چرا استراتژی Defense in Depth برای حفظ امنیت شبکه‌های بزرگ ضروریست؟
اهمیت توسعه شبکه‌های ارتباطی و سیستم‌های اطلاعاتی امن در شرکت‌هایی که نقش اساسی در صنایع معدنی و فلزات اساسی کشور دارند، کمتر از سایر صنایع نمی‌باشد. چرا که چابکی در این شرکت‌ها با سایت‌های گسترده ای که در اختیار دارند از اهمیت ویژه ای برخوردار است. با توجه به اینکه عمده اختلالات امنیتی سرورها و شبکه‌های این سازمان‌ها با به‌روز رسانی زیرساخت فیزیکی آن ها قابل پیشگیری می‌باشد، اتخاذ تصمیمات درست در این زمینه موردی حیاتی محسوب می‌شود. با همین رویکرد گفتگویی با مهندس “منصور خواجویی” مدیر ICT شرکت صنعتی و معدنی گل‌گهر انجام دادیم تا با نقش این پیش‌بینی‌های امنیتی آشناتر شویم.
معرفی، سمت و شرح شغل:
منصور خواجویی هستم مدیر ارتباطات و فناوری اطلاعات شرکت صنعتی گل‌گهر که مسئولیت کلیه زیرساخت‌های ارتباطی و اطلاعاتی شرکت گل گهر و بحث‌های ارتباطی منطقه گل‌گهر که حدوداً ۳۰ شرکت در حوزه معدنی و صنعتی را شامل می‌شود، به عهده دارم؛ در حقیقت این وظیفه تمامی بحث های ارتباطی، شبکه‌های داخلی و سیستم‌های اطلاعاتی را شامل می‌شود.
شرکت‌های مثل گل‌گهر که در بخش استخراج فعالیت دارند، چرا نیازمند زیرساخت‌های قوی اطلاعاتی هستند
امروزه شرکت‌های بزرگ از هر نوع و در هر شاخه‌ای، نگاهی ویژه به فناوری اطلاعات دارند. چرا که یک زیرساخت بروز و قابل اتکا، نوعی کاتالیزور جهت رسیدن به اهداف استراتژیک شرکت‌ها می‌باشد. شرکت گل‌گهر نیز از این موضوع مستثنا نیست، گل‌گهر یک شرکت با تعداد زیر مجموعه‌های بسیار می‌باشد و برای مدیریت اهداف و استراتژی‌های خود و شرکت‌های زیر مجموعه خود، نگاهی ویژه به حوزه فناوری اطلاعات دارد تا چابکی و توسعه اعضا را زمینه ساز شود. همچنین با رشد روز افزونی که در حوزه فناوری اطلاعات داریم؛ ارتقای زیرساخت‌های امنیتی این شرکت از سالیان گذشته نقش پر رنگ‌تری گرفته است.
در زمینه تجهیزات شبکه چه برندهایی را پیشنهاد می‌دهید
از دیدگاه شخصی خودم در حوزه امنیت هر برندی مزایا و معایت خودش را دارد. اما با توجه به تجربه سالیان گذشته با برندهایی مثل Cisco، Fortinet، F5 و Juniper تجربیات خوبی داشتیم که جز برندهای تاپ دنیا بشمار می آیند. با نگاهی که در حوزه “امنیت اطلاعات” داریم و با استراتژی “دفاع از عمق اطلاعات” همیشه پیشنهاد و رویکرد ما این بوده که از برندهای مختلف در لایه های مختلف استفاده کنیم. و اگر تجهیزات و برندی نقطه ضعفی دارد، تجهیزات و برندهای دیگر آن را پوشش دهند تا بتوانیم حداکثر بهره‌وری و امنیت را تا حد زیادی تامین کنیم.
کلمه‌ی دفاع در عمق:
استراتژی دفاع در عمق که اصطلاحش از بحث‌های نظامی آمده در بحث‌های امنیت اطلاعات هم به عنوان یک استراتژی شناخته شده هست. که شما در هر لایه‌ای چه مکانیزم‌هایی را پیش بینی می‌کنید! از لایه PTT گرفته تا لایه های مختلف شبکه و همینطور بحث‌های خود اپلیکیشن‌ها، سیستم عامل‌ها که چه مکانیزم هایی را قرار بدیم که لایه های مختلفی در مقابل حملات سایبری داشته باشیم.
چالش‌های موجود در تامین تجهیزات و امکاناتی که ما نمی‌توانیم ازش بهره‌برداری کنیم را بفرمایید
با توجه به تحریم‌هایی که علیه ایران است و مشکلاتی که در داخل داریم مربوط به واردات برخی تجهیزات همین موضوعات یکسری چالش‌های بزرگی را بوجود آورده و این حوزه را تحت فشار قرار داده و ۲ جنبه‌ی اصلی را تحت تاثیر قرار می‌دهد. هم بحث تامین تجهیزات که بسیار زمان بر شده است به نسبت به گذشته و گاها یکسری مشکلات رو هم در زیر ساخت بوجود می‌آورد، تجهیزاتی که ما قبلا در حدود ۲ یا ۳ ماه تحویل می‌‌گرفتیم در بعضی از قراردادهای ما به بیش از ۷ و ۸ ماه رسیده و این برای همه‌برندها هست، البته یک تعدادی بیشتر و یک تعدادی کمتر.
موضوع دیگر این هست که ما نمی‌توانیم از تمامی سرویس‌هایی که برندهایی مثل سیسکو و فورتینت ارایه می‌دهند مثل سرویس‌های پشنیبانی و فنی را ما دسترسی بهش نداریم که یک جاهایی ممکن هست مشکلاتی را بوجود بیاورد و با امکانات و نیروی انسانی که در داخل مجموعه داریم به عنوان یک ریسک قابل توجه باشد در این حوزه.
تحریم از جنس دانش هم داریم؟
بله قطعا داریم؛ ما منابع آموزشی سایتی که در حوزه امنیت کار میکند مثلا …؟… دسترسی به منابع نداریم و دسترسی به دوره های آموزشی موسسه نداریم و این موضوعات در سمت امنیت یک مقدار رنگ و بوی شدید تری دارد و بیشتر به چشم می‌آید و حتی سایت‌ها با فیلترشکن هم نمی‌توانیم باز کنیم و وضعیت فیلترشکن هم در کشور کاملا مشخص هست.
کارشناسان فنی " گل گهر" چه خدمات آموزشی را درکنار آلیاسیس تجربه نمودند؟
سیاست‌های شرکت گل‌گهر بر این بوده که همیشه همزمان با پروژه‌هایی که داشتیم و در قراردادهایی که با شرکت‌ها داشتیم که منجر به بروزرسانی و تغییر در زیرساخت‌های ارتباطی و اطلاعاتی بوده، دانش مرتبط با اون حوزه هم به کارشناسان داخل انتقال داده شود. و در مورد شرکت آلیاسیس باید بگم که تجربه‌ی خیلی خوبی را در کنار شرکت آلیاسیس داشتیم، هم در بحث آموزش و هم در بحث‌های فنی و مخصوصا در حوزه تامین تجهیزات و بازرگانی جز شرکت‌هایی بوده که همیشه برداشت ما برداشتی مثبت بوده. شرکتی با دیسیپلین خاص خودش و همیشه در بحث‌های تامین تجهیزات، تامین فنی و آموزش سرویس‌های خوبی را به ما ارایه دادند و راغب بودیم که در استعلام و مناقصات این شرکت حضور داشته باشه و باعث افتخار بوده این همکاری.
آیا مجموعه آلیاسیس توانسته است تجربه‌ای مثبت در مشاوره، راه اندازی و پشتیبانی این تجخیزات برای شما ایجاد نماید؟
ما در قرارداد قبلی یکسری دوره در حوزه سیسکو و فورتینت داشتیم شامل سیسکوISE و سیسکو FirePower که این دوره‌ها برگزار شد و طبق سیلابس خود سیسکو بود و هم از لحاظ زمانی و هم سیلابسی که در قرارداد بود به همون کیفیت برگزار شد و فیدبکی هم که از بچه ها گرفته شد همه راضی بودند و طبق انتظاری که از دوره میرفت ما مطالب رو دریافت کردیم.
