکل ذیل نمای کلی چارت سازمانی بانک و هر یک از معاونتها به نمایش در آورده شده است.
شکل۱– ساختار سازمانی کلی مجموعه مالی
۴-۲-۲-ساختار کلی معاونت فناوری اطلاعات مجموعه مالی
در این موسسه معاونت ICT دارای یک ساختمان اداری مجزا و مستقل می باشد که در معاونت ICT با حکم مدیریت عامل به این سمت منصوب می گردد که این مرکز از ادارات و واحدهای مختلف از جمله اداره شبکه و مخابرات و اداره خدمات نوین و واحد نرم افزار و سخت افزار و اتوماسیون اداری و واحد آموزش و سایت و امور مشتریان و اطلاعات پایه تشکیل شده است . که در ادامه به شرح مختصر وظایف هر یک از این واحد ها پرداخته می شود .
واحد سایت : با توجه به اینکه مبنای عملکرد نرم افزار سیستم مالی این موسسه بر پایه سیستم متمرکز می باشد و کلیه تراکنشهای مالی و اطلاعات مشتریان در سرورهای این واحد ذخیره می گردند، واحد سایت وظیفه استقرار و راه اندازی سرورها و سایر تجهیزات مورد نیاز و مدیریت عملکرد این سیستمها را بر عهده دارد. مسئول سایت و کارشناسان مربوطه وظیفه کنترل و مدیریت و تامین نیازمندیهای این سایت را بر عهده دارند.
واحد شبکه و مخابرات : با توجه به اینکه عملکرد نرم افزار موسسه بر پایه سیستم متمرکز می باشد برقراری ارتباطاتی مطمئن با پایداری بالا از ضروری ترین نیازهای این موسسه می باشد که در این راستا واحد شبکه و مخابرات نقش بستر سازی و برقراری ارتباطات بین کلیه واحدها و شعب کشور را ایفا می نماید که این واحد جهت ایجاد چنین ارتباطی از بسترهای شرکت مخابرات و سیستمهای ماهواره و شبکه های بی سیم استفاده می نمایند. مدیرشبکه و مخابرات و کارشناسان این واحد به صورت مدون زیر ساخت شبکه موسسه را مورد پایش و مانیتور قرار می دهند.
واحد اتوماسیون اداری : مدیر و کارشناسان این واحد مسئولیت ایجاد و راه اندازی و مدیریت سامانه اتوماسیون اداری جهت ایجاد و انجام مکاتبات اداری و ارسال کلیه دستورالعملها و انتصابات و مجوزها و سیاستهای اعمال شده از سوی حوزه مدیریت موسسه به کلیه قسمتها و زیر مجموعه های تابعه می باشند.
واحد نرم افزار : مسئول و کارشناسان این واحد وظیفه نظارت بر نحوه عملکرد سیستم بانکی و اعمال تغییرات لازم در آن و نیز تهیه و گرد آوری سایر نرم افزارهای مورد نیاز معاونتهای مختلف موسسه رابر عهده دارد.
واحد سخت افزار: این واحد وظیفه تامین کلیه تجهیزات سیستمی و رایانه ای مورد نیاز موسسه و همچنین دستگاه های منبع تغذیه و نیز دستگاه های مخابراتی را بر عهده دارد.
واحد خدمات نوین : این واحد وظیفه راه اندازی و ارائه خدمات نوین بانکی به مشتریان موسسه را دارد که این واحد خود شامل قسمتهای مختلفی ازجمله واحد اینترنت بانک – واحد پایانه های فروش – واحد تلفنبانک و واحد اس ام اس بانک و واحد موبایل بانک و واحد کارت اعتباری و همچنین واحد سایت اینترنتی می باشد.
واحد آموزش و برنامه ریزی : مدیر و کارشناسان این واحد وظیفه برنامه ریزی و ارائه آموزشهای لازم به کلیه کارکنان معاونت ICT متناسب با نیاز های حوزه کاری را بر عهده دارند.
واحد اطلاعات پایه : این واحد با هماهنگی معاونت مالی و بودجه و نیز معاونت اعتبارات و تجهیز منابع وظیفه اعمال نرخ های سود سپرده ها و نیز نرخ سود تسهیلات را در سیستم مالی مسسه بر عهده دارد . همچنین این واحد وظیفه کنترل مجوز های دسترسی مورد نیاز کلیه کارکنان موسسه را بر عهده دارد.
واحد امور مشتریان : مدیر و کارشناسان این قسمت وظیفه پاسخگویی به مغایرتهای مالی و مشکلات به وجود آمده مشتریان در سیستم مالی موسسه را بر عهده دارند. که این مشکلات شامل مواردی از قبیل محاسبه نرخ سود سپرده ها و همچنین مغایرت در کارت تسهیلات مشتریان می باشد.
شکل۲– ساختار سازمانی معاونت فناوری اطلاعات مجموعه مالی
۴-۲-۳-ساختار سازمانی مراکز استانی
با عنایت به اینکه این موسسه در سطح کل کشور گسترده شده و دارای شعب متعدد در سایر نقاط و استانهای کشور می باشد جهت رهبری و هدایت این شعب در سطح استانها نیز مدیران کلی با انتخاب مدیر عامل منصوب و هر یک از این استانها نیز در مرکز استان دارای یک دفتر مرکزی جهت هدایت و مدیریت امور شعب می باشند. تا در کمترین زمان توانایی شناسایی و مقابله با رخدادهای بوجود آمده را با هماهنگی با تیم مستقر در دفتر مرکزی داشته باشنداز اینرو در هر مرکز استان یک مدیر فناوری اطلاعات وجود دارد که مسئول پاسخگویی به کلیه امور مرتبط با فناوری اطلاعات می باشد. در ذیل ساختار سازمانی مراکز استانی نمایش داده شده است.
شکل ۳– ساختار سازمانی مراکز استانی
۴-۲-۴-نیازها و محدودیتهای مجموعه مالی
با توجه به ساختار مجموعه مالی محدودیتهایی در راستای اهداف تیم پاسخگویی به رخدادهای امنیتی وجود دارد که از آنها می توان به مواردی از این قبیل اشاره نمود:
عدم وجود متخصصان آموزش دیده مباحث امنیتی حوزه فناوری اطلاعات و ارتباطات در مراکز استانی و شعب کشور که موجبات بروز تاخیر در هنگام بروز رخدادها جهت واکنش مناسب را به همراه دارد.
عدم وجود نمای مشخص و سلسله مراتب تدوین شده در هنگام بروز رخدادهای امنیتی به نحویکه در هنگام بروز رخداد مسئول مستقیم و و ظایف مشخص شده آن شفاف و مشخص نمی باشد.
عدم وجود سیستم ارتباطی و بانک اطلاعاتی جامع در راستای به رز رسانی نسخه ها و همچنین ارائه آخرین استانداردها و مطالب آموزشی از حوزه مرکز ی به مراکز استانی به صورت متمرکز
عدم وجود درگاههای مناسب جهت اعلان و ارسال هشدار ها و اطلاع رسانی ها در کوتاهترین زمان به متخصصان مباحث امنیتی حوزه مرکزی که موجبات بروز وقفه در اطلاع رسانی و واکنش به موقع را به دنبال دارد.
۴-۵-مدل پیشنهادی تیم پاسخگویی به رخدادهای امنیتی مالی
با توجه به گستردگی موسسه و شعب در سطح کشور و بالا بودن درگاههای متصل به شبکه بانکی موسسه مالی از ترکیب تیم مستقر در دفتر مرکزی و تیمهای مستقر در مراکز استانی جهت برقراری امنیتی و ایمن سازی اطلاعات و تاکید بر ماندگاری ساختارهای زیر بنایی خود استفاده می نماید.
با توجه به اینکه در یک مجموعه مالی توجه به رخدادهای امنیتی از اهمیت بالایی برخوردار می باشد سازمانهای مالی و پولی نیازمند توسعه یک برنامه جامع برای ایمن سازی اطلاعات و تاکید بر ماندگاری ساختارهای زیر بنایی خود می باشند.که در این راستا با انتخاب یک مدیر ارشد جهت هدایت تیم پاسخگویی به رخدادهای امنیتی مالی که ایشان تحت نظر معاونت Iفناوری اطلاعات فعالیت می نماید وجود دارد که مسئول مستقیم پاسخگویی به کلیه رخدادهای امنیتی بوجود آمده در سطح کشور می باشد و گزارشات رخدادها و فعالیتهای تیم پاسخگویی به معاونت ارائه می نماید. این تیم جهت پاسخگویی و جلوگیری از بروز رخدادهای امنیتی با کلیه مدیریتهای مستقر در دفتر مرکزی و همچنین با تیمهای مستقر در استانها پیوسته در ارتباط می باشد و از نیروهای تخصصی به صورت تمام وقت جهت رسیدن به اهداف خود استفاده می نماید.
شکل۴– ساختار کلی معاونت ICT
همچنین ساختار کلی تیم پاسخگویی به رخدادهای امنیتی مالی مرکزی نیز به شرح شکل ذیل می باشد:
۴-۶- سرویسهای قابل ارائه :
سرویسهای قایل ارائه توسط تیم پاسخگویی به رخدادهای امنیتی مالی شامل موارد ذیل می باشند:
استفاده از تکنیکهای پیشگیرانه برای جلوگیری از رخدادهای رایانه ای
بهترین راه برای مدیریت یک رخداد این است که در گام اول از روی دادن آن جلوگیری نماییم. برای انجام این کار، نیاز به تدوین سیاستها، کنترل و تحلیل ترافیک شبکه، به کارگیری یک برنامه اصلاح آسیب پذیریها، تشخیص آسیب پذیریها، ارتقای مهارتهای امنیتی فنی کارمندان، پیکربندی آگاهانه سیستمها و ایجاد برنامه های آموزش مدیریت رخداد است. ترکیب این اعمال، کار نفوذگران را برای دسترسی به سیستمها و ضربه زدن به آنها سختتر میکند. به این منظور فعالیتهای زیر را می توان انجام داد.
اصلاح اسیب پذیری های شناخته شده سیستم ها
حجم گسترده ای از نفوذهای کامپیوتری از طریق آسیب پذیریهای شناخته شده اتفاق می افتند. برای جلوگیری از نفوذ به سیستم، هیچ کاری مهمتر از پیکربندی امن سیستمهای جدید و اصلاح آسیب پذیریهای شناخته شده وجود ندارد. یک پروسه رسمی برای بازبینی هشدارهای امنیتی و تست و اعمال اصلاحیه ها ایجاد نمایید. با مدیران سیستمهای خود کار کرده و اطمینان حاصل کنید که اصلاحیه های مهم در کوتاهترین زمان ممکن اعمال میشوند. اصلاحیه ها را پیش از اتصال سیستمهای جدید به اینترنت، بر روی آنها نصب کنید.
توسعه مهارتهای امنیتی فنی کارشناسان
در
