Module 4 Part 8 Introduction to Information Security

Module 4 Part 8YouTube↗ IA↗(long shot)
People & Blogs 739 views 0 likes 0 dislikes 26 Jan 2015

Introduction to Information Security – I 1.3K subscribers N/A YouTube↗

Now, let us take a look at some of the common and popular tools, used for penetration testing.

अब, आइए हम कुछ आम और लोकप्रिय उपकरणों पर एक नज़र डालें, जिनका प्रवेश परीक्षण के लिए उपयोग किया जाता है। काली, जिसे पहले बैकट्रैक कहा जाता था, वायर

शार्क जो एक स्निफर है, डीस्निफ भी स्निफर

Kali, which was called backtrack before, wire shark which is a sniffer, dsniff also sniffer,

होता है, जो वी ट्रेस मार्ग, एनमैप, नेसस, नेक्सपोज होता है, जिसमें मेटस्प्लोइट,

who is v trace route, n map, nessus, nexpose which used the metasploit, net cat, wire shark,

नेट कैट, वायर शार्क, टाइगर टूल्स का उपयोग किया जाता है। जीएफ़आई, लैंडगार्ड, माइक्रोसॉफ्ट बेस एंड एनालाइज़र, फ़ायरवॉक, फ़ायरवॉल की एक मर्मज्ञ,

राउंड ऑडिट टूल्स निपर, राउटर और फायर

tiger tools. Gfi, landguard, Microsoft base end analyzer, firewalk, a penetrating of firewalks, round

वॉक के लिए ऑडिट टूल, लोफ्टक्रेक, जॉन द रिपर, कैन और एबल। अन्य सैकड़ों उपकरण हैं, जो भेद्यता मूल्यांकन

audit tools nipper, its again audit tools for router and fire walks, Lophtcrack, jon

और प्रवेश परीक्षण के संचालन के लिए भी उपलब्ध हैं। हालाँकि, ये कुछ लोकप्रिय उपकरण हैं, जिन्हें

the ripper, cain and able. There are hundreds of other tools, also available for conducting the vulnerability assessment and penetration testing.

आप आज़मा सकते हैं, जिन्हें आप सीख सकते हैं और ये बहुत प्रभावी उपकरण हैं। हम इस सत्र के अंत में आते हैं, हमने

However, these are some of the popular tools, which you can try out, which you can learn,

नेटवर्क सुरक्षा के बारे में सीखा है, हमने भेद्यता मूल्यांकन और प्रवेश परीक्षण, प्रवेश परीक्षण के चरण, प्रवेश परीक्षण के लिए कौन से उपकरण और महत्वपूर्ण

and these are very effective tools.

मुद्दे, ब्लैक बॉक्स के बीच अंतर देखा

We come to the end of this session, so we have learn about network security, we have

है। फिर कुछ लोकप्रिय उपकरण, जो प्रवेश परीक्षण के लिए उपयोग किए जाते हैं, इसके साथ हम विभिन्न प्रकार के ऑडिट पर जाते हैं।

seen the differences between vulnerability assessment and penetration testing, phases of penetration testing, what tools are used for penetration testing, and critical issues,

हम डेटा सेंटर ऑडिट के लिए आते हैं, अब यह बहुत गहरा क्षेत्र है, आप आम तौर पर एक प्रलेखन देखने के लिए साक्षात्कार, अवलोकन की पद्धति का उपयोग करते हुए

ऑडिट का उपयोग करते हैं, वार्ता करते

differences between black box, bare box.

हैं। ऐसे कई क्षेत्र हैं, जिनका आपको डेटा

Then some of the popular tools, that are used for penetration testing, with this we go on

सेंटर का ऑडिट करते समय आचरण करना होता है। भौतिक, पर्यावरण, शक्ति और बैकअप, अभिगम

to audits of different kinds.

नियंत्रण, सुप्त विषय टेलीविजन, सीसीटीवी,

We come to data centre audits, now it is all very deep field, you generally go audit using,

नेटवर्क, बीसीपी डीआरपी, अनुपालन, निगरानी, घटनाओं के प्रति संगठन की प्रतिक्रिया, विभिन्न विक्रेताओं के साथ सेवा सत्यापन, आग और पानी।

फिर बाड़ और दीवारें, ताले, बिजली स्विच,

while using the methodology of interview, observation, to view a documentation, discuses.

बीटा साइट, बैकअप सिस्टम, यूपीएस, और प्रपत्र, प्रशिक्षण और जागरूकता कार्यक्रम, चेतावनी के संकेत, संदर्भ जांच, अलगाव और कर्तव्यों को अलग करना, औचक निरीक्षण,

There are several areas that you have to conduct when you are doing an audit of data center.

प्राधिकरण योजनाएं, कर्मचारी पहचान बैज सिफर लॉक, गार्ड या गार्ड डॉग, नेटवर्क

Right from physical, environmental, power and backup, access control, closed subject

फायरवॉल, सुरक्षा का कंपार्टमेंट, या संगठन स्वयं, विभिन्न क्षेत्रों, अग्निरोधी सामग्री, और सुरक्षित, एंटी वायरल सॉफ्टवेयर, क्रिप्टोग्राफी की प्रबंधन।

तो, कुछ क्षेत्रों पर प्रकाश डाला गया

television cctv, network, bcp drp, compliance, monitoring, how the organisation of the responds

है। मूल रूप से, जब आप डेटा सेंटर का ऑडिट करते हैं, तो आप इंफ्रास्ट्रक्चर की जगह पर पहले वॉकथ्रू करते हैं।

तो, आप भौतिक सुरक्षा का आकलन करने की कोशिश

to incidents, service validation with different vendors, fire and water.

करते हैं, यह कहकर कि क्या इमारत को

And fences and walls, the locks, the power off switches, beta sites, backup systems,

चलाने वाले गार्ड, ठीक से विवरण दर्ज कर रहे हैं, कोई भी अनधिकृत प्रविष्टि हो सकती है। क्या उचित पहचान, आगंतुक पहचान, बैज

जारी किए जा रहे हैं, व्यक्ति का पास कब

UPSs, and forms, training and awareness programs, warning signs, reference checks, segregation

तक वैध है। क्या आपके मोबाइल फोन, कैमरा, लैपटॉप, को डेटा सेंटर के अंदर की अनुमति है, आप प्रवेश बिंदुओं, संभावित प्रवेश बिंदुओं

को देखने के लिए परिसर में घूमते है क्या

and seperation of duties, surprise inspections, authorization schemes, employee identification

वह गार्डेड हैं। क्या सीसीटीवी सुविधा है, डेटा सेंटर की

badges. Cipher locks, guards or guard dogs, network firewalls, compartmention of security, or

परिधि की निगरानी करने के लिए या जहां डेटा सेंटर स्थित है, क्या कोई भी ऊपर

the organization itself, different areas, fire retardant materials, and safe, anti viral software, cryptography key management.

से कूद सकता है और परिसर के अंदर पहुंच सकता है। तो, भौतिक पहुंच में, पहले स्तर के रूप

So, some of the areas have been highlighted here. Basically, when you do an audit of data centre, you do a walkthrough of the place first, of

में, आप सुरक्षा गार्ड, की निष्ठा देखेंगे, फिर आप अंदर जाते हैं, आप देखते हैं, क्या कोई रिसेप्शन है, क्या आगंतुक नियंत्रित है, क्या एक्सेस कंट्रोल या भौतिक एक्सेस

the infrastructure. So, you try to assess the physical security, by saying whether the guards, who are manning

कंट्रोल तंत्र केवल अधिकृत लोगों के प्रवेश को प्रतिबंधित करने के लिए हैं। क्या कर्मचारी आगंतुक को अपने केबिन में, या बाथरूम में, आपके बायोमेट्रिक के अंदर

उचित निकटता में कटौती स्थापित है।

the building, are entering the details properly, whether any unauthorized entry can, happen.

तो, भौतिक पहुँच में, आप इन सभी पहलुओं को कवर करते हैं, इसलिए जब आप डेटा सेंट्रल

Whether proper identification, visitor identification, badges are being issued, how long is the pass valid for the person.

पर जाते हैं, तो बुनियादी सुविधाओं के आधार पर पॉइंट्स को जोड़ा या घटाया जा सकता

Whether your mobile phones, your camera, laptops, are allowed inside the data centre, then you

है, जिसके तहत डेटा सेंट्रल को सीक्रेट किया जाता है। इसी तरह, आप पर्यावरण नियंत्रण देखते हैं,

walk around premises, to see entry points, potential entry points, whether it is guarded.

क्या फायर एक्स्टिंग्यूशर बुझाने की जगह पर है, क्या उचित निकास के संकेत हैं, कर्मियों

Whether cctv facility is there, to monitor to perimeter of the data centre or where the

के तत्काल निकासी के लिए, क्या स्मोक डिटेक्टर मौजूद है, क्या फायर एक्स्टिंग्यूशर

data centre is situated, whether anybody can just jump over and get inside the premises.

के पास वैधता अवधि है, क्या उसका ठीक से परीक्षण किया गया है। फिर, क्या आपके डेटा केंद्रों के नीचे

So, in physical access, as first level, you will see the fidelity of security, the guard,

पानी के डिटेक्टर स्थापित किए गए हैं, और क्या एंटी स्टेटिक टाइलें डेटा सेंटर

then you go in inside, you see, whether there is a reception, whether the visitor are controlled,

में डाल दी गई हैं, क्या आपके पास तापमान और आर्द्रता नियंत्रण है, क्या प्रोसेसन एयर को पहचाना जा सकता है।

whether the access control or physical access control mechanisms are in place, to restrict

यह कैसे संचालित होता है, इसके लिए

the entry of only authorized people.

रखरखाव अनुसूची क्या है, क्या बैकअप प्रारूप उपलब्ध है। तो, ये पर्यावरण नियंत्रण में आएंगे, यह भी कि

Whether employee is parking the visitor to his or her cabin, or to the bathrooms, whether

क्या उचित चेतावनी के संकेत दिए गए हैं। उदाहरण के लिए, डेटा केंद्र के अंदर खाने की अनुमति नहीं है।

proper proximity cuts inside your biometric is installed.

फिर आपातकालीन संपर्क नंबर। जिन लोगों को अग्निशामक यंत्रों के इस्तेमाल

So, in physical access, you cover up all of these aspects, so when you visit the data

का प्रशिक्षण दिया जाता है, या निकासी की जाती है, क्या इसका सही वर्णन किया गया

central, the points can be added or subtracted depending up on the infrastructure under which in data central secreted.

है, क्या उचित सुरक्षा दिशानिर्देश पोस्ट किए गए हैं, क्या निकास के संकेत स्पष्ट

Similarly, you see environmental controls, whether effect oriented fire extinguisher

रूप से चिह्नित किए गए हैं। फिर, हम एक तार्किक सुरक्षा पर जाते

is in place, whether there are proper exit signs, for immediate evacuation of the personnel,

हैं, कैसे बुनियादी ढांचे के भीतर उपयोगकर्ता लूप स्रोत तक पहुंच रहे हैं, वहां सुरक्षा स्तर क्या था, फिर आप पासवर्ड जटिलता,

whether smoke detectors are present, whether the fire extinguishers themselves have validity

पासवर्ड लिंक, पासवर्ड इतिहास देखें। तो, तार्किक पहुँच नियंत्रण को आगे बढ़ाते हुए, फिर आप यह भी देखते हैं कि

period written on them, whether it is tested properly. Then, whether water detectors are installed below the data centres for you, and then anti

क्या यूपीएस के लिए उचित स्थिति बनी है, क्या बैकअप जनरेटर उपलब्ध हैं, लंबे समय तक बिजली के बढ़ने की स्थिति में, आप संचार लाइनों को देख सकते हैं, वैकल्पिक

रूप से विविध रूटिंग की तरह यह कैसे समान

static tiles have been put in the data centre, then you have temperature and humidity control,

रूप से उपलब्ध है, सत्ता के लिए। फिर संचार लाइन के बाद जहां यह समाप्त

whether procession air can be recognized or no. How it is operated, what are the maintenance schedule for that, whether a backup format is available. So, these will come under environmental control, also whether proper warning signs are put.

होता है, आप देखते हैं, क्या लोड बैलेंस है, क्या यह फायर वॉल पर समाप्त हो रहा है, और क्या फायरवॉल पर ही उचित नियंत्रण

For example, no eatables allowed, inside the data centre.

है। वहाँ से सर्वरों तक, जो पहुँच प्राप्त करते हैं, क्या आंतरिक नेटवर्क से सर्वर

Then emergency contact numbers.

तक मुफ्त पहुँच दी जाती है, या चाल के

People who are the trained in use of fire extinguishers, or evacuation, whether that is described properly, whether proper security guidelines have been posted, whether the exit

माध्यम से या उपयोगकर्ता नाम और पासवर्ड के माध्यम से छेड़छाड़ की जाती है। कई जगहों पर, आप देखते हैं कि जहां भी विंडोज़ का उपयोग किया जाता है, वहाँ आरटीपी का

उपयोग किया जाता है, वहां क्रेडेंशियल्स

signs have been clearly marked.

को डेस्कटॉप में संग्रहीत किया जाता

Then, we go on to a logical security, how users within the infrastructure are accessing

है। इसलिए, उपयोगकर्ता को केवल आईपी पता देना होगा और फिर सीधे लॉगिन करना

loop source ,what was the security level there, then you see the password complexity, password

होगा, यह एक बुरा अभ्यास है। इसलिए, हमें यह देखना होगा कि बुनियादी

link, password history.

ढांचा पृथक्करण और कर्तव्यों के पृथक्करण

So, moving the logical access controls, then you also see whether proper position is made

के भीतर किस तरह के नियंत्रण लागू हैं, एक और महत्वपूर्ण पहलू है।

for UPS, whether backup generator also available, in case of prolonged power surges, then you can see the communication lines, alternate diverse routing how is it available similarly,

उदाहरण के लिए, आपका सिस्टम व्यवस्थापक और ऑडिटर एक ही व्यक्ति नहीं हो सकता। तो, फिर चाहे वह कर्मचारी हो, जो पहचान का बैज पहने हुए है, वहां के कारकों में आप

एक अंदरूनी सूत्र और बाहरी व्यक्ति

for the power. Then you see, after the communication line, where it terminate, whether load balances

के बीच अंतर कर सकते हैं। कितने फ़ायरवॉल हैं, फ़ायरवॉल के लिए बैकअप क्या है, कॉन्फ़िगरेशन परिवर्तन की आवश्यकता कैसे होती है, कॉन्फ़िगरेशन कॉन्फ़िगरेशन कौन

are there, whether it is terminating to the fire wall, and whether there is proper control

संचालित करता है, फिर फ़ायरवॉल के

is there over the firewall itself.

नियमों की समीक्षा करना, वह ठीक से किया

From there to the servers, who get access to what, whether free access is given to the

गया है या नही। फिर, कंपार्टमेंटेशन है कि क्या यह एक बड़ा

server from the internal network, or is it through turbulated through the moves up, or user name and password.

हॉल है, जहां सभी विभाग को मिलाया गया है, या विभाग का कंपार्टमेंट उपयोग कहां है, जहां

In many places, you see that RTP is used wherever windows are used, the credentials are stored

आईपी का उपयोग होता है, एक अलग वीएलएएन

in the desktop. So, user just has to give the ip address and then directly login in to, that is a bad practice.

के आधार पर, डेटा सेंटर से जुड़ा होता है। स्वयं एचआर और व्यवस्थापक, उनके पास उस तक पहुंच

So, we will have to see what kind of controls are implemented , within the infrastructure

नहीं है जो आईटी के पास है, एंटीवायरस सॉफ़्टवेयर का अस्तित्व है, और यदि क्रिप्टोग्राफी का उपयोग किया जाता है, तो पीक प्रबंधन

segregation and separation of duties, is another important aspect.

कैसे होता है।

Your system administrator and auditor cannot be the same person, as an example.

डेटा केंद्रों का ऑडिट स्वयं होता है, हमने जो कुछ भी सीखा है, डोमेन से

So, then whether are, an employee wearing the identity identification badges, in factors

शुरू करके, उन सभी को एक साथ रखकर एक डेटा सेंटर ऑडिट होगा, और बोले गए घुसप्रवेश

there you can distinguish between an insider and an outsider.

या भेद्यता मूल्यांकन सहित, और प्रवेश सिर्फ

How many firewalls are there, what is the backup for the firewall, how the configuration

एक तकनीकी बुनियादी ढांचा। डेटा सेंट्रल ऑडिट में से कुछ बड़े पैमाने

changes are needed, who operates the configuration manuals, then reviewing the rules of the firewall

पर चेक लिफ्टों के उपयोग पर निर्भर करते हैं, इसलिए बहुत सी वस्तुओं को देखा जाना चाहिए। एक इंटरनेट में चेकलिस्ट उपलब्ध हैं।

itself, whether it is done properly. Then, compartmentation is whether it is a big hall, where all the department were mix

लेकिन फिर आपको इसे लेना होगा, इसे कस्टमाइज़ करना होगा, भारतीय परिवेश में, नंबर 1 पर, और इसे संगठन में भी कस्टमाइज़

up, or where is compartmentation utilization of department, where IP has access, based on a different VLAN, connected to the data center.

करना होगा, जिस पर आप ऑडिट करेंगे। कई पहलू हो सकते हैं, जिन्हें लागू करना संभव नहीं हो सकता है, यह एक साझा संसाधन

The HR and admin itself, they do not have access to what IT has, existence of antivirus

हो सकता है, जहां यह बुनियादी ढांचा नहीं है, संगठन के स्वामित्व में नहीं है।

software, and if cryptography is used, how the peek management happens.

तो, आपकी चेक लिस्ट बदल जाएगी, चेक लिस्ट भी आपको एक विचार देगा, यह आपको याद

So, data centres audit itself is, whatever we have learned, right from domain one, all are those put together will be a data centre audit, and with including the spoken intrude

दिलाएगा कि, आपने इस बिंदु पर दोबारा गौर किया है या इस पहलू पर गए हैं। इसलिए, जब आप डेटा सेंटर के ऑडिट के लिए जा रहे हैं, तो यह आपके लिए एक बहुत

or vulnerability assessment , and penetration just an technical infrastructure also.

महत्वपूर्ण दस्तावेज है। फिर से जाँच सूची में सारांश होगा,

Some of the data central audits will extensively depend, upon usage of check lifts dependent

हम जो भी बनते हैं, आप पाएंगे, या आप सुरक्षा नीति पढ़ेंगे, देखें कि भौतिक पहुँच के

on, so many items to be seen.

सहसंबंधी बिंदुओं का पालन किया जा रहा

There are checklists available in an internet.

है या नहीं।

But then you will have to take it, customise it, to the Indian environment, number 1, and

आप इसके लिए प्रक्रिया देखते हैं, और इसकी प्रासंगिकता, और मुद्रा की जांच करते हैं।

also customise it to the organisation, that you will be auditing on.

क्या वह सही है या फिर कुछ और सीसीटीवी

There may be several aspects, which may not be possible to implement, it may be a shared

में बदलना होगा। अगर हम देखते हैं कि यह रिकॉर्ड किया जा रहा है, लेकिन इसकी पुष्टि कौन करता

resource, where it is not or the infrastructure, is not owned by the organisation itself. So, your check list will change, also check list will give you an idea, or it will remind

है, निगरानी करने वाला कोई नहीं है, यह एक मुद्दा है। फिर से, जब आप लॉग प्रबंधन के बारे में बात करते हैं, तो क्या उचित सिम

टूल का उपयोग किया गया है, क्या विश्लेषण

you that, you have revisited or visited this point, or visited this aspect.

किया गया है, क्या संगठन के भीतर सुरक्षा मुद्दे की निगरानी के लिए स्वयं एक सुरक्षा

So, it is a very important document for you to carry, when you are going for a data centre

संचालन है या नहीं, क्या वेबसाइट की सुरक्षा के लिए एक वेब एप्लिकेशन फ़ायरवॉल स्थापित किया गया है । यदि संगठन प्रयास

audits. Again the check list will have summary, of whatever we are formed, you will find, or

किए गए निष्कर्षों की निगरानी कर रहा है, तो कई पहलू हैं, कि आप एक सुरक्षा

you will read the security policy, see whether points covalent to physical access are being followed.

का निर्धारण करने के लिए, या चेक सूची के सभी उपयोग, एक अभिनव उपायों में उपयोग,

You see the procedure for that, and check for its relevancy, and currency.

सोशल इंजीनियरिंग तकनीकों का उपयोग

Whether it is correct, or else anything has to be changed in cctv.

करने के लिए डेटा सेंटर को ऑडिट करने के लिए आगे बढ़ेंगे।

If we see yes it is been recording, but who verifies it, there is nobody to monitor, that

आप पहले स्तर, दूसरे स्तर, तीसरे स्तर में प्रवेश कर सकते हैं। इसलिए, अलग-अलग तरीके या अलग-अलग तरीके

is an issue. Then again, when you talk about log management, whether proper SIM tool has been used, whether

हैं, आपको डेटा का पालन करना होगा, ऑडिट करना होगा, साथ ही जांच करनी होगी, और संगठन के अंदर सूचना सुरक्षा जागरूकता

analysis is done, whether there is a security operations unto itself monitor security issue

का महत्व होगा। तो, आप देखेंगे कि क्या वहां काम करने

within the organisation, whether a web application firewall has been installed to protect the

वाले कर्मचारियों को पर्याप्त रूप से प्रशिक्षित किया गया है, क्या वे उल्लंघन

website. If the organisation monitoring the attempted inclusions, so there are several aspects,

के निहितार्थ को समझते हैं, और इस तरह के घुसप्रवेश से संगठन के बुनियादी

that you will move to determine a security, or to audit a data centre by use all usage of check list, use in a innovative measures, use social engineering techniques, to see

ढांचे की रक्षा के लिए उपयोगकर्ताओं के रूप में उन्हें क्या उपाय करना है। प्रशिक्षण कितनी बार दिया गया है, क्या यह केवल नए कर्मचारी अभिविन्यास का एक

whether you can penetrate into the first level, second level, third level. So, there are different ways or different methods, you have to follow to, do a data

हिस्सा है, या यह नियमित आधार पर आयोजित किया जाता है, फिर क्या पृष्ठभूमि सत्यापन, या संदर्भ जांच किसी भी कर्मचारी के लिए की जाती है, जिसे संगठन ने नियुक्त किया

है। तो, यह उचित प्रक्रिया विस्तृत होना चाहिए। प्राधिकरण योजनाओं का पालन करता है या

and audit, to also have to check, and the importance of information security awareness

नहीं। अब, हमें इस, इस पद्धति का उपयोग करके सर्वर तक पहुंचने की आवश्यकता है, या यह एक उपयोगकर्ता

inside the organisation. So, you will see whether employees working there, have been trained adequately, do theyunderstand

नाम हो सकता है, यह एक पासवर्ड प्लस

the implication of a breach, and what measures they have to take as users to protect the

टोकन, या पासवर्ड प्लस दो प्रमाणीकरण का कारक हो सकता है, कुछ टूल में प्रमाणीकरण

organisation infrastructure, from such intrusions.

विधियों के दो कारक हैं । इसलिए, आपको

How frequently is the training given, whether is it a part of only the new employee orientation,

यह समझने की आवश्यकता है कि हम संगठन में कैसे काम करते हैं, वे सभी सुरक्षा उपाय

or is it conducted on a regular basis, then whether the background verification, or reference

क्या हैं जो उन्होंने लागू किए हैं, और फिर उसके आधार पर ऑडिट करें।

checks are done for any employee, who is been appointed, within the organisation.

उदाहरण के लिए, जब आप किसी बैंक के डेटा सेंटर का ऑडिट करते हैं, तो यह बहुत अलग होगा, यदि आप किसी एयरपोर्ट के डेटा

So, that should be elaborate proper process.

सेंटर का ऑडिट करते हैं।

Authorizations schemes whether it is followed.

अब, सूचना की महत्वपूर्णता, गोपनीयता के पहलुओं,

Now, we need to access the server using this, this and this method, or it can be a user

उपलब्धता की प्रामाणिकता, यह अलग-अलग संगठन के लिए अलग-अलग व्यवसाय कर रहे हैं, बैंक के

name, it can be a password plus token, or password plus two factor of authentication,

लिए जानकारी गोपनीय रूप से महत्वपूर्ण

some of the tools have two factor of authentication methods.

है, प्रामाणिकता भी महत्वपूर्ण है, उपलब्धता भी महत्वपूर्ण है।

So, you need to understand how we organisations works, what are all security measures they

दवा कंपनी कहने के लिए, गोपनीयता महत्वपूर्ण है, प्रामाणिकता भी बहुत ही महत्वपूर्ण है, प्रामाणिकता थोड़ी अधिक है, क्योंकि

have implemented, and then conduct the audit based on that.

दवाओं की संरचना महत्वपूर्ण है।

For example, when you do an audit of a bank's data center, it will be much different that

इसलिए, इसी तरह, विभिन्न संगठन के लिए, अलग-अलग स्तर की सुरक्षा, जिनके लिए कुछ पहलुओं

if you do audit of the data centre of an airport.

की आवश्यकता होती है, अन्य की तुलना

Now, that criticality of information, the aspects of confidential, integrity of availability,

में अधिक महत्वपूर्ण हो सकते हैं। इसलिए, आपको यह समझने की आवश्यकता है कि

It differs for different organisation is doing different businesses, for a bank confidentially

संगठन कैसे काम करता है, सीआईए की आवश्यकताएं क्या हैं, और फिर इस पर ऑडिट करें। कभी-कभी, मैंने स्वयं डेटा केंद्रों में

of information is important, integrity is also important, availability is also important.

देखा है कि एक पोस्टर है, या एक बड़ा फ़्रेमयुक्त सर्टिफिकेट रेटिंग है जो, वे 27001 शिकायतकर्ता,

For say a pharmaceutical company, confidentiality is important integrity is also a very high

पीसीआई डीएसएस अनुपालन, या 9001 2008 अनुपालन हैं, लेकिन जब आप वास्तव में जाते हैं, और दस्तावेज

important, integrity a little more, because the composition of drugs that are made.

देखते हैं, तो आप पा सकते हैं कि हाँ उनके पास प्रलेखन है। एक उद्देश्य या एक आवश्यकता को पूरा

So, similarly, for different organisation, different level of security, which are required

करने के लिए। लेकिन फिर, यह व्यापक नहीं है।

some aspect may be more crucial, than the other.

मानकों का कहना है कि आपको बिंदु 1 से

So, you need to understand, how the organisation works, what are the CIA requirements, and

10 को लागू करना है, लेकिन तब आपकी सुरक्षा आवश्यकताओं को यह कह सकते हैं कि आपको

then the do audit on this. Sometimes, I have seen in the data centres itself there is a poster, or there is a big

अंक 11 से 25 भी चाहिए, आपको बिंदु 1 से 10 मिल सकता है, लेकिन फिर 11 से 25 को भी कवर किया

framed certificates rating that, they are 27001 compliant, PCI DSS compliant, or 9001 2008 compliant, but when you actually go, and see the documentation, you may find that

जाना चाहिए। ऑडिटर को आशा की एक झूठी भावना देनी चाहिए कि यहाँ सब कुछ है, क्योंकि आपका संगठन 27001 प्रमाणित या 9001 प्रमाणित या

किसी भी मानक से प्रमाणित है।

yes they do have documentation.

व्यापक ऑडिट किए जाने की आवश्यकता

For that purpose of satisfying a stamdard, and or a requirement.

है। आपको लगता है कि, संगठन के पास सब कुछ है,

But then, it is not comprehensive.

और अभी तक कुछ भी नहीं है।

The standards says you have to implement point 1 to 10, but then your security may requirements

तो, आपके पास एक दृष्टिकोण होना चाहिए जो कहता

may say that you need points 11 to 25 also, you may find point 1 to 10, but then 11 to 25 should also be covered.

है कि, हां, मुझे बुनियादी ढांचे के भीतर इन सभी पहलुओं का पता लगाने की आवश्यकता है, ताकि सिफारिश सही हो सके, और एक

It should give the auditor a false sense of hope that everything his in space, because

लेखा परीक्षक या मूल्यांकनकर्ता के रूप में, आप संगठन की सुरक्षा में सुधार

your organisation 27001 certified or 9001 certifed or any other standard certified.

के लिए काम कर रहे हैं। यह एक व्यक्तिगत लाभ के लिए नहीं है,

So, comprehensive audit needed to be done.

इसलिए आपको अधिक मेहनती होने की आवश्यकता

You have to assume that, organisation has everything, and yet nothing.

है, आपको नए टैप का अभ्यास करने की आवश्यकता

So, you should have an attitude which says that, yes I need to find out all these aspects

है, आपको तथ्यों को बाहर लाने की आवश्यकता है, और जैसा कि आप उन्हें देखते हैं।

within the infrastructure, so that the recommendatios can be correct, and as an auditor or an assessor,

रिपोर्टिंग भी एक प्रमुख पैच खेलती है, आप लिख सकते हैं कि एक्सवाईज़ेड नहीं

you are working for improving the security of the organisation. It is not for a personal benefit, so you need to be more diligent, you need to practice new tap, you need to bring out the facts, and as you see them.

है, या एक्सवाईज़ेड पहलू नहीं है। क्या आप फिर से सुधार कर सकते हैं, यह इस बात पर निर्भर करता है कि आप सूचना सुरक्षा प्रक्रिया को बेहतर बनाने के लिए अपनी

बातों को प्रबंधन तक कैसे पहुंचाना चाहते हैं।

The reporting also plays a major patch, you can write that xyz is not there, or xyz aspect.

आपको कर्मचारी बनाना चाहिए, संगठन के भीतर यह समझें कि, आप इसे समग्र सुरक्षा में सुधार के लिए कर रहे हैं, और यह गलती खोजने

Can you re improve again, it depends on how you want to convey your talks, to the management,

का व्यायाम नहीं है। कई ऑडिट कहते हैं, क्योंकि संगठन के भीतर कर्मचारी आंतरिक रूप से, ऑडिटरों के

to improve the information security process. You should make the employee, within the organisation understand that, you are doing it for improving

लिए उतना सहयोग नहीं करते हैं, और आमतौर पर ऑडिटरों को एक विशेष तरीके से रिश्वत

the overall security, and it is not a fault finding exercise.

देने के लिए कहने के लिए लोग कहते हैं,

Many of the audits say, because the employees internally within the organisation, do not

अगर आप ऑडिट रिपोर्ट नहीं लिखते हैं अगली

cooperate as much to the auditors, and generally are the people to direct auditors to say to

बार विशेष रूप से, हम आपका काम नहीं करेंगे। यह एक वास्तविक व्यावहारिक स्थिति है जिसका मैंने कई बार सामना किया है, लेकिन जब

हमने पहले चर्चा की थी, तो भारतीय परिदृश्य

bribe in a particular way, if you do not write the audit report in this particular way next time, we are not going to get your work.

में ऑडिट केवल कुछ दिशानिर्देशों के अनुपालन के इरादे से किया जाता है, वास्तविक

This is an actual practical situation that I have an encountered so many times, but when like we discussed earlier, audit in an Indian scenario is done only with the intention of complying with some guideline, or the other and not for actual improvisation, or improvement

आशुरचना या सुरक्षा सुधार के लिए नहीं। शीर्ष प्रबंधन विफल हो जाता है या यह समझता है कि, वरिष्ठ प्रबंधन यह समझने में विफल रहता है कि, जो लोग नेटवर्क का प्रबंधन

या रखरखाव करते हैं, वे इसे समझने में

of security.

विफल रहते हैं, क्योंकि वे डरते हैं कि, अगर

The top management fails or understand that, the senior management fails to understand

कोई भेद्यता रिपोर्ट की जाती है, तो प्रबंधन

that, the people who managed or maintain the network, they fail to understand that,

सख्त हो सकता है, एक नौकरी की समाप्ति सहित कार्रवाई हो सकती है।

because they fear that, if there is a vulnerability which is reported, then management may take

इसलिए, ऑडिटर्स जब बड़े ऑडिट करते हैं, तो उनके लिए यह मुश्किल हो जाता है, क्योंकि

strict actions including termination of a job.

निष्पक्षता नहीं खोनी चाहिए।

So, it becomes difficult for the auditors when they to big audits, because the objectivity

लेखा परीक्षक को कर्मचारी को बताने की कोशिश करनी चाहिए, और उन्हें समझाना

should not be lost. Auditor should try and tell the employee, and make them understand that it is done to

चाहिए कि यह संगठन के लाभ के लिए किया

the benefit of the organisation, and not for an individual or personal benefit.

गया है, न कि किसी व्यक्ति या व्यक्तिगत लाभ के लिए। तो, आपका डेटा केंद्र ऑडिट, चेक सूची के

So, your data centre audit, again it revolves around usage of check list.

उपयोग के इर्द-गिर्द घूमता है। आप अपनी जाँच सूची बना सकते हैं, कई जाँच

You can make you own check list, or there are several check lists available but, be

सूचियाँ उपलब्ध हैं, लेकिन संगठन की आवश्यकता

sure to modify them, as per the requirement of the organisation.

के अनुसार, उन्हें संशोधित करना सुनिश्चित करें।

The environment in which it is operating, and compliance requirements that may be applicable

जिस वातावरण में यह काम कर रहा है, और अनुपालन आवश्यकता जो संगठन के लिए लागू

to the organisation.

हो सके।

These points effectively will guide you , or will help you understand what a the data centre

ये बिंदु प्रभावी रूप से आपका मार्गदर्शन करेंगे, या आपको यह समझने में मदद करेंगे कि डेटा सेंटर ऑडिट क्या है। यह आपके लिए, आपके घटना प्रबंधन के

audit is. It covers right from you physical, to your incident management.

लिए सही है।