Information Security Academy

The Importance of Information Systems Security

2012-04-09T22:50:00.000+03:00

The Importance of Information Systems Security

Critical Trends in Application Security

2012-04-09T22:48:00.000+03:00

Critical Trends in Applications Security

2012-02-08T10:44:00.000+02:00

BCM Flyer

View more presentations from Aladdin Dandis

Final BC and DR Tips

2012-02-06T10:01:00.000+02:00

Module 5 Final BC and DR Tips Draft 0.7

Building Trust Attributes in e-Transactions

2011-10-19T12:52:00.001+02:00

Building Trust Attributes in E-Transactions -

تعريب أمن المعلومات

2010-04-17T23:52:00.000+03:00

تعريب أمن وتقنية المعلومات

علاء الدين دنيس

ضابط تدقيق أمن المعلومات

برنامج الحكومة الإلكترنية الأردنية

مقدمة

على الرغم من التطور الهائل في علوم أمن وتقنية المعلومات، ومع الزيادة الكبيرة في عدد الحاصلين على الشهادات العلمية والمهنية في مجالات أمن المعلومات من الناطقين بالعربية، إلا أن الفجوة لا تزال كبيرة بين احتفاظ النخب العلمية فقط من خبراء أمن المعلومات العرب بالمعارف والمهارات المتقدمة في هذا القطاع الهام من العلوم، ولا تزال القاعدة العامة من طلاب المدارس والجامعات من الذين لهم علاقة وثيقة بأمن المعلومات كتخصص مهني على جهل وتأخر واسعين في المستويات المتقدمة والجديدة في مثل هذه العلوم. وحيث أن العلم يجب أن يكون متاحاً للجميع، فإن تعريب هذه العلوم أضحى من الوسائل الهامة لتقديم هذه المعارف والمهارات لأكبر شريحة ممكنة من الناطقين بالعربية.

لماذا التعريب؟

لن نخوض هنا في قضية جدلية تعنى بأهمية التعريب أو الترجمة، أو النقاش والصراع بين فئة الانفتاح أو الانغلاق، أو نموذج الاحتكار العلمي والمهني للمعلومة وتطبيقاتها، ولكننا سنناقش نقطة تتعلق بالغاية من ذلك، والأهداف المرجوة من تعريب العلوم والشهادات العلمية والمهنية المتخصصة في أمن المعلومات.

إن اللغة وسيلة لنقل الأفكار والمشاعر والمعارف، وهي وسيلة التعبير عن مكنونات النفس البشرية، وهي بهذا وسيلة لتسهيل التخاطب والحوار، وإيصال المعلومات بأسهل وأسرع الطرق من المتكلم إلى السامع. واللغات كثيرة، منها المشهور ومنها المقهور. وعليه، فإن تعلم اللغات هام جدا لفهم الآخرين. وقد وصل التنوع والتخصص في اللغات حدا أبرز فئة من الناس يعملون دأباً في الترجمة، يقتاتون على بذل مجهوداتهم العلمية والفكرية في تسهيل عملية نقل الأفكار بين جهة وأخرى تختلف عنها لغة ولساناً، مما جعلهم في مرتبة مرموقة بين الناس، ويستحقون على عملهم هذا المال والامتيازات الكثيرة.

وعند الحديث عن تعريب العلوم، وخاصة في العلوم التقنية والأمنية، فإننا نهدف في ذلك إلى عدد هام من الأهداف، قد تتشابه أو تختلف مع تعريب غيرها من العلوم:

إن التعريب يقلص الوقت اللازم لفهم الكتب والأبحاث والمنشورات العلمية، مما يزيد من إنتاجية القراء والباحثين إلى الضعف أو أكثر.
يوسع التعريب قاعدة المستفيدين من المعلومة من فئة الخبراء والمختصين إلى فئة العامة والمبتدئين والدراسين، مما يرفع من نسبة الوعي العلمي ويقلل الفجوة اللازمة في التوسع والتقدم في هذا العلم أو ذاك.
يزيد التعريب مننسبة المحتوى العلمي العربي على الإنترنت، ويوسع من دائرة انتشار المعلومات من المشتركين المجلات العلمية الأجنبية المتخصصة، إلى فئات أوسع من غير المشتركين، مما يساهم في نشر التنمية.
لا يزال المحتوى العلمي العربي على الإنترنت وغيره مقصوراً على المساهمات الفردية البسيطة والأولية في العلوم، فيما لا يزال خبراء أمن وتقنية المعلومات العرب يحتفظون بالمعلومات الأحدث والأكثر تقدماً. ولهذا، فإن نقل هذه المعارف والمهارات من اللغات الأجنبية عن طريق هؤلاء الخبراء (إن أخلصوا النوايا) سيعود بالنفع الكبير على المختصين وغير المختصين حسب حاجة كل منهم لهذه المعلومات والمعارف، مما يحد من ظاهرة (اجترار المعلومات القديمة والسهلة والمتعارف عليها)، ويفرز ظاهرة جديدة من إبراز كل جديد وحديث بقالب علمي عربي ميسور.

التعريب والبعد الاقتصادي

سنتحدث هنا عن بعد جديد للتعريب، خاصة في علوم أمن وتقنية المعلومات، وهو ما يتعلق بالشهادات العلمية. وقبل الحديث عن ذلك، لا بد من التأكيد على أهمية النظر إلى البعد الاقتصادي لتعريب الشهادات العلمية، وإقامة المعاهد والمؤسسات العلمية العربية التي ترعى مثل هذه الشهادات، ويكون لها صفة الاعتماد التي تكفل لحاملي هذه الشهادات الامتيازات نفسها التي يحصل عليها حاملو هذه الشهادات ولكن من جهات أجنبية معتمدة.
هناك عدة أنواع من الشهادات العلمية التي يحصل عليها المتخصصون في مجال أمن وتقنية المعلومات:

الشهادات الأكاديمية من جامعات وكليات ومعاهد أكاديمية: مثل شهادات الماجستير والدكتوراة، والدبلوم العالي في تخصصات الحاسوب والإدارة المعلوماتية، وأمن المعلومات، وأنظمة المعلومات الإدارية والحاسوبية، وهندسة الحاسبات وهندسة الإلكترونيات وغيرها. إن الواقع المرير يفرض على من يريد التقدم في هذه العلوم أن يأخذ العلم من بابه ومظانه، وللأسف، فإن مفاتح هذه العلوم في أيدي غير العرب، لوجود الإمكانات العلمية والبحثية العلمية التي لا تتوافر في البيئات العلمية والأكاديمية العربية.
الشهادات المهنية من المنظمات العلمية المتخصصة، سواء أكانت ربحية أو غير ربحية: وهنا أذكر على سبيل المثال لا الحصر، شهادات الـ ISO، والشهادات الصادرة عن جمعيات عالمية مرموقة مثل IEEE, ACM, ISACA, ISC2 وغيرها. إن شهادات الاحتراف الصادرة عن هذه الجهات معتمدة بلا منازع، شاء من شاء وأبى من أبى، ولكن المشكلة، هي أن رسوم هذه الامتحانات والشهادات، وفتح فروع واشتراكات سنوية لمثل هذه الجهات، يسحب الأموال من البلدان العربية إلى الخارج، في الوقت الذي يمكن فيه أن تقام جمعيات علمية عربية، من نفس القائمين على فروع هذه الجهات في البلدان العربية، لتعريب المواد العلمية المنبثقة عن مثل هذه الجهات، وتقديمها بما يتفق واحتياجات وظروف بيئاتنا العربية، على أن تبقى الأموال المدفوعة ضمن الحدود العربية، وبأسعار مناسبة لطبيعة وظروف شعوبنا العربية، دون مبالغة في الرسوم، أو تقصير في معايير اعتماد المحترفين فيها، أو المادة العلمية المقدمة من خلالها.
الشهادات المهنية التخصصية الصادرة عن شركات أمن وتقنية المعلومات العالمية: وهنا نذكر على سبيل المثال لا الحصر، شهادات CISCO, Microsoft, Oracle, IBM, EMC2, Trend Macro, ComputIA, وغيرها. وهنا يصعب تقديم حل اقتصادي يتعدى أن تكون المادة العلمية والامتحانات باللغة العربية، كلغة رسمية يتحدث بها ما يقرب من 400 مليون إنسان. وقد يفاجأ القارئ إن علم أن بعض هذه الشهادات، من الفئة الثانية أو الثالثة، يتم تقديم مواده العلمية واختباراته بلغة لا يتعدى المتحدثون بها في العالم أجمع أكثر من عشرة ملايين إنسان، وهي اللغة العبرية! أو أكثر قليلاً كاللغة الهولندية! أليس من الأوجب أن يتم احترام أمة تحترم لغتها وتقدمها على غيرها؟ وهل هذا ينقص من قدر المتحدث بها، أو يقلل من إمكانيات فهمه أو تحدثه بلغات أجنبية أخرى؟

إن التعريب سيؤدي لقيام هيئات وجهات عربية معتمدة تقوم على منح الشهادات الاحترافية والتخصصية للعرب الذين يريدون التميز، وهذا ليس ببعيد في عالم منفتح، سيؤدي لتوفير الأموال والجهود والأوقات، وتوظيفها في عجلة التنمية في البلدان العربية.

كيف نبدأ؟

لعل الإجابة على هذا السؤال لا تتم في مقالة ولا اثنتين، ولا في حلقة حوارية تلفازية، ولا تحتاج كذلك إلى عقد مؤتمرات قمة عربية تهدر الأموال في كلام ونقاش بطيء الثمرة. ولكن من الضروري الإشارة إلى بعض الملامح العامة لاستراتيجية التعريب فيما يخص علوم أمن وتقنية المعلومات، حتى لا تتسع دائرة الحوار، على أنه من الضروري أن يتم تنفيذ هذه الاستراتيجية ضمن استراتيجية تعريب شاملة تشمل العلوم كافة:

أشر المهندس غانم في مدونة خاصة له عن اللغة العربية والتعريب إلى أهيمة قيام طلاب الجامعات (ضمن مشاريع تخرجهم) بترجمة مقال حديث أو كتاب متخصص في الفرع العلمي الذي يتخصص فيه الطالب، كون الطالب المتخصص أولى بهذا الجهد من غيره، وكونه يستطيع وضع المعنى الصحيح للمصطلحات والمعاني المذكورة في النصوص العلمية للأبحاث والمقالات والكتب العلمية، وذلك بجهد منسق مع الطلاب والعاملين في مجال الترجمة، مما يتيح إدرار المعارف المختلقة باللغة العربية بشكل متسارع وكبير. ناهيك عما سيؤدي به هذا العمل إلى تثبيت المعلومات في أذهان الطلاب المترجمين، وتمكينهم من تداولها بين أبناء لغة الضاد بمنتهى اليسر والسهولة، ويغنينا عن ثقافة الـ "عربيزي" أو الـ "عربنسي"!
على الحكومات والهيئات الثقافية تشجيع التعريب، والنظر إليه كعمل مقدس وكواجب تجاه أمة القرآن الكريم، وتجاه الطلاب والدارسين والباحثين والقراء على حد سواء. إن منح الجوائز وعقد المسابقات وتحفيز الطلاب والباحثين على الإبداع وترجمة وتعريب العلوم إلى اللغة العربية له أثر وعائد كبيران على الاقتصاد والعلم معاً.
ومن أهم القضايا التي تساعد في نشر وتعريب العلوم: استخدام البرمجيات المتخصصة، واستقطاب وتطوير الأدوات والخدمات الإلكترونية التي تساعد في تعريب ونشر المصطلحات، مثل خدمات الـ"ويكي"، والتي استطاعت فتح كنوز من العلوم والمعارف على الباحثين، على ما يعتري ذلك من تحفظات في جودة وصحة المواد المنشورة، والتي تعتمد بشكل أساسي على الجهود التعاونية التي يقوم بها المختصون في تصحيح وتهذيب هذه المعارف.

الخاتمة

إن تعريب علوم أمن وتقنية المعلومات سيساهم في نشر المعارف المتقدمة في هذه الحقول بشكل أكبر خارج مستوى المتخصصين، وسيساهم في محو الأمية التقنية والأمنية والمعلوماتية بشكل أكبر، كما سيساهم في التنمية ودعم اقتصاديات الدول العربية، من خلال توفير الأموال التي تنفق لتحقيق خبرات معينة تنغلق على أصحابها، دون نقلها ونشرها بين العامة، كما أن تطبيق خطوات عملية سهلة وبسيطة، سيساهم في إنجاز هذه الرؤية والأهداف المرجوة منها بشكل أسرع، خاصة بعد انتشار تقنيات المعلومات والاتصالات. ونذكر هنا قوله صلى الله عليه وسلم: "من كتم علماً، ألجمه الله بلجام من نار يوم القيامة".

2010-04-06T11:21:00.000+03:00

أمن المعلومات... والبنية التحتية الحرجة على المستوى الوطني

بقلم

علاء الدين دنديس

ضابط تدقيق أمن المعلومات/ برنامج الحكومة الإلكترونية الأردنية

1 مقدمة

في الوقت الذي تتصاعد فيه استخدامات تقنيات المعلومات في القطاعات المختلفة في دول العالم، تتصاعد المخاوف من استغلال هذه التقنيات للوصول إلى المعلومات الحساسة في هذه القطاعات، مما يترتب عليه مخاطر جمة تؤثر سلباً على الاقتصاديات الوطنية والقرارات السياسية لهذه الدول، وتهدد طبيعة العلاقات بينها وبين الدول الأخرى، ويرى الخبراء أن هذه المخاطر بدأت تتحول إلى كوارث حقيقية تؤثر على الحكومات والمجتمعات لحملها على تبني مواقف معينة، أو الرضوخ لمطالب أنظمة دكتاتورية وجهات إرهابية تشكل خطراً على الأمن العالمي. وحيث أن قطاع تكنولوجيا المعلومات والاتصالات هو القطاع الذي يتم من خلاله التواصل بين القطاعات المختلفة والدول والحكومات والمجتمعات، فإن أثر هذه التهديدات على هذا القطاع وغيره يمكن أن يؤثر على الأمن الوطني برمته.

2 البنية التحتية الحرجة

يطلق هذا المصطلح على الوظائف الخدمية الأساسية التي تعد العمود الفقري لقيام الحكومة بأعمالها ومهامها، ولنمو قنوات الاقتصاد، وتحتوي وسائل الاتصال، وأنظمة المعلومات الحكومية الحرجة مثل الحكومة الإلكترونية، وشبكات استخراج ونقل المياه والصرف الصحي، وشبكات الطرق والنقل وتوليد الطاقة الكهربائية، والطاقة والبترول والغاز، والأنظمة المالية والبنكية، وخدمات الصحة والطوارئ.

إن تعرض واحد من هذه الأنظمة للقرصنة أو إيقاف الخدمة، سيؤدي إلى شلل كبير يتناسب مع حجم الرقعة المكانية والزمانية لهذا التهديد، وطبيعة الجهات التي تتأثر به. فعلى سبيل المثال، تعرضت الحكومة الإلكترونية في جمهورية إستونيا إلى هجوم منع الخدمة من قبل مجموعة من القراصنة الروس، أدى إلى شلل كامل للخدمات الحكومية والمالية في الجمهورية لمدة شهر في عام 2007، كما تشير التقارير إلى أن السبب الرئيس في تعرض بعض محطات توليد الطاقة الكهربائية في بعض بلدان العالم للانقطاع يعود لأسباب تتعلق بقرصنة أنظمتها المعلوماتية وأنظمة التحكم والسيطرة التي تتبع لها.

3 طرق القرصنة

تتعدد الطرق التي تستطيع بها الجهات التخريبية قرصنة مثل هذه الأنظمة، مثل استخدام شبكة الإنترنت، واستخدام الفيروسات والديدان والبرامج الخبيثة التي تؤدي لفتح قنوات اتصال سرية بين هذه الجهات وبين هذه الأنظمة، مما يسهل على هذه الجهات التحكم بهذه الأنظمة والسيطرة عليها لتحقيق الأهداف التي تطمح إليها. كما أن بعض هذه الفيروسات تعمل على التأثير على هذه المعلومات والعمليات الموجودة في هذه الأنظمة، مثل فصل الخدمة عن بعض شبكات نقل الكهرباء، أو أنظمة المرور، أو الاتصالات الخلوية، أو سرقة البيانات الخاصة بمشتركي هذه الخدمات، أو تغييرها والتلاعب بالحسابات والفواتير والأرقام المصرفية، ونقل الأموال من حسابات المواطنين إلى حسابات تتبع هذه الجهات التخريبية. وقد يصل الأمر في بعض الأحيان إلى قرصنة أنظمة الدفاع والجيش، أو أنظمة التحكم بالقطارات والنقل الجوي في المطارات، وتغيير مسار الرحلات أو إعطاء بيانات خاطئة عن أماكن إقلاعها أو هبوطها، مما يساهم في تسهيل عمليات اختطافها أو فقدانها أو تحطمها. كما تتزايد المخاوف من احتمال القراصنة اختراق أنظمة التسليح والمفاعلات النووية وأنظمة الدفاع.

4 أنواع القراصنة

إن هذه الجهات التخريبية تتعدد في أنواعها اعتماداً على الأهداف التي تطمح إلى تحقيقها:

1. عصابات الجريمة المنظمة: انتقلت الجريمة المنظمة أو المافيا التي تتاجر عادة في السلاح والمخدرات والرقيق والتهريب من مستوى العمل ضمن منطقة جغرافية محدودة، إلى العمل على مستوى عالمي؛ فقد أصبحت هذه العصابات تهاجم مواقع الإنترنت الخاصة بالشركات والمؤسسات المختلفة وأنظمتها المعلوماتية بدافع الابتزاز وتحصيل الأموال، أو غسيل الأموال، أو ضرب هذه المؤسسات لصالح مؤسسات منافسة لها مقابل أجر معلوم. والغريب أن هذه الظاهرة قد أصبحت معلنة على الإنترنت، حيث تعلن هذه العصابات عن طرق الاتصال بها عن طريق مجموعات خاصة أو منتديات، أو البريد الإلكتروني، أو عن طريق شبكات التواصل الاجتماعي مثل الفيس بوك وتويتر، أو من خلال شبكات الإعلام الاجتماعي مثل اليوتيوب، بحيث يتواصل معها من يريد استخدام هذه العصابات لأداء مطامع معينة اتجاه جهات منافسة لتقويضها، مقابل مبالغ مالية قد تكون كبيرة في بعض الأحيان.

2. المنظمات الإرهابية: على الرغم من الإعلان العالمي الحرب العالمية على الإرهاب بواسطة الوسائل الاستخباراتية والعسكرية، فإن هذه المنظمات أصبحت تتواصل مع أعضائها، أو تجند المزيد من العاملين فيها، أو تنشر أفكارها من خلال الوسائل الإلكترونية. كما أنها رقيت في أسلوب تعاملها مع خصومها من التفجيرات والاغتيالات السياسية والاختطاف، إلى مهاجمة مواقع الإنترنت وأنظمة المعلومات التابعة لخصوم هذه المنظمات، بهدف زعزعة أمن واستقرار هذه المواقع والأنظمة. وقد تكون الدوافع التي تتحرك بها هذه المنظمات سياسية أو دينية أو أيدولوجية.

3. التنظيمات التابعة للحكومات: لعل أبرز وأحدث هذه التنظيمات هو ما حدث في شهر يناير من هذا العام 2010، عندما اخترقت مجموعات مجهولة من القراصنة الصينيين مواقع وأنظمة معلوماتية تابعة لشركة جوجل، بالإضافة إلى شركات أمريكية أخرى، مما أثر على العلاقات بين البلدين. إن مثل هذه التنظيمات تكون مدعومة عادة من الحكومات بهدف مهاجمة حكومات أخرى أو مؤسسات أخرى معادية لها.

4. القراصنة اليائسون: وهم فئة من الموظفين تريد الانتقام من المؤسسات التي يعملون فيها لخلافات أو قرارات أو ظروف عمل قد يعتبرونها من وجهة نظرهم جائرة، أو طلاب مدرسة أو كلية أو جامعية قد يئسوا من التعليم أو إثبات النفس بالطرق السوية والجد والمثابرة، وقد يكونون من الذين وقعت بحقهم عقوبات تأديبية يريدون الانتقام لأنفسهم منها، أو سرقة أسئلة اختبارات أو تغيير علاماتهم أو علامات غيرهم من المتفوقين والمنافسين. وتعد هذه الفئات من القراصنة خطرة من بابين: أحدهما أنها أصلاً مسموح لها بالدخول إلى أنظمة المعلومات الداخلية في المؤسسات التي ينتمون إليها، والآخر أنها تريد التخريب المقصود بمجرد حصولهم على برامج أو أدوات أو فيروسات مدمرة، مما يشكل دماراً يصعب تلافيه لاحقاً، بخلاف القرصان المتمرس الذي يعلم كيف يخترق، ويسرق ويهرب دون التأثير على النظام!

5. المجموعة الأخيرة هم فئة من القراصنة الذين كل همهم إثبات وإظهار قدراتهم الفنية في قرصنة المواقع المختلفة، ضمن ما يشبه المسابقات بين هذه المجموعات. وهؤلاء لا يهمهم المال ولا الانتقام، وإنما إثبات الذات فحسب.

5 طرق التصدي للتهديدات على البنية التحتية الحرجة

لا بد لأي دولة ناجحة أن تطور وتتبنى تطبيق استراتيجية وطنية شاملة لأمن المعلومات، تشترك في وضعها القطاعات الحيوية الممثلة للبنية التحتية الحرجة للدولة، بهدف حماية أنظمة المعلومات الوطنية من أية تهديدات تواجهها. ومن الضروري أن تشتمل هذه الاستراتيجية على العناصر الرئيسية التالية:

1. تحديد الأنظمة المعلوماتية الحرجة التي يجب حمايتها من ضمن مؤسسات البنية التحتية الحرجة في الدولة، وتحديد درجة التأثير السلبي لكل منها على الدولة ككل عند نجاح المخاطر التي تتهددها.

2. إيجاد بنية قانونية ملائمة يتم من خلالها فرض تطبيق الاستراتيجية الأمنية ومراقبة تطبيقها في القطاعات الحيوية التي يمكن أن تضر على الأمن الوطني، ويجب أن تضع هذه البنية في الحسبان تطبيق سياسات ومعايير أمن المعلومات، والتدقيق على تنفيذ هذه السياسات والمعايير، ومحاسبة المقصر حسب تقصيره، وحماية البيانات الحساسة والبيانات الشخصية، وتصنيف هذه البيانات حسب درجة حساسيتها لمعرفة السبل المثلى لإدارتها وحمايتها، وتجريم الأفعال التي من شأنها الإضرار بأنظمة المعلومات الوطنية أو تلك التي تؤثر على القطاعات الحيوية في الدولة.

3. إيجاد جهة مرجعية تشرف على تنفيذ السياسات والاستراتيجيات والمعايير ذات العلاقة بأمن المعلومات، وتحديد العلاقات بينها وبين الجهات الأمنية والقضائية، والقطاعات الحيوية في المملكة لضمان شمولية إشرافها.

4. زيادة مستوى التعاون الدولي بين الدول لحماية البنى التحتية الحرجة التي تحتويها، والمشاركة في الاتفاقيات الدولية بهذا الشأن.

5. تدشين برامج وطنية للتوعية بأمن المعلومات، وأهمية حماية المعلومات والبيانات التي تؤثر على المستقبل السياسي والاقتصادي والأمني للدولة، وتشجيع ودعم الدراسات والأبحاث والبرامج التي تساهم في رفع سوية الخطط الأمنية المطبقة.

6. وضع الآليات التي يجب اتباعها عند وقوع قرصنة أدى إلى سقوط واحد أو أكثر من أنظمة البنية التحتية الحرجة للدولة، وكيفية التنسيق بين المؤسسات والجهات المعنية لتقليل هذا التأثير ما أمكن، ووضع الخطط البديلة التي تضمن استمرارية تقديم هذه الخدمات بقدر الإمكان.

7. الوقاية خير من العلاج: لا بد من معالجة الدوافع التي تحمل القراصنة على فعل مثل هذه الأعمال، وبالتالي فإن على الدول فهم استيعاب خصومها، وفتح قنوات الحوار بينها وبين هذه المجموعات أو الفئات، وتحسين الخدمات المقدمة لشعوبها، والرقي بالمستوى الفكري والديني والحضاري والثقافي لأبنائها، مما يساعد في الحد من المشاعر العدائية ضد الحكومات أو المؤسسات الخاصة والعامة.

6 الخلاصة

إن الأمن الوطني يعتمد بشكل كبير على المستوى الأمني المطبق في البنية التحتية الحرجة للدولة، ولا بد من حماية أنظمة المعلومات التي تدير هذه البنية التحتية منعاً لأية مشاكل يمكن أن تتسبب بها جهات وأفراد يريدون الإضرار بالدولة، ويمكن أن تسبب أذىً كبيراً للشعوب والحكومات على حد سواء. والجدير بالذكر أن تطوير وتطبيق إطار عمل وطني متكامل بين القطاعات الحيوية في الدولة يساعد في إبعاد هذه التهديدات والمخاوف، أو يقلل من الآثار السلبية التي يمكن أن تترتب على وقوع هذه التهديدات والمخاوف، وتحقيق الأطماع التي وجدت من أجلها.

2008-10-12T22:20:00.000+02:00

Top 10 Laws of Security

By

Aladdin T. Dandis
Information Security Compliance Officer
Jordan eGovernment Program

Abstract

It is very important to realize and understand the laws of security, by which all sectors in an enterprise or government can empower security within their perimeters. The higher understanding of this laws, the better security implementation is realized. These laws can be applied in each business field or any business environment. Such laws can be implemented in any degree of simplicity or complexity. Therefore, it is important to understand the environment deeply before reflecting such laws, in order to meet security goals aimed by the owners.

1 Introduction

It is proven that analysis of a system the key factor for successful management. These systems are collection of functional and non-functional components that work inherently to meet the strategic objectives of the enterprise. For that, it is important to control relations and processes among such components. Without providing an acceptable security level, all of these components are facing various risks. These risks are hard to be migrated to an acceptable level without good security management. This paper is aimed to urge the top 10 laws of security in any system. Each of which should work with collaboration of the others to gain sustainable framework and robust integration to secure the enterprise.

2 First Law: Security is a process, not a product

This law is the conclusion of Bruce Scheiner’s well known book “Secrets and Lies”. It is predicted result the should be taken as the first law. Most of decision makers handle with security as being a product that is more powerful and competent to use with other products. Therefore, technology is the real driver of such people, and they are following technology updates for anti-malware, IDSs, Firewalls…etc. Such idea about security minimizes the efforts of correct security implementation, causing end users to neglect their responsibility on securing their environments.

For that, Bruce emphasizes on this law to extend our view to security to cover managerial and administrative process to take its right place to enforce and strengthen level of security in the perimeters, throwing part of the responsibility on managers and end users in security. This can be realized using Information Security Policies, Standards, Guidelines and Procedures, in addition to applying suitable and effective level of awareness to deal with information assets in a healthy way.

3 Second Law: Security is must-to-have, not better-to-have decision

In the past, security was not matured to be essential since the number of technology specialists was low, and easy to be known. Therefore, most applications were using minimal security measures, and sometimes optionally, to deal with the systems effectively and to keep performance high. Nowadays, technology provided us with high performance machines that can overcome such obstacle. In addition, “specialists” in security and technology are increased more and more as time goes ahead. This should raise security from “optionality” to “enforceability”. Number of hackers, whether they are white, black or gray. The more seriously management treats security, the more security level will be gained.

4 Third Law: Security is built from the Core, not on the Edge

As a complementary to the second law, security should be applied step by step as we build the system, from requirements to analysis to design to implementation up to termination stage. Most security vendors apply their measures in the boundaries of the system, forgetting that relations among information assets and employees their selves are more dangerous. For example, applying security measures such as firewalls on a system and giving the permission to any employee the choice and capability to bypass them or configuring them, this will compromise security within this enterprise. Therefore, separation of duties principle is important to determine the roles for each employee and the permissions that should be given to him before the system is built.

5 Fourth Law: Understanding the business is the most crucial factor to a successful security level

Understanding the system will simplify the way of analyzing vulnerabilities and relevant threats that have the ability to exploit these vulnerabilities. Moreover, understanding the system will simplify the way to architect security. The better understanding of the system, the better security design and implementation can be realized. However, a lot of environments now are studied by security experts in collaboration with system analysts to understand and secure these environments correctly and from higher and more points of views.

6 Fifth Law: Security awareness is the most cost-effective security measure

Surveys on security measures proved that security problems come from internal users. As a result, companies are reforming their views to security from being just technical to extended views such as awareness and investment in security people. Security awareness is a low cost security measure, but it is very effective for the discussions and conversations that are conducted among employees to share their experience and knowledge.

Security awareness helps people to deal with information assets geniusly, and to increase level of security from practical point of view.

7 Sixth Law: Without updating security periodically, security is out of date

This law is compliant with the first law. Security level is considered “High” if security measures are maintained and increased periodically. This should be part of applied security policy in the enterprise. Most of security officers are interested in installing new security software and hardware, including IDSs, IPSs, Firewalls, anti-malware, monitoring tools…etc, without giving special care to updates and support. Moreover, security officers should update their knowledge about security measures and security attacks, including new trends and methodologies of attacks and security. This will harden the systems as security professionals remain professionals all the time. Research, training, reading, listening and attending security materials, courses, webcasts, conferences and workshops are some resources of knowledge updates. Security professionals are posting specialized blogs on the web to discuss new trends and problems in security era. Some programmers, specially in open source community, provides updates and tools to fix security problems under various platforms. This will support the level of security and enhance administrators and security officers’ capabilities to treat security problems and design suitable remedies to them.

8 Seventh Law: Trust is a result of security

Trust is the ultimate goal of security. Without trust, interactions and transactions are suspicious. In e-commerce and e-government contexts, trust is the main pillar of successful implementation and usage. This level of high security is provided using high security standards and policies. The more success in implementation of these policies and standards, the more security level is provided, and them more trusted transactions can be realized. Information security assurance is that part of security that emphasizes on this feature. It supports security using proactive measures to meet the level of trust aimed by the enterprise. These measures should support CIA triplet: Confidentiality, Integrity and Availability. Encryption, Business Continuity, Information Security Governance and Compliance are some examples of security projects that support trust.

9 Eighth Law: Security is the responsibility of everyone

Most of managers and employees believe that security is the responsibility of security officers. This is a big mistaken belief. As mentioned in the fifth law above, awareness is the most important security measure. Hence, no people urge that security is the responsibility of each employee and manager within the boundaries and perimeter of the enterprise. This fact doesn’t mean that everyone should know everything about security, but it means that security officers have their role in analyzing, architecting, implementing, testing, maintaining and managing security according to published policies and standards, where others should follow security policies and standards, and using available security controls, in addition to handling information assets with the expected level of awareness.

10 Ninth Law: Security is not just technical issues

Reference to the first law and eighth law, security is not a just a technical issue. Security is a mixture of political, economic, socio-cultural, managerial, legal and technical issues and factors. The right security implementation should cover these issues. Therefore, security management have to communicate roles from different departments to gain the right recommendations and feedback to security.

Political issues should deal with external relationships with other countries and information exchange. Economic issues cover risks and revenue of security implementation. Legal issues include laws and regulations affects or can be affected by information security management and practices. Management issues include polices, standards, separation of duties and business continuity program. The last dimension is socio-cultural issues which determine factors and consequences of information security on social and cultural life of employees and other stakeholders. Finally, it is clear that technological issues are important, specially in our networked world.

11 Tenth Law: Security, Privacy and Transparancy should be managed carefully

Most of people are looking for security from confidentiality prospective. Security is rather about integrity and availability also. Privacy is about tracking and monitoring the identity, collecting information that is NOT confidential, but private. In information age, and under the refection of social responsibility and democracy, information should be disclosed to community as much as possible, this means that not all information are confidential or private. In this prospective, integrity and availability should be considered as well. Some managers, politicians or business owners try to hide information of public sensitivity level to take over their "kingdoms". As a result, most of those who leave their "kingdoms" lately will disclose OR enforced to diclose these information for legal accountability and investigations.

Informatino should be kept public as much as possible, taking integrity and availability as "better to have" choice, if no privacy or confidentiality requirement is needed.

12 Conclusions

Security is culture. No body can claim that he is secured 100%. More efforts should be paied to protect information assets of the entity and ensure its integrity. Business is built on Trust, and no trust without security. It is important to notice the great effect of human being due care and due deligence as crucial factors to practice security awareness. It is very important to cover security issues periodically to ensure no vulnerabilities stand out their. Finally, management, employees, teachers, students, doctors, family... etc should work together under pre-defined rules and strategic security objectives to secure their communities and environments.

Web 2.0 , Information Security and Privacy

2008-10-04T22:16:00.000+03:00

Abstract

Since Web 2.0 culture raised to the surface by its own intrensic attraction and gravity, new trends of threats appear to attack this attractive picture to meet some dangerous goals for those attackers. Most of these threats origionates on Fraud, Social Engineering, Spywares and others. This essay illustrates the most important threats for Web 2.0

Introduction

Most of us use internet to gather information about something, or to interact others for some commercial, educations, social, political or any other beneficial activities for us and others. This internet community was supposed to arise in a way that everybody can make advantage from and for everbody. This culture was enforced by the tools by which Web 2.0 was featured with year by year, such as Wikies, Blogs, Social Networking...etc.

The most important problem for Web 2.0 is that everybody wants to announce hiself/herself to web community, selling and marketing ideas for others to get some advantages, wheather they are financial or reputative. This led to publish information for others for free, and gave others the opportunity to abuse these information for illegal puposes, which will be discussed below in brief.

Social Networking

Some survays claim that more than 250 millions of internet users have account in one or more social networking websites. In fact, this feature allowed for millions of people to get in touch again after years of being away from each other. Most of old friends met without barriers, and people are sharing their events, photos, letters in individual form or groups form. People who are interested in some events, ideas and celebrates are now able to find the groups by which they feel they can be active and interactive to be part of them.

This is the positive and beautifull face.

On the contrary, people are publishing their private information in the cyberspace without guaranteeing their privacy are protected. Even you applied your security measures as putting permissions for those who can access or cannot access your profile, your profile is NOT withing your pocket, and your information could be hacked by some way or another. This fact is clear for people who are aware of security, but not for others. Some studies revealed that search tools that are available within social networking websites can be used for investigative activities. This means that your information and "links" to your friends can be visulized, so your relations and social life can be viewed easily. Some police and intellegence investigators make use of these information in an attempt to capture some crimianls or spies. But attackers are very glad to find repositories provide such valuable information for free!

As a result, some attackers use these information for fraudelent activities, using social engineering methods to collect information from victims, and use identity theft tools to overcome those victims to gain their purposes. Some studies pointed out that sexual harrasments and financial fraud crimes was done againest children and students form both genders. Some was abused for distributing terrorist activities and ideas, and others for political and economical purposes.

Blogs

Freedom is great, and using our rights to be free to talk, read and write is very great thing. But using technology to watch and track people and individulas what they are talking about is some kind of intelligence.

When publishing a blog, people are sharing ideas about something. Some blogs are hot, others are weak. Some bloges appear to be Free Private Websites, whereas others seem to be forums. However, people find it interesting to publish their opinions and ideas freely, which can be studied easily by social, political and commercial institutes to find public opinion about some event, issue or product. Do you thing it is legal? Is it fair to get these information for free without greetings to those "human machines" that are constructing such blogs?

On the other hand, what is the degree ot trust that such information belog to the human who claims to be the owner of this blog? Can you prove that "I (Aladdin Dandis)" is writing these words or I am doing some "Copy-Pasts" activity from copyrighted material?

I think these issues should be addressed and considered before writing such blogs!

Wikies

Here is another problem. A lot of writers urgue about wikies to be source of information. What is criteria that should be followed to make sure that information posted in such wikies are trusted and real? Who is the writer? Is he a specislist or just a human wants to show people that he/she is writing scientifica material?

Wikies are great source of information when restricting and qualifying the writers of them. Some rigid conditions should be followed before and after posting the wiki, to make sure that source and reviewer are eligible to enhance human knowledge in a right way. Without that, any human can post any information, and any reviewer can rate it by any good or excellent mark!

Conclusion

In the end, it is essential to protect our informatino and identity from being abused, since Web 2.0 opens people to a generation of open minds, and if we are not aware how to post and interacte the right people and information, then we are wasting ourselves for cloudious and dark future.

Enhancing National Internet Security

2008-09-12T14:01:00.000+03:00

Abstract

The increasing rate of cyber terrorism and attacks in the cyber space should balance the efforts needed to adhere the acceptable level of Internet Security on the national level. These efforts should be coordinated under the information security strategy of the nation before getting to practice it using technical security measures. This strategy should include all the major stakeholders of internet in the nation, including Government, Business, Academic Institutions and the individuals. Each of those components should collaborate the national efforts to the required level of acceptance to secure Internet. For the ultimate level, these efforts should be harmonized with the international efforts considering Internet Security.

1. Introduction

Internet is considered now one of the most used technologies to transfer and exchange information throughout the world, and the number of internet users increases very fast day by day. The major usage of internet is to transfer and obtain information, e-commerce, email and download software and books. But as technology goes ahead, another services are now provided through internet, including VoIP, Content Delivery, Teleconferencing, TV on Demand…etc. The need for eGovernment Services pushed internet usage to new generation of eservices. But as technology goes ahead, vulnerabilities and attacks increases indeed, putting new interest for information security specialists to cover these issues, specially that internet technology and services are very attractive to users who can be exploited easily with the absence of awareness and legalizations.

The intent of this paper is to explain the concept of Internet Security, and to address the areas by which all internet stakeholders of various sectors can collaborate their efforts to provide the acceptable level of security of this resource.

2. Concept of Internet Security

Internet Security is defined as "the prevention of unauthorized access and/or damage to computer systems via internet access". The most security measures used within this field involve data encryption, which is the translation of data into a form that is unintelligible without a deciphering mechanism, and Passwords, which are secret words or phrases that gives a user access to a particular program or system. (Wikipedia)

3. Components of Internet Security

Internet security is composed of three major components, each of which has its separate way to secure:

1. Infrastructure: which include Communication Lines (cables or fibers), routers, DNS, DHCP, ISPs, Protocols…etc. This part usually dependent on physical matters. Internet infrastructure is usually owned by great corporates or the government itself. For ISPs, the business sector owns some ISPs.

2. Applications: these are the web applications and e-services that are used within the umbrella of Internet. Some applications are commercial such as in e-commerce, some are for education purposes as VoIP, some related to eBanking, eGovernment….etc. Some individuals own some applications as that of FTP sites, buying and selling…etc

3. Content: this is the core of Internet advantages, which related to information itself, including emails, photos, multimedia, e-telephony, books, articles…etc.

For that, Internet is a mixture of physical and logical technologies, hence, internet security professionals should be fluent in the four major aspects: (Wikipedia)

1. Penetration testing: this skill is essential in order to discover the vulnerabilities of systems connected to internet such as extranets, websites, e-commerce applications and banking systems.

2. Intrusion Detection: which used to detect (prevent for Intrusion prevention) how attackers, hackers and any malicious activities are functioning or whether they are within the perimeter of the system. This can be done using some specialized software and tools to analyze the log of internet access on-bound or out-bound the enterprise.

3. Incidence Response: this is the exercise of detection and handling of any incident considering information systems security, such as attacks, DoS, malicious activities, physical destruction, and disruption of systems.

4. Legal / Audit Compliance: which is related to legalization aspects concerning information security as Cyber Crime Law and Privacy and Data Protection Act and other regulations concerning digital certificates and digital signature. In addition, compliance issues are essential in Internet Security, as Information Security Strategies, Policies, Standards, Guidelines and Procedures.

4. Responsibility of Internet Security (Stakeholders)

Internet security is responsibility of each party use it. The basic sectors in any society are mainly four: Government, Business, Academia and Individuals. Now it is the time to explore the role of each sector to secure the Internet.

4.1 Government

The main responsibility of Government is to develop and enforce suitable legalization to secure Internet environment. This includes laws, bylaws, regulations, and information security strategies and policies. Such legalization should cover: e-Transactions Law, Cyber Crime Law, Privacy and Data Protection Act, e-Signature and Certificate Authorities. This suite of laws should provide the suitable accountability methods of enforce these laws and to manage Internet access in a secure manner. ISPs should also be very well regulated to control access to Internet using the suitable security measures.

As per, the role of Government extends further than regulating and accountability, since it should plan and implement suitable National Information Security Awareness Program to identify the weaknesses in using Internet within the borders. In addition, the Government should regulate and control the activities of Computer Emergency Response Teams CERTs to monitor, detect and handle any cyber attack or incident related to the Internet infrastructure in the country.

4.2 Business

The engine of regulations and legalization in any country is to serve business and human beings. The business is a strategic partner to the Government in the globe. This partnership throws charges on the business toward the country. One of these charges is Internet security. The main reason for such charge is that most of our new business uses Internet as a major tool to conduct bargains and simplify marketing. Therefore, the business should collaborate the efforts to secure Internet by the following methods:

1. IT vendors should provide powerful security tools to be used by the Government, Business and other sectors to secure Internet, by purchasing them or developing them locally.

2. Business should make use of these security measures and tools in the correct way, in compliance with the Governmental laws, regulations and policies. Business should conduct IT audits to make sure that their systems are secure enough when using Internet.

3. Business should financing and supporting the efforts of non-profit organizations and research institutes regarding Internet security, which can be motivated by the Government. Such support can be done by building capacity of such organizations and institutes, providing the research and monitoring tools and security measures as supplementary efforts.

4.3 Academic Institutions

This is the scientific part of the story, by which advanced and specialized studies and research can be implemented and conducted to enhance Internet security and discover new types of attacks and vulnerabilities, and providing new innovative solutions to secure Internet. Such institutes can share knowledge with other research institutes in other countries, and conducting experiments on their labs by specialized personnel and researchers. Non-profit organizations regarding internet security should be included within this collaborative efforts. Finally, Academic
institutes are acquired to develop training courses and materials and conducting for a national information security awareness program for other sectors in the country.

4.4 Individuals

Awareness is the most important part that should be practiced by the individuals. If the individual is well aware of Internet security then the largest part of the problem is solved. In addition, individuals are acquired to follow regulations and policies, and make use of suitable security measures when connecting to Internet. He/she should not introduce himself/herself as a hacker for any reason. Awareness is the most powerful tool for this sector.

5. Incorporating of International Responsibility

National efforts cannot get its full advantages without the incorporation of international efforts related to the subject of Internet Security. Such efforts varies in political signature as non-profit organizations, which could be multilateral such as IMPACT Alliance, or to be part of the regional or international organizations such as UN, or that of Academic Institutes as that of International CERT of Carnegie Mellon University. In addition, a lot of international standardization organizations have developed protocols, schemas and frameworks to enhance Internet Security, to secure infrastructure, applications and the content transmitted through Internet.

In addition, there is a commitment between big vendors to optimize security measures when connecting their products to Internet, such as email applications. Some venders who are interested in security tools such as antiviral software and intrusion detection and prevention, provides some free services to Internet globe considering security matters, such as security operations centers, but it is not 100% free services, since they provide these services for free for some limit, not absolutely. However, big venders, usually, provide awareness and training materials and courses for the globe to enhance Internet Security.

6. Conclusions

Internet security is a practice not a theory. Each sector in the country should contribute its efforts to keep internet use secure to the acceptable level. Government, Business, Academic Institutes and even Individuals are acquired within these efforts. The Government will take the regulatory part, Business will take the financial part, Academic Institutes will take the scientific methodology part, and individuals will take the practice. However, if the Government is very
well organized in its vision, regulations, legalization and policies, then other sectors will contribute in the acceptable level to implement these issues for the benefit of Internet Security in the country.