امنیتِ چندلایه
امنیت یعنی چند قفل برای یه در!
کنترلهای امنیت اطلاعات یعنی چی؟
کنترلهای امنیت اطلاعات همون سپرهای دفاعی هستن که از اطلاعات سازمان در برابر هکرها، اشتباهات انسانی، یا حتی قهوهی ریختهشده روی لپتاپ محافظت میکنن 
این کنترلها سه مدل اصلی دارن 
1. کنترلهای پیشگیرانه (Preventive Controls)
هدف: نذار اصلاً اتفاق بد بیفته!
مثال:
فایروال مثل نگهبان دم دره که میگه «ورود برای افراد ناشناس ممنوع!»
رمزنگاری یعنی اگه کسی نامه رو دزدید، نتونه بخونتش
آموزش کاربران یعنی بگی به کارمندا: «روش زدن روی لینکهای مشکوک مثل باز کردن در برای گرگ در لباس پستچیه!»
2. کنترلهای تشخیصی (Detective Controls)
هدف: بفهمی کی اومده تو، کی خرابکاری کرده!
مثال:
مانیتور لاگها مثل دیدن دوربین مداربستهست.
سیستم تشخیص نفوذ (IDS) مثل آژیر خودکاریه که داد میزنه: «یه نفر داره فایلو دستکاری میکنه!»
3. کنترلهای اصلاحی (Corrective Controls)
هدف: بعد از حادثه، اوضاع رو جمعوجور کن!
مثال:
بکآپگیری مثل داشتن نسخهی دوم دفتر خاطراته که اگه اصلی سوخت، فریاد نزنی
بازیابی داده یعنی دکمهی Undo برای فاجعهها.
بستن باگها بعد از حمله یعنی تعمیر دیواری که ترک برداشته.
کنترلهای دیگه هم داریم!
مدیریتی: سیاستها، دستورالعملها، و قوانین سازمانی. (مثل قوانین ساختمان برای ساکنین)
فیزیکی: قفل، کارت ورود، دوربین مداربسته. (چون اگه سرور دزدیده شه، پسورد به چه دردی میخوره؟
)منطقی: دسترسی کاربران، رمز عبور، احراز هویت. (فقط اونی که باید وارد شه، وارد شه!)
چرا کنترل امنیتی مهمه؟
جلوگیری از دزدیدن اطلاعات محرمانه
جلوگیری از خسارت مالی
حفظ اعتماد مشتری و اعتبار برند
رعایت استانداردهای جهانی مثل ISO 27001 یا NIST
Information Assurance (IA) — اطمینان از اینکه اطلاعاتت حالش خوبه!
IA یعنی مطمئن شی اطلاعاتت گم نشه، تغییر نکنه، و فقط آدم درست ببینهش.
پنج اصل طلایی IA:
محرمانگی (Confidentiality): فقط افراد مجاز ببینن (مثل در مهمونی خصوصی).
یکپارچگی (Integrity): اطلاعات سالم بمونه، نه دستکاریشده.
دسترسپذیری (Availability): همیشه در دسترس باشه (نه مثل اینترنت ایران وسط قطع و وصلی
).احراز هویت (Authentication): مطمئن شی کی کیه.
تأیید (Non-Repudiation): کسی نتونه بگه «من نبودم!»
فرآیندهای IA:
مدیریت ریسک: پیدا کردن تهدیدها قبل از وقوعشون.
پاسخ به حادثه: وقتی اتفاق افتاد، بدونی چیکار کنی.
آموزش: آگاه کردن کارمندا از تهدیدها (چون خیلی از باگها پشت میز نشستن
).
دفاع در عمق (Defense in Depth)
فلسفهاش سادهست: یه دیوار کافی نیست! باید چندتا دیوار بسازی.
مثل اینه که خونهت در داره، قفل داره، دزدگیر داره، سگ داره، و خودتم اونجا نشستی
لایههای دفاع در عمق:
کنترلهای فیزیکی: قفل، دوربین، نگهبان.
کنترلهای منطقی: فایروال، آنتیویروس، IDS.
آموزش کاربر: چون اگه کاربر اشتباه کنه، همه دیوارا بیفایدهست.
مدیریتی: سیاستها و رویههای امنیتی.
پشتیبانگیری: اگه همهچی نابود شد، نسخهی امن داری.
مزایا:
خطر کمتر
پاسخ سریعتر
سیستم امنیتی قویتر
چالشها:
پیادهسازی سخته
هزینهاش بالاست
نیاز به مدیریت مداوم داره
جمعبندی بامزه:
امنیت یعنی «هیچوقت فقط یه قفل نذار!»
باید طوری آماده باشی که اگه یکی از درها باز شد، در دوم و سوم و حتی گربهی نگهبانت کمک کنن 