دانلود مقاله اهداف یادگیری

پس از بررسی این فصل شما باشد: - نقش ایفا شده توسط کنترل را در محصول و فقط امنیت رایانه درک نمایید.

- درک بهتری از مدیریت وتنش آن درکنترل فرابند توسعه CBIS داشته باشید.

- بدانبد که چگونه کنترل ها می توانند در طراحی سیستم ادغام شوند.

- بدانید که چگونه عملیات سیستم می تواند کنترل شود - با وظایف وکارهای انجام شده توسط پرسنل عملیات رایانه آشنا شوید - ضرورت طرح ریزی وانواع طرح های خاصی را درک نمایید که امکان پذیر هستند مقدمه: اکنون که CBIS اجرا شده است، می تواند به صورت روزانه برای ارائه منافعی استفاده شودکه توسعه آن را توجیه می نماید.سه مرحله اول چرخه،زندگیCBIS احتمالا چندین ماه یا یک سال یا بیشتر طول بکشد تا کامل شود.شرکت امیدوار است که مرحله عملیات چندین طول بکشد قبل از اینکه چرخه زندگی تکرار شود.در این فصل مابه کنترل ها در CBIS توجه می کنیم تا آن را ایمن سازیم.

با این حال، مدیریت منتظر نمی ماند تا اینکه فاز عملیات کنترل را تثبیت نماید.

اهمیت کنترل: یکی از اهداف CBIS عبارت اند از پشتیبانی مدیران می باشد هنگامی که آنها نواحی عملیاتی خودشان را کنترل می نمایند.

اما حتی اگر CBIS کنترل را آسان نماید، CBIS خودش باید کنترل شود.مدیران کنترل کار تیمهای پروژه را در طی مراحل طراحی واجرا را بررسی میکنند.

وقتی که CBIS عملیاتی می شود، عملکرد آن باید به دقت کنترل شود.

همه ما داستانهایی درباره جنایت رایانه ای مطالعه کرده ایم (یعنی چگونه هزاران دلار از یک بانک توسط دسترسی به پایگاه داده رایانه ای اختلاس شده است).همچنین درباره مهاجمان (هکر) رایانه ای که سازمانها ومنبع ایشان را تهدید می کنند مطالعه کرده ایم و اینکه چگونه ویروس ها را منتشر می کنند که باعث خراب شدن اطلاعات و برنامه ها می شوند.

این اقدامات عمدی موجب تهدیدهایی به سازملن ومنبع اطلاعات آن می شوند، همانگونه که اقدامات غیر عمدی و بصورت تصادفی باعث بلایا و فجایع می شود.مدیریت کنترل را انجام میدهد تا از وقوع این بلا یا کاهش تأثیر آنها جلوگیری کند.

فقط با توسعه یک CBIS کنترل شده مادیران میتوانند به خروجی آن اعتماد داشته باشند.

رابطه امنیت کنترل- امنیت ممکن است بصورت حفاظت منابع فیزیکی ومفهومی از آسیب های طبیعی و انسانی تعریف شود.

امنیت منابع مفهومی یعنی دیتا واطلاعات مورد توجه ما می باشد اگرچه امنیت اطلاعات ودیتا شکل های مختلفی را ممکن است به خود بگیرد و همگی آنها در شش مقوله در جدول 18.1 قرار می گیرد.

جدول 18.1 شش روش برای نقض breach امنیت اطلاعات و دیتا (اطلاعات خام) تصادفی عمدی تعدیل اصلاح وتغییر خراب کردن خراب کردن افشا(فاش) کردن افشاء کردن نقض تصادفی امنیت اطلاعات و دیتا در مقایسه با اقدامات عمدی، تهدید بیشتری می باشند.

اقدامات عمدی معمولا بیشترین طرفدار را دارند ولی اقدامات تصادفی در بیشتر مواقع رخ می دهند.

خصوصیات سیستم امنیت را آسان میکند: اگر یک سیستم اطلاعات بخواهند محتویات اش را ایمن نگه دارد وآنگاه او باید سه خاصیت داشته باشد: یکپارچگی، قابلیت ممیزی و قابلیت کنترل یکپارچگی:یک سیستم دارای یکپارچگی است بصورت عمدی اجرا شود.طراحان سیستم تلاش دارند که سیستمی را توسعه دهند که دارای یکپارچگی عملیاتی است وقادر به ادامه عملیات است حتی هنگامی که یک یا چند مؤلفه شکست بخورد.یک مثال خوب عبارت اند از یک شبکه پردازش توزیع یافته است که به کار خودش ادامه میدهد پس از اینکه پردازشگرها غیر عملیاتی می شوند.

قدرت ممیزی شدن: وقتی که یک سیستم دارای قدرت ممیزی باشد براحتی میتوان آن را بررسی و یا تایید کرد و عملکرد را نمایش داد.

افرادی که مستقل از واحد خدمات اطلاعات هستند از قبیل ممیزهای داخلی وخارجی، ممیزی را انجام می دهند.

برای اینکه یک سیستم قابل ممیزی گردد باید آزمایشاتی را طی نماید و قابلیت حسابداری داشته باشد یعنی هر رویدادی که در داخل سیستم رخ میدهد باید برای یک فرد واحد قابل ردیابی باشد همچنین مدیران سیستم باید متوجه عملکرد غیر قابل قبول سیستم باشند.

یک سیستم CBIS قابل ممیزی است هنگامی که مستند سازی افرادی را مشخص نماید که آن را توسعه دادند و برنامه ها شامل کنترل های خطای ضروری هستند.

قابلیت کنترل شدن:مدیریت میتواند یک تأثیر هدایت کننده یا محدود کننده بر روی سیستم را انجام دهد.هنگامی که از قابلیت کنترل بهره میبرد.یک روش موثر برای حصول قابلیت کنترل سیستم عبارت اند از تقسیم کردن سیستم به زیر سیستم هایی است که کراهای مجزا را کنترل مینمایند.

یک نقض یکپارچگی در یک زیر سیستم، کل سیستم را مختل مینماید.

مثلا، یک سیستم فرعی در یک بانک برای گشایش حساب ها استفاده می شود و زیر سیستم دیگر برای برداشت از حساب ها استفاده می شود.

اولین سیستم فرعی از زیر سیستم،دومین زیر سیستم را کنترل می کند تا مانع از بکارگیری غیر مجاز بودجه ها گردد مانند شخصی که یک حساب را تحت یک نام مفروض گشایش مینماید و بودجه ها را به صورت غیر قانونی بداخل آن، از سایر حساب ها منتقل مینماید.

بنابراین مدیران، امنیت سیستم اطلاعات را با توسعه دادن سیستم هایی بدست می آورند که خصوصیات یکپارچگی، توانایی ممیزی و قابلیت کنترل را نمایش می دهند.

کار کنترل CBIS کنترل CBIS تمام مراحل چرخه زندگی را در بر می گیرد.در طی چرخه زندگی، کنترل ها میتوانند به مواردی تقسیم بندی شوند که به توسعه، طراحی واجرا مطابق با طرح پیش برود.

وقتی CBIS توسعه می یابد، مدیریت تضمین میکند که طراحی، احتمال خطا را به حداقل می رساند، خطاها را آشکار می کند هنگامی که آنها را بوجود می آیند، و آنها با نزم افزار وسخت افزار حاصل میشوند.

وقتی که CBIS اجرا می شود، کنترل های عملیات ویکپارچگی سیستم را حفظ میکنند.

یک مثال درباره یک کنترل عملیات عبارت اند از تقسیم کردن وظایف در بین پرسنل عملیات می باشد.کنترل های عملیات بعهده مدیر عملیات رایانه است.

روش های خصول ونگهداری کنترل: مدیریت می تواند کنترل را به سه روش اساسی مطابق شکل 18.1 انجام دهد.

اولا، مدیریت می تواندکنترل مستقیم را انجام دهد وپیشرفت وعملکرد را ارزیابی کند و اقدامات اصلاحی لازم را تعیین نماید، این امر مستلزم آگاهی از رایانه است.ثانیا، مدیریت CBIS را بطور غیر مستقیم بصورت تمام وقت از طریق CIO کنترل میکند.

CIO مسئول توسعه یک CBIS است که نیارهای مدیران را تأمین مینماید و CBIS را عملیاتی نگه می دارد.ثالثا، مدیریت CBIS را بطور غیر مستقیم بر اساس پروژه از طریق شخص ثالث کنترل میکند از قبیل ممیزهای داخلی یا خارجی.این متخصصان یک سری اطلاعات رایانه ای را فراهم می نمایند که مدیران فاقد آن هستند.

ما اکنون به ذکر سه حوزه کنترل CBIS می پردازیم یعنی توسعه، طراحی وعملیات.

کنترل فرایند توسعه- هدف از کنترل توسعه عبارت اند از تخمین این امر است که یه CBIS اجرا می شود که نیازهای کاربران را تأمین میکند.

شکل 18.2 هفت مثال درباره کنترل توسعه را تعیین می نماید و به موارد کاربرد آنها در چرخه زندگی اشاره دارد.

شکل 18.1 مدیر میتواند سه مسیر را برای کنترل CBIS طی کند.

1-مدیریت ارشد، کنترل پروژه را بطور کلی در طی مرحله طرح ریزی توسط تشکیل یک کمیته MS وتعریف اهداف ومحدودیت ها وایجاد یک مکانیزم کنترل پروژه را انجام میدهد.

2-مدیریت موضع کاربر در خصوص CBIS را با تعیین هویت نمودن نیازهای اطلاعاتی اولیه در مرحلع تحلیل و طراحی روشن میکند.

3-مدیریت معیارهای عملکرد را معین میکند که در ارزیابی CBIS عملیاتی استفاده خواهد شد.

4-سرویس های اطلاعات ومدیریت، طراحی CBIS و استانداردهای عملیاتی را تثبیت میکند تا بصورت خطوط راهنمایی عملکرد قابل قبولی برای سرویس های اطلاعات عمل نماید.

سرویس های اطلاعات خطوط راهنما را در یک کتابچه راهنمای استاندارد بیان می نماید.

5-سرویس های اطلاعات و مدیریت با یکدیگر یک برنامه آزمایش قابل قبول را تعریف میکنند که نیازهای برای تصویب هر برنامه رایانه را مشخص میکند- تصویب لازم است قبل از اینکه یک برنام هوارد کتابخانه نرم افزار شود.

6-مدیریت یک بازنگری را انجام میدهد تا تضمین نماید که CBIS معیارهای عملکرد را تأمین می نماید.

7-سرویس های اطلاعات یک رویه را برای حفظ واصلاح CBIS ایجاد می کند واین رویه توسط مدیریت تصویب می شود.

به این ترتیب، مدیریت CBIS را کنترل می نماید هنگامی که از طریق فازهای چرخه زندگی ظاهر می گردد.

مدیریت تعیین می نماید که چه چیزی لازم است و سپس موارد را دنبال مینماید تا مطمئن شودکه یک CBIS اجرا می شوذکه آن نیازها را تأمین کند.

کنترل های طراحی سیستم:در طی مرحله تحلیل وطراحی چرخه زندگی، تحلیل گر سیستم ها، DBA ومدیر شبکه ویژگیهای کنترل معین را در داخل طراحی سیستم ایجاد می کند.

در طی مرحله اجرا، برنامه نویس این کنترل هل را در داخل سیستم ادغام میکند، این کنترل های طراحی بر روی عملکرد CBIS تأثیر میگذارد هنگامی که عملیاتی میگردد.

بعضی از سیستم های فرعی CBIS یک میزان کنترل بالاتری را در مقایسه با سایرین تقاضا نمایند.بطور کلی، هر سیستمی که با پول سروکار دارد به کنترل شدید نیاز دارد.

یک شرکت نمی تواند تاوان اشتباهات در محاسبه یک کنترل پرداخت حقوق کارمند یا یک پرداخت حقوق تولید کننده را بپردازد.

از طرف دیگر، یک سیستم غیر پولی مانند یک گزارش آمار فروش هنوز مفید است حتی اگر حاوی حداقل خطاها باشد.

کنترل های سیستم دارای یک هزینه مرتبط می باشند.

یک کنترل نباید انجام گیرد اگر هزینه آن بیش از ارزش آن باشد.ارزش عبارت اند از مقدار کاهش خطر احتمالی و این برآورد به سختی انجام می شود.

مثلا، ارزش یک کنترل چیست که خطر احتمالی تولید یک کنترل کننده بد را کاهش دهد.

شماباید مقدار پولی را محاسبه کنید که شرکت از دست میدهد هنگامی که مقدار آن خیلی زیاد است ولی شما فقط می توانید کاهش مقدار آن را هنگامی برآورد نمائید که مقدار پول خیلی کم باشد.

یک روش مخرب برای انتقال این اطلاعات، یک ماتریس خطر احتمالی (ریسک) مانند آن چیزی است که در شکل 18.3 دیده می شود.، ریسک ها در بالا فهرست شده اند ومؤلفه های سیستم در پایین ذکر میشوند.

شکل از سیستم ورودی مرتب بصورت یک مثال استفاده مینماید و ریسک ها بصورت اطلاعات ناقص، اطلاعات غیر دقیق و معاملات غیر مجاز دسته بندی شده اند.مثال درباره ریسک ها، همانگونه که آنها برای هر سیستم فرعی بکار می روند در سلول ها وارد می شوند، یک ماتریس دیگرموسوم به یک ماتریس کنترل کننده میتواند برای انطباق کنترل های طراحی با ریسک ها استفاده شود.

شکل 18.4 مثالی از یک ماتریس کنترل برای ورودی ترتیب است.

تحلیل گر سیستم از ماتریس کنترل برای اثبات بصری استفاده می کند که هر کدام ار ریسک های تعریف شده ذکر شده است.

نواحی کنترل های طراحی سیستم : هر سیستم فرعی CBIS به نوعی منحصر به فرد بوده است.با این حال، امکان ارائه ونمایش هر سیستم فرعی بر حسب عناصر پایه آن مطابق شکل 18.5 وجوددارد.

کنترل ها می توانند برای هر عنصر در نظر گرفته شوند.اولین عنصر به تعیین منشاء معامله تخصیص داده میشود.

سند ممکن است یک فرم سفارش فروش یا یک کارت زمان بازپرداخت باشد.

این تعیین وضعیت برای تجهیزات رایانه ای حالت خارجی دارد وقبل از هر نوع پردازش رایانه قرار می گیرد.

سپس transfaction بصورت یک فرم قابل خواندن توسط رایانه تبدیل میشود که این فرایند موسوم به ورود معامله است.دستگاه ورودی می تواند online باشد مانند یک جعبه کلید میکرو یا یک پایانه رایانه اصلی و یا دستگاه میتواند offline باشد مانند یک واحد اتصال کلید به نوار یا کلید به دیسک.

بعضی از سیستم ها شامل یک عنصر ارتباطات می باشند.

در سایر سیستم ها، اطلاعات ورودی پردازش مستقیما برای پردازش وارد رایانه می شوند.

وقتی که دیتا در ذخیره رایانه است، توسط برنامه ها در کتابخانه نرم افزار پردازش می شود.این پردازش رایانه ممکن است شامل اطلاعات افزودنی یا بدست آمده از پایگاه داده باشد.

وقتی که پردازش کامل می شود، خروجی رایانه به شکل اطلاعات یا دیتا تولید می شود بخش های زیر شامل مثال هایی درباره کنترل ها برای هر عنصراست که به شما ایده ای درباره انواع روشهای موجود ارائه مینماید.

منشاء معامله:شکل 18.6 یک سری مراحل را نشان میدهد.

هر کدام از پنج عنصر نشان داده شده یک نامزد برای کنترل ها است.تعداد و انواع کنترل های ایجاد شده در داخل هرعنصر بستگی به ریسک هایی دارد که کاهش داده می شوند وبه هزینه های کنترل نیز بستگی دارد.

منشاء سند منبع:کنترل ها در جایی آغاز می شوند که سند منبع آغاز میشود.این کنترل ها با رویه هایی برای (1)طراحی اسناد منبع (2) تحصیل اسناد و(3) تضمین امنیت اسناد سروکار دارند قبل از آنکه آنها استفاده شوند.

تعیین اقتدار:کنترل های تعیین اقتدار شرح میدهند که چگونه ورودیهای اطلاعات برای اسناد صورت می گیرند وتوسط چه کسی این کارها انجام می گیرد.

چنین کنترلی توسط روش های مکتوب انجام میشود که شامل افراد مختلف در آماده سازی هر سند می باشد که حدود گردش کار(پردازش) معین را تصویب میکند ومستلزم تاییدهای مختلف است.

آماده سازی ورودی رایانه:کنترل های آماده سازی ورودی رایانه وسیله ای برای تعیین هویت رکوردهای ورودی فراهم میکندوتضمین می نماید که تمام اطلاعات ورودی پردازش شود.مثال هایی درباره کنترل های از این نوع log هایی هستندکه بصورت یک رکوررد (سابقه) معاملات پردازش شونده عمل می نمایند.مقادیر اطلاعات انباشته می شوند و از یک ماشین حساب رومیزی استفاده میگردد.

کنترل خطا:کنترل های اداره کننده خطا یک روش منظم برای تصحیح خطاها فراهم می کنند رکورهای تصحیح شده را برای ورود مجدد آشکار کرده و ارائه می کنند.

هرکدام از پنج عنصر سیستم فرعی اساسی دارای یک ناحیه کنترل خطای مشابه می باشد.

فقط سندمنبع:بالاخره، کنترل های حفظ سند منبع تعیین می نمایند که چگونه اسناد پس از انداز استفاده ذخیره می شوند وتحت چه شرایطی آنها می توانند از ذخیره حذف شوند.

ورودی معامله:ورودی معامله اطلاعات سند منبع را به شکل قابل خواندن تبدیل میکند.

کنترل ها سعی دارند که دقت اطلاعات انتقال یابنده را بر روی یک شبکه ارتباطات حف نمایند یا اطلاعاتی که مستقیما وارد چهار حوزه کنترل می شوند.

ورودی دیتا:کنترل ها بر روی ورودی اطلاعات میتوانند برای فرایندهای پیوسته online یا offline بکار بروند.

کنترل ها به شکل روش های مکتوب و خود تجهیزات ورودی وجود دارد.

تجهیزات باید نزدیک به محل آغاز پردازش قرار داده شود تا تأخیرها در ورودی کاهش یابد.همچنین تلاشی باید انجام گیرد تا ورودی بر روی یک واسطه قابل خواندن توسط رایانه تسخیر گردد مانند یک نوار کاست یا دیسکت.

تایید اطلاعات: پس از اینکه اطلاعات ثبت می شود، از لحاظ دقت کنترل می شود.

دو روش پایه برای تایید اطلاعات وجود دارد.کلیدی و بصری درتایید کلیدی اطلاعات در داخل سیستم دوربار کلید می شود که ترجیحا توسط اپراتورهای مختلف اینکار صورت گیرد.نرم افزار دو ورودی را مقایسه مینماید و یک سیگنال را صادر می کند هنگامی که آنها دقیقا یکسان نباشد.در تایید بصری اپراتور اطلاعات را روی صفحه نمایش می بینید قبل از اینکه اطلاعات را وارد سیستم نماید.

تایید کلیدی پر هزینه تر است زیرا کار باید دوبار انجام شود.بدلیل هزینه گزاف، تأئید کلیدی فقط بر روی اطلاعاتی انجام میشود که باید بدون خطا باشد، از قبیل اطلاعات مالی.

کنترل خطا:هنگامی که خطاها، آشکار میشوند، رکوردها به ابتدای پردازش برای تصحیح یا ورود مجدد اطلاعات مسیریابی می شوند.

متوزان کردن سبد batch:رایانه مقادیر کل را برای هر سند انباشته می کند که با مقادیر مشابه ای مقایسه می شوند که در طی آغاز پردازش ها وارد سیستم شده اند.

ارتباطات اطلاعات:یک رایانه شبکه در معرض خطر احتمالی بسیار بالاتر از موردی است که در یک اتاق واحد قرار می گیرد.

مجراهای اطلاعات و پایانه های آنها برای مجرمان سرایانه ای این امکان را فراهم کرده است که از هزاران مایل دورتر به اسرار تجاری و بودجه ها دسترسی یابند اختلاس نمایند.

وقتی که یک شرکت یک شبکه اطلاعات را بکار می گیرد، توجه خاصی باید به ریسک های امنیت داده شود.

شخصی در سازمان باید مسئول فعالیت اطلاعات کلی باشند این شخص مدیر شبکه است.

ومسئول لحاظ کردن اقدامات امنیتی در داخل سیستم ونظارت بر عملکرد است تا مطمئن گردد که امنیت حفظ می شود.

شرکت ها تائید می کنند که امنیت اطلاعات کامل یک امر محال است ولی سه حوزه وجود دارند که کنترل ها می توانند برای حصول سطحی از اطلاعات بکار بروند که قابل حصول و قابل قبول می باشند.

این حوزه ها، در شکل 18.8 دیده میشوند که شامل ارسال پیام، مجرای ارتباطات و دریافت پیام می باشد.کنترل خطا یک حوزه مجزا نمی باشد.

بلکه در داخل تجیزات ارتباطات لحاظ می گردد.

کنترل ارسال پیام- کنترل ارسال پیام با امنیت فیزیکی تجهیزات ارسال آغاز می شود.

اتاق های حاوی رایانه ها و پایانه ها می توانند قفل شده وفقط شوند، و احتمال این امر وجود دارد که پایانه خودشان را قفل کنند.

پایانه ها می توانند درکابینت های فولادی محافظتی محبوس باشند که به کف پیچ میشوند.

کاربران باید کلمات عبور را وارد نمایند تا به سیستم دسترسی یابند.

روال های در رایانه میزبان می توانند تضمین نمایند که پایانه وکابر مجاز هستند تا به فعالیت درخواست شده بپردازند.

سپس پردازشگر میتواند محل را تعیین کندوتاریخ و زمان هر ورودی به سیستم را معین نماید و منبع اطلاعات در گرفتن مجرمان رایانه ای و تعیین هویت نقاط ضعف سیستم باشد.

کنترل مجرای ارتباطات اگر شرکت دارای یک گزینه باشد همواره بهتر است که از یک دار خصوصی بجای یک شماره گیر استفاده نماید.

مدار خصوصی امنیت بیشتر را در مقابل مجرمان رایانه پیشنهاد میکند که بطور تصادفی شماره گیری میکنند و به صدای کاریر فراهم شده توسط مودم توجه مینمایند.

این مجرمان از شماره گیری های خودکار استفاده می نمایند.

شکل 18.8- نواحی کنترل ارتباطات دیتا و اطلاعات خام شکل 18.9 دستگاه های رمز نگار در شبکه data com هر شرکتی نمی تواند یک مدار خصوصی را تهیه نماید.

در آن حالت، شرکت میتواند اطلاعات را به رمز نماید یا کد نماید هنگامی که بر روی مدار شماره گیری انتقال داده می شود، سپس، اگر یک شخص غیر مجاز اطلاعات انتقال یابنده را قطع نماید، اطلاعات را استفاده می نماید،دستگاه های رمز نگاری میتواننددر شبکه مطابق شکل 18.9 لحاظ شوند، سخت افزاط در قسمت ارسال پیام، پیام را با استفاده از همان الکوریتم رمزگشایی می نماید.

الگوریتم هرگز تغییر داده نمی شود و در حقیقت هیچ تلاش واقعی ای برای محرمانه نگه داشتن آن وجود ندارد.

آنچه که محرمانه نگه داشته میشود، کلیدی است که توسط الگوریتم استفاده می شود تا پیام را به رمز کرده یا رمزگشایی کند.

کلید بارها در طول روز بصورت یک محافظ ایمنی اضافی تغییر داده می شود.

کنترل پیام دریافت شده- کنترل پیام دریافت شده شامل آشکار سازی خودکار خطاها توسط واحدهای دریافت کننده ودرخواست برای ارائه مجدد آن می باشد.خطاها میتوانند هنگامی آشکار شوندکه بیت های کنترل یا کاراکترهای کنترل همراه با اطلاعات ارسال شوند، و بیت ها یا کاراکترها برای اطلاعات دریافت شده نامناسب هستند.

در آن حالت، تجهیزات با خطا را بصورت خودکار میتوانند به بلوک رکوردها اضافه شوند و امکان در نظر گرفتن تمام رکوردها را فراهم نمایند.

برای شرکت هایی که از خطوط شماره گیری استفاده می کنند شماره های تلفن مودمها می توانند بارها تغییر داده شوند.تمام مکالمات می توانند توسط یک دستگاه سخت افزار خاصی موسوم به یک دستگاه حفاظت درگاه، قطع شوند.

این واحد که با ریز رایانه کار می کند به پردازشگر بخش جلویی وصل می شود تا تماس هایی را قطع نماید که توسط کاربران شماره گیری می شدند که مایل به تثبیت یک ارتباط با میزبان می باشند.

دستگاه های حفاظت درگاه از وسایل مختلفی برای آشکار کردن تماس های غیر مجاز استفاده مینمایند، بعضی از دستگاه ها صدای مودم را یا یک صدای انسان ثبت شده یا سکوت ساده جایگزین مینمایند.

مجرمان رایانه ای آگاه نیستند که شماره رایانه بدست آمده است.

سایر دستگاه ها می توانند تماس گیرنده را ملزم نماینده که یک کلمه عبور را وارد نماید.

تماس گیرنده بلاتکلیف باقی میماند در حالیکه میزبان یک کنترل امنیت را اجرا میکند.

سپس دستگاه حفاظت درگاه شماره تماس گیرنده را می گیرد تا ارتباط را برقرار نماید.

این امر تضمین می کندکه ارتباط با پایانه کاربر انجام می شود ونه ارتباطی در محل دیگر که به یک مجرم رایانه ای تعلق دارد.

دستگاه های حفاظت درگاه با این ویژگی دارای یک توانایی برگشت تماس هستند.نرم افزار در پردازشگر بخش جلویی به کنترل بر روی پیام دریافت شده توسط تخصیص یک استامپ تاریخ وزمان به هر پیام همراه با یک شماره سریال منحصر بفرد کمک می نماید و همچنین یک عمل ویراستاری را بر روی اطلاعات ورودی توسط کنترل کردن خطاها و آرایش مجدد فرمت اجرا می کند.

بالاخره یک فایل سابقه را در ذخیره دوم پیام های کنترل شده در طی بیست دقیقه گذشته نگهداری می کند.فایل می تواند برای بازیابی از یک گسیختگی استفاده نماید.اصطلاح نقطه کنترل برای شرح نقطه ای در پردازش بکار می رود درجایی که وضعیت ذخیره می شود.

وقتی یک گسیختگی رخ می دهد، ذخیره اولیه برای شرایط آن در نقطه کنترل قبلی حفظ می شود و هر نوع پردازشی بعدی تکرار می شود، این امرموسوم به فعالیت نقطه کنترل و آغاز مجدد است.

طرح امنیت: اطلاعات کلی:مدیر شبکه باید هر نوع تهدید امنیت اطلاعات بالقوه را تعیین هویت نماید ویک یا چند اقدام را برای حذف یا کمیته کردن هر کدام تعیین هویت نماید.

یک ماتریس ریسک اطلاعات وماتریس کنترل همراه با آن تضمین می نماید که تمام ریسکها ذکر شوند.

پردازش رایانه:تا این لحظه، تمام کنترل های طراحی سیستم به ورود اطلاعات بداخل رایانه پرداخته اند.کنترل هاس می توانند در داخل برنامه ها و پایگاه داده ایجاد شدند.این نواحی کنترل در شکل نشان داده می شوند.

کنترل اطلاعات دنیا:وقتی که اطلاعات وارد رایانه شوند، کنترل های اطلاعات بطورصحیح پردازش های ورودی را تعیین هویت می نمایند و دقت بکارگیری اطلاعات و محاسبه را تضمین می نمایند.

برای مثال درباره یک کنترل ورودی،فرض کنید که سه نوع پردازش ورودی وجود دارد که توسط کدهای 1،2،3 تعیین هویت شده اند ومی توانند پردازش شوند.

یک سری از عبارت های F1 در برنامه می توانند تعیین کنند که، آیا یک پردازش، یک کد قابل قبول است یا خیر در غیر این صورت، یک روال خطا می تواند اجرا شود.

مثالی درباره یک کنترل بکارگیری اطلاعات ومحاسبه می تواند بررسی نتیجه یک عملیات ریاضی باشد.

جلسه ماهیانه برای فروش می تواند برای حد ماکزیمم مثلا 5000$ کنترل شود.

هر نوع استنایی می تواند برای تائید دقت مشخص شود.

کنترل کردن خطا:وقیتی که یک پردازشگرحاوی خطایی باشد، پردازش آن به تعویق می افتد.

رکورد (سابقه) پردازش وارد یک فایل تغلیق خطا می شود و نگهداری می گردد و تا اینکه تصحیح شود.

یک گزارش خطا توسط رایانه چاپ می شود که خطا را تعیین هویت می نماید.

خطاها در حوزه های اطلاعات پول با ورودی های بدهکار و بستانکار مناسب بجای حذف و اضافه/تصحیح می شوند.

ورودی های بدهکار و بستانکار یک دنباله ممیزی از فعالیت تصحیح خطا فراهم می نمایند.

فایل تعلیق خطا می تواند بصورت ادواری برای تهیه گزارشاتی استفاده شود که آمار را در خصوص انواع، فراوانی و منابع خطاها ارائه می نماید.

کتابخانه نرم افزار و پایگاه داده ها اکثر کنترل های پایگاه داده از طریق استفاده از یک سیستم مدیریت پایگاه داده بدست می آیند.

DBMS مقادیر متغیری از امنیت را برای پایگاه های داده پیشنهاد می کنند که آنها مدیریت می نمایند.

DBMS از روش های مختلف بطور ترکیبی استفاده می نماید تا تضمین کند که فقط کاربران مجاز امکان دسترسی دارند.

DBMS های ریزپردازنده اولیه فاقد این امر بودند، ولی آن ضعف برطرف می شود.

DBMS ریز رایانه مانند سیستم RbaseV و dbaseIV دارای توانایی های امنیتی همانند سیستم های رایانه بزرگ می باشند.

ممکن است کسی علاقه مند باشد که یک سری از نرده ها را ذر اطراف منبع اطلاعات بوجود آورد یک نرده در داخل نرده دیگر، برای اینکه یک کاربر به اطلاعات در مرکز دسترسی یابد، دروازه ها در هر کدام از نرده ها باید باز شوند.

سطوح امنیتی که بتواند توسط یک DBMS پیشنهاد شود شبیه به نرده ها هستند.

چهار سطح شامل کلمات عبور، دایرکتوری های کاربر، دایرکتوری های میدان، و رمز کردن می باشد.

کلمات عبور- سیستم های عامل رایانه اصلی نوعا ایجاب می نمایند که کاربر یک کلمه عبور را برای دسترسی به رایانه وارد نماید.

DBMS می تواند کلمه عبور خودش را ایجاب نماید.

پس از تصدیق کردن سیستم عامل، کاربر یک کلمه عبور پایگاه داده خاصی را وارد می نماید.

دایرکتوری کاربر- پس از تصدیق کلمه عبور، DBMS ممکن است یک دایرکتوری کاربر را کنترل نمایند که تمام افراد و برنامه هایی را فهرست می نماید که برای استفاده از پایگاه داده مجاز می باشند.

دایرکتوری میدان- پس از عبور کنترل های کاربر- DBMS می تواند با یک دایرکتوری میدان مشورت کند که عناصر اطلاعاتی را تعیین هویت می نماید که کاربر می تواند به آن دسترسی یابد.

مثلا، دایرکتوری میدان یک منشی بازپرداخت حقوق ممکن است به میادین یک سابقه کارمند اجازه دهد که فقط خواندنی باشد اما دایرکتوری یک سرپرست باز پرداخت ممکن است توانایی برای ایجاد تغییرات را فراهم کند.

رمز کردن- محتویات پایگاه داده می تواند به همان شیوه اطلاعاتی به رمز شود که از طریق شبکه ارتباطات ارسال می شود.

رمز کردن توسط یک روال نرم افزار انجام می شود که در DBMS لحاظ می گردد.

کاربران مجاز می توانند یک کلید کردن را برای رمزگشائی اطلاعات ازائه نمایند.

کنترل کتابخانه نرم افزار همانند پایگاه داده نمی باشد ولی آنها می توانند حاصل گردند.

یک رویه شامل تثبیت یک کمیته تغییر برنامه است که باید تمام تغییرات را برای برنامه ها تصویب کنند.

یک ر.یه اضافی شامل نگهداری یک نسخه اصلی از هر نامه در یک محل مطمئن و امن مانند کتابخانه نوار می باشد.

بطور ادواری، نسخه برنامه ای که در پردازش روزانه استفاده می شود با نسخه اصلی مقایسه می گردد تا مطمئن نماید که هیچ نوع تغییرات غیر مجازی صورت نگرفته است.

خروجی رایانه:این بخش سیستم فرعی مسئول تحویل دادن محصول نهایی به مصرف کننده(کاربر) مطابق شکل 18.11 می باشد.

متعادل کردن عملیات رایانه: این کنترل، خدامات اطلاعات را قادر می نماید تا تأئید کند که تمام سبدها(دسته ها) و پردازش هایی که از بخش های کاربر دریافت شدند، پردازش شده اند.

این امر متوسط متوازن کردن مقادیر کلی خروجی رایانه با مقادیر کلی تثبیت شده در ورودی انجام می گیرد .

توزیع: کنترل ها بر روی توزیع گزارشی درصدگزارش درصدد هستند که تضمین نمایند که فقط افراد مناسبی، خروجی را دریافت می نمایند.

روش های مختلفی امکان پذیر هستند.

یک برگه پوشش دهنده که دریافت کننده را تعیین می نماید به هر گزارش متصل گردد و نشان داده شود که چه موقع هر خروجی توزیع می شود و از دریافت کننده می تواند درخواست شود که دریافت را با برگرداندن یک فرم خاص، تأئید نماید.

متوازن کردن بخش کاربر:وقتی که بخش های کاربر، خروجی را از رایانه دریافت می نماید، مقادیر کل خروجی با مقادیر کل مشابه مقایسه می شوند که هنگامی تثبیت شدند که اطلاعات ورودی در ابتدا تهیه گردید.

کنترل خطا: یک گروه کنترل خاص می تواند در حوزه مصرف کننده تثبیت شود که یک رویه رسمی را در تصحیح کردن خطاها دنبال نماید.

حفظ سابقه: هدف از این مؤلفه کنترل نهایی عبارت اند از حفظ صحیح امنیت بر روی خروجی رایانه و کنترل کردن ضایعات می باشد.

استفاده از گنجه های فایل فعل شدن برای ذخیره کردن گزارش برای گزارشات خارج از تاریخ روز و نشان دهنده کنترل هایی از این نوع می باشد.

این روشی است که تحلیل گر سیستم، برنامه نویسی، DBA و مدیر شبکه کنترل ها را در داخل سیستم ایجاد می نماید هنگامی که طراحی می شود.

کنترل عملیات سیستم: دو تلاش برای کنترل در بالا بحث گردید یعنی توسعه و طراحی به اعمالی می پردازند که قبل از برش out over می باشند.

پس از این برش، یک عمل کنترل ثانوی موثر واقع می شود که عبارت اند از کنترل بر روی عملیات روز به روز CBIS می باشد.

کنترل های عملیات سیستم قصد دارند که به امنیت و کارایی هر دو برسند.

کنترل هایی که به اینت اهداف مربوط هستند می توانند به پنج حوزه طبقه بندی شوند.

1-ساختار سازمانی 2-کنترل کتابخانه 3-نگهداری تجهیزات 4-امنیت تأسیسات و کنترل محیطی 5-طرح ریزی فاجعه ساختار سازمانی:پرسنل خدمات اطلاعات در امتداد خطوط تخصصی کارشان اسزمان دهی می شوند تحلیل گران، برنامه نویس ها و پرسنل عملیات معمولا مجزا نگهداری می شوند ومهارت های لازم در خصوص حوزه کاری خودشان را توسعه می دهند.

همچنین جدا کردن حوزه های مختلف در مورد عملیات مطابق شکل 18.12 امر مطلوبی می باشد.

این ساختار به راندامن عملیات کلی مربوط می باشد و البته با امنیت نیز در ارتباط است و تهاجم به سیستم هنگامی بسیار مشکل خواهد شد که همکاری افراد متعددی لازم باشد.

واحدهای مختلفی در محدوده عملیات نقش های خاصی را در جریان مشاغل رایانه ای ایفاء می نمایند، این نقش ها در ششکل 18.B دیده می شوند.

شخص زمان بندی کننده، جدول زمانی تولید را برای تمام فعالیت های عملیات تثبیت می کند.

پرسنل ورودی اطلاعات، اطلاعات ورودی را به صورت یک فرم قابل خواندن توسط رایانه تبدیل می نمایند.

پرسنل کنترل خروجی و ورودی، کنترل ها را در نقاطی تثبیت می نمایند که مشاغل دسته وارد سیستم یا از ان خارج می شوند.

پرسنل کنترل تولید تضمین می کنند که مشاغل بصورت زمان بندی شده اجرا می شوند.

تشخیص زمان بندی کننده در زمان روزانه را از یک روز تا یک هفته از قبل آماده می نماید و زمان بندی را به زمان بندی کننده در زمان روزانه را از یک روز تا یک هفته از قبل آماده می نماید و زمان بندی را به بخش کنترل تولید هر روز تحویل می دهد.

کنترل تولید دارای مسئولیت هماهنگ کردن زمان بندی با عنلیات رایانه می باشد.

جدا کردن زمان بندی از کنترل تولید اجرای برنامه های غیر مجاز یا تغییرات غیر مجاز برای پایگاه داده را مشکل می نماید، در یک محیط پیوسته، کنترل های فراهم شده توسط تشخیص زمان بندی کننده باید از طریق مخلوطی از کنترل های پایگاه داده و شبکه که قبلا بحث گردید حاصل شود.

کنترل کتابخانه: یک کتابخانه رایانه ای شبیه به یک کتابخانه واقعی است که در آن یک کتابدار، یک مجموعه از نشریات و مقالات، یک محلی که نشریات ذخیره می شوند و یک رویه فراهم کردن نشریات برای کاربران می باشد.

اکثر رایانه های اصلی از ریل نوار مغناطیسی مطابق شکل 18.14 استفاده می نماید.

سایر موارد شامل کاست ها و دیسکت ها و دسته های دیسک قابل حذف و تعویض می باشند.

فقط کتابدار مجاز به دسترسی به کتابخانه باشد.

نسخه هایی از فایل ها و برنامه ها باید نگهداری شوند اگرچه در کتابخانه کار صورت نمی گیرد، محل دیگری بعنوان یک محل مناسب در مقابل یک فاجعه در حوزه رایانه مطلوب می باشد.

نگهداری دستگاه: وقتی یک شرکت یک ریز پردازنده یا رایانه اصلی را عرضه می نماید، یا یک توافق نگهداری را خریداری می کند، مسئولیت تولید کننده رایانه عبارت اند از فقط دستگاه برای کار کردن صحیح می باشد.

افراد تعمیر کار رایانه موسوم به مهندسان مشتری CE یا مهندسان میدان FE و نگهداری زمان بندی شده و زمان بندی نشده هر دو اجرا می کنند.