فصل بازبینی‌شده با دسترسی آزاد
ارسال شده: ۳۰ نوامبر ۲۰۱۷ بازبینی شده: ۲۶ فوریه ۲۰۱۸ منتشر شده: ۱۹ سپتامبر ۲۰۱۸
DOI: 10.5772/intechopen.75952
هم‌راستاسازی استراتژی امنیت سایبری با مدیریت ارتباطات در سازمان‌ها | IntechOpen
چکیده
حملات سایبری به‌طور مداوم سازمان‌ها را تهدید می‌کنند. با وجود بهبود تکنیک‌های امنیت سایبری (CS)، مجرمان راه‌های پیچیده‌ای برای مختل کردن سیستم‌ها و سرقت داده‌ها، به‌ویژه در سازمان‌ها، توسعه داده‌اند. آمادگی برای حملات سایبری بسیار مهم است. متخصصان امنیت سایبری (CSPs) مسئولیتی دارند که باید شامل محافظت در برابر آسیب‌های اخلاقی و حمایت از حقوق اخلاقی برای اطمینان از صحت، قابلیت اطمینان، در دسترس بودن و امنیت تمام جنبه‌های اطلاعات و سیستم‌های اطلاعاتی باشد. در صورت بروز شرایط اضطراری، ارتباط موثر بسیار مهم است. در صورت خرابی سیستم‌های فناوری اطلاعات، برقراری ارتباط سریع با کارکنان و هماهنگی یک پاسخ موثر ضروری است. این فصل با توضیحاتی در مورد امنیت سایبری آغاز می‌شود و سپس مشکلاتی را که سازمان‌ها هنگام مواجهه با حملات سایبری با آن روبرو می‌شوند، نشان می‌دهد: این فصل روش‌هایی را برای ارتباط کارآمد و ادغام آن در استراتژی امنیت سایبری شرکت شرح می‌دهد. دامنه این فصل بحث با محققانی است که در زمینه ارتباطات و امنیت سایبری کار می‌کنند و با دانشجویان برای یافتن روش‌های علمی جدید در این حوزه نسبتاً جدید بر اساس برخی تجربیات عملی است؛ و کمک به سازمان‌ها و کارکنان، به‌ویژه CSPها، برای توسعه برنامه‌های ارتباطی و ادغام آنها در برنامه‌های امنیت سایبری خود. تجربیات نویسندگان به ادغام نتایج در برنامه درسی امنیت سایبری از آموزش‌های حرفه‌ای و آموزش عالی کمک خواهد کرد.
کلیدواژه‌ها

امنیت سایبری CS
متخصصان امنیت سایبری
حملات سایبری
محاسبات ابری
پلتفرم‌ها
ایلئانا هامبورگ*

مؤسسه کار و فناوری، WH گلسنکیرشن، گلسنکیرشن، آلمان

کیرا رز گرُش

مؤسسه کار و فناوری، WH گلسنکیرشن، گلسنکیرشن، آلمان

*تمام مکاتبات را به آدرس: hamburg@iat.eu ارسال کنید
۱. مقدمه
در سال‌های اخیر، حملات سایبری به‌طور مداوم سازمان‌ها را تهدید می‌کنند. شرکت‌ها و دفاتر دولتی اقدامات احتیاطی امنیت سایبری را برای تقویت امنیت در حوزه فناوری اطلاعات انجام داده‌اند. صنعت امنیت سایبری (CS) هر سال هم از نظر فرصت‌های شغلی و هم از نظر الزامات نیروی کار و آموزش افزایش می‌یابد. با وجود بهبود تکنیک‌های امنیت سایبری، مجرمان راه‌های پیچیده‌ای برای مختل کردن سیستم‌ها و سرقت داده‌ها، به‌ویژه در سازمان‌ها، توسعه داده‌اند. آمادگی افراد و سازمان‌ها برای حملات سایبری بسیار مهم است. طبق گزارش سالانه امنیت سایبری سیسکو در سال ۲۰۱۷ (https://engage2demand.cisco.com/en-us-annual-cybersecurity-report-2017)، بیش از یک سوم سازمان‌هایی که در سال ۲۰۱۶ با نقض امنیت سایبری مواجه شده‌اند، از دست دادن مشتریان، فرصت‌های تجاری و درآمد گزارش داده‌اند.
در ژانویه ۲۰۱۳، کمیسیون اروپا استراتژی امنیت سایبری را برای اتخاذ اقدامات احتیاطی در برابر حملات سایبری که به‌طور مداوم به شرکت‌ها، دفاتر دولتی و سایر دفاتر استراتژیک مهم انجام می‌شود، تهیه کرد.
متخصصان امنیت سایبری (CSPs) که افرادی هستند که امنیت سایبری را حفظ می‌کنند، نقش ویژه‌ای در پیشگیری از حملات سایبری دارند. آنها مسئولیتی با بعد اخلاقی دارند که باید شامل محافظت در برابر آسیب‌های اخلاقی و حقوق اخلاقی برای اطمینان از صحت، قابلیت اطمینان، در دسترس بودن و امنیت تمام جنبه‌های اطلاعات و سیستم‌های اطلاعاتی باشد. در صورت بروز تهدیدی برای سیستم‌های امنیتی، تصمیمات CSPها بسیار مهم است. در صورت بروز شرایط اضطراری، ارتباط موثر بسیار مهم است. در صورت خرابی سیستم‌های فناوری اطلاعات، برقراری ارتباط سریع با کارکنان و هماهنگی یک پاسخ موثر ضروری است. دو نظرسنجی که توسط Websense حمایت مالی شده و توسط موسسه Ponemon انجام شده است، نشان می‌دهد که فقدان ارتباط بین CSPها، مدیریت ارشد و کارکنان می‌تواند از نظر عملکرد کلی شرکت و تصویر عمومی چه آسیبی وارد کند.
ادبیات کمی در مورد ارتباطات در صورت حمله سایبری وجود دارد، زیرا این موضوع جدید و دشوار است. نویسندگان علاوه بر نظرات خود، تجربیات عملی مشاوران در زمینه امنیت سایبری را ارائه می‌دهند. دامنه این فصل کمک به سازمان‌ها و کارکنان، به‌ویژه CSPها، برای توسعه برنامه‌های ارتباطی و ادغام آنها در برنامه‌های امنیت سایبری خود است. بحث‌ها با سازمان‌ها در طول پروژه‌ها این ضرورت را نشان داد. نتایج در برنامه درسی امنیت سایبری از آموزش‌های حرفه‌ای و آموزش عالی دانشجویان ادغام خواهد شد. موضوع ارتباطات در امنیت سایبری در برنامه درسی موجود گمشده است. این فصل به شرح زیر سازماندهی شده است:
در بخش دوم این فصل، برخی مفاهیم امنیت سایبری و استراتژی امنیت سایبری و همچنین مشکلاتی که سازمان‌ها هنگام مواجهه با حملات سایبری با آن روبرو می‌شوند و نقش CSPها ارائه می‌شود.
در بخش سوم، به مسائلی برای برنامه‌ریزی یک استراتژی ارتباطی امنیت سایبری پرداخته شده است که بر اساس تجربه متخصصان عملی در این زمینه است.
بخش چهارم به روش‌های ارتباط کارآمد و ادغام آن در استراتژی امنیت سایبری شرکت اختصاص دارد. هدف توسعه روش‌های نظری نیست، بلکه ارائه کمک عملی به سازمان‌ها در صورت حمله سایبری و دانشجویانی است که در امنیت سایبری تحصیل می‌کنند.
در بخش پنجم، نمونه‌ای از پروژه اروپایی فعلی امنیت سایبری در مورد امنیت سایبری با شرکایی از آموزش و صنعت ارائه شده است. این پروژه با هدف توسعه اقداماتی برای بهبود آموزش CSPهای آینده و دانش امنیت سایبری سازمان‌ها در توسعه استراتژی‌های امنیت سایبری مناسب از جمله ارتباطات به عنوان بخشی مهم است.
دامنه این فصل از یک سو بحث با محققانی است که در زمینه ارتباطات و امنیت سایبری کار می‌کنند و با دانشجویان برای یافتن روش‌های علمی جدید در این حوزه نسبتاً جدید بر اساس برخی تجربیات عملی است؛ و از سوی دیگر، نویسندگان می‌خواهند به سازمان‌ها و کارکنان، به‌ویژه CSPها، برای توسعه برنامه‌های ارتباطی و ادغام آنها در برنامه‌های امنیت سایبری خود کمک کنند. نویسندگان تجربه در محاسبات ابری و کار در پروژه در مورد امنیت سایبری دارند. برنامه‌ریزی شده است که نتایج تحقیق و پروژه در برنامه درسی امنیت سایبری از آموزش‌های حرفه‌ای و آموزش عالی دانشجویان ادغام شود.
تبلیغات
آیا باید رژیم غذایی خود را برای محافظت از قلب خود تغییر دهید؟
خوردن گوشت قرمز دو بار در هفته خطر ابتلا به بیماری قلبی را افزایش می‌دهد، مطالعه جدید نشان می‌دهد.
۰ ثانیه از ۱ دقیقه و ۱۰ ثانیه حجم ۰٪
۲. امنیت سایبری
امنیت اطلاعات (IS) و امنیت سایبری (CS) اصطلاحات مرتبط نزدیکی هستند و گاهی اوقات به جای یکدیگر استفاده می‌شوند. ریچارد کیسل تعاریف زیر را ارائه داد (https://www.quora.com/Whats-the-difference-between-cyber-security-and-information-security): امنیت اطلاعات—IS حفاظت از اطلاعات و سیستم‌های اطلاعاتی در برابر دسترسی، استفاده، افشا، اختلال، تغییر یا تخریب غیرمجاز به منظور ارائه محرمانگی، یکپارچگی و در دسترس بودن است. این یک حوزه گسترده‌تر است که به اطلاعات و حفاظت از اطلاعات، چه فیزیکی و چه کامپیوتری، می‌پردازد [۱].
امنیت سایبری—CS به عنوان توانایی محافظت یا دفاع از استفاده از فضای سایبری در برابر حملات سایبری تعریف می‌شود. این به حفاظت از فضای سایبری و استفاده از آن در برابر هر نوع جرم می‌پردازد. سردرگمی در مورد اصطلاحات به این دلیل است که امروزه بیشتر اطلاعات به صورت الکترونیکی ذخیره می‌شوند و بیشتر حملات سایبری برای افشای اطلاعات محرمانه، آسیب رساندن به یکپارچگی آن یا سلب دسترسی کاربران مجاز انجام می‌شوند [۲، ۳، ۴].
تهدیدات اطلاعاتی که شامل فضای سایبری نمی‌شوند، تحت امنیت اطلاعات قرار می‌گیرند اما تحت امنیت سایبری قرار نمی‌گیرند.
CS یک اصطلاح گسترده است که شامل حفاظت از زیرساخت‌های حیاتی اطلاعاتی در برابر هکرها و همچنین عناصری است که به عنوان زیرساخت‌های حیاتی اطلاعاتی در نظر گرفته می‌شوند، مانند شبکه‌های اطلاعاتی شرکت‌های کوچک و متوسط یا رایانه‌های شخصی است. استراتژی CS با هدف جلوگیری از حوادث سایبری مخرب است که هم بر زیرساخت‌های حیاتی اطلاعاتی و هم بر زیرساخت‌های غیرحیاتی اطلاعاتی تأثیر می‌گذارد. هدف آن محافظت از کالاها و منابع سازمان‌ها از نظر سازمانی، انسانی، مالی و فنی است تا بتوانند به مأموریت خود ادامه دهند. حملات سایبری به‌طور مداوم سازمان‌ها را تهدید می‌کنند. سازمان‌ها باید اطمینان حاصل کنند که هیچ آسیب قابل توجهی به آنها وارد نمی‌شود که شامل کاهش احتمال تحقق یک تهدید، محدود کردن آسیب یا کمبود تلاش شده و اطمینان از اینکه پس از یک حادثه امنیتی، عملکرد عادی می‌تواند در یک بازه زمانی قابل قبول و با هزینه منصفانه بازیابی شود. CS یک فرآیند پیچیده است که کل جامعه را در بر می‌گیرد.
با توجه به طراحی یک فرآیند و استراتژی امنیت سایبری، ابتدا مهم است که به درستی کالاها و منابعی را که باید از آنها محافظت شود، شناسایی کنید تا دامنه امنیت لازم برای حفاظت کارآمد به دقت تعیین شود. این امر مستلزم یک رویکرد امنیتی جهانی است که باید چند رشته‌ای و جامع باشد.
تهیه یک استراتژی امنیت سایبری ضروری است، اول به دلیل وابستگی جامعه به فضای سایبری، به طوری که امنیت، انعطاف‌پذیری و اعتماد در حوزه اطلاعات و ارتباطات یک مسئله مورد علاقه ملی است. ثانیاً، نقش و فرصت‌های اقتصادی فناوری اطلاعات و ارتباطات و تمایل به به حداکثر رساندن مزایا و بهره‌برداری از فرصت‌های آنها زیاد است [۵].
حملات سایبری، به‌ویژه حملاتی که علیه زیرساخت‌های حیاتی اطلاعاتی انجام می‌شود، می‌تواند تهدیدی برای امنیت ملی باشد و بنابراین استراتژی‌های امنیت سایبری با استراتژی‌های امنیت و دفاع ملی مرتبط هستند. یک استراتژی امنیت سایبری برای حفاظت از محرمانگی، یکپارچگی و در دسترس بودن داده‌ها و سیستم‌های اطلاعاتی، افزایش امنیت، انعطاف‌پذیری، اصالت و اعتماد در حوزه فناوری اطلاعات و ارتباطات ضروری است [۶، ۷].
تبلیغات
۳. مسائل ارتباطی و یک طرح ارتباطات امنیت سایبری
تقریباً در تمام کشورها، نه تنها تکنیک‌های امنیت سایبری (CS) در سازمان‌ها بهبود یافته است، بلکه مجرمان نیز راه‌های خود را برای مختل کردن سیستم‌ها و سرقت داده‌های افراد و به‌ویژه در سازمان‌ها بهبود بخشیده‌اند. نیاز به آماده‌سازی سازمان‌ها و کارکنان برای حملات سایبری بسیار مهم است.
به منظور جلوگیری از تصمیماتی که می‌تواند بر شهرت سازمان تأثیر منفی بگذارد، یک طرح ارتباطات بحرانی جامع ضروری است [۸].
یک طرح ارتباطی نیازمند کار جمعی با نقشه راه و وظایف آسان نیست. یک راه پیشنهادی توسط جاش مرکین الهام گرفتن از یک ترفند قدیمی روزنامه‌نگاری و استفاده از ۵W است: چه کسی، چه چیزی، چه زمانی، کجا و چرا (http://www.odwyerpr.com/story/public/9215/2017-08-09/communications-plan-for-cybersecurity-breaches.html).
چرا: هدف اصلی این طرح جلوگیری از از دست دادن مشتریان و درآمد است. بسیاری از شرکت‌ها طرح ارتباطات بحرانی ندارند، یعنی برای نقض داده‌ها، اغلب به دلیل منابع کمتر مانند زمان و پول. گاهی اوقات، این طرح اولویت ندارد زیرا تأثیر فوری یا مستقیمی بر سود تجاری ندارد.
چه کسی: ابتدا، مهم است که مشخص شود چه کسانی باید در توسعه طرح ارتباطی دخیل باشند. یک شرکت شریک/مدیر، مدیرعامل و غیره را مدیریت می‌کند. یک مدیر بازاریابی یا ارتباطات احتمالاً بهترین تصمیم نیست. ورودی باید از تیم اجرایی و IT (CS) شرکت، مشاور حقوقی، رهبران اداری و آژانس‌های ارتباطات و فروشندگان نرم‌افزار (در صورت وجود) بیاید. ورودی سطح بالایی استراتژیک از رهبران ارشد و روسای بخش‌ها برای اطمینان از پوشش همه سناریوها ضروری است (http://www.odwyerpr.com/story/public/9215/2017-08-09/communications-plan-for-cybersecurity-breaches.html).
جنبه مهم دیگر این است که در صورت حمله سایبری، تصمیمات فوری با تأثیرات بالقوه قابل توجه باید گرفته شود. بنابراین، فعالیت‌های ذکر شده در این طرح باید به سرعت اجرا شوند.
در طول فرآیند برنامه‌ریزی، مهم است که مشخص شود چه کسانی تصمیم‌گیرندگان کلیدی هستند، چگونه هنگام فرا رسیدن زمان کار خواهند کرد و چه کسی وظایف خاصی را بر عهده می‌گیرد.
در جنبه سوم، ذینفعان از جمله کارکنان، مشتریان و احتمالاً رسانه‌ها، انجمن‌های حرفه‌ای، مجریان قانون و حتی نهادهای دولتی باید با آنها تماس گرفته شود.
چه چیزی: این طرح باید شامل پیام‌های کلیدی اساسی و دسته‌های اطلاعاتی باشد که شرکت در صورت حمله سایبری باید با مخاطبان خود به اشتراک بگذارد. اطلاعات باید به طور خلاصه با توجه به وضعیت سازگار شود، اما محتوای اساسی باید از قبل تهیه شود، از جمله بیانیه برای مطبوعات، یادداشت‌های داخلی و خارجی، یک بیانیه خبری و پیام‌رسانی برای کانال‌ها و وب‌سایت‌های دیجیتال شرکت.
باید به سؤالاتی پاسخ داده شود، یعنی اگر حمله ناشی از خطای کارمند یا نرم‌افزار باشد، چه مقدار داده به خطر افتاده است و توسط چه کسی؟ نوشتن برخی از این سناریوها از قبل مفید است و درگیر کردن همه تصمیم‌گیرندگان کلیدی در فرآیند توسعه مفید است (http://www.odwyerpr.com/story/public/9215/2017-08-09/communications-plan-for-cybersecurity-breaches.html).
کجا: باید برنامه‌ریزی شود که شرکت چه کانال‌هایی برای برقراری ارتباط با مخاطبان خود در اختیار دارد، یعنی رسانه‌های اجتماعی، ایمیل، درخت‌های تلفنی و مستقیماً با شخص. برای هر مورد بسته به وضعیت و اقدامات مورد نیاز، تصمیم گرفته می‌شود که کدام کانال‌ها ترجیح داده شوند یا همه آنها را استفاده کنید.
چه زمانی: باید تعیین شود که چه زمانی طرح اجرا می‌شود و چگونه تیم پاسخگویی را فعال می‌کند. این مسائل باید به تفصیل مشخص شوند.
نقش خاصی برای CSPها وجود دارد، بنابراین انتظار می‌رود که CSPها در توسعه و اجرای یک طرح ارتباطی تلیک برای بدترین سناریو مشارکت کنند.
تبلیغات
۴. مسائلی که باید توسط یک ارتباط/پاسخ در نظر گرفته شود
روش‌های ارتباطی و کانال‌های متعددی می‌توانند در صورت حمله سایبری تحت تأثیر قرار گیرند، مانند سیستم تلفن و صندوق صوتی خود اگر مبتنی بر VOIP باشند، سیستم تلفن شرکت، وب‌سایت شرکت (اگر به صورت داخلی میزبانی شود)، ارتباط با مشتریان، کارکنان، عموم مردم و رسانه‌ها (www.continuitycentral.com/…communications…communications…/file).
در صورتی که شبکه اصلی به خطر بیفتد، هر کامپیوتر به یک ماشین مستقل با دسترسی به سوابق شرکت تبدیل می‌شود. اطلاعات تماس کارکنان، لیست‌های فروشندگان یا سایر لیست‌های تلفنی کلیدی ممکن است در دسترس نباشند.
علاوه بر یک طرح ارتباطی/پاسخ، برخی از مسائل مربوط به زیرساخت فناوری اطلاعات باید در نظر گرفته شود. نیک هاوکینز از EMEA می‌گوید.
چه کسی باید در یک طرح پاسخ IT گنجانده شود؟

مسئول امنیت IT: باید مشکلات را برطرف کند و اگر سازمان تیم امنیتی ندارد، باید به کارکنان اختصاص داده شود تا در صورت بروز بحران مسئول طرح پاسخ باشند.
تیم حادثه برای هماهنگی پاسخ، یعنی چه کسی باید با او تماس گرفته شود تا یک نقطه ارتقاء تعریف شود.
مشاور حقوقی ضروری است، یعنی اگر جزئیات کارت اعتباری مشتری به سرقت رفته باشد.

ذینفعان چه کسانی هستند؟
باید به ذینفعان متعددی توجه شود:

مدیران ارشد
واحد روابط رسانه‌ای برای پیام‌رسانی و اطلاع‌رسانی به مشتریان در مورد حادثه و مطبوعات
خدمات مشتری برای آماده شدن برای سوالات ورودی
کارمندان برای به‌روز ماندن در طول فرآیند برای آماده شدن برای تماس از مشتریان و مطبوعات
مشتریان برای اطلاع‌رسانی در زمان واقعی در مورد نقض داده‌ها

تبلیغات
۵. بهترین شیوه‌های ارتباطات داخلی امنیت سایبری
در صورت حمله سایبری، کار تیمی و ارتباطات بین بخش‌ها برای اطمینان از اینکه تمام اقدامات امنیتی اعمال می‌شوند، بسیار مهم است. بخش IT باید با مدیر ارشد امنیت اطلاعات (CISO) - که یک مدیر ارشد با وظایفی از جمله توسعه معماری امنیت اطلاعات شرکت برای محافظت از سیستم‌ها و دارایی‌های خود است - ارتباط برقرار کند. در ادامه چند داستان واقعی از برد برنی ارائه شده است (http://blog.securitymetrics.com/2015/03/internal-communication-for-it-security.html).
رئیس مشتری باید با مدیر توسعه صحبت کند وقتی مشتری یک اشکال امنیتی در وب‌سایت خود پیدا کرد (داستان واقعی).
در صورت حمله، رئیس باید اقدام کند اگر بخش تحت تأثیر عدم ارتباط متقابل قرار گیرد و مشتریانی که داده‌های آنها توسط هکری به دلیل چنین مشکلی در ارتباطات به سرقت رفته است.
در ادامه، برخی از جنبه‌ها برای جلوگیری از مشکلات ارتباطی در یک سازمان ارائه می‌شود:
تبلیغات
۶. فرهنگ ارتباطات امنیت سایبری
برد برنی گفت: «ممکن است فرهنگ ارتباطات ضعیف از شرکت‌های دیگر هنگام استخدام کارکنان از بیرون وارد شود. اگر بخش IT سه کارمند جدید را از سه شرکت فناوری مختلف استخدام کند، هر کدام انتظارات متفاوتی در مورد نحوه عملکرد تیم خود خواهند داشت» (http://blog.securitymetrics.com/2015/03/internal-communication-for-it-security.html).
ممکن است شاخه‌های صنعت در شرکت‌هایی با مشخصات صنعت مشابه از اصطلاحات متفاوتی برای توصیف آن استفاده کنند و بنابراین ممکن است تنش‌هایی ایجاد شود.
ارتباطات ضعیف می‌تواند منجر به از دست دادن کارکنان ماهر شود تا دلسرد شوند.
ارتباطات صحیح شامل جلسات داخلی است که در آن کارکنان می‌توانند در مورد مشکلات امنیت سایبری با یکدیگر صحبت کنند. گاهی اوقات، در جلسات داخلی، اهداف دیگری اولویت دارند یا CSPها نمی‌دانند که استراتژی درست چیست.
کارمندان دلسرد شده که ارتباطات ضعیفی دارند در معرض خطر ترک شرکت هستند. برد برنی برخی از این مشکلات را در یک محیط دلسرد کننده نشان می‌دهد: «هیچ کس به امنیت اینجا اهمیت نمی‌دهد (...) هیچ کس من را در این شرکت دوست ندارد (...) هیچ کس ماه گذشته از من در مورد گزارش امنیتی نپرسید» (http://blog.securitymetrics.com/2015/03/internal-communication-for-it-security.html).
برد برنی با برخی از CSPهای ناراضی و سایر کارکنان صحبت کرد و شرکت این که حقوق همیشه نقش تعیین‌کننده‌ای در انگیزه دادن به آنها برای کار ندارد، بلکه فرهنگ شرکت و ارتباطات تیمی را به عنوان کلید موفقیت و شادی در نظر می‌گیرند. یک محیط کاری بهتر نقطه خوبی برای شادی است.
فقدان ارتباطات و کاهش امنیت شرکت، به ویژه امنیت سایبری، عوامل مهمی هستند.
برنی گفت که در یک ممیزی که انجام داده است، یک مدیر و او از این که چرا گزارش‌های IDS/IPS بررسی نمی‌شوند، سردرگم بودند. وقتی پرسید، کارمند IT به سادگی گفت: «هشدارها از IDS پر سر و صدا بودند، بنابراین آنها را خاموش کردم.»
در ادامه برخی از روش‌ها برای بهبود ارتباطات در استراتژی‌های CS ارائه می‌شود:
۶.۱. بهبود ارتباطات در استراتژی‌های امنیت سایبری از طریق آموزش
دیوید پیج گفت: «اجازه ندهید آموزش کارکنان در کنار امنیت داده‌ها قرار گیرد» (https://de.search.com/web?q=microsoft+onlineportal&qo=serpSearchBox&qsrc=1).
امنیت سایبری فقط به قفل‌ها، فایروال‌ها و آخرین فناوری برای محافظت از داده‌های حساس کارکنان مربوط نمی‌شود، بلکه به آسیب‌پذیری آنها نیز مربوط می‌شود.
کارمندان اشتباه می‌کنند و هکرها از این فرصت برای دسترسی به داده‌ها استفاده می‌کنند. بسیاری از حملات سایبری و تخریب داده‌ها به دلیل اقدامات ناخواسته کارکنان رخ می‌دهد که آسیب‌پذیری کسب و کار سازمان را افزایش می‌دهد، یعنی با کلیک بر روی یک ایمیل فیشینگ که بدافزار را دانلود می‌کند و اطلاعات حساس را به شخص دیگری می‌دهد یا استفاده از رمزهای عبور غیرمحافظ.
یک مشکل رایج این است که یک استراتژی امنیت سایبری و سیاست‌های امنیتی در یک سازمان به کارکنانی نیاز دارد که از آنها آگاه نیستند، یعنی در مورد سیاست‌های موجود در مورد آنچه باید در صورت حمله سایبری انجام دهند، مطلع شوند. در این صورت، کارکنان ممکن است مرتکب اشتباه شوند یا زمان را در گزارش آن به افراد مناسب تلف کنند و به طور بالقوه آسیب بیشتری به سازمان وارد کنند [۹].
مشکل دیگر مهندسی اجتماعی است که به سرعت به یک تهدید بزرگ برای مشاغل در همه انواع و اندازه‌ها تبدیل می‌شود. در امنیت، مهندسی اجتماعی یک اصطلاح گسترده است که برای حمله فناوری اطلاعاتی استفاده می‌شود که به شدت به تعامل انسانی متکی است و اغلب شامل فریب دادن افراد دیگر برای نقض رویه‌های امنیتی عادی است [۱۰].
مهندسی اجتماعی به تکنیک‌هایی اطلاق می‌شود که برای بهره‌برداری از آسیب‌پذیری‌های انسانی برای دور زدن سیستم‌های امنیتی و جمع‌آوری اطلاعات استفاده می‌شود. حملات مهندسی اجتماعی شامل تعامل با افراد دیگر است و جنبه‌های روانشناختی و اخلاقی را نیز نشان می‌دهد. در مورد مهندسی اجتماعی (SE)، نظرات مختلفی وجود دارد [۱۱، ۱۲].
مهندسی اجتماعی:

به عنوان هک انسانی شناخته می‌شود
به استفاده از خطای انسانی یا ضعف برای دسترسی به هر سیستمی با وجود لایه‌های کنترل امنیتی دفاعی که از طریق نرم‌افزار یا سخت‌افزار پیاده‌سازی شده‌اند اشاره دارد
هنر فریب دادن کارکنان و مصرف‌کنندگان برای افشای اعتبار خود و سپس استفاده از آنها برای دسترسی به شبکه‌ها یا حساب‌ها است

مشکل مهندسی اجتماعی این است که به طور خاص کارکنان را هدف قرار می‌دهد. اگر کارکنان آموزش ندیده باشند تا تاکتیک‌های مهندسی اجتماعی را تشخیص دهند، ممکن است در معرض نقض داده‌ها قرار گیرند. یک اخطار فوری باید در آموزش کارکنان در استراتژی‌های CS گنجانده شود.
آموزش کارکنان در مورد بهترین شیوه‌های اساسی CS مهم است، زیرا مشکلاتی مانند اسکن ایمیل فیشینگ و مهندسی اجتماعی می‌تواند بر هر کارمند در سازمان تأثیر بگذارد. کارکنانی که به داده‌های حساس دسترسی دارند باید یاد بگیرند که چگونه از آن محافظت کنند.
برخی از موضوعات برای آموزش می‌تواند باشد:
(https://de.search.com/web?q=microsoft+onlineportal&qo=serpSearchBox&qsrc=1)

استفاده از فناوری
مدیریت رمز عبور
روش‌های رسیدگی به داده‌ها
برنامه‌های پاسخ به حادثه
بهترین شیوه‌های امنیت داده‌ها
تکنیک‌های مهندسی اجتماعی

در مورد ارتباطات و جلسات، برگزاری جلسات سالانه کافی نیست زیرا کارکنان باید از اولویت دادن به جنبه‌های امنیت سایبری در فعالیت‌های روزانه خود آگاه باشند. برخی از نکات ارائه شده توسط دیوید پیج به شرح زیر است:
(https://de.search.com/web?q=microsoft+onlineportal&qo=serpSearchBox&qsrc=1)

برگزاری جلسات آموزشی ماهانه: هر ماه بر روی جنبه متفاوتی از امنیت سایبری مانند رمزهای عبور، مهندسی اجتماعی، فیشینگ ایمیل و غیره تمرکز کنید.
ارسال یادآوری‌های مکرر: این می‌تواند در یک ایمیل یا خبرنامه ارسال شود که شامل نکاتی برای کارکنان باشد.
آموزش کارکنان در مورد سیاست‌های جدید ASAP: همچنین، کارکنان تازه استخدام شده باید در اسرع وقت در مورد سیاست‌ها آموزش ببینند.
در دسترس قرار دادن مواد آموزشی: سایت‌های اینترانت راهی عالی برای ارائه دسترسی به آموزش و اطلاعات سیاست هستند
ایجاد مشوق‌ها: پاداش دادن به کارکنان برای فعال بودن.

از طریق ارتباط فعال، همه کارکنان باید درک کنند که نقش مهمی در حفظ امنیت داده‌های کسب و کار دارند. آموزش کارکنان باید اولویت اصلی در هر استراتژی CS باشد.
۶.۲. ارتباطات داخلی به عنوان یک کار دائمی
ارتباطات، از جمله در CS، یک مشکل پیچیده است و نمی‌توان هر مرحله را از قبل تعریف کرد، اما می‌توان برخی از جنبه‌ها را در نظر گرفت:

مدیران بخش و مدیرعاملان باید از ارتباطات داخلی ضعیف در مورد CS آگاه باشند.
تعریف آموزش با برخی موضوعات مانند:
خود مشکل
چگونه مشکل به شرکت، کارکنان و مشتریان آسیب می‌رساند
تعریف واضح فرآیند چگونگی ارتباط برقرار شود
اگر احساسات جریحه‌دار شده‌اند چه باید کرد
چگونه می‌توان شکایات را مطرح کرد
برگزاری جلسات «نیاز» بین‌بخشی با تمرکز بر بحث در مورد آنچه هر بخش از بخش دیگر نیاز دارد، از جمله زمان‌بندی‌ها، نقاط عطف و اهداف.
رسیدگی به احساسات جریحه‌دار شده - همه دیدگاه خود را در مورد نحوه رسیدگی به مسائل خاص دارند.
به کارکنان بگویید چرا - گاهی اوقات کارکنان فقط می‌خواهند بدانند «چرا» چیزها. چرا این محصول را می‌خریم؟ چرا محصولی را که من تحقیق و پیشنهاد کردم نخریدیم؟ چرا این راه حل را پیاده‌سازی نکردیم؟ چرا؟ وقتی کارکنان پاسخ سوالات خود را دریافت نمی‌کنند، تصمیم می‌گیرند امور را به دست خود بگیرند. و اینجاست که مشکلات امنیتی و فرآیند شروع می‌شوند. به یاد داشته باشید، کارکنان کلیدهای پادشاهی را در اختیار دارند. شما به ندرت چیزی فراتر از چک را در اختیار دارید. به سوالات کارکنان در اسرع وقت و به طور خلاصه پاسخ دهید.
شروع تمرینات ارتباطی سرگرم‌کننده.

تبلیغات
۷. نقش CSPها
متخصصان امنیت سایبری (CSPs) نقش ویژه‌ای در پیشگیری از حملات سایبری دارند. در صورت بروز تهدیدی برای سیستم‌های امنیتی، تصمیمات متخصصان امنیت اطلاعات بسیار مهم است. در صورت بروز شرایط اضطراری، ارتباط موثر بسیار مهم است. نظرسنجی که توسط Websense حمایت مالی شده و توسط موسسه Ponemon انجام شده است، نشان می‌دهد که فقدان ارتباط بین CSPها و مدیریت ارشد می‌تواند از نظر عملکرد کلی شرکت و تصویر عمومی چه آسیبی وارد کند (https://www.entrepreneur.com/article/235318).
بیش از ۵۰۰۰ متخصص IT از ۱۵ کشور از جمله ایالات متحده معتقدند که کنترل‌های امنیتی سازمان‌های آنها محافظت کافی در برابر حملات سایبری پیشرفته ارائه نمی‌دهند. آنها تأیید می‌کنند که مدیران اجرایی کنترل‌های امنیتی موثر را پیاده‌سازی نمی‌کنند و ارزیابی نقض داده‌ها را با ضرر مالی انجام نمی‌دهند. این نتیجه‌گیری مطالعه‌ای است که توسط موسسه Ponemon (https://www.ponemon.org/data-security) انجام شده است که اکثر متخصصان CSP در انتقال موثر خطرات امنیتی به مدیریت ارشد شکست می‌خورند.
این گزارش‌ها نشان می‌دهد که CSPها علاوه بر مدیریت و توسعه طرح‌های پاسخ به تهدیدات امنیتی نوظهور، باید خطرات امنیتی را به مدیریت ارشد اطلاع دهند و آنها را متقاعد کنند که منابع کافی را برای محافظت در برابر نقض داده‌ها اختصاص دهند.
طبق مطالعه‌ای که توسط HP Enterprise Security Products حمایت مالی شده است (http://www8.hp.com/us/en/hp-news/press-release.html?id=1571359)، ۳۰ درصد از هزینه نقض داده‌ها به دلیل اختلال تجاری یا از دست دادن بهره‌وری بود. این مطالعه نشان داد که شرکت‌هایی که در منابع کافی سرمایه‌گذاری می‌کنند، طرح‌های ارتباطی را توسعه می‌دهند، یک رهبر امنیتی سطح بالا را تعریف می‌کنند و از CSPهایی استخدام می‌کنند که هزینه‌های کمتری نسبت به شرکت‌هایی دارند که این شیوه‌ها را پیاده‌سازی نکرده‌اند، دارند.
برخی از ایده‌ها در مورد نحوه ارتباط بین CSPها و مدیران اجرایی در گزارش سال ۲۰۱۴ Websense-Ponemon (https://de.search.com/web?q=microsoftonlineportal+login&qo=serpSearchBox&qsrc=1) آورده شده است. این گزارش چندین دلیل کلیدی برای عدم اثربخشی ارتباطات بین مدیران اجرایی و CSPها را نشان داد.
بحث‌های امنیتی در سطح پایین رخ می‌دهند و به ندرت به توجه مدیران اجرایی جلب می‌شوند. گاهی اوقات، هشدارهای CSPها بیش از حد فنی هستند و تهدیدات را به زبانی قابل فهم تبدیل نمی‌کنند. انتقاد از شیوه‌های موجود اغلب قبل از ارائه به مدیریت فیلتر می‌شود.
برخی از جنبه‌های مفید:

اطمینان حاصل کنید که تیم‌های چند وظیفه‌ای می‌توانند به طور موثر ارتباط برقرار کنند و آگاهی از این خطرات گسترش یابد. افرادی در بخش‌های مهندسی، فروش و بازاریابی نیز باید از خطرات امنیتی آگاه باشند.
CSPs باید جزئیات فنی خطرات امنیتی را به اطلاعاتی تبدیل کنند که مدیران ارشد بتوانند به راحتی آن را درک کنند.
CSPs باید این مسائل را مستقیماً با مدیرعامل و تیم اجرایی مطرح کنند و آنها را از طریق بازیگران میانی فیلتر نکنند.
با حرکت بیشتر داده‌ها به سمت ابر و دستگاه‌های دیگر، شرکت‌ها با خطر بیشتری برای از دست دادن اطلاعات حساس به مهاجمان یا کاربران غیرمجاز مواجه می‌شوند. طبق گفته لوبلی (https://www.linkedin.com/in/colinlobley/)، بسیاری از مشاغل پارامترهای کمی برای ریسک تعیین نمی‌کنند، بلکه زبان را همسو می‌کنند.

در یک مثال واقعی، لوبلی با مشتری خارج از بخش فناوری کار می‌کرد. وقتی از کارکنان خط مقدم پرسید که یک حادثه که باعث از کار افتادن سیستم IT به مدت ۲ ساعت شده است، چگونه بر کسب و کار تأثیر گذاشته است، پاسخ ساده بود: «خیلی زیاد نیست». با صحبت با مدیریت، به زودی مشخص شد که شرکت خود را در معرض خطر قابل توجهی قرار داده است.
۷.۱. محاسبات ابری فرصت‌های زیادی را برای پلتفرم‌های ارتباطی ارائه می‌دهد
یک پلتفرم ارتباطی مبتنی بر IT می‌تواند برای موارد زیر استفاده شود:

اطلاعات کارکنان: ارسال اطلاعات به کارکنان در مورد وضعیت شرکت و پیام‌رسانی
پل‌های کنفرانس: استفاده از پل‌های کنفرانس رایگان برای تماس تلفنی کارکنان، فروشندگان، مدیران ارشد، اعضای هیئت مدیره و سایر ذینفعان کلیدی
گروه‌های ذینفعان: استفاده از گروه‌های از پیش تعریف شده که برای ارسال اطلاعات از طریق تلفن، متن، ایمیل، تماس صوتی به متن، هشدارهای برنامه و غیره ایجاد شده‌اند. برای هر مورد بسته به وضعیت و اقدامات مورد نیاز، تصمیم گرفته می‌شود که کدام کانال‌ها ترجیح داده شوند یا همه آنها را استفاده کنید.
محاسبات ابری «مدلی برای فعال کردن دسترسی شبکه‌ای راحت و در صورت تقاضا به یک مجموعه مشترک از منابع محاسباتی قابل تنظیم (به عنوان مثال، شبکه‌ها، سرورها، ذخیره‌سازی، برنامه‌ها، خدمات) است که می‌تواند با حداقل تلاش مدیریتی یا تعامل ارائه‌دهنده خدمات به سرعت تأمین و آزاد شود» (تعریف NIST). محاسبات ابری به شرکت‌ها اجازه می‌دهد تا از منابع به عنوان یک سرویس استفاده کنند تا اینکه مجبور باشند زیرساخت‌های محاسباتی را به صورت داخلی بسازند و نگهداری کنند [۱۳، ۱۴، ۱۵].
بیشتر سازمان‌ها برای برقراری ارتباط در صورت بروز بحران به ایمیل داخلی اعتماد می‌کنند، در حالی که یک حمله سایبری ممکن است بر شبکه ایمیل تأثیر بگذارد. با این کار، سازمان‌ها مشکل را تشدید می‌کنند و به طور بالقوه اطلاعات مهم شرکت را در اختیار هکرها قرار می‌دهند.
با داشتن سیستمی که کاملاً مستقل از شبکه ارتباطات داخلی عمل می‌کند، سازمان‌ها می‌توانند اطمینان حاصل کنند که خطوط ارتباطی دو طرفه بین مدیریت و کارکنان حتی در صورت حمله سایبری یا قطعی IT که ممکن است شبکه داخلی را به خطر بیندازد، باز می‌مانند.
مزایای انتخاب یک پلتفرم مبتنی بر ابر در صورت بروز بحران دوگانه است. اولاً، آنها به شرکت‌ها اجازه می‌دهند تا عملکردهای نقشه‌برداری موقعیت مکانی را به راحتی بر روی تلفن‌های هوشمند کارکنان نصب کنند، به این معنی که کسب و کار می‌تواند هشدارهای منظم و به‌روزرسانی‌هایی در مورد آخرین مکان‌های شناخته شده کارکنان خود دریافت کند. این ثروت از داده‌ها به راحتی در دسترس است در صورت بروز بحران، اطمینان حاصل می‌شود که مدیریت نه تنها می‌تواند مکان همه کارکنان خود را پیدا کند، بلکه می‌تواند یک پاسخ موثرتر را هماهنگ کند، تخصیص منابع را در اولویت قرار دهد و به کسانی که در معرض خطر هستند کمک کند. بدون این عملکرد نقشه‌برداری موقعیت مکانی، مشاغل مجبور می‌شوند فقط به روش‌های سنتی ارتباطی برای یافتن اینکه کارکنانشان کجا هستند تکیه کنند.
ثانیاً، یک پلتفرم ارتباطی امن مبتنی بر ابر به کاربران امکان می‌دهد تا به سرعت و به طور قابل اعتماد پیام‌های امن را به همه اعضای کارکنان، کارمندان فردی و گروه‌های هدف خاص ارسال کنند. این اعلان‌های بحرانی از طریق چندین مسیر ارتباطی از جمله پیامک، ایمیل، تماس‌های VOIP، هشدارهای متنی صوتی، اعلان‌های برنامه و غیره ارسال می‌شوند. در واقع، با نصب نرم‌افزار مبتنی بر ابر بر روی تلفن هوشمند یک کارمند، بیش از ۱۰۰ مسیر ارتباطی مختلف وجود دارد که مدیریت می‌تواند برای برقراری ارتباط و ارسال پیام‌های امن به نیروی کار خود، در هر کجا که باشند، استفاده کند. این یک حوزه کلیدی است که پلتفرم‌های مبتنی بر ابر نسبت به سایر ابزارهای ارتباطات بحرانی برتری دارند. بر خلاف بلستر پیامک‌های گذشته، اعلان‌ها نه تنها از طریق همه کانال‌ها و مسیرهای ارتباطی موجود ارسال می‌شوند، بلکه تا زمانی که گیرنده آنها را تأیید نکند، به ارسال ادامه می‌دهند.
تبلیغات
۸. مورد پروژه امنیت سایبری اروپا
پروژه اروپایی امنیت سایبری (www.cybersecurityplus.org) با شرکایی از آموزش، تحقیق و صنعت/کسب و کار از استراتژی امنیت سایبری اروپا حمایت می‌کند.
هفت کشور شریک این پروژه نگران توسعه یک استراتژی قوی هستند که مجموعه‌ای از تمام اقدامات ملی و بین‌المللی برای محافظت از در دسترس بودن فناوری اطلاعات و ارتباطات و یکپارچگی، اصالت و محرمانگی داده‌ها در فضای سایبری است [۱۶].
یکی از جنبه‌های دشوار، آماده‌سازی CSPهای آینده است. با توجه به شیوه‌های اروپایی و آموزش، هیچ نهادی در کشورهای شریک پروژه مانند آلمان مسئول برنامه‌های آموزشی و حرفه‌ای برای افزایش آگاهی عمومی، ترویج دوره‌های CS و ارتباطات در CS نیست. هیچ دوره CS در مدارس حرفه‌ای وجود ندارد، این یک شکاف در حال حاضر است، همچنین یک رشته امنیت سایبری در برنامه‌های درسی دوره‌های حرفه‌ای گنجانده نشده است. بنابراین، یکی از اهداف پروژه Erasmus+ امنیت سایبری انتشار مسائل امنیت سایبری در آموزش رسمی و غیررسمی و سازمان‌ها و ارتقای توسعه و مهارت‌های معلمان، مربیان و CSPها است که به ایجاد فرهنگ CS و استراتژی‌های ارتباطی در سازمان‌ها کمک می‌کند.
از طریق تحقیقات کوتاه در شیوه‌های اروپایی و آموزش، توسعه یک برنامه درسی در آموزش امنیت سایبری از جمله استراتژی‌های ارتباطی، برگزاری سمینارها و کنفرانس‌ها در آموزش‌های حرفه‌ای، آموزش عالی و سایر سازمان‌ها و توسعه و توزیع یک کتاب در مورد امنیت سایبری، از جمله یک فصل در مورد ارتباطات، این پروژه به بهبود دانش و مهارت افراد در جلوگیری از حملات سایبری کمک خواهد کرد. همکاری با صنعت، ماهیت عملی نتایج پروژه را تضمین می‌کند.
یک کارگاه با محققان، دانشجویان و نمایندگان سازمان‌ها با موضوعات اصلی (ارتباطات در حملات سایبری) امسال در گلسنکیرشن، آلمان برگزار خواهد شد.
یک پلتفرم برای ارتباطات و آموزش نیز توسعه خواهد یافت و از محاسبات ابری برای یک محیط آزمایشی استفاده خواهد شد.
تبلیغات
۹. نتیجه‌گیری
محیط CS به سرعت در حال تغییر است. حملات سایبری با استفاده از ابزارهای فناوری پیشرفته در حال افزایش هستند و جالب هستند زیرا مشاغل از فناوری بیشتری استفاده می‌کنند. نیاز به تغییرات سریع در استراتژی‌های تجاری برای سازگاری با تغییرات دیگر در خطرات CS وجود دارد که به سرعت در دامنه و تأثیر بالقوه خود تغییر می‌کنند. سازمان‌ها باید ابزارهای آماده‌ای داشته باشند تا بتوانند در صورت بروز بحران به طور سریع ارتباط برقرار کنند و بهبود یابند. شدت یک حمله سایبری و تأثیر آن به این عوامل بستگی دارد.
در نتیجه، به ویژه CSPها باید بتوانند به طور موثر در این محیط چالش برانگیز ارتباط برقرار کنند، از بهترین ابزارهای ارتباطی و داده‌ها برای مخاطبان مناسب در زمان مناسب استفاده کنند. پیامدهای ارتباطات غیرموثر که منجر به سوء تفاهم در مورد خطرات امنیتی می‌شود، می‌تواند فاجعه‌بار باشد. داشتن یک طرح و درک اهداف تجاری، ذینفعان، نیازهای آنها و خود خطرات به CSPها کمک می‌کند تا یک پیام واضح و مرتبط ارائه دهند. مهم است که اطمینان حاصل شود که ارتباطات به گروه ذینفعان مناسب ارسال می‌شود و سپس تأیید شود که درک شده است.
شدت یک حمله سایبری و تأثیر آن به این عوامل بستگی دارد. پلتفرم‌های ارتباطی بحرانی، فرهنگ ارتباطی، آموزش مربوطه برای پشتیبانی در صورت نقض، محدود کردن خرابی و آسیب، و مسائل مهم برای تحقیقات بیشتر نویسندگان هستند. دانشجویان می‌توانند یاد بگیرند که چگونه یک طرح پاسخ به حادثه کارآمد و تمرین شده را توسعه دهند که می‌تواند آسیب‌های حملات سایبری را به حداقل برساند.
تبلیغات
تشکر و قدردانی
این مقاله اهداف و نتایج پروژه اروپایی Erasmus+ امنیت سایبری را توصیف می‌کند.
منابع
۱. ۱. Andress J. The Basics of Information Security: Understanding the Fundamentals of InfoSec in Theory and Practice: Elsevier; 2011
۲. ۲. Anonymous. FBI. Cyber-Attacks Surpassing Terrorism as Major Domestic Threat. https://www.rt.com/usa/fbi-cyber-attack-threat-739/
۳. ۳. Rattray G. Strategic Warfare in Cyberspace. Cambridge MA: MIT Press; 2001. DOI: 10.1006/tpbi.2001.1531
۴. ۴. Singer PW, Friedman A. Cybersecurity and Cyberwar. Oxford; Oxford University Press; 2014. DOI: 10.1111/cob.12074
۵. ۵. Engebretson P. The Basics of Hacking and Penetration Testing: Ethical Hacking and Penetration Testing Made Easy: Elsevier; 2011. DOI: 10.1016/j.phrs.2011.06.024
۶. ۶. Himanen P. The Hacker Ethic: A Radical Approach to the Philosophy of Business. New York: Random House; 2001. DOI: 10.1038/414933a
۷. ۷. Laurie GT. Genetic Privacy: A Challenge to Medico-Legal Norms. Cambridge UK: Cambridge University Press; 2002
۸. ۸. Davies J. Benefits of Cloud Communications in a Crisis”. 2016. http://www.businesscloudnews.com/2016/06/09/benefits-of-cloud-communications-in-a-crisis-situation/
۹. ۹. Gulati R. The Threat of Social Engineering and Your Defense Against It. SANS Reading Room; 2003
۱۰. ۱۰. Maan PS, Sharma M. Social engineering: A partial technical attack. International Journal of Computer Science Issues. 2012;9(2):557-559
۱۱. ۱۱. Bisson D. 5 Social engineering attacks to watch out for. The state of security. security/security-awareness/5-social-engineering-attacks-to-watch-out-for/. DOI: 10.4158/EP-2018-0101
۱۲. ۱۲. Chitrey A, Singh D, Singh VA. Comprehensive study of social engineering based attacks in India to develop a conceptual model. International Journal of Information and Network Security. 2012;2(1):pp. 45-53
۱۳. ۱۳. Antonopoulos N, Lee G, editors. Cloud Computing. Principles, Systems and Applications. Springer International Publishing AG; 2017
۱۴. ۱۴. Assante D, Castro M, Hamburg I, Martin S. The use of cloud computing in SMEs. In: Procedia computer science 83, special issue: The 7th international conference on ambient systems, Networks and Technologies (ANT 2016) / The 6th International Conference on Sustainable Energy Information Technology (SEIT-2016) / Affiliated Workshops. 2016. pp. 1207-1212. DOI: 10.1007/s12350-017-0924-x
۱۵. ۱۵. Hamburg I. Improving e-learning in SMEs through cloud computing and scenarios. In: Gradinarova B, editor. E-Learning - Instructional Design, Organizational Strategy and Management. Rijeka: InTech; 2015. pp. 481-498
۱۶. ۱۶. Hamburg I, Grosch KR. Ethical aspects in cyber security. In: Archives of Business Research 5, no. 10, 2017. p. 199-206 PD, DOI: 10.1016/j.jaut.2017.12.006
نوشته شده توسط
ایلئانا هامبورگ و کیرا رز گرُش
ارسال شده: ۳۰ نوامبر ۲۰۱۷ بازبینی شده: ۲۶ فوریه ۲۰۱۸ منتشر شده: ۱۹ سپتامبر ۲۰۱۸
© 2018 The Author(s). Licensee IntechOpen. This chapter is distributed under the terms of the Creative Commons Attribution 3.0 License, which permits unrestricted use, distribution, and reproduction in any medium, provided the original work is properly cited.


ناشناس ماندن و پنهان کردن هویت به یک کاربر اجازه می‌دهد تا اطلاعات شناسایی‌کننده‌ی خود را در اینترنت مخفی یا مبهم کند. در حالی که این کار حریم خصوصی او را محافظت می‌کند، می‌تواند پاسخگویی او را در قبال گفته‌ها و اعمالش در فضای مجازی دشوار سازد.
ارتباطات ناشناس توسط بسیاری به عنوان سنگ بنای ارتقای آزادی بیان، اظهار نظر و حریم خصوصی در اینترنت تلقی می‌شود، اما می‌تواند مورد سوء استفاده برای کنترل و آزار افراد نیز قرار گیرد.

**پیش‌زمینه**

یک کاربر می‌تواند اطلاعات شناسایی‌کننده‌ی خود، مانند نام واقعی، سن، موقعیت مکانی و داده‌های استفاده‌اش را از طریق موارد زیر پنهان یا مبهم کند:

*   ناشناس ماندن کامل – عدم افشای هیچ‌گونه اطلاعات شناسایی‌کننده در مورد خود
*   ناشناس ماندن جزئی – افشای اطلاعات شناسایی‌کننده فقط به مخاطبان محدودی که از آن در برابر عموم محافظت می‌کنند.

روش‌های مختلفی برای پنهان کردن یا مبهم کردن اطلاعات شناسایی‌کننده توسط یک کاربر وجود دارد.
رویکردهای فنی برای ناشناس ماندن شامل نرم‌افزارها، مرورگرها و پلتفرم‌های رمزگذاری‌شده یا غیرمتمرکز است. به عنوان مثال، شبکه‌های خصوصی مجازی (VPN) که موقعیت مکانی و جزئیات دستگاه کاربر (آدرس IP) را پنهان می‌کنند، فرآیندهای ناشناس‌سازی که پیوند بین یک پیام و فرستنده را مخفی می‌کنند و رمزگذاری سرتاسری که فقط به فرستنده و گیرنده اجازه می‌دهد محتوای دیجیتال را رمزگشایی کنند.
رویکردهای ساده‌تر شامل بر عهده گرفتن یک هویت ساختگی است. به عنوان مثال، استفاده از نام مستعار یا نام جعلی، یک بازنمایی مجازی (آواتار) یا یک پروفایل جعلی. هویت‌های ساختگی ممکن است به طور قانونی به عنوان راهی برای محافظت از حریم خصوصی استفاده شوند، یا ممکن است به طور فریبکارانه برای فریب میزبان‌های پلتفرم و سایر کاربران استفاده شوند.

**موارد استفاده‌ی مثبت**

دلایل خوبی برای ناشناس ماندن یا پنهان کردن هویت آنلاین وجود دارد.
یکی از آن‌ها محدود یا کنترل کردن نحوه‌ی جمع‌آوری و ذخیره‌ی داده‌های شخصی و همچنین اینکه چه کسی می‌تواند به آن دسترسی داشته باشد و از آن استفاده کند است. این امر به جلوگیری از نقض امنیت، نظارت و ردیابی مزاحم وب کمک می‌کند. به عنوان مثال، ویژگی‌هایی مانند کوکی‌ها و فناوری‌های تشخیص چهره، تجربه‌ی کاربری را ساده می‌کنند و دسترسی به دستگاه‌ها و پلتفرم‌های دیجیتال و یافتن مرتبط‌ترین اطلاعات را آسان می‌کنند، اما می‌توانند توسط سرویس‌های آنلاین برای ترسیم عادات افراد، مانند الگوهای خرج کردن آن‌ها، و سپس هدف قرار دادن آن‌ها با تبلیغات استفاده شوند.
دلیل دیگر ناشناس ماندن و پنهان کردن هویت، محافظت از کاربران در برابر تماس‌های ناخواسته است. به عنوان مثال، eSafety کودکان را تشویق می‌کند که به جای نام کامل خود، فقط از نام داده شده، نام مستعار یا آواتار آنلاین استفاده کنند. این امر تعامل متجاوزان جنسی و کلاهبرداران با آن‌ها را دشوارتر می‌کند. همچنین، برای افرادی که خشونت خانگی و خانوادگی را تجربه می‌کنند، مهم است که ناشناس بمانند یا اطلاعات شناسایی‌کننده خود را پنهان کنند تا از تداوم آزار و اذیت یا تعقیب از طریق فناوری جلوگیری شود.
علاوه بر این، ناشناس ماندن و پنهان کردن هویت به افراد امکان می‌دهد تا بدون احساس سرکوب، آزادانه در فضای مجازی تعامل داشته باشند. به عنوان مثال، می‌تواند به افرادی که همجنس‌گرا، بین‌جنس‌گرایی یا دارای تنوع جنسیتی هستند اجازه دهد تا هویت خود را کشف کنند و آزادانه در مورد گرایش جنسی خود صحبت کنند بدون اینکه به خانواده و دوستان خود معرفی شوند یا مورد آزار و اذیت قرار گیرند. ناشناس ماندن همچنین به افراد امکان می‌دهد تا آزادانه ایده‌ها را بیان کنند و از قدرت‌مندان انتقاد کنند بدون اینکه با تلافی یا عواقب تهدیدآمیز برای زندگی مواجه شوند.

**خطرات**

علیرغم کاربردهای مثبت، ناشناس ماندن و پنهان کردن هویت می‌تواند رفتارهای مضر را تحریک کند و اشکال جدیدی از آسیب، به ویژه علیه افراد و جوامع در معرض خطر ایجاد کند.
ناشناس ماندن یکی از چندین عاملی است که در تحقیقات ما به عنوان تاکتیکی مورد استفاده توسط کسانی که به دنبال آسیب رساندن یا آزار دیگران آنلاین هستند، برجسته شده است. دو دلیل اصلی برای این امر وجود دارد.
اولاً، ناشناس بودن می‌تواند باعث شود که مجرمان از استانداردهای رفتاری معمول اجتماعی بی‌توجه شوند. با پنهان کردن هویت واقعی یا استفاده از پروفایل‌های جعلی، می‌توانند بدون ترس از قضاوت یا مجازات عمل کنند.
ثانیاً، توانایی پنهان کردن هویت واقعی به افراد و گروه‌های جنایی اجازه می‌دهد تا خود را جای دیگری جا بزنند و از آن به عنوان راهی برای سوء استفاده از دیگران استفاده کنند.

سهولت ایجاد حساب‌های ناشناس، جعلی، وانمودکننده و تقلبی، عامل مهمی در قلدری سایبری کودکان و سوء استفاده سایبری بزرگسالان است، همانطور که در تعداد قابل توجهی از شکایاتی که از طریق طرح‌های گزارش‌دهی ما دریافت می‌کنیم، منعکس شده است.
بیشتر شکایات سوء استفاده مبتنی بر تصویر به eSafety مربوط به حساب‌های ناشناس در پلتفرم‌های رسانه‌های اجتماعی است. سوء استفاده مبتنی بر تصویر به اشتراک‌گذاری یا تهدید به اشتراک‌گذاری یک تصویر یا ویدیوی صمیمی بدون رضایت فرد نشان داده شده اشاره دارد. این شامل اخاذی جنسی است، زمانی که کلاهبرداران درخواست پول یا تصاویر صمیمی بیشتری می‌کنند.
بیشتر تحقیقات در مورد مواد سوء استفاده جنسی از کودکان شامل افرادی است که محتوا را به صورت ناشناس در اینترنت منتشر می‌کنند. این تحقیقات نشان داده است که مشارکت‌کنندگان محتوا تمام تلاش خود را می‌کنند تا ناشناس بمانند و اغلب از یک یا چند اقدام امنیتی ناشناس‌سازی برای پنهان کردن هویت خود استفاده می‌کنند.
متجاوزان جنسی و کلاهبرداران نیز معمولاً از حساب‌های ناشناس، جعلی، وانمودکننده و تقلبی برای فریب دادن قربانیان و جلب اعتماد آن‌ها استفاده می‌کنند. به عنوان مثال، یک متجاوز جنسی ممکن است از یک آواتار در یک بازی استفاده کند تا وانمود کند که هم سن و جنسیت یک کودک است تا بتواند دوست جعلی شود و او را برای تعامل جنسی آماده کند، که سوء استفاده جنسی آنلاین از کودکان است. در موارد کات‌فیشینگ، کلاهبرداران اغلب یک پروفایل جعلی ایجاد می‌کنند و وانمود می‌کنند که دارای سابقه و ویژگی‌های شخصی هستند که برای قربانی جذاب است تا احتمال تعامل آنلاین و عدم سوء ظن در طول رابطه بیشتر شود.
برخی از اتاق‌های گفتگو و سایت‌های تابلوی اعلانات به طور خاص برای ارتباطات ناشناس ایجاد شده‌اند و امکان انتشار سریع و گسترده‌ی نظریه‌های توطئه، اظهارات تبعیض‌آمیز و مواد غیرقانونی و مضر و حتی تحریک اعمال سوء استفاده، خشونت و تروریسم را فراهم می‌کنند.

تعامل با یک حساب ناشناس آنلاین می‌تواند برای قربانیانی که مورد آزار قرار می‌گیرند بسیار ناراحت‌کننده باشد. ترس از اینکه متجاوز بتواند با استفاده از حساب ناشناس یا جعلی دیگری به هدف قرار دادن قربانی ادامه دهد، به آسیب می‌افزاید. برای قربانیان، ناشناس ماندن می‌تواند موانعی را برای گزارش‌دهی ایجاد کند. این به این دلیل است که مجرمان با استفاده از حساب‌های جعلی یا وانمودکننده به راحتی قابل شناسایی نیستند. این حساب‌های جعلی می‌توانند به سرعت دور انداخته شوند و با حساب‌های ناشناس جدید جایگزین شوند و تکنیک‌هایی مانند مسدود کردن و بی‌صدا کردن را بی‌اثر کنند.
شناسایی و پیگرد قانونی افراد و گروه‌های جنایی که از حساب‌های جعلی استفاده می‌کنند برای تنظیم‌کننده‌ها و مجریان قانون بسیار دشوار است. همچنین، مقابله با سوء استفاده‌کنندگان که شرایط خدمات را نقض می‌کنند، از طریق استراتژی‌هایی مانند مسدود کردن و تعلیق، و همچنین جلوگیری، شناسایی و حذف چندین حساب متعلق به یک کاربر، تقریباً غیرممکن می‌شود.
در حالی که درگیری، آزار و اذیت و سوء استفاده هدفمند مشکلات اجتماعی و فرهنگی هستند، نقشی که ناشناس ماندن در تسهیل رفتار ضداجتماعی و غیرقانونی ایفا می‌کند، به طور فزاینده‌ای نگران‌کننده است. با این حال، مهم است توجه داشته باشیم که جلوگیری یا محدود کردن ناشناس ماندن و پنهان کردن هویت آنلاین به توقف تمام سوء استفاده‌های آنلاین منجر نمی‌شود و سوء استفاده و سخنان نفرت‌آمیز آنلاین همیشه توسط دارندگان حساب‌های ناشناس یا جعلی انجام نمی‌شود.

با این حال، می‌توان کارهای بیشتری برای اطمینان از اینکه ناشناس ماندن برای اجازه دادن به آسیب‌ها به صورت آزادانه استفاده نمی‌شود، انجام داد. پلتفرم‌های رسانه‌های اجتماعی می‌توانند اقداماتی را برای تأیید حساب‌ها قبل از اینکه کاربران شروع به کار کنند، یا حذف حساب‌هایی که شرایط خدمات را نقض می‌کنند و از بازگشت آن‌ها جلوگیری کنند، انجام دهند.
تعادل مورد نیاز است، جایی که سوء استفاده از ناشناس ماندن و پنهان کردن هویت محدود شود بدون اینکه هیچ یک از مزایای قانونی آن حذف شود.

**عملکرد فعلی صنعت**

سازوکارهای مختلفی توسط صنعت برای احراز هویت دارندگان حساب آنلاین استفاده می‌شود.
بسیاری از پلتفرم‌ها و خدمات برای ثبت‌نام به کاربران نیاز دارند که یک آدرس ایمیل یا شماره تلفن ارائه دهند، برخی از آن‌ها از افراد می‌خواهند که از نام واقعی خود استفاده کنند (اگرچه سیاست‌های نام واقعی به شدت مورد انتقاد قرار گرفته‌اند و در برخی حوزه‌های قضایی غیرقانونی اعلام شده‌اند).
احراز هویت دو مرحله‌ای و چند مرحله‌ای نیز به طور فزاینده‌ای رایج می‌شود، با این که کاربران باید قبل از ثبت‌نام یا دسترسی به یک حساب، چندین اعتبار ارائه دهند. با این حال، این الزام معمولاً فقط برای کاربرانی است که قبلاً شرایط خدمات را نقض کرده‌اند و می‌خواهند دوباره به پلتفرم دسترسی داشته باشند.
تعدادی از خدمات از فرآیندهای تأیید دقیق‌تری استفاده می‌کنند:

*   درخواست از کاربران برای ارائه اطلاعات شناسایی شخصی (مانند گواهینامه رانندگی، شناسنامه یا گذرنامه)
*   مقایسه اطلاعات ارائه شده با پایگاه‌های داده عمومی رسمی (مانند گواهینامه‌های رانندگی یا فایل‌های آدرس پستی، سوابق تلفن، فهرست‌های انتخاباتی یا داده‌های اعتباری پایه)
*   استفاده از ارائه‌دهندگان تأیید هویت شخص ثالث برای اهداف تأیید.

فراخوان‌های فزاینده‌ای برای پلتفرم‌ها و خدمات دیجیتال برای تأیید تمام حساب‌های رسانه‌های اجتماعی وجود دارد. این امر به این امید است که تنظیم‌کننده‌ها و مجریان قانون بتوانند مجرمان آسیب‌های جدی را شناسایی کنند و پیگرد قانونی دارندگان آن حساب‌ها به عنوان بازدارنده‌ای برای سایر رفتارهای مضر آنلاین عمل کند.
تأیید لزوماً به این معنی نیست که سرویس هویت کاربران را بشناسد یا کنترل کند، بلکه می‌تواند به سرویس اجازه دهد در صورت نیاز به اقدام برای متوقف کردن سوء استفاده یا جلوگیری از ایجاد حساب‌های جدید مکرر توسط یک کاربر، به اطلاعات دسترسی داشته باشد.
مفاهیمی مانند «پلاک‌های دیجیتال»، سیستم‌های مدیریت هویت مبتنی بر بلاک‌چین و امضاهای دیجیتال نیز به عنوان راه‌های پیش رو در احراز هویت کاربران در محیط‌های دیجیتال مطرح می‌شوند.

روشن است که سیاست‌های قوی‌تر و شفاف‌تر مربوط به هویت در بیشتر پلتفرم‌های دیجیتال مورد نیاز است. اما هیچ راه حل آسان یا سریعی وجود ندارد - در بسیاری از جهات، مسائل مربوط به هویت چالش‌هایی را در کل اکوسیستم آنلاین ایجاد می‌کند. باید مراقب بود تا حقوق کاربران را متعادل کرد و اطمینان حاصل شود که راه حل‌ها مبتنی بر شواهد و مشمول بررسی مستقل و عینی هستند.

**پوشش اخیر**

پوشش رسانه‌ای قابل توجهی در مورد آزار و اذیت و ترولینگ آنلاین توسط دارندگان حساب‌های ناشناس وجود داشته است. مثال‌های زیر برخی از موارد برجسته گزارش شده در رسانه‌های استرالیا را برجسته می‌کنند، با این حال، مهم است توجه داشته باشیم که سوء استفاده آنلاین می‌تواند و بر هر کسی تأثیر می‌گذارد.

در سال 2020، کمدین استرالیایی ماگدا شوبانسکی پس از حضور در تبلیغی که مردم را تشویق می‌کرد تا برای کمک به مهار گسترش COVID-19 ماسک بپوشند، با سوء استفاده آنلاین هماهنگ مواجه شد - بخش زیادی از این سوء استفاده از سوی کاربران ناشناس بود.
ارین مولان، مجری تلویزیون، نیز به طور علنی تجربه خود را از بیش از یک دهه سوء استفاده آنلاین، از جمله از حساب‌های جعلی و تقلبی، به اشتراک گذاشت.
پوشش رسانه‌ای گسترده‌ای در مورد گسترش سخنان نفرت‌انگیز و اطلاعات نادرست در سایت‌های اتاق گفتگو و تابلوی اعلانات ناشناس وجود داشته است.

**رویکرد eSafety**

eSafety تشخیص می‌دهد که دارندگان حساب‌های ناشناس و جعلی می‌توانند سوء استفاده آنلاین ایجاد و گسترش دهند. ما رویکردهای مختلفی را برای جلوگیری و مقابله با آسیب‌های بالقوه اتخاذ می‌کنیم:

ما با افراد و صنعت همکاری می‌کنیم تا آگاهی در مورد خطرات مربوط به حساب‌های ناشناس و جعلی را افزایش دهیم و به کاربران کمک کنیم تا از هویت و اطلاعات شخصی خود محافظت کنند، انتخاب‌های اخلاقی در مورد رفتار خود داشته باشند و به آسیب‌ها پاسخ دهند.
ما از قربانیانی که سوء استفاده از حساب‌های ناشناس یا جعلی را گزارش کرده‌اند، پشتیبانی می‌کنیم، از جمله:

*   اطلاع دادن به سرویس‌های رسانه‌های اجتماعی در مورد حساب‌هایی که مورد سوء استفاده برای هدف قرار دادن قربانیان قرار گرفته‌اند
*   کمک به حذف محتوا و حساب‌ها
*   ارجاع به پلیس در صورت لزوم
*   ارجاع به خدمات مشاوره و پشتیبانی خارجی.

ما از طریق ابتکار Safety by Design eSafety تغییرات پیشگیرانه را تشویق می‌کنیم، که به صنعت کمک می‌کند تا ایمنی و مدیریت ریسک را در محصولات خود بگنجاند. این شامل ارائه مشاوره به صنعت در مورد:

*   شناسایی، رسیدگی و پاسخگویی به حساب‌های جعلی، وانمودکننده یا تقلبی
*   جلوگیری از تکنیک‌های شناخته شده مورد استفاده توسط مجرمان برای هدف قرار دادن و آزار دیگران
*   ارائه مشاوره در مورد مراحل احراز هویت و تأیید هویت کاربران.

**راهنمایی برای مقابله با سوء استفاده آنلاین از حساب‌های ناشناس یا جعلی**

اگر کسی به طور جدی شما یا کسی که از او مراقبت می‌کنید را مورد سوء استفاده، آزار و اذیت، ارعاب یا تهدید قرار دهد، می‌توانید اقدامات زیر را انجام دهید:

*   شواهد را جمع‌آوری و حفظ کنید، با استفاده از اسکرین‌شات یا روش‌های مشابه، مگر اینکه حاوی محتوای برهنه یا جنسی از فردی زیر 18 سال باشد.
*   به پلتفرمی که سوء استفاده یا تهدید در آن رخ می‌دهد گزارش دهید - راهنمای eSafety پیوندهای مربوطه را برای بسیاری از پلتفرم‌ها و خدمات محبوب ارائه می‌دهد.
*   به eSafety گزارش دهید - ما می‌توانیم به حذف قلدری سایبری جدی، سوء استفاده مبتنی بر تصویر و محتوای غیرقانونی یا مضر آنلاین کمک کنیم.
*   تماس‌های ناخواسته را مسدود کنید - راهنمای eSafety پیوندهای بسیاری از این موارد را ارائه می‌دهد.
*   از یک سرویس مشاوره تخصصی پشتیبانی بیشتری دریافت کنید.

اگر مشکوک به سوء استفاده جنسی از کودکان آنلاین یا اغوا توسط یک متجاوز جنسی هستید، فوراً آن را گزارش کنید - حتی اگر یک حساب ناشناس یا جعلی باشد - به مرکز استرالیا برای مبارزه با سوء استفاده از کودکان از طریق دکمه "گزارش سوء استفاده" در www.accce.gov.au/report. یا می‌توانید آن را به صورت ناشناس به Crime Stoppers با شماره 1800 333 000 یا در www.crimestoppers.com.au گزارش دهید.
و به یاد داشته باشید، اگر شما یا کسی که می‌شناسید در معرض خطر جدی و فوری قرار دارید، با شماره 000 تماس بگیرید.


آخرین به‌روزرسانی در ۲۲ فوریه ۲۰۲۴
توسط هوش مصنوعی و انجمن لینکدین ارائه شده است
ناشناس‌سازی داده‌ها فرآیندی است برای حذف یا تغییر اطلاعات شخصی یا حساس از مجموعه‌های داده به منظور محافظت از حریم خصوصی افراد یا سازمان‌ها. این فرآیند به طور گسترده در امنیت سایبری، تحقیقات و تجزیه و تحلیل داده‌ها و همچنین برای رعایت مقررات حفاظت از داده‌ها استفاده می‌شود. با این حال، روش‌های ناشناس‌سازی داده‌ها ایستا نیستند و باید با نیازهای تجاری در حال تغییر، مانند منابع داده جدید، موارد استفاده جدید، تهدیدات جدید و استانداردهای جدید، سازگار شوند. در این مقاله، به برخی از چالش‌ها و راه‌حل‌های انطباق روش‌های ناشناس‌سازی داده‌ها با سناریوهای مختلف خواهیم پرداخت.

متخصصان برجسته در این مقاله
توسط انجمن از میان ۱۲ مشارکت انتخاب شده‌اند. برای کسب اطلاعات بیشتر اینجا را ببینید.

تام وازدار، صدای برتر هوش مصنوعی و امنیت سایبری در لینکدین | رهبر تحولات هوش مصنوعی و امنیت سایبری | ساخت محصولات نسل بعدی هوش مصنوعی | سخنران کلیدی | راه بهتری وجود دارد، از من بپرسید!
برای انطباق ناشناس‌سازی داده‌ها با تغییرات تجاری، از تصادفی‌سازی برای مجموعه‌های داده در حال تکامل، تعمیم برای سطوح جزئیات متغیر، شبه‌نام‌گذاری برای پیوند امن داده‌ها و حریم خصوصی دیفرانسیلی برای تجزیه و تحلیل محافظت‌شده استفاده کنید.

آندر اورتیز اورتگا، مدیر ارشد فناوری و کسب‌وکار | CRO | دیجیتال، داده و سایبر | مدرس
ناشناس‌سازی داده‌ها به مجموعه‌ای از روش‌ها اشاره دارد، از جمله: - رمزگذاری داده‌ها روشی برای تغییر داده‌ها است تا در فرم رمزگذاری‌شده بی‌معنی و غیرقابل خواندن شود. - ابهام‌زدایی داده‌ها داده‌هایی است که کاراکتر به کاراکتر با استفاده از تکنیک‌های رمزنگاری ساده مانند جایگزینی، جابجایی، انحراف یا تصادفی‌سازی، مبهم می‌شود. - پوشش داده‌ها روشی برای پنهان کردن داده‌های حساس به روشی غیرقابل برگشت است به طوری که متن واضح را نتوان از داده‌های نمایش داده شده بازسازی کرد. - تولید داده‌ها روشی برای ایجاد داده‌های جعلی بر اساس الگوهای خاص برای جایگزینی کامل مجموعه داده اصلی در حالی که همچنان کاربردی باشد. - حذف داده‌ها روشی برای اعمال تکنیک‌های فوق بر داده‌های بدون ساختار در یک سند است.

سیواپراکش کومّا مانی - رهبر فنی استراتژیک | نویسنده پرفروش | صدای برتر رهبری در لینکدین | مشتاق GenAI | تحول ابری و نوآوری | تحول دیجیتال و DevOps | مشاور ارشد فناوری | PMP® | ITIL | امنیت
۱. سرکوب: به طور کامل اطلاعات شناسایی‌کننده مانند نام‌ها، آدرس‌ها یا شماره‌های تامین اجتماعی را حذف می‌کند. ۲. تعمیم: مقادیر خاص را با دسته‌های گسترده‌تر جایگزین می‌کند (به عنوان مثال، شهر به جای آدرس خیابان، محدوده سنی به جای تاریخ تولد دقیق). ۳. آشفتگی: نویز تصادفی اضافه می‌کند یا مقادیر داده را کمی تغییر می‌دهد در حالی که الگوهای کلی را حفظ می‌کند. ۴. توکنیزاسیون: داده‌های حساس را با توکن‌های منحصربه‌فرد و غیرقابل شناسایی جایگزین می‌کند. ۵. شبه‌نام‌گذاری: شناسه‌ها را با نام‌های مستعار جایگزین می‌کند که به طور مستقیم هویت را آشکار نمی‌کنند اما امکان پیوند دادن رکوردها را برای اهداف خاص فراهم می‌کنند. ۶. حریم خصوصی دیفرانسیلی: نویز کنترل‌شده‌ای به نتایج تجزیه و تحلیل داده‌ها اضافه می‌کند و تضمین می‌کند که اطلاعات فردی حتی در آمار تجمعی خصوصی باقی می‌ماند.

شایان ساوشیانت، رئیس و بنیانگذار سازمان جهانی AHRAR - منشاء و بنیانگذار جهان‌شمولی ✮ t.me/AOrgan | t.me/AHRARacademy ✮ آینده اینجاست ✮ در ماموریتی برای ساخت بزرگترین سازمان جهان.
از به‌روز بودن مقررات حفظ حریم خصوصی اطمینان حاصل کنید: به طور مرتب قوانین و مقررات حفظ حریم خصوصی را نظارت کنید تا از رعایت آن‌ها اطمینان حاصل شود و شیوه‌های ناشناس‌سازی داده‌ها را بر این اساس تطبیق دهید. حفظ حریم خصوصی از طریق طراحی را پیاده‌سازی کنید: ملاحظات مربوط به حریم خصوصی را از ابتدا در طراحی و توسعه سیستم‌ها و فرآیندهای جدید بگنجانید. به کارکنان آموزش دهید: آموزش‌های جامعی را در مورد ناشناس‌سازی داده‌ها، بهترین شیوه‌های حفظ حریم خصوصی و اهمیت انطباق با نیازهای تجاری در حال تغییر به کارکنان ارائه دهید. از کارشناسان حفاظت از داده‌ها کمک بگیرید: از کارشناسان حفاظت از داده‌ها راهنمایی بخواهید که می‌توانند بینش‌هایی را در مورد آخرین تکنیک‌های ناشناس‌سازی ارائه دهند و به شما در پیمایش چشم‌اندازهای پیچیده حریم خصوصی کمک کنند.

نکورونزیزا گاد، محقق امنیت سایبری
انطباق روش‌های ناشناس‌سازی داده‌ها با نیازهای تجاری در حال تغییر شامل تکنیک‌های پویا برای تنظیم سطوح ناشناس‌سازی، رویکردهای مبتنی بر ریسک برای پوشش داده‌های حساس و به‌روزرسانی‌های منظم برای همسو شدن با مقررات است. استفاده از فناوری‌هایی مانند حریم خصوصی دیفرانسیلی و تولید داده‌های مصنوعی، مجموعه‌های داده‌ای واقع‌گرایانه اما ناشناس‌شده را تضمین می‌کند، در حالی که ایجاد فرهنگ حفاظت از داده‌ها از طریق آموزش کارکنان بسیار مهم است.

آندر اورتیز اورتگا، مدیر ارشد فناوری و کسب‌وکار | CRO | دیجیتال، داده و سایبر | مدرس
سهولت دسترسی به داده‌ها از پلتفرم‌های مختلف (موبایل، ایستگاه‌های کاری، مخازن، برنامه‌ها، پایگاه‌های داده، انبارهای داده و...) و ناهمگونی پلتفرم‌های دسترسی (در محل، ابری، ترکیبی) به این معنی است که داده‌های شرکتی بیشتر از همیشه در معرض خطر قرار دارند. بازار گسترده‌ای برای خرید و فروش داده‌ها وجود دارد: اعتبارنامه‌ها، داده‌های بانکی، اطلاعات تجاری، جاسوسی صنعتی. علاوه بر این، رعایت مقررات مستلزم محافظت‌هایی برای محافظت از اطلاعات خصوصی مشتریان است. این امر مستلزم سرمایه‌گذاری در سیستم‌هایی است که امکان محافظت از اطلاعات و تضمین محرمانه آن را در طول چرخه عمر داده‌ها، از بدست آوردن، استفاده، انتقال و حذف/بایگانی فراهم می‌کند. پوشش داده‌ها به عنوان راه حلی برای این چالش مطرح می‌شود.

آنتونی لی، متخصص امنیت فناوری اطلاعات، نظم به طور مداوم آن را بهتر می‌کند
برخی از چالش‌ها: ۱. موجودی داده‌ها ۲. موجودی داده‌های خارج از محل یا تحت اختیار شخص ثالث ۳. کشف داده‌های بدون ساختار ۴. نظارت بر انطباق ۵. کنترل نشت در بارگذاری و انتقال داده‌های آزمایشی ۶. الگوریتم‌های درب پشتی که امکان محاسبه معکوس داده‌ها را فراهم می‌کنند ۷. تعادل بین ناشناس‌سازی و نیازهای پزشکی قانونی

آندر اورتیز اورتگا، مدیر ارشد فناوری و کسب‌وکار | CRO | دیجیتال، داده و سایبر | مدرس
یک مثال خوب که در مورد ناشناس‌سازی داده‌ها در محیط‌های شرکتی پیچیده دیده‌ام، Opentext Voltage (بر اساس نرم‌افزاری که قبلاً توسط HP توسعه یافته و بعداً توسط Micro Focus خریداری شده است) است.

سیواپراکش کومّا مانی - رهبر فنی استراتژیک | نویسنده پرفروش | صدای برتر رهبری در لینکدین | مشتاق GenAI | تحول ابری و نوآوری | تحول دیجیتال و DevOps | مشاور ارشد فناوری | PMP® | ITIL | امنیت
رویکرد مبتنی بر ریسک: خطرات حریم خصوصی مرتبط با داده‌های خود را ارزیابی کنید و روش‌های ناشناس‌سازی متناسب را اعمال کنید. بر سودمندی داده‌ها تمرکز کنید: تکنیک‌هایی را انتخاب کنید که اطلاعات لازم را در حالی که از حریم خصوصی محافظت می‌کنند، حفظ کنند. از به‌روز بودن و انطباق اطمینان حاصل کنید: به طور مرتب روش‌های خود را بررسی کنید و از آخرین مقررات و فناوری‌ها به‌روز باشید. در تخصص و آموزش سرمایه‌گذاری کنید: اطمینان حاصل کنید که تیم شما دانش و مهارت‌های لازم برای شیوه‌های ناشناس‌سازی موثر را دارد. شفافیت و ارتباطات: ذینفعان را در مورد روش‌ها و محدودیت‌های ناشناس‌سازی مطلع کنید.

امنیت سایبری
امنیت سایبری
امتیاز به این مقاله
ما این مقاله را با کمک هوش مصنوعی ایجاد کردیم. نظر شما در مورد آن چیست؟
از بازخورد شما سپاسگزاریم
بازخورد شما خصوصی است. برای برانگیختن گفتگو در شبکه خود، لایک یا واکنش نشان دهید.
گزارش این مقاله
همه را ببینید
مطالعه مرتبط‌تر


رعایت حریم خصوصی در رژیم‌های خودتنظیمی: تعادل بین مسئولیت‌پذیری و ناشناس ماندن

لانس جی. هافمن
کارن ای. متیویه کاریرو
موسسه سیاست فضای سایبری، دانشکده مهندسی و علوم کاربردی
دانشگاه جورج واشنگتن
واشنگتن، دی سی 20052
مقدمه
علاوه بر تعریف پذیرفته شده عمومی حریم خصوصی به عنوان "حق تنهایی"، حریم خصوصی به یک "مفهوم گسترده و فراگیر تبدیل شده است که طیف وسیعی از نگرانی‌های انسانی در مورد اشکال مختلف رفتار تهاجمی، از جمله استراق سمع، نظارت فیزیکی پنهانی و رهگیری نامه را در بر می‌گیرد. افراد حق حریم خصوصی را برای طیف وسیعی از مسائل، از حق استفاده از روش‌های پیشگیری از بارداری یا سقط جنین تا حق حفظ محرمانه سوابق بانکی خود، مطالبه می‌کنند" [فلهرتی 1989]. در سال‌های اخیر، این مطالبات گسترش یافته و شامل حق حفظ محرمانه ردپای سایت‌های بازدید شده در وب جهانی نیز شده است.
به منظور پیاده‌سازی "حریم خصوصی" در یک سیستم کامپیوتری، به تعریف دقیق‌تری نیاز داریم. باید تصمیم بگیریم که چه زمانی و تحت چه شرایطی اطلاعات شخصی را ارائه دهیم. به طور خاص، باید تصمیم بگیریم که چه زمانی به تراکنش‌های ناشناس اجازه دهیم و چه زمانی مسئولیت‌پذیری را الزامی کنیم. اگر زیرگروه‌هایی در جامعه یا کشورهایی با ایده‌های متفاوتی در مورد پاسخ به این سوالات وجود داشته باشد، فناوری می‌تواند تا حد زیادی نیازهای هر گروه را برآورده کند. لزوماً نباید فقط یک رژیم حریم خصوصی وجود داشته باشد. امکان کمتر شدن قانون و انتخاب بیشتر کاربر وجود دارد؛ فناوری می‌تواند به هر کاربر کنترل‌هایی را ارائه دهد که برای تعادل بین حریم خصوصی و دسترسی‌پذیری مورد نظرش تنظیم شده باشد.
این مقاله ابتدا توضیح می‌دهد که چگونه می‌توان مسئولیت‌پذیری و ناشناس ماندن را برای امکان دادن به کنترل کاربر تا حد امکان، هنجارهای اجتماعی زمانی که کاربر تمایل دارد در تضاد باشد و (در نهایت) مقررات دولتی زمانی که هنجارهای جوامع متفاوت است، متعادل کرد. این مقاله امکان وجود "حقوق امتیاز حریم خصوصی" را به رسمیت می‌شناسد و برخی از مکانیسم‌های فناوری موجود برای پیاده‌سازی این کنترل‌ها را شرح می‌دهد.
ناشناس ماندن در مقابل مسئولیت‌پذیری
افراد گاهی اوقات برای حفظ حریم خصوصی خود، ناشناس باقی می‌مانند، به عنوان مثال، هنگام گشت و گذار در یک فروشگاه بزرگ یا خرید یک مجله "بزرگسالان". گشت و گذار در وب نیز تا به امروز معمولاً یک فعالیت ناشناس بوده است. با حرکت فراتر از وب به اینترنت به طور کلی، می‌توان از طریق یک برنامه بازفرستنده ناشناس، پیام‌های ناشناس ارسال کرد. امروزه برای یک فرد با دانش فنی، ناشناس ماندن و اجتناب از مسئولیت‌پذیری در اینترنت برای اقداماتی که مشکوک یا غیرقانونی هستند، مانند ارسال ایمیل‌های تبلیغاتی به گروه‌های خبری متعدد (اسپم)، اجرای یک سرور پورنوگرافی یا هک کردن صفحه وب شخص دیگری، نسبتاً آسان است.
اما فناوری می‌تواند مسئولیت‌پذیری را به همان اندازه ناشناس ماندن تقویت کند. اگر سیستم‌های کامپیوتری یا برنامه‌ها قبل از اجازه استفاده، به "اثبات" هویت نیاز داشته باشند، جامعه‌ای با مسئولیت‌پذیری بیشتری خواهیم داشت. گویی ماشین‌ها فقط زمانی روشن می‌شوند که توسط رانندگان "مجاز" رانده شوند؛ کلیدهای معمولی کار نخواهند کرد. از طرف دیگر، قابلیت استفاده و حریم خصوصی آسیب می‌بیند - تصور کنید مجبور شوید برای یک تلفن عمومی یا یک ماشین اجاره‌ای خود را احراز هویت کنید!
مسئولیت‌پذیری همیشه نباید الزامی باشد. توزیع بروشورهای ناشناس و سایر اشکال بیان به درستی توسط قانون اساسی ایالات متحده به شدت محافظت می‌شود. تعادل مناسب باید توسط جامعه برقرار شود. سپس فناوری می‌تواند آن تعادل را اعمال کند.
تهدیدات حریم خصوصی از سیستم‌های کامپیوتری امروزی
قانون حریم خصوصی 1974 [حریم خصوصی 1974] و قوانین حفاظت از داده در سایر کشورها تا حدی انتقاد و نگرانی در مورد تهاجم احتمالی دولت به حریم خصوصی را کاهش داده است. در واقع، پایگاه‌های داده پزشکی، اعتباری و بازاریابی به اندازه پایگاه‌های داده دولتی مشکل‌ساز به نظر می‌رسند. برخی از تلاش‌های خصوصی در حال حاضر نگرانی‌های قابل توجهی در مورد حریم خصوصی در جامعه اینترنت ایجاد کرده‌اند.
پایگاه داده Lotus MarketPlace: Households قصد داشت نام‌ها، آدرس‌ها، داده‌های جمعیت‌شناختی و رفتار خرید قبلی 120 میلیون مصرف‌کننده آمریکایی را در یک CD-ROM در سال 1991 در دسترس قرار دهد. مصرف‌کنندگان با استفاده مجدد از اطلاعات شخصی قابل شناسایی بدون رضایت خود مخالفت کردند. گزارش‌های اعتباری فردی اساس داده‌های MarketPlace را تشکیل می‌داد و در نتیجه، اصل اساسی حریم خصوصی، یعنی اطلاعات شخصی جمع‌آوری شده برای یک هدف نباید بدون رضایت فرد برای اهداف دیگر استفاده شود، نقض شد.
این محصول بر اساس هزینه‌های اضافی قابل توجه برای رسیدگی کامل به مسائل حریم خصوصی مصرف‌کننده لغو شد. بخش عمده‌ای از مخالفت با MarketPlace به صورت فردی و از طریق اینترنت بسیج شد. این جنبش الکترونیکی ریشه‌ای 30000 شکایت الکترونیکی را به صندوق ورودی مدیرعامل Lotus فرستاد و می‌توان آن را به عنوان اولین "نشست اعتراضی الکترونیکی" توصیف کرد.
به تازگی، در سال 1996، Lexis-Nexis خدماتی را ارائه داد که 300 میلیون نام، آدرس‌های قبلی و فعلی، نام‌های خانوادگی و مستعار، تاریخ تولد و شماره تلفن را برای 740000 مشترک خود فراهم می‌کرد. در دسترس بودن گسترده چنین اطلاعاتی نگرانی‌های قانونی و سایر نگرانی‌ها را برانگیخت و منجر به تحقیقات کمیسیون تجارت فدرال در پاسخ به سوالات کنگره شد. Lexis-Nexis در ابتدا شماره‌های تامین اجتماعی را نیز ارائه می‌داد، اما پس از دریافت شکایات متعدد از کاربران اینترنت، سیستم را تغییر داد.
نبردهای حقوقی مداومی بین مدافعان بازاریابی الکترونیکی مانند Sanford Wallace از CyberPromotions، Inc. و گروه‌های زیادی از کاربران که می‌گویند حق ندارند توسط او و سایر بازاریابان الکترونیکی آزار ببینند، وجود دارد. پیام‌های CyberPromotions (اسپم) توسط تعدادی از خدمات آنلاین، از جمله America Online و Prodigy ممنوع شده است و در برخی موارد برای جلوگیری از اقدامات قانونی بیشتر به ارائه‌دهنده پرداخت کرده است.
برنامه‌ریزی و حساسیت به نگرانی‌های کاربران در مورد حریم خصوصی می‌توانست مشکلات فوق را تا حد زیادی کاهش دهد. کاربران اینترنت و کامپیوتر انتظار انتخاب دارند؛ از لحظه‌ای که کامپیوتر خود را دریافت می‌کنند، از آنها پرسیده می‌شود که آیا می‌خواهند پس‌زمینه ساده‌ای داشته باشند یا یکی از تعدادی محافظ صفحه، نوع چاپگر خود را و سایر موارد را انتخاب کنند، همه اینها برای پیکربندی سیستم به ترجیحات کاربر طراحی شده‌اند. برای آنها روشن است که امکان انتخاب وجود دارد و آن را هنجار می‌دانند. بنابراین، آنها انتظار دارند که در مورد دریافت ایمیل‌های تجاری ناخواسته انتخاب داشته باشند. به طور فزاینده‌ای، آنها همچنین انتظار دارند که هنگام استفاده از داده‌های خود، بیانیه‌های حریم خصوصی واضحی را ببینند. تعدادی از شرکت‌های پیشرو در حال حاضر کدهای حریم خصوصی دارند که به حریم خصوصی داده‌های مصرف‌کنندگان خود می‌پردازند [P&AB 1994].
بازارهای تخصصی حریم خصوصی، خودتنظیمی و پشتیبان‌گیری
نکته جالب این است که تقاضایی از سوی بازیگران غیرسنتی ("اعضا" جامعه اینترنت) برای مشارکت در تعیین قوانین بازی وجود دارد. در گذشته، کسب و کار و دولت به وضوح در وضع قوانین نقش داشتند، اما اکنون اعضای فردی جامعه آنلاین سوالات جدی مطرح می‌کنند و اگر به این سوالات پاسخ داده نشود، از بازی کردن خودداری می‌کنند. در سه مورد ذکر شده در بالا، اعتراضات صریح، گسترده و آگاهانه از سوی اعضای جامعه اینترنت باعث شده است که شرکت‌ها برنامه‌های خود را به طور قابل توجهی تغییر دهند؛ این موارد در حال تعریف آنچه در فضای سایبری قابل قبول است، هستند.
بازاری در حال فعالیت است و بخش خصوصی می‌تواند، مانند بیشتر بازارها، تلاش کند تا نیازهای بازار را برآورده کند. به عنوان مثال، شورای مشورتی نرم‌افزار تفریحی (RSAC)، یک سازمان غیرانتفاعی مستقل، در پاییز سال 1994 توسط گروهی از شش سازمان تجاری تأسیس شد که یک سیستم رتبه‌بندی محتوای عینی برای نرم‌افزار تفریحی و سایر رسانه‌ها، مانند اینترنت ایجاد کرد. RSAC از سیستم فناوری PICS (Platform for Internet Content Selection) برای امکان دادن به طرف سوم یا خودتنظیم‌کننده‌ها برای طبقه‌بندی اطلاعات به طور مستقیم استفاده می‌کند و امکان کنترل اطلاعاتی را که می‌تواند توسط یک کاربر معین دریافت شود، بدون سانسور شبکه فراهم می‌کند.
اکثر مرورگرها در حال حاضر یا به زودی با PICS سازگار خواهند بود. بنابراین، فناوری می‌تواند به توسعه بازارهای تخصصی در حریم خصوصی کمک کند. گروه‌های حریم خصوصی می‌توانند سایت‌ها را بر اساس شیوه‌های اطلاعاتی خود با استفاده از PICS برچسب‌گذاری کنند. یک کاربر می‌تواند با یک ارائه‌دهنده خدمات اینترنت (ISP) یا صاحب وب‌سایت قرارداد ببندد تا اجازه دهد میزان متفاوتی از اطلاعات در مورد خود را منتشر کند، بسته به هزینه‌ای که کاربر پرداخت می‌کند. این می‌تواند شامل پرداخت‌های کوچک (حقوق امتیاز) به کاربر در ازای استفاده از داده‌های او باشد [Laudon 1996].
بنابراین، اولین سطح تنظیم، کاربر و ISP یا ارائه‌دهنده محتوای وب است که به طور متقابل در مورد سطح مناسب نقض حریم خصوصی و جبران آن توافق می‌کنند. اگر برخی از اعضای جامعه آنلاین کنترل کاربر را نپذیرند (به عنوان مثال، بازاریابان مستقیم مانند آقای والاس در بالا)، اینترنت خودتنظیمی می‌کند. در گذشته، کاربرانی که از هنجارهای کلی شبکه ("ادب شبکه") فراتر رفته‌اند، تحت تحریم‌های مختلفی قرار گرفته‌اند. اینها شامل "شعله‌ور شدن"، "بمب‌گذاری ایمیل"، هشدارهای ISP و خاتمه حساب‌ها است (که همه آقای والاس با آن مواجه شده‌اند).
فناوری کامپیوتر نمی‌تواند همه مشکلات حریم خصوصی را حل کند. آقای والاس به تازگی طرحی را تبلیغ کرده است که در آن ظرفیت اضافی برخی از ISPها را خریداری می‌کند و آنها به نوبه خود به او اجازه می‌دهند پیام‌هایی را ارسال کند که به نظر می‌رسد از آنها می‌آیند، نه از او (زیرا America On Line و سایر ISPها فایروال‌های خود را برنامه‌ریزی کرده‌اند تا به پیام‌های او اجازه ندهند). برخی این را نقض قانون فدرال یا حداقل اخلاق می‌دانند.
در نهایت، هنگامی که خودتنظیمی شکست می‌خورد، دولت فراخوانده می‌شود تا مشکلات را حل کند یا اختلافات قراردادی را حل کند. این اتفاق در نهایت خواهد افتاد. استانداردها در سراسر جهان متفاوت هستند و هر دولت استانداردهای حریم خصوصی داخلی خود را خواهد داشت. شهر نیویورک استانداردهای حریم خصوصی متفاوتی (و استانداردهای دیگر) نسبت به عربستان سعودی دارد. اما همانطور که فناوری می‌تواند در حال حاضر انتخاب‌های بیشتری را نسبت به قبل برای کاربران فراهم کند، می‌تواند به کشورها نیز اجازه دهد، در صورت تمایل، برچسب‌های خود را بر روی دسته‌های صفحات وب قرار دهند. شهروندان یک کشور جغرافیایی خاص می‌توانند مجاز، ممنوع، مشمول مالیات یا برای بازدید از صفحات (انواع) خاص پاداش بگیرند. در واقع، هنگامی که دولت‌ها نحوه انجام آن را کشف کنند، وب می‌تواند یک منبع غنی از "مالیات گناه" باشد. ابزارهای فناوری امروز در اینجا هستند و می‌توانند به اندازه دلخواه حریم خصوصی را فراهم کنند و از طیف گسترده‌ای از مکانیسم‌های قراردادی پشتیبانی کنند.
محافظت‌های فناوری
تعدادی از مکانیسم‌های فناوری وجود دارد که امنیت کامپیوتر را افزایش می‌دهد و در نتیجه حریم خصوصی فردی را افزایش می‌دهد. این مقاله تنها به چند مورد مرتبط با موضوع ما اشاره می‌کند. ادبیات گسترده‌ای در مورد امنیت کامپیوتر برای خوانندگانی که به اطلاعات بیشتری نیاز دارند وجود دارد [Pfleeger 1996، Russell 1991].
احراز هویت
به طور معمول سه نوع مکانیسم احراز هویت وجود دارد: چیزی که می‌دانید، چیزی که دارید یا چیزی که هستید. پس از تشخیص فردی، رایج‌ترین مکانیسم رمز عبور است. به دلایل فنی مختلف، رمزهای عبور به تنهایی در دراز مدت امن نخواهند بود. ما به آرامی از این سیستم‌ها که فقط به "چیزی که می‌دانید" (به عنوان مثال، رمزهای عبور) نیاز دارند، به سیستم‌هایی که به "چیزی که دارید" یا "چیزی که هستید" نیز نیاز دارند، تکامل می‌یابیم. بنابراین، شاهد کامپیوترهای بیشتری خواهیم بود که با قابلیت خواندن کارت الکترونیکی در اختیار کاربر ساخته می‌شوند، درست مانند دستگاه خودپرداز در یک بانک. گاهی اوقات این کارت به طور خودکار رمز عبور را منتقل می‌کند و گاهی اوقات، برای امنیت بیشتر، کاربر باید رمز عبور خود را به طور جداگانه وارد کند، علاوه بر داشتن کارت فیزیکی.
ممکن است شاهد توسعه بیشتر بیومتریک (به عنوان مثال، اثر انگشت، تلفظ، الگوهای شبکیه) به عنوان مکانیسم‌های احراز هویت نیز باشیم. اینها در حال حاضر وجود دارند، اما کاربرد آنها به دلیل مشکلات پذیرش کاربر محدود بوده است. کالیفرنیا و برخی ایالت‌های دیگر در حال حاضر اثر انگشت را در گواهینامه‌های رانندگی خود الزامی کرده‌اند. از آنجایی که اکثر کاربران نمی‌خواهند چندین کارت حمل کنند، بلکه یک کارت همه منظوره را ترجیح می‌دهند (در نبردهای بین کاربرد و امنیت، کاربرد تقریباً همیشه پیروز می‌شود)، سوالات بیشتری در مورد داشتن یک مرجع مرکزی (یک دولت؟) برای صدور یک کارت (پول) جهانی (و گواهینامه رانندگی) مطرح می‌شود. مزایا کارت‌های کمتر و شماره حساب‌ها و کارایی بیشتر برای سیستم و کاربران آن است. معایب، پتانسیل ایجاد بوروکراسی‌های غیر پاسخگو و سوء استفاده از قدرت توسط یک دولت سرکش است. جامعه باید تصمیم بگیرد که آیا هزینه‌های (مالی و اجتماعی) حفظ رژیم‌های هویت جداگانه متعدد ارزش مزایای (حریم خصوصی) را دارد یا خیر؟
رمزنگاری
روش‌های رمزنگاری دستی، با استفاده از کتاب‌های رمز، جایگزینی حروف و اعداد و جابجایی‌ها را می‌توان در نوشته‌های اسپارتی‌ها، ژولیوس سزار، توماس جفرسون و آبراهام لینکلن یافت. رمزنگاری اغلب در زمان جنگ استفاده می‌شده است و پیروزی‌های حیاتی (مانند پیروزی ایالات متحده در نبرد میدوی در جنگ جهانی دوم) به تجزیه و تحلیل موفقیت‌آمیز (شکستن کد) روش رمزنگاری آلمان بستگی داشته است.
دو نوع سیستم رمزنگاری وجود دارد - کلید مخفی و کلید عمومی. در سیستم‌های کلید مخفی، یک کلید مخفی - یک عدد انتخاب شده ویژه - هنگام ترکیب با مجموعه عملیات ریاضی، هم داده‌های پنهان را "مخفی می‌کند" و هم "باز می‌کند". کلید بین کاربران موافق به اشتراک گذاشته می‌شود. در سیستم‌های کلید عمومی، هر کاربر دو کلید عددی دارد - یک کلید عمومی و یک کلید خصوصی. کلید عمومی به هر کسی اجازه می‌دهد اطلاعات پنهان شده با استفاده از کلید خصوصی فرستنده را بخواند و در نتیجه امکان احراز هویت پیام‌ها (امضاهای الکترونیکی) علاوه بر محرمانگی را فراهم می‌کند. کلید خصوصی توسط کاربر مخفی نگه داشته می‌شود.
بسیاری از سیستم‌های رمزنگاری امروزی از ترکیبی از رمزنگاری کلید مخفی و کلید عمومی استفاده می‌کنند: رمزنگاری کلید مخفی برای رمزگذاری پیام واقعی استفاده می‌شود و رمزنگاری کلید عمومی برای احراز هویت فرستنده، توزیع کلید (ارسال کلیدهای مخفی به گیرنده) و امضاهای دیجیتال استفاده می‌شود. این ترکیب هیبریدی از هر دو فناوری بهترین‌ها را استفاده می‌کند و در عین حال از بدترین‌ها اجتناب می‌کند. این روش اساسی برای ارسال پیام‌ها و فایل‌های امن از هر نقطه به هر نقطه در شبکه‌های ناامن است. تا زمانی که فرستنده و گیرنده اطمینان حاصل کنند که کلیدهای خصوصی آنها منحصراً در اختیار آنهاست، این فرآیند هر بار کار می‌کند و در عین حال هرگونه مهاجم احتمالی را خنثی می‌کند. می‌توان از آن برای ارسال (و مخفی کردن) یک پیام دو خطی یا یک فیلم دو ساعته و هر چیزی در بین آنها استفاده کرد.
امروزه، رمزنگاری اغلب برای جلوگیری از جایگزینی پیام اصلاح شده توسط یک مهاجم (برای حفظ یکپارچگی پیام) و برای جلوگیری از انکار ارسال پیام توسط فرستنده (برای پشتیبانی از عدم انکار) استفاده می‌شود. اگر داده‌ها متعلق به افراد تلقی شوند و حق امتیاز پرداخت شود، می‌توانیم از فناوری رمزنگاری برای امضای دیجیتالی قطعات داده فردی استفاده کنیم و به طور موثری برچسب‌هایی را به داده‌ها بچسبانیم. بنابراین همیشه می‌توان داده‌ها را به منبع آن ردیابی کرد.
الگوریتم‌های رمزنگاری (یا می‌توانند) عمومی باشند؛ امنیت سیستم به کاربران بستگی دارد که کلیدها را که با الگوریتم‌های (عمومی) استفاده می‌شوند، مخفی نگه دارند.
فایروال‌ها/مجوز
تعداد فزاینده‌ای از کاربران و کامپیوترها قبل از اینکه به سیستم‌های داخلی شرکتی، دانشگاهی یا دولتی دسترسی پیدا کنند و اطلاعات را دریافت کنند، برای احراز هویت بررسی می‌شوند. کنترل‌های سیستم عامل و مدیریت پایگاه داده سنتی اخیراً با فایروال‌هایی همراه شده‌اند که بررسی می‌کنند که فقط کاربران مجاز (و گاهی اوقات پرداخت‌کننده) اجازه دسترسی داشته باشند.
کوکی‌ها
اغلب، سرورهای وب سوابقی از کارهایی که یک کاربر انجام داده است ("کوکی‌ها") را برای ارائه خدمات بهتر به کاربر هنگام بازدید مجدد از سایت ذخیره می‌کنند. این قابلیت می‌تواند مورد سوء استفاده قرار گیرد و به همین دلیل است که اکثر مرورگرها اکنون به کاربران اجازه می‌دهند این اطلاعات را به سرورهای وب ندهند. گاهی اوقات این امر منجر به محروم شدن کاربر از خدمات می‌شود. اما این انتخاب کاربر است، نه سیستم.
خلاصه
مسئولیت‌پذیری و ناشناس ماندن را می‌توان برای امکان دادن به کنترل کاربر بر حریم خصوصی تا حد امکان، هنجارهای اجتماعی زمانی که کاربر تمایل دارد در تضاد باشد و (در نهایت) مقررات دولتی زمانی که هنجارهای جوامع متفاوت است، متعادل کرد. این مقاله نمونه‌هایی از انتخاب‌هایی را که باید انجام شود و سپس به طور خلاصه برخی از مکانیسم‌های فناوری موجود برای پیاده‌سازی این کنترل‌ها در سیستم‌های کامپیوتری را شرح می‌دهد.
____________________________________________
مراجع
[Cook 1996] Cook, J., "A Market Ecology for Electronic Commerce," http://eco.eit.com/information/electron.html, accessed January 2, 1997.
[Flaherty 1989] Flaherty, David H., Protecting Privacy in Surveillance Societies, (University of North Carolina Press) (1989).
[EC 1995] EC Directive on Data Protection (draft), available at http://www.cpsr.org/cpsr/ privacy/privacy_international/international_laws/ ec_data _protection_directive_ 1995.txt(link is external)
[Flaherty 1989] Flaherty, Supra
[Froomkin 1996] Froomkin, A. Michael, "Flood Control on the Information Ocean: Living With Anonymity, Digital Cash, and Distributed Databases," (1995), available as of November 25, 1996, from http://www.law.miami.edu/~froomkin/articles/ocean.htm(link is external).
[HEW 1973] Records, Computers, and the Rights of Citizens, Report of the Secretary's Advisory Committee on Automated Personal Data Systems, Department of Health, Education, and Welfare (July 1973).
[Hoffman 1995] Hoffman, Lance J. (ed.), Building in Big Brother, (Springer-Verlag, New York, N. Y.) (1995).
[IITF 1995] Information Infrastructure Task Force, NII Security: The Federal Role, draft of June 5, 1995, available from http://iitf.doc.gov.
[Laudon 1996] Laudon, K., "Markets and Privacy," 39 Communications of the ACM, No. 9, 92-104 (September 1996).
[Ontario 1995] Privacy-Enhancing Technologies: The Path to Anonymity, Privacy Commissioner of Ontario, Canada (1995).
[Pfleeger 1996] Pfleeger, Charles, Security in Computing (2nd Ed., Prentice-Hall, Inc., Englewood Cliffs NJ) (1996).
[Privacy 1974] Privacy Act of 1974, as amended. P. L. 93-579, 5 USC 552a.
[P&AB 1994] Handbook of Company Privacy Codes, 1-3 Privacy & American Business (Hackensack, NJ), (1966).
[Resnick 1996] Resnick, P. and Miller, J., "PICS: Internet Access Controls Without Censorship," 39 Communications of the ACM, No. 10, 87-93 (October 1996).
[Russell 1991] Computer Security Basics (O'Reilly & Associates, Inc., Sebastopol, California) (1991).
[Rothfeder 1992] Rothfeder, J., Privacy for Sale, (Simon & Schuster, New York, N. Y.) (1992).
[von Solms 1992] von Solms, S. and David Naccache, "On Blind Signatures and Perfect Crimes," 11 Computers and Security, at 6 (Elsevier Science Publishers Ltd) (1992).
[Warren 1890] Warren, Samuel D. and Brandeis, Louis D., "The Right to Privacy," 4 Harv. L. Rev. 193, 220 (1890).
[Westin 1967] Westin, Alan F., Privacy and Freedom, Atheneum (1967).

نقش فناوری در رژیم‌های خودتنظیمی حریم خصوصی
لوری فیث کرانور
تحقیقات سیاست عمومی
آزمایشگاه‌های AT&T-تحقیق(2)
lorrie@research.att.com(link sends email)
افراد اغلب اطلاعات شخصی را در طول انجام تجارت فاش می‌کنند تا مزایایی مانند تحویل کالا به خانه، خدمات سفارشی و امکان خرید با اعتبار دریافت کنند. با این حال، ممکن است در معرض استفاده‌های دیگر از اطلاعات شخصی خود قرار گیرند که برای آنها نامطلوب است. اینترنت و پایگاه‌های داده کامپیوتری جمع‌آوری و پردازش خودکار اطلاعات را به ویژه آسان و راحت می‌کنند. در نتیجه، افراد ممکن است از خدمات جدیدی مانند روزنامه‌های الکترونیکی شخصی‌سازی شده و خرید از خانه بهره‌مند شوند، اما ممکن است در معرض سوء استفاده از اطلاعات شخصی خود نیز قرار گیرند.
همانطور که فناوری می‌تواند برای خودکارسازی جمع‌آوری و پردازش داده‌ها استفاده شود، می‌تواند برای خودکارسازی کنترل فردی بر اطلاعات شخصی نیز استفاده شود. به طور خاص، فناوری می‌تواند:

تسهیل تبادل یکپارچه اطلاعات در مورد شیوه‌های اطلاعاتی جمع‌آوران داده و ترجیحات حریم خصوصی افراد؛
خودکارسازی ممیزی شیوه‌های اطلاعاتی جمع‌آوران داده؛
فعال کردن تراکنش‌های امن که در آن حداقل اطلاعات شخصی فاش شود؛
توانمندسازی افراد برای کنترل پیام‌هایی که از طریق کانال‌های ارتباطی دریافت می‌کنند؛ و
جلوگیری از رهگیری ارتباطات خصوصی و به خطر افتادن پایگاه‌های داده.

فناوری‌هایی برای پشتیبانی از این برنامه‌ها در مراحل مختلف توسعه، استقرار و پذیرش قرار دارند. این مقاله مروری بر این فناوری‌ها ارائه می‌دهد تا بحث در مورد اینکه کدام ابزارها و تکنیک‌ها ارزش بیشتری دارند را آگاهانه کند.
تبادل اطلاعات یکپارچه
اطلاع‌رسانی و انتخاب از جمله اصول اساسی تمرین عادلانه اطلاعات هستند. جمع‌آوران داده مسئولیت‌پذیر ارائه اطلاع‌رسانی واضح و پیشاپیش به افراد در مورد انواع داده‌هایی که جمع‌آوری می‌کنند و نحوه برخورد با آن داده‌ها را دارند. آنها همچنین باید به افراد امکان دهند تا انتخاب کنند که چه داده‌هایی را برای اهداف خاص ارائه دهند. (البته، اگر افراد انتخاب نکنند داده‌های ضروری را در برخی موقعیت‌ها ارائه دهند، ممکن است از خدمات محروم شوند.) روش‌های سنتی ارائه اطلاع‌رسانی و انتخاب معمولاً نیاز دارند که افراد توجه خود را از کار در دست انجام منحرف کنند تا توضیحات طولانی را بخوانند یا گوش دهند و به سوالات پاسخ دهند. هنگامی که این اختلالات به طور مکرر رخ می‌دهند، بعید است که افراد به آنها توجه دقیقی کنند. در اینترنت، افراد معمولاً بدون این وقفه ها از سایتی به سایت دیگر سرگردان می شوند. با این حال، اگر اکثر ارائه دهندگان محتوا و خدمات وب اطلاع‌رسانی و انتخاب را از طریق روش‌های سنتی ارائه دهند، اختلالات یک اتفاق رایج خواهند بود. خوشبختانه، مکانیسم‌های جایگزین می‌توانند ارائه اطلاع‌رسانی و انتخاب را در شبکه‌های ارتباطی بدون به خطر انداختن تجربه مرور یکپارچه تسهیل کنند.
یک راه برای ساده کردن اطلاع‌رسانی و انتخاب، ارائه اطلاعیه‌های استاندارد با گزینه‌های انتخاب سازگار است. در حال حاضر، برخی از سازمان‌ها در حال آزمایش ساختارهای رتبه‌بندی حریم خصوصی هستند که هر وب‌سایت را بر اساس شیوه‌های اطلاعاتی خود در یکی از چند دسته طبقه‌بندی می‌کنند. به عنوان مثال، یک دسته ممکن است برای سایت‌هایی استفاده شود که اطلاعات جمع‌آوری شده از بازدیدکنندگان را فاش نمی‌کنند، در حالی که دسته دیگری ممکن است برای سایت‌هایی استفاده شود که ممکن است اطلاعات را معامله یا بفروشند. سایت‌های دارای رتبه در این سیستم‌ها آیکون‌هایی را در صفحات خود نمایش می‌دهند که به افراد اطلاع می‌دهند از شیوه‌های اطلاعاتی آنها.
این راه حل به افراد امکان می‌دهد تا به سرعت شیوه‌های اطلاعاتی یک سایت را تعیین کنند. با این حال، تعداد دسته‌های شیوه‌های اطلاعاتی باید کوچک باقی بماند تا آیکون‌های دسته به راحتی قابل تشخیص باشند. اما با تعداد محدودی از دسته‌ها، ممکن است نتوان تمام جزئیات مربوط به شیوه‌های اطلاعاتی را که افراد ممکن است برای آنها مهم باشند، رمزگذاری کرد. به عنوان مثال، افراد ممکن است بخواهند از سایت‌هایی بازدید کنند که ممکن است اطلاعات شخصی را فقط در صورتی با طرف‌های ثالث به اشتراک بگذارند که اطلاعات محدود به نام‌ها و اطلاعات تماس باشد و شامل داده‌های تراکنش نباشد. علاوه بر این، از آنجایی که این سیستم‌ها به آیکون‌های بصری متکی هستند، افراد باید به طور آگاهانه به دنبال این آیکون‌ها در هر سایتی که بازدید می‌کنند باشند و اقدامات اضافی را برای تأیید اینکه آیکون جعل نشده است، انجام دهند.
برخی از مشکلات ذاتی در سیستم‌های مبتنی بر آیکون را می‌توان با یک سیستم برچسب‌گذاری قابل خواندن توسط ماشین برطرف کرد. Platform for Internet Content Selection (PICS)، که توسط کنسرسیوم وب جهانی (W3C) توسعه یافته است، یکی از این سیستم‌ها است.1 PICS در اصل به عنوان یک رویکرد توانمندسازی کاربر برای محافظت از کودکان در برابر محتوای نامناسب در اینترنت توسعه یافت. این زیرساختی برای مرتبط کردن توضیحات، به نام برچسب‌ها، با اسناد و وب‌سایت‌ها در اینترنت است. PICS می‌تواند از هر واژگان برچسب‌گذاری استفاده کند: در حال حاضر چندین واژگان در حال استفاده هستند که نشان‌دهنده مناسب بودن سن یا وجود محتوای بالقوه توهین‌آمیز مانند زبان توهین‌آمیز یا برهنگی هستند. یک برچسب معمولاً هنگام نمایش یک سند به کاربر قابل مشاهده نیست؛ در عوض، هنگامی که یک مرورگر سازگار با PICS استفاده می‌شود، مرورگر برچسب PICS را می‌خواند و تعیین می‌کند که آیا سند با معیارهای کاربر برای نمایش مطابقت دارد یا خیر. اگر یک سند با معیارهای کاربر مطابقت نداشته باشد، مسدود می‌شود، مگر اینکه کاربر تصمیم بگیرد مسدود کردن را لغو کند. از دسامبر 1996، Microsoft Internet Explorer 3.0 با PICS سازگار است، همانطور که تعدادی از محصولات فیلترسازی مستقل نیز هستند. این رویکرد توانمندسازی کاربر نقش مهمی در بحث عمومی، هم در ایالات متحده و هم در سراسر جهان، در مورد بهترین روش برای محافظت از کودکان در برابر محتوای نامناسب بدون معرفی سانسور دولتی داشته است.
فناوری PICS همچنین وعده امیدوارکننده‌ای را در زمینه حریم خصوصی برای توانمندسازی کاربر از طریق اطلاع‌رسانی و انتخاب خودکار ارائه می‌دهد.2 واژگان برچسب‌گذاری می‌توانند برای توصیف شیوه‌های اطلاعاتی سازمان‌هایی که داده‌ها را در اینترنت جمع‌آوری می‌کنند، توسعه یابند. به عنوان مثال، یک واژگان می‌تواند دسته‌های مورد استفاده در سیستم‌های مبتنی بر آیکون را رمزگذاری کند. واژگان‌های دیگر همچنین می‌توانند از ابعاد متعددی استفاده کنند، به عنوان مثال، یک بعد برای شیوه‌های مربوط به هر نوع اطلاعاتی که یک سایت جمع‌آوری می‌کند (اطلاعات جمعیت‌شناختی، اطلاعات تماس، داده‌های تراکنش و غیره). افراد می‌توانند مرورگرهای خود را طوری پیکربندی کنند که به طور خودکار سایت‌هایی را که شیوه‌های اطلاعاتی آنها با ترجیحات حریم خصوصی آنها مطابقت ندارد، مسدود کنند.
زیرساخت PICS به سایت‌ها اجازه می‌دهد تا شیوه‌های اطلاعاتی خود را توصیف کنند یا به سازمان‌های نظارتی مستقل اجازه می‌دهد تا برچسب‌ها را توصیف کنند. بر خلاف محتوای نامناسب، شیوه‌های اطلاعاتی یک سایت به طور مستقیم قابل مشاهده نیست. بنابراین، مؤثرترین اطلاع‌رسانی در مورد شیوه‌های اطلاعاتی احتمالاً از خود وب‌سایت‌ها می‌آید.
به منظور ارائه حداکثر انعطاف‌پذیری برای هر دو طرف، مفید خواهد بود اگر مرورگرها بتوانند به طور خودکار شیوه‌های اطلاعاتی را با ارائه دهندگان محتوا مذاکره کنند، به جای اینکه فقط دسترسی به سایت‌هایی را که شیوه‌های نامطلوبی دارند، مسدود کنند. به عنوان مثال، اگر یک وب‌سایت شیوه‌هایی سازگار با ترجیحات فردی نداشته باشد، مرورگر ممکن است با سایت تماس بگیرد و بپرسد که چگونه می‌تواند به فردی خدمت کند. سرور می‌تواند با توافق برای رعایت ترجیحات فرد، ارائه بخش محدود شده‌ای از سایت که در آن ترجیحات فرد رعایت می‌شود، یا ارائه توضیحی در مورد اینکه چرا ترجیحات فرد نمی‌تواند رعایت شود یا انگیزه‌ای برای دسترسی فرد به سایت حتی اگر ترجیحات او رعایت نشود، پاسخ دهد. زیرساخت PICS در حال حاضر از چنین پروتکل مذاکره‌ای پشتیبانی نمی‌کند؛ با این حال، می‌توان آن را برای گنجاندن یک پروتکل مذاکره گسترش داد. پروتکل‌های مذاکره وب در حال حاضر توسط W3C و سایر سازمان‌ها در حال توسعه هستند. هنگامی که یک پروتکل مذاکره توسعه یابد، مدتی طول می‌کشد تا در مرورگرهای وب و سرورها گنجانده شود.
یک توسعه احتمالی دیگر از زیرساخت PICS می‌تواند برای تعیین شرایطی که در آن یک فرد اجازه می‌دهد اطلاعات خاص به طور خودکار منتقل شود، استفاده شود. این اطلاعات می‌تواند شامل اطلاعات تماس مورد نیاز برای تراکنش‌های تجاری یا اطلاعات جمعیت‌شناختی و ترجیحات شخصی مورد استفاده وب‌سایت‌ها برای سفارشی‌سازی خدمات آنها باشد. انتقال خودکار این اطلاعات راحت‌تر از وارد کردن اطلاعات هر بار که از یک سایت بازدید می‌کنید، است و کاربران می‌توانند مرورگرهای خود را طوری پیکربندی کنند که اطمینان حاصل کنند که انتقال فقط به وب‌سایت‌هایی انجام می‌شود که شیوه‌های اطلاعاتی خاصی دارند.
ابزارهای توانمندسازی کاربر توصیف شده در اینجا به همکاری بین افراد و جمع‌آوران داده متکی هستند. هنگامی که شرایطی برای تبادل اطلاعات و شرایط استفاده از آن وجود داشته باشد، این ابزارها می‌توانند انتقال اطلاعات را در پس‌زمینه انجام دهند، بدون اینکه زمان و توجه فرد را تلف کنند. این فرصت برای خودکارسازی فرآیند اطلاع‌رسانی و انتخاب یک مزیت بزرگ اینترنت نسبت به رسانه‌های دیگر برای تعامل تجاری است. همانطور که در دنیای واقعی، این ابزارها تضمین نمی‌کنند که شرایط قابل قبول همیشه یافت شود: بسته به شرایط بازار، افراد ممکن است نتوانند انتخاب‌های سازگار با حریم خصوصی را پیدا کنند.
ممیزی خودکار حریم خصوصی
رویکردهای ذکر شده در بالا تبادل یکپارچه اطلاعات در مورد شیوه‌های اطلاعاتی جمع‌آوران داده و ترجیحات حریم خصوصی افراد را تسهیل می‌کنند، اما تضمین نمی‌کنند که جمع‌آوران داده به طور دقیق گزارش شیوه‌های اطلاعاتی خود را ارائه دهند. خدمات برچسب‌گذاری مستقل می‌تواند برچسب‌ها را پس از شناسایی آنها، اما ممکن است تشخیص سایت‌هایی که شیوه‌های گزارش شده خود را نقض می‌کنند، دشوار باشد. ممیزی می‌تواند به یک سایت کمک کند تا اعتماد مصرف‌کنندگان را جلب کند و خود را از سایت‌های دیگر که ممکن است به طور صادقانه گزارش ندهند، متمایز کند. با این حال، ممیزی‌های سنتی ممکن است برای اکثر اپراتورهای وب‌سایت بسیار پرهزینه باشند. ممکن است توسعه فناوری‌هایی برای خودکارسازی فرآیند ممیزی شیوه‌های اطلاعاتی تا حدودی امکان‌پذیر باشد. به عنوان مثال، سیستم‌هایی می‌توانند برای فاش کردن داده‌های فریبنده به وب‌سایت‌ها و نظارت بر انتشار آن داده‌ها توسعه یابند. تحقیقات بیشتری برای توسعه تکنیک‌هایی برای خودکارسازی فرآیند ممیزی شیوه‌های اطلاعاتی مورد نیاز است.
تراکنش‌هایی که حداقل اطلاعات شخصی را فاش می‌کنند
رویکرد دیگر برای محافظت از اطلاعات شخصی، به حداقل رساندن نیاز به جمع‌آوری چنین اطلاعاتی یا به حداقل رساندن تعداد دفعاتی است که اطلاعات باید در دسترس قرار گیرد. این کار را می‌توان از طریق واسطه‌های مورد اعتماد یا فناوری‌هایی که برای این منظور طراحی شده‌اند، انجام داد.
چندین سیستم واسطه‌ای مورد اعتماد در حال حاضر در اینترنت استفاده می‌شوند که برای جلوگیری از فاش شدن اطلاعات شخصی طراحی شده‌اند. این سیستم‌های ناشناس‌سازی معمولاً تمام اطلاعات شناسایی شخصی (مانند نام و آدرس ایمیل) را از ارتباطات حذف می‌کنند قبل از اینکه آنها را به گیرندگان مورد نظر ارسال کنند. به عنوان مثال، سرورهای پروکسی ناشناس به افراد اجازه می‌دهند تا در وب گشت و گذار کنند بدون اینکه موقعیت شبکه خود را فاش کنند،3 و بازفرستنده‌های ناشناس به افراد اجازه می‌دهند پیام‌های ناشناس را ارسال کنند.4 امروزه برای یک فرد با دانش فنی، ناشناس ماندن و اجتناب از مسئولیت‌پذیری در اینترنت برای اقداماتی که مشکوک یا غیرقانونی هستند، مانند ارسال ایمیل‌های تبلیغاتی به گروه‌های خبری متعدد (اسپم)، اجرای یک سرور پورنوگرافی یا هک کردن صفحه وب شخص دیگر، نسبتاً آسان است.
اما فناوری می‌تواند مسئولیت‌پذیری را به همان اندازه ناشناس ماندن تقویت کند. اگر سیستم‌های کامپیوتری یا برنامه‌ها قبل از اجازه استفاده، به "اثبات" هویت نیاز داشته باشند، جامعه‌ای با مسئولیت‌پذیری بیشتری خواهیم داشت.
تراکنش‌های ناشناس در مقابل تراکنش‌های مبتنی بر هویت
افراد گاهی اوقات برای حفظ حریم خصوصی خود، ناشناس باقی می‌مانند، به عنوان مثال، هنگام گشت و گذار در یک فروشگاه بزرگ یا خرید یک مجله "بزرگسالان". گشت و گذار در وب نیز تا به امروز معمولاً یک فعالیت ناشناس بوده است. با حرکت فراتر از وب به اینترنت به طور کلی، می‌توان از طریق یک برنامه بازفرستنده ناشناس، پیام‌های ناشناس ارسال کرد. امروزه برای یک فرد با دانش فنی، ناشناس ماندن و اجتناب از مسئولیت‌پذیری در اینترنت برای اقداماتی که مشکوک یا غیرقانونی هستند، مانند ارسال ایمیل‌های تبلیغاتی به گروه‌های خبری متعدد (اسپم)، اجرای یک سرور پورنوگرافی یا هک کردن صفحه وب شخص دیگر، نسبتاً آسان است.
اما فناوری می‌تواند مسئولیت‌پذیری را به همان اندازه ناشناس ماندن تقویت کند. اگر سیستم‌های کامپیوتری یا برنامه‌ها قبل از اجازه استفاده، به "اثبات" هویت نیاز داشته باشند، جامعه‌ای با مسئولیت‌پذیری بیشتری خواهیم داشت. گویی ماشین‌ها فقط زمانی روشن می‌شوند که توسط رانندگان "مجاز" رانده شوند؛ کلیدهای معمولی کار نخواهند کرد. از طرف دیگر، قابلیت استفاده و حریم خصوصی آسیب می‌بیند - تصور کنید مجبور شوید برای یک تلفن عمومی یا یک ماشین اجاره‌ای خود را احراز هویت کنید!
مسئولیت‌پذیری همیشه نباید الزامی باشد. توزیع بروشورهای ناشناس و سایر اشکال بیان به درستی توسط قانون اساسی ایالات متحده به شدت محافظت می‌شود. تعادل مناسب باید توسط جامعه برقرار شود. سپس فناوری می‌تواند آن تعادل را اعمال کند.
تهدیدات حریم خصوصی از سیستم‌های کامپیوتری امروزی
قانون حریم خصوصی 1974 [حریم خصوصی 1974] و قوانین حفاظت از داده در سایر کشورها تا حدی انتقاد و نگرانی در مورد تهاجم احتمالی دولت به حریم خصوصی را کاهش داده است. در واقع، پایگاه‌های داده پزشکی، اعتباری و بازاریابی به اندازه پایگاه‌های داده دولتی مشکل‌ساز به نظر می‌رسند. برخی از تلاش‌های خصوصی در حال حاضر نگرانی‌های قابل توجهی در مورد حریم خصوصی در جامعه اینترنت ایجاد کرده‌اند.
پایگاه داده Lotus MarketPlace: Households قصد داشت نام‌ها، آدرس‌ها، داده‌های جمعیت‌شناختی و رفتار خرید قبلی 120 میلیون مصرف‌کننده آمریکایی را در یک CD-ROM در سال 1991 در دسترس قرار دهد. مصرف‌کنندگان با استفاده مجدد از اطلاعات شخصی قابل شناسایی بدون رضایت خود مخالفت کردند. گزارش‌های اعتباری فردی اساس داده‌های MarketPlace را تشکیل می‌داد و در نتیجه، اصل اساسی حریم خصوصی، یعنی اطلاعات شخصی جمع‌آوری شده برای یک هدف نباید بدون رضایت فرد برای اهداف دیگر استفاده شود، نقض شد.
این محصول بر اساس هزینه‌های اضافی قابل توجه برای رسیدگی کامل به مسائل حریم خصوصی مصرف‌کننده لغو شد. بخش عمده‌ای از مخالفت با MarketPlace به صورت فردی و از طریق اینترنت بسیج شد. این جنبش الکترونیکی ریشه‌ای 30000 شکایت الکترونیکی را به صندوق ورودی مدیرعامل Lotus فرستاد و می‌توان آن را به عنوان اولین "نشست اعتراضی الکترونیکی" توصیف کرد.
به تازگی، در سال 1996، Lexis-Nexis خدماتی را ارائه داد که 300 میلیون نام، آدرس‌های قبلی و فعلی، نام‌های خانوادگی و مستعار، تاریخ تولد و شماره تلفن را برای 740000 مشترک خود فراهم می‌کرد. در دسترس بودن گسترده چنین اطلاعاتی نگرانی‌های قانونی و سایر نگرانی‌ها را برانگیخت و منجر به تحقیقات کمیسیون تجارت فدرال در پاسخ به سوالات کنگره شد. Lexis-Nexis در ابتدا شماره‌های تامین اجتماعی را نیز ارائه می‌داد، اما پس از دریافت شکایات متعدد از کاربران اینترنت، سیستم را تغییر داد.
نبردهای حقوقی مداومی بین مدافعان بازاریابی الکترونیکی مانند Sanford Wallace از CyberPromotions، Inc. و گروه‌های زیادی از کاربران که می‌گویند حق ندارند توسط او و سایر بازاریابان الکترونیکی آزار ببینند، وجود دارد. پیام‌های CyberPromotions (اسپم) توسط تعدادی از خدمات آنلاین، از جمله America Online و Prodigy ممنوع شده است و در برخی موارد برای جلوگیری از اقدامات قانونی بیشتر به ارائه‌دهنده پرداخت کرده است.
برنامه‌ریزی و حساسیت به نگرانی‌های کاربران در مورد حریم خصوصی می‌توانست مشکلات فوق را تا حد زیادی کاهش دهد. کاربران اینترنت و کامپیوتر انتظار انتخاب دارند؛ از لحظه‌ای که کامپیوتر خود را دریافت می‌کنند، از آنها پرسیده می‌شود که آیا می‌خواهند پس‌زمینه ساده‌ای داشته باشند یا یکی از تعدادی محافظ صفحه، نوع چاپگر خود را و سایر موارد را انتخاب کنند، همه اینها برای پیکربندی سیستم به ترجیحات کاربر طراحی شده‌اند. برای آنها روشن است که امکان انتخاب وجود دارد و آن را هنجار می‌دانند. بنابراین، آنها انتظار دارند که در مورد دریافت ایمیل‌های تجاری ناخواسته انتخاب داشته باشند. به طور فزاینده‌ای، آنها همچنین انتظار دارند که هنگام استفاده از داده‌های خود، بیانیه‌های حریم خصوصی واضحی را ببینند. تعدادی از شرکت‌های پیشرو در حال حاضر کدهای حریم خصوصی دارند که به حریم خصوصی داده‌های مصرف‌کنندگان خود می‌پردازند [P&AB 1994].
بازارهای تخصصی حریم خصوصی، خودتنظیمی و پشتیبان‌گیری
نکته جالب این است که تقاضایی از سوی بازیگران غیرسنتی ("اعضا" جامعه اینترنت) برای مشارکت در تعیین قوانین بازی وجود دارد. در گذشته، کسب و کار و دولت به وضوح در وضع قوانین نقش داشتند، اما اکنون اعضای فردی جامعه آنلاین سوالات جدی مطرح می‌کنند و اگر به این سوالات پاسخ داده نشود، از بازی کردن خودداری می‌کنند. در سه مورد ذکر شده در بالا، اعتراضات صریح، گسترده و آگاهانه از سوی اعضای جامعه آنلاین باعث شده است که شرکت‌ها برنامه‌های خود را به طور قابل توجهی تغییر دهند؛ این موارد در حال تعریف آنچه در فضای سایبری قابل قبول است، هستند.
بازاری در حال فعالیت است و بخش خصوصی می‌تواند، مانند بیشتر بازارها، تلاش کند تا نیازهای بازار را برآورده کند. به عنوان مثال، شورای مشورتی نرم‌افزار تفریحی (RSAC)، یک سازمان غیرانتفاعی مستقل، در پاییز سال 1994 توسط گروهی از شش سازمان تجاری تأسیس شد که یک سیستم رتبه‌بندی محتوای عینی برای نرم‌افزار تفریحی و سایر رسانه‌ها، مانند اینترنت ایجاد کرد. RSAC از سیستم فناوری PICS (Platform for Internet Content Selection) برای امکان دادن به طرف سوم یا خودتنظیم‌کننده‌ها برای طبقه‌بندی اطلاعات به طور مستقیم استفاده می‌کند و امکان کنترل اطلاعاتی را که می‌تواند توسط یک کاربر معین دریافت شود، بدون سانسور شبکه فراهم می‌کند.
اکثر مرورگرها در حال حاضر یا به زودی با PICS سازگار خواهند بود. بنابراین، فناوری می‌تواند به توسعه بازارهای تخصصی در حریم خصوصی کمک کند. گروه‌های حریم خصوصی می‌توانند سایت‌ها را بر اساس شیوه‌های اطلاعاتی خود با استفاده از PICS برچسب‌گذاری کنند. یک کاربر می‌تواند با یک ارائه‌دهنده خدمات اینترنت (ISP) یا صاحب وب‌سایت قرارداد ببندد تا اجازه دهد میزان متفاوتی از اطلاعات در مورد خود را منتشر کند، بسته به هزینه‌ای که کاربر پرداخت می‌کند. این می‌تواند شامل پرداخت‌های کوچک (حقوق امتیاز) به کاربر در ازای استفاده از داده‌های او باشد [Laudon 1996].
بنابراین، اولین سطح تنظیم، کاربر و ISP یا ارائه‌دهنده محتوای وب است که به طور متقابل در مورد سطح مناسب نقض حریم خصوصی و جبران آن توافق می‌کنند. اگر برخی از اعضای جامعه آنلاین کنترل کاربر را نپذیرند (به عنوان مثال، بازاریابان مستقیم مانند آقای والاس در بالا)، اینترنت خودتنظیمی می‌کند. در گذشته، کاربرانی که از هنجارهای کلی شبکه ("ادب شبکه") فراتر رفته‌اند، تحت تحریم‌های مختلفی قرار گرفته‌اند. اینها شامل "شعله‌ور شدن"، "بمب‌گذاری ایمیل"، هشدارهای ISP و خاتمه حساب‌ها است (که همه آقای والاس با آن مواجه شده‌اند).
فناوری کامپیوتر نمی‌تواند همه مشکلات حریم خصوصی را حل کند. آقای والاس به تازگی طرحی را تبلیغ کرده است که در آن ظرفیت اضافی برخی از ISPها را خریداری می‌کند و آنها به نوبه خود به او اجازه می‌دهند پیام‌هایی را ارسال کند که به نظر می‌رسد از آنها می‌آیند، نه از او (زیرا America On Line و سایر ISPها فایروال‌های خود را برنامه‌ریزی کرده‌اند تا به پیام‌های او اجازه ندهند). برخی این را نقض قانون فدرال یا حداقل اخلاق می‌دانند.
در نهایت، هنگامی که خودتنظیمی شکست می‌خورد، دولت فراخوانده می‌شود تا مشکلات را حل کند یا اختلافات قراردادی را حل کند. این اتفاق در نهایت خواهد افتاد. استانداردها در سراسر جهان متفاوت هستند و هر دولت استانداردهای حریم خصوصی داخلی خود را خواهد داشت. شهر نیویورک استانداردهای حریم خصوصی متفاوتی (و استانداردهای دیگر) نسبت به عربستان سعودی دارد. اما همانطور که فناوری می‌تواند در حال حاضر انتخاب‌های بیشتری را نسبت به قبل برای کاربران فراهم کند، می‌تواند به کشورها نیز اجازه دهد، در صورت تمایل، برچسب‌های خود را بر روی دسته‌های صفحات وب قرار دهند. شهروندان یک کشور جغرافیایی خاص می‌توانند مجاز، ممنوع، مشمول مالیات یا برای بازدید از صفحات (انواع) خاص پاداش بگیرند. در واقع، هنگامی که دولت‌ها نحوه انجام آن را کشف کنند، وب می‌تواند یک منبع غنی از "مالیات گناه" باشد. ابزارهای فناوری امروز در اینجا هستند و می‌توانند به اندازه دلخواه حریم خصوصی را فراهم کنند و از طیف گسترده‌ای از مکانیسم‌های قراردادی پشتیبانی کنند.
محافظت‌های فناوری
تعدادی از مکانیسم‌های فناوری وجود دارد که امنیت کامپیوتر را افزایش می‌دهد و در نتیجه حریم خصوصی فردی را افزایش می‌دهد. این مقاله تنها به چند مورد مرتبط با موضوع ما اشاره می‌کند. ادبیات گسترده‌ای در مورد امنیت کامپیوتر برای خوانندگانی که به اطلاعات بیشتری نیاز دارند وجود دارد [Pfleeger 1996، Russell 1991].
احراز هویت
به طور معمول سه نوع مکانیسم احراز هویت وجود دارد: چیزی که می‌دانید، چیزی که دارید یا چیزی که هستید. پس از تشخیص فردی، رایج‌ترین مکانیسم رمز عبور است. به دلایل فنی مختلف، رمزهای عبور به تنهایی در دراز مدت امن نخواهند بود. ما به آرامی از این سیستم‌ها که فقط به "چیزی که می‌دانید" (به عنوان مثال، رمزهای عبور) نیاز دارند، به سیستم‌هایی که به "چیزی که دارید" یا "چیزی که هستید" نیز نیاز دارند، تکامل می‌یابیم. بنابراین، شاهد کامپیوترهای بیشتری خواهیم بود که با قابلیت خواندن کارت الکترونیکی در اختیار کاربر ساخته می‌شوند، درست مانند دستگاه خودپرداز در یک بانک. گاهی اوقات این کارت به طور خودکار رمز عبور را منتقل می‌کند و گاهی اوقات، برای امنیت بیشتر، کاربر باید رمز عبور خود را به طور جداگانه وارد کند، علاوه بر داشتن کارت فیزیکی.
ممکن است شاهد توسعه بیشتر بیومتریک (به عنوان مثال، اثر انگشت، تلفظ، الگوهای شبکیه) به عنوان مکانیسم‌های احراز هویت نیز باشیم. اینها در حال حاضر وجود دارند، اما کاربرد آنها به دلیل مشکلات پذیرش کاربر محدود بوده است. کالیفرنیا و برخی ایالت‌های دیگر در حال حاضر اثر انگشت را در گواهینامه‌های رانندگی خود الزامی کرده‌اند. از آنجایی که اکثر کاربران نمی‌خواهند چندین کارت حمل کنند، بلکه یک کارت همه منظوره را ترجیح می‌دهند (در نبردهای بین کاربرد و امنیت، کاربرد تقریباً همیشه پیروز می‌شود)، سوالات بیشتری در مورد داشتن یک مرجع مرکزی (یک دولت؟) برای صدور یک کارت (پول) جهانی (و گواهینامه رانندگی) مطرح می‌شود. مزایا کارت‌های کمتر و شماره حساب‌ها و کارایی بیشتر برای سیستم و کاربران آن است. معایب، پتانسیل ایجاد بوروکراسی‌های غیر پاسخگو و سوء استفاده از قدرت توسط یک دولت سرکش است. جامعه باید تصمیم بگیرد که آیا هزینه‌های (مالی و اجتماعی) حفظ رژیم‌های هویت جداگانه متعدد ارزش مزایای (حریم خصوصی) را دارد یا خیر؟
رمزنگاری
روش‌های رمزنگاری دستی، با استفاده از کتاب‌های رمز، جایگزینی حروف و اعداد و جابجایی‌ها را می‌توان در نوشته‌های اسپارتی‌ها، ژولیوس سزار، توماس جفرسون و آبراهام لینکلن یافت. رمزنگاری اغلب در زمان جنگ استفاده می‌شده است و پیروزی‌های حیاتی (مانند پیروزی ایالات متحده در نبرد میدوی در جنگ جهانی دوم) به تجزیه و تحلیل موفقیت‌آمیز (شکستن کد) روش رمزنگاری آلمان بستگی داشته است.
دو نوع سیستم رمزنگاری وجود دارد - کلید مخفی و کلید عمومی. در سیستم‌های کلید مخفی، یک کلید مخفی - یک عدد انتخاب شده ویژه - هنگام ترکیب با مجموعه عملیات ریاضی، هم داده‌های پنهان را "مخفی می‌کند" و هم "باز می‌کند". کلید بین کاربران موافق به اشتراک گذاشته می‌شود. در سیستم‌های کلید عمومی، هر کاربر دو کلید عددی دارد - یک کلید عمومی و یک کلید خصوصی. کلید عمومی به هر کسی اجازه می‌دهد اطلاعات پنهان شده با استفاده از کلید خصوصی فرستنده را بخواند و در نتیجه امکان احراز هویت پیام‌ها (امضاهای الکترونیکی) علاوه بر محرمانگی را فراهم می‌کند. کلید خصوصی توسط کاربر مخفی نگه داشته می‌شود.
بسیاری از سیستم‌های رمزنگاری امروزی از ترکیبی از رمزنگاری کلید مخفی و کلید عمومی استفاده می‌کنند: رمزنگاری کلید مخفی برای رمزگذاری پیام واقعی استفاده می‌شود و رمزنگاری کلید عمومی برای احراز هویت فرستنده، توزیع کلید (ارسال کلیدهای مخفی به گیرنده) و امضاهای دیجیتال استفاده می‌شود. این ترکیب هیبریدی از هر دو فناوری بهترین‌ها را استفاده می‌کند و در عین حال از بدترین‌ها اجتناب می‌کند. این روش اساسی برای ارسال پیام‌ها و فایل‌های امن از هر نقطه به هر نقطه در شبکه‌های ناامن است. تا زمانی که فرستنده و گیرنده اطمینان حاصل کنند که کلیدهای خصوصی آنها منحصراً در اختیار آنهاست، این فرآیند هر بار کار می‌کند و در عین حال هرگونه مهاجم احتمالی را خنثی می‌کند. می‌توان از آن برای ارسال (و مخفی کردن) یک پیام دو خطی یا یک فیلم دو ساعته و هر چیزی در بین آنها استفاده کرد.
امروزه، رمزنگاری اغلب برای جلوگیری از جایگزینی پیام اصلاح شده توسط یک مهاجم (برای حفظ یکپارچگی پیام) و برای جلوگیری از انکار ارسال پیام توسط فرستنده (برای پشتیبانی از عدم انکار) استفاده می‌شود. اگر داده‌ها متعلق به افراد تلقی شوند و حق امتیاز پرداخت شود، می‌توانیم از فناوری رمزنگاری برای امضای دیجیتالی قطعات داده فردی استفاده کنیم و به طور موثری برچسب‌هایی را به داده‌ها بچسبانیم. بنابراین همیشه می‌توان داده‌ها را به منبع آن ردیابی کرد.
الگوریتم‌های رمزنگاری (یا می‌توانند) عمومی باشند؛ امنیت سیستم به کاربران بستگی دارد که کلیدها را که با الگوریتم‌های (عمومی) استفاده می‌شوند، مخفی نگه دارند.
فایروال‌ها/مجوز
تعداد فزاینده‌ای از کاربران و کامپیوترها قبل از اینکه به سیستم‌های داخلی شرکتی، دانشگاهی یا دولتی دسترسی پیدا کنند و اطلاعات را دریافت کنند، برای احراز هویت بررسی می‌شوند. کنترل‌های سیستم عامل و مدیریت پایگاه داده سنتی اخیراً با فایروال‌هایی همراه شده‌اند که بررسی می‌کنند که فقط کاربران مجاز (و گاهی اوقات پرداخت‌کننده) اجازه دسترسی داشته باشند.
کوکی‌ها
اغلب، سرورهای وب سوابقی از کارهایی که یک کاربر انجام داده است ("کوکی‌ها") را برای ارائه خدمات بهتر به کاربر هنگام بازدید مجدد از سایت ذخیره می‌کنند. این قابلیت می‌تواند مورد سوء استفاده قرار گیرد و به همین دلیل است که اکثر مرورگرها اکنون به کاربران اجازه می‌دهند این اطلاعات را به سرورهای وب ندهند. گاهی اوقات این امر منجر به محروم شدن کاربر از خدمات می‌شود. اما این انتخاب کاربر است، نه سیستم.
خلاصه
مسئولیت‌پذیری و ناشناس ماندن را می‌توان برای امکان دادن به کنترل کاربر بر حریم خصوصی تا حد امکان، هنجارهای اجتماعی زمانی که کاربر تمایل دارد در تضاد باشد و (در نهایت) مقررات دولتی زمانی که هنجارهای جوامع متفاوت است، متعادل کرد. این مقاله نمونه‌هایی از انتخاب‌هایی را که باید انجام شود و سپس به طور خلاصه برخی از مکانیسم‌های فناوری موجود برای پیاده‌سازی این کنترل‌ها در سیستم‌های کامپیوتری را شرح می‌دهد.
________________________________________
پایان‌نامه‌ها
1 Paul Resnick and James Miller, PICS: Internet Access Controls Without Censorship, Communications of the ACM, 39(10):87-93, (1996).
2 Paul Resnick, Privacy applications of PICS: the Platform for Privacy Preferences, Prepared for the Federal Trade Commission Public Workshop on Consumer Privacy on the Global Information Infrastructure, (June 4-5, 1996). http://www.research.att.com/~pres nick/papers/ftc96/testimony.htm
3 Community ConneXion, The anonymizer FAQ (1996). http://www.anonymizer.com/faq.html(link is external)
4 Andre Bacard. Anonymous Remailer FAQ (November,1996). http://www.well.com/user/abacard/remail.html
5 Tom Negrino, So What Are Browser Cookies, Anyway? Macworld Online (1996). http://www.macworld.com/netsmart/cookiestory.html
6 Netscape Communications Corporation, Persistent client state HTTP cookies, preliminary specification (1996). http://www.netscape.com/newsref/std/cookie_spec.html
7 David Chaum, Achieving Electronic Privacy, Scientific American, 266(8):96-101, (August 1992).
8 Lorrie Faith Cranor and Ron K. Cytron, Sensus: A Security-Conscious Electronic Polling System for the Internet, Proceedings of the Hawaii International Conference on System Sciences, (Forthcoming January 7-10, 1997), Wailea, Hawaii, USA. http://www. research.att.com/~lorrie/pubs/hicss/hicss.html
9 Chaum, supra note 7
10 Robert J. Hall, Channels: Avoiding Unwanted Electronic Mail. To appear in Communications of the ACM, 1997. ftp://ftp.research. att.com/ dist/hall/papers/agents/channels-long. ps
بیوگرافی نویسنده
لوری فیث کرانور محقق در بخش تحقیقات سیاست عمومی در آزمایشگاه‌های AT&T است. او دکترای خود را در مهندسی و سیاست از دانشگاه واشنگتن در سال 1996 دریافت کرد. تحقیقات فارغ التحصیلی او بر روی طراحی سیستم‌های رای‌گیری الکترونیکی و توسعه یک الگوی رای‌گیری جدید که با استفاده از رایانه‌ها عملی می‌شود، متمرکز بود. قبل از پیوستن به AT&T، کرانور مدرس در بخش‌های مهندسی و سیاست و علوم کامپیوتر در دانشگاه واشنگتن بود.