|
|
|
|
|
|
Le crime interne de combat avant lui se produit
- l'ennemi en dedans La technologie de l'information (IT) devient une
mission critique quand des buts d'affaires ne peuvent pas être
réalisés sans elle est appui efficace d'annonce continue et efficace
par exemple quand l'entreprise ne peut pas exister sans technologie de
l'information. L'entreprise aujourd'hui s'est développée de
plus en plus dépendante de l'infrastructure de technologie de
l'information. La plupart des organismes aujourd'hui ont installé des ordinateurs de diverses tailles pour des données de traitement sur la connaissance de l'information. Trop d'accent semble avoir été mis sur la technologie et trop peu d'attention sur la sécurité de la richesse valable d'affaires contenue dans l'information étant contrôlée avec le département de technologie de l'information. C'est peut-être les affaires de revêtements du risque le plus majeur aujourd'hui parce que la conscience de sécurité parmi le professionnel de non-ordinateur est très basse. Pour s'assurer que les systèmes de technologie et d'affaires de l'information de l'organisation sont en juste proportion commandés, les moniteurs et évalué, là est besoin d'établissement de et de conformité aux niveaux adéquats, aux procédures et aux commandes de la sécurité de système d'information. Le département de technologie de l'information assurent
des services d'un objet de valeur, souvent mis dans un effort de
longues heures d'améliorer l'exécution de système. La
gestion qui ont d'autres pressions et ne partagent pas probablement
leur intérêt tout-consumant pour des sujets de technologie de
l'information sont habituellement inclinée pour les laisser à leur
travail avec la surveillance minimum. Dans
quelques organismes de gestion la sensation souvent qui, puisque ce
n'est pas leur domaine de spécialisation, là n'est aucun besoin de
diriger ou de limiter les activités du spécialiste en technologie de
l'information.
Malheureusement il y a des risques
principaux avec cette approche. Siffler dans l'obscurité La question est "comment vous sauriez si he/she sabotait ou manoeuvrait les systèmes informatiques hors d'un désir de faire un bénéfice illicite, ou du malevolence fin. Les officiers de sécurité de système qui souhaite adresser la sécurité du système efficacement doivent se rendre compte que leur gestion puisse seulement avoir une vue limitée de leurs problèmes. Dans certains cas, des normes de sécurité et les procédures soigneusement construites sont écartées avec une vague de main ou avec un commentaire tel que "'moi n'ai aucun temps pour entrer dans cela" qui met de ce fait l'officier ou les officiers de sécurité de système à l'imbécile avec le personnel de département de technologie de l'information. La plupart d'organisation démontre "siffler dans la gestion de mentalité foncée" c.-à-d. ne fera rien jusque 2'et à moins que quelque chose tourne mal. Le manque complet d'engagement de gestion dans beaucoup
de cas a rendu une initiative chère de sécurité inefficace.
Par conséquent il est essentiel d'instruire la gestion loin de
ces attitudes.
Exposition l'Internet ou le réseau étendu (BLÊME) expose l'organisation à plusieurs risques. Une partie du risque cependant est inhérente à l'organisation elle-même. Et pas nécessairement sur l'Internet ou le réseau externe. l'Internet utilise un réseau public comme milieu de transaction. En conséquence l'organisation et quelque systèmes ils emploient sont par ceci exposées aux risques des attaques non autorisées d'accès et d'intrus. Service les ruptures et les fausses transactions peuvent suivre. Même si vous avez juste construit le système le plus efficace de contrôle d'accès ou l'installation un mur à l'épreuve du feu n'est pas assez pour que vous détendiez parce que même les contrôles d'accès les plus serrés ne peuvent pas maintenir les systèmes critiques de votre organisation bloqués sans revue et analyse efficaces des événements de sécurité. Pour attraper des intrus ou identifier des risques internes, vous devez rassembler et analyser et analyser la vérification rétrospective sur la base régulière. Cela signifie beaucoup de données et beaucoup d'analyse. L'ennemi en dedans Certains des crimes les plus estropiants contre une entreprise sont commis par les propres employés de l'organisation. C'est pourquoi commandez l'excédent IL des experts et les utilisateurs qui l'emploient est critique. Le développement non contrôlé de systèmes produira automatiquement les systèmes, qui sont incontrôlables. Les bogues et d'autres erreurs accidentelles proliféreront tandis que ces systèmes deviennent endroit de reproduction fertile pour des tentatives de cheval c.-à-d. de données Didlling, de Trojan de fraude, de technique de salami, de virus, arrondissant vers le bas, de bombe de logique, etc... N'importe qui peut faire une erreur et les conséquences de ces derniers doivent être contenues par des commandes efficaces de sécurité. Plus d's'inquiéter et de plus en plus fréquent sont des actes malveillants de sabotage ou de fraude. Le sabotage ou les fraudes sont pour se produire si les chances de la détection sont très basses. Les politiques de sécurité, la norme et les procédures soigneusement construites et complètes réduiront l'occasion de commettre le crime et d'augmenter la possibilité de détection. Facteurs de motivation Les types de dommages que un employé criminel
peut infliger sont aussi divers que les employés eux-mêmes.
Très peu fonctionnent hors de la vengeance, mais l'avarice est
un motivator beaucoup plus commun. Un employé malhonnête
voient son employeur car des ressources faciles et soient convaincus
que puisque he/she vole d'une organisation plutôt que de
l'individu, personne n'obtient blessé.
Ces crimes
sont généralement motivés par avarice et sont communs dans nos
institutions financiers. Cependant, les chances de détecter
certaines de ces atrocités sont minimales par conséquent elles ne
sont pas rapportées. Le comment Les scams commis par des contrevenants
d'escroquerie informatique sont évasifs, créateurs, complexe et
incluent parfois une connaissance complète d'ELLE et des processus
d'affaires. La plupart des utilisateurs agissent l'un sur
l'autre avec le système informatique seulement par le logiciel
d'application.
Le logiciel d'application permet et
limite également l'action qu'un utilisateur peut faire. La première chose l'auditeur de système ou
l'administrateur de sécurité doit savoir est ce qui fait le logiciel
d'application fait et le quel activité il exécute. Après
ceci, il est nécessaire d'identifier les risques potentiels liés à
la fonction d'affaires remplie par l'application c.-à-d. (ce qui peut
tourner mal) et de voir comment les risques de thee sont poignée
par le logiciel (quelles commandes il). Pour la revue d'application, la connaissance de
l'administrateur d'auditeur de système ou de sécurité des
complexités des affaires est importante aussi bien que les
connaissances techniques.
Dans l'environnement
d'application, la restriction et la surveillance des activités
d'utilisateurs peuvent être automatiquement notées par l'ordinateur
et être rapportées. La fraude dans cet environnement peut
être facilement détectée et vérifiée en plaçant les paramètres
correctement. Dans l'environnement detraitement, limitant et
surveillant l'utilisateur ordinaire avec différents profils mettez en
boîte automatiquement noté par l'application et rapporté.
Dans les systèmes interactifs, les avenues de l'accès
sont plus complexes. La méthode à adopter emballent du personnel superbe de
technologie de l'information d'utilisateurs c.-à-d. devrait être
différente puisqu'elles ont accès au logiciel d'exploitation, à
l'environnement de base de données relationnelle et à l'application. Ils peuvent être permis à l'ouverture à
l'application juste comme chaque autre utilisateur une fois que
l'accès à l'application exige deux méthodes d'authentification. Le Département de Technologie de l'Information L'organisation des opérations unité ou l'unité
de systèmes du département de technologie de l'information devrait
tenir compte de la division appropriée des fonctions pour s'assurer
que le potentiel pour l'opération et la fraude non autorisées est
réduit au minimum. Le journal système devrait être analysé
pour fournir à la gestion l'information détaillée sur toutes les
occurrences normales et anormales pendant chaque période de traitement. La disponibilité de la notation est extrêmement
valable. La sécurité efficace exige que ceci se
produit et que l'évidence de leurs activités résultantes est documentée. Les possibilités investigatrices criminelles de collier
blanc des organismes d'application de loi dans la présente partie du
monde sont très basses. Les entreprises souffrent des menaces
à leur sécurité de beaucoup de différents types d'attaques. Des intrus exploitant la faiblesse dans les
défenses,
employés exploitant leur statut et attaques de confiance de force
brutale sur le mot de passe tout doivent être gardés contre. L'escroquerie informatique à mon propre avis signifie simplement des fraudes commises à l'aide des ordinateurs en tant que complice par les fichiers manoeuvrants de programmes et de données. Il est nécessaire d'identifier le mélange correct des commandes de force de dissuasion, préventives et correctives, qui doit être appliquée dans chaque installation. L'objectif de la sécurité dans ce secteur est optimiser le temps machine productif, diminuer le risque d'erreur et de fraude, éliminer le travail non autorisé et de fixer la confidentialité d'information. Dans quelques organismes, IL personnel de département
entrent toujours au système en utilisant l'identification de l'utilisateur et les mots de passe de racine. Ce système d'opération devrait être découragé parce
que même les opérateurs dans les installations les plus efficaces
font de temps en temps des erreurs. La racine
est un utilisateur très
puissant ; n'importe quel directeur ou utilisateur de racine
qui emploie négligemment ses privilèges peut accidentellement
détruire un système de fichiers opérationnel entier. Comme racine, les privilèges spéciaux de système d'utilisateur superbe
incluent l'accès complet à n'importe quel dossier ou l'annuaire
aussi bien que le privilège de faire la suite : 1.
Dépassez toutes les permissions de
mode de dossier 2.
Déviez tous les contrôles
normaux de sécurité 3.
tuez tous les processus
existants et les égalisez 4.
arrêt le système. Avec les permissions ci-dessus, vous pouvez aller à
l'environnement de base de données relationnelle et modifier les
programmes ou le dossier sans l'communication préalable ou être détecté. Cet acte s'appelle les données
didlling.
Des comptes internes que des équilibres peuvent être manoeuvrés, des entrées de rapport la quantité peut également
être changée, dossiers d'activité de compte peuvent également
être modifiés, différents équilibres de compte peuvent être
manoeuvrés et même les équilibres de compte consolidé peuvent
également être manoeuvrés. En situation où la manipulation ci-dessus est
amateurishly faite, ceci aura comme conséquence une différence
introuvable en général le registre ou le bilan. Ces
différences cependant n'empêchent pas le coupable de retirer la
quantité frauduleuse et gonflée à travers le compteur avec un
sourire ou des "mercis que vous êtes un commentaire de bienvenue" du
caissier de paiement confiant ou le guichet. L'entier du processus des données didlling prendra au
coupable moins de cinq minutes si he/she est au courant des
commandes de l'environnement de base de données relationnelle. Commande Comment commandons-nous en juste proportion et
efficacement l'utilisation de l'identification de
l'utilisateur et du mot de passe de racine d'empêcher l'abus et l'abus comme surveillant les
activités d'une identification de l'utilisateur de racine ou d'un
utilisateur superbe sur le système ? D'abord, la gestion devrait en juste proportion autoriser
le personnel de fonction d'administration de sécurité pour
surveiller la conformité aux exceptions de rapport et pour imposer
l'adhérence stricte aux politiques et aux normes établies. L'administrateur de sécurité devrait également penser comme un voleur en considérant
la suite : 1.
Où sont les liens les plus faibles
? 2.
Comment le processus peut-il être
attaqué sans attention de dessin à un individu ? 3.
Comment l'évidence peut-elle être
détruite ou cachée ? 4.
L'auditeur, peut-il par exemple
être trompé ou distrait pendant une revue ? Basé sur les scénarios ci-dessus, les mesures suivantes
devraient être prises 1.
IL personnel de
département doivent employer leurs différents profils avec les
privilèges superbes assignés d'utilisateur (si
besoin en est) au transparent adoptif et responsabilité individuelle
en créant des notations pour tout l'accès aux logiciels d'exploitation, environnement de base de données relationnelle et
activement surveillé par l'administrateur de sécurité. 2.
Restriction d'identification de
l'utilisateur de racine à la console 3.
Activités menaçantes de
développement d'injonction sur les machines opérationnelles de
phase 4.
Capacité de suivre et
surveiller l'utilisation des commandes à distance d'exécution de les
assurer ne sont pas employées pour des motifs frauduleux. 5.
L'utilisation des équipements de 'ftp
'(File Transfer Protocol) devrait également être
surveillée et parametised pour devancer toutes les conséquences désagréables. L'ordinateur est le réseau, le dessus de bureau ou le PC
peut ressembler à un système d'utilisateur simple, mais la puissance
vraie de l'ordinateur vient des systèmes innombrables auxquels elle
est reliée. L'information est maintenant l'un des capitaux les plus
importants que une organisation peut posséder et une des plus dure à
fixer. Les ressources humaines sont également importantes parce
que n'importe comment grand une organisation, le peuple ont toujours
représenté le coeur et l'âme du succès d'une organisation. N'importe qui impliqué dans la sécurité sait que les
gens sont également la plus grande menace. Le seul réseau bloqué est celui sans des utilisateurs
du tout. Mukaila Apata-Akinsemoyin
Les COMMENTAIRES pour "le crime interne de combat avant lui se produit - l'ennemi dans":
Joignez l'association africaine de sécurité de l'information (AISA) Objectifs de l'association africaine de sécurité de l'information (AISA) Plus de Ressources de Sécurité de l'Information
|
Souscrivez-au LIBRE LE bulletin de carrière avec l'information valable vous apportant pratique, comment- aux bouts et aux articles.
|
