امروزه مرورگرها از تکنیکی به نام SSL Secure Socket Layer استفاده می کنند تا اطلاعاتی را که بین مرورگر شما و وب سرور مبادله می شود، رمزنگاری کنند. هنگامی که علامت «قفل» در گوشه پایین مرورگر نمایش داده می شود، به این معنی است که مرورگر ارتباط رمزشده امن با سرور برقرار کرده است و لذا ارسال دیتای حساس مانند شماره کارت اعتباری امن است.
اما آیا واقعا این سیستم امن است و می توان از این طریق با اطمینان تراکنشهای حساس مالی را رد و بدل کرد؟ پاسخ این است که SSL فقط ارتباط بین مرورگر شما و وب سرور را امن می کند و برای محافظت از اطلاعات شما در آن سرور کاری انجام نمی دهد.
در شرکت های بزرگ که می توانند سرورها و خطوط ارتباطی با ظرفیت های بالا را اختصاصی و برای ارتباط مستقیم تهیه کنند، تا جایی که شما بتوانید به شرکت اعتماد کنید، مشکلی ایجاد نخواهد شد. اما بسیاری از شرکت های کوچک تر توانایی تهیه سرور اختصاصی را ندارند. آنها از «میزبانی شخص ثالث» استفاده می کنند و این جایی است که عدم امنیت بوجود می آید. شما مجبورید به میزبانی که هیچ شناختی از آن ندارید، اطمینان کنید و به ایمن بودن نحوه دریافت اطلاعاتتان از آن میزبان توسط شرکت مورد نظرتان اعتماد کنید. اما تضمینی برای ایمن بودن این ارتباط نیست!
بیشتر میزبان های وب برای کلاینت های خود یک برنامه (CGI (Common Gateway Interface ارائه می دهند که FormMail نام دارد. آنچه که این برنامه انجام می دهد این است که محتوای یک فرم اینترنتی را، مانند فرمی که شما اطلاعات کارت اعتباری خود را در آن قرار می دهید، می گیرد و از طریق ایمیل به شرکت ارسال می کند. برای این ایمیل نه محافظتی وجود دارد و نه رمزنگاری صورت می گیرد.
آنچه که اتفاق می افتد این است که شرکتی که شما از آن خرید می کنید، ظاهری امن به خود می گیرد تا شما اطلاعات حساس را وارد کنید. سپس همان اطلاعات را از طریق ایمیل معمولی برای شرکت ارسال می کند. در واقع تمای این روال برای دادن یک احساس امنیت کاذب به شماست. بسیار هستند شرکت های کوچکی که سایتشان توسط شرکت های شخص ثالثی میزبانی می شود که ابداً سرویس های امن SSL ارائه نمی کنند.
پرسش هایی که مشتریان در ذهن شان ایجاد می شود، معمولاً در باره نحوه ارسال این اطلاعات و آگاه شدن خودشان از سفارش هایشان است و از طرف دیگر قرار دادن یک فرم امن آنها را قانع می کند که معامله با شرکت مورد نظر از طریق اینترنت امن است و به دانستن نکات دیگر توجهی نشان نمی دهند.
توجه کنید که خود شرکت ها می گویند «هدف یک فرم امن راضی کردن کاربران به وارد کردن جزئیات کارتشان است». با خود فکر کنید که اگر ایمیل کردن اطلاعات کارت اعتباریتان به شرکت بدون استفاده از رمزنگاری، امنیت کافی را دارد، چرا خودتان این کار را نکنید؟ آیا احساس امنیت خواهید کرد اگر بدانید که این شرکت (یا سایر شرکت های مشابه) سهواً شما را فریب می دهند که معاملات به این شکل امن است، در حالیکه نیست؟ هنوز، این شرکت ها مشتریانی دارند که به آنها پول می دهند تا به آنها این حس کاذب را بدهند.
● ایمن کردن معاملات
با وجود تمام این شرکت هایی که به تاجران راه هایی ارائه می کنند تا به مشتریانشان این احساس کاذب امنیت را بدهند، یک شرکت کوچک بمنظور امن کردن واقعی معاملات، چه باید بکند؟ یک روش برای آن شرکت، استفاده از ایمیل های رمزشده مانند PGP است. نسخه هایی از FormMail وجود دارند که از ایمیل رمزشده PGP استفاده می کنند. در حالیکه بعضی از این روش استفاده می کنند، برای بعضی شرکتهای تجاری کوچک بدلیل نداشتن افراد خبره برای تنظیم و استفاده از PGP، این کار مشکل است. بعضی شرکت های میزبان اینترنت وجود دارند که بخش سرور این ارتباط را تنظیم می کنند، اما در طرف کلاینت که یک شرکت کوچک تجاری است باید بتواند PGP را روی کامپیوتر خود نصب و استفاده کند.
روش امن دیگر، ذخیره اطلاعات در پایگاه داده ای روی وب سرور اما در جایی است که از وب دسترسی مستقیم به آن ممکن نباشد. زمانی که شرکت میزبان اینترنت قابل اعتماد نیست و یا قصد دارید امنیت بیشتری را به وجود آورید، این پایگاه داده می تواند رمزنگاری شود. تاجران بعداً می توانند اطلاعات مربوط به معاملات را با استفاده از ارتباط رمزشده SSL خود بازیابی کنند. اما در این روش فروشنده باید بتواند سیستم امن را برای خود ایجاد کند. این عمل به میزان مشخصی از تواناییهای برنامه سازی احتیاج دارد تا اسکریپت های CGI برای استفاده از این سیستم نوشته شود.
بنابراین روند مورد نظر امن به این شکل خواهد بود؛ فرم سفارش امن است و اطلاعات بین کامپیوتر مشتری و سرور بصورت رمز شده خواهد بود. در سرور، اطلاعات بصورت رمزشده در یک پایگاه داده ذخیره می شود. سپس فروشنده از طریق ایمیل از رسیدن سفارش ها مطلع می شود (هیچ گونه اطلاعات مهم و حساس در ایمیل ها قرار ندارد) و بالاخره، فروشنده اطلاعات را از طریق یک ارتباط امن دیگر بازیابی می کند.
بنابراین، وقتی که را ههایی برای تامین امنیت واقعی برای معاملات وجود دارد، چگونه باید مشتری را مطلع کرد که معامله واقعاً امن است یا خیر؟ در حال حاضر راه ساده ای وجود ندارد. مشخصاً، شما می خواهید مطمئن شوید که فرم امن است، بعلاوه می خواهید مطمئن شوید که شرکت به شما حس کاذب امنیت نمی دهد و این حس واقعی است. یک راه این است که به سیاست های حریم خصوصی آن شرکت نگاهی بیندازید (البته با این فرض که چنین چیزی وجود دارد) و مطمئن شوید که در آن ذکر شده است که «اطلاعات کارت اعتباری هیچ مشتری هرگز بدون رمزنگاری از طریق اینترنت ارسال نخواهد شد.»
بهرحال، هنوز روش کاملی برای تضمین امن ماندن اطلاعات وجود ندارد. بنابراین به جمله Caveat Emptor می رسیم که «بگذارید خریدار خود آگاه و مواظب باشد.»

با وجود اینکه استانداردهای امنیتی IT در بعضی از مراکز توسعه دور افتاده و برون مرزی به نظر ظاهری و در سطح پایین هستند، ولی یک سرویس دهنده outsourcing کانادایی می‌گوید، نباید شرکت‌های آمریکای شمالی را از سپردن کار به شرکت‌های معتبر در کانادا یا خارج از آن منصرف نمود، البته پس از وقتیکه آنها کارها و وظایف خود را انجام دادند. اخیرا مقامات امنیتی گفته‌اند که در حال تحقیق روی سرقت سورس کد گزارش شده در Jolly Technologies (مرکز توسعه در Mumbai هندوستان) می‌باشند.
Jolly، فروشنده نرم‌افزار چاپ و ایجاد کننده کارت شناسایی عکس‌ و برچسب واقع در سان کارلوس کالیفرنیا می‌باشد. مرکز Mumbai این شرکت از خط مشی امنیتی پیروی نمی‌کرد و این شرکت بیانیه‌ای را تابستان سال جاری منتشر کرده بود که نشان می‌داد یک کارمند کپی فایل‌های پست‌الکترونیکی حاوی کد مبدا و دیگر اطلاعات محرمانه را روی یک صندوق پست الکترونیکی شرکت یاهو منتقل کرده بود. بعضی از مشاوران امنیتی IT‌ اظهار داشتند که سرویس دهندگان در هند، چین و آرژانتین فاقد استانداردهای مخصوص امنیتی آمریکای شمالی هستند و از آنها پیروی نمی‌کنند. با وجود این، Kim Rowe، موسس شرکت Rowebots Research در اوتاوا که گروه محصولات نرم‌افزاری مشترک را توسعه داده واختصاصی می‌نماید، گفت که ریسک سرقت مالکیت معنوی (IP) فقط به یک منطقه محدود نمی‌شود. او افزود، در حقیقت هر بار شرکت‌ها بخواهند کارهای خود را به پیمانکاران بسپارند، با یک ریسک روبرو می‌شوند.
Rowe گفت، هر بار که شما مالکیت معنوی را از شرکت خود دور می‌کنید، خطر سرقت آن بدست یک کارمند و استفاده مجدد از آن در زمینه‌های مختلف وجود دارد. این فقط قسمتی از هزینه‌ای است که شما باید در تجارت متحمل شوید. او اشاره کرد که احتمال این خطر بسیار کم و ناچیز است ولی موارد مشابه زیادی طی ۱۵ تا ۲۰ سال گذشته در اخبار گزارش شده است. Rowebots که به مشتریان کانادایی خود، کارهایش را محول کرده است و دارای مشتریانی در آمریکا می‌باشد، اکنون چندمین طرح توسعه خود را به اوکراین واگذار می‌کند. Rowe گفت، او این محل را بخاطر استانداردهای توسعه آن و اعتبار کارمندانش و احترامی که به اطلاعات و حقوق بشر قائل هستند برگزیده است. او افزود، Rowebots باید جهت کاهش ریسک سرقت IP برای مشتریان خود، چندین مرحله را پشت سر بگذارد.
او گفت، کنترل‌های امنیتی برای همه افرادی که به اطلاعات یا کد دسترسی دارند، الزامی است و این کنترل باید در هر محلی که کارمندان سکونت دارند صورت گیرد. مقیاس ظاهری و باطنی این امنیت نیز مهم است. Rowe توضیح داد که در بعضی شرایط که Rowebots کار توسعه خود را به مکان دیگری محول می‌کند، مقیاس‌های امنیتی آن بسیار گسترده است. او گفت، بعضی از کارمندان توانایی و اجازه کپی هر مطلبی را روی کامپیوتر ندارند. همچنین هیچ درایو سی‌دی و یا فلاپی موجود نمی‌باشد. شبکه رمزگذاری شده‌ای که از یک کشور خارجی دریافت می‌شود در حال بررسی و آزمایش بوده و به هیچ طریق نمی‌توان به اطلاعات آن دسترسی پیدا کرد. گاهی ما یک قابلیت (بسیار محرمانه) class را معادل استانداردهای کانادایی قرار می‌دهیم. Sheena Woodhead، مشاور مدیریت در کالگری درباره راه‌حل‌های IT و سرویس‌دهندگان EDS کانادا گفت، شرکت او مسائل و موضوعات امنیتی و خصوصی را جدی گرفته و آنها را پیگیری می‌نماید. جنبه تخصصی محافظت از اطلاعات نیز به این صورت است که وقتی توسعه دهندگان روی یک پروژه کار می‌کنند، آنها فقط به کد مبدا یا اطلاعات مورد نیاز خود دسترسی دارند نه به همه کدها.
در حالیکه در Jolly، کارمند متهم توانسته بود فایل‌ها را به یک اکانت پستی وب ارسال نماید. Woodhead افزود، با وجود EDS شما نمی‌توانید از Yahoo یا Hotmail استفاده کنید. ما فایروال‌هایی داریم که امکان دسترسی کارمندان به چنین اکانت‌هایی را میسر نمی‌سازد. علاوه بر این، EDS دارای یک بانک اطلاعاتی آن‌لاین به نام Enterprise Security Information System است که شامل یکسری اسناد امنیتی، پروتکل‌ها، روش‌ها و فرآیندهایی است که کارمندان باید از آنها پیروی کنند.
او گفت، کنترل و حسابرسی بموقع ما جزیی از برنامه‌ (این سیستم) است و بسته به کاری که برای مشتری انجام می‌دهد، EDS باید حسابرسی‌های تخصصی خود را بدون ترتیب و به طور تصادفی انجام دهد و ما نیز ID های کارمندان را به طور اتفاقی و برای اطمینان از مجوز و دسترسی مناسب آنها بازیابی و کنترل می‌کنیم. تمام کارمندان EDS باید کد اجرا و راهنمای شرکت را هر سال مرور کرده و تایید نمایند و شرکت نیز نکات مهم امنیتی و خصوصی را به آنها گوشزد می‌نماید. EDS همچنین دارای یک توافق‌نامه داخلی شرکت درباره محافظت از اطلاعات و امور شخصی است که باید همه کارمندان آنرا امضا نمایند. Woodhead گفت، این یعنی پذیرفتن مجموعه قوانینی برای کنترل اطلاعات درون EDS. وی همچنین افزود این خط مشی یک محیط کاملا مناسب برای محافظت از اطلاعات خصوصی (و محرمانه) را فراهم می‌سازد و پیروی از قانون حفظ اسرار منحصر به بخش دولتی کانادا و PIPEDA یا Personal Information Protection and Electronic Documents Act را که بخش بخصوصی را در بر می‌گیرد یا حتی در مورد Alberta و برتیش کلمبیا، قانون حفظ اسرار بخش خصوصی ایالتی را تضمین می‌کند.

جشاید بار دیگر که با ابزار antispyware خود یک اسکن را انجام دهید، بعضی برنامه‌هایتان را از دست بدهید. بسیاری از شرکت‌های antispyware از جمله Lavasoft، Aluria و Pest Patrol کم‌کم جستجوی adware از شرکت‌‌هایی نظیر Claria و WhenU را متوقف می‌کنند، کاری که delisting نامیده شده است. آنها شرکت‌های adware و شرکت‌های antispy را مجبور کرده‌اند تا نرم‌افزارهایشان را delist کنند. شرکت‌های دیگر به ارسال نامه‌های Cease and delist رو آورده‌اند که کارهای حقوقی را می‌طلبند. در بیشتر موارد برای مشتریان مشکل است که تعیین کنند آیا ابزار antispyware آنها چیزی را از لیست حذف کرده است و اگر چنین است کدام adware را از قلم انداخته است.
Ben Edelman محقق در زمینه Spyware و دانشجوی دانشگاه حقوق هاروارد می‌گوید، وقتی یک برنامه Spyware از لیست حذف می‌شود، کاربران از حضور آن مطلع نخواهند شد. او می‌گوید، این کار به سازندگان Spyware یک شرایط جدید ارائه می‌کند که به آنها امکان می‌دهد کاربران را حفظ کنند، در غیر اینصورت نرم افزارشان برداشته می‌شود.
● درجه Spyware
برخی از برنامه‌های Spyware بدتر از دیگران هستند. یک برنامه Spyware ممکن است تغییرات بسیار شدیدی در برنامه‌های کامپیوتر شما ایجاد کند، در حالیکه برخی دیگر تنها موجب نمایش آگهی‌ها می‌شوند.شرکت‌های Claria و WhenU در حال بررسی شرایطی هستند که برنامه‌های adware آنها به تاکتیک‌های غیرقانونی متوسل می‌شوند، مثل استخراج و کشف سوراخ‌های امنیتی برای نصب خود. هر چند که این نرم‌افزارها ممکن است آزاردهنده باشند، سازندگان adware می‌گویند که از لیست حذف شدن شما در یک دیتابیس اسکنر antiSpyware آبروی یک شرکت را خدشه دار می‌کند زیرا برنامه نه چندان خطرناک آن را به نوعی به برنامه adware بدخیم مربوط می‌سازد، در حالیکه ممکن است برنامه‌های Spyware بسیار خطرناک تر و مهاجم‌تر نیز شناخته شده و وجود داشته باشند.
به اعتقاد Avi Naider از شرکت WhenU، اگر چه بعضی از شرکت‌های adware دیگر احتمالا با انواع meandering شبکه شما را ردیابی می‌کنند و این اطلاعات می‌فروشند، سیاست امنیتی WhenU امکان ردیابی درخواست‌های جستجوی شما را غیرممکن می‌سازد یعنی درخواست‌های جستجویی که کاربر در صفحات وب تایپ می‌کنند تا مرورگری شود غیرقابل ردیابی می‌شوند. هر شرکت antiSpyware از مجموعه معیارهای خاص خود برای تصمیم گیری درباره حذف یا جستجوی یک فایل و یا یک کلید رجیستری مربوط به Spyware استفاده می‌کنند. اغلب حتی اندکی رفتار ممکن است کافی باشد تا یک فایل بر چسب Spyware یا adware را بگیرد. Peter Mackow از شرکت PCTools که سازنده برنامه antiSpyware به نام Spyware Doctor است، می‌گوید این شرکت کل لیست معیارهای خود برای شناسایی انواع Spyware را منتشر نمی‌کند زیرا ممکن است شرکت‌های سازنده Spyware از این اطلاعات استفاده کرده و برنامه Spyware طراحی کند که همه قوانین رامد نظر داشته باشد. یعنی موقعیتی که توسط همه کسانی که با Spyware مبارزه می‌کنند درگیر آن هستند.
Eric L.Howes که در Spywarewarrior.com در امر Spyware مشغول کار است و مشاور در شرکت‌های مختلف در امر نرم‌افزار antiSpyware است می‌گوید، افراد فعال در زمینه Spyware خواهان مجموعه قوانین بسیار سختی از تعریف Spyware هستند تا بتوانند همه آنها را بشناسند. متخصصین توصیه می‌کنند که باید دو یا حتی سه ابزار antiSpyware را به کار ببرید. هر چه تعداد این ابزارها بیشتر باشد احتمال آنکه با اساس خاص هر شرکت antiSpyware روبرو شدید بیشتر است.
● حذف یا عدم حذف از لیست
عادلانه نیست که دائم یک شرکت را بر اساس رفتار گذشته آن در لیست سیاه قرار داد،. بنابراین بعضی از موارد حذف از لیست غیرقابل اجتناب است. اما delisting یک برنامه adware برای سازندگان antiSpyware موقعیت خطرناکی است. در گذشته برخی از سازندگان Spyware و adware به اندازه‌ای نرم‌افزارهای خود را تغییر دادند که تنها برای از سر گیری فعالیت دردسرساز delist‌ شده‌اند. به همین دلیل صنعت antiSpyware در واقع پوست کلفت شده است. delisting چندان متداول نیست زیرا، Edelman می‌گوید، شرکت‌های antiSpyware در مقابل این اقدامات بشدت مقاومت می‌کنند. شرکت‌های adware خود Spyware را به عنوان مسئله‌ای منفی تلقی می‌کنند، بنابراین برخی از شرکت‌های antiSpyware تلاش کرده‌اند تا شرایطی را ایجاد کنند که اساسا یک چیز را می‌‌سازند یعنی استفاده هر چه بیشتر از زبان خنثی‌تر: grayware برنامه‌های اساسا ناخواسته یا نرم‌افزار بالقوه ناخواسته. اما اقای DavidMoll، مدیر ارشد اجرایی Webroot می‌گوید، اگر شرکت‌های antiSpyware سعی کنند که به Spyware نام‌های دیگری بدهند درست وقتی که تعداد بیشتری از مردم کم‌کم با مفهوم Spyware آشنا می‌شوند، این موضوعات پیچیده‌تر می‌شوند.

● BS۷۷۹۹ یعنی چه؟
BS۷۷۹۹ استانداردی انگلیسی و راهنمایی برای حفاظت اطلاعات و تجهیزات سازمان می باشد.BS۷۷۹۹ در دو قسمت ISO/IEC ۱۷۷۹۹:۲۰۰۰ و BS۷۷۹۹-۲ ۱۹۹۹ آمده است.
بخش اول كدهای استانداردی است كه راهنمای اولیه برای حفاظت دارایی و اطلاعات یك سازمان می باشد كه باید اجرا شود.محدوده این استاندارد صوت،اینترنت ، تلفن ها ، نمابر و . . . را در بر می گیرد.
بخش دوم شرایط استاندارد مدیریتی برای مدیریت و امنیت اطلاعات (ISMS) می باشد. با كمك این بخش به سازمانها پیمودن مراحل مختلف این قالب مدیریتی آموزش داده می شود. این قالب ، افراد ، سیستم IT و پروسه های مختلف را در بر می گیرد.
ISMS یا Information Security Management System برای حصول موارد زیر ایجاد می شود.
▪ دارایی های با ارزش كه نیاز به حفاظت دارند مشخص خواهند شد.
▪ سازمان را برای مدیریت خطرها آماده می كند.
▪ كنترل های مختلف را برای این حفاظت ایجاد می كند.
▪ میزان اطمینان مورد نیاز را مشخص می كند.
كنترل هایی كه در BS۷۷۹۹-۲:۱۹۹۹ لحاظ شده است به قرار زیر است :
۱) سیاست های امنیتی
۲) امنیت سازمان
۳) دسته بندی دارایی های با ارزش و كنترل آنها
۴)امنیت افراد
۵) امنیت فیزیكی و محیط كار
۶) امنیت ارتباطات و مدیریت اجرا
۷) كنترل دسترسی ها
۸) سیستم نگهداری و ارتقاء
۹) نقشه ادامه Bussiness شركت
۱۰ ) سازگاری با موارد قانونی
● چرا BS۷۷۹۹ معروف است ؟
بیشتر صحبتها امروزه در مورد BS۷۷۹۹-۲ است كه در سال ۱۹۹۹ منتشر شده است. دلیل محبوبیت این استاندارد در سالهای اخیر اهمیت بسیارزیادحفاظت اطلاعات می باشد.امروزه دسته بندی و درجه بندی اهمیت دارایی های با ارزش سازمان توسط مدیریت سازمان مشخص می شود. هر چقدر این دسته بندی و اطلاعات كامل تر باشند پیشبرد اهداف امنیتی یك سازمان آسان تر صورت خواهد پذیرفت. همانطور كه می دانید “Knowledge is power”.
BS۷۷۹۹-۲ یكی از معدود روشهایی است كه اطلاعات و امنیت آنها را با جزئیات كامل بیان می كند. در واقع چگونگی مدیریت امنیت اطلاعات توسط BS۷۷۹۹ بیان شده است.
▪ سازگاری !
سازگاری با BS۷۷۹۹ سازمان را مجبور می سازد سیستم امنیت اطلاعات را اجرا نموده و مستند نماید همچنین بندهای كنترلی مختلف در آن سازمان اجرا خواهند شد.
▪ گواهینامه !
گواهینامه BS۷۷۹۹ در صورت مستند بودن كلیه موارد امنیتی یك سازمان و همچنین به اجرا درآمدن صحیح آنها به سازمان تعلق می گیرد. در واقع پیاده سازی كلیه كنترلهای BS۷۷۹۹ شرط دریافت گواهینامه می باشد.
قبل از تطابق و حركت در مسیر داشتن این استاندارد موارد زیر مدنظر هستند.
۱) دانستن وسعت و گستردگی كنترلهای مختلف استاندارد
۲) مشخص كردن كنترلهای وابسته به سازمان
۳) سنجیدن فوائد استاندارد با توجه به هزینه ها و زمان
۴) نیازمندیهای قانونی
۵) نیازمندیهای تنظیمی
۶) ساختار سازمان
ممكن است در این ارزیابی اولیه خیلی از سازمانها به این نتیجه برسند كه نیاز برای اجرای كامل استاندارد وجود ندارد و تنها به استاندارد سازی بخشی از سازمان اكتفا نمایند.
● چه مواردی جهت این سازگاری لازم هستند؟
اولین قدم برای رسیدن به این مهم برقراری و نگهداری مستندات ISMS می باشد.
۱) دارایی های با ارزش حفاظت شوند
۲) سازمان به سمت مدیریت خطرات پیش برود
۳) كنترلهای موجود در استاندارد لحاظ شود
۴) درجه امنیت مورد نیاز سازمان تعیین شود
سازگاری با BS۷۷۹۹ اجرای شش مرحله را طلب می كند.
▪ سیاست های امنیت اطلاعات سازمان مشخص می شود.
▪ ناحیه اجرای استاندارد مشخص می شود. سازمان مشخص می كند كدام كنترل ها برای سازمان ضروری می باشند . حاصل این كنترل های انتخاب شده به نیازمندیهای سازمان، دارایی های نیازمند به ایمنی ،مكان و تكنولوژی بستگی دارد.
▪ ارزیابی خطرات : هدف از این ارزیابی مشخص كردن تهدیدها و مخاطرات دارایی ها می باشد. نتیحه این ارزیابی درجه خطر را مشخص می نماید.
▪ مدیریت خطرها می باشد. محدوده مدیریت خطر توسط سیاستهای امنیتی اطلاعات و همچنین میزان امنیت مورد نیاز سازمان مشخص خواهد شد.
▪ انتخاب كنترل ها در بند ۴ استاندارد BS۷۷۹۹ لحاظ شده است كه باید اجرا شوند.
▪ امكان پذیری اجرا مدنظر قرار گیرد
یك سازمان نیاز به مستند كردن كنترلهای انتخاب شده دارد. بعضی از این كنترلها به دلیل ماهیت سازمان نیاز به اجرا ندارند كه باید مشخص شوند.
● شش مرحله اصلی در BS۷۷۹۹
▪ آیا باید گواهینامه گرفت ؟
تصمیم گیری در این مورد كاملا خصوصی است و به موارد زیر و میزان اهمیت امنیت در یك سازمان بستگی دارد.
۱) محدوده امنیتی مشخص شود
۲) مستندات و اجرا با كنترلهای مصوب در استاندارد سازگاری داشته باشد.
۳) استثنا ها مشخص و توجیه منطقی شوند.
بعد از این مراحل می توان برای دریافت گواهینامه BS۷۷۹۹ اقدام كرد لذا نیاز به حضور ارزیاب و كارشناسان BS۷۷۹۹ پیدا خواهد شد.اجرای پیش نیازها پروسه پرزحمت و مداومی را طلب می كند كه باید با دقت و كاملا دقیق اجرا شود. برای اجرا این پیش نیازها نیاز به مرور دوره ای توسط ارزیاب های BS۷۷۹۹ می باشد كه در صورت اخذ گواهینامه BS۷۷۹۹ این بازدید توسط ارزیابان BS۷۷۹۹ هر سه سال تكرار خواهد شد.در آخر ، نتایج اخذ این مدرك و مفید بودن آن در پیشبرد اهداف سازمان باید كاملا مدنظر قرار گیرد.البته اعتباری كه یك سازمان در نتیجه اخذ این مدرك خواهد گرفت باید مورد توجه قرارگیرد.تفكر اینكه اخذ این گواهینامه ۱۰۰% اطلاعات شما را امن می كند كاملا اشتباه است و تنها شما قادر شده اید خطرات را تا حد زیادی پیش بینی كرده ، قانونمند نموده و خنثی نمایید.
● چه مواردی برای اخذ گواهینامه مورد نیاز است؟
برای دریافت این گواهینامه كلیه سازگاریها با بندهای استاندارد صورت پذیرد همچنین نیاز به بازدیدهای دوره ای توسط ارزیابهای BS۷۷۹۹ می باشد. پس از محقق شدن كلیه مراحل و ارزیابی های مختلف و سازگاری كامل، شخص گواهینامه دهنده ازشركت معتبر BSI جهت بازدید نهایی و اعطای گواهینامه مراجعه خواهد كرد.در صورت عدم تطابق بیش از یك كنترل مهم اعطای گواهینامه به آینده و بازدید بعدی منوط خواهد شد.
● نتیجه:
BS۷۷۹۹-۲ استانداردی مدیریتی برای حفاظت از اطلاعات و دارایی های با اهمیت یك سازمان می باشد و اگر سازمان شما نیازمند امنیت اطلاعات است BS۷۷۹۹ نظر شما را تامین خواهد كرد.

از آنجا كه من هیچ‌گاه به پادگان نرفتم و لباس نظامی هم نپوشیدم و با اسلحه رژه نرفتم، تا به حال هیچ اردویی را تجربه نكرده‌ام. اما در یكی از همین روزها به یك اردوی آموزشی برای هكرها رفتم. یك روز را به طور كامل صرف فهمیدن نكات كاری هكرها كردم و دست نوشته‌هایی را گیر آوردم كه حاوی مطالب آموزشی برای به هم ریختن دنیای رایانه‌ها بود. هدف شركت میزبان، TechTrain، یك اردوی آموزشی اخلاقی بود و ۲۴ نفر را به آن دعوت كرده بود. مربی من در آن دوره، آندره ویتاكر، مدیر بخش امنیتی شركت بود كه ده سالی را در سیستم‌های امنیتی بانك‌ها و آموزش نكات لازم در ایمنی سیستم‌های الكترونیكی مؤسسات مالی گذرانده بود. او پیش از شروع مطالب كلاس، خلاصه‌ای از آنچه را كه قرار بود به من بیاموزد، گفت؛ چگونه ویروس بنویسم، چگونه شبكه‌های بی‌سیم را به هم بریزم و چگونه از دام دیواره‌های آتش بگریزم.
●چه شیرین!
شاگردان كلاسی كه من در آن بودم، مردان میانسالی بودند كه مدیریت سیستم‌های پیشرفته‌ای را بر عهده داشتند. آن‌ها در این دوره ۴۳۰۰دلا‌ری شركت كرده بودند تا بفهمند چه نكات تازه‌ای از تهدیدات رایانه‌ای مطرح شده است.
غالب این افراد برای شركت‌های سازنده رایانه، شركت‌های نرم‌افزاری یا برای افرادی كار می‌كردند كه حفظ امنیت كامپیوترهایشان برایشان اهمیت داشت. یك نفر از جدال تمام نشدنی خود با همسرش درباره كار با كامپیوتر حرف می‌زد و یكی دیگر برای خنداندن دیگران چیزی می‌گفت.
اما در این میان ویتاكر با نكته‌هایی كه درباره چگونگی فرار از تله‌های امنیتی یك شركت و مقابله با آن می‌گفت، تحسین همه را برمی‌انگیخت. خود وی نیز كه در اوقات فراغت، وقتش را صرف مقابله با هكرها می‌كند، می‌ایستاد و از ما می‌پرسید: مطالبش جالب است یا نه؟ شاید می‌خواست با این كار هیجان آموزش را بیشتر كند!
●تولد تازه‌
هیجان داشته باشد یا نه، این اردو كاملاً جدی است و افراد حاضر در آن، هدف خاصی را دنبال می‌كنند: كسب مدرك <هكر اخلاقمند> كه توسط انجمن بین‌المللی مشاوران تجارت الكترونیك داده می‌شود. این گروه سال‌هاست چنین برنامه‌ای را مدیریت می‌نماید، اما در حال حاضر بیش از هر زمان دیگر نیاز به متخصصانی احساس می‌شود كه بتوانند مانند هكرهای مخرب فكر كنند.
زمانی شركت‌ها برای مقابله با تهدیدات امنیتی، خود هكرها را به استخدام درمی‌آوردند. اما این كار باعث می‌شد آن‌ها با تجربه‌تر شوند و به تهدید بزرگ‌تری تبدیل شوند. اینجا بود كه آن‌ها به فكر پرورش متخصصانی در داخل سازمان خود افتادند كه به آن‌ها <هكر كلا‌ه‌سفید> می‌گفتند.
اغلب تهدیدات الكترونیكی بنا به اهداف مالی صورت می‌گیرد. آن‌ها تنها به نیت از كار انداختنِ شركت‌های تجاری یا آزاررسانی اقدام به ویروس‌نویسی نمی‌كنند. هدف آن‌ها دیگر معروف‌شدن هم نیست. آن‌ها به دنبال كسب درآمد بیشتر هستند. طبق آخرین آماری كه شركت سیمانتك منتشر كره است، حملات اینترنتی به منظور كشف اسرار محرمانه با رشدی ۷۴ درصدی در نیمه دوم ۲۰۰۵، هشتاددرصد كل تهدیدات را شامل شده است.
●واقعیت هشدار دهنده‌
نكته ترسناك این موضوع در آن است كه برای هك كردن دیگر لازم نیست متخصص سطح بالا یا برنامه‌نویس قهّاری باشید. خود من كه آخرین برنامه كامپیوتریم را در كلاس سوم دبیرستان و آن هم به زبان بیسیك نوشته بودم، با یك ساعت حضور در اردو، توانستم به پایگاه داده بانك مجازی مایكروسافت نفوذ كنم و شماره كارت‌های اعتباری را درآورم.
تنها لازم است عاشق دانستن ترفندها باشید. برای مثال، نام كاربری پیش فرض مایكروسافت SA است و برای كلمه عبور پیش فرض ندارد. خیلی از مدیران شبكه این نام كاربری را تغییر نمی‌دهند. از این رو خیلی از هكرها ابتدا آن را امتحان می‌كنند كه معمولاً موفق هم از آب در می‌آید.
یك نكته دیگر هم این است كه در محل ورود كلمه عبور، علامت نقل قول (") را قرار دهید. اگر پیغام خطایی صادر شد، بدانید آن پایگاه داده را می‌توان به روشی به نام SQL Injection هك كرد. ویتاكر پس از گفتن این نكته دوباره با هیجان پرسید: جالب بود؟ دوست دارید باز هم از این نكات بدانید؟
●در دسترس همه‌
پایگاهی كه من هك كردم، یك پایگاه حقیقی نبود. برای یك كار واقعی به دستورالعمل‌های بسیار بیشتری نیاز است. اما ویتاكر گفت كه تعداد زیادی از پایگاه‌های موجود در شبكه از همین نوع هستند؛ زیرا مدیران از امنیت چیزی نمی‌دانند و مدیران امنیتی، پایگاه داده را خوب نمی‌شناسند. حال فكر بكنید اگر من می‌توانم روش هك كردن پایگاه داده‌های اولیه را به این سادگی بیاموزم، یك فرد ماهر چه بلایی می‌تواند بر سر آن‌ها بیاورد؟
با تعجب پرسیدم: آیا آن‌ها اطمینان دارند كه هكرهای اخلاقمندشان خطا نمی‌كنند؟ ویتاكر پاسخ داد: همیشه افرادی وجود دارند كه از تخصصشان سوء استفاده كنند، اما آن‌ها با تمامی توان، دانش‌آموختگان خود را تحت نظر دارند. آن‌ها را با حقوق خوبی استخدام می‌كنند و در ضمن ضمانت‌نامه‌ای نیز مبنی بر عدم تخطی از اصول اخلاق حرفه‌ای نیز امضا می‌كنند. در كلاس‌های سطح بالاتر، پیشینه افراد هم مورد بررسی قرار می‌گیرد. با این همه، این روزها كسی كه بخواهد هكر شود، راه خود را پیدا می‌كند؛ چه با این كلاس‌ها چه بدون این‌ كلا‌س‌ها!
حجم بالایی از مطالب آموزشی مربوط به این حوزه، در اینترنت یافت می‌شود. مانند بسیاری از نرم‌افزارهای عمومی كه افراد با نوشتن كدها و پایگاه داده آن‌ها را به صورت رایگان در شبكه قرار می‌دهند تا دیگران نیز با استفاده از آن در بسط و گسترش آن نرم‌افزار سهیم شوند، منابع باز بسیار زیادی را برای نگارش ویروس و تروجان می‌توان در اینترنت پیدا كرد.
●زیبای ترسناك!
پس از شش ساعت كلاس فشرده، نوبت به كاربرد آنچه كه تدریس شد رسید؛ هك شماره كارت‌های اعتباری از یك بانك و ایمیل آن به همان بانك! من باید می‌پذیرفتم برای كسی كه سال‌ها پیش تنها یك برنامه ساده آن هم به زبان بیسیك نوشته است، این كار پیچیده است. از این رو وقتی ویتاكر به سراغم آمد تا به من نشان دهد چگونه یك كامپیوتر دیگر را به تروجانی به نام Beast آلوده می‌كند، اصلاً میل و رغبتی نشان ندادم.
Beast را یك دانشجو نوشته بود كه می‌توانست اعمال طرف دیگر را تحت نظر بگیرد. بنابراین تا آنجا كه توانسته بود، روی آن كار كرده بود. این برنامه در اصل برای كنترل webcam اتاق قربانی نوشته شده بود، اما می‌توانست CD درایو، جست‌وجوگر اینترنت، پنجره‌های چت و هر چیز دیگری را كنترل كند. امروزه شما می‌توانید آن را به صورت رایگان دانلود كنید. البته اغلب برنامه‌های امنیتی می‌توانند آن را كشف كنند، اما نیمی از رایانه‌های ایالات متحده فاقد چنین برنامه‌هایی هستند و در هر حال افرادی هستند كه با دریافت كمی پول، برنامه‌هایی بنویسند كه قابل شناسایی هم نباشد.
●واقعیت و روِیا
طبق آمار سیمانتك، اغلب هكرها از دوشنبه تا جمعه از ساعت نُه صبح تا پنج بعدازظهر كار می‌كنند؛ گویی شغلشان این است! دیوید كول، مدیر سیمانتك كه خود ماه‌ها فعالیت آنلا‌ین هكرها را زیر نظر داشت می‌گوید: خونسردی آن‌ها در برابر تخلفات قانونی و میزان تخریبی كه از نظر اقتصادی وارد می‌كنند، برای ما تعجب برانگیز است.
چند روز پیش از ویتاكر پرسیدم: چه احساسی نسبت به فیلم سینمایی فایروال دارد؟ در این فیلم هریسون فورد داستان یك متخصص امنیت الكترونیك را به تصویر كشیده‌است كه دزدان وی را مجبور می‌كنند برای آزادی فرزندش، اطلاعات بانكی را هك كند كه خود مسئِولیت حفاظت از آن را بر عهده دارد. او با آرامش جواب داد: <اما چیزی كه در دنیای واقعی رخ می‌دهد، با دنیای فیلم تفاوت دارد.> بعد از یك روز حضور در اردوی هكرها، حرف او را درك كردم: دنیای واقعی ترسناك‌تر است!