چگونه ریسک نشت اطلاعات را کاهش دهیم؟

امنیت اطلاعات فقط به استفاده از رمزهای پیچیده یا سامانه‌های محافظتی محدود نیست و این مراقبت تا آخرین لحظه حیات داده‌ها ادامه دارد. اما وقتی اطلاعات یا تجهیزاتی از رده خارج می‌شوند، یک سوال مهم باقی می‌ماند؛ آیا با پاک کردن و حذف ساده اطلاعات، داده‌ها واقعاً برای همیشه از بین می‌روند؟ در ادامه، اصول امحای امن اطلاعات و دارایی‌های سازمان را مرور می‌کنیم.

 

چرا امحای اطلاعات مهم است؟

وقتی یک فایل را Delete می‌کنیم، یک هارد را Format می‌کنیم یا یک کاغذ را داخل سطل زباله می‌اندازیم، لزوماً به این معنی نیست که اطلاعات آن برای همیشه از بین رفته است. اگر اطلاعات سازمان به‌درستی امحا نشود، ممکن است افراد غیرمجاز به داده‌هایی دسترسی پیدا کنند که دیگر نباید در دسترس باشند. هدف از امحای اطلاعات این است که داده‌ها به شکلی از بین بروند که قابلیت بازیابی و استفاده مجدد را نداشته باشند.

 

چه تجهیزاتی حامل اطلاعات سازمان است؟

هر ابزار یا رسانه‌ای که ممکن است اطلاعات سازمان روی آن ذخیره شده باشد، هنگام واگذاری، تعمیر، فروش یا خروج از چرخه مصرف باید با دقت بررسی شود؛ از جمله:

 

• لپ‌تاپ و کامپیوترها
• هاردهای HDD و SSD
• فلش و هارد اکسترنال
• CD و DVD
• تجهیزات و سخت‌افزارهای دارای حافظه
• تجهیزات شبکه مانند Switch، Router و Firewall
• اسناد و اطلاعات کاغذی
• نرم‌افزارها و کدهای منبع

 

 

نکات پر اهمیتی که باید به خاطر بسپاریم

 

• گزینه Delete همیشه به معنی حذف کامل نیست

• الزام مرتبط در «روش اجرایی امحای امن دارایی‌ها»: حذف فایل یا حتی Format کردن یک رسانه، لزوماً اطلاعات را غیرقابل بازیابی نمی‌کند. برای اطلاعات محرمانه و بالاتر (همانند اطلاعاتی با ماهیت شخصی و خصوصی)، فقط Delete یا Format کافی نیست.

 

• قبل از واگذاری تجهیزات، وضعیت اطلاعات را جدی بگیریم

• الزام مرتبط در «روش اجرایی امحای امن دارایی‌ها»: اگر قرار است لپ‌تاپ، هارد، فلش یا تجهیزی به فرد دیگری تحویل داده شود (مانند جابجایی شغلی، خروج کارمند، تحویل تجهیزات به نیروی جدید یا ارسال برای تعمیر)، ابتدا باید وضعیت اطلاعات ذخیره‌شده روی آن تعیین تکلیف شود.

 

• تجهیزات خراب را خودسرانه برای تعمیر ارسال نکنیم

• الزام مرتبط در «روش اجرایی امحای امن دارایی‌ها»: خرابی تجهیز به معنی از بین رفتن اطلاعات نیست. در مورد تجهیزات دارای اطلاعات طبقه‌بندی‌شده، رسانه ذخیره‌سازی باید پیش از تعمیر بررسی و در صورت نیاز مطابق با فرآیند تعریف‌شده امحا شود.

 

• کاغذها هم اطلاعات هستند

• الزام مرتبط در «روش اجرایی امحای امن دارایی‌ها»: اسناد کاغذی دارای طبقه‌بندی حساس و بالاتر نباید مستقیماً داخل سطل زباله قرار بگیرند و باید به شکل امن (مانند استفاده از دستگاه کاغذخردکن) امحا شوند. برای اسناد عادی نیز سربرگ، مهر و نمونه امضای شرکت باید پیش از دورریختن جدا و غیرقابل‌بازیابی شود.

 

• نسخه‌های پشتیبان (Backup) را فراموش نکنیم

• الزام مرتبط در «روش اجرایی امحای امن دارایی‌ها»: در زمان امحای اطلاعات، نسخه‌های پشتیبان مرتبط نیز باید شناسایی و در صورت نیاز تعیین‌تکلیف شوند. اگر چند نسخه از یک Backup وجود داشته باشد، در صورت نیاز باید تمام نسخه‌ها به شکل امن حذف شوند.

 

• برچسب اموال را فراموش نکنیم

• الزام مرتبط در «روش اجرایی امحای امن دارایی‌ها»: در فرایند امحای فیزیکی، فروش یا ارسال سخت‌افزار، برچسب‌های اموال و مالکیت شرکت باید طبق دستورالعمل مربوطه جدا شوند.

 

• رسانه‌های حاوی اطلاعات پرداخت و کارت، موضوع ویژه‌ای هستند

• الزام مرتبط در «روش اجرایی امحای امن دارایی‌ها»: فروش رسانه‌های ذخیره‌سازی حاوی اطلاعات دامنه پرداخت و کارت، حتی در صورت امحای اطلاعات، به‌کل مجاز نیست.

 

درس‌آموخته‌های فرایند امحای امن اطلاعات

پیش از اینکه یک دارایی یا رسانه را دور بیندازیم، واگذار کنیم، برای تعمیر بفرستیم و یا از چرخه استفاده خارج کنیم، لازم است موارد زیر رعایت شود:

 

1. بررسی کنیم آیا اطلاعات سازمان (همانند داده‌های با ماهیت شخصی و خصوصی) روی آن وجود دارد یا خیر.
2. سطوح طبقه‌بندی اطلاعات را مد نظر قرار دهیم.
3. روش حذف اطلاعات را کاملاً مطابق با فرآیند امحای امن سازمان تعیین تکلیف کنیم.
4. اگر درباره روش صحیح امحا مطمئن نیستیم، خودسرانه اقدام نکنیم و حتماً از واحدهای مسئول (مدیریت ریسک و امنیت اطلاعات، و مدیریت زیرساخت فناوری اطلاعات) راهنمایی بگیریم.

 

 

چند پرسش و پاسخ ساده

 

- پرسش ۱: آیا پیش از تحویل لپ‌تاپ یا رایانه کارمند قبلی به کارمند جدید، کافی‌ است فایل‌های کاربر قبلی را Delete کنیم؟

پاسخ صحیح: خیر. پیش از تحویل، اطلاعات موجود روی رسانه باید مطابق «الزامات امحای امن دارایی‌ها» کاملاً تعیین تکلیف شود.

 

- پرسش ۲: آیا چون تجهیزات ذخیره‌سازی رایانه (Hard) خراب است، اطلاعات روی آن دیگر اهمیتی ندارد؟

پاسخ صحیح: خیر. رسانه آسیب‌دیده ممکن است همچنان حاوی داده‌های قابل بازیابی باشد و باید طبق فرآیند امحاء تعیین تکلیف شود.

 

- پرسش ۳: آیا زمان مرتب کردن کشو، کمد یا میز کار خود، می‌توانیم اسناد و کاغذهای قدیمی را صرفاً داخل سطل زباله بیندازیم؟

پاسخ صحیح: خیر. اگر کاغذها دارای طبقه‌بندی حساس یا بالاتر هستند، باید حتماً به روش امن طبق دستورالعمل امحا شوند.

 

نکته مهم

امنیت اطلاعات، فقط در زمان استفاده از اطلاعات مهم نیست؛ بلکه هنگام از بین بردن آن نیز حیاتی است.

پیش از حذف، دور ریختن، واگذاری، تعمیر، فروش یا امحای هر دارایی، مطمئن شویم اطلاعات سازمان به شکلی مناسب، ایمن و غیرقابل‌بازیابی تعیین تکلیف شده است.