ITanalyze

تحلیل وضعیت فناوری اطلاعات در ایران :: Iran IT analysis and news

ITanalyze

تحلیل وضعیت فناوری اطلاعات در ایران :: Iran IT analysis and news

  عبارت مورد جستجو
تحلیل وضعیت فناوری اطلاعات در ایران

۷۱۴ مطلب با موضوع «security» ثبت شده است

تحلیل


گذری بر ویروس های مطرح ایرانی

شنبه, ۱۱ آذر ۱۳۸۵، ۰۴:۵۷ ب.ظ | ۱ نظر

ITanalyze.ir - برخی از قسمت های آن دستخوش تغییرات و بخشی از آن حذف شده است . ویروس های مطرح ایرانی که تاکنون خبر آفرینی کرده اند .

1. سیسیلی 2. کاتومیک 3. یوسف علی 4. فانوت 5. کولاک 6. فووا

البته ویروس های ایرانی دیگری هم وجود دارند که در مجال دیگری به آنها پرداخته می شود.

شرح خبر آفرینی :

قبل از ویروس سیسیلی ویروس های ایرانی در حد شبکه های کوچک منتشر شده بودند . خبر انتشار اولین نسخه از ویروس سیسیلی مثل یک بمب تبلیغاتی برای این ویروس بود . اغلب خبرگزاری ها از انتشار ویروسی خبر می دادند که قطعات مادربرد را می سوزاند . ( شایعه ) شایعات دیگری هم در مورد این ویروس بود . اما این نسخه فقط یک متن سیاسی را بر روی سیستم کاربر اجرا می کرد . و پس از فروکش کردن اخبار این ویروس . شبهاتی در مورد منبع این ویروس بوجود آمد .

اغلب کارشناس بر این باورند که این ویروس یک ویروس بومی نبوده و منشا خارجی داشته . اولین ویروسی ایرانی که بصورت گسترده خبر گسترش آن در رسانه های خارجی ( عربی ) بازتاب یافت ویروس کاتومیک بود. این ویروس دارای دو نگارش متفاوت با شناسه های a و b است . که بعضی از مراجع ویروس شناسی احتمال وجود شناسه C را هم رد نکرده اند . شناسه A این ویروس به تبلیغ برای انرژی اتمی پرداخت از همین رو اسم این ویروس بی نام و نشان را کاتومیک انتخاب کردند . خبر انتشار این ویروس و ویروس شناسه B که برای حمایت از نام خلیج فارس نوشته شده بود ... در رسانه های عربی بخصوص کشورهای های حاشیه خلیج فارس زیاد مطرح شد.

محتوای این ویروس و مکان های هدف این ویروس ( کشورهای عربی ) بجز یک برنامه 45 دقیقه ای در صدا و سیما در ایران بایکوت خبری شد . این ویروس ( کاتومیک ) بحث آنتی ویروس های بومی ایران را داغ تر کرد .

ویروس یوسف علی اولین ویروسی بود که خبر انتشار آن به صورت گسترده در ایران منتشر شد . این ویروس ایرانی خلق خوی خاصی داشت خودنمایی و دخالت در امور کاربر . ایده جالبی داشت . اما بعد از بررسی های کارشناسان سوفوس ( آبروی هر چی ویروس نویس ایرانی بود رو برد ) . اعلام شد این ویروس ساختار ضعیفی دارد و حتی نمی تواند بخشی از قابلیت های نهفته خود را اجرا کند . ویروس یوسف علی گذشته از عدم مهارت در نگارش آن گام بزرگی برای ویروس های ایرانی به شمار می رفت .

مهندسی اجتماعی در این ویروس باعث شد تا ویروس ها دیگری هم با این ساختار پا به عرصه دنیای دیجیتال بگذارند .

ادامه دارد ...

بحران در امنیت سایت‌‌های دولتی

دوشنبه, ۶ آذر ۱۳۸۵، ۰۹:۲۲ ب.ظ | ۰ نظر

مینو مومنی - بزرگراه فناوری - اعلام نتیجه یک پژوهش توسط مرکز پژوهش‌های مجلس شورای اسلامی در چند روز گذشته باعث شد به نوعی بار دیگر دغدغه قدیمی بسیاری از صاحب‌نظران و کارشناسان حوزه آی‌تی در خصوص نبود امنیت در میزبانی سایت‌های ایرانی مطرح شود. همان دغدغه‌ای که بارها و بارها در رسانه‌ها به چاپ رسیده، اما روی آن نگاه جدی صورت نگرفته است.
در گزارش این پژوهش آمده است، ۵۷ درصد سایت‌های مهم حکومتی ایران ‌از میزبان‌های خارجی‌ استفاده می‌کنند و از این بین، ‌اطلاعات ‪۸۷ سایت حکومتی صرفا در آمریکا و کانادا نگهداری می‌شود. نتایج فوق حاصل بررسی روی ۱۵۰ سایت مهم حکومتی توسط مرکز پژوهش‌های مجلس است. گرچه هشدار مجلسیان به وضعیت بحرانی امنیت سایت‌های دولتی قابل قدردانی است، اما نکته مهم آن است که این هشدار و هشدارهایی از این قبیل از سوی بسیاری در سال‌های گذشته مطرح شده و به نوعی این پژوهش، یک یافته جدید محسوب نمی‌شود و بهتر بود که در کنار این هشدار هرچه سریع‌تر مسؤولان به فکر راهکاری برای خروج از این بحران بودند چراکه یک سرور اینترنتی مثل یک خانه مستحکم می‌تواند محیط امن برای زندگی یک سایت به‌شمار آید.
اطلاعاتی در قلب آمریکا

"مسدود کردن بیش از ‪ ۵۰۰ سایت از سوی ارایه‌کنندگان خدمات میزبانی کانادایی و آمریکایی و هک شدن چندباره وبسایت‌های مهم حکومتی نظیر وب‌سایت مجلس شورای اسلامی و مجلس خبرگان، این سؤال تامل‌برانگیز را در ذهن تداعی می‌کند که آیا دولتمردان نسبت به این مهم واقفند و اقدامی به‌عمل نمی‌آورند یا توسعه فناوری اطلاعات، تحقق دولت الکترونیکی و جامعه اطلاعاتی تنها در حد شعار دنبال می‌شود." این متن بخش دیگری از گزارش مرکز پژوهش‌های مجلس است. گفتنی است این گزارش به درخواست احمد توکلی نماینده تهران و رییس این مرکز با عنوان "مراکز داده، ضرورتی حیاتی" تهیه شده است. گزارش مرکز پژوهش‌های مجلس، وضعیت کنونی وب‌سایت‌های دولتی از نظر امنیتی را یک بحران ملی دانسته و می‌افزاید: بررسی صلاحیت میزبان‌های وب‌سایت‌های دولتی نشان می‌دهد که تاکنون به مقوله امنیت در فضای تبادل اطلاعات به هیچ عنوان بها داده نشده است بنابراین لزوم ایجاد مراکز داده در کشور برای جلوگیری از تعرضات الکترونیکی بیگانگان امری ضروری است.
در ادامه گزارش این مرکز آمده است: مایکل چرتوف، یکی از معاونان وزارت امنیت ملی ایالات متحده که یک صهیونیست اسرائیلی است، نامه محرمانه‌ای از سوی وزارت امنیت ملی با تایید آژانس امنیت ملی و کاخ سفید برای شرکت‌های بزرگ میزبانی مانند ,‪Microsoft,yahoo,The Planet ‪ Interland, Peerlو ‪ Googleارسال و در آن به‌صراحت تاکید کرده که سرورها، داده‌ها، پست‌الکترونیکی و دیگر منابع، همگی اموال ایالات متحده محسوب می‌شوند و در همین راستا مدتی پس از ارسال این نامه، جعبه‌های سیاهی که دارای قفل و دوربین‌های نظارتی بودند، در این مرکز نصب شده و طی اطلاعیه‌ای هشدار داده شده بود که هیچ کس حق ندارد به این جعبه‌ها نزدیک شود و فقط ماموران ویژه مجاز به این کار هستند و در غیر این صورت، متخلفان مطابق قوانین جدید امنیت ملی - آمریکا - به حبس محکوم می‌شوند.

به اعتقاد مرکز پژوهش‌های مجلس منابع صاحب‌نظر عقیده دارند که این جعبه‌ها برای دریافت داده‌ها، ‪ IPو بسیاری اطلاعات مرتبط دیگر به کار گرفته شده‌اند و به استناد قانون میهن‌پرستی آمریکا مصوب نوامبر۲۰۰۱- یعنی یک ماه پس از واقعه یازدهم سپتامبر - که در سال ‪ ۲۰۰۵ نیز دوباره تایید شده است به مجریان قانون در ایالات متحده اجازه داده شده در راستای مبارزه با تروریسم، به حریم اشخاص، به‌ویژه ارتباطات الکترونیکی آن‌ها، تعرض کنند. گفتنی است گزارش پژوهش مجلس با یک سؤال به پایان رسیده است: «چگونه دستگاه‌های حکومتی ایران جرات می‌کنند در قلب این آمریکا و کشورهای هم‌پیمانش اطلاعات خود را نگهداری کنند». پرسشی که بارها مطرح شده اما تاکنون پاسخ شفافی به آن داده نشده است.
زیر تیغ نفس کشیدن

تهدید امنیت فعالیت سایت‌های ایرانی و ضرورت داشتن یک دیتا‌سنتر داخلی برای حفظ اطلاعات و امنیت آن‌ها دغدغه امروز نیست، چراکه قصه این ماجرا به سال‌ها قبل بازمی‌گردد. درست به 25 دی‌ماه سال 1383، وقتی ایمیلی از طرف یک شرکت آمریکایی با نام The planet به خبرگزاری ایسنا ارسال شد. در آن ایمیل آمده بود که به‌دلیل شرایط و قوانین موجود این خبرگزاری باید طی 48 ساعت سرور The planet را ترک کند. در این نامه قید شده بود این ایمیل یک دستور فوری محسوب می‌شود و به نوعی قابل برگشت یا مذاکره نیست.

این خبرگزاری در آن زمان چندین ایمیل به The planet ارسال کرد و خواستار اعلام دلیل این برخورد شد، اما تمامی نامه‌‌ها بی‌جواب ماند و عاقبت با اختلالاتی که در این خبرگزاری پیش آمد ماجرا به این‌جا ختم شد که ایسنا به شرکت Hostway کوچ کرد که دست بر قضا این شرکت هم آمریکایی بود. بعد از آن موج جدید از تحریم‌های اینترنتی علیه سایت‌های ایرانی در سال 84 آغاز شد. حداقل این موج باعث شد که دارندگان سایت‌ها بدانند که به چه دلیلی زیر تیغ قرار گرفته‌اند. بعد از آن بسیاری از این شرکت‌ها قوانینی را به مشتریانشان نشان دادند که اساسا خرید و فروش و هر نوع معامله‌ای را با شهروندان ایرانی منع می‌کرد.

به این ترتیب عملا کار از این مرحله هم فراتر رفت و اساسا فروش هر گونه فضای اینترنتی به ایرانیان ممنوع شد. هرچند در همان زمان و حتی هم‌اکنون نیز سایت‌های ایرانی را می‌توان یافت که روی سرورهای آمریکایی قرار دارند، اما طبیعی است که این کار یا با چشم‌پوشی طرف آمریکایی و یا پنهان از آن‌ها (مثلا با استفاده از کارت‌های اعتباری که نام و آدرس غیرایرانی دارند) به فعالیت مشغولند، اما کسی نمی‌تواند تضمین بدهد که این دسته از سرورها ناگهان اقدام به حذف سرور و یا سایت‌های ایرانی نکنند.

چنین موضوعی وضعیت خطرناکی را برای سایت‌های ایرانی ایجاد می‌کند به‌خصوص از آن جهت که معمولا خریداران ایرانی فضای اینترنتی اطلاعاتی در مورد چنین مواردی ندارند و اساسا بسیاری از آن‌ها حتی از شرکت میزبان وب در مورد محل سرور نیز پرسشی مطرح نمی‌کنند و به این‌گونه ناگهان مانند همان سال‌های نخست ایجاد مشکلات برای سایت‌های ایرانی، صاحبان این سایت‌ها حتی اجازه انتقال و گرفتن فایل پشتیبانی را نیز به مشتریان نمی‌دهند.
آنچنان که عنوان شد موج برخورد با سایت‌های ایرانی از سال 83 آغاز شد و این مسدودسازی‌ها به نوعی هشداری برای ایجاد محل امن برای سایت‌های ایرانی که عمدا سایت‌‌های دولتی و نظامی را دربر می‌گرفت شامل می‌شد که به فکر حفظ اطلاعات خود باشند، اطلاعاتی که به‌راحتی می‌توانست در اختیار بیگانگان قرار بگیرد. وقتی مسدود‌سازی خارجی چندان هشدار جدی به حساب نیامد. هکرهای وطنی دست به کار شدند تا آن‌جا که گروه هکر آشیانه طی اقدامی 250 سایت مهم ایرانی را مورد هدف قرار دادند. این گروه هکر در راستای کار خود اطلاعیه‌ای نیز صادر کردند. در بخشی از این اطلاعیه آمده بود: ما در طی سالیان گذشته بارها به مدیران سرورهای عزیز ایرانی گوشزد کردیم که به مقوله امنیت شبکه اهمیت دهند و حفره‌های امنیتی سرورهای مهم خود را از بین ببرند ولی بعضی از آن‌ها تا به وضوح مشاهده نکنند که سرورشان هک شده، به‌خود نیامده و به امنیت سرور خود اهمیت نمی‌دهند.

ما از دو سال پیش اعلام کردیم که دیگر سایت ایرانی هک نمی‌کنیم ولی متاسفانه بعضی از سرورهای مهم دولتی ایران که سایت‌های بزرگ دولتی - نظامی و سیاسی کشور روی آن‌ها قرار دارند هنوز مشکلات عمده‌ای از لحاظ Security و امنیت سرور دارند که متاسفانه به آن نیز اهمیتی از سوی مسؤولان داده نمی‌شود. ما به‌عنوان گروه کوچکی از دنیای امنیت شبکه بسیار نگران این موضوع بوده و هستیم و روزانه مشاهده می‌کنیم که تعداد زیادی از سایت‌های دولتی و مهم ایرانی توسط هکرهای ایرانی و خارجی دیگر هک میشوند که در بعضی از مواقع هکرهای خارجی با نوشتن شعارهایی علیه مردم ایران، دانش -اعتقادات ایرانیان را مسخره می‌کنند. به همین دلیل در پروژه‌ای تعداد زیادی از سایت‌های مهم و دولتی ایران را هک کردیم که شاید با این تذکر ما مسؤولان کشور به مقوله امنیت سرورهای مهم دولتی ایران بیشتر از گذشته اهمیت دهند.

ما صفحه اول و Index این سایت‌ها را تغییر ندادیم و هیچ خسارتی به اطلاعاتی که در این سرور و سایت‌های مهم بود وارد نکردیم و تنها فایلی با نام ash.htm که حاوی متن تذکر به مقوله امنیت شبکه هست را برای اثبات امنیت پایین سرورهای مهم دولتی ایران روی تمامی این سایت‌ها قرار دادیم. ما تا به‌حال هیچ کلمه عبور سروری را عوض نکردیم و حتی در ایمیلی که به مسؤولان سرورهای مورد نظر زدیم به این موضوع اشاره کردیم که اگر آن‌ها مایل باشند ما می‌توانیم به‌صورت رایگان باگ‌های سرورهای آن‌ها و دیگر سرورهای مهم دولتی ایران را از بین ببریم تا خدای نکرده توسط یک فرد خارجی هک نشود و یا اطلاعات مهم این سرورها توسط کسی از بین نرود که متاسفانه در بیشتر موارد به ایمیل‌های ما جوابی داده نشده است. هدف ما از این تذکر خیرخواهانه بوده و قصد آگاه کردن مسؤولان این سرور که مهم‌ترین سرور دولتی ایران است را از اهمیت مقوله امنیت شبکه داشتیم نه قصد تخریب یا خسارت. با این خبر مطمئن هستیم دیگر مدیرهای سرورهای ایرانی به امنیت سرور خود بیشتر از گذشته توجه می‌کنند.
غربت دیتاسنترهای وطنی

به گفته کارشناسان ایجاد دیتا‌سنتر ملی زیرساخت مهمی در راه‌اندازی دولت الکترونیکی است و تا زمانی که مستندات ملی ما در حافظه‌های بیگانه قرار گیرد بهتر است دولت الکترونیکی نداشته باشیم. اما داستان دیتاسنتر در کشور ما داستان پرفراز و نشیبی است. گفته می‌شود زمزمه‌ها برای داشتن یک دیتاسنتر در کشور از سال‌های 79 با پروژه شارع 2 آغاز شد و در اواخر سال 81 به منظور پاسخ‌گویى به نیاز Hosting در کشور آیین‌نامه IDC (Internet Data Center) در امور ارتباطات دیتاى مخابرات تدوین و مراحل نهایى تصویب خود را مى‌گذراند.

بعد از ماه‌ها سکوت و بی‌خبری در خصوص فعالیت در زمینه ایجاد دیتا‌سنتر در اواخر سال 83 خبری روی تلکس خبرگزاری‌ها در مورد اینکه حوزه علمیه قم نخستین دیتاسنتر ایران را راه‌اندازی کرده است به نوعی تعجب کارشناسان این حوزه را برانگیخت و چند روز بعد معاون فنی شورای عالی اطلاع‌رسانی در اظهارنظری در مورد وضعیت دیتاسنتر وطنی گفت، در حال حاضر ایجاد دیتاسنتر در کشور در حد یک پیشنهاد و طرح بوده و برای اجرای آن برنامه‌ای در نظر گرفته نشده است. اما همین معاون پس از چند روز در اظهارنظری دیگر از حمایت سازمانش از راه‌اندازی دیتاسنتر حوزه علمیه قم خبر داد و اواسط آذر سال 83 مدیرعامل آن زمان شرکت ارتباطات داده‌ها اعلام کرد شارع 2 تا یک ماه دیگر راه‌اندازی شده و به بهره‌برداری خواهد رسید.

هرچند طبق خبرهای موجود در آن زمان ماه‌ها از پایان آن وعده سپری می‌شد، اما خبری از طرح بهره‌برداری از شارع 2 به میان نبود. بالاخره با اما و اگر‌ها بسیار شارع 2 فعالیت خود را آغاز کرد. اما قیمت‌های بسیار بالای آن مانع از فراگیری آن شد ضمن اینکه این دیتاسنتر قرار بود تنها سایت‌‌های دولتی را تحت پوشش خود قرار دهد.
همان زمان در کنار شارع 2 مجوز راه‌اندازی تاسیس دیتاسنتر برای بخش خصوصی به مناقصه گذاشته شد و در این بین سه شرکت داده‌پردازی ایران و کنسرسیوم فن‌آوا- پتسا و پارس‌آنلاین موفق به کسب این مجوز شدند. این سه شرکت هر کدام مبلغ 5/1 میلیارد تومان ضمانت‌نامه اجرای طرح را به‌شکل تضمین در اختیار وزارت ارتباطات قرار داده تا طبق این ضمانت‌نامه موظف باشند طی چهار تا شش ماه مرکز دیتاسنتر را راه‌اندازی کنند.
عبدالمجید ریاضی معاون آی‌تی وزیر با بیان اینکه حضور برخی سایت‌های دولتی در دیتاسنترهای خارج از کشور خطرناک است افزود: یکى از مشکلات اصلى در رابطه با توسعه فناورى اطلاعات در کشور و توسعه کاربرى‌هاى مختلف عدم وجود دیتاسنتر است، به همین علت در این زمینه یک‌سرى آیین‌نامه تدوین و ابلاغ شده است که دیتاسنترهاى رسمى و مهندسى شده باید حداقل از چه استانداردهایى برخوردار باشند و این آیین‌نامه را اعلام کردیم و در همین زمینه در بخش خصوصى تعدادى متقاضى وجود داشته که در مرحله اول به سه شرکت پارس‌آنلاین، داده‌پردازى و کنسرسیوم فن‌آوا- پتسا مجوز ایجاد دیتاسنتر را داده‌ایم که این سه شرکت کار خود را آغاز کرده‌اند و کارشناسان ما از نزدیک فعالیت این شرکت‌ها را دنبال کرده‌اند که خوشبختانه پیشرفت کار بسیار مطلوب بوده تا آن‌جا که بعضى از این شرکت‌ها حتى اقدام به سرویس‌دهى کرده‌اند. اما در مورد شارع 2 باید بگویم این یک دیتاسنترى است که توسط بخش دولتى راه‌اندازى شده است و اولویت آن سرویس‌دهى به بخش دولتى است. ما با این کار سعى داریم بخش خصوصى را ترغیب کنیم که جلب ایجاد دیتاسنتر شوند.
به گفته کارشناسان هرچند این شرکت‌ها به تعهدات خود تا حدودی عمل کردند اما نبود استانداردهای لازم و امکانات مطمئن در دیتاسنترهای این شرکت‌ها سبب شد باز هم دیتاسنترهای وطنی با اقبال خوبی همراه نباشند و همچنان سرورهای آمریکایی به‌خاطر قیمت ارزان حتی در مقایسه با قیمت سرورهای اروپایی و کانادایی و کیفیت مناسب از محبوبیت بالایی برخوردار باشند.
در مورد مشکلات پیش رو در ایجاد دیتاسنتر، رضا باقری مدیرگروه فناوری‌های نوین پژوهشکده مجلس چنین اظهارنظر می‌کند: در اصل 44 اشاره‌ای به پهنای باند نشده است و با توجه به جایگاه شورای عالی فناوری اطلاعات و دبیر آن که معاون وزیر ارتباطات است، ممکن است نگاه انحصاری به مقوله آی‌تی و پهنای باند مطرح شود که ممنوعیت دریافت مستقیم از ماهواره توسط دانشگاه‌ها، ICPها و سایر مراکز ضرورت عدم انحصار در مقوله‌امنیت و کنترل را طبق ماده‌37 برنامه‌ توسعه‌چهارم در فناوری‌های نوین ایجاد می‌کند.
باقری در ادامه چنین می‌افزاید: از دیگر زیرساخت‌های ارتباطی نقطه‌ اتصال بین‌المللی بدون پشتیبان شرکت فناوری اطلاعات است که اگر تنها یک نقطه هم باشد، باید برای بخش خصوصی و دولتی قابلیت اطمینان داشته باشد تا تمام سیستم‌های خود را مبتنی بر اینترنت و روی شبکه‌دیتا قرار دهد. این در حالی است که ما 7/3 گیگابیت بر ثانیه پهنای باند داریم، در این‌جا این سؤال مطرح می‌شود که سرانه کاربران اینترنت چقدر است؟ این عدد با یک حساب سرانگشتی بالای 500 بیت برثانیه است که 50 بیت آن مربوط به سرانه‌مصرف اینترنت در کشور است. وی با طرح این سؤال که آیا با این 50 بیت بر ثانیه می‌توان سرویس ارایه داد، گفت: اگر پهنای باند به 5/12 گیگ و یا حتی اگر بر رقمی که در برنامه‌چهارم ذکر شده برسد، نمی‌توان مدیا و سرویس قابل اطمینانی ارایه داد.
باقری در پایان نبود تجربه، نبود پهنای باند مناسب و زیرساخت ارتباطی به همراه هزینه‌بالای راه‌اندازی اولیه را که طبق آنچه در سازمان تنظیم مقررات ذکر شده 12 تا 16 میلیارد تومان است، نمونه‌ای از چالش‌های موجود بر سر راه ایجاد دیتاسنتر نام برد.
به هرحال برای ایجاد یک دیتاسنتر عوامل مهمی دخیل هستند، از جمله آن‌ها پهنای باند مناسب و زیرساخت لازم و ضروری در کنار هزینه‌های سنگین و در عین حال برآورد کردن امنیت لازم و جلب مشتری است. در عین حال دقت به این نکته نیز ضروری است که گویا در ایجا دیتاسنتر نیز بر سر متولی‌گری آن اما و اگرهایی وجود دارد. تا آن‌جا که طبق تصمیم وزارت آی‌سی‌تی مجوز نصب و راه‌اندازی دیتاسنتر طبق مناقصه این وزارتخانه به سه شرکت واگذار شد، اما در همان زمان‌ها زمزمه‌هایی شنیده می‌شد که نشان می‌داد بخش دیگری از حاکمیت یعنی سازمان تبلیغات اسلامی و سازمان ثبت احوال کشور نیز بدون توجه به تصمیم وزارت آی‌سی‌تی اقدام به برگزاری مناقصه برای راه‌اندازی دیتاسنتر کرده‌اند که این خود خطر جدی برای بخش خصوصی محسوب می‌شود.
به عقیده عده‌ای ارگانی که باید ناظر بر هاست شدن وب‌سایت‌های دولتی در ایران باشد، دیوان محاسبات است که سایت این ناظر نیز در خارج از ایران قرار دارد و حتی هاست شرکت مادر مخابرات ایران هم خارجی است. با این اوضاع باید از مسؤولان پرسید آیا اصلا برای دولت اطلاعات ارزش محسوب می‌شود. رضا باقری در این زمینه می‌گوید: بحث مدیریت اطلاعات در کشور نه در اسناد قدیمی و نه در نظام جامع آی‌تی مرجع تصمیم‌گیری خاصی ندارد و علی‌رغم تاکیدی که قانون برنامه چهارم بر بحث اطلاعات دارد هنوز اطلاعات برای دولت سرمایه تلقی نمی‌شود و تنها قوانین موجود بر نگهداری اطلاعات قانون محاسبات عمومی است که اشاره می‌کند، اطلاعات مالی باید به‌مدت 15 سال نگهداری شود.
***

همواره مسؤولان مخابرات بر این باورند که هاست شدن سایت‌های دولتی در خارج به ضرر منافع کشور است چراکه این مسئله باعث می‌شود که اطلاعات همیشه و در هر لحظه در اختیار بیگانگان باشد. به همین علت پروژه دیتا‌سنتر ملی تبدیل به موضوعی شد که از چند سال قبل در دستور کار قرار گرفت. اما به مرور نشان داده شد که در واقع هنوز ما ظرفیت ایجاد دیتاسنتر با استانداردهای جهانی را نداریم، چراکه ایجاد دیتاسنتر نیاز به سرمایه‌گذاری و فراهم کردن زمینه‌های فعالیت برای یک بازار اقتصادی دارد که چنین کاری تاکنون صورت نگرفته است. قیمت‌های بالای شارع 2 نشان می‌دهد که حتی اگر دولت بخواهد در این زمینه مستقیم وارد عمل شود نمی‌تواند هزینه‌های خود دیتاسنتر را نیز تامین کند و باید شرایط فنی و حمایتی برای حضور بخش خصوصی در این زمینه ایجاد شود. موضوعی که تاکنون بسیار کند پیش رفته است تا آن‌جا که در دولت قبل پس از یک مناقصه تنها چند شرکت خصوصی مجوز ایجاد دیتاسنتر را دریافت کردند که طبق شنیده‌ها هنوز هیچ‌کدام به‌طور کامل افتتاح نشده‌اند و تنها پایلوتی از آن‌ها راه‌اندازی شده است. در چنین فضایی انتخاب میزبان برای صاحبان سایت‌ها گزینه‌ای جز میزبانان خارجی نیست.

احسان موحدیان - بزرگراه فناوری - یکی از واقعیات "ناراحت‌کننده" در مورد بخش IT در منطقه خاورمیانه آن است که این حوزه در زمینه به‌کارگیری جدیدترین فناوری‌ها حدود پنج سال عقب‌تر از آمریکا و اروپاست، اما یکی از واقعیات "تهدیدکننده" از دید کارشناسان مسایل اینترنت آن است که در این بخش از جهان به تهدیدات امنیتی اینترنتی توجه چندانی معطوف نمی‌شود و همین مسئله باعث شده که مردم خاورمیانه از این لحاظ بسیار آسیب‌پذیر باشند.

صاحب‌نظران می‌گویند اگر سازمان‌ها و نهادهای ارایه‌دهنده خدمات اینترنتی در خاورمیانه نسبت به نصب وصله‌های نرم‌افزاری و استفاده از شبکه‌های رایانه‌ای ایمن بی‌توجه بوده و بخواهند طی سال‌های آینده نیز همین روند را ادامه دهند، به‌طور قطع هزینه‌های سنگین و خسارات جبران‌ناپذیری را به شهروندان دولت‌های منطقه وارد خواهند کرد.

یکی از کابوس‌های همیشگی سازمان‌هایی که تمام یا بخشی از فعالیت‌های حرفه‌ای خود را به‌صورت آنلاین انجام می‌دهند، تهدیدات بالقوه مخرب حاصل از حملات Denial of Service است که به اختصار DOS نامیده می‌شود. سازمان‌های مختلف تجاری و دولتی در سراسر جهان همیشه با این حملات مواجه هستند. ناشناس ‌ماندن عامل حمله و غیرقابل پی‌گیری بودن دو مشخصه مهم حملات DOS است. حملات DOS منجر به از کارافتادن شبکه یک شرکت و سیستم‌های آن و حتی تهدید منابع مالی شرکت می‌شود.
رونق حملات DOS

اصل بنیادین حملات DOS از زمان آغاز آن- اولین روزهای شکل‌گیری اینترنت- به‌طور کامل تا به‌حال تغییر نکرده است. ارسال حجم بالایی از درخواست (Request) به شبکه و فلج‌ ‌کردن آن، رمز موفقیت این حملات است. در عوض قدرت تخریبی و دامنه این حملات روز به‌روز بیشتر افزایش می‌یابد. کارشناسان معتقدند که به‌خصوص در دو سال اخیر قدرت این حملات افزایش چشمگیری یافته، به گونه‌ای که می‌توانند کل پهنای باند یک شبکه را به‌راحتی اشغال کنند.

یک پژوهشگر مسایل امنیتی در خاورمیانه در این مورد می‌گوید: در سال 2004 این حملات دامنه‌ای بین 800 مگابیت تا یک گیگابیت داشتند که البته بسیار چشمگیر بود، اما امروزه حملات 10 گیگابیتی هم امری عادی و پیش پاافتاده به‌حساب می‌آید.

افزایش حملات این‌چنینی به کاروکاسبی برخی شرکت‌های امنیتی حسابی رونق بخشیده است. از جمله این شرکت‌ها می‌توان به Prolexic اشاره کرد که فعالیت گسترده‌ای در خاورمیانه عربی دارد. شرکت آمریکایی یاد شده خدمات "پاکسازی ترافیک" خود را به سازمان‌هایی ارایه می‌دهد که از حملات DOS به تنگ آمده‌اند. این شرکت از سه دیتاسنتر در سراسر جهان برخوردار است و قصد دارد از دو دیتاسنتر جدید خود در آینده نزدیک بهره‌برداری کند. این شرکت به ادعای مدیرانش توانایی مقابله و دفع ده‌ها گیگابیت ترافیک ساختگی حاصل از حملات DOS را دارد. متخصصان این شرکت در صورت عقد قرارداد با دیگر موسسات به‌طور دایم از آن در برابر حملات حفاظت می‌کنند و سیستم موسسه یاد شده را برای دفع حملات احتمالی همیشه به‌روز نگاه می‌دارند.

این رویکرد یکی از معضلات کلیدی امنیتی مرتبط با حملات DOS را حل می‌کند. طی یکی دو سال اخیر مهاجمان کار حمله به سیستم‌های مورد نظر را با استفاده از صدها یا هزاران رایانه تحت کنترل خود که توسط انواع کرم و برنامه‌های مخرب آلوده شده‌اند صورت می‌دهند. آنان از این طریق پهنای باند یک سازمان را به‌خود اختصاص می‌دهند و شبکه آن را از کار می‌اندازند.

کارشناسان محلی می‌گویند حملات این‌چنینی در مناطقی مانند خاورمیانه بسیار مشکل‌آفرین است، زیرا سطح پهنای باندی که در این منطقه وجود دارد در مقایسه با دیگر نقاط جهان بسیار پایین است و اگر پهنای باند یک سازمان هدف قرار گیرد، باید به‌سرعت برای مقابله با آن فکری کرد.

به گفته وی، یک راه‌حل فوری برای این مشکل استفاده از لینک‌های خاص اینترنتی برای خدمات متفاوت است. به‌عنوان مثال باید لینک‌های ایمیل، وب و... از هم جدا باشند تا اگر یکی از آن‌ها مورد حمله قرار گرفت، دیگری دست‌نخورده باقی بماند. با این حال در بسیاری از مواقع این حملات انجام شده و خسارت قابل توجهی به کاربران وارد می‌آید. در منطقه‌ای مانند خاورمیانه بهترین راه‌حل در چنین شرایطی مراجعه به تامین‌کننده پهنای باند- در اکثر موارد یک شرکت مخابراتی- است تا آنان ترافیک مزاحم را از سر راه بردارند. اما متاسفانه اکثر شرکت‌های مخابراتی در خاورمیانه و حتی در جهان رغبتی به ارایه چنین خدماتی ندارند، زیرا سرویس این‌چنینی فشار زیادی به سیستم‌های مخابراتی وارد کرده و خرج زیادی روی دستشان می‌گذارد.
مقابله با DOS

اگرچه در منطقه خاورمیانه خدمات مقابله با DOS ارایه نمی‌شود، اما تعدادی از موسسات مخابراتی برای شناسایی مهاجمان حاضر به همکاری هستند. از جمله شرکت‌های مخابراتی پیشرو در این زمینه در خاورمیانه اتصالات است که به‌طور مداوم اطلاعاتی در مورد ترتیب‌دهندگان حملات DOS جمع‌آوری کرده و آن‌ها را در اختیار مقامات مجاز می‌گذارد. بررسی‌های اتصالات نشان می‌دهد که حملات DOS صورت گرفته بر علیه هدفی در یک کشور معمولا از همان کشور نشات نگرفته‌اند و رایانه‌های به گروگان گرفته شده برای این کار هم معمولا در نقاط مختلف جهان پراکنده بوده‌اند.

صاحب‌نظران می‌گویند اگر گزارش حملات DOS به فاصله زمانی زیادی پس از وقوع آن‌ها صورت گیرد، ردگیری‌شان کار چندان ساده‌ای نخواهد بود و اطلاعات چندانی هم در این مورد به‌دست نخواهد آمد. آنان می‌گویند که حداکثر زمان قابل قبول برای گزارش این حملات 15 تا 20 دقیقه پس از وقوع آن‌هاست. در غیر این صورت اکثر سرنخ‌های قابل ردگیری دیگر در دسترس نخواهند بود.

به‌نظر می‌رسد یکی از روش‌های موثر مقابله با حملات DOS، به‌ویژه در مورد حملاتی که با سوء‌استفاده از حفره‌ها وآسیب‌پذیری‌های یک نرم‌افزار خاصی برنامه‌ریزی می‌شود، اتخاذ سیاست‌های موثر برای بررسی این نرم‌افزارها و آشنایی با نقاط ضعف و قوت آن‌ها باشد.

یک کارشناس در این مورد می‌گوید: به‌عنوان مثال هنگامی که می‌خواهیم چیزی را به‌صورت آنلاین میزبانی کنیم، باید ابتدا یک فرآیند ارزیابی امنیتی پشت‌سر گذارده شود که در قالب آن تیم امنیت اطلاعات قادر به ارزیابی کل برنامه‌های کاربردی مورد نیاز و خدمات ارایه شده خواهند بود. با این کار تمامی نقاط ضعف شناسایی شده و در مورد آن تصمیم‌گیری می‌شود. به هنگام برپایی یک سیستم email هم باید همین فرآیند به اجرا گذارده شود.

یکی از تحولات مهم حملات DOS در دو سال اخیر افزایش حملات هدفمند به سازمان‌های خاص است. همچنین ویروس‌ها، تروجان‌ها و کرم‌های مختلف هم با اهداف صرفا تخریبی طراحی نمی‌شوند، بلکه نگارش آن‌ها نیز هدفمند‌تر شده و هر کرم یا ویروس به منظور برآوردن یک هدف خاص منتشر می‌شود.

پاتریک هایاتی مدیر موسسه ضد ویروسی مک‌آفی در خاورمیانه می‌گوید: حمله اینترنتی به یک سازمان سه دلیل می‌تواند داشته باشد. دلیل اول انگیزه‌های مالی، باج‌گیری، تلاش یک شرکت رقیب برای از کارانداختن یک سرویس و انتقام‌گیری یک کارمند ناراضی یا اخراجی است، دلیل دوم این است که فردی یک کرم مخرب را طراحی کرده و آن را به‌طور تصادفی و برای آزمایش علیه شبکه‌ها و سیستم‌های مختلف آزمایش کند. اما در حالت سوم حمله هدفمند است و فردی تصمیم می‌گیرد به شبکه یک بانک یا سازمان حمله کند. این نوع حملات ممکن است انگیزه‌های مالی یا کینه‌توزانه داشته باشند.

وی می‌افزاید: اگرچه در گذشته اکثر حملات از نوع دوم بودند، اما امروزه حملات نوع سوم افزایش چشمگیری یافته‌اند. حملات سازمان‌یافته و متمرکز امروزه به یک هنجار مبدل شده‌اند. مهاجمان امروزه حتی به دقت شعبه بانک مورد نظر را برای حمله مشخص می‌کنند، خوشبختانه فناوری هم پیشرفت کرده و با بررسی می‌توان دریافت سیستم کدام سازمان از نقص بیشتری برخوردار است و احتمال حمله به کدام شعبه یک بانک بیشتر است.

در عین حال آمار دقیقی در مورد تعداد شرکت‌های مورد حمله و چگونگی حمله به آن‌ها در جهان وجود ندارد. در خاورمیانه و جهان اکثر شرکت‌ها تمایلی به افشای جزئیات مسایل امنیتی خود ندارند، البته هنوز در خاورمیانه حملات جدی و دامنه‌دار بر ضد موسسات مالی و دولتی بزرگ و شناخته شده صورت نگرفته، ولی این بدان معنا نیست که این بخش از جهان در برابر خرابکاری مهاجمان مصون است.

انور کتاب از مدیران سیسکو در خاورمیانه می‌گوید: هر سازمانی که به اینترنت متصل است، در معرض حمله است و در این‌جا فقط مسئله زمان حمله و چگونگی آن مطرح است. خوشبختانه حملات DOS جدی در خاورمیانه رخ نداده و اگر هم چنین تلاشی صورت گرفته با موفقیت همراه نبوده است. با این حال برخی حملات انجام شده تا بدان حد دردناک بوده که شرکت‌های آسیب‌دیده را مجبور به بازنگری در سیاست‌های امنیتی خود کرده است.

وی می‌افزاید: جدی‌ترین حملات موفق DOS در خاورمیانه مربوط به چند سرویس پست الکترونیکی عربی بوده که خوشبختانه به‌سرعت مهار شده و منجر به از دست رفتن اطلاعات کاربران نیز نشده است. البته برطرف کردن خسارات وارده به‌طور کامل چند روزی طول کشیده است. در این حملات کل سیستم به‌طور کامل از کار نیفتاده و تنها کارکرد سیستم email کند شده و به‌همین علت کاربران عادی متوجه مشکل نشده‌اند. پس از برطرف ‌کردن مشکلات، تمامی شرکت‌های ارایه‌دهنده این سرویس‌ها با شناسایی نقاط ضعف سیستم خود، تمهیدات جدید امنیتی را به‌کار گرفته‌اند.

اگرچه هنوز حملات DOS در خاورمیانه از وسعت و شدت چندانی برخوردار نیستند، اما کارشناسان هشدار می‌دهند که هم‌زمان با افزایش تعداد کاربران اینترنت در منطقه و ارایه سرویس‌های جدید همراه با پهنای باند بیشتر، توجه به مقوله امنیت در فضای مجازی هم اهمیت فوق‌العاده‌ای پیدا می‌کند.

به اعتقاد کارشناسان، اگر تا به‌حال تنها ترافیک وب در معرض خطر بود، از این پس باید به فکر برطرف‌ کردن نقاط ضعف فناوری‌های جدیدی مانند VoIP و IPTV هم باشیم که اندک اندک در خاورمیانه هم از جایگاه مناسبی برخوردار خواهند شد.

مرکز پژوهشهای مجلس شورای اسلامی نسبت به انواع کلاهبرداریها و سوء استفاده‌های ضدامنیتی، مالی و اخلاقی از اینترنت هشدار داد.

به گزارش روز دوشنبه دفتر اطلاع رسانی مرکز پژوهشها، گروه ارتباطات و فناوریهای نوین این مرکز در مورد انواع سوء‌استفاده از پیامهای اینترنتی تاکید کرده است که "بدون تردید از پیامهای اینترنتی سوء‌استفاده می‌شود." در این گزارش در عین حال خاطرنشان شده است که نمی‌توان با عدد و رقم میزان این سوء‌استفاده‌ها را مشخص کرد زیرا درصد استفاده یا سوء‌استفاده از آن بستگی به نوع پیام، محتوای آن و نیز کشور مورد نظر دارد.

مرکز پژوهشها اضافه کرد: به عنوان مثال برخی جرایم رایانه‌ای که در کل رقم بالایی دارند غالبا از طریق ایمیل، چت و پیام کوتاه صورت می‌گیرند که نمونه بارز آن کلاهبرداری اینترنتی است.

این نهاد وابسته به مجلس خاطرنشان کرد که در بانکداری الکترونیک و تجارت الکترونیک میزان سوء‌استفاده از ایمیل بسیار زیاد است و در عرصه پورنوگرافی (هرزه نگاری) نیز به روشهای مختلف جرم اینترنتی تحقق می‌یابد که از جمله می‌توان تولید، توزیع، نشر، خرید، فروش و امثال آنها را نام برد که مشتری به راحتی می‌تواند تصاویر، صوتها یا متن‌های مستهجن را دانلود (دریافت) کند.

مرکز پژوهشها برقراری امنیت اینترنتی را برای کشور ضروری دانست و افزود: اگر ضریب امنیت اینترنتی بالا باشد برخی جرایم کمتر رخ می‌دهند و اگر امنیت ضعیف یا در حد صفر باشد هر جرمی به کرات و به فور واقع می‌شود.

این گزارش می‌افزاید: در کشور ما نه تنها هیچ استاندارد امنیتی وجود ندارد بلکه بالاتر از آن هیچ تعهد امنیتی نیز وجود ندارد و در همین حال امضای قراردادها بدون رعایت استانداردها و مکانیزاسیون بدون توجه به ضرورتهای فنی و نکاتی از این قبیل صورت می‌گیرد.

"‪ISP‬ها، ‪ICP‬ها و امثال آنها مسوولیت قانونی اعم از کیفری و مدنی ندارند و در همین حال والدین نیز مجبور نشده‌اند که وقتی رایانه‌ای برای فرزندان خود می‌خرند پیش از آن نکات ایمنی و پیشگیری در سطح ابتدایی را فرا بگیرند."

در بخش دیگری از این گزارش آمده است: مدیران ادارات و سازمانها، نوعا افرادی را به عنوان مدیر انفورماتیک بر می‌گزینند که هیچ دوره رسمی و استاندارد امنیت اینترنتی را نگذرانده‌اند و در طراحی ساختمانهای اداری نیز کوچک‌ترین نکات ایمنی در زمینه پیشگیری از جرم اینترنتی رعایت نمی‌شود.

مرکز پژوهشها یادآور شد که اینترنت و دیگر ابزارهای الکترونیک به هیچ وجه منفی نیستند و می‌توانند برای کشور مفید واقع شوند کما اینکه کشور هند در زمان حاضر برابر با درآمد صدور نفت ایران از این طریق درآمد کسب می‌کند که تا چند سال دیگر این میزان حدود پنجن برابر درآمد حاصل از صدور نفت ایران خواهد شد زیرا امروزه تجارت الکترونیک و استفاده از روشهای نوین تجاری، سبب کاهش بیکاری و افزایش درآمد افراد و حتی درآمد ملی برخی از کشورها شده است.

گروه ارتباطات و فناوریهای نوین مرکز پژوهشها تصویب قوانین متعددی در ارتباط با فضای اینترنتی در کشور را ضروری دانست و افزود: در کشورهای پیشرفته به اندازه مجلدات قطع رحلی و قطور "دایره‌المعارف بریتانیکا" پیرامون فضای اینترنت قانون وجود دارد اما در کشور ما این میزان از پنج صفحه فراتر نمی‌رود.

" قانون ضد اسپم، قانون جرایم رایانه‌ای (در دست بررسی کمیسیون قضایی) قانون رقابتهای غیرمنصفانه، قانون حمایت ‪ online‬از کودکان و قانون مسوولیت ‪ISP‬ها، نمونه‌ای از قوانین مورد نیاز در این بخش هستند و در کنار این قوانین باید استانداردهای موجود در سطح دنیا رعایت و تصویب شوند." در این گزارش بر ضرورت تصویب حداقل مقررات و استانداردهای امنیت اینترنتی در مجلس و الزام دستگاههای اجرایی به رعایت آنها، تاکید شده است.

نخستین آمار از جرایم رایانه‌ای ایران

دوشنبه, ۱۰ مهر ۱۳۸۵، ۱۰:۲۳ ب.ظ | ۱ نظر

غزال صادقی - بزرگراه فناوری - هم‌زمان با ورود به هزاره دوم، انسان همچنان شاهد جرم و جنایت‌های بی‌شماری است که اگرچه از نظر ماهوی دچار تغییر نشده است اما از نظر استفاده از ابزارها، تغییرات شگرفی را به‌خود دیده است. انسان امروزی همچنان دزدی می‌کند، آدم می‌کشد و به مال و حریم دیگران تجاوز می‌کند. شاید دیروز یک داس یا یک چوب و یا یک خنجر، ابزار تجاوز و یا دزدی و باج‌خواهی از اموال دیگران بود، اما امروز با فشار دادن یک کلید و وارد کردن چند عدد، می‌شود به حریم دیگران تجاوز و یا به مال او دست‌اندازی کرد. حوزه جرایم در زندگی امروز بشر آن قدر پیچیده شده است که قانون‌گذاران مجبورند تحولات جرم را به‌صورت مداوم زیر نظر داشته باشند.

این معضل با سرعت ملایم‌تری در ایران رو به گسترش است و به قانون‌گذار و پلیس کشور اجازه می‌دهد که هم‌زمان با گسترش فرهنگ اینترنت در کشور، راهکارهای مقابله با جرایم قابل ارتکاب در این حوزه را تدوین کند. در نیروی انتظامی جمهوری اسلامی ایران و پس از اصلاح ساختار معاونت کشف جرایم، اداره کل مبارزه با جرایم خاص و رایانه‌ای از سال 1381 آغاز به‌کار کرده است. این اداره ماموریت طراحی و برنامه‌ریزی، هماهنگی و هدایت امور مربوط به کشف جرایم در زمینه مبارزه با جعل، کلاهبرداری، اختلاس و جرایم رایانه‌ای را برعهده دارد.

در گفت‌وگوی زیر که با سرهنگ مهرداد امیدی مدیرکل مبارزه با جرایم خاص و رایانه‌ای ناجا، انجام شده است، موضوع کشف جرم در فضای اینترنت و رایانه مورد بحث و بررسی قرار گرفته است.
به‌طور طبیعی، نخستین پرسش باید در مورد تعریف جرایم اینترنتی باشد. به‌عنوان مدیرکل مبارزه با جرایم خاص و رایانه‌ای نیروی انتظامی چه تعریفی از جرم رایانه‌ای دارید؟

در مورد جرم رایانه‌ای تعریف‌های زیادی ارایه شده است. از نظر سازمان ملل متحد جرم رایانه‌ای می‌تواند شامل فعالیت‌های مجرمانه‌ای باشد که ماهیتی سنتی دارند اما از طریق ابزارهای مدرنی مثل رایانه و اینترنت صورت می‌پذیرند. از طرف دیگر متخصصان سازمان OECD معتقدند سوءاستفاده از رایانه، هر نوع رفتار غیرقانونی، غیراخلاقی و غیرمجاز مربوط به پردازش خودکار و انتقال داده‌ها جرم اینترنتی محسوب می‌شود. در هر صورت ماهیت جرم تفاوتی ندارد و این ابزار است که وقوع جرم را در بستری جدید فراهم می‌کند. در مورد تعریف جرم رایانه‌ای در ایران اختلاف نظر وجود دارد و کارشناسان قضایی و انتظامی تعریف‌های گوناگونی در مورد آن ارایه داده‌اند. اما در مجموع فضای قضایی و انتظامی کشور به آن سمت پیش می‌رود که یک تعریف یکسان در مورد جرم رایانه‌ای و مجازات‌های برخورد با آن ارایه شود.
اما پیش از آنکه بخواهیم در مورد جرایم رایانه‌ای بحث کنیم، باید وارد حوزه "جرایم سایبر" شویم. جرایم در فضای سایبر یا فضای سایبری به‌واسطه تغییرات سریع فناوری اطلاعات در قلمرو سیستم‌های رایانه‌ای و مخابرات امکان وقوع می‌یابند. در این‌گونه جرم‌ها، تاکید بر رایانه نیست بلکه رایانه وسیله‌ای است که ابزار وقوع جرم قرار می‌گیرد.
نسل سوم جرایم رایانه‌ای؟

بله، به آن نسل سوم جرایم رایانه‌ای می‌گویند.
در مجموع چند نوع جرم در حوزه رایانه و اینترنت تعریف شده است؟

مطابق تعریف سازمان ملل متحد از جرم رایانه‌ای، کلاهبرداری رایانه‌ای، جعل، ایجاد خسارت یا تغییر داده‌ها، دست‌یابی غیرمجاز به سیستم‌ها و خدمات رایانه‌ای و تکثیر غیرمجاز برنامه‌های رایانه‌ای جزء جرایم شناخته شده در حوزه رایانه محسوب می‌شوند.
جناب سرهنگ درحال حاضر وضعیت ایران از نظر وقوع جرایم رایانه‌ای چگونه است؟

با تکیه بر اینکه در کشور ما هنوز آیین‌نامه‌ای برای مبارزه با جرایم اینترنتی و رایانه‌ای تدوین نشده است، باید بگویم که میزان کشفیات جرایم رایانه‌ای در سال گذشته، معادل 50 درصد پرونده‌های ورودی بوده است یعنی از کل پرونده‌هایی که در زمینه جرایم رایانه‌ای به ثبت رسید، 50 درصد منجر به کشف جرم شد و پیش‌بینی من این است که این روند باز هم بهبود پیدا کند. در همین زمینه باید بگویم که در طول زمان مشخصی از فصل بهار، میزان کشف جعل با5/73 درصد و کشف کلاهبرداری با 78 درصد رشد مواجه شد. بنابراین پیش‌بینی ناجا این است که هم‌زمان با تدوین قوانین و آیین‌نامه‌های مربوط به جرایم رایانه‌ای و اینترنتی، رقم کشف جرم در مجموع با افزایش قابل ملاحظه‌ای همراه شود.
با وجود خلاء قانونی، نحوه برخورد ناجا با مجرمان رایانه‌ای چگونه است؟

نیروی انتظامی، با آن دسته از جرایم رایانه‌ای که منجر به خسارت شود و با قوانین موجود نیز تطابق داشته باشد، به‌طور قطع برخورد جدی خواهد کرد. مسایلی مثل ایجاد مزاحمت و هتک‌حرمت از آن دسته موضوعاتی هستند که ناجا نسبت به آن حساس است. اما جرایم دیگری مثل نفوذ غیرمجاز در اینترنت که بحث تازه‌ای است، با این عنوان که در جریان وقوع جرم، خسارت وارد آمده است، در دسته جرایم مربوط به ایجاد خسارت و تخریب و یا مصادیقی از این دست قرار می‌گیرد و ناجا با این جرایم با تمام توان مقابله خواهد کرد. اما مصادیق دیگری از جرایم رایانه‌ای وجود دارد که ناجا برای برخورد با آن، نیاز به قوانین جدید دارد.
ناجا، برای پر کردن خلاء قانون چه کرده است؟

لایحه‌ای تدوین کرده‌ایم با عنوان "آیین‌نامه رسیدگی به جرایم اینترنتی"، قرار است این لایحه به مجلس ارایه شود. در این آیین‌نامه به‌طور جامعی، روی جرایم اینترنتی و رایانه‌ای کار کرده‌ایم و تصویب آن به‌طور قطع بر کشف جرم در این حوزه تاثیر زیادی خواهد گذاشت.
جناب سرهنگ، سهم جرایم رایانه‌ای از کل جرایم کشور، چه‌قدر است؟

خیلی ناچیز است، به‌طور مثال سال گذشته، 53 پرونده با شکایت بخش خصوصی در حوزه جرایم رایانه‌ای تشکیل شد که 22 مورد آن به سوءاستفاده از کارت‌های اعتباری مربوط بود. در همین مدت همکاران ما، 11 پرونده در مورد کلاهبرداری اینترنتی تشکیل داده‌اند. هفت پرونده هم در مورد ایجاد مزاحمت اینترنتی تشکیل شد و سه پرونده هم در مورد رعایت نشدن حقوق کپی‌رایت بوده است. البته دو مورد انتشار اکاذیب در اینترنت داشته‌ایم و پنج مورد نیز شامل موارد متفرقه بوده است.
در مورد کارت‌های اعتباری چه نوع جرایمی می‌توان متصور شد؟

تعریف جرم کارت‌های اعتباری خیلی پیچیده نیست. هرگاه شخصی بدون اینکه دارنده کارت اعتباری اطلاع داشته باشد، از اعتبار کارت او استفاده کند، جرم صورت گرفته است. تعریف مشخصی که از این‌گونه جرایم وجود دارد، به ما می‌گوید که چنانچه شخصی اقدام به اخذ اموال یا خدماتی کند، با اطلاع از اینکه کارت قلابی یا دزدیده شده است و یا کارت باطل شده است و یا به‌ هر دلیلی که استفاده آن شخص از کارت اعتباری شخص دیگری، غیرمجاز باشد جرم صورت می‌گیرد.
درحال حاضر قانون خاصی برای مقابله با این جرایم وجود دارد؟

به‌طور واقعی اگر بخواهیم قضاوت کنیم، در این زمینه با خلاء قانون مواجه هستیم اما بخشی از قوانین، در قانون مربوط به تجارت الکترونیکی پیش‌بینی نشده است. همان‌طور که اشاره کردم، بخش عمده‌ای از کمبود قوانین مبارزه با این‌گونه جرایم، در قالب آیین‌نامه‌ای که قرار است به مجلس ارایه شود، پیش‌بینی شده است.
در مورد تجارت ‌الکترونیکی و قوانین مربوط به جرایم این حوزه، چه اقداماتی توسط ناجا صورت گرفته است؟

در قانون تجارت‌ الکترونیکی، مواردی وجود دارد که به‌طور قطع فصل‌الخطاب ناجا قرار خواهد گرفت. بحث این است که در قانون تجارت ‌الکترونیکی در مورد مسایلی همچون امضای الکترونیکی قرار است مراکزی راه‌اندازی شود که وزارت بازرگانی در تلاش برای راه‌اندازی این مراکز است. در کنار این موضوع، توجه به بانکداری الکترونیکی هم در دستور کار بانک مرکزی و نهادهای اقتصادی قرار دارد. از دید نیروی انتظامی، حرکت به سمت بانکداری الکترونیکی می‌تواند به‌میزان قابل ملاحظه‌ای از حجم جرایم مالی کم کند.
درحال حاضر تلاش نیروی انتظامی این است که هم‌زمان با حرکت بازار مالی به‌سمت بانکداری الکترونیکی، مقدمات مبارزه با جرایم قابل ارتکاب در این حوزه را فراهم کند. به‌طور قطع مبارزه با جعل رایانه‌ای که در حوزه امضای الکترونیکی وجود دارد، در دستور کار نیروی انتظامی قرار دارد و به‌زودی راه‌های مبارزه با آن تدوین خواهد شد.
در مورد امضای الکترونیکی و راه‌های مبارزه با جعل آن در نیروی انتظامی چه اقداماتی صورت گرفته است؟

امضای الکترونیکی، پدیده جدید و تازه‌ای است که پیچیدگی‌های خاص خود را دارد. با این تعریف که داده‌های الکترونیکی که به یک پیام ‌الکترونیکی الصاق می‌شود و از طریق آن امکان شناسایی امضا‌کننده پیام و تایید او وجود دارد، می‌توان به دو کارکرد مهم و عمده اشاره کرد. شناسایی امضا، موضوع مهمی است که باید به آن توجه داشت و دیگر اینکه امضای الکترونیکی به‌صورت عنصر معنوی سند الکترونیکی باید مورد توجه قرار گیرد. در همین زمینه، در قانون تجارت الکترونیکی ایران، هر نوع علامت منضم شده یا به نحوی متصل شده به داده پیام که برای شناسایی امضاکننده داده پیام مورد استفاده قرار گیرد، امضای الکترونیکی نام دارد.
با توجه به این تعریف، دو نوع امضای الکترونیکی ارایه شده است. اول امضای مبتنی بر رمزنگاری و دیگری امضای غیرمبتنی بر رمزنگاری، با تکیه بر همین تکنیک‌ها، قابلیت شناسایی امضای الکترونیکی وجود دارد و نیروی انتظامی در همین راستا به تدوین راهکارهای مبارزه با جرایم قابل ارتکاب اقدام کرده است.
فکر می‌کنید حرکت به سمت الکترونیکی شدن تجارت در ایران، چه تاثیری بر کاهش میزان جرایم اقتصادی در کشور داشته باشد؟

به اعتقاد من تاثیر بسیار زیادی در کاهش جرایم اقتصادی خواهد داشت. البته من معتقدم حرکت به سمت بانکداری الکترونیکی از تجارت الکترونیکی مهم‌تر است و در کاهش میزان جرایم اقتصادی تاثیر بیشتری دارد. داشتن سیستم جامع بانکداری الکترونیکی می‌تواند در کاهش میزان پول‌شویی و ورود پول‌های کثیف به اقتصاد کشور تاثیرگذار باشد. گذشته از آن بانکداری الکترونیکی می‌تواند میزان فرارهای مالیاتی، جعل اسناد بانکی و سرقت پول را به حداقل برساند. بنابراین فکر می‌کنم اگر زودتر از تجارت الکترونیکی، به فکر بانکداری الکترونیکی باشیم، نتیجه بهتری خواهیم گرفت.
در مورد نفوذ به شبکه و به اصطلاح هک‌ کردن سیستم چه توضیحی دارید؟ آیا هک کردن در ایران جرم است؟

هر گونه حمله به سیستم‌های رایانه‌ای که با هدف محروم کردن افراد از دسترسی صحیح و مستمر به سیستم‌های رایانه‌ای صورت گیرد، جرم محسوب می‌شود. درحال حاضر نیروی انتظامی و قوه قضاییه با توجه به اینکه برخی حمله‌ها به ایجاد خسارت و یا ایجاد مزاحمت منجر می‌شود، می‌تواند با شکایت افراد موضوع را پی‌گیری کند. نیروی انتظامی به‌طور قطع برنامه‌های گسترده‌ای برای مبارزه با این‌گونه جرایم دارد که بخشی از آن در آیین‌نامه رسیدگی به جرایم رایانه‌ای پیش‌بینی شده است.
آیا در مورد هک‌ کردن دیدگاه واحدی وجود دارد؟

این موضوع در میان متخصصان حقوقی و فنی تعریف مشخصی ندارد.

برخی کارشناسان معتقدند هر نوع حمله به سیستم‌های ایمن، در قالب تعریف هک ‌کردن می‌گنجد و برخی دیگر معتقدند نفوذیابی یا نفوذگری بهترین تعریف برای هک‌ کردن است. همین چالش‌ها در ایران نیز وجود دارد.
به‌عنوان آخرین سوال بگویید که نحوه همکاری پلیس ایران با پلیس بین‌الملل برای کشف جرایم رایانه‌ای چگونه است؟

درحال حاضر سامانه ارتباط جهانی اینترپل به‌عنوان پل ‌ارتباطی پلیس کشورها نقش عمده‌ای در داد‌وستد اطلاعات پلیسی دارد. این سامانه در مدت فعالیت خود توانسته است نقش عمده‌ای در افزایش همکاری میان پلیس کشورها داشته باشد. در حقیقت استفاده از اینترنت و رایانه باعث شده است که پلیس‌ها در همه جای دنیا با سرعت زیاد به اطلاعات مربوط به جنایتکاران، سوابق و به‌طور کل اطلاعات مورد نیاز خود دسترسی پیدا کنند.
نحوه همکاری پلیس ایران با پلیس بین‌المللی هم بر مبنای برخورد با جرایم و کمک به شناسایی جرم و جنایت در دنیا تنظیم شده است.
اما در شرایط کنونی و با توجه به افزایش جرایم اینترنتی در کشورهای اطراف ایران، نیروی انتظامی در صدد گسترش همکاری با پلیس بین‌الملل است و در این راستا قصد دارد برنامه‌ریزی جامعی برای بالا بردن سطح کارایی پلیس ایران برای پیشگیری و مقابله با جرایم رایانه‌ای داشته باشد.
در مجموع این وعده را می‌دهم که با توجه به تلاش گسترده همکاران ما و تاکید فرماندهی ناجا، به‌زودی شاهد تجهیز و برنامه‌ریزی گسترده نیروی انتظامی برای مقابله با جرایم رایانه‌ای باشید.

امنیت الکترونیکی را به خانه‌ها می بریم

دوشنبه, ۱۰ مهر ۱۳۸۵، ۱۰:۱۴ ب.ظ | ۰ نظر

سید میثم لطفی - بزرگراه فناوری - اگرچه تا چند سال پیش ادارات و سازمان‌های قدیمی و باسابقه کمتر به سراغ استفاده از کامپیوتر‌ها و دستاوردهای نوین فناوری می‌رفتند و در بیشتر مواقع ترجیح می‌دادند که از ابزارهای سنتی استفاده کنند، امروز فناوری ارتباطات و اطلاعات حرف اول را در بیشتر سازمان‌های کوچک و بزرگ در سراسر جهان می‌زند.

شرکت‌هایی که امروزه به بقا و ماندگاری خود فکر می‌کنند و در تلاشند رقابت بیشتری را با مراکز همسان خود انجام دهند مجبورند آخرین یافته‌های فناورانه را به‌کار بندند و به این وسیله خدمات متنوع‌تر و گرانبهاتری را به‌دست مصرف‌کنندگان برسانند. نشریه eGovMonitor برای آنکه میزان خدمت‌رسانی شرکت‌های مختلف جهانی به مردم با استفاده از فناوری ارتباطات و اطلاعات را بیش از پیش نمایان کند به‌تازگی گفت‌وگویی با کلیر هامون(Claire Hamon) انجام داده است. هامون درحال حاضر مدیریت دفتر اطلاعات وابسته به مرکز خدمات پیگردهای قانونی بریتانیا را برعهده دارد و در این مصاحبه سعی کرده تا نشان دهد که سازمان‌ها چگونه می‌توانند با کنترل فناوری اطلاعات تولیدات و خدمات خود را به بهترین صورت ممکن به‌دست مردم برسانند که در زیر بخش‌هایی از این مصاحبه را مرور می‌کنیم.
به‌عنوان نخستین سوال، می‌توانید توضیح کوتاهی در مورد نقش خود به‌عنوان مدیر دفتر اطلاعات وابسته به مرکز خدمات پیگردهای قانونی بریتانیا بدهید؟
سمتی که من در آن قرار گرفته‌ام طوری طراحی شده که براین اساس باید 100 کارشناس را که در بخش عرضه خدمات فناوری ارتباطات و اطلاعات فعالیت‌ می‌کنند به‌طور مستمر زیرنظر بگیرم و با آن‌ها در ارتباط باشم. نقش من به‌عنوان مسؤول سیستم‌های اطلاعاتی بازرگانی در مرکز فناوری ارتباطات و اطلاعات وابسته به مرکز پیگردهای قانونی دولت مرکزی بریتانیا تعریف شده و بر این اساس مجبورم تمام فعالیت‌هایی را که در حیطه ICT انجام می‌شود، زیر نظر بگیرم. اعضای گروه من وظیفه دارند که به صورت شبانه‌روزی مراکز ارایه خدمات اینترنتی را کنترل کنند و با آن‌ها در تماس باشند و همچنین به کمک‌ ابزارهای فناوری ارتباطات و اطلاعات، با هشت هزار کارمند اداره پیگردهای قانونی بریتانیا که در انگلستان و ولز پراکنده شده‌اند در ارتباط باشند.
علاوه براین، من در بخشی فعالیت می‌کنم که ارتباط سازمانمان را با دنیای بیرون برقرار می‌سازد. این ارتباط نه‌تنها با شرکت‌ها و سازمان‌های خصوصی، بلکه با مراکز دولتی و ملی نیز برقرار می‌شود تا بتوانیم اطلاعات مورد نیاز خود را از همه بخش‌ها به‌دست آوریم. در دولت مرکزی بریتانیا شورایی با نام "شورای پی‌گیری‌های قانونی" تاسیس شده که با شرکت در آن می‌توانیم دریابیم که طرح‌های دولتی و بزرگ برای توسعه فناوری ارتباطات و اطلاعات تا چه اندازه موفق بوده است. ما همچنین در سازمان خود طرحی را عرضه کرده‌ایم که eSkills نام گرفته و بر این اساس ضمن شناسایی نیازهای کاربران و کارمندان، به ما امکان می‌دهد با برگزاری کلاس‌ها و دوره‌های آموزشی مختلف بتوانیم به این نیازها پاسخ دهیم و سطح فناوری ارتباطات و اطلاعات را در تمامی نقاط بریتانیا بالا آوریم.
درحال حاضر دولت دریافته که فناوری ارتباطات و اطلاعات به‌عنوان اصلی‌ترین عامل در انتقال کالا و خدمات به مصرف‌کنندگان محسوب می‌شود. آیا شما می‌توانید توضیحی کوتاه در مورد فعالیت‌های سازمان خود برای رشد صنعت ICT بدهید؟
دفتر اطلاعات وابسته به مرکز خدمات پیگردهای قانونی بریتانیا استراتژی‌هایی را برای خود در نظر گرفته که به کمک آن شبکه تولید، عرضه و خدمات کالاهای مختلف را زیر نظر می‌گیرد و با کمک فناوری ارتباطات و اطلاعات باعث می‌شود تا این کالاها با کیفیتی مناسب و در سطحی گسترده به‌دست همه مردم برسد. باید اعتراف کنیم که فناوری ارتباطات و اطلاعات در سال‌های اخیر موفق شده تاثیری مستقیم و چشمگیر در عرضه خدمات به مشتریان برجای بگذارد. ما برای آنکه بتوانیم موفقیت خود در آینده را تضمین کنیم شش استراتژی مجزا و کامل تبیین کرده‌ایم که شامل توسعه مدیریتی، افزایش استفاده از فناوری برای بالا بردن میزان انعطاف‌پذیری فعالیت‌های مختلف، توسعه و ارتقای قابل ‌ملاحظه بخش‌های اصلی و اساسی سازمان، افزایش کیفیت و در دسترس بودن مدیریت اطلاعات در عرضه خدمات، افزایش توانایی‌های خود برای مدیریت اطلاعات و تبدیل اطلاعات به ابزاری برای استفاده در بخش‌های مختلف زندگی می‌شود. این ابزارها باعث می‌شوند تا ما بتوانیم استفاده‌های بیشتری از مراکز آموزشی سازمان خود برده و کارایی سیستم عدالت جنایی را در این مرکز بالا ببریم تا بازده در مراکز دولتی افزایش یابد. این استراتژی‌ها می‌تواند میزان کارایی و اثربخشی ما را افزایشی قابل‌ ملاحظه دهد.
آیا می‌توانید چند نمونه از پروژه‌های فناوری اطلاعات که در مرکز شما به آن پرداخته شده را برای ما مثال بزنید؟ این پروژه ها تا چه اندازه موفق بوده‌اند؟
یکی از مهم‌ترین پروژه‌های فناورانه‌ای که ما در این مرکز انجام داده‌ایم طرح سیستم مدیریتی COMPASS بوده که از سال 2003 میلادی آغاز شده که سازمان ما توانسته مدیریت پیگردهای جنایی خود را به کمک این طرح انجام دهد و موفقیت‌های فراوانی را نسبت به گذشته به‌‌دست آورد. این طرح عظیم و بزرگ موجب شده تا ما بتوانیم در زمان مناسب اطلاعات مورد نیاز خود را به‌دست آورده و آن‌ها را برای فعالیت‌های خود به‌کار بریم. در این سیستم که CMS نام‌گذاری شده تاکنون بیش از سه میلیون مورد پی‌گیری شده که بیشتر آن‌ها با موفقیت به پایان رسیده است. علاوه بر این، به‌تازگی سیستم WMS نیز که به‌عنوان پشتوانه CMS محسوب می‌شود راه‌اندازی شده که باعث می‌شود احتمال موفقیت‌های ما در زمینه‌های مختلف افزایش یابد.
مرکز ما درحال حاضر به‌قدری توسعه یافته که به‌صورت مستمر به هشت هزار نفر خدمات می‌دهد. درحالی که بخشی از این افراد در سازمان‌های وابسته به ما فعالیت‌ می‌کنند، بخش دیگر در ادارات پلیس و مراکز اطلاع‌رسانی وابسته به آن بهره می‌برند. سیستم CMS اطلاعات تمام سارقان و متخلفان را در خود جای داده تا به هنگام نیاز ماموران امنیتی و پلیس بتوانند از آن‌ها استفاده کنند، با زیر پوشش قرار دادن دادگاه‌ها به آن‌ها کمک می‌کند تا بتوانند در مواقع مختلف بهترین تصمیم را با توجه به اطلاعات به ثبت رسیده اتخاذ کنند. سیستم CMS تاکنون در بیش از 750 مرکز در انگلستان و ولز راه‌اندازی شده و احتمال می‌دهیم که در آینده نزدیک این رقم تا چند برابر افزایش یابد. تجربه ثابت کرده، هر جا این سیستم مورد استفاده قرار گرفته درصد خطا و اشتباه کارمندان ما به میزان زیادی کاهش یافته است.
برای تغییر آسان‌تر و بهتر روش‌های مدیریتی که بتواند نتایج بهتری را در پی داشته باشد چه روش‌هایی را مناسب می‌بینید؟
به‌طور کلی تغییر سیستم‌های مدیریتی از جمله روش‌هایی است که به کمک آن یک سازمان می‌‌تواند بقای خود را تضمین کند. ما براساس این اصل می‌کوشیم سیستم‌های قضایی خود را به‌روز کنیم و از این طریق بتوانیم اطلاعات مورد نیاز را در بهترین زمان ممکن به‌کار بریم. پیشنهادات و انتقاداتی که مردم همواره به ما انتقال می‌دهند از جمله مواردی است که همواره برای ما مفید محسوب شده و توانسته بر روی سیستم‌های الکترونیکی ما تاثیر بگذارد. این تغییرات می‌تواند از تفاوت‌های بزرگ که به تغییر فرهنگ منتهی می‌شود گرفته تا تغییر سیستم‌های کوچک مدیریتی را شامل شود.

کارشناسان ما بر پایه نتایج حاصل از مطالعاتی که در این زمینه انجام داده‌اند دریافته‌اند، این تغییرات که برخی از آن‌ها در ظاهر بسیار کوچک به‌نظر می‌رسند اساس رشد و توسعه فناوری ارتباطات و اطلاعات را فراهم می‌آورند. باید توجه داشته باشیم که مبادلات و خدمات امنیتی به برکت فناوری‌های نوین اطلاعاتی امروزه پیشرفته‌تر و کامل‌تر از گذشته شده است، به‌طوری که ادغام بازارهای جهانی به‌وسیله فناوری‌های ارتباطی امکان‌پذیر شده است. امروزه سازمان ملل به‌جای اینکه ارزش یک کشور را از روی توسعه صنعتی آن ارزش‌یابی کند، به ارزش اطلاعاتی آن یا Knowledge Base Economy رجوع می‌کند که چقدر اطلاعات در این جامعه درحال گسترش است و سرعت گسترش آن چه میزان است و یا اینکه چقدر توسعه اطلاعات، سالم و دقیق است و این امر باعث می‌شود که دامنه اقتصاد جهانی توسعه پیدا کند.
شما فکر می‌کنید که ظرف چند سال آینده چه تغییرات اساسی در این زمینه ایجاد می‌شود و استراتژی‌های شما برای موفقیت‌ هرچه بیشتر این تغییرات چیست؟
ابتکار و خلاقیت ابزاری است که همواره توانسته به توسعه فناوری ارتباطات و اطلاعات کمک کند. ما همواره با این توسعه‌ها و پیشرفت‌ها مواجه هستیم و برای آنکه بتوانیم سیستم‌های قضایی، امنیت، عدالت و ... را همواره به‌روز نگه‌داریم مجبوریم از این فناوری‌ها استفاده کنیم. این پیشرفت‌ها موجب شده تا در ابزارهای قابل حمل ما که برای ماموران امنیتی مورد استفاده قرار می‌گیرد تغییرات فراوانی حاصل شود.

یکی از راه‌های اصلی پیشرفت در زمینه قضایی و امنیتی خدمت در یک یا چند پست سخت و دشوار است. این چنین پست‌هایی، پست‌های خطرناک و ضروری در مناطقی است که اغلب حکومت‌های ضعیف دارند و تلاش می‌کنند امنیت به‌وجود آورند، توسعه یابند و هرچه بیشتر امنیت الکترونیکی ایجاد کنند. اکنون تحت حکم جدید امنیت ملی، قدرت و اختیارات وسیعی به‌دست آمده است. به‌تازگی قانونی به مرحله اجرا درآمده که طی آن تا مبلغ زیادی از بودجه وزارت دفاع به مناطقی که درگیری در آن‌ها به پایان رسیده، منتقل می‌شود. مشاوران امنیتی برای نیروهای ارتش که به‌عنوان مشاوران سیاسی و دیپلماتیک برای فرماندهان ارتش عمل می‌کنند، به همراه آن‌ها اعزام شده و تجربیات منطقه‌ای و دیپلماتیک خود را در اختیار آن‌ها قرار می‌‌دهند.
به‌عنوان سؤال آخر، شما برای آن دسته از افراد و مراکزی که می‌خواهند فعالیتی مشابه را انجام دهند چه پیشنهادی دارید؟
در سال 2005 حداقل 130 گزارش مبنی بر سرقت اطلاعات شخصی کاربران اینترنتی از کشور آمریکا به‌دست شرکت‌های امنیتی رسیده است. در این سال تقریبا 55 میلیون آمریکایی مورد هدف سارقان کارت‌های شناسایی و اطلاعات سری قرار گرفته‌اند. در سال 2004 اداره آمار اینترنتی اعلام کرد: میزان جرایم سایبر به 105 میلیارد دلار رسیده بود. علاوه بر این، در سال 2005 نیز اطلاعات شخصی تقریبا 206 هزار نفر از کارمندان شرکت‌ها و مشتریان آن‌ها به سرقت رفته است. مسؤولان کشور آمریکا با بررسی آمار حملات اینترنتی و افزایش روزافزون سرقت اطلاعات شخصی کاربران، قصد دارند فعالیت‌های خود را در زمینه مقابله با جرایم اینترنتی دوچندان کنند و برای این منظور باید مبلغ بیشتری را در این بخش هزینه کنند. در این میان کاخ سفید هم اعلام کرده که فناوری ردیابی اینترنتی‌ خود در راستای قوانین فدرال است چرا که تنها شمارش تعداد بازدیدکنندگان ناشناس را انجام می‌دهد و از ثبت اطلاعات شخصی امتناع می‌ورزد. سایت کاخ سفید با استفاده از یک فناوری جاسوسی اینترنت، تصویر گرافیکی کوچکی که به‌طور مجازی غیرقابل مشاهده است به‌طور پنهانی تعداد و زمان بازدیدها را ثبت و ردیابی می‌کند.
باید توجه داشت که از میان برداشتن شکاف دیجیتالی و اطمینان از دسترسی عمومی به اینترنت یکی از مهم‌ترین وابتدایی‌ترین اقدامات در جهت تحقق امنیت الکترونیکی و دولت الکترونیکی محسوب می‌شود.
به‌طور کلی در تئوری‌های سازمانی فرایند هدایت را اخذ اطلاعات عملکردی سازمان، تحلیل و مقایسه این اطلاعات با رسالت‌های سازمان و تفکرات نوین سازمانی به‌منظور ارایه راهکارهای اجرایی و کاربردی در جهت رشد و تعالی سازمان باید دانست. از سوی دیگر فلسفه وجودی تکنیک‌ها و الگوریتم‌های کارآمد فعالیت در زمینه هوش مصنوعی، چیزی جز تحلیل انبوهی از اطلاعات انباره‌های داده در جهت کشف روابط مخفی دانش در اطلاعات موجود به‌منظور تسریع عملیات تصمیم‌سازی و تصمیم‌گیری نیست. از این‌رو ابزار داده‌کاوی به‌منظور تحلیل اطلاعات پراکنده و حجیم سازمان و تبدیل اطلاعات مذکور به دانش مفید مدیریتی و هدایتی ضرورتی انکارناپذیر بوده که فقط به کمک صنعت ICT می‌توان به نتیجه مطلوب رسید.
دولت‌هایی نظیر انگلستان پنج میلیون پوند در سال کلاه‌برداری اینترنتی دارند، اما با این‌حال از این نوع شبکه‌ها، به اسم ملی و به بهانه امنیت راه‌اندازی نکرده‌اند. دولت الکترونیکی که زیر نظر امنیت الکترونیکی اداره می‌شود اشاره به استفاده نمایندگان دولت از فناوری اطلاعات که قادر است روابط با شهروندان، تجار و دیگر بازوهای دولت را گسترش و ارتقا دهد، است. دولت الکترونیکی نسبت به تعامل فعال دولت با شهروندان یا دولت با شرکت‌های تجاری بیشتر بر انتشار اطلاعات از طریق اینترنت متمرکز شده است. بی‌شک پیش‌بینی الکترونیکی یک فرآیند کلیدی در مدیریت اجرایی است و اساس آن بر فراوانی داده‌هایی بوده که قبلا حاصل شده است. بنابراین، سیستم‌های پیش‌بینی بیش از هر چیز برای یک دولت کارا ضروری است.

بخش‌هایی مانند مدیریت خدمات درمانی، بازار دارایی‌های غیرمنقول و بازارهای تجاری و مالی بیشترین نیاز را به پیش‌بینی‌های نزدیک به واقعیت دارند. در قرن بیست و یکم پیش‌بینی الکترونیکی جایگزین پیش‌بینی‌های سنتی شده است و در واقع به یک قسمت لازم‌الاجرا و غیرقابل انکار در دولت الکترونیکی تبدیل شده است که به سرعت دنیای کامپیوتر را تغییر می‌دهد. این تحقیق برآوردی از کتابنامه‌های موجود و برنامه‌های سیستم‌های پیش‌بینی‌کننده در قالب دولت الکترونیکی است که عناصر ساختار اصلی سیستم پیش‌بینی‌کننده در دولت الکترونیکی را ارایه می‌دهد.

یکی از نگرانی‌های همیشگی والدین اجرای بیش از حد بازی‌های ویدئویی توسط فرزندان‌شان بوده که آن‌ها را از رسیدگی به وظایف تحصیلی و خانوادگی بازمی‌دارد. آنچه که در ادامه می‌آید توصیه‌هایی در این مورد برای پدرها و مادرهاست که از سایت‌های مختلف اینترنتی جمع‌آوری شده است.


کارشناسان معتقدند اختصاص بیش از سه ساعت در روز به اجرای بازی‌های ویدئویی از سوی کودکان به هیچ وجه صحیح نیست، چون در این صورت وضعیت تحصیلی دانش‌آموزان دچار افت شده و ارتباطات خانوادگی آن‌ها نیز تضعیف می‌شود.
از سوی دیگر پزشکان هم تصریح می‌کنند که بین میزان استفاده از رسانه‌های تصویری و چاقی رابطه مستقیم وجود دارد. سلامت بچه‌های امروزی به‌خاطر چاقی مفرط در معرض خطر قرار گرفته است. این درحالی است که تا یک دهه قبل کودکان و نوجوانان از تحرک فیزیکی کافی برخوردار بودند.
آکادمی امراض کودکان در آمریکا به والدین توصیه کرده که به فرزندان‌شان اجازه ندهند بیش از دو ساعت در روز را صرف استفاده از رسانه‌های مختلف اعم از تلویزیون، رایانه و کنسول‌های ویدئویی نمایند.
توصیه‌های عملی این آکادمی برای تحقق این هدف به شرح زیر است:
الف) اعمال محدودیت‌های زمانی: فرزندانتان را از این تصمیم آگاه کنید.
به او بگویید که از چه ساعت تا چه ساعتی حق بازی کردن با کنسول را دارد یا می‌تواند از رایانه استفاده کند.
کودک باید راس ساعت مقرر از بازی کردن یا استفاده از رایانه دست بردارد. اگر او به این قوانین بی‌توجهی کرد، دسته کنترل بازی را از دسترس وی دور کرده یا رایانه را خاموش کنید.
ب) فرزندتان را حین بازی زیر نظر بگیرید. اگر رایانه یا کنسول بازی فرزندتان در اتاق خواب اوست، آن را به یک مکان عمومی‌تر منتقل کنید.
ج) بیش از حد کنجکاوی نکنید. اگر بخواهید بیش از حد فرزندتان را زیر نظر بگیرید، او احتمالا ترجیح خواهد داد در خارج از خانه از کنسول بازی یا رایانه استفاده کند. لذا از زل زدن به او در حین بازی یا کنجکاوی بیش از حد جدا خودداری کنید.
د) جایگزین‌هایی برای بازی‌های ویدئویی پیدا کنید. به‌عنوان مثال نام او را در کلاس‌های تابستانی بنویسید، با هم به گردش و تفریح بروید یا دوتایی با هم ورزش کنید. او را به کتاب‌ خواندن تشویق کنید یا ده‌ها کار مفید دیگر انجام دهید. فراموش نکنید که اگر خانه شما دارای یک کتابخانه بزرگ با کتاب‌های جذاب باشد راحت‌تر می‌توانید فرزندتان را تحت تاثیر بگذارید.
اگر شما هم سؤالی در این مورد دارید و می‌خواهید آن را با یک کارشناس در میان بگذارید، سری به آدرس http://advisor.parent-institnte.com زده و سؤالتان را طرح کنید.

در مقوله امنیت رایانه‌ای و فناوری اطلاعات نیز ـ مانند سایر زمینه‌ها ـ سیاست‌های دولت نقش بسیار مهمی ایفا می‌کند. با این‌حال در این مورد باید با احتیاط اظهارنظر کرد، چراکه یک چارچوب عمومی قوانین هرچند می‌تواند امنیت رایانه‌ای را تقویت کند، اما اشکالاتی که در اثر مقررات نادرست دولتی به‌وجود می‌آید بیش از مزایای چنین مقرراتی است.


فناوری به‌سرعت درحال تغییر است و تهدیدات جدید با چنان سرعتی انتشار می‌یابند که مقررات دولتی به‌راحتی می‌توانند تبدیل به موانعی برای ارایه سریع پاسخ‌های مبتکرانه شوند. بنابراین بهترین راه این است که میان معیارهای تقنینی و غیرتقنینی یک نقطه تعادل پیدا کنیم.
برای دست‌یابی به چنین تعادلی، سیاست‌گذاران باید به برخی ویژگی‌های ذاتی و منحصر به‌فرد رایانه توجه کنند. در مقایسه با فناوری‌های اطلاعات و ارتباطات پیشین، فضای سایبر(مجازی) یک فضای غیرمتمرکز است. بخشی از قدرت اینترنت ناشی از این حقیقت است که فاقد مرزبان است و بیشتر کارایی آن در مرزهای شبکه است تا در مرکز آن. سیاست‌های امنیت سایبر دولت باید این ویژگی‌ها را مدنظر قرار دهند.
دولت‌ها معمولا سیستم رایانه‌ای خاص خود را دارند؛ از جمله رایانه‌هایی که برای امنیت ملی، خدمات اضطراری، بهداشت و سایر عملکردهای ضروری مورد استفاده قرار می‌گیرند، اما بسیاری از سیستم‌های رایانه‌ای سازمان‌های دولتی وابسته به همان نرم‌افزارها و سخت‌افزارهایی هستند که توسط شرکت‌های خصوصی طراحی و ساخته شده‌اند و لذا مسئله امنیت در آن‌ها یکی از مسایل قابل توجه است. بنابراین مسؤولیت امنیت این سیستم‌ها میان دولت و بخش خصوصی تقسیم شده است و همچنین مشخص شده که دولت باید برای مجازات و پیشگیری از انجام حملات به سیستم‌های بخش خصوصی، مثل سیستم‌های دولتی از قدرت قوانین حقوق و جزا کمک بگیرد.
ایجاد یک محیط قابل اطمینان در فضای سایبر نیازمند تطبیق قوانین و سیاست‌های دولتی سایر زمینه‌ها بر حوزه امنیت سایبر است. این زمینه‌ها شامل حمایت از مصرف‌کننده، خصوصی ماندن داده‌ها و ارتباطات، حقوق مالکیت معنوی و چارچوب تجارت الکترونیکی است. در دنیای بدون اینترنت، قانون برای معاملات تجاری و مصرف‌کنندگان حمایت‌هایی ایجاد می‌کند. قسمت اعظم این قوانین در حوزه فضای سایبر نیز قابل اعمال هستند، اما کشورهایی که به‌دنبال گسترش فناوری اطلاعات و ارتباطات (ICT) هستند باید این مسئله را بررسی کنند که آیا در قوانین آن‌ها خلائی وجود دارد که مانع ایجاد اعتماد لازم برای افزایش امنیت فضای سایبر شود یا خیر. در حقیقت کشورهایی که علاقه‌مند به گسترش تجارت الکترونیکی هستند ممکن است دریابند که قوانین آن‌ها در مورد خدمات مالی، مالکیت سایبر و حمایت از مصرف‌کننده از اعتماد یا پشتیبانی لازم برای تعاملات خارج از دنیای اینترنت برخوردار نیست. اصلاح قوانین دنیای سایبر ممکن است به‌عنوان بخشی از اصلاحات روی قوانین کلی‌تر انجام شود. (برگرفته از کتاب مرجع «راهنمای امنیت فناوری اطلاعات»، انتشارات شورای عالی اطلاع‌رسانی)
اما پس از این مقدمه و تاکید بر نقش حیاتی و اعتمادساز تامین امنیت فضای مجازی در هر کشور، به نقد لایحه جرایم رایانهای کشور که چندسالی است در مجلس شورای اسلامی در انتظار تصویب است، می‌پردازیم.
به‌نظر می‌رسد در تهیه لایحه جرایم رایانه‌ای، موارد متعددی که باعث جامعیت و قابل اجرا بودن یک قانون است لحاظ نشده که این امر باعث می‌شود لایحه مزبور در صورت تصویب، نتواند در پیشگیری و مجازات عوامل حقیقی آزار و اذیت‌های رایانه‌ای چندان موثر باشد.
در ادامه فهرست عناوینی که در ادامه این مکتوب در خصوص پیش‌نویس تهیه شده، مورد اشاره قرار گرفته‌اند و پس از آن نیز موارد مذکور بهصورت مشروح بررسی می‌شوند.
1. فقدان تعریف مشخص از حیطه و شمول قانون 2. عدم دسته‌بندی افعال مجرمانه و تفکیک آن‌ها از مجازات‌ها 3. عدم تناسب مجازات با معیارهای معقول تعیین‌کننده حدود مجازات 4. بی‌توجهی به عوامل تاثیرگذار در شدت تقصیر/قصور متولیان امنیت 5. عدم اشاره به برخی از مهم‌ترین عناوین آزار و اذیت رایانه‌ای به‌عنوان مصادیق جرم 6. مشکلات قانونی پیگرد الکترونیکی؛ در صورت تصویب این پیش‌نویس 7. سکوت در برابر سوء‌استفاده از سامانه‌ها برای تهاجم به سامانه‌های شخص ثالث 8. لزوم توجه به عدم اختلال در خدمات 9. همگن نبودن مواد مختلف در تعیین مصادیق 10. آیین‌نامه‌های مبهم 11. برخی نکات موردی
1. فقدان تعریف مشخص از حیطه و شمول قانون

به‌طور کلی طبق الگوهای سرآمدی امنیت، برای تدوین قانون در حیطه‌هایی که کاربرد فناوری
رایانه‌ای باعث ناکارآمد شدن سیستم قانونی مورد استفاده می‌شود، یک تقسیم‌بندی عمده برای جرایم رایانه‌ای در نظر گرفته می‌شود که عبارت است از:
a. جرایمی که به‌وسیله رایانه تسهیل می‌شوند؛ و
b. جرایمی که توسعه و کاربرد فناوری رایانه‌ای و شبکه باعث خلق مفاهیم جدید و به‌وجود آمدن آن‌ها شده است.
بنابراین، برای تدوین نظام جامع و مانع قانونی به‌منظور افزایش اعتماد در فضای رایانه‌ای، هم باید قوانین مختص این فضا را به‌وجود آورد و هم باید قوانین جزایی را که از قبل وجود داشته به‌گونه‌ای اصلاح کرد که جرایم تسهیل شده به‌وسیله رایانه را نیز دربر بگیرد. لذا نباید در قانون جرایم رایانه‌ای به‌دنبال جمع‌آوری تمام اقدامات مجرمانه در هر زمینه‌ای بود و باید قسمتی از آن را به اصلاح قوانین دیگر واگذارد. در هر صورت، به‌نظر می‌رسد لازم باشد که در مقدمه متن پیشنهادی، حیطه قانون و شمول آن (و در صورت صلاح‌دید، حتی مواردی که این قانون به آن‌ها مربوط نمی‌شود نیز) به‌وضوح مورد اشاره قرار گیرند. مثلا به‌نظر می‌رسد ماده 25 از جنس قانون دیگری برای الزامات نگهداری داده‌هاست که باید شامل موارد دیگری (نظیر مسؤولیت تهیه صحیح نسخه پشتیبان و غیره و همچنین مجازات‌های عدم عملکرد صحیح در خصوص موارد ذکر شده) نیز بشود.
به‌دلیل عدم رعایت اصل مذکور، در موادی از این پیش‌نویس تداخل‌هایی با سایر قوانین مانند حقوق شهروندی و قانون مدنی وجود دارد؛ مانند مواردی که در فصل چهارم و فصل پنجم بازتعریف شده، درحالی که طبق قوانین حال حاضر نیز کلیه این موارد از افعال مجرمانه محسوب می شوند و تنها از طریق رایانه، کیفیت انجام آن‌ها متفاوت است.
2. عدم دسته‌بندی افعال مجرمانه و تفکیک آن‌ها از مجازات‌ها

طبق الگوهای سرآمدی، به‌دلیل ماهیت پیچیده و کثرت افعال مجرمانه در فناوری‌های نوین مانند فناوری اطلاعات و ارتباطات، برای روشن بودن چارچوب و ساده‌تر شدن اجرای قانون، معمولا ابتدا در یک فصل مصادیق افعال مجرمانه دسته‌بندی و تشریح می‌شوند و سپس مجازات‌های مربوطه در فصل بعد آن متناظر با دسته‌بندی انجام شده و سایر عوامل تعیین‌کننده میزان مجازات (که در بند چهارم همین مکتوب مورد اشاره قرار گرفته‌اند) تعیین می‌شوند.
این دسته‌بندی علاوه بر ساده کردن کار تطبیق فعل انجام شده با مصادیق افعال مجرمانه (خصوصا در مواردی‌که فعل انجام شده با بیش از یک مصداق تطابق دارد)، کار اصلاح قانون متناسب با پیشرفت و تغییر کاربرد فناوری را نیز تسهیل می‌کند.
3. عدم تناسب مجازات با معیارهای معقول تعیین‌کننده حدود مجازات

مواردی چون قصد و نیت فرد مهاجم، آگاهی قبلی برای تخریب، سطح حساسیت سامانه هدف، میزان تقصیر یا قصور متولیان حفاظت از سامانه میانی (توضیحات بیشتر در این مورد در بند ششم همین مکتوب آمده است)، میزان تقصیر یا قصور متولیان حفاظت از سامانه هدف، میزان خرابی‌های مستقیم به بار آمد و همچنین میزان آسیب‌ها و ضررهایی که در مراحل بعد به قربانی/قربانیان فعل مجرمانه وارد می‌شود (که گاهی اشخاص ثالث حقیقی و حقوقی را هم دربر می‌گیرد)، همه از مواردی هستند که عرفا مسؤولیت آن‌ها برعهده مجرم و معاونان اوست و لذا در تعیین مجازات، توجه صرف به‌عنوان مصداق تشخیص داده شده از فعل مجرمانه کافی نیست و باید این موارد نیز در نظر گرفته شوند. این مورد نیز در قوانین کشورهای توسعه‌یافته که به اقتضای کاربرد فناوری پیش از کشورهای درحال توسعه، زودتر به ضرورت وجود قوانینی از این دست پی برده‌اند به چشم می‌خورد.
4. بی‌توجهی به عوامل تاثیرگذار در شدت تقصیر/قصور متولیان امنیت

زمانی‌که یک تهاجم موفقیت‌آمیز (با هر درجه‌ای از موفقیت) صورت می‌گیرد، همه مسؤولیت خرابی‌های به بار آمده بر گردن مهاجم نیست، بلکه مسؤولان، سیاست‌گذاران و مدیران سامانه هدف نیز در آن شریکند؛ چراکه معمولا با عدم تدبیر به موقع اقدامات لازم برای جلوگیری از نفوذ، راه را برای تهاجم آسان باز گذاشته‌اند. اما میزان این شراکت بسته به عوامل مختلف (از جمله میزان پیچیدگی روش مورد استفاده برای نفوذ، میزان استحکام تدابیر امنیتی سامانه هدف و غیره) متغیر است.
هرچند در ماده 5 پیش‌نویس مورد بحث به این مورد اشاره ضمنی شده است، اما باز هم بدون توجه به نوع حمله، قصد تخریب، میزان خسارت‌های وارده و سایر موارد موثر و صرفا به‌دلیل «اعطای دسترسی» به مهاجم، مجازات مشخصی برای خاطیان در نظر گرفته شده است؛ درحالی‌که اولا عوامل موثر بر مجازات باید به شرح گفته شده باشند و ثانیا، ممکن است فرد خاطی از طریقی غیر از «اعطای دسترسی» به انجام حمله توسط مهاجم کمک کرده باشد.
5. عدم اشاره به برخی از مهم‌ترین عناوین آزار رایانه‌ای به‌عنوان مصادیق جرم

در ادامه برخی از عناوین به‌عنوان نمونه مورد اشاره و توضیح مختصر قرار گرفته‌اند که در پی می‌آیند.
الف. نرم‌افزارهای دارای «درب مخفی»: ایجاد تعمدی درب مخفی در نرم‌افزار توسط نویسنده نرم‌افزار؛ جمع‌آوری اطلاعات کاربران به‌صورت خودکار توسط نرم‌افزار و انتشار آزادانه آن روی وب. این نرم‌افزارها معمولا در پایگاه‌های وب با کارکرد دیگر خود (مثلا یک بازی رایانه‌ای) معرفی می‌شوند، اما پس از دریافت و به اجرا در آمدن توسط کاربران، کارکرد مخرب خود را نیز - غالبا بدون اطلاع کاربران - انجام می‌دهند؛ بنابراین خود کاربر در آسیب وارده مقصر است، اما از طرف دیگر، از چنین کارکردی توسط نرم‌افزار اطلاع قبلی نداشته است.
ب. کرم‌های اینترنتی که معمولا برای انتشار خود از اطلاعات یافته شده روی رایانه‌های قربانی سوءاستفاده می‌کنند و به‌عنوان مثال، از طرف برخی آدرس‌های یافته شده در سامانه قربانی، برای برخی دیگر از آدرس‌های همان فهرست، نامه الکترونیکی ارسال می‌کنند، واضح است که در چنین موردی، مقصر اصلی پدیدآورنده اولیه کرم اینترنتی است.
ج. کلاهبرداری اینترنتی؛ مثلا طراحی یک صفحه ورود اطلاعات مشابه صفحه ورود اطلاعات سامانه‌های پرداخت الکترونیکی (مثلا سامانه‌های برخی بانک‌های داخلی) و فریب کاربران برای ورود اطلاعات کارت‌های خرید/پرداخت الکترونیکی و سوءاستفاده از اطلاعات جمع‌آوری شده. در این خصوص، خود کاربر با رضایت کامل اقدام به ورود اطلاعات در پایگاه فرد کلاهبردار کرده، اما ابتدا توسط او فریب خورده است و پس از ورود اطلاعات نیز این کاربر است که قربانی این کلاهبرداری می‌شود.
د. ارسال هرزنامه که عبارت است از ارسال نامه‌های تبلیغاتی/با مصارف دیگر به فهرست‌های بزرگی از آدرس‌های پست الکترونیکی، خصوصا در شرایطی که دریافت‌کنندگان تمایلی به دریافت آن نامه‌ها ندارند. این عمل در قوانین کلیه کشورهای پیشرو در صنعت فناوری اطلاعات و ارتباطات از جرایم سنگین محسوب می‌شود.
6. مشکلات قانونی پیگرد الکترونیکی

در قسمت‌های مختلفی از قانون (در صورت تصویب پیش‌نویس مذکور) مواردی آمده که می‌تواند کاربردهای مشروع، قانونی و بعضا مورد نیاز برای جلوگیری از وقوع جرایم رایانه‌ای را دچار مشکل کند که در ادامه به‌طور مختصر به برخی از آن‌ها اشاره شده است:
الف. شنود الکترونیکی که برای نظارت و ارتقای امنیت سامانه‌های الکترونیکی جزء اولیه‌ترین نیازهاست، اما طبق این پیش‌نویس، انجام این کار پس از تصویب این پیش‌نویس، جرم خواهد بود.
ب. معامله ابزارهای تست ضریب امنیت که می‌توانند کارکرد دوگانه داشته باشند. این خصوصیت تمام ابزارها و نرم‌افزارهای امنیت الکترونیکی است که هم می‌توانند توسط راهبران امنیت و در جهت ارتقای امنیت شبکه و محیط به‌‌کار روند و هم می‌توانند توسط نفوذگران و در جهت تخریب سیستم‌ها مورد استفاده قرار گیرند.
ج. گستراندن دام برای کسب اطلاعات از روش کار مهاجم (honeypot) که این پیش‌نویس در خصوص قانونی و مشروع بودن آن مسکوت است، اما طبق موادی از آن، می‌توان این کار را فعل مجرمانه برشمرد.
د. نفوذ اخلاقی که به درخواست یک سازمان از یک تیم/شرکت امنیتی برای نفوذ به سیستم‌ها جهت ارزیابی استحکام اقدامات دفاعی سازمان انجام می‌شود.
7. سکوت در برابر سوءاستفاده از سامانه‌ها برای تهاجم به سامانه‌های شخص ثالث

در جرایم رایانه‌ای، امکان سوءاستفاده از سامانه رایانه‌ای یک سازمان برای تهاجم و یا تسهیل تهاجم به سامانه یک سازمان ثالث نیز وجود دارد. در این ‌صورت آیا سازمانی که برای حمله به سازمان ثالث از سامانه‌های رایانه‌ای آن سوءاستفاده شده، به‌علت تقصیر یا قصور مستحق مجازات است یا خیر؟ طبق الگوهای سرآمدی دنیا، در این مورد سازمانی که از سامانه آن برای تهاجم سوءاستفاده شده، مسؤولیت حفظ امنیت آن را به عهده داشته و حتی در صورت عدم آگاهی نیز، بخشی از مسؤولیت با آن است.
8. لزوم توجه به عدم اختلال در خدمات

عدم ایجاد اختلال در خدمات، اصلی است که همواره باید در پیگردهای قانونی جرایم الکترونیکی مدنظر قرار گیرد. در غیر این‌صورت، ممکن است کاری که مهاجم موفق به انجام آن نشده (از کار انداختن ارایه خدمات)، توسط ضابطین قضایی و در جهت اجرای قانون صورت پذیرد. گاهی لطمات این از کارافتادگی خدمت، می‌تواند بسیار بیش از اصل تهاجم برای سازمان قربانی خسارت به بار بیاورد.
9. همگن نبودن مواد مختلف در تعیین مصادیق

در تعریف مصادیق جرم، این پیش‌نویس در برخی مواد آنچنان پیش‌رفته که سعی کرده کوچک‌ترین جزییات را برای تعریف مصداق فعل مجرمانه برشمارد (نمونه: مواد فصل چهارم) و در مواردی نیز به ‌کلی تعیین مصادیق را به آیین‌نامه‌هایی که جزء یک نام از آن‌ها وجود ندارد موکول کرده است.
یکی از مواردی که در صورت رعایت بندهای 1 و 2 این مکتوب عاید قانونگذار می‌شود، همگن بودن مواد مختلف از جهات مختلف است که در عمل، اجرای قانون را به‌میزان قابل توجهی تسهیل می‌کند.
10. آیین‌نامه‌های مبهم

آیین‌نامه‌های متعددی که این قانون به آن‌ها ارجاع دارد و هیچ ‌یک حتی در حد پیش‌نویس هم آماده نشده‌اند، بسیار حیاتی هستند و به همین دلیل لازم است پیشنهاددهندگان محترم حداقل محورهای اصلی این آیین‌نامه‌ها و نیز حیطه، شمول و کلیات بندهای آن‌ها را نیز پیشنهاد دهند.
11. برخی نکات موردی

نکاتی نیز در خصوص جامع و مانع بودن این پیش‌نویس وجود دارد که چند نمونه از آن در پی آمده است:
الف. مواد 1 و 2 با بند اول ماده 3 همپوشانی قابل توجهی دارند.
ب. ماده 5: «چنانچه ماموران دولتی که... به آن‌ها آموزش لازم داده شده ...». اگر سازمانی مورد تهاجم قرار گرفت که متولیان امنیت آن، اصولا آموزش‌های لازم امنیتی را ندیده باشند، تکلیف چیست؟ آیا صرف اینکه از نظر فنی ناآگاه بوده‌اند، دلیل موجهی برای پوشش سهل‌انگاری انجام شده در تدبیر اقدامات دفاعی است که متن پیشنهادی قانون در قبال آن مسکوت است؟
ج. ماده 7: ممکن است کسی بتواند از کارت‌ها یا تراشه‌های مجعول استفاده صحیح کند؛ بنابراین عمومیت کلمه «استفاده» در این بند، می‌تواند این بند قانون را در عمل و هنگام تفسیر، با مشکلاتی مواجه سازد.
نتیجه‌گیری

به‌نظر می‌رسد با عنایت به موارد فوق، لزوم بازنگری در لایحه پیشنهادی بیش از پیش آشکار شده باشد. امید است مسؤولان و تصمیم‌گیرندگان و کلیه افرادی که به هر نحو در تصویب این قانون موثر هستند، برای تصویب یک قانون جامع و قابل اجرا در خصوص جرایم رایانه‌ای، نکات کارشناسی ذکر شده را مدنظر داشته باشند.

پریسا خسروداد - بزرگراه فناوری - تامین امنیت فضای تبادل اطلاعات کشور، در عصری که شاهد شکل‌گیری فعالیت‌های مختلف به‌صورت الکترونیکی هستیم به یکی از مهم‌ترین شاخصه‌های توسعه تبدیل شده است. در همین راستا نیز در جلسه مورخ 13/12/1382 هیات وزیران، تشکیل شورای عالی امنیت فضای تبادل اطلاعات به تصویب رسید.


هدف از تشکیل این شورا، حفظ امنیت فضای تبادل اطلاعات کشور و ایجاد امنیت در حوزه‌های گوناگون نظیر تجارت، اقتصاد، ارتباطات و اطلاعات اعلام شد. پس از اینکه شورای عالی امنیت فضای تبادل اطلاعات کشور کار خود را آغاز کرد، نخستین اقدام روشن آن تدوین سند راهبردی افتا (امنیت فضای تبادل اطلاعات کشور) بود.
این سند به استناد بند «ج» ماده 44 قانون برنامه چهارم توسعه و پیشنهاد شورای عالی امنیت فضای تبادل اطلاعات کشور، به‌عنوان مرجع عالی سیاست‌گذاری این حوزه تهیه شد.
بنابر این گزارش سند راهبردی افتا، به‌منظور تحقق اهداف چشم‌انداز 20 ساله کشور تدوین شده بود و از طرف دیگر خطوط راهنما و محورهای اصلی برنامه پنج‌ساله چهارم را مدنظر قرار می‌داد.
به‌دنبال طرح افتا، بیش از دو هزار صفحه مستندات و 15 جلد کتاب در این زمینه منتشر شد. این سند شاید جزء اولین سندهای راهبردی محسوب می‌شود که هم به‌ تصویب دولت رسید و هم به دستگاه‌ها ابلاغ شد، اما درحال حاضر پس از گذشت قریب به دو سال از ابلاغ بخش‌نامه مذکور و صرف بودجه عمومی هیچ تصمیم شفافی در زمینه تامین امنیت فضای تبادل اطلاعات کشور صورت نگرفته است. به‌طوری که سند راهبردی افتا متوقف مانده و تاکنون دبیرخانه افتا گزارش عملکرد صریح و روشنی از وضعیت دستگاه‌های دولتی برای اجرای بخش‌نامه مذکور از خود ارایه نکرده است. در همین راستا و نظر به اهمیت تامین امنیت فضای تبادل اطلاعات کشور به بررسی آخرین وضعیت سند راهبردی افتا پرداختیم.
بخش‌نامه برنامه امنیت فضای تبادل اطلاعات کشور

به‌موجب بخش‌نامه امنیت فضای تبادل اطلاعات کشور که در تاریخ 19/7/1383 و با شماره 39360 به تمامی وزارتخانه‌ها، سازمان‌ها، موسسات، شرکت‌های دولتی، نهادهای انقلاب اسلامی و استانداری‌های سراسر کشور ابلاغ شد، تمامی دستگاه‌های ذی‌ربط که از بودجه عمومی دولت استفاده می‌کنند، موظف شدند برنامه عملیاتی امنیت فضای تبادل اطلاعات خود را حداکثر در مدت شش ماه پس از ابلاغ و براساس بند 5-9 ترتیبات اجرایی سند مذکور به سازمان مدیریت و برنامه‌ریزی کشور ارایه کنند، تا بتوانند با همکاری آن سازمان مراحل تصویب، تخصیص بودجه و اجرای آن را طی کنند.
بنابر این گزارش مجری این سند سازمان مدیریت و برنامه‌ریزی و ناظر آن شورای عالی امنیت فضای تبادل اطلاعات کشور پیش‌بینی شده و قرار بود هماهنگی‌های لازم توسط کمیسیونی که به‌همین منظور تشکیل شد صورت گیرد.
200 میلیارد ریال بودجه برای شورای عالی افتا

پس از ابلاغ بخش‌نامه شماره 39360، همان‌طور که ذکر شد، کلیه دستگاه‌ها با همکاری دبیرخانه شورای عالی افتا وظیفه مطالعات اولیه، تهیه پیشنهاد پروژۀ هر اقدام و تمهید مقدمات لازم جهت استقرار نظام‌ها را برعهده گرفتند.
براساس این گزارش سازمان مدیریت و برنامه‌ریزی کشور نیز موظف شد به‌منظور تهیه طرح‌های موردنظر و برای تحقق هر یک از اقدامات در دستگاه‌های نام برده شده، مبلغ 200 میلیارد ریال را به‌صورت متمرکز به دبیرخانه شورای عالی اختصاص دهد تا با همکاری آن سازمان بین دستگاه‌ها توزیع شود.
همچنین در مورد لازم‌الاجرا بودن بخش‌نامه 39360 می‌توان به این نکته اشاره کرد که به سازمان مدیریت و برنامه‌ریزی کشور، این اختیار داده شد که از پیش‌بینی اعتبار در بودجه طرح‌های فناوری اطلاعات سازمان‌ها و نهادهایی که فاقد بخش امنیت هستند خودداری کند.
توقف سند راهبردی افتا

اما با استقرار دولت جدید و حضور دبیر تازه شورای عالی افتا سند راهبردی افتا از نظر محتوا به همان صورت باقی ماند زیرا تقریبا گردآورندگان سند مذکور به یک اجماع کلی حین تهیه این سند رسیده بودند، اما پی‌گیری آن با ایجاد تغییراتی در دبیرخانه شورای عالی تامین امنیت فضای تبادل اطلاعات کشور متوقف شد و اجرای سند با تعویق مواجه شد. نکته‌ای که در این زمینه وجود دارد این است که در آخرین بند سند افتا یعنی بند 11-9 در قسمت ترتیبات اجرایی ذکر شده هر گونه بازنگری در سند، زمان و نحوه اجرای آن به‌عهده شورای عالی افتاست، اما همان‌طور که از شواهد قضیه برمی‌آید تاکنون از جانب هیچ مرجعی در افتا خبری در زمینه ایجاد تغییر زمان و نحوه اجرا در مراجع رسمی منتشر نشده است.
بنابر این گزارش هرچند که تصور بر این بود، با استقرار دبیرخانه جدید کار پی‌گیری برنامه‌های افتای سازمان‌های دولتی پس از مدتی سکون ادامه پیدا خواهد کرد، اما این اتفاق رخ نداد زیرا از طرفی در سند افتا، با توجه به امنیتی بودن موضوع به حداکثر استفاده از توانمندی داخلی و اهتمام به استفاده از بخش غیردولتی تاکید شده بود. درحالی که تمام دستگاه‌های دولتی موظف بودند شش ماه بعد از دریافت بخش‌نامه و با استفاده از بودجه 200 میلیارد ریالی سازمان برنامه طرح‌های افتای خود را ارایه دهند اما به گفته یک مقام آگاه تاکنون هیچ مناقصه عمومی و فراگیری در این زمینه برگزار نشده است، از سوی دیگر فعالان بخش خصوصی در این حوزه نیز از وضعیت اجرای پروژه‌های مذکور اظهار بی‌اطلاعی می‌کنند.
لزوم اجرای زمان‌بندی و برگزاری مناقصات شفاف

محمود خادمی، رییس کمیسیون افتای سازمان نظام صنفی رایانه‌ای در مورد چگونگی وضعیت برگزاری مناقصات طرح‌های امنیت فضای تبادل اطلاعات سازمان‌های دولتی می‌گوید: ضرورت برگزاری مناقصات افتا با توجه به در نظر گرفتن حداکثر استفاده از توانمندی‌های داخلی در شرایط کنونی می‌تواند راهکار مناسبی برای خروج از حالت رکود باشد.
زیرا در وضعیتی که بسیاری از مناقصات برگزار شده توسط سازمان‌های دولتی به حالت شناور و معلق درآمده‌اند، ایجاد مناقصات جدید نظیر افتا می‌تواند به رشد رونق در میان بخش خصوصی کمک فراوانی کند.
وی، همچنین می‌گوید: درخواست بخش خصوصی به‌عنوان مجری طرح‌های افتا، اجرای زمان‌بندی در نظر گرفته شده و برگزاری مناقصات شفاف در این زمینه است زیرا اعلان عمومی مناقصات در روزنامه‌های کثیرالانتشار، پایگاه‌های اطلاع‌رسانی و غیره فرصت‌های برابری را در اختیار متقاضیان قرار می‌دهد. خادمی با تاکید بر این موضوع که ارایه طرح‌های افتا و اجرای آن باعث شکوفایی هرچه بیشتر این صنعت در ایران می‌شود، اجرای طرح‌های امنیت فضای تبادل اطلاعات کشور به‌دست فعالان واقعی را باعث افزایش ضریب اطمینان بیشتر در میان پروژه‌های مذکور می‌داند.

لایحه «جرایم رایانه‌ای» چه شد؟

شنبه, ۷ مرداد ۱۳۸۵، ۰۹:۱۰ ب.ظ | ۰ نظر

مهندس عباس پورخصالیان - بزرگراه ‌فناوری‌ - هیات دولت هشتم در تاریخ 25/3/1383، لایحه‌ای را تحت نام «جرایم رایانه‌ای» به تصویب رساند و آن را به مجلس شورای اسلامی فرستاد، اما این لایحه معلوم نیست در مجلس شورای اسلامی کجاست و در چه مرحله‌ایست که هنوز پس از گذشت دو سال شاید «خاک می‌خورد»!
این درحالی ا‌ست که هم‌اکنون محاکم و قوۀ مجریه، فاقد چارچوبی قانونی، بهنگام و مناسب برای پیگیری قانونی و قضایی و تعیین جرم هر یک از موارد متنوع و رو به تزاید جرایم رایانه‌ای، اینترنتی و سوء‌استفاده از فضای سایبری (مجازی) است.
آیا به صرف اینکه این لایحه در دولت هشتم به تصویب رسیده است می‌تواند دلیلی برای توقف روند شور و تصویب (یا رد) از سوی مجلس شورای اسلامی باشد، پرسشی است که عقل سلیم آن را رد می‌کند، تنها گزینۀ معقولی که می‌توان در نظر گرفت این است که این لایحه، در صف نوبت است و به‌زودی مطرح خواهد شد. اما کی؟ معلوم نیست! لایحۀ مورد بحث، از پنج بخش تشکیل شده است و در مجموع، در وضعیتی که به تصویب دولت هشتم رسیده بود، دارای چهل و دو ماده و دوازده تبصره بود. به احتمال قوی، در تهیه این لایحه، شورای عالی اطلاع‌رسانی و کارشناسان قوه قضاییه یا وکلای دادگستری نقش داشته‌اند چرا که در همان زمان، شورای عالی اطلاع‌رسانی، روی این موضوع کار می‌کرد و برای مثال کتاب ادله الکترونیکی (e-evidence) را به کمک قوۀ قضایی، در دست تدوین داشت و منتشر کرد.
اکنون سه حالت ممکن است پیش آمده باشد:
1ـ مرکز پژوهش‌های مجلس، اظهارنظر کارشناسی خود را دربارۀ این لایحه انجام داده و آن را به دبیرخانه مجلس شورای اسلامی ارجاع داده است.
2ـ مجلس شورای اسلامی در کمیسیون قضایی خود متن آن را به کمک دولت نهم و قوۀ قضاییه در دست مطالعه دارد.
3ـ آن را به‌دست فراموشی سپرده است که البته بعید به‌نظر می‌رسد.
در ضمن حالت‌های دیگری نیز به ذهن متبادر می‌شود اما در هر حالت آنچه مهم است این است که وجود یک قانون تعیین جرایم رایانه‌ای، حتی به‌صورت ناکامل و ناتمام، بهتر از عدم آن است. برای تکمیل و تجدیدنظر در یک قانون، همیشه وقت هست و همواره توجیه دارد. اما نبود و عدم چنین قانونی، توجیهی ندارد!
آن هم در شرایطی که صحبت از اینترنت ملی یا اینترانت ملی و شبکه نسل آتی (NGN) است.
برای مجلس شورای اسلامی و دولت باید بدیهی باشد که بدون قانون جرایم رایانه‌ای، تجارت‌الکترونیکی، بانکداری الکترونیکی و کسب‌وکار الکترونیکی، مشروعیت لازم را ندارند. پس تسریع در به تصویب رساندن لایحه مذکور، انتظار دست‌اندرکاران این خدمات الکترونیکی است

امنیت در اینترنت و شبکه هاى ارتباطى

شنبه, ۷ مرداد ۱۳۸۵، ۰۹:۰۶ ب.ظ | ۰ نظر

شرق - در حالى که بسیارى فناورى اطلاعات و ارتباطات را باعث تسهیل در امر انتقال اطلاعات مى دانند موضوع امنیت در تبادل اطلاعات همواره به عنوان یکى از اصول غافل مانده به شکل یک معضل پنهان باقى مى ماند.امنیت اطلاعات براى بخش مهمى از فعالان بخش فناورى اطلاعات تنها زمانى به عنوان یک موضوع حاد مطرح مى شود که مشکلى در سیستم به وجود آید. در اغلب مواقع این مشکلات باعث ضربه اى سنگین بر سیستم و یا به اطلاعات موجود در آن مى شود که در واقع مى توان گفت رویکرد دیرهنگامى است. اینترنت همواره از جهت هاى گوناگون مورد نقد و ارزیابى قرار مى گیرد اما واقعیت این است که این شبکه عظیم مانند هر اجتماع عادى انسانى دیگر در معرض تهدیدها و خطرات قرار دارد. از نفوذ داده هاى مخرب گرفته تا تخریب داده هاى سالم و برهم زدن نظم شبکه همه و همه تنها به یک مورد بستگى دارد و آن بحث امنیت اطلاعات در محیط اینترنت است. امروزه امنیت اطلاعات در زمینه اینترنت از یک بحث حاشیه اى به یک بحث ضرورى تغییر جهت داده است. هرگونه خرید و فروش روى اینترنت و یا انتقال داده ها باید تحت یک کنترل امنیتى صورت گیرد. اگر امنیت شبکه برقرار نگردد، مزیت هاى فراوان آن نیز به خوبى حاصل نخواهد شد و پول و تجارت الکترونیک، خدمات به کاربران خاص، اطلاعات شخصى، اطلاعاتى عمومى و نشریات الکترونیک همه و همه در معرض دستکارى و سوءاستفاده هاى مادى و معنوى قرار مى گیرند. همچنین دستکارى اطلاعات- به عنوان زیربناى فکرى ملت ها - توسط گروه هاى سازماندهى شده بین المللى، به نوعى مختل ساختن امنیت ملى و تهاجم علیه دولت ها و تهدیدى ملى محسوب مى شود.در ایران که بسیارى از نرم افزارهاى پایه از قبیل سیستم عامل و نرم افزارهاى کاربردى و اینترنتى، از طریق واسطه ها و شرکت هاى خارجى تهیه مى شود، بیم نفوذ از طریق راه هاى مخفى وجود دارد. هم اکنون نیز بانک ها و بسیارى از نهادها و دستگاه هاى دیگر از طریق شبکه به فعالیت مى پردازند، به همین دلیل جلوگیرى از نفوذ عوامل مخرب در شبکه به صورت مسئله اى استراتژیک درآمده که نپرداختن به آن باعث ایراد خساراتى خواهد شد. تجربیاتى نیز در همین زمینه وجود دارد که این موضوع را کاملاً ثابت کرده است.

•هویت مجازى

به رغم معرفى سرویس هاى متعدد روى شبکه، تاکنون مهمترین سرویس از میان سرویس هاى گوناگون اینترنت، سیستم پست الکترونیکى بوده است . بسیارى از کاربران اینترنت از این بخش بیشتر از سایر امکانات فراهم آمده توسط این شبکه جهانى استفاده مى کنند. امروزه، اقتصاد جهانى به پست الکترونیکى متکى شده است، بسیارى از پیام هاى رد و بدل شده بین کاربران حاوى یادداشت هاى شخصى است. گرچه اغلب پیام ها از متن ساده تشکیل شده اند اما امکان پست الکترونیکى تمام انواع داده ها، مثل تصاویر، برنامه هاى کامپیوترى، سندهاى صفحه گسترده و... نیز وجود دارد. با توجه به این سرویس، اینترنت اجازه مى دهد که افرادى که دور از هم هستند با یکدیگر در تعامل و کار باشند و در واقع، فردى با فرد دیگرى که هزاران کیلومتر از او دور است و هیچ وقت او را ندیده است، مى تواند ارتباط داشته باشد. پست الکترونیکى امروزه در تجارت و بانکدارى الکترونیکى هم کاربرد فراوانى دارد و بسیارى از تعیین هویت هاى مجازى امروزه توسط پست الکترونیک صورت مى گیرد. در همین رابطه براى استفاده امن از پست الکترونیکى تذکراتى وجود دارد. درک تفاوت هاى پست الکترونیکى با پست عادى و یا گفت وگوى تلفنى کمى دشوار است ولى به کار بستن برخى نکات ساده مى تواند در بالا بردن امنیت هنگام به کارگیرى این سرویس مؤثر باشد از جمله این موارد مى توان از موارد زیر را نام برد:بایستى همواره تصور شود که هیچ گونه اختفایى وجود ندارد. پیام هایى که به دلایلى نباید همه ببینند نباید از این طریق ارسال شود، بنابراین از ارسال نامه هاى بسیار خصوصى، سخنرانى هاى تند، بى احترامى هاى منظوردار و... باید احتراز شود. نباید فرض شود که پیام هاى حذف شده قابل بازیابى نیستند. چنانچه پیامى روز سه شنبه حذف شود، احتمالاً در نسخه هاى پشتیبان که شب یا روز قبل تهیه شده است موجود است، در سیستم پستى ابزار مشابه کاغذ خردکن وجود ندارد. در متن هاى ارسالى باید محتاط بود. این طبیعت پست الکترونیکى است که مردم پیام هاى دریافتى خود را بیشتر از پیام هاى ارسالى جدى مى گیرند. ضمن اینکه ارسال یادداشت سریع به هر جایى از جهان بسیار ساده است .

• ضرورت حفاظت

براى افزایش امنیت تبادل اطلاعات از تکنیک هاى متعددى استفاده مى شود که یکى از آنها رمزنگارى است. رمزنگارى از دیر باز به عنوان یک ضرورت براى حفاظت از اطلاعات خصوصى در مقابل دسترسى هاى غیرمجاز در تجارت و سیاست و مسائل نظامى وجود داشته است. به طور مثال تلاش براى ارسال یک پیام سرى بین دو هم پیمان به گونه اى که حتى اگر توسط دشمن دریافت شود قابل درک نباشد، در رم قدیم نیز دیده شده است. در سالیان اخیر رمزنگارى و تحلیل رمز از یک هنر پا را فراتر گذاشته و یک علم مستقل شده است و در واقع به عنوان یک وسیله عملى براى ارسال اطلاعات محرمانه رویکانال هاى غیرامن همانند تلفن، ماکروویو و ماهواره ها شناخته مى شود. پیشرفت علم رمزنگارى موجب به وجود آمدن روش هاى تحلیل مختلفى شده است به گونه اى که به طور متناوب سیستم هاى رمز مختلف شکسته شده اند. معروف ترین نمونه این نوع سیستم ها ماشین «انیگما » بوده است. انیگما ماشین رمزگذار و کدگذار و کدکننده اى بوده است که حزب نازى در زمان جنگ جهانى دوم براى ارسال پیام هایشان از طریق رادیو به سایر نقاط استفاده مى کردند.رمزنگارى که به طور عمده به دو بخش رمزنگارى متقارن یا رمزنگارى با کلید خصوصى و رمزنگارى نامتقارن یا رمزنگارى با کلید عمومى صورت مى گیرد، تلاش مى کند براى ایجاد یک ارتباط سریاز طریق سیستم هاى مخابراتى و شبکه هاى کامپیوترى مباحث مربوط به محرمانگى و احراز هویت را تحت فرض هاى مشخص به درستى اثبات کند.نرم افزارها از جمله مهمترین اصول ارتقا و یا کاهش سطح امنیت در یک شبکه به حساب مى آیند بر این اساس باید براى نظارت فنى در آنها قوانین و اجبارهایى را در نظر گرفت و باید به منظور پشتیبانى از سیستم کنترل دستیابى ابزارهاى لازم را در اختیار داشت . سیستم هاى نرم افزارى بایستى داراى کنترل هاى داخلى براى شناسایى کاربران، نمایش استفاده هاى غیرمجاز و محدود نمودن حدود اختیار کاربران باشند. چنانچه فردى چند بار سعى کند به سیستم وارد شود و رمز نادرستى را وارد کند بایستى سیستم به طور خودکار غیرفعال و در موارد پیچیده تر برنامه ها به منظور عدم دستیابى به اطلاعات به صورت خود مخرب طراحى شوند. چنانچه از سیستمى در یک مدت زمان مشخص و تعیین شده استفاده نشود، پایانه ها یا رایانه هاى مربوطه باید از حالت فعال خارج شده و سیستم، براى استفاده مجدد نیاز به واردشدن مجدد و دادن رمز ورود داشته باشد. رمزنگارى روش مناسبى براى حفاظت داده هاى مهم از دید همگان است. گنجانیدن دستورات کنترلى داخلى مى تواند کمک موثرى در اعمال رویه هاى شناسایى، دسترسى، استفاده و انتقال داده ها به حساب آید و رد و اثر عملیات انجام شده را در اختیار مسئولان بگذارد. اعمال برخى روتین هاى ویرایشى از بروز اشتباهات و خرابى داده ها تا حد بسیارى جلوگیرى مى کند و در مواقعى، گرفتن گزارش هایى که نشانگر داده هایى است که خارج از محدوده معمول هستند، مى تواند کمک بسیارى در یافتن خطاها یا افراد باشد که قصد خرابکارى یا اعمال خلاف را دارند، این گونه کنترل ها میزان اطمینان به داده ها و اطلاعات جمع آورى شده را نیز بالا مى برد. تدوین برنامه هاى لازم براى تهیه نسخه هاى پشتیبانى از داده ها بسیار ضرورى است . تعیین برنامه زمانبندى براى اجراى این برنامه ها نیز از اهمیت بالایى برخوردار است. کنترل کیفیت نرم افزار مى تواند از بسیارى از خطاهاى نرم افزارى که موجب فقدان داده یا خرابى آنها مى شود، جلوگیرى کند.

گنجانیدن پیام هاى خطاى مناسب جهت ردیابى اشکالات نرم افزارى سبب تسریع در امر اشکال یابى و رفع اشکالات احتمالى مى شود. نرم افزارها در مقابل ویروس هاى رایانه اى و برنامه هاى مخرب بایستى محافظت شوند.

روزانه راهکارهاى مختلف امنیتى در سطوح مختلف براى کاربرى و استفاده از اینترنت براى انتقال داده ها ارائه مى شود با وجود این همواره شاهد بروز ضعف ها و نقاط آسیب پذیر متعددى در سایت ها و بانک هاى اطلاعاتى هستیم. در واقع به نظر مى رسد در هر دو سطح کاربرى و استفاده هاى حرفه اى از این شبکه دچار مشکلات فراوان امنیتى هستیم. یکى از مهمترین راهکارهایى که در این زمینه همواره گوشزد مى شود استقرار نظام جامعى براى افزایش سطح امنیت چه در سطوح کاربرى و چه در سطوح تجارى و دولتى است.

در سطوح کاربرى استفاده از نرم افزارهاى دیوار آتش یا فایروال و همچنین آشنا کردن کاربران با خطرات کاهش امنیت اینترنتى از جمله راهکارها است. یک سیستم ناامن باعث سرقت هویت و اطلاعات مهم افراد از روى کامپیوترها مى شود و این سیستم ناامن اگر در یک شرکت و یا سازمان وجود داشته باشد مى تواند امنیت اطلاعات هزاران نفر را با خطر مواجه کند. در سطح کلان استفاده از طرح هاى ارتقاى امنیت شامل خریدارى و نصب سیستم هاى پیشرفته کنترل امنیت، تبادل اطلاعات و همچنین بهره گیرى از مشاوره هاى امنیتى یک امر ناگزیر است. فقدان استاندارد امنیتى براى شبکه هاى رایانه اى یکى از مهمترین دلایل نفوذ به این سیستم و حذف اطلاعات ضرورى است. این موضوع به خصوص در سال هاى گذشته در بخش هاى خصوصى و دولتى ما به شکل گسترده اى دیده شده است. به عنوان مثال کاربران ایرانى بارها با خبر حمله و دستکارى گسترده به ده ها و صدها سایت دولتى و خصوصى ایران به طور یک جا روبه رو شده اند. در واقع نگهدارى یک جاى هزاران سایت دولتى و خصوصى روى یک سرور امنیت آنان را به گونه اى به خطر انداخته که با یک حمله اینترنتى عملاً همه این سایت ها در معرض خطر قرار مى گیرد. عدم استفاده از نرم افزارهاى به روز شده امنیتى نیز مشکل دیگر امنیتى در دو عرصه کاربرى عادى و کلان اینترنت در ایران است. کاربران ایرانى عادت به خرید یک نرم افزار ۴۰۰ دلارى ضد ویروس و یا فایروال ندارند و عموماً آن را با هزار تومان از بازارهاى نرم افزار تهیه مى کنند. به همین دلیل در بسیارى اوقات این نرم افزارها به جاى آنکه به افزایش امنیت سیستم کمکى کنند باعث بروز مشکلات متعدد امنیتى و فنى دیگر در سیستم مى شوند. با وجود آنکه مشکلاتى از این دست امنیت اطلاعات در کشور ما را به شکل قابل ملاحظه اى کاهش داده اما معضل امنیت صرفاً مربوط به کشور ما نیست. چند سال قبل در حمله اى به چندین سرور اصلى اینترنت عملاً ترافیک اینترنت به شکل بسیار زیادى افزایش پیدا کرد و حتى احتمال قطع اینترنت نیز پیش آمد. این در حالى است که کشور آمریکا و بسیارى از کشورهاى دیگر سالانه میلیاردها دلار براى ارتقاى امنیت سیستم هاى کامپیوترى هزینه مى کنند اما به هر حال این جنگ ادامه دارد.

جنگ سایبر و جنگ شبکه‌ای

شنبه, ۷ مرداد ۱۳۸۵، ۰۹:۰۵ ب.ظ | ۰ نظر

انقلاب اطلاعات در حال متحول‌سازی جنگ می‌باشد. بیش از این دیگر شاهد نبرد فرسایشی خونین نیروهای نظامی نخواهیم بود. در عوض، نیروهای کوچک و چالاکی که به اطلاعات بلادرنگ ماهواره‌ها و حسگرهای صحنه نبرد مسلح شده‌اند، با سرعت اعجاب‌آوری به محل‌های غیرمنتظره حمله می‌برند. در جنگ، فاتح و پیروز کسی است که می‌تواند از اطلاعات برای ازبین‌بردن "ابهام فضای جنگ" (که دشمن را فراگرفته است) استفاده کند.
فرض کنید جنگ اینگونه باشد که نیروهای اندک و چالاکی به دفاع در مقابل توده‌های انبوهی از نیروهای به‌شدت مسلح دشمن پرداخته و بدون تلفات سنگینی در دو طرف، آنان را ناچار به تسلیم می‌کنند. به دلایل ذیل نیروهای چالاک قادر به انجام این کار هستند:

1. برای انجام این‌کار تدارک دیده شده‌اند.

2. برای مانور فضاسازی می‌کنند.

3. قدرت آتش خود را بسرعت در محل‌های غیرقابل‌پیش‌بینی متمرکز می‌کنند.

4. دارای سیستم‌های فرماندهی، کنترل و اطلاعاتی هستند که از ساختاری غیرمتمرکز برای اجرای طرح‌های تاکتیکی برخوردارند. اما همچنان فرماندهان مرکزی از آگاهی همه‌جانبه (غیرموازی) و"نگاه از بالا" جهت اهداف استراتژیک سود می‌برند.
شاید نتوان پیروزی آمریکا در جنگ خلیج فارس را همتراز با موفقیت مغول‌ها در قرن سیزدهم دانست. اگرچه معمولاً تعداد مغول‌ها از نیروهای مقابل کمتر بود، اما در جنگ پیروز می‌شدند و بیش از یک قرن بزرگترین امپراطوری قاره‌ای تاریخ را حفظ نمودند. رمز موفقیت مغول‌ها، در کسب اطلاعات از میدان نبرد بود. آنان در هر زمان و مکان مناسب، حمله می‌کردند و ارتباطات روزانه خود را با فرماندهان (اگرچه صدها کیلومتر با آنها فاصله داشتند) را از طریق "سواران تیزرو" حفظ می‌نمودند. اگرچه خان بزرگ بعضاً هزاران کیلومتر از نیروهای خود دور بود ولی ظرف چند روز از پیشرفت‌های آنها کاملاً مطلع می‌شد.
جنگ در عصر اطلاعات

در طول تاریخ، دکترین، سازمان و استراتژی نظامی پیوسته دستخوش تغییرات بنیادین در اثر پیشرفت‌های فناوری شد‌ه‌اند. صنعتی‌شدن به جنگ فرسایشی بین ارتشهای انبوه در جنگ جهانی اول منتهی شد. در جنگ جهانی دوم، مکانیزه‌شدن نیز به مانورهایی که در سیطره تانکها بود منجر شد. انقلاب اطلاعات باعث ظهور سبکی از جنگ می‌شود که نه تعداد زیاد نیرو و نه تحرک آنان، به نتایج مورد نظر منجر نخواهد شد. در عوض کسی که در جنگ اطلاعات بیشتری دارد، ابهام فضای جنگ را (که دشمن را در بر گرفته است) از بین برده و از مزایای قطعی آن بهره‌مند خواهد شد.

تحولات شگرفی در جمع‌آوری، ذخیره‌سازی، پردازش، انتقال و ارائه اطلاعات و همینطور سازمان‌هایی که از افزایش اطلاعات منتفع می‌شوند، در حال رخ‌دادن می‌باشد. اطلاعات در حال تبدیل‌شدن به یک منبع استراتژیک می‌باشد و می‌تواند خود را به عنوان یک عنصر بانفوذ و ارزشمند در عصر فراصنعتی، همانند نقش سرمایه و کار در عصر صنعتی، مطرح کند.

انقلاب اطلاعات در حال به‌چالش‌کشیدن طراحی سازمان‌های زیادی است. این انقلاب، سلسله‌مراتب سازمان‌هایی که بصورت متعارف طراحی شده‌اند را از هم می‌پاشد و به مرور زمان از بین می‌برد. انقلاب اطلاعات اغلب قدرت را به نفع بازیگران کوچکتر و ضعیفتر اشاعه و توزیع‌مجدد می‌کند. این انقلاب از مرزهای فعلی مسئولیت‌ها عبور می‌کند و مرزهای جدیدی برای این مسئولیت‌ها ترسیم می‌کند و عموماً سیستم‌های بسته را مجبور به باز‌شدن می‌کند.

انقلاب اطلاعات می‌تواند باعث تغییر‌جهت در چگونگی کشمکش بین جوامع و هم چگونگی برپایی جنگ توسط نیروها شود. بهتر است بین جنگ شبکه‌ای (درگیری در سطح جوامع از طریق سبکهای ارتباط اینترنتی) و جنگ سایبر تمایز قائل شویم.
جنگ شبکه‌ای چیست؟

جنگ شبکه‌ای برخوردی اطلاعاتی در سطح کلان بین ملل و جوامع گوناگون می‌باشد. هدف این نوع جنگ، مخدوش‌کردن مسایلی است که مردم مورد هدف راجع به خود و جهان اطرافشان می‌دانند و می‌اندیشند. جنگ شبکه‌ای توانایی تمرکز بر روی افکار عمومی یا نخبگان و یا هر دوی آن‌ها را دارد. این جنگ اموری همچون دیپلماسی، تبلیغات و مبارزات روانی، تخریب فرهنگی و سیاسی، اغفال و یا دخالت در رسانه‌های محلی، نفوذ در شبکه‌های کامپیوتری و پایگاه داده‌ها، تلاش یرای اشاعه جنبشهای دگراندیش و مخالف در شبکه‌های کامپیوتری را در بر می‌گیرد.

جنگ شبکه‌ای سبک نوینی در طیف گسترده برخوردها است که ابعاد اقتصادی، سیاسی و اجتماعی را نیز همانند ابعاد نظامی در بر می‌گیرد. در مقابل جنگ‌های اقتصادی که هدف آن نظام تولید و توزیع سرمایه می‌باشد و جنگ‌های سیاسی که هدف آن هدایت و رهبری سازمان‌های دولتی می‌باشد، می‌توان جنگ شبکه‌ای را از طریق آرمانهای اطلاعاتی و ارتباطاتی آن تشخیص داد.

جنگ شبکه‌ای اشکال گوناگونی دارد؛ این جنگ می‌تواند در سطح دولتهای رقیب و در سطح ملل رخ دهد. نوع دیگری از جنگ شبکه‌ای وجود دارد که می‌تواند بین دولت‌ها و نیروهای غیردولتی اتفاق بیافتد؛ برای مثال می‌توان به جنگ دولت‌ها بر علیه گروه‌های نامشروع (از قبیل تروریست‌ها، تکثیرکنندگان تسلیحات کشتار جمعی و یا قاچاقچیان دارو) اشاره کرد. همچنین می‌تواند بر علیه سیاست‌های دولت خاصی توسط گروه‌های مدافع محیط زیست، حقوق بشر واعتقادات مذهبی انجام شود. این نیروهای غیردولتی ممکن است ملیت مشخصی داشته باشد یا اینکه از ائتلافی بین‌المللی تشکیل شده باشند. برخی از جنگ‌های شبکه‌ای شامل موضوعات نظامی خواهد بود؛ برای نمونه تکثیر سلاحهای هسته‌ای، قاچاق دارو و مخالفت با تروریسم، که تهدیدی بالقوه برای نظم بین المللی و امنیت ملی محسوب می‌شوند.

جنگ شبکه‌ای همان جنگهای واقعی در قالب سنتی نیستند؛ اما شاید بزودی جنگ شبکه‌ای به ابزاری در جهت جلوگیری از وقوع جنگ واقعی تبدیل شود. بازدارندگی در این دنیای پرآشوب همانگونه که به حضور و وظیفه نیروهای نظامی یک کشور بستگی دارد می‌تواند به حضور و کارکرد فضای سایبر آن کشور نیز بستگی داشته باشد.

جنگ سایبر چیست؟

به هدایت عملیات نظامی بر اساس قوانین حاکم بر اطلاعات، جنگ سایبر گویند. هدف از این نوع جنگ، تخریب سیستم‌های اطلاعاتی و ارتباطاتی می‌باشد؛ تلاش این جنگ در جهت شناسایی مسایلی است که دشمن به‌شدت از آن محافظت می‌کند؛ این جنگ حرکتی در جهت تغییردهی "توازن اطلاعات و دانش" به نفع یک طرف است، به‌خصوص اگر توازن نیروها برقرار نباشد. در واقع، به کمک دانش، سرمایه و نیروی کاری کمتری هزینه خواهد گردید.

این جنگ از فناوری‌های گوناگونی بهره می‌برد. از موارد برجسته این نوع فناوری‌ها می‌توان به فرماندهی و کنترل برای رسیدن به هوشمندی، توزیع و پردازش برای رسیدن به ارتباطات تاکتیکی، تثبیت موقعیت، و شناخت هویت دوست و دشمن در زمینه مبادلات سیستم‌های جنگی هوشمند اشاره کرد. همچنین این نوع فناوری‌ها می‌توانند باعث اغفال، فریب و ایجاد اختلال در تجهیزات ارتباطاتی و اطلاعاتی دشمن شده و راهی جهت نفوذ به آن پیدا کنند.

جنگ سایبر الزامات گسترده‌ای برای دکترین و سازمان‌های نظامی هم دارد. حرکت به سمت ساختار شبکه‌ای تا حدودی نیازمند فرماندهی و کنترل غیرمتمرکز است؛ اما این همه مطلب نیست؛ فناوری جدید با تامین نگاه بهتری از بالا (اصل قضیه)، سبب بهبود مدیریت پیچیدگی‌ها می‌شود.

جنگ سایبر می‌تواند باعث خلق دکترین‌های جدید در زمینه انواع نیروهای موردنیاز، و اینکه چگونه و کجا باید آنان را مستقر کرد تا بتوان به دشمن حمله‌ور شد. این که چطور و چه نوع کامپیوترها، حسگرها، شبکه‌ها و پایگاه داده‌ها در چه موقعیتی قرار گیرند، اهمیتی هم‌سطح با نحوه استقرار بمب‌افکن‌ها و عملیات‌ پشتیبانی آن‌ها (در گذشته) دارد.

جنگ سایبر می‌تواند همان "حمله رعدآسا"ی قرن بیستم در قرن بیست و یکم (به عنوان ابتکاری در جنگ) باشد. پایین‌ترین سطح جنگ سایبر، مبین اهمیت گسترش اطلاعات در جنگ است: فرماندهی و کنترل، ارتباطات و آگاهی، می‌تواند در شناسایی، تعیین موقعیت، فهمیدن و اغفال دشمن (قبل از اینکه دشمن این‌کار را انجام دهد) مثمرثمر باشد.

شاید صحنه نبرد در عصر فراصنعتی، تغییرات بنیادینی را در اثر انقلاب فناوری اطلاعات به خود ببیند. افزایش وسعت و عمق میدان نبرد و بهبود مستمر دقت و تخریب‌کنندگی تسلیحات متعارف، اهمیت اطلاعات را به‌جایی رسانده است که، برتری تنها از این ‌بعد می‌تواند معنا داشته باشد و مزایای منسجمی را برای فاتح جنگ داشته باشد.
سلسله مراتب در برابر شبکه‌ها

بر اساس دیدگاه متداول، ارتش نهادی است که نیروهای آن به میدان نبرد می‌روند. معمولاً همه سازمان‌ها از سلسله‌مراتبی بر‌خوردار می‌باشند؛ به خصوص در ارتش، این وابستگی به سلسله‌مراتب بیشتر است. البته، انقلاب اطلاعات باعث نابودی تدریجی سلسله‌مراتب‌ها می‌شود و معمولاً از محدودیت‌هایی که موسسات و سازمان‌ها را احاطه کرده است گذر می‌کند.

مغولها یک نمونه باستانی می‌باشند که مطابق اصول جنگ سایبر، به نبرد پرداختند؛ سازماندهی آنها بیشتر ساختار شبکه‌ای داشت تا اینکه سلسله‌مراتبی باشد؛ در عصر حاضر نیز می‌توان به اتحاد نیروهای ویتنام شمالی و جنوبی که یک قدرت نظامی ضعیف بودند و در مقابل یک قدرت پیشرفته قویتر دفاع کردند، اشاره کرد؛ عملیات‌شان بیشتر شبیه ساختار شبکه‌ای بود تا اینکه یک سازمان باشند. حریفانی که در مقابل مغول‌ها و ویتنامی‌ها دفاع می‌کردند، سازمانهای بزرگتری بودند که نیروهایشان برای مبارزه‌کردن در یک نبرد عظیم و فرسایشی مشخص طراحی شده بودند.

در حال حاضر بیشترین دشمنان پیش روی ایالت متحده و هم‌پیمانانش (از جمله تروریسم بین‌المللی، شورشیان غیرنظامی، قاچاقچیان دارو، انجمن‌های نژادی و گروه‌های قومی و طایفه‌ای) که برخوردهای کم‌شدتی دارند، همگی از ساختاری شبیه شبکه‌ برخوردارند.
جمع‌بندی

سازمان‌هایی که بصورت ساختاری شبیه شبکه‌ هدایت می‌شوند، توانایی ایستادگی در مقابل ساختارهای شبکه‌ای را دارا می‌باشند. آینده از آن کسانی است که بر شبکه‌ها حکمرانی می‌کنند.
(حقوق مادی و معنوی این اثر متعلق به مرکز آینده‌پژوهی علوم و فناوری دفاعی است)

امنیت الکترونیکی را به خانه‌ها می بریم

شنبه, ۷ مرداد ۱۳۸۵، ۰۸:۵۹ ب.ظ | ۰ نظر

سید میثم لطفی- بزرگراه فناوری - اگرچه تا چند سال پیش ادارات و سازمان‌های قدیمی و باسابقه کمتر به سراغ استفاده از کامپیوتر‌ها و دستاوردهای نوین فناوری می‌رفتند و در بیشتر مواقع ترجیح می‌دادند که از ابزارهای سنتی استفاده کنند، امروز فناوری ارتباطات و اطلاعات حرف اول را در بیشتر سازمان‌های کوچک و بزرگ در سراسر جهان می‌زند.

شرکت‌هایی که امروزه به بقا و ماندگاری خود فکر می‌کنند و در تلاشند رقابت بیشتری را با مراکز همسان خود انجام دهند مجبورند آخرین یافته‌های فناورانه را به‌کار بندند و به این وسیله خدمات متنوع‌تر و گرانبهاتری را به‌دست مصرف‌کنندگان برسانند. نشریه eGovMonitor برای آنکه میزان خدمت‌رسانی شرکت‌های مختلف جهانی به مردم با استفاده از فناوری ارتباطات و اطلاعات را بیش از پیش نمایان کند به‌تازگی گفت‌وگویی با کلیر هامون(Claire Hamon) انجام داده است. هامون درحال حاضر مدیریت دفتر اطلاعات وابسته به مرکز خدمات پیگردهای قانونی بریتانیا را برعهده دارد و در این مصاحبه سعی کرده تا نشان دهد که سازمان‌ها چگونه می‌توانند با کنترل فناوری اطلاعات تولیدات و خدمات خود را به بهترین صورت ممکن به‌دست مردم برسانند که در زیر بخش‌هایی از این مصاحبه را مرور می‌کنیم.
به‌عنوان نخستین سوال، می‌توانید توضیح کوتاهی در مورد نقش خود به‌عنوان مدیر دفتر اطلاعات وابسته به مرکز خدمات پیگردهای قانونی بریتانیا بدهید؟
سمتی که من در آن قرار گرفته‌ام طوری طراحی شده که براین اساس باید 100 کارشناس را که در بخش عرضه خدمات فناوری ارتباطات و اطلاعات فعالیت‌ می‌کنند به‌طور مستمر زیرنظر بگیرم و با آن‌ها در ارتباط باشم. نقش من به‌عنوان مسؤول سیستم‌های اطلاعاتی بازرگانی در مرکز فناوری ارتباطات و اطلاعات وابسته به مرکز پیگردهای قانونی دولت مرکزی بریتانیا تعریف شده و بر این اساس مجبورم تمام فعالیت‌هایی را که در حیطه ICT انجام می‌شود، زیر نظر بگیرم. اعضای گروه من وظیفه دارند که به صورت شبانه‌روزی مراکز ارایه خدمات اینترنتی را کنترل کنند و با آن‌ها در تماس باشند و همچنین به کمک‌ ابزارهای فناوری ارتباطات و اطلاعات، با هشت هزار کارمند اداره پیگردهای قانونی بریتانیا که در انگلستان و ولز پراکنده شده‌اند در ارتباط باشند.
علاوه براین، من در بخشی فعالیت می‌کنم که ارتباط سازمانمان را با دنیای بیرون برقرار می‌سازد. این ارتباط نه‌تنها با شرکت‌ها و سازمان‌های خصوصی، بلکه با مراکز دولتی و ملی نیز برقرار می‌شود تا بتوانیم اطلاعات مورد نیاز خود را از همه بخش‌ها به‌دست آوریم. در دولت مرکزی بریتانیا شورایی با نام "شورای پی‌گیری‌های قانونی" تاسیس شده که با شرکت در آن می‌توانیم دریابیم که طرح‌های دولتی و بزرگ برای توسعه فناوری ارتباطات و اطلاعات تا چه اندازه موفق بوده است. ما همچنین در سازمان خود طرحی را عرضه کرده‌ایم که eSkills نام گرفته و بر این اساس ضمن شناسایی نیازهای کاربران و کارمندان، به ما امکان می‌دهد با برگزاری کلاس‌ها و دوره‌های آموزشی مختلف بتوانیم به این نیازها پاسخ دهیم و سطح فناوری ارتباطات و اطلاعات را در تمامی نقاط بریتانیا بالا آوریم.
درحال حاضر دولت دریافته که فناوری ارتباطات و اطلاعات به‌عنوان اصلی‌ترین عامل در انتقال کالا و خدمات به مصرف‌کنندگان محسوب می‌شود. آیا شما می‌توانید توضیحی کوتاه در مورد فعالیت‌های سازمان خود برای رشد صنعت ICT بدهید؟
دفتر اطلاعات وابسته به مرکز خدمات پیگردهای قانونی بریتانیا استراتژی‌هایی را برای خود در نظر گرفته که به کمک آن شبکه تولید، عرضه و خدمات کالاهای مختلف را زیر نظر می‌گیرد و با کمک فناوری ارتباطات و اطلاعات باعث می‌شود تا این کالاها با کیفیتی مناسب و در سطحی گسترده به‌دست همه مردم برسد. باید اعتراف کنیم که فناوری ارتباطات و اطلاعات در سال‌های اخیر موفق شده تاثیری مستقیم و چشمگیر در عرضه خدمات به مشتریان برجای بگذارد. ما برای آنکه بتوانیم موفقیت خود در آینده را تضمین کنیم شش استراتژی مجزا و کامل تبیین کرده‌ایم که شامل توسعه مدیریتی، افزایش استفاده از فناوری برای بالا بردن میزان انعطاف‌پذیری فعالیت‌های مختلف، توسعه و ارتقای قابل ‌ملاحظه بخش‌های اصلی و اساسی سازمان، افزایش کیفیت و در دسترس بودن مدیریت اطلاعات در عرضه خدمات، افزایش توانایی‌های خود برای مدیریت اطلاعات و تبدیل اطلاعات به ابزاری برای استفاده در بخش‌های مختلف زندگی می‌شود. این ابزارها باعث می‌شوند تا ما بتوانیم استفاده‌های بیشتری از مراکز آموزشی سازمان خود برده و کارایی سیستم عدالت جنایی را در این مرکز بالا ببریم تا بازده در مراکز دولتی افزایش یابد. این استراتژی‌ها می‌تواند میزان کارایی و اثربخشی ما را افزایشی قابل‌ ملاحظه دهد.
آیا می‌توانید چند نمونه از پروژه‌های فناوری اطلاعات که در مرکز شما به آن پرداخته شده را برای ما مثال بزنید؟ این پروژه ها تا چه اندازه موفق بوده‌اند؟
یکی از مهم‌ترین پروژه‌های فناورانه‌ای که ما در این مرکز انجام داده‌ایم طرح سیستم مدیریتی COMPASS بوده که از سال 2003 میلادی آغاز شده که سازمان ما توانسته مدیریت پیگردهای جنایی خود را به کمک این طرح انجام دهد و موفقیت‌های فراوانی را نسبت به گذشته به‌‌دست آورد. این طرح عظیم و بزرگ موجب شده تا ما بتوانیم در زمان مناسب اطلاعات مورد نیاز خود را به‌دست آورده و آن‌ها را برای فعالیت‌های خود به‌کار بریم. در این سیستم که CMS نام‌گذاری شده تاکنون بیش از سه میلیون مورد پی‌گیری شده که بیشتر آن‌ها با موفقیت به پایان رسیده است. علاوه بر این، به‌تازگی سیستم WMS نیز که به‌عنوان پشتوانه CMS محسوب می‌شود راه‌اندازی شده که باعث می‌شود احتمال موفقیت‌های ما در زمینه‌های مختلف افزایش یابد.
مرکز ما درحال حاضر به‌قدری توسعه یافته که به‌صورت مستمر به هشت هزار نفر خدمات می‌دهد. درحالی که بخشی از این افراد در سازمان‌های وابسته به ما فعالیت‌ می‌کنند، بخش دیگر در ادارات پلیس و مراکز اطلاع‌رسانی وابسته به آن بهره می‌برند. سیستم CMS اطلاعات تمام سارقان و متخلفان را در خود جای داده تا به هنگام نیاز ماموران امنیتی و پلیس بتوانند از آن‌ها استفاده کنند، با زیر پوشش قرار دادن دادگاه‌ها به آن‌ها کمک می‌کند تا بتوانند در مواقع مختلف بهترین تصمیم را با توجه به اطلاعات به ثبت رسیده اتخاذ کنند. سیستم CMS تاکنون در بیش از 750 مرکز در انگلستان و ولز راه‌اندازی شده و احتمال می‌دهیم که در آینده نزدیک این رقم تا چند برابر افزایش یابد. تجربه ثابت کرده، هر جا این سیستم مورد استفاده قرار گرفته درصد خطا و اشتباه کارمندان ما به میزان زیادی کاهش یافته است.
برای تغییر آسان‌تر و بهتر روش‌های مدیریتی که بتواند نتایج بهتری را در پی داشته باشد چه روش‌هایی را مناسب می‌بینید؟
به‌طور کلی تغییر سیستم‌های مدیریتی از جمله روش‌هایی است که به کمک آن یک سازمان می‌‌تواند بقای خود را تضمین کند. ما براساس این اصل می‌کوشیم سیستم‌های قضایی خود را به‌روز کنیم و از این طریق بتوانیم اطلاعات مورد نیاز را در بهترین زمان ممکن به‌کار بریم. پیشنهادات و انتقاداتی که مردم همواره به ما انتقال می‌دهند از جمله مواردی است که همواره برای ما مفید محسوب شده و توانسته بر روی سیستم‌های الکترونیکی ما تاثیر بگذارد. این تغییرات می‌تواند از تفاوت‌های بزرگ که به تغییر فرهنگ منتهی می‌شود گرفته تا تغییر سیستم‌های کوچک مدیریتی را شامل شود. کارشناسان ما بر پایه نتایج حاصل از مطالعاتی که در این زمینه انجام داده‌اند دریافته‌اند، این تغییرات که برخی از آن‌ها در ظاهر بسیار کوچک به‌نظر می‌رسند اساس رشد و توسعه فناوری ارتباطات و اطلاعات را فراهم می‌آورند. باید توجه داشته باشیم که مبادلات و خدمات امنیتی به برکت فناوری‌های نوین اطلاعاتی امروزه پیشرفته‌تر و کامل‌تر از گذشته شده است، به‌طوری که ادغام بازارهای جهانی به‌وسیله فناوری‌های ارتباطی امکان‌پذیر شده است. امروزه سازمان ملل به‌جای اینکه ارزش یک کشور را از روی توسعه صنعتی آن ارزش‌یابی کند، به ارزش اطلاعاتی آن یا Knowledge Base Economy رجوع می‌کند که چقدر اطلاعات در این جامعه درحال گسترش است و سرعت گسترش آن چه میزان است و یا اینکه چقدر توسعه اطلاعات، سالم و دقیق است و این امر باعث می‌شود که دامنه اقتصاد جهانی توسعه پیدا کند.
شما فکر می‌کنید که ظرف چند سال آینده چه تغییرات اساسی در این زمینه ایجاد می‌شود و استراتژی‌های شما برای موفقیت‌ هرچه بیشتر این تغییرات چیست؟
ابتکار و خلاقیت ابزاری است که همواره توانسته به توسعه فناوری ارتباطات و اطلاعات کمک کند. ما همواره با این توسعه‌ها و پیشرفت‌ها مواجه هستیم و برای آنکه بتوانیم سیستم‌های قضایی، امنیت، عدالت و ... را همواره به‌روز نگه‌داریم مجبوریم از این فناوری‌ها استفاده کنیم. این پیشرفت‌ها موجب شده تا در ابزارهای قابل حمل ما که برای ماموران امنیتی مورد استفاده قرار می‌گیرد تغییرات فراوانی حاصل شود. یکی از راه‌های اصلی پیشرفت در زمینه قضایی و امنیتی خدمت در یک یا چند پست سخت و دشوار است. این چنین پست‌هایی، پست‌های خطرناک و ضروری در مناطقی است که اغلب حکومت‌های ضعیف دارند و تلاش می‌کنند امنیت به‌وجود آورند، توسعه یابند و هرچه بیشتر امنیت الکترونیکی ایجاد کنند. اکنون تحت حکم جدید امنیت ملی، قدرت و اختیارات وسیعی به‌دست آمده است. به‌تازگی قانونی به مرحله اجرا درآمده که طی آن تا مبلغ زیادی از بودجه وزارت دفاع به مناطقی که درگیری در آن‌ها به پایان رسیده، منتقل می‌شود. مشاوران امنیتی برای نیروهای ارتش که به‌عنوان مشاوران سیاسی و دیپلماتیک برای فرماندهان ارتش عمل می‌کنند، به همراه آن‌ها اعزام شده و تجربیات منطقه‌ای و دیپلماتیک خود را در اختیار آن‌ها قرار می‌‌دهند.
به‌عنوان سؤال آخر، شما برای آن دسته از افراد و مراکزی که می‌خواهند فعالیتی مشابه را انجام دهند چه پیشنهادی دارید؟
در سال 2005 حداقل 130 گزارش مبنی بر سرقت اطلاعات شخصی کاربران اینترنتی از کشور آمریکا به‌دست شرکت‌های امنیتی رسیده است. در این سال تقریبا 55 میلیون آمریکایی مورد هدف سارقان کارت‌های شناسایی و اطلاعات سری قرار گرفته‌اند. در سال 2004 اداره آمار اینترنتی اعلام کرد: میزان جرایم سایبر به 105 میلیارد دلار رسیده بود. علاوه بر این، در سال 2005 نیز اطلاعات شخصی تقریبا 206 هزار نفر از کارمندان شرکت‌ها و مشتریان آن‌ها به سرقت رفته است. مسؤولان کشور آمریکا با بررسی آمار حملات اینترنتی و افزایش روزافزون سرقت اطلاعات شخصی کاربران، قصد دارند فعالیت‌های خود را در زمینه مقابله با جرایم اینترنتی دوچندان کنند و برای این منظور باید مبلغ بیشتری را در این بخش هزینه کنند. در این میان کاخ سفید هم اعلام کرده که فناوری ردیابی اینترنتی‌ خود در راستای قوانین فدرال است چرا که تنها شمارش تعداد بازدیدکنندگان ناشناس را انجام می‌دهد و از ثبت اطلاعات شخصی امتناع می‌ورزد. سایت کاخ سفید با استفاده از یک فناوری جاسوسی اینترنت، تصویر گرافیکی کوچکی که به‌طور مجازی غیرقابل مشاهده است به‌طور پنهانی تعداد و زمان بازدیدها را ثبت و ردیابی می‌کند.
باید توجه داشت که از میان برداشتن شکاف دیجیتالی و اطمینان از دسترسی عمومی به اینترنت یکی از مهم‌ترین وابتدایی‌ترین اقدامات در جهت تحقق امنیت الکترونیکی و دولت الکترونیکی محسوب می‌شود.
به‌طور کلی در تئوری‌های سازمانی فرایند هدایت را اخذ اطلاعات عملکردی سازمان، تحلیل و مقایسه این اطلاعات با رسالت‌های سازمان و تفکرات نوین سازمانی به‌منظور ارایه راهکارهای اجرایی و کاربردی در جهت رشد و تعالی سازمان باید دانست. از سوی دیگر فلسفه وجودی تکنیک‌ها و الگوریتم‌های کارآمد فعالیت در زمینه هوش مصنوعی، چیزی جز تحلیل انبوهی از اطلاعات انباره‌های داده در جهت کشف روابط مخفی دانش در اطلاعات موجود به‌منظور تسریع عملیات تصمیم‌سازی و تصمیم‌گیری نیست. از این‌رو ابزار داده‌کاوی به‌منظور تحلیل اطلاعات پراکنده و حجیم سازمان و تبدیل اطلاعات مذکور به دانش مفید مدیریتی و هدایتی ضرورتی انکارناپذیر بوده که فقط به کمک صنعت ICT می‌توان به نتیجه مطلوب رسید.
دولت‌هایی نظیر انگلستان پنج میلیون پوند در سال کلاه‌برداری اینترنتی دارند، اما با این‌حال از این نوع شبکه‌ها، به اسم ملی و به بهانه امنیت راه‌اندازی نکرده‌اند. دولت الکترونیکی که زیر نظر امنیت الکترونیکی اداره می‌شود اشاره به استفاده نمایندگان دولت از فناوری اطلاعات که قادر است روابط با شهروندان، تجار و دیگر بازوهای دولت را گسترش و ارتقا دهد، است. دولت الکترونیکی نسبت به تعامل فعال دولت با شهروندان یا دولت با شرکت‌های تجاری بیشتر بر انتشار اطلاعات از طریق اینترنت متمرکز شده است. بی‌شک پیش‌بینی الکترونیکی یک فرآیند کلیدی در مدیریت اجرایی است و اساس آن بر فراوانی داده‌هایی بوده که قبلا حاصل شده است. بنابراین، سیستم‌های پیش‌بینی بیش از هر چیز برای یک دولت کارا ضروری است. بخش‌هایی مانند مدیریت خدمات درمانی، بازار دارایی‌های غیرمنقول و بازارهای تجاری و مالی بیشترین نیاز را به پیش‌بینی‌های نزدیک به واقعیت دارند. در قرن بیست و یکم پیش‌بینی الکترونیکی جایگزین پیش‌بینی‌های سنتی شده است و در واقع به یک قسمت لازم‌الاجرا و غیرقابل انکار در دولت الکترونیکی تبدیل شده است که به سرعت دنیای کامپیوتر را تغییر می‌دهد. این تحقیق برآوردی از کتابنامه‌های موجود و برنامه‌های سیستم‌های پیش‌بینی‌کننده در قالب دولت الکترونیکی است که عناصر ساختار اصلی سیستم پیش‌بینی‌کننده در دولت الکترونیکی را ارایه می‌دهد.

نخستین آمار از جرایم رایانه‌ای ایران

شنبه, ۱۷ تیر ۱۳۸۵، ۱۰:۴۸ ب.ظ | ۲ نظر

هم‌زمان با ورود به هزاره دوم، انسان همچنان شاهد جرم و جنایت‌های بی‌شماری است که اگرچه از نظر ماهوی دچار تغییر نشده است اما از نظر استفاده از ابزارها، تغییرات شگرفی را به‌خود دیده است. انسان امروزی همچنان دزدی می‌کند، آدم می‌کشد و به مال و حریم دیگران تجاوز می‌کند. شاید دیروز یک داس یا یک چوب و یا یک خنجر، ابزار تجاوز و یا دزدی و باج‌خواهی از اموال دیگران بود، اما امروز با فشار دادن یک کلید و وارد کردن چند عدد، می‌شود به حریم دیگران تجاوز و یا به مال او دست‌اندازی کرد. حوزه جرایم در زندگی امروز بشر آن قدر پیچیده شده است که قانون‌گذاران مجبورند تحولات جرم را به‌صورت مداوم زیر نظر داشته باشند. این معضل با سرعت ملایم‌تری در ایران رو به گسترش است و به قانون‌گذار و پلیس کشور اجازه می‌دهد که هم‌زمان با گسترش فرهنگ اینترنت در کشور، راهکارهای مقابله با جرایم قابل ارتکاب در این حوزه را تدوین کند. در نیروی انتظامی جمهوری اسلامی ایران و پس از اصلاح ساختار معاونت کشف جرایم، اداره کل مبارزه با جرایم خاص و رایانه‌ای از سال 1381 آغاز به‌کار کرده است. این اداره ماموریت طراحی و برنامه‌ریزی، هماهنگی و هدایت امور مربوط به کشف جرایم در زمینه مبارزه با جعل، کلاهبرداری، اختلاس و جرایم رایانه‌ای را برعهده دارد. در گفت‌وگوی زیر که با سرهنگ مهرداد امیدی مدیرکل مبارزه با جرایم خاص و رایانه‌ای ناجا، انجام شده است، موضوع کشف جرم در فضای اینترنت و رایانه مورد بحث و بررسی قرار گرفته است.

به‌طور طبیعی، نخستین پرسش باید در مورد تعریف جرایم اینترنتی باشد. به‌عنوان مدیرکل مبارزه با جرایم خاص و رایانه‌ای نیروی انتظامی چه تعریفی از جرم رایانه‌ای دارید؟
در مورد جرم رایانه‌ای تعریف‌های زیادی ارایه شده است. از نظر سازمان ملل متحد جرم رایانه‌ای می‌تواند شامل فعالیت‌های مجرمانه‌ای باشد که ماهیتی سنتی دارند اما از طریق ابزارهای مدرنی مثل رایانه و اینترنت صورت می‌پذیرند. از طرف دیگر متخصصان سازمان OECD معتقدند سوءاستفاده از رایانه، هر نوع رفتار غیرقانونی، غیراخلاقی و غیرمجاز مربوط به پردازش خودکار و انتقال داده‌ها جرم اینترنتی محسوب می‌شود. در هر صورت ماهیت جرم تفاوتی ندارد و این ابزار است که وقوع جرم را در بستری جدید فراهم می‌کند. در مورد تعریف جرم رایانه‌ای در ایران اختلاف نظر وجود دارد و کارشناسان قضایی و انتظامی تعریف‌های گوناگونی در مورد آن ارایه داده‌اند. اما در مجموع فضای قضایی و انتظامی کشور به آن سمت پیش می‌رود که یک تعریف یکسان در مورد جرم رایانه‌ای و مجازات‌های برخورد با آن ارایه شود.
اما پیش از آنکه بخواهیم در مورد جرایم رایانه‌ای بحث کنیم، باید وارد حوزه "جرایم سایبر" شویم. جرایم در فضای سایبر یا فضای سایبری به‌واسطه تغییرات سریع فناوری اطلاعات در قلمرو سیستم‌های رایانه‌ای و مخابرات امکان وقوع می‌یابند. در این‌گونه جرم‌ها، تاکید بر رایانه نیست بلکه رایانه وسیله‌ای است که ابزار وقوع جرم قرار می‌گیرد.
نسل سوم جرایم رایانه‌ای؟
بله، به آن نسل سوم جرایم رایانه‌ای می‌گویند.
در مجموع چند نوع جرم در حوزه رایانه و اینترنت تعریف شده است؟
مطابق تعریف سازمان ملل متحد از جرم رایانه‌ای، کلاهبرداری رایانه‌ای، جعل، ایجاد خسارت یا تغییر داده‌ها، دست‌یابی غیرمجاز به سیستم‌ها و خدمات رایانه‌ای و تکثیر غیرمجاز برنامه‌های رایانه‌ای جزء جرایم شناخته شده در حوزه رایانه محسوب می‌شوند.
جناب سرهنگ درحال حاضر وضعیت ایران از نظر وقوع جرایم رایانه‌ای چگونه است؟
با تکیه بر اینکه در کشور ما هنوز آیین‌نامه‌ای برای مبارزه با جرایم اینترنتی و رایانه‌ای تدوین نشده است، باید بگویم که میزان کشفیات جرایم رایانه‌ای در سال گذشته، معادل 50 درصد پرونده‌های ورودی بوده است یعنی از کل پرونده‌هایی که در زمینه جرایم رایانه‌ای به ثبت رسید، 50 درصد منجر به کشف جرم شد و پیش‌بینی من این است که این روند باز هم بهبود پیدا کند. در همین زمینه باید بگویم که در طول زمان مشخصی از فصل بهار، میزان کشف جعل با5/73 درصد و کشف کلاهبرداری با 78 درصد رشد مواجه شد. بنابراین پیش‌بینی ناجا این است که هم‌زمان با تدوین قوانین و آیین‌نامه‌های مربوط به جرایم رایانه‌ای و اینترنتی، رقم کشف جرم در مجموع با افزایش قابل ملاحظه‌ای همراه شود.
با وجود خلاء قانونی، نحوه برخورد ناجا با مجرمان رایانه‌ای چگونه است؟
نیروی انتظامی، با آن دسته از جرایم رایانه‌ای که منجر به خسارت شود و با قوانین موجود نیز تطابق داشته باشد، به‌طور قطع برخورد جدی خواهد کرد. مسایلی مثل ایجاد مزاحمت و هتک‌حرمت از آن دسته موضوعاتی هستند که ناجا نسبت به آن حساس است. اما جرایم دیگری مثل نفوذ غیرمجاز در اینترنت که بحث تازه‌ای است، با این عنوان که در جریان وقوع جرم، خسارت وارد آمده است، در دسته جرایم مربوط به ایجاد خسارت و تخریب و یا مصادیقی از این دست قرار می‌گیرد و ناجا با این جرایم با تمام توان مقابله خواهد کرد. اما مصادیق دیگری از جرایم رایانه‌ای وجود دارد که ناجا برای برخورد با آن، نیاز به قوانین جدید دارد.
ناجا، برای پر کردن خلاء قانون چه کرده است؟
لایحه‌ای تدوین کرده‌ایم با عنوان "آیین‌نامه رسیدگی به جرایم اینترنتی"، قرار است این لایحه به مجلس ارایه شود. در این آیین‌نامه به‌طور جامعی، روی جرایم اینترنتی و رایانه‌ای کار کرده‌ایم و تصویب آن به‌طور قطع بر کشف جرم در این حوزه تاثیر زیادی خواهد گذاشت.
جناب سرهنگ، سهم جرایم رایانه‌ای از کل جرایم کشور، چه‌قدر است؟
خیلی ناچیز است، به‌طور مثال سال گذشته، 53 پرونده با شکایت بخش خصوصی در حوزه جرایم رایانه‌ای تشکیل شد که 22 مورد آن به سوءاستفاده از کارت‌های اعتباری مربوط بود. در همین مدت همکاران ما، 11 پرونده در مورد کلاهبرداری اینترنتی تشکیل داده‌اند. هفت پرونده هم در مورد ایجاد مزاحمت اینترنتی تشکیل شد و سه پرونده هم در مورد رعایت نشدن حقوق کپی‌رایت بوده است. البته دو مورد انتشار اکاذیب در اینترنت داشته‌ایم و پنج مورد نیز شامل موارد متفرقه بوده است.
در مورد کارت‌های اعتباری چه نوع جرایمی می‌توان متصور شد؟
تعریف جرم کارت‌های اعتباری خیلی پیچیده نیست. هرگاه شخصی بدون اینکه دارنده کارت اعتباری اطلاع داشته باشد، از اعتبار کارت او استفاده کند، جرم صورت گرفته است. تعریف مشخصی که از این‌گونه جرایم وجود دارد، به ما می‌گوید که چنانچه شخصی اقدام به اخذ اموال یا خدماتی کند، با اطلاع از اینکه کارت قلابی یا دزدیده شده است و یا کارت باطل شده است و یا به‌ هر دلیلی که استفاده آن شخص از کارت اعتباری شخص دیگری، غیرمجاز باشد جرم صورت می‌گیرد.
درحال حاضر قانون خاصی برای مقابله با این جرایم وجود دارد؟
به‌طور واقعی اگر بخواهیم قضاوت کنیم، در این زمینه با خلاء قانون مواجه هستیم اما بخشی از قوانین، در قانون مربوط به تجارت الکترونیکی پیش‌بینی نشده است. همان‌طور که اشاره کردم، بخش عمده‌ای از کمبود قوانین مبارزه با این‌گونه جرایم، در قالب آیین‌نامه‌ای که قرار است به مجلس ارایه شود، پیش‌بینی شده است.
در مورد تجارت ‌الکترونیکی و قوانین مربوط به جرایم این حوزه، چه اقداماتی توسط ناجا صورت گرفته است؟
در قانون تجارت‌ الکترونیکی، مواردی وجود دارد که به‌طور قطع فصل‌الخطاب ناجا قرار خواهد گرفت. بحث این است که در قانون تجارت ‌الکترونیکی در مورد مسایلی همچون امضای الکترونیکی قرار است مراکزی راه‌اندازی شود که وزارت بازرگانی در تلاش برای راه‌اندازی این مراکز است. در کنار این موضوع، توجه به بانکداری الکترونیکی هم در دستور کار بانک مرکزی و نهادهای اقتصادی قرار دارد. از دید نیروی انتظامی، حرکت به سمت بانکداری الکترونیکی می‌تواند به‌میزان قابل ملاحظه‌ای از حجم جرایم مالی کم کند.
درحال حاضر تلاش نیروی انتظامی این است که هم‌زمان با حرکت بازار مالی به‌سمت بانکداری الکترونیکی، مقدمات مبارزه با جرایم قابل ارتکاب در این حوزه را فراهم کند. به‌طور قطع مبارزه با جعل رایانه‌ای که در حوزه امضای الکترونیکی وجود دارد، در دستور کار نیروی انتظامی قرار دارد و به‌زودی راه‌های مبارزه با آن تدوین خواهد شد.
در مورد امضای الکترونیکی و راه‌های مبارزه با جعل آن در نیروی انتظامی چه اقداماتی صورت گرفته است؟
امضای الکترونیکی، پدیده جدید و تازه‌ای است که پیچیدگی‌های خاص خود را دارد. با این تعریف که داده‌های الکترونیکی که به یک پیام ‌الکترونیکی الصاق می‌شود و از طریق آن امکان شناسایی امضا‌کننده پیام و تایید او وجود دارد، می‌توان به دو کارکرد مهم و عمده اشاره کرد. شناسایی امضا، موضوع مهمی است که باید به آن توجه داشت و دیگر اینکه امضای الکترونیکی به‌صورت عنصر معنوی سند الکترونیکی باید مورد توجه قرار گیرد. در همین زمینه، در قانون تجارت الکترونیکی ایران، هر نوع علامت منضم شده یا به نحوی متصل شده به داده پیام که برای شناسایی امضاکننده داده پیام مورد استفاده قرار گیرد، امضای الکترونیکی نام دارد.
با توجه به این تعریف، دو نوع امضای الکترونیکی ارایه شده است. اول امضای مبتنی بر رمزنگاری و دیگری امضای غیرمبتنی بر رمزنگاری، با تکیه بر همین تکنیک‌ها، قابلیت شناسایی امضای الکترونیکی وجود دارد و نیروی انتظامی در همین راستا به تدوین راهکارهای مبارزه با جرایم قابل ارتکاب اقدام کرده است.
فکر می‌کنید حرکت به سمت الکترونیکی شدن تجارت در ایران، چه تاثیری بر کاهش میزان جرایم اقتصادی در کشور داشته باشد؟
به اعتقاد من تاثیر بسیار زیادی در کاهش جرایم اقتصادی خواهد داشت. البته من معتقدم حرکت به سمت بانکداری الکترونیکی از تجارت الکترونیکی مهم‌تر است و در کاهش میزان جرایم اقتصادی تاثیر بیشتری دارد. داشتن سیستم جامع بانکداری الکترونیکی می‌تواند در کاهش میزان پول‌شویی و ورود پول‌های کثیف به اقتصاد کشور تاثیرگذار باشد. گذشته از آن بانکداری الکترونیکی می‌تواند میزان فرارهای مالیاتی، جعل اسناد بانکی و سرقت پول را به حداقل برساند. بنابراین فکر می‌کنم اگر زودتر از تجارت الکترونیکی، به فکر بانکداری الکترونیکی باشیم، نتیجه بهتری خواهیم گرفت.
در مورد نفوذ به شبکه و به اصطلاح هک‌ کردن سیستم چه توضیحی دارید؟ آیا هک کردن در ایران جرم است؟
هر گونه حمله به سیستم‌های رایانه‌ای که با هدف محروم کردن افراد از دسترسی صحیح و مستمر به سیستم‌های رایانه‌ای صورت گیرد، جرم محسوب می‌شود. درحال حاضر نیروی انتظامی و قوه قضاییه با توجه به اینکه برخی حمله‌ها به ایجاد خسارت و یا ایجاد مزاحمت منجر می‌شود، می‌تواند با شکایت افراد موضوع را پی‌گیری کند. نیروی انتظامی به‌طور قطع برنامه‌های گسترده‌ای برای مبارزه با این‌گونه جرایم دارد که بخشی از آن در آیین‌نامه رسیدگی به جرایم رایانه‌ای پیش‌بینی شده است.
آیا در مورد هک‌ کردن دیدگاه واحدی وجود دارد؟
این موضوع در میان متخصصان حقوقی و فنی تعریف مشخصی ندارد.
برخی کارشناسان معتقدند هر نوع حمله به سیستم‌های ایمن، در قالب تعریف هک ‌کردن می‌گنجد و برخی دیگر معتقدند نفوذیابی یا نفوذگری بهترین تعریف برای هک‌ کردن است.
همین چالش‌ها در ایران نیز وجود دارد.
به‌عنوان آخرین سوال بگویید که نحوه همکاری پلیس ایران با پلیس بین‌الملل برای کشف جرایم رایانه‌ای چگونه است؟
درحال حاضر سامانه ارتباط جهانی اینترپل به‌عنوان پل ‌ارتباطی پلیس کشورها نقش عمده‌ای در داد‌وستد اطلاعات پلیسی دارد. این سامانه در مدت فعالیت خود توانسته است نقش عمده‌ای در افزایش همکاری میان پلیس کشورها داشته باشد. در حقیقت استفاده از اینترنت و رایانه باعث شده است که پلیس‌ها در همه جای دنیا با سرعت زیاد به اطلاعات مربوط به جنایتکاران، سوابق و به‌طور کل اطلاعات مورد نیاز خود دسترسی پیدا کنند.
نحوه همکاری پلیس ایران با پلیس بین‌المللی هم بر مبنای برخورد با جرایم و کمک به شناسایی جرم و جنایت در دنیا تنظیم شده است.
اما در شرایط کنونی و با توجه به افزایش جرایم اینترنتی در کشورهای اطراف ایران، نیروی انتظامی در صدد گسترش همکاری با پلیس بین‌الملل است و در این راستا قصد دارد برنامه‌ریزی جامعی برای بالا بردن سطح کارایی پلیس ایران برای پیشگیری و مقابله با جرایم رایانه‌ای داشته باشد.
در مجموع این وعده را می‌دهم که با توجه به تلاش گسترده همکاران ما و تاکید فرماندهی ناجا، به‌زودی شاهد تجهیز و برنامه‌ریزی گسترده نیروی انتظامی برای مقابله با جرایم رایانه‌ای باشید.

امنیت در اینترنت و شبکه هاى ارتباطى

سه شنبه, ۱۲ ارديبهشت ۱۳۸۵، ۱۱:۱۴ ق.ظ | ۰ نظر

در حالى که بسیارى فناورى اطلاعات و ارتباطات را باعث تسهیل در امر انتقال اطلاعات مى دانند موضوع امنیت در تبادل اطلاعات همواره به عنوان یکى از اصول غافل مانده به شکل یک معضل پنهان باقى مى ماند.امنیت اطلاعات براى بخش مهمى از فعالان بخش فناورى اطلاعات تنها زمانى به عنوان یک موضوع حاد مطرح مى شود که مشکلى در سیستم به وجود آید. در اغلب مواقع این مشکلات باعث ضربه اى سنگین بر سیستم و یا به اطلاعات موجود در آن مى شود که در واقع مى توان گفت رویکرد دیرهنگامى است. اینترنت همواره از جهت هاى گوناگون مورد نقد و ارزیابى قرار مى گیرد اما واقعیت این است که این شبکه عظیم مانند هر اجتماع عادى انسانى دیگر در معرض تهدیدها و خطرات قرار دارد. از نفوذ داده هاى مخرب گرفته تا تخریب داده هاى سالم و برهم زدن نظم شبکه همه و همه تنها به یک مورد بستگى دارد و آن بحث امنیت اطلاعات در محیط اینترنت است. امروزه امنیت اطلاعات در زمینه اینترنت از یک بحث حاشیه اى به یک بحث ضرورى تغییر جهت داده است. هرگونه خرید و فروش روى اینترنت و یا انتقال داده ها باید تحت یک کنترل امنیتى صورت گیرد. اگر امنیت شبکه برقرار نگردد، مزیت هاى فراوان آن نیز به خوبى حاصل نخواهد شد و پول و تجارت الکترونیک، خدمات به کاربران خاص، اطلاعات شخصى، اطلاعاتى عمومى و نشریات الکترونیک همه و همه در معرض دستکارى و سوءاستفاده هاى مادى و معنوى قرار مى گیرند. همچنین دستکارى اطلاعات- به عنوان زیربناى فکرى ملت ها - توسط گروه هاى سازماندهى شده بین المللى، به نوعى مختل ساختن امنیت ملى و تهاجم علیه دولت ها و تهدیدى ملى محسوب مى شود.در ایران که بسیارى از نرم افزارهاى پایه از قبیل سیستم عامل و نرم افزارهاى کاربردى و اینترنتى، از طریق واسطه ها و شرکت هاى خارجى تهیه مى شود، بیم نفوذ از طریق راه هاى مخفى وجود دارد. هم اکنون نیز بانک ها و بسیارى از نهادها و دستگاه هاى دیگر از طریق شبکه به فعالیت مى پردازند، به همین دلیل جلوگیرى از نفوذ عوامل مخرب در شبکه به صورت مسئله اى استراتژیک درآمده که نپرداختن به آن باعث ایراد خساراتى خواهد شد. تجربیاتى نیز در همین زمینه وجود دارد که این موضوع را کاملاً ثابت کرده است.

•هویت مجازى

به رغم معرفى سرویس هاى متعدد روى شبکه، تاکنون مهمترین سرویس از میان سرویس هاى گوناگون اینترنت، سیستم پست الکترونیکى بوده است . بسیارى از کاربران اینترنت از این بخش بیشتر از سایر امکانات فراهم آمده توسط این شبکه جهانى استفاده مى کنند. امروزه، اقتصاد جهانى به پست الکترونیکى متکى شده است، بسیارى از پیام هاى رد و بدل شده بین کاربران حاوى یادداشت هاى شخصى است. گرچه اغلب پیام ها از متن ساده تشکیل شده اند اما امکان پست الکترونیکى تمام انواع داده ها، مثل تصاویر، برنامه هاى کامپیوترى، سندهاى صفحه گسترده و... نیز وجود دارد. با توجه به این سرویس، اینترنت اجازه مى دهد که افرادى که دور از هم هستند با یکدیگر در تعامل و کار باشند و در واقع، فردى با فرد دیگرى که هزاران کیلومتر از او دور است و هیچ وقت او را ندیده است، مى تواند ارتباط داشته باشد. پست الکترونیکى امروزه در تجارت و بانکدارى الکترونیکى هم کاربرد فراوانى دارد و بسیارى از تعیین هویت هاى مجازى امروزه توسط پست الکترونیک صورت مى گیرد. در همین رابطه براى استفاده امن از پست الکترونیکى تذکراتى وجود دارد. درک تفاوت هاى پست الکترونیکى با پست عادى و یا گفت وگوى تلفنى کمى دشوار است ولى به کار بستن برخى نکات ساده مى تواند در بالا بردن امنیت هنگام به کارگیرى این سرویس مؤثر باشد از جمله این موارد مى توان از موارد زیر را نام برد:بایستى همواره تصور شود که هیچ گونه اختفایى وجود ندارد. پیام هایى که به دلایلى نباید همه ببینند نباید از این طریق ارسال شود، بنابراین از ارسال نامه هاى بسیار خصوصى، سخنرانى هاى تند، بى احترامى هاى منظوردار و... باید احتراز شود. نباید فرض شود که پیام هاى حذف شده قابل بازیابى نیستند. چنانچه پیامى روز سه شنبه حذف شود، احتمالاً در نسخه هاى پشتیبان که شب یا روز قبل تهیه شده است موجود است، در سیستم پستى ابزار مشابه کاغذ خردکن وجود ندارد. در متن هاى ارسالى باید محتاط بود. این طبیعت پست الکترونیکى است که مردم پیام هاى دریافتى خود را بیشتر از پیام هاى ارسالى جدى مى گیرند. ضمن اینکه ارسال یادداشت سریع به هر جایى از جهان بسیار ساده است .

• ضرورت حفاظت

براى افزایش امنیت تبادل اطلاعات از تکنیک هاى متعددى استفاده مى شود که یکى از آنها رمزنگارى است. رمزنگارى از دیر باز به عنوان یک ضرورت براى حفاظت از اطلاعات خصوصى در مقابل دسترسى هاى غیرمجاز در تجارت و سیاست و مسائل نظامى وجود داشته است. به طور مثال تلاش براى ارسال یک پیام سرى بین دو هم پیمان به گونه اى که حتى اگر توسط دشمن دریافت شود قابل درک نباشد، در رم قدیم نیز دیده شده است. در سالیان اخیر رمزنگارى و تحلیل رمز از یک هنر پا را فراتر گذاشته و یک علم مستقل شده است و در واقع به عنوان یک وسیله عملى براى ارسال اطلاعات محرمانه رویکانال هاى غیرامن همانند تلفن، ماکروویو و ماهواره ها شناخته مى شود. پیشرفت علم رمزنگارى موجب به وجود آمدن روش هاى تحلیل مختلفى شده است به گونه اى که به طور متناوب سیستم هاى رمز مختلف شکسته شده اند. معروف ترین نمونه این نوع سیستم ها ماشین «انیگما » بوده است. انیگما ماشین رمزگذار و کدگذار و کدکننده اى بوده است که حزب نازى در زمان جنگ جهانى دوم براى ارسال پیام هایشان از طریق رادیو به سایر نقاط استفاده مى کردند.رمزنگارى که به طور عمده به دو بخش رمزنگارى متقارن یا رمزنگارى با کلید خصوصى و رمزنگارى نامتقارن یا رمزنگارى با کلید عمومى صورت مى گیرد، تلاش مى کند براى ایجاد یک ارتباط سریاز طریق سیستم هاى مخابراتى و شبکه هاى کامپیوترى مباحث مربوط به محرمانگى و احراز هویت را تحت فرض هاى مشخص به درستى اثبات کند.نرم افزارها از جمله مهمترین اصول ارتقا و یا کاهش سطح امنیت در یک شبکه به حساب مى آیند بر این اساس باید براى نظارت فنى در آنها قوانین و اجبارهایى را در نظر گرفت و باید به منظور پشتیبانى از سیستم کنترل دستیابى ابزارهاى لازم را در اختیار داشت . سیستم هاى نرم افزارى بایستى داراى کنترل هاى داخلى براى شناسایى کاربران، نمایش استفاده هاى غیرمجاز و محدود نمودن حدود اختیار کاربران باشند. چنانچه فردى چند بار سعى کند به سیستم وارد شود و رمز نادرستى را وارد کند بایستى سیستم به طور خودکار غیرفعال و در موارد پیچیده تر برنامه ها به منظور عدم دستیابى به اطلاعات به صورت خود مخرب طراحى شوند. چنانچه از سیستمى در یک مدت زمان مشخص و تعیین شده استفاده نشود، پایانه ها یا رایانه هاى مربوطه باید از حالت فعال خارج شده و سیستم، براى استفاده مجدد نیاز به واردشدن مجدد و دادن رمز ورود داشته باشد. رمزنگارى روش مناسبى براى حفاظت داده هاى مهم از دید همگان است. گنجانیدن دستورات کنترلى داخلى مى تواند کمک موثرى در اعمال رویه هاى شناسایى، دسترسى، استفاده و انتقال داده ها به حساب آید و رد و اثر عملیات انجام شده را در اختیار مسئولان بگذارد. اعمال برخى روتین هاى ویرایشى از بروز اشتباهات و خرابى داده ها تا حد بسیارى جلوگیرى مى کند و در مواقعى، گرفتن گزارش هایى که نشانگر داده هایى است که خارج از محدوده معمول هستند، مى تواند کمک بسیارى در یافتن خطاها یا افراد باشد که قصد خرابکارى یا اعمال خلاف را دارند، این گونه کنترل ها میزان اطمینان به داده ها و اطلاعات جمع آورى شده را نیز بالا مى برد. تدوین برنامه هاى لازم براى تهیه نسخه هاى پشتیبانى از داده ها بسیار ضرورى است . تعیین برنامه زمانبندى براى اجراى این برنامه ها نیز از اهمیت بالایى برخوردار است. کنترل کیفیت نرم افزار مى تواند از بسیارى از خطاهاى نرم افزارى که موجب فقدان داده یا خرابى آنها مى شود، جلوگیرى کند.

گنجانیدن پیام هاى خطاى مناسب جهت ردیابى اشکالات نرم افزارى سبب تسریع در امر اشکال یابى و رفع اشکالات احتمالى مى شود. نرم افزارها در مقابل ویروس هاى رایانه اى و برنامه هاى مخرب بایستى محافظت شوند.

روزانه راهکارهاى مختلف امنیتى در سطوح مختلف براى کاربرى و استفاده از اینترنت براى انتقال داده ها ارائه مى شود با وجود این همواره شاهد بروز ضعف ها و نقاط آسیب پذیر متعددى در سایت ها و بانک هاى اطلاعاتى هستیم. در واقع به نظر مى رسد در هر دو سطح کاربرى و استفاده هاى حرفه اى از این شبکه دچار مشکلات فراوان امنیتى هستیم. یکى از مهمترین راهکارهایى که در این زمینه همواره گوشزد مى شود استقرار نظام جامعى براى افزایش سطح امنیت چه در سطوح کاربرى و چه در سطوح تجارى و دولتى است.

در سطوح کاربرى استفاده از نرم افزارهاى دیوار آتش یا فایروال و همچنین آشنا کردن کاربران با خطرات کاهش امنیت اینترنتى از جمله راهکارها است. یک سیستم ناامن باعث سرقت هویت و اطلاعات مهم افراد از روى کامپیوترها مى شود و این سیستم ناامن اگر در یک شرکت و یا سازمان وجود داشته باشد مى تواند امنیت اطلاعات هزاران نفر را با خطر مواجه کند. در سطح کلان استفاده از طرح هاى ارتقاى امنیت شامل خریدارى و نصب سیستم هاى پیشرفته کنترل امنیت، تبادل اطلاعات و همچنین بهره گیرى از مشاوره هاى امنیتى یک امر ناگزیر است. فقدان استاندارد امنیتى براى شبکه هاى رایانه اى یکى از مهمترین دلایل نفوذ به این سیستم و حذف اطلاعات ضرورى است. این موضوع به خصوص در سال هاى گذشته در بخش هاى خصوصى و دولتى ما به شکل گسترده اى دیده شده است. به عنوان مثال کاربران ایرانى بارها با خبر حمله و دستکارى گسترده به ده ها و صدها سایت دولتى و خصوصى ایران به طور یک جا روبه رو شده اند. در واقع نگهدارى یک جاى هزاران سایت دولتى و خصوصى روى یک سرور امنیت آنان را به گونه اى به خطر انداخته که با یک حمله اینترنتى عملاً همه این سایت ها در معرض خطر قرار مى گیرد. عدم استفاده از نرم افزارهاى به روز شده امنیتى نیز مشکل دیگر امنیتى در دو عرصه کاربرى عادى و کلان اینترنت در ایران است. کاربران ایرانى عادت به خرید یک نرم افزار ۴۰۰ دلارى ضد ویروس و یا فایروال ندارند و عموماً آن را با هزار تومان از بازارهاى نرم افزار تهیه مى کنند. به همین دلیل در بسیارى اوقات این نرم افزارها به جاى آنکه به افزایش امنیت سیستم کمکى کنند باعث بروز مشکلات متعدد امنیتى و فنى دیگر در سیستم مى شوند. با وجود آنکه مشکلاتى از این دست امنیت اطلاعات در کشور ما را به شکل قابل ملاحظه اى کاهش داده اما معضل امنیت صرفاً مربوط به کشور ما نیست. چند سال قبل در حمله اى به چندین سرور اصلى اینترنت عملاً ترافیک اینترنت به شکل بسیار زیادى افزایش پیدا کرد و حتى احتمال قطع اینترنت نیز پیش آمد. این در حالى است که کشور آمریکا و بسیارى از کشورهاى دیگر سالانه میلیاردها دلار براى ارتقاى امنیت سیستم هاى کامپیوترى هزینه مى کنند اما به هر حال این جنگ ادامه دارد.
منبع : شرق

نقدی بر قانون مجازات جرایم رایانه‌ای

سه شنبه, ۲۳ اسفند ۱۳۸۴، ۰۴:۳۴ ب.ظ | ۰ نظر

کمیته مبارزه با جرایم رایانه‌ای که از طرف شورای عالی توسعه قضایی وظیفه تدوین پیش‌نویس قانون مجازات جرایم رایانه‌ای را عهده‌دار شده، در خرداد ماه ۸۳ پیش‌نویس تهیه شده را با برگزاری سمینار «ابعاد حقوقی فناوری اطلاعات» در معرض نقد و ارزیابی صاحب‌نظران قرار داد. این قانون در صورت تصویب مسیر حرکت صنعت انفورماتیک کشور را طی سالیان آینده تحت تاثیر قرار خواهد داد. بنابراین تلاش جمعی صاحب‌نظران برای پربارتر کردن این قانون و تضمین سلامت فضای مجازی آینده کشور الزامی است.
نگارنده با توجه به پیش‌زمینه مرتبط با فناوری اطلاعات و تعلق خاطری که به این حوزه کاری و رشد و بالندگی آن دارد این فرصت را مغتنم شمرده و نکاتی را راجع به این پیش‌نویس ارائه می‌کند.


1. در ماده ۱ از پیش‌نویس، تعاریف اصطلاحات فنی به کار گرفته شده در متن قانون ارائه شده‌اند. مستقل از اینکه دقت تعاریف بر جامعیت قانون تاثیرگذار بوده و ضامن اجرای دقیق آن است، متاسفانه بعضی از معانی دقت و گویایی لازم را ندارند. به عنوان مثال، در تعریف داده رایانه‌ای ذکر شده این نوع داده «باعث می‌شود سیستم رایانه‌ای عملکرد خود را به مرحله اجرا گذارد». به مرحله اجرا گذاردن عملکرد به چه معناست؟ اگر منظور انجام پردازش بر روی داده است، این کار توسط سیستم رایانه‌ای انجام می‌شود و خود داده باعث انجام فعلی نمی‌شود.
موارد دیگری نیز در سایر بندهای ماده ۱ (به عنوان مثال تعریف بند الف) وجود دارد که شایسته تجدید نظر و رفع ابهام از تعاریف می‌باشند.
2. در ماده ۱۱ قانون آمده است: «هر کس عمدا با انجام اعمالی از قبیل وارد کردن، انتقال دادن، ارسال، پخش، صدمه زدن، پاک کردن، ایجاد وقفه، دستکاری یا تخریب داده‌ها یا امواج الکترومغناطیسی، سیستم رایانه‌ای یا مخابراتی دیگری را غیر قابل استفاده کرده یا ...» در این ماده تعدادی عمل ذکر شده که انجام آنها بر روی داده و یا امواج الکترومغناطیسی جرم شناخته شده و مجازات خاص خود را در پی دارد. کلیت ماده قابل قبول است ولی متاسفانه بعضی از اعمال را نمی‌توان بر روی داده و یا امواج الکترومغناطیسی انجام داد. داده را می‌توان وارد کرد ولی این کار در مورد امواج الکترومغناطیسی تعریف نشده است، مگر این که منظور تدوین کنندگان این ماده به صورت دقیق و فنی بیان شود. ایجاد وقفه در ارسال امواج الکترومغناطیسی امکان‌پذیر است ولی در مورد داده این کار انجام‌پذیر نیست.

3. در بند الف ماده ۲۲ یکی از جرایمی که مجازات هم برای آن در نظر گرفته شده است به شرح زیر بیان شده است:
«تولید، انتشار یا مورد معامله قرار دادن داده‌ها یا نرم‌افزارها یا هر نوع وسایل الکترونیکی که به منظور ارتکاب یکی از جرایم رایانه‌ای مورد استفاده قرار می‌گیرند».
برنامه‌هایی که در این بند به عنوان ابزار جرم معرفی شده‌اند همگی چندکاربرده می‌باشند. به عبارت دیگر ممکن است از آنها به عنوان ابزار جرم استفاده شود و در عین حال توسط محققین برای آزمایش و انجام تحقیقات علمی و یا توسط گروه‌های بازرسی برای محک‌زنی سیستم‌های کامپیوتری موجود مورد استفاده قرار گیرد. بنابراین نفس تولید، انتشار و یا خرید و فروش این نرم‌افزارها به خودی خود نمی‌تواند به منزله وقوع جرم باشد.
اجرای این بند به معنای تعطیلی همه فعالیت‌های تحقیقاتی و بسته شدن درب آزمایشگاه‌های شبکه و امنیت اطلاعات در دانشگاه‌ها و شرکت‌های خصوصی و دولتی و همینطور موسساتی که در زمینه benchmarking سیستم‌های کامپیوتری فعالیت دارند می‌باشد.

4. پیش نویس قانون مجازات جرایم رایانه‌ای بار اصلی فرایند مبارزه با وقوع جرم و انتشار محتوای خلاف قانون را بر روی دوش مراکز ارائه کننده خدمات قرار داده است. در ماده ۲۰ این قانون آمده است: «ایجادکنندگان نقطه تماس بین‌المللی موظفند امکان دستیابی به محتویات موضوع ماده 15 و بند الف ماده 16 را متوقف سازند، در غیر اینصورت به مجازات مقرر در مادة 25 همین قانون محکوم خواهند شد، ...»
به موجب این ماده نقاط تماس بین‌المللی موظف شده‌اند مانع دسترسی افراد به محتویات مستهجن،‌ محتویات فریب‌دهنده و تشویق کننده در این زمینه و همینطور محتویات آموزش خودکشی و استفاده از مواد روانگردان شوند. این کار از طریق استفاده از تجهیزات خاص امکان‌پذیر است ولی واقعیتی عینی که همه متخصصین به آن اذعان دارند وجود راه‌های متعدد برای دور زدن فیلترها و رسیدن به اطلاعات مورد نظر است. استفاده از تجهیزات فیلترگذاری با صرف هزینه‌های زیاد می‌تواند مانع دسترسی تعدادی از کاربران به محتویات سایت‌های موجود در لیست‌های سیاه‌ شود، ولی با استفاده از روش‌هایی که چندان دشوار هم نیستند کاربران می‌توانند دسترسی خود را حفظ کنند. در این صورت تکلیف ارائه دهندگان خدمات چیست؟
از سوی دیگر در ماده ۲۱ همین قانون آمده است:
«به منظور جلوگیری از ادامه ارائه یا انتشار محتویات موضوع مواد 15 و بند الف ماده 16 ارائه‌کنندگان خدمات میزبانی موظفند:
الف ـ نسبت به محتوای موجود در سایت‌های تحت میزبانی خود نظارت نمایند، چنانچه عدم نظارت یا بی مبالاتی وی در نظارت منجر به ادامة ارائه یا انتشار محتویات فوق گردد به مجازات مقرر در ماده 25 همین قانون محکوم خواهند شد.»
با این فرض که ارائه دهندگان خدمات میزبانی با صرف هزینه‌های فراوان موفق به انجام این کار بشوند، تضمینی برای از بین رفتن محتویات نامطلوب بوجود نمی‌آید. در حال حاضر که قانون مکتوبی برای مبارزه با چنین محتویاتی وجود ندارد، در بیشتر موارد میزبان‌های خارجی برای نگه‌داری و ارائه اطلاعات انتخاب می‌شوند. با توجه به توضیحاتی که در رابطه با ماده ۲۰ قانون بیان شد، امکان دسترسی به این گونه محتوا برای کاربران وجود دارد.

5. در بند ۴ موارد ۲۰ و ۲۱ پیش‌نویس قانون از دید فنی مورد نقد قرار گرفتند. پس از مطالعه کل قانون و بررسی این دو ماده نکته‌ای که به ذهن خواننده متبادر می‌شود این است که تدوین کنندگان قانون حجم قابل توجهی از بار معنوی و مادی مبارزه با قانون را بر دوش ارائه دهندگان خدمات قرار داده‌اند که اتفاقا بیشتر آن‌ها از بخش خصوصی بوده و مشابه سایر حوزه‌های تخصصی بخش خصوصی توانی محدود دارند.
در بسیاری از مواد دیگر قانون مشاهده می‌شود که روح تساهل در برخورد با مجرم وجود دارد. به عنوان مثال در ماده‌های ۲، ۳، ۴، ۱۱ و ۱۲ شرط مجرمیت فرد احراز تعمد در انجام فعل است، حتی در مورد قرار دادن اطلاعات در دسترس دولت‌ها و سازمان‌های بیگانه. علاوه بر این در مواد ۷ و ۹ وجود قصد تقلب و در ماده ۱۰ وجود قصد اضرار متمایز کننده مجرمین می‌باشد. در شرایطی که عدم وجود قصد تقلب باعث تبرئه کسی که محتویات کارت اعتباری را تحریف نموده است می‌شود، چگونه ارائه دهندگان خدمات تحت هر شرایطی مسئول کل داده ذخیره شده در میزبان خود و یا کل داده تبادل شده از طریق خطوط ارتباطی می‌باشند. آیا نباید ضریب خطای ماشینی و یا انسانی را در این میان مدنظر قرار داد؟ به نظر می‌رسد دیوار شرکت‌های ارائه دهنده خدمات در حال حاضر از همه کوتاه‌تر است.

علی‌رغم لزوم وجود قانون برای جلوگیری از هرج و مرج به نظر می‌رسد قانون تهیه شده در حال حاضر نیازمند کار بیشتر و استفاده از نظرات متخصصین هر دو حوزه فناوری اطلاعات و حقوق می‌باشد. مفاد تعدادی از مواد قانون در سایر قوانین هم وجود دارد و به نظر نمی‌رسد تغییر ابزار نیازمند وضع قوانین جدید باشد.
از سوی دیگر تعدادی از مواد این قانون به حدی سخت‌گیرانه است که می‌تواند عرصه را بر فعالان حوزه IT (کاربران و ارائه دهندگان خدمات) چنان تنگ کند که امکان ادامه فعالیت وجود نداشته باشد. یک کاربر عادی که می‌داند کلیه اعمالش در دنیای مجازی ثبت می‌شود و شناخت دقیقی هم نسبت به سایت‌های اینترنتی و محتویات آنها ندارد همواره در اضطراب مشاهده سایت‌ها بوده و در چنین شرایطی ممکن است عطای اینترنت را به لقایش ببخشد. در شرایطی که متوسط استفاده از اینترنت در کشور بسیار پایین‌تر از استانداردهای جهانی و حتی کشورهای در حد ایران می‌باشد این حرکت قطعاً در راستای منافع کشور نیست.
علاوه بر این کاهش کاربران و اجرای سیاست‌های سخت‌گیرانه‌ای مانند مواد ۲۰، ۲۱ و ۳۰ قانون مجازات جرایم رایانه‌ای تهدیدی جدی برای پیکره ضعیف شرکت‌های فعال در حوزه خدمات رسانی اینترنت است. در این مقطع مناسب‌ترین کار انجام کار کارشناسی بیشتر بر روی این قانون است که باید با حضور کارشناسان مستقل حقوق و فناوری اطلاعات انجام شود تا حقوق کاربران اینترنت و شهروندان تضمین شده و از سوی دیگر سیاست‌های حمایتی و توسعه‌ای دولت در حوزه فناوری اطلاعات و ارتباطات (که به موجب برنامه پنج ساله سوم جزیی از وظایف حاکمیت است) در قانون لحاظ شود.

منبع : http://www.ircert.com

پذیرش پدیده‌هایی که چه از نظر فردی و چه اجتماعی ماهیتا از طینت بدی برخوردارند، طبیعتا مورد تایید هیچ عقل سلیمی نیست. از طرفی این مطلب نیز بر هیچ‌کس پوشیده نیست که بعضی ابداعات و اختراعات بوده‌اند که اگرچه به نیت کمک به انسان در جهت پیشرفت و رفاه ایجاد گشته‌اند، اما در طول عمر خود بسیار مورد سوءاستفاده قرار گرفته‌اند.
تجربیات دهه‌ها و سال‌های اخیر نشان داده است که قراردادن پدیده‌های نام‌آشنای کامپیوتر و فرزند خلف آن، اینترنت در زمره پدیده‌های بدطینت به دور از انصاف است. بنابراین اکنون و بعداز سالها که از ظهور اینترنت می‌گذرد، تلاش در جهت به حداقل رساندن سوءاستفاده‌هایی که هر روزه از رسانه‌ها اخبارشان را می‌شنویم و یا خود با آنها مواجهیم، در کشورمان امری اجتناب‌ناپذیر است. از آنجا که نگارنده این سطور در زمینه فناوری اطلاعات فعالیت دارد و از دانش مربوط به حقوق قضایی بهره چندانی ندارد، تنها اجازه ذکر چند نکته فنی را به خود می‌دهد و امیدوار است که خبرگان حقوق نیز یش‌نویس قانون مطروحه را با رویکردی حقوقی مورد مداقه و نقد قرار دهند.
اگرچه ممکن است از فضای جدید ایجاد شده توسط اینترنت بعنوان دنیای مجازی نام برده شود (دنیایی که اجزای تشکیل دهنده آن سیگنالهای الکتریکی و الکترومغناطیسی هستند و از اینرو ماهیت آن در پاره‌ای از موارد با آنچه از دنیای سنتی! درک کرده‌ایم، متفاوت است)، اما این دنیای مجازی دیگر جزئی لاینفک از دنیای واقعی است و شاهد حضور غیرقابل‌انکار آن در بیشتر اتفاقات دنیای پیشرفته امروز هستیم. مسلما درک دقیق‌تر قانونگذار محترم از این تفاوتها، عاملی مهم در برطرف ساختن شبهاتی است که اذهان بسیاری را بعد از مطرح ساختن پیش‌نویس قانون مجازات جرایم رایانه‌ای به خود معطوف داشته است.
برای جلوگیری از اطاله کلام و با توجه به نقدهایی که تاکنون بر این قانون نگاشته شده است، در اینجا تنها به ذکر چند نکته بصورت مختصر بسنده می‌شود.
۱- در بندهایی از این قانون مجازاتهایی برای ناقضان تدابیر امنیتی تعیین گردیده است، اگر منظور از این افراد همان هکرها باشند، شایان ذکر است که هکرها در سه گروه طبقه‌بندی می‌گردند، گروهی که برای کشف شکافهای امنیتی بمنظور پوشاندن آنها فعالیت می‌کنند، گروهی دیگر که از دانش فنی بالایی برخوردار نیستند و از ابزاری که تهیه آن چندان سخت نیست و توسط سایرین تولید شده استفاده می‌کنند و گاهی خود از عواقب استفاده از آنها اطلاع چندانی ندارند و گروه سوم که در جهت کسب منافع شخصی، کسب شهرت یا صدمه‌رساندن به دیگران فعالیت می‌کنند. شایسته است که قانونگذار محترم ناقضان تدابیر حفاظتی را دقیق‌تر مشخص کند، ضمن اینکه از آنجا که نتیجه عمل هر سه گروه هکرها ممکن است به هم شبیه باشد، دسته‌بندی آنها همیشه به سهولت و تنها براساس شواهد، ممکن نیست.
۲- در قسمتی از قانون برای ماموران دولتی که در اثر بی‌احتیاطی باعث دسترسی افراد بدون صلاحیت به اطلاعات باارزش شوند،‌ مجازات تعیین گشته است. نکته‌ای که باید به آن اشاره شود، تعداد معدود متخصصان امنیت و حفاظت داده در کشور است که از دانش و اطلاعات کافی و به‌روز شده برای محافظت داده‌ها برخوردار باشند. جالب اینجاست که خود همین افراد معدود نیز، به این نکته معترفند که هیچگاه نمی‌توان نسبت به محافظت از داده‌ها، اطمینان صد در صد داشت. زیرا معمولا (نه همیشه) شکاف‌های امنیتی بعد از مورد سوءاستفاده قرار گرفتن، مرمت می‌شوند. بنابراین همیشه باید برای یک سیستم داده محافظت شده حتی توسط به‌روز ترین افراد و ابزارها، درصدی احتمال خطر در نظر گرفت که همین درصد نامساوی با صفر باعث عدم پذیرش مسوولیت محافظت از اطلاعات توسط ماموران دولتی خواهد گشت. نرخ شگفت‌انگیز ظهور روزانه ویروس‌ها را نیز مدنظر داشته باشید!
۳- در قسمتی از قانون، ارائه دهندگان خدمات اینترنتی موظف به ذخیره داده‌های مبادله‌شده توسط کاربرانشان بمدت سه ماه شده‌اند. یک محاسبه ساده برای تخمین این حجم از اطلاعات، نیاز ارائه دهندگان خدمات اینترنتی را به حجم زیادی از ابزار ذخیره‌سازی اطلاعات، علیرغم پهنای باند کمی که در اختیار کاربران قرار می‌گیرد، مشخص می‌سازد. اجازه دهید برای روشن شدن مطلب مثالی بزنیم. اگر فرض کنیم که یک ICP پهنای باند 16 مگابیت را در اختیار داشته باشد (پهنای باندی که بین این شرکتها در حال حاضر بسیار معمول است) ، حجم اطلاعاتی که روزانه باید ذخیره شود برابر خواهد بود با حدود 181 گیگابایت اطلاعات و این حجم در سه ماه به حدود 16 هزار گیگابایت خواهد رسید! چگونگی ذخیره سازی و سپس پردازش این اطلاعات موضوعی است که باید به آن اندیشید. اما اخبار و شنیده‌ها حکایت از آن دارد که در آینده نزدیک کاربران کشورمان می‌توانند برای دسترسی به اینترنت از خطوط پرسرعت بهره‌مند شوند. ضرب عدد تخمین‌زده شده قبل در میزان افزایش پهنای باند، پایبندی ارائه‌دهندگان خدمات اینترنتی به این ماده از قانون را بدون اینکه قصد تخلف از قانون را داشته باشند، زیرسوال می‌برد.
۴- در قسمتهایی از این قانون، سرویس‌دهندگان و سرویس‌گیرندگان اینترنت نسبت به محتویات به نمایش در آمده یا منتشر شده مسوولند. این مسوولیت تا جایی پذیرفته است که وجود یا انتشار این محتویات به عمد صورت گرفته باشد. از نظر دور نداریم که امروز با توجه به انواع نرم‌افزارهای جاسوسی یا تبلیغاتی، ویروس‌ها و کرمهای اینترنتی، امکان ارسال و دریافت اطلاعات به یک سیستم کامپیوتری متصل به اینترنت بدون کسب اجازه از صاحب آن امکانپذیر است. امکان سرقت آدرس‌های ایمیل شخص قربانی و سوءاستفاده از آنها وجود دارد. همچنین بازکردن صفحات وب که دربردارنده محتویات مستهجن هستند، بر روی کامپیوتر فرد، بدون کسب اجازه از وی میسر است. بنابراین آنچه که در این میان دقت بسیار بالایی می‌طلبد، تدابیری است که کارشناسان فنی و حقوقی درگیر در تدوین این قانون، در اثبات تعمد در هرکدام از تخلفات مذکور می‌اندیشند.
و اما ...
تغییرات و پیشرفتهای سریع در زمینه کامپیوتر و اینترنت، گاهی پیش بینی آینده آن را حتی برای متخصصان فن نیز غیرممکن می‌کند. بنابراین در زمینه تدوین قانون مناسب، برداشتن گامهای آهسته اما محکم، بسیار مطمئن‌تر از حرکتهای سریع اما بدون رایزنیها و تجارب کافی است. اگر موادی از این قانون که هنوز نمی‌توان با اطمینان در مورد ضمانت اجرای آنها سخن گفت، به تصویب برسند، علاوه بر ضربات مهلکی که بر پیکره نهال فناوری اطلاعات در کشور وارد می‌کنند، چهره قانون اساسی کشورمان را نیز به شدت مخدوش خواهند کرد. کلام آخر اینکه فناوری اطلاعات و قانون مجازات جرایم رایانه‌ای دو نهال هستند که وجود، رشد و بالندگی هرکدام جز در سایه و به اتکای دیگری، میسر نیست.

دغدغه هاى والدین و اینترنت

سه شنبه, ۲۳ اسفند ۱۳۸۴، ۰۴:۱۷ ب.ظ | ۰ نظر

اگرچه اینترنت مى تواند راهى باشد که در آن نوجوانان کوشش مى کنند خودشان را به عنوان افرادى مستقل و منحصر و داراى دنیاى اجتماعى مخصوص به خود به اثبات رسانند اما به این معنى نیست که والدین نباید دخالتى داشته باشند. دقیقاً برعکس آن صحیح است. همانند تمامى فعالیت هاى نوجوانان، آنان احتیاج دارند که دست کم نوعى نظارت بر کارهایشان براى جلوگیرى از بروز مشکل وجود داشته باشد. برخى والدین به دلیل مهربانى، ناخواسته غفلت مى کنند و مى گویند فرزندان ما باید رایانه یاد بگیرند و یا نباید از بقیه بچه ها عقب بیفتند. اگر فرزندانم کنار رایانه مى نشینند و تایپ مى کنند این چیز خوبى است... خوب من باید فقط آنان را تنها بگذارم. اما دخالت کردن تنها به معنى نظارت به منظور جلوگیرى از مشکل نیست. فضاى مجازى و رایانه مى توانند یک روش عالى براى والدین و نوجوانان باشند تا در کنار یکدیگر تفریح کنند و همدیگر را بهتر بشناسند. فضاى مجازى بخشى از زندگى نوجوانان است و شاید بخشى که آن را دوست دارند و سعى مى کنند مخفى سازند.

•••

پدر و مادر چه کنند: دانش لازم در مورد رایانه را دریافت و در فعالیت هاى اینترنتى شرکت کنند، چون نظارت بر فعالیت هاى فضاى مجازى نوجوانان بیشتر اثربخش بوده و والدین باید در مورد این موضوع آگاهى داشته باشند. احتیاجى نیست که خودتان یک نفوذگر رایانه اى شوید اما در مورد این موضوع اطلاعات بگیرید. در مورد این موضوع با والدین دیگر گفت وگو کنید. بهتر است خودتان فضاى مجازى را کاوش و با کودکان خود در مورد فضاى مجازى گفت وگو کنید و در برخى فعالیت هاى روى خط به آنها بپیوندید. با آنان پایگاه هاى وب را سیر و سیاحت کنید و از موتورهاى جست وجو براى یافتن افرادى که فامیلى مشابه خودتان دارند بهره بگیرید. براى خانواده یک صفحه وب بسازید، حتى با کودکان خود و دوستانشان در یک اتاق گپ زنى پاتوق کنید. (براى یک زمان کوتاه، البته اگر حضور شما را تحمل کنند) امکانات بسیار زیادى وجود دارد که شما بتوانید در فعالیت هاى اینترنتى شرکت کنید. با فرزندان خود حرف بزنید. یک هشدار قدیمى مى گوید «آیا شما مى دانید فرزندانتان کجا هستند؟» فضاى مجازى نیز همانند زندگى واقعى کاربرد دارد. از آنها براى استفاده از اینترنت سئوال کنید از چه پایگاه هایى در وب بازدید مى کنند؟ براى اینکه لحن سرزنش آمیزى نداشته باشید بپرسید چه پایگاه هایى را در وب دوست دارند و چرا؟ با آنها کنار میز رایانه بنشینید و اجازه دهید شما را به پاتوق هاى اینترنتى خود ببرند. به شیوه اى پدرانه یا مادرانه و مطبوع کنجکاو باشید. از فرزندانتان در مورد دوستان مجازى که دارند سئوال کنید و اینکه در مورد چه موضوعى با هم بحث مى کنند و در اینترنت چه کارى انجام مى دهند. از بازپرسى اجتناب کنید و در عوض نشان دهید که مشتاق هستید تا در مورد دوستان اینترنتى فرزندانتان بیشتر بدانید.خوب و بد را بپذیرید: از فضاى مجازى بدگویى نکنید. این کار تنها نوجوانان را از شما دور مى کند. در مورد مزایا و معایب آن گفت وگو کنید. نسبت به زندگى مجازى آنان پذیرش نشان دهید اما در مورد مخاطرات این کار و اینکه ممکن است در آنجا با موقعیت ها و یا افراد ناخوشایند برخورد کنید هشدار دهید. رایانه را در جاى قابل مشاهده قرار دهید. حریم خصوصى و خلوت فردى یک عمل ترفندآمیز بین جوانان است. آنان به خلوت نیاز دارند اما والدین باید بین این تقاضا و لزوم نظارت بر فعالیت ها تعادل برقرار سازند. احتمالاً این فکر خوبى است که از قرار دادن تجهیزات رایانه اى در اتاق خواب فرزندان پرهیز کرد و آنها را در فضاى خانوادگى قرار داد. این کار نظارت را خیلى راحت تر مى سازد و استفاده از رایانه به عنوان یک فعالیت خانوادگى را تقویت مى کند. اگر این کار شدنى نبود دست کم از آن دورى کنید تا نوجوان فضاى مجازى را در اتاق خود با در بسته کاوش کند. در را باز نگه دارید به نحوى که صفحه نمایش از بیرون اتاق قابل مشاهده باشد.

قوانین منطقى وضع کنید: والدین به فرزندان خود اجازه نمى دهند تا دیر وقت بیرون از خانه بمانند، هر فیلمى که مى خواهند تماشا کنند و هر جا که دلشان مى خواهد بروند. نوجوانان به قوانین احتیاج دارند. در حقیقت، خواه آنان قبول داشته باشند یا خیر، نیازمند قوانینى هستند که به شکل مخفیانه به کار گرفته شود تا احساس عدم کنترل و به حال خود رها شدن از سوى پدر و مادر به ظاهر بى تفاوت را نکنند. در مورد وقت (براى نمونه بعد از تکالیف مدرسه) و یا میزان زمان استفاده اى که بچه ها مى توانند به گفت وگو و تفریح در فضاى مجازى بگذرانند محدودیت هایى در نظر بگیرید. در مورد اینکه فرزندانتان دقیقاً در اینترنت اجازه چه کارى را دارند و چه کارى را ندارند قوانینى وضع کنید.

میان زندگى واقعى و زندگى مجازى نوجوانان تعادل برقرار کنید: فضاى مجازى، بسیار گسترده است اما زندگى چیزى بیش از آن است. نوجوانان را تشویق کنید که در فعالیت هاى زندگى واقعى شرکت کنند. اگر واقعاً در اینترنت چیزى وجود دارد که فرزندانتان از آن لذت مى برند، راهى پیدا کنید تا آن فعالیت به زندگى واقعى گسترش یابد. از اینترنت براى پروژه هاى درسى نوجوانان استفاده و نوجوانان را تشویق کنید با دوستان خوب زندگى مجازى (قابل اعتماد) تماس تلفنى بگیرند و یا حضورى آنان را ببینید. اگر نوجوانان از بازى نقش در بازى هاى رایانه اى لذت مى برند، تشویقشان کنید که به تئاتر یا سینما بپردازند. هدف، جلوگیرى از این مسئله است که نوجوان فضاى مجازى را از بقیه زندگى خود جدا کند و همچنین او را تشویق کند تا فعالیت هاى غیراینترنتى خود را گسترش دهد.

از نرم افزارهاى نظارتى بهره بگیرید: انواع برنامه هاى تجارى براى نظارت بر نوجوانان در فضاى مجازى وجود دارد. این برنامه ها مى توانند پایگاه هاى وبى را که آنها بازدید مى کنند ثبت و دسترسى به پایگاه هاى خاص وب و یا برنامه هاى خاص را مسدود کند. از ضبط برنامه ها جلوگیرى کنید، زمان استفاده از اینترنت را محدود سازید و یا تنها به نوجوانان اجازه دهید در زمان خاصى از اینترنت استفاده کنند. البته اگر والدین مى خواهند چنین برنامه هایى را نصب کنند باید تا حدى با رایانه آشنایى داشته باشند. البته، خود برنامه ها نیز کامل نیستند، آنها داراى نقاط ضعف بوده و یک نوجوان خبره فنى مى تواند آنها را مغلوب کند. احتمالاً آخرین چیزى که یک پدر یا مادر با آن رو به رو مى شود نبرد تکنیکى دائمى میان دانش وى و فرزندانش است، اگر چنین شد، یک جاى کار ایراد دارد. نرم افزارهاى نظارتى تنها یک ابزار هستند و جایگزین مناسبى براى گفت وگو و یا مشارکت شخصى والدین نیستند. به عبارت دیگر آنها را جانشین یک رابطه ندانید.

درباره اعتیاد مداخله کنید: دکتر کیمبرلى یونگ در کتاب خود برخى راهکارهاى مناسب براى والدینى که فرزندانشان گرفتار استفاده افراطى از اینترنت شده اند را شرح مى دهد: تلاش نکنید آنان را از رایانه دور یا از استفاده منع کنید. این مسئله شاید نتیجه معکوس داشته باشد. نگرانى خود را در مورد گرفتارى نوجوانان نشان دهید. یک جدول زمانى براى استفاده از اینترنت در نظر بگیرید. هنگامى که بچه به مدرسه نرفته و یا نمرات او خراب شده اجازه ندهید زیادى از رایانه استفاده کند. وقتى سعى در مداخله دارید با طغیان و انفجار احساسى نوجوانان خود مدارا کنید. اگر تمام این کارها نتیجه نداشت، در جست وجوى کمک از یک مشاور حرفه اى باشید، البته فردى که در مورد رایانه آگاهى داشته باشد.مجازات رفتارهاى نادرست و تشویق رفتارهاى انسانى هنگامى که کودک در دنیاى واقعى رفتار نادرستى دارد او را تنبیه مى کند. همین امر در مورد رفتار ناشایست وى در فضاى مجازى صادق است. اگر یک پدر یا مادر متوجه شوند فرزندشان براى دیگران در روى خط مزاحمت ایجاد مى کند یا سعى دارد در سیستم هاى روى خط خرابکارى کند (به عنوان نمونه تلفنى از طرف گردانندگان سیستم و یا اجتماع روى خط مى تواند هشدارى باشد) باید تنبیه و مجازات در دستور کار قرار گیرد. والدین نباید اینگونه قضاوت کنند که این تنها یک بازى فضاى مجازى است. این موضوع واقعاً مسئله مهمى نیست. این فکر خوبى به شمار نمى رود که اجازه داد نوجوان افراد دیگر را در روى خط به نحوى تهدید کند؛ گویى که آدم هاى واقعى نیستند. اگر نوجوانان توانایى دلسوزى نسبت به دیگران در دنیاى ناشناس فضاى مجازى نداشته باشند، مى توانند این احساس را در زندگى واقعى نیز به کار ببرند.

منبع : شرق

به دنبال بروز مشکلاتی برای برخی از سایت های ایرانی که در پی حملات هکرها صورت گرفت، کمیسیون امنیت فضای تبادل اطلاعات (افتا) سازمان نظام صنفی رایانه ای در جلسه آخر خود به بررسی این موضوع پرداخت.

به گزارش روابط عمومی سازمان نظام صنفی رایانه ای در جلسه اخیر کمیسیون افتا و به پیشنهاد اعضا، موضوع حملات اخیر به سایت های ایرانی در دستور کار کمیسیون قرار گرفته و اعضای حاضر به بحث و تبادل نظر پیرامون این موضوع پرداختند.

بر این اساس کمیسیون افتا به منظور کاهش زمینه های وقوع حملات اینترنتی به سایت های ایرانی و نیز کاهش صدمات احتمالی به ارایه راه کارهایی پرداخت که در پی می آید.
نکته اول: هیچ بستری 100% امن نیست!

حتی اگر شما از امن ترین سیستم عاملهای دنیا برای میزبانی استفاده میکنید، باید این نکته را بخاطر داشته باشید که سایت شما را تنها سیستم عامل نیست که میزبانی میکند، مجموعه نرم افزارهای مختلفی نظیر سرویس دهنده وب، مفسر زبان برنامه نویسی و ... باید در کنار یکدیگر کار کنند تا شما بتوانید خدمات مورد نیاز در سایت خود را ارائه کنید؛ این نکته از این بابت حائز اهمیت است که امن نگهداشتن این مجموعه نرم افزار به هیچ وجه کار ساده ای نیست، بنابراین باید روشی اتخاذ کرد که در صورت بروز حفره امنیتی یا کشف نقطه آسیب پذیر توسط اخلالگر کارکرد کل سیستم دچار مشکل نشود.

ساده ترین راه برای رسیدن به این مهم استفاده از نرم افزارهای تشخیص اخلال (Intrusion Detection - IDS) و پیشگیری/کنترل اخلال (Intrusion Prevention/Protection - IPS) میباشند، این نرم افزارها بر اساس الگوهای از پیش تعیین شده در لایه های پایین انتقال اطلاعات میتوانند شروع یک حمله را حدس زده و مدیر سیستم را از آن آگاه سازند، در صورت استفاده از سیستمهای IPS در صورتی که تواتر الگوهای تشخیص داده شده زیاد شود، نرم افزار بطور اتوماتیک ترافیک وارده از سمت اخلالگر را قطع و ارتباطات برقرار شده وی با سرویس دهنده را خاتمه می دهد (Session reset). سیستمهای IDS یا IPS باید توسط شرکت سرویس دهنده میزبانی، در شبکه محلی سرویس دهنده بطوری که امکان شنود روی ترافیک در گردش شبکه را داشته باشد نصب شود. امروزه اکثر دیواره های آتش (Firewall) این قابلیت را بصورت پیش فرض دارا هستند.

نوع دیگری از این نرم افزارها بنام HIDS (Host Intrusion Detection System) که مستقیما روی خود سرویس دهنده نصب میشوند، علاوه بر قابلیت شناسایی ترافیک مشکوک به سمت سرویس دهنده، امکان تغییرات غیر مجاز و مشکوک روی اجزای اصلی سیستم نظیر فایلهای سیستمی را دارند، این قابلیت به مدیر سیستم این امکان را میدهد که در صورت بروز مشکل امنیتی برای هر یک از نرم افزارهای بستر میزبانی، و باز شدن دسترسی برای اخلالگر، مورد را سریعا از طریق هشدار دریافت کرده و جلوی تخریبهای احتمالی را بگیرد (مثلا ایجاد کانال کوورت(Covert) یا در عقب - Back-door).
نکته دوم: سیستم های پایش و اخطار

بیشتر شرکتها از نرم افزارهای پایش سیستم برای اطلاع از وضعیت ترافیک، میزان مصرف حافظه، توان پردازشی و ... سرویس دهنده خود بهره میگیرند، اما بندرت اتفاق میافتد که از قابلیت ساده "هشدار حاشیه" (Threshold Alert) که در بیشتر این نرم افزارها تعبیه شده استفاده کنند، این قابلیت حالتهای ساده ولی غیر عادی سیستم، نظیر افزایش بیش از حد پهنای باند را تشخیص و به مدیر سیستم اعلام میکند، نتیجه این هشدار آمادگی برای بروز خطرات احتمالی پیرو میباشد.
نکته سوم: DNS را جدی بگیرید!

سرویس تبدیل نام به آدرس یا به اصطلاح DNS از بخشهایی است که در میزبانی بسیار مهجور واقع میشود، معمولا میزبانی دامنه شما به همراه سرویس وب روی یک دستگاه نصب میشود، اساسا با توجه به ضعفهای ساختاری پروتکل DNS و مشکلات امنیتی که ویژه این سرویس میباشد اکثر سایتهای اینترنتی مهم از زیرساخت جداگانه ای برای میزبانی دامنه و سرویس DNS خود استفاده میکنند، هر چند ایجاد این چنین زیرساختهایی برای سایتهای ایرانی به صرفه نیست اما شرکتهای معتبری در دنیا نظیر easyDNS وجود دارند که با زیرساخت ویژه ای که برای این منظور ایجاد نموده اند، میزبانی دامنه سایتهای پرترافیک را با هزینه کم انجام میدهند.

نکته چهارم: کم بخور، همیشه بخور!

محدود کردن پهنای باند هر کاربر، میزان زمانی که ارتباط کاربر با سیستم زنده نگه داشته میشود (Half-closed Clients) تعداد درخواست در هر ثانیه برای هر thread از پارامترهای قابل تنظیم عمده سرویس دهنده های وب هستند که معمولا توجهی به آنها نمیشود، در حالیکه با تنظیم درست این پارامترها میتوان اثر نامطلوب حمله های اخلالگران بخصوص حمله های از نوع DoS را به نحو چشمگیری کاهش داد، بعنوان مثال با صفر کردن پارامتر مربوط به زمان کاربران نیمه تمام (Half-closed Clients) ضمن کاهش 20 تا 30 درصدی کارایی سرویس دهنده (اثر منفی)، میتواند میزان مقاومت سرویس دهنده در برابر حملات از نوع DoS را تا حدود زیادی افزایش دهد! ویا با کنترل پهنای باند هر کاربر در حدود 10 کیلو بایت در ثانیه (مناسب برای کاربران ایرانی)، حملات پیچیده تر از نوع DDoS (Distributed Denial of Services Attack) اثر کمتری روی کارکرد سیستم خواهند داشت.

شناسایی دوگانه و ابتکار شرکت اِنتراست

جمعه, ۱۴ بهمن ۱۳۸۴، ۰۲:۳۱ ب.ظ | ۱ نظر

شناسایی دوگانه همان طور که از اسمش پیداست، مشتری را مجبور می‌کند که یک شی فیزیکی را (کارت هوشمند، شمارنده یکبار مصرف، کارت رمز) علاوه بر اسم یا شماره رمز به همراه داشته باشد. به عبارت دیگر از دو عامل کاملا متفاوت با هم، برای ورود به سایت اینترنت یا انتقال پول استفاده می‌کند. این دو عامل که در حال حاضر در دنیا رواج دارند، چیزی است که شما به همراه دارید و چیزی است که فقط شما میدانید.
شناسایی دوگانه باعث می‌شود که نفوذکنندگان و سارقان اگر از راه شنود پیام‌های مشتریان، به اسم رمز آنها پی‌بردند، محتاج چیز دیگری هم برای سرقت باشند که در شناسایی دوگانه، چون فقط در نزد مشتری است، هیچ کس قادر به انجام سرقت نمی‌شود. یکی از مهمترین راه‌های سرقت اینترنتی روش "کسی در بین راه" و "فیشینگ" است (Man in the middle & phishing) که با اضافه کردن عامل دوم به روش توکن یا جدول رمز، از فیشینگ جلوگیری شده و با اضافه کردن عامل دوم به روش کارت هوشمند، از هر دو روش جلوگیری می‌شود. شرکت اِنتراست که به نحو تخصصی محصولاتی درباره امنیت دارد اخیرا روشی را برای فروش عرضه می‌کند که بسیار ارزانتر از روش توکن‌های آر.اس.ای است و چیزی از آن کم ندارد.
در این روش کارت یا برگه‌ای مقوایی یا پلاستیکی به شما می‌دهند که جدولی روی آن چاپ شده و داخل خانه‌های جدول ارقام و حروفی درج گردیده است. در هنگام ورود مشتری به سایت یا هنگام صدور دستور انتقال پول، از مشتری خواسته می‌شود که محتوای 3 یا 4 یا بیشتر از خانه‌های جدول را (که به نحو تصادفی انتحاب شده‌اند) وارد نماید. بدیهی است که فقط دارنده کارت می‌تواند این عمل را انجام دهد. این کار به دفعات متوالی در یک نشست یا چندین بار ورود به سایت یا انتقال پول می‌تواند استفاده شود. این کارت کاملا شبیه به توکن (Token) عمل می‌کند و می‌تواند به همراه اسامی و گذرواژه‌های معمولی در هنگام ورود به سیستم عامل یا شبکه و غیره نیز بکار رود. روش "کارت رمز" مزایای خاص خود را نیز دارا است که آنرا برتر از روش توکن می‌سازد:
1- حدود 10 برابر قوی‌تر از گذرواژه است.

2- بسیار ارزانتر از توکن و کارت هوشمند است. اگر از حق لیسانس آن بگذریم. قیمت یک کارت مقوایی را دارد.

3- اجرای آن در سایت مرکزی موسسه مالی، راحت‌تر است و سخت افزار اضافه نمی‌خواهد.

4- بدون خرج اضافه، قابل کپی شدن است و چند شریک همزمان می‌توانند از آن استفاده نمایند.

5- فرمول آن کاملا تصادفی است و قوی‌تر از توکن می‌باشد.

6- احتیاج به باطری و برق نداشته و منقضی نمی‌شود.

7- یک کپی از آنرا می‌توان در محلی امن نگهداری نمود و در مواقع نابود شدن یا مفقود شدن تصادفی، از آن استفاده نمود.

8- صدور کارت تکراری خرج کمی دارد و می‌توان به دفعات آنرا صادر کرد.
این روش در کلیه موارد غیر مالی نیز کاربرد دارد و از مزایای مهم آن استفاده در مواردی است که احتیاج به امنیتی بیشتر از اسم رمز دارد و مایل هستیم که هزینه زیادی را متحمل نشویم.
برای مقایسه روش‌های موجود به شکل مقابل توجه فرمایید. اگر روش‌های خرید اینترنتی در ایران رواج یابد، بدیهی است که روش‌های سرقت و کلاه برداری اینترنتی نیز رواج خواهد یافت. بر طبق گزارش کمیسیون تجارت آمریکا، سرقت شناسه و رمز مشتریان یکی از شایع‌ترین و رشد یابنده‌ترین روش‌ها است و سالانه چندین میلیارد دلار به صاحبان اصلی ضرر می‌رساند. همین امر گریبانگیر تمام عالم است.
بر اساس گزارشی که شرکت انتراست از 2000 کاربر نمونه تهیه کرده است:
85 درصد از کاربران اینترنت از تجارت الکترونیک استفاده می‌کنند و 59 درصد از اینها از بانکداری الکترونیک استفاده می‌کنند.

80 درصد از کاربران بطور خاص از سرقت شناسه کاربری بانکی خود و دسترسی دیگری به آن شکایت دارند.

38 درصد از کاربران مایل هستند که از شناسایی دوگانه برای دسترسی به حساب بانکی خود استفاده نمایند.
این کاربران ترجیح می‌دادند که از موارد زیر استفاده نمایند:
94 درصد رایانه خانگی

23 درصد رایانه محل کار

24 درصد تلفن معمولی

10 درصد تلفن همراه

4 درصد کیوسک عمومی (وب کیوسک)
نتایج مهم دیگری از این نظر سنجی بدست آمد که در جذب منابع و مشتری برای بانک‌ها بسیار مهم است:
- 72 درصد از کاربرانی که از اینترنت استفاده می‌کنند، اما از بانکداری الکترونیک استفاده نمی‌نمایند؛ عنوان کردند که اگر امنیت تماس آنلاین بهبود یابد، از بانکداری الکترونیک استفاده می‌نمایند.

- 90 درصد از کسانی که از بانکداری الکترونیک استفاده می‌کنند عنوان کردند که اگر امنیت تماس بیشتر شود، حاضرند که از خدمات بیشتری به صورت آنلاین بهره برداری کنند.

- 65 درصد از افراد، به میزان امنیت تماس آنلاین بانک مربوطه جهت انتخاب بانک دقت کرده‌اند.

- 22 درصد از افرادی که در بانکی حساب دارند، اگر بانک دیگری میزان امنیت بیشتری را تامین کند؛ حاضرند که بانک خود را عوض نمایند.
سادگی روش جدول رمز، آنرا بر دیگر روش‌ها برتری می‌دهد. نگهداری آن بسیار ساده بوده و اکثریت کاربران استفاده از آنرا بسیار راحت توصیف می‌کردند در حالی که از امنیت بالایی نیز در تماس آنلاین و انتقال پول برخوردار بودند. اگر چند بار بطور تصادفی در یک نشست از جدول استفاده نماییم، بر نفوذ "کسی در بین راه" نیز فایق می‌آییم.
یکی از مزایای مهم آن دارا بودن هزینه کم برای صادر کننده است. اگر از حق لیسانس آن بگذریم، قیمت صدور کارت آن بسیار کم بوده و کمتر از 500 ریال تمام خواهد شد. برای مصرف کننده خارجی اگر به تعداد زیاد استفاده نماید، کمتر از یک دلار هزینه خواهد داشت. هزینه سایت مرکزی نیز با توجه به سادگی کار بسیار کم است.
برای یک سال، روش شرکت انتراست 7 برابر توکن آر.اس.ای و برای 3 سال بیش از 8 برابر صرفه جویی مالی دارد. قیمت گذاری محصول شرکت به نام آیدنتیتی گارد (IdentityGuard) با احتساب هزینه برای هر کاربر، سرور، تولید کارت و پشتیبانی است. قیمت گذاری محصول آر.اس.ای با احتساب قیمت توکن، لیسانس نرم افزار مدیریت و پشتیبانی است.

منبع : ماهنامه راه راست