آزمایشگاه فناوری اطلاعات
آزمایشگاه ارزیابی امنیت
آزمایشگاه امنیت مرکز تحقیقات صنایع انفورماتیک (RCII)، بهعنوان نخستین آزمایشگاه امنیت فناوری اطلاعات در ایران، موفق به دستیابی به یک دستاورد مهم شده و بهعنوان اولین مجموعه در کشور، گواهینامه ISO/IEC 17025 را دریافت کرده است.
استانداردها و روششناسیهای ارزیابی:
استانداردها، چارچوبها و روششناسیهای زیر این امکان را برای RCII فراهم میکنند تا آسیبپذیریها و ضعفهای امنیتی را بهصورت دقیق شناسایی کند و اطمینان یابد که تمامی محصولات فناوری اطلاعات مورد ارزیابی، با سختگیرانهترین استانداردهای امنیتی جهانی مطابقت دارند.
ISO/IEC 15408
آزمونهای ارزیابی امنیت در RCII مطابق با استاندارد ISO/IEC 15408 که با عنوان «معیارهای مشترک» (Common Criteria – CC) شناخته میشود، انجام میگردد. این استاندارد شامل پنج بخش کلیدی است:
مرکز تحقیقات صنایع انفورماتیک (RCII) برای ارزیابی امنیت محصولات فناوری اطلاعات از روششناسی ارزیابی مشترک (CEM) استفاده میکند. این روششناسی تضمین میکند که الزامات امنیتی استخراجشده از اهداف امنیتی، تهدیدات و آسیبپذیریهای شناساییشده هر محصول، بهصورت دقیق و سختگیرانه مورد آزمون قرار گیرند.
خدمات RCII در امنیت سایبری
در RCII، ما متعهد به ارائه راهحلهای جامع امنیت سایبری برای حفاظت از داراییهای دیجیتال شما و تضمین یکپارچگی زیرساخت فناوری اطلاعاتتان هستیم. تیم متخصصان ما مجهز به دانش و ابزارهای لازم برای مقابله با طیف وسیعی از چالشهای امنیت سایبری است.
سایر استانداردها و روششناسیها
علاوه بر استاندارد ISO/IEC 15408، RCII در فرایندهای ارزیابی امنیتی خود از استانداردها و بهترین رویههای شناختهشده صنعت نیز بهره میگیرد، ازجمله:
استانداردهای OWASP
استانداردهای OWASP مجموعهای جامع و ساختاریافته از کنترلهای امنیتی را ارائه میدهند که برای ارزیابی و اعتبارسنجی امنیت وباپلیکیشنها، اپلیکیشنهای موبایل و سایر سامانههای نرمافزاری استفاده میشوند. این استانداردها کمک میکنند تا اطمینان حاصل شود که اپلیکیشنها دارای الزامات ضروری امنیتی بوده و در مقابل طیف گستردهای از تهدیدات محافظت میشوند.
وباپلیکیشن:
اپلیکیشن موبایل:
پروژههای OWASP Top 10
این پروژهها مهمترین ریسکهای امنیتی مرتبط با وباپلیکیشنها، اپلیکیشنهای موبایل و APIها را معرفی میکنند؛ ازجمله:
آزمایشگاه ارزیابی کیفیت
آزمایشگاه کیفیت مرکز تحقیقات صنایع انفورماتیک (RCII)، به عنوان پیشگام در حوزه آزمون کیفیت نرمافزار در ایران شناخته شده و موفق به دریافت گواهینامه ISO/IEC 17025 شده است؛ این استاندارد یک اعتبارنامه معتبر جهانی برای آزمایشگاههای انجامدهنده آزمون محسوب میشود. این گواهینامه، تعهد این آزمایشگاه را به تعالی و پیروی از بهترین رویههای بینالمللی در تضمین کیفیت را نشان میدهد.
فرآیندهای آزمون کیفیت نرمافزار در آزمایشگاه مرکز تحقیقات صنایع انفورماتیک بهصورت دقیق با استانداردها و متدولوژیهای پیشرفته جهانی همسو بوده و چهارچوبی مدرن و پیشرفته برای آزمون ایجاد نموده است. این مرکز نقش کلیدی در توسعه و پیادهسازی بسیاری از استانداردهای ملی داشته و به طور قابل توجهی در شکلدهی به فضای تضمین کیفیت نرمافزار در کشور تأثیرگذار بوده است.
در میان استانداردهای بینالمللی کلیدی که در RCII به کار گرفته شدهاند، میتوان به استانداردهای سری ISO/IEC 25000 – معروف به SQuaRE (الزامات و ارزیابی کیفیت محصول نرمافزاری) – اشاره کرد که معیارهای جامع برای ارزیابی کیفیت محصول نرمافزاری است. این استانداردها مبنا و راهنمای فرآیندهای ارزیابی دقیق در آزمایشگاه بوده و با بهرهگیری از ابزارهای پیشرفته آزمون، دقت، قابلیت اطمینان و انطباق کامل با استانداردهای کیفی نرم افزار را تضمین میکند. با اجرای این استانداردها، این مرکز اطمینان مییابد که محصولات نرمافزاری مورد آزمون، بالاترین سطح کیفیت و اطمینان را در سطح صنعت دارا هستند.
مهمترین آزمونهای کیفی که به صورت دقیق در آزمایشگاه کیفیت RCII انجام میشود:
آزمایشگاه ارزیابی نرمافزارهای صدور گواهی الکترونیکی (CA)
مرکز تحقیقات صنایع انفورماتیک (RCII) استانداردها و معیارهای ملی را برای برنامه های کاربردی مرجع صدور گواهی (CA) تدوین کرده است. این استانداردها تحت نظارت مرجع صدور گواهینامه ریشه دولتی (GRCA) جمهوری اسلامی ایران تدوین شده است. با توجه به دانش عمیق کارشناسان در این مرکز، آزمایشگاه PKI جهت ارزیابی برنامه های کاربردی CA راه اندازی شده است. این آزمایشگاه اولین و در حال حاضر آزمایشگاه منحصر به فرد PKI در ایران است که مورد تایید مرکز توسعه تجارت الکترونیکی قرار گرفته است.
مهمترین فعالیتهای انجام شده در واحد ارزیابی نرمافزارهای صدور گواهی الکترونیکی (CA) :
آزمایشگاه ارزیابی نرمافزارهای مجهز به زیرساخت کلیدعمومی (PKE)
مرکز تحقیقات صنایع انفورماتیک (RCII) استانداردها و معیارهای ملی را برای برنامه های کاربردی مجهز به زیرساخت کلیدعمومی (PKE) ایجاد کرده است. این معیارها تحت نظارت مرجع صدور گواهینامه ریشه دولتی (GRCA) جمهوری اسلامی ایران تدوین شده است. با توجه به دانش عمیق کارشناسان در این مرکز، آزمایشگاه PKE جهت ارزیابی برنامه های کاربردی مجهز به زیرساخت کلیدعمومی راه اندازی شده است. این آزمایشگاه اولین و در حال حاضر آزمایشگاه منحصر به فرد PKE در ایران است که مورد تایید مرکز توسعه تجارت الکترونیکی قرار گرفته است.
مهمترین دستاوردهای آزمایشگاه ارزیابی برنامه های کاربردی مجهز به زیرساخت کلید عمومی (PKE)
استانداردها و موارد قابل ممیزی در برنامه های کاربردی زیرساخت کلید عمومی:
آزمایشگاه ارزیابی کارت هوشمند
امروزه با افزایش استفاده از الگوریتمهای رمزنگاری و قابلیتهای رمزنگاری برای حفظ یکپارچگی و محرمانگی دادهها، استفاده از تجهیزات مانند ماژولهای رمزنگاری سختافزاری، توکنهای سختافزاری و کارتهای هوشمند اجتنابناپذیر خواهد بود. این محصولات که برای ذخیرهسازی و تولید امن کلیدهای رمزنگاری استفاده میشوند، باید ارزیابی شده و با استانداردهای امنیتی و عملکردی خود مطابقت داشته باشند. در کارتهای هوشمند، موارد زیر ممکن است رخ دهد:
استانداردهای کارت هوشمند
- Java Card RE Specification
- Java Card VM Specification
- Java Card API Specification
قابلیتهای آزمون:
- آزمون رابط APDU
- اعتبارسنجی کنترل دسترسی(PINها، احرازهویت)
- آزمون توابع رمزنگاری
- ایجاد کانال امن (مانند SCP03)
- چرخه عمر امن اپلت (نصب، حذف، شخصیسازی)
- آزمون Fuzz روی دستورات APDU
- آزمون نقصهای منطقی (مانند دور زدن احراز هویت)
- مهندسی معکوس (در صورت امکان)
- آزمون ضعفهای رمزنگاری (مانند نشت کلید)
آزمایشگاه آزمون امنیت سختافزار
آزمایشگاه امنیت سختافزار یکی از آزمایشگاههای زیرمجموعه معاونت فناوری اطلاعات است که بهصورت تخصصی در حوزه ارزیابی امنیتی تجهیزات سختافزاری فعالیت میکند. تمرکز اصلی این آزمایشگاه بر شناسایی تهدیدات امنیتی در محصولات حوزه سختافزار است. این آزمایشگاه با تکیه بر استانداردهای معتبر بینالمللی، آزمونهای ارزیابی امنیت را در دو حوزه «ارزیابی آسیبپذیری» و «ارزیابی انطباق بر اساس الزامات استاندارد» ارائه میدهد.
انواع محصولات قابل آزمون:
استانداردهای ارزیابی امنیت سخت افزار
ارزیابیها و آزمونهای امنیتی در این آزمایشگاه بر اساس استانداردهای بینالمللی زیر انجام میشود:
ارزیابی آسیبپذیریها
ارزیابی آسیبپذیری فرآیندی است که در آن ضعفها و مخاطرات امنیتی موجود در دستگاهها و داراییهای سختافزاری شناسایی میشوند. نتایج این ارزیابی به تیمهای امنیتی، صاحبان سیستم و سایر ذینفعان کمک میکند تا آسیبپذیریها را تحلیل کرده، اصلاحات لازم را انجام داده و سطح امنیتی سیستمها را ارتقا دهند.
آزمایشگاه آزمون سیستمهای اتوماسیون و کنترل صنعتی
آزمایشگاه امنیت سیستمهای اتوماسیون و کنترل صنعتی (IACS) یکی از آزمایشگاههای زیرمجموعه معاونت فناوری اطلاعات است که به طور تخصصی در حوزه ارزیابی امنیتی فناوری عملیاتی (OT) که با عنوان «امنیت سایبری در صنعت بر اساس استاندارد ISA/IEC 62443 » فعالیت میکند.
در این آزمایشگاه، آزمونهاي امنیتی مطابق با استاندارد IEC 62443 و با تمرکز بر موارد زیر انجام میشود:
آزمون بر اساس IEC 62443-4-2 (سطح مؤلفه)
این استاندارد الزامات فنی را برای، الزامات نرمافزار کاربردی (SAR)، الزامات دستگاه تعبیهشده (EDR)، الزامات دستگاه میزبان (HDR) و الزامات دستگاه شبکه (NDR) تعریف میکند. این آزمونها تأیید میکنند که الزامات فنی امنیتی برای مؤلفههای کنترلی و اتوماسیون صنعتی، مطابق با الزامات امنیتی فنی (TSR) تعریفشده در بخش 2-4 هستند:
| Component Requirement (CR) | Description |
|---|---|
|
Authentication & Identity (CR 1) |
Ensure users/devices are who they say they are |
|
Use Control (CR 2) |
Limit access to functions/data |
|
System Integrity (CR 3) |
Protect against tampering |
|
Data Confidentiality (CR 4) |
Keep data private |
|
Restricted Data Flow (CR 5) |
Control communication paths |
|
Timely Event Response (CR 6) |
Detect & react to threats |
|
Availability (CR 7) |
Check DoS resistance or system recovery |
آزمون بر اساس IEC 62443-3-3 (سطح سیستم)
IEC 62443-3-3 الزامات امنیت سایبری را در سطح سیستم تعریف کرده و الزامات فنی امنیتی را برای کل سیستمهای IACS مشخص میکند. این آزمونها تأیید میکنند که کل سیستم (شبکهای از دستگاهها) بهصورت امن عمل کرده و انتظارات امنیت سایبری از منظر معماری و عملیاتی را برآورده میکند:
| System Requirement (SR) | Description |
|---|---|
|
SR 1 – Identification & Authentication |
System-wide user management |
|
SR 2 – Use Control |
Role-based access control across the system |
|
SR 3 – System Integrity |
Configuration hardening and secure boot |
|
SR 4 – Confidentiality |
Encrypted communications between zones |
|
SR 5 – Restricted Data Flow |
Segmentation using zones/conduits |
|
SR 6 – Monitoring & Logging |
Central log collection and event response |
|
SR 7 – Resource Availability |
Backup, failover, system resilience |
سطوح امنیتی
هر دو استاندارد IEC 62443-3-3 (متمرکز بر امنیت سطح سیستم برای کل IACS ) و IEC 62443-4-2 (متمرکز بر الزامات فنی برای اجزاء منفرد) سطوح امنیتی (SLs) متناسب با حیطه خود را تعریف و بهکار میگیرند:
| Security Level | Threat Actor | Definition |
|---|---|---|
|
SL 1 |
Casual or coincidental attacker |
Protection against casual or coincidental violation |
|
SL 2 |
Intentional attacker with simple means |
Protection against intentional violation using simple means with low resources, generic skills and low motivation |
|
SL 3 |
Sophisticated attacker with skills and moderate resources |
Protection against intentional violation using sophisticated means with moderate resources, IACS specific skills and moderate motivation |
|
SL 4 |
Highly motivated attacker with significant resources |
Protection against intentional violation using sophisticated means with extended resources, IACS specific skills and high motivation |
ارزیابی آسیبپذیری
ارزیابی آسیبپذیری در سیستمهای اتوماسیون و کنترل صنعتی (IACS) / فناوری عملیاتی (OT) فرآیند شناسایی، ارزیابی و اولویتبندی ضعفها (آسیبپذیریها) در سیستمهای کنترل صنعتی است که میتوانند توسط تهدیدات سایبری مورد بهرهبرداری قرار گیرند.
رویکرد ارزیابی آسیبپذیری در IACS/OT:
آزمایشگاه ارزیابی امنیت سورس کد
در عصری که تهدیدات سایبری به سرعت در حال تکامل هستند و سیستمهای فعال در صنایع گوناگون را هدف قرار میدهند، امنیت سایبری بیش از هر زمان دیگری حیاتی شده است. کدنویسی امن صِرفاً یک روشِ بهینۀ اجرایی نیست، بلکه عنصری بنیادین در راهبردی استوار برای امنیت سایبری محسوب میشود.
این آزمایشگاه متعهد به شناسایی آسیبپذیریها در سطح سورس کد است. ما با تحلیل و ارزیابی امنیت کد، به سازمانها کمک میکنیم تا از بروز افشاگریهای پرهزینه جلوگیری کرده و اعتماد به سیستمهای دیجیتال خود را تقویت کنند.
این آزمایشگاه با بهره گیری از روشهای تحلیل ایستا و پویا، آسیبپذیریها و مسائل امنیتی موجود در سورس کد را شناسایی کرده و راهکارهای عملیاتی برای رفع و بهبود آنها ارائه میدهد.
استانداردهای ارزیابی سورس کد
اگرچه استاندارد ISO/IEC 15408 تمامی الزامات ارزیابی سورس کد، به ویژه در زمینۀ کدنویسی امن را پوشش نمیدهد، اما به عنوان استاندارد اصلی ارزیابی سورس کد در این آزمایشگاه مورد استفاده قرار میگیرد. ارزیابیها در سطح اطمینان EAL4 از معیارهای مشترک (Common Criteria) انجام میشود که نه تنها عملکرد امنیتی محصول، بلکه جنبه هایی همچون معماری امنیتی و فرایند طراحی و پیادهسازی را نیز مورد سنجش قرار میدهد. در ادامه، استانداردها، فهرستهای بازبینی و مراجع معتبر موجود برای ارزیابی امنیت سورس کد در این آزمایشگاه ارائه شده است.
استانداردهای مبتنی بر زبان برنامه نویسی
شمارش نقاط ضعف رایج (CWE)
برای زبانهای برنامه نویسی که فاقد استاندارد معتبر کد نویسی امن هستند، آزمایشگاه از CWE به عنوان مرجعی معتبر برای دسته بندی و گزارش انواع آسیب پذیریها استفاده میکند. از آنجا که CWE فهرستی از آسیب پذیریهای عمده در نرم افزارها را شامل میشود، این آسیب پذیریها به عنوان معیارهای ارزیابی در نظر گرفته میشوند. بهطور خاص، آسیب پذیریهایی نظیر تزریق (SQL Injection)، اسکریپت نویسی بین سایتی (XSS)، و اعتبارسنجی ورودی در سورس کد مورد بررسی قرار خواهند گرفت.
فهرست بازبینی OWASP
یکی دیگر از مراجع معتبر برای ارزیابی سورس کد، فهرست بازبینی OWASP است که به طور جامع آسیب پذیریهای متنوع در برنامه های نرمافزاری را پوشش میدهد. راهنمای مرجع سریع روشهای کدنویسی امن OWASP شامل ۱۴ بخش فرعی است که هر یک جنبه های از امنیت نرم افزار را پوشش میدهد.
این فهرست بازبینی شامل موضوعات زیر است:
آزمایشگاه ارزیابی محصولات هوش مصنوعی
آزمایشگاههای هوش مصنوعی، مراکز تخصصی و حیاتی برای پاسخگویی به رشد شتابان فناوریهای هوشمند و ابزارهای مبتنی بر هوش مصنوعی هستند. با توجه به تأثیر روزافزون این فناوریها بر افراد و جامعه، ارزیابی همهجانبهی آنها در ابعاد عملکرد، امنیت، اعتمادپذیری و ملاحظات اخلاقی، به یک ضرورت تبدیل شده است. در همین راستا، مرکز تحقیقات صنایع انفورماتیک آزمایشگاه پیشرفته هوش مصنوعی خود را راهاندازی کرده است. این آزمایشگاه با بهره گیری از استانداردهای جهانی و تیمهای متخصص، ارزیابیهایی ساختاریافته و قابل اتکا ارائه میدهد و ضمن پشتیبانی از نیازهای صنعت، توسعه ایمن و مسئولانه فناوریهای هوش مصنوعی را ترویج میکند.
رویکرد آزمایشگاه
هدف از تأسیس آزمایشگاه هوش مصنوعی، ارائه چارچوبی ساختاریافته، علمی و قابل اتکا برای ارزیابی سیستمهای هوش مصنوعی است. رسالت اصلی این آزمایشگاه، تضمین عملکرد، امنیت، اعتمادپذیری و هم راستایی اخلاقی در ابزارها و فناوریهای مبتنی بر هوش مصنوعی میباشد. برای دستیابی به این هدف، آزمایشگاه رویکردی چندرشتهای را در پیش گرفته که ارزیابیهای فنی را با ملاحظات اخلاقی و حاکمیتی تلفیق میکند. فرایند ارزیابی ابعاد گوناگونی از جمله کیفیت داده، عملکرد کارکردی و تحلیل آسیبپذیری را پوشش میدهد و بر شفافیت و پاسخگویی تأکید دارد. این آزمایشگاه با هم راستایی با بهترین شیوههای بینالمللی و در عین حال تدوین متدولوژیهای بومیسازیشده، میکوشد شکاف میان نوآوری و تضمین کیفیت را ترمیم کند و صنایع و نهادها را برای بهکارگیری مسئولانه و اثربخش هوش مصنوعی توانمند سازد.
توانمندیهای آزمایشگاه هوش مصنوعی
آزمایشگاه هوش مصنوعی با تکیه بر تیمی از متخصصان باتجربه در حوزههای مختلف هوش مصنوعی و سابقه درخشان در تدوین استانداردهای امنیتی و کیفی، خدمات ارزیابی جامعی را برای محصولات مبتنی بر هوش مصنوعی ارائه میدهد.
زمینههای تخصصی:
فرایند ارزیابی چندبعدی ما دربرگیرنده موارد زیر است:
استانداردهای آزمایشگاه هوش مصنوعی
با توجه به ماهیت نوظهور و در حال تکامل ارزیابی سیستمهای هوش مصنوعی، در حال حاضر یک استاندارد جامع، یکپارچه و واحد جهانی که منحصراً به این حوزه اختصاص داشته باشد، وجود ندارد. از این رو، آزمایشگاه هوش مصنوعی در پژوهشکده فناوری اطلاعات و ارتباطات، رویکردی منعطف و مبتنی بر تجربه را اتخاذ میکند که بر پایه ترکیبی از منابع موجود و دیدگاههای خبرگی استوار است. ارکان اصلی این رویکرد عبارتند از:
تدوین دستورالعملهای داخلی:
بهرهگیری از استانداردها و اسناد مرتبط:
این آزمایشگاه از استانداردهای حوزههای مرتبط، بهویژه امنیت اطلاعات و ارزیابی نرمافزار، برای ساخت چارچوبهای ارزیابی مستحکم استفاده میکند. در این زمینه، پروفایلهای حفاظتی و بهترین شیوههای موجود در حوزههای پیشین نقشی کلیدی ایفا میکنند.
آزمایشگاه، استانداردهای بینالمللی معتبر مرتبط با هوش مصنوعی را در فرایندهای ارزیابی خود ادغام میکند. از مهمترین آنها میتوان به موارد زیر اشاره کرد:
مهمترین ریسکهای امنیتی در سیستمهای یادگیری ماشین، شامل:
• ML01: Input Manipulation Attack حمله دستکاری ورودی
• ML02: Data Poisoning Attack حمله مسمومسازی داده
• ML03: Model Inversion Attack حمله وارونسازی مدل
• ML04: Membership Inference Attack حمله استنتاج عضویت
• ML05: Model Theft سرقت مدل
• ML06: AI Supply Chain Attacks حملات زنجیره تأمین هوش مصنوعی
• ML07: Transfer Learning Attack حمله یادگیری انتقالی
• ML08: Model Skewing اریبسازی مدل
• ML09: Output Integrity Attack حمله یکپارچگی خروجی
• ML10: Model Poisoning مسمومسازی مدل
• LLM01: Prompt Injection تزریق پرامپت
• LLM02: Sensitive Information Disclosure افشای اطلاعات حساس
• LLM03: Supply Chain Vulnerabilities آسیبپذیریهای زنجیره تأمین
• LLM04: Data & Model Poisoning
• LLM05: Improper Output Handling مسمومسازی داده و مدل
• LLM06: Excessive Agency مدیریت نامناسب خروجی
• LLM07: System Prompt Leakage عاملگری بیش از حد
• LLM08: Vector & Embedding Weaknesses نشت پرامپت سیستمی
• LLM09: Misinformation / Hallucination ضعفهای برداری و تعبیهسازی
• LLM10: Unbounded Consumption مصرف بیمحدود
• IEEE 7000 – Ethical Design in Intelligent Systems طراحی اخلاقی در سیستمهای هوشمند
• OECD AI Principles – Global AI Ethics and Governance اصول هوش مصنوعی OECD – اخلاق و حاکمیت جهانی هوش مصنوعی
• NIST AI Risk Management Framework – Risk-Based Approach to AI Security and Fairness چارچوب مدیریت ریسک هوش مصنوعی NIST – رویکرد ریسک محور به امنیت و انصاف هوش مصنوعی
آزمایشگاه هوش مصنوعی با ادغام این استانداردها و توسعه مستمر منابع داخلی، اطمینان حاصل میکند که ارزیابیهایش همتراز با استانداردهای بینالمللی، متناسب با نیازهای بومی و به لحاظ فنی قابل اتکا باقی بمانند.