درس‌های حفاظت گفتاری و عملکردی از جنگ جهانی دوم
ایران تهران اندیشکده بهار۱۳۹۹
دکتر مازیارمیر محقق و پژوهشگر
درس نخست
اصل نیاز به دانستن
در عملیات نرماندی،متفقین سیستم اطلاعاتی سخت‌گیرانه‌ای ایجاد کردند که بر اساس آن هر فرد تنها اطلاعاتی را دریافت می‌کرد که برای انجام وظیفه محوله به آن نیاز ضروری داشت. حتی افسران عالی‌رتبه نیز از تمام جزئیات عملیات مطلع نبودند. این سیستم به گونه‌ای طراحی شده بود که اطلاعات بین واحدهای مختلف کاملاً مجزا نگهداری می‌شد. برای مثال، خلبان‌های نیروی هوایی تنها مسیر پرواز خود را می‌دانستند بدون آنکه از نقشه کلی عملیات اطلاع داشته باشند. این رویکرد موجب شد تا در صورت اسیر شدن هر یک از نیروها، دشمن نتواند به اطلاعات کامل عملیات دست پیدا کند.
درس دوم:
سیستم ارتباطی کنترل شده
آلمان‌ها با استفاده از ماشین انیگما نشان دادند که ایجاد سیستم‌های ارتباطی امن و غیرقابل نفوذ تا چه اندازه حیاتی است.در این سیستم سطوح مختلف دسترسی به اطلاعات به دقت تعریف شده بود و نظارت بر تمامی ارتباطات به صورت مستمر انجام می‌گرفت. پیام‌ها تنها از کانال‌های مشخص و با کدهای ویژه مبادله می‌شدند. هر پیام دارای سطوح مختلف طبقه‌بندی بود و تنها افراد مجاز قادر به رمزگشایی آن بودند. این سیستم چنان مؤثر بود که متفقین سال‌ها برای شکستن آن زمان صرف کردند.
درس سوم:
عملیات فریب سیستماتیک
در عملیات محافظ بدن،متفقین نشان دادند که ایجاد اطلاعات غلط سیستماتیک می‌تواند دشمن را به طور کامل گمراه کند. آنها با ساخت داستان‌های متقاعدکننده و هماهنگ، موفق شدند توجه آلمان‌ها را از نقاط اصلی حمله منحرف کنند. برای مثال، با ایجاد ارتش تقلبی مجهز به تانک‌های بادی و تجهیزات جعلی در جنوب انگلیس، این تصور را در دشمن ایجاد کردند که حمله اصلی از طریق کانال مانش صورت خواهد گرفت. این عملیات فریب به گونه‌ای طراحی شده بود که تمامی منابع اطلاعاتی دشمن را هدف قرار می‌داد.
درس چهارم:
نظارت و کنترل رفتاری
در پروژه منهتن،آمریکایی‌ها ثابت کردند که نظارت مستمر بر رفتار پرسنل تا چه اندازه ضروری است. دانشمندان و تکنسین‌های پروژه تحت نظارت ۲۴ ساعته قرار داشتند و تمام ارتباطات آنها کنترل می‌شد. تحلیل الگوهای ارتباطی به شناسایی نقاط ضعف امنیتی کمک می‌کرد و غربالگری امنیتی به صورت مداوم و سیستماتیک انجام می‌گرفت. هرگونه رفتار مشکوک بلافاصله گزارش و پیگیری می‌شد. این سطح از نظارت اگرچه سخت‌گیرانه بود، اما برای موفقیت پروژه حیاتی محسوب می‌شد.
درس پنجم:
انضباط اطلاعاتی سخت‌گیرانه
در تمامی جبهه‌های جنگ ثابت شد که سکوت و خودداری از صحبت‌های غیرضروری می‌تواند جان هزاران نفر را نجات دهد.پرهیز از کنجکاوی بی‌مورد به یک فرهنگ تبدیل شده بود و جریمه‌های سنگین برای تخلفات اطلاعاتی در نظر گرفته می‌شد. برای مثال، اعدام جاسوسان و خائنان به عنوان عبرتی برای دیگران عمل می‌کرد. این انضباط سخت‌گیرانه موجب شده بود که افراد حتی در محیط‌های خصوصی نیز از بحث در مورد مسائل حساس خودداری کنند.
چک لیست مقابله با نشت اطلاعات
مرحله نخست
پیشگیری و آمادگی
ایجاد سیستم طبقه‌بندی اطلاعات بر اساس درجه محرمانگی باید اولین گام باشد.اجرای اصل نیاز به دانستن در تمام سطوح سازمانی ضروری است. آموزش مستمر پرسنل در زمینه حفاظت اطلاعات و نصب سیستم‌های نظارتی پیشرفته از دیگر اقدامات این مرحله است. در این مرحله باید خطرات احتمالی شناسایی و راهکارهای مقابله با آنها طراحی شود.
مرحله دوم
شناسایی و ردیابی
مانیتورینگ مداوم ارتباطات و تحلیل رفتار پرسنل باید به صورت منظم انجام گیرد.بررسی الگوهای غیرعادی در تبادل اطلاعات و استفاده از سیستم‌های هوشمند تشخیص نشت اطلاعات از ابزارهای مهم این مرحله است. در این مرحله باید هرگونه فعالیت غیرعادی بلافاصله شناسایی و گزارش شود.
مرحله سوم
ارزیابی و تحلیل
پس از شناسایی احتمال نشت اطلاعات،باید سطح تهدید به دقت تعیین شود. شناسایی منبع نشت و ارزیابی میزان خسارت وارده از اقدامات کلیدی این مرحله است. تعیین اولویت‌های اقدام بر اساس شدت تهدید نیز در این مرحله انجام می‌گیرد.
مرحله چهارم
پاسخ و مقابله
قطع فوری نشت اطلاعات اولین اقدام این مرحله است.انزوای منبع مشکل و اجرای پروتکل‌های اضطراری باید بلافاصله انجام شود. هماهنگی با واحدهای مرتبط برای مهار تهدید نیز از اهمیت ویژه‌ای برخوردار است. در این مرحله سرعت عمل نقش تعیین‌کننده‌ای دارد.
مرحله پنجم
بازیابی و بهبود
پس از کنترل وضعیت،ترمیم سیستم‌های امنیتی آسیب‌دیده باید آغاز شود. بازبینی و به‌روزرسانی پروتکل‌های امنیتی بر اساس درس‌های آموخته شده ضروری است. آموزش‌های تکمیلی برای پرسنل و مستندسازی کامل رویدادها از دیگر اقدامات این مرحله است. این مرحله تضمین می‌کند که سازمان برای تهدیدات آینده بهتر آماده خواهد بود.
درس ششم
استفاده از زبان‌های رمزی و کدهای ویژه
در جنگ اقیانوس آرام،نیروی دریایی آمریکا از زبان بومی ناواهو به عنوان کد استفاده کرد. این زبان برای ژاپنی‌ها کاملاً ناشناخته بود و ساختار پیچیده‌ای داشت. پیام‌های رمزنگاری شده با این زبان هرگز توسط دشمن شکسته نشد. این روش نشان داد که استفاده از زبان‌ها و کدهای غیرمتعارف می‌تواند امنیت ارتباطات را به میزان قابل توجهی افزایش دهد. حتی امروزه نیز این اصل در سیستم‌های رمزنگاری مدرن کاربرد دارد.
درس هفتم: ایجاد شبکه‌های اطلاعاتی مستقل
در عملیات مقاومت فرانسه،شبکه‌های اطلاعاتی کاملاً مستقل از یکدیگر فعالیت می‌کردند. هر شبکه تنها از وجود خود و شبکه مستقیم بالادستی اطلاع داشت. این ساختار سلولی باعث می‌شد در صورت لو رفتن یک شبکه، دیگر شبکه‌ها مصون بمانند. این روش امروزه در سازمان‌های امنیتی برای حفاظت از منابع اطلاعاتی به کار می‌رود.
درس هشتم: تحلیل و پردازش اطلاعات غلط
سرویس اطلاعاتی بریتانیا با ایجاد سیستم Double Cross نشان داد چگونه می‌توان از جاسوسان دشمن برای انتشار اطلاعات غلط استفاده کرد.آنها تمام جاسوسان آلمانی را شناسایی و سپس آنها را به عوامل دوطرفه تبدیل کردند. این جاسوسان اطلاعات غلطی را در اختیار آلمان‌ها قرار می‌دادند که ظاهرا معتبر بود اما در واقع کاملا حساب شده و گمراه کننده طراحی شده بود.
درس نهم: حفاظت از هویت واقعی عوامل
در عملیات زیرزمینی،هویت واقعی عوامل کاملاً محافظت می‌شد. هر عامل با چندین هویت جعلی فعالیت می‌کرد و تنها یک یا دو نفر از هویت واقعی او اطلاع داشتند. این روش حفاظتی باعث می‌شد حتی در صورت لو رفتن یک هویت، هویت واقعی عامل و شبکه ارتباطی او در امان بماند. این اصل امروزه در حفاظت از منابع اطلاعاتی ارزشمند به کار می‌رود.
درس دهم: انعطاف‌پذیری در روش‌های ارتباطی
شبکه‌های مقاومت نشان دادند که باید همیشه چندین روش ارتباطی جایگزین داشته باشند.هنگامی که یک روش ارتباطی کشف می‌شد، بلافاصله از روش‌های جایگزین استفاده می‌کردند. این انعطاف‌پذیری شامل استفاده از پست عادی، پیام‌های رادیویی، ارتباطات حضوری و روش‌های مخفی دیگر بود. این تنوع در روش‌های ارتباطی، امکان قطع کامل ارتباطات شبکه را برای دشمن بسیار دشوار می‌کرد.
راهکارهای استراتژیک
.توسعه سیستم‌های رمزنگاری
پیاده‌سازی سیستم‌های رمزنگاری پیشرفته برای کلیه ارتباطات داخلی و خارجی باید در اولویت قرار گیرد.استفاده از الگوریتم‌های رمزنگاری چندلایه و به روزرسانی دوره‌ای سیستم‌های رمزنگاری ضروری است. همچنین آموزش پرسنل در زمینه استفاده صحیح از این سیستم‌ها باید به طور مستمر انجام شود.
. ایجاد ساختارهای سازمانی مستقل
طراحی ساختار سازمانی به گونه‌ای که واحدهای مختلف استقلال اطلاعاتی داشته باشند بسیار مهم است.هر واحد تنها باید به اطلاعات ضروری خود دسترسی داشته باشد و ارتباط بین واحدها باید کنترل شده باشد. این ساختار مانع از نشت گسترده اطلاعات در صورت نقض امنیتی در یک بخش می‌شود.
.راه‌اندازی سیستم شناسایی اطلاعات غلط
ایجاد سیستم‌های تشخیص و مقابله با اطلاعات غلط باید در دستور کار قرار گیرد.این سیستم باید قادر به شناسایی حملات اطلاعاتی و انتشار اطلاعات غلط باشد. همچنین باید توانایی تولید اطلاعات غلط کنترل شده برای گمراه کردن رقبا را داشته باشد.
.حفاظت از هویت پرسنل کلیدی
اجرای پروتکل‌های سخت‌گیرانه برای حفاظت از هویت پرسنل کلیدی و منابع اطلاعاتی ضروری است.این شامل محدود کردن دسترسی به اطلاعات هویتی، استفاده از هویت‌های حرفه‌ای و ایجاد لایه‌های حفاظتی حول این افراد می‌باشد.
. ایجاد سیستم‌های ارتباطی جایگزین
طراحی و راه‌اندازی چندین سیستم ارتباطی مستقل و جایگزین برای شرایط بحرانی باید انجام شود.این سیستم‌ها باید به طور دوره‌ای آزمایش و به روزرسانی شوند. همچنین آموزش پرسنل در زمینه استفاده از این سیستم‌های جایگزین در شرایط مختلف به شدت ضروری است.
فکر می کنم که این چارچوب بر اساس تجربیات تاریخی ث تجربیات شخصی طراحی شده و اجرای سیستماتیک و مستمر تمامی مراحل آن می‌تواند امنیت اطلاعاتی سازمان‌ها و موسسات و شرکتها را در محیط‌های مدرن نیز تضمین کند. موفقیت در گرو تعهد کامل مدیریت و مشارکت کلیه پرسنل در اجرای دقیق دستورالعمل‌ها است.برای آمثزش و‌مشاوره در مجموعه شما در محل و شرکت شما با ما تماس فرمایید.
کارگاه‌عملی :
حفظ محرمانگی برای کارشناسان 2روزه 16 ساعت
بخش اول
اصول پایه
1. محرمانگی شخصی:
· محافظت از رمزهای عبور
· مدیریت ایمیل و پیام‌های شخصی
· حریم‌خصوصی در فضای کار
2. مبانی ساده محرمانگی سازمانی:
· اطلاعات عمومی در مقابل اطلاعات محرمانه
· نشانه‌های اطلاعات حساس
· مسئولیت‌های هر کارمند
بخش دوم:
موارد عملی روزمره
3. محرمانگی اسناد و مدارک:
· مدیریت صحیح پرینت‌ها
· روش‌های ایمن نگهداری فایل‌ها
· تخریب امن کاغذهای باطله
4. محرمانگی گفتگوها:
· موضوعات قابل بحث در محیط کار
· مدیریت مکالمات تلفنی
· گفتگو با همکاران و غریبه‌ها
5. محافظت از اطلاعات دیجیتال:
· lock کردن کامپیوتر
· مدیریت حافظه‌های قابل حمل
· اصول ایمیل‌نگاری امن
بخش سوم:
رعایت حقوق افراد
6. حریم‌خصوصی همکاران:
· عدم انتشار اطلاعات شخصی دیگران
· احترام به مکالمات خصوصی
· مدیریت دسترسی به اطلاعات
7. موارد خاص:
· اطلاعات حقوق و دستمزد
· ارزیابی‌های عملکرد
· مسائل انضباطی
کارگاه عملی:
سناریو 1:
“همکاری از شما رمز عبور کامپیوترش را می‌پرسد- چه می‌کنید؟”
سناریو 2:
· “مستندی محرمانه روی پرینتر مانده – چه اقداماتی انجام می‌دهید؟”
سناریو 3:
“فردی ناشناس در پذیرش از اطلاعات شرکت سوال می‌پرسد- چگونه پاسخ می‌دهید؟”
—
پنج قاعده طلایی:
1. before sharing فکر کن
2. سوال داری؟ بپرس
3. مطمئن نیستی؟ منتشر نکن
4. کارت تمام شد؟ قفل کن
5. شک داری؟ گزارش بده
خروجی کارگاه:
· آشنایی با حداقل‌های محرمانگی
· توانایی تشخیص اطلاعات حساس
· دانستن مسیر گزارش‌دهی تخلفات
· تعهدنامه محرمانگی
این کارگاه به زبانی ساده و با مثال‌های ملموس در مجموعه شما برگزار می شود و‌می تواند گامی بزرگ در حفاظت گفتار و‌حفظ محرماپگی باشد
