ایران بزرگترین قربانی حملات سایبری/ چقدر برای دفاع از اطلاعات کشور آمادگی داریم؟

حملات اخیر به برخی پرتال ها و سایت های حاکمیتی در ایران اگرچه چندان جدی و خسارت بار نبود اما به عقیده کارشناسان حوزه امنیت اطلاعات حاوی پیام های متعدد و مهمی است. به عقیده ناظران، این حملات هشداری جدی است برای مسئولان و متولیان امنیت سایبری کشور تا روندها و فرایندها را در این حوزه بازبینی کنند و قدرت دفاعی کشور را متناسب با حملات و تهدیدات افزایش دهند.

آقای محمد محمدجواهری فعال حوزه امنیت سایبری و مدیرعامل یکی از شرکت های دانش بنیان فعال در حوزه امنیت اطلاعات، خانم بهناز آریا عضو هیأت مدیره سازمان نظام صنفی رایانه استان تهران و همچنین آقای علی عباس نژاد عضو هیأت مدیره سازمان نظام صنفی یارانه استان تهران از شاخه مشاوران میهمان کافه خبر بودند تا دغدغه ها و نظرات فعالان و کارشناسان بخش امنیت اطلاعات در حوزه سایبری را تشریح کنند.

محمدجواهری:

این که ما در وضعیت مناسبی از نظر امنیت سایبری قرار داربم یا نداریم اساسا ارزیابی درستی نیست چرا که در مقوله امنیت حتی قدرتمندترین کشورها هم نمی‌توانند به صورت مطلق ادعایی داشته باشند. شاید بهترین تمثیل برای مقوله امنیت در حوزه سایبر همان دزد و پلیس باشد؛ دزدها همیشه یک قدم جلوتر از پلیس هستند و در حوزه امنیت سایبر هم معمولا هکرها و.. زودتر به روش های دزدی اطلاعات و حمله به سایت ها دسترسی پیدا می کنند بنابراین نمی‌توان در حوزه امنیت چندان به ارزیابی کمّی دست زد. از منظر کیفی اما می توانیم بگوییم در ایران وضعیت بدی نداریم ولی در موقعیت عالی یا حتی خیلی خوبی هم نیستیم. پیش و بیش از این ارزیابی ها مهم این است که وضعیت فعلی باید بهبود پیدا کند و این بهبود مستمر یک اصل باشد.

ما در طی سه دهه گذشته همواره مورد تهدیدهای مختلفی بوده‌ایم و حملات متعددی را هم در قالب جنگ تحمیلی، تحریم‌ها و.... تجربه کرده‌ایم. این تهدیدات الان هم وجود دارند و تنها قالبشان تغییر کرده است. اتفاقات چند هفته اخیر نمونه روشنی از این تهدیدات و اقدامات دشمنان است.

به همین اعتبار ما باید ایمن سازی و تقویت ساختارهای دفاعی را در حوزه سایبری با جدیت بیشتری دنبال کنیم دقیقاً همان گونه که در بخش دفاعی، موشکی و.... سرمایه گذاری کرده‌ایم یا همانطور که پارادایم اقتصاد مقاومتی را به عنوان راهبرد افزایش تاب آوری اقتصادی در دستور کار داریم.

آریا:

من هم موافقم که نمی‌توانیم وضعیت امنیت سایبری را اندازه‌گیری کنیم ولی می‌توانیم مقایسه‌ای داشته باشیم میان آنچه باید باشیم و آنچه هستیم. در واقع بررسی کنیم چه توانمندیهایی باید داشته باشیم و الان نداریم.

عباس نژاد:

ایران از لحاظ ژئوپولیتیکال در منطقه‌ای قراردارد و ذخایر و از موقعیت‌هایی برخوردار است که همواره این سرزمین را کانون بحران و هدف قرار داده است. در واقع ما هم در منطقه‌ای ناامن قرار داریم و هم به لحاظ رویکردهای خاص نظاممان و اصول مداری ملی و جهانی، مورد تهدید دائمی هستیم. این تهدیدات انواع مختلفی دارد اگر در گذشته هجوم به کشورها از مرزهای جغرافیایی انجام می‌گرفت، امروز این تهاجم از طریق سایبری است و بسیار بی سروصداتر و البته کم هزینه‌تر چرا که حساسیت‌ها در مورد این نوع تهاجم بسیار کمتر است. در حالی که آنچه یک مهاجم با نفوذ به مرزهای سایبری دیگران بدست می‌آورد بسیار ارزشمندتر از خاک و اشغال سرزمین است.

واقعیت این است که ایران یکی از بزرگترین قربانیان تهاجم‌های سایبری در جهان است و اساساً مفهوم جنگ افزار سایبری پس از حمله «استاکس نت» به ایران در ادبیات جهانی متداول شد. موضوع در این سطح دیگر هک شدن یک سایت معمولی یا تغییر صفحه اول آن نیست بلکه بسیار فراتر است و از آن به «تهدید پیشرفته دائمی» (APT) تعبیر می‌شود. در این سطح یک گروه مشخصی به صورت هدفمند و مداوم به مرزهای سایبری دیگران حمله می‌کنند تا اطلاعات لازم را سرقت کنند یا تخریب‌های خاصی را انجام دهند.

با این وجود در کشور متاسفانه تا به حال نگاه جامع نگری نسبت به عمق و اهمیت این تهدیدات وجود نداشته عملیاتی نشده و همین مسئله ضربه پذیری ما را افزایش داده است.

اگرچه بعد از اتفاقاتی مانند حمله استاکس نت توانمندی هایمان را افزایش دادیم ولی حوزه فناوری اطلاعات دائماً در حال تغییر است و افزایش و روزآمد کردن توانمندی ها باید دائمی باشد چرا که تهدیدها دائماً نو می‌شوند.

آریا:

تردیدی نیست که باید آسیب‌پذیری‌های ما به حداقل برسد و توانمندی هایمان افزایش اما با توجه به تفاوت شرایط کشورها و فناوریهای مورد استفاده بنابراین، مقایسه میان توانمندی‌های سایبری در این حوزه اصلا موضوعیت ندارد. ما هنوز از ظرفیت‌های داخلی برای افزایش امنیت سایبری به شکل مطلوب بهره‌ نبرده‌ایم. در بسیاری از دانشگاه‌های ما مباحث امنیت سایبری تدریس می‌شود ولی کارشناسانی که تربیت می‌شوند، کافی نیستند و سرعت بروز رسانی دانش و شیوه‌های آموزش باید افزایش پیدا کند. در این حوزه تولید دانش بومی بسیار کلیدی است ولی تعداد متخصصان ما و بودجه نخصیص داده شده برای تولید این دانش بومی کافی نیست.

محمدجواهری:

گذشته از ناکافی بودن تعداد کارشناسان این حوزه در کشور ما نکته کلیدی این است که همین ظرفیت موجود باید از حالت بالقوه به بالفعل تغییرکند. ما کارشناس در این حوزه کم داریم ولی از همین کارشناسان هم بخوبی و درست استفاده نمی‌شود چون برنامه نداریم. این بی برنامگی هم از آنجا ناشی می‌شود که مقوله امنیت سایبری هنوز برای لایه های مختلف مسئولان و مدیران ما به یک دغدغه اصلی تبدیل نشده است. چرا؟ چون هنوز مخاطرات، هزینه‌ها و پیامدهای بی توجهی یا کم توجهی به مقوله امنیت سایبری کاملاً برای آنها مشهود و آشکار نیست.

در واقع مدیران تصمیم ساز ما باید دقیقاً مانند مقوله تسلیحات و دانش نظامی برای تقویت حوزه سایبری هم برنامه ریزی، بودجه ریزی و اقدام کنند. متاسفانه در حال حاضر کمتر سازمان و نهادی در کشور وجود دارد که برنامه جامعی برای حفظ و افزایش امنیت سایبری تدوین یا در دست اجرا داشته باشد. این در حالی است که پایین بودن ضریب امنیت در مورد پرتال های عمومی که مطالب به ظاهرکم اهمیتی بر روی آنها قرار دارد از نظر کارشناسی و ارزش اطلاعات، اتفاق کم اهمیتی تلقی می‌شود ولی واقعیت این است که این اتفاق باعث کم اعتمادی یا بی اعتمادی عمومی به تمام ساختارهای سایبری می‌شود و اصلاً بعید نیست در صورت تکرار و استمرار این اتفاقات، مردم نسبت به خدماتی نظیر بانکداری و پرداخت الکترونیکی هم بی‌اعتماد شوند بنابراین موضوع صرفاً از جنبه فنی مهم نیست و ابعاد مختلفی دارد که حائز اهمیت است.

عباس نژاد:

مشکل هدف ما در تغییر نگاه تصمیم سازان به نگاه مبتنی بر ریسک و پیشگیرانه است. وقتی در مورد دفاع سایبری صحبت می‌کنیم باید نگاهمان پیشگیرانه باشد نه رویکردی مبتنی بر درمان. متاسفانه اما اکنون باور و رویکرد غالب در کشور نگاهی مثل نگاه به آتش‌نشانی است یعنی پرداختن به اتفاق و هک و.... پس از وقوع. در حالی که انگاره درست کاملاً برعکس است. در دنیا اصل غیرقابل چشم پوشی در دفاع سایبری، استفاده از روش های پیشگیرانه برای بوجود نیامدن مشکل است. در دفاع سایبری یک لایه محافظ ایجاد و دائماً تقویت می‌شود. استفاده مستمر از فناوری های جدید و روشهای نو در حوزه سایبری امری اجتناب ناپذیر است بنابراین به روز کردن لایه‌های محافظ و شیوه مراقبت از داشته‌های سایبری هم یک اقدام اجتناب ناپذیر و ضروری است.

آریا:

نکته‌ای که نباید از آن غفلت کرد این است که در بسیاری از مواقع و موارد حملات سایبری مدت‌ها بعد از وقوع، کشف می‌شوند مانند استاکس نت که در سال 2012 کشف آشکار شد اما بعدها مشخص شد از سال 2007 مشغول سرقت اطلاعات بوده است و در تمام این پنج سال رد و نشانی از آن پیدا نبود و کاملا استتار شده بود.

در اتفاقاتی مانند آنچه برای سایت‌های مرکز آمار و.... شاهدش بودیم، هدف فقط جنگ روانی و تبلیغات است و به تغییر صفحه اول چند پرتال عمومی بسنده شده ولی در مواردی که حمله به قصد سرقت اطلاعات و جاسوسی انجام می‌شود، اصل بر پنهان کاری و استتار است و به همین خاطر هم کشف، مقابله و خنثی سازی از حساسیت،پیچیدگی و اهمیت بیشتری برخوردار است.

متاسفانه ما در مورد نحوه برخورد با این اتفاقات در حوزه عمومی و مدیریت پس لرزه‌های آن هم دچار نقص و ضعف هستیم. به عنوان مثال در ماجرای لو رفتن شماره‌ کارت‌های بانکی که چند سال قبل اتفاق افتاد واقعاً هیچ خطری خطر آنی و حیاتی حساب‌های بانکی افراد را تهدید نمی‌کرد ولی نگرانی زیادی در جامعه ایجاد شد چون شیوه از قبل برنامه ریزی شده اسی برای مدیریت رسانه‌ای و افکار عمومی نداشتیم و هنوز هم نداریم. در حالی که باید برای این گونه موارد پروتکل رسانه‌ای داشته باشیم و بدانیم به چه شیوه‌ای افکار عمومی را آگاه کنیم که این خود بخشی از همان رنامه ریزیست.

آریا:

ما در ایران یک سند بالا دستی در حوزه امنیت سایبری داریم به نام "سند افتای کشور" در این سند راهبردهای کلان امنیت سایبری تدوین شده و تمام نیازمندی ها هم به ریز آمده است.

عباس نژاد:

دنیا نگاه کمی متفاوت تری به این مقوله دارد. در جهان به مقوله امنیت نگاه اقدام اصلاحی وجود دارد نه نگاه اصلاحی. نگاه اقدام اصلاحی یعنی باید به دنبال حل ریشه ای مشکلات باشیم ولی نگاه اصلاحی معمولا راه حل های خود را به حل مشکل پس از وقوع آن متمرکز می کند. به عنوان مثال در کشور آلمان از سال 2005 در سالهای اخیر یک سند راهبردی کلان تدوین شد که مخفف آن ITSMIG است یعنی امنیت آی تی ساخته آلمان.

این سند می گوید باید برای امنتیت سایبری کشورمان یک مدل بومی داشته باشیم چرا که امنیت سایبری یک بخش مهمی از امنیت ملی است. ما هم باید به این سمت برویم تا نگاه نادرست به امنیت در ایران از بین برود.

آریا:

کارهایی در این زمینه انجام شده است و نهادهای مختلفی هم در راستای تامین امنیت بومی فعال هستند. ما در کشور سازمان پدافند غیرعامل، افتای ریاس جمهوری، پلیس فتا و... را داریم که بر اساس سند افتا هر کدام از این نهادها مسئولیت ها و وظایفی برعهده دارند. متولی سیاست گزاری در این حوزه هم باز بر اساس سند افتا، شورای عالی فضای مجازی است که با همکاری سایر نهادها سیاست های کلان را تدوین می نماید.

عباس نژاد:

اما در دنیا بار اصلی بر دوش بخش خصوصی و مراکز پژوهشی و دانشگاهی قراردارد. دولت ها بودجه های مشخصی را برای حوزه امنیت سایبری درنظر می گیرند و این بودجه در اختیار بخش خصوصی و تحقیقاتی و دانشگاهی قرارمی گبرد. این تجربه موفق دنیاست چرا که نمی توان انتظار داشت دولت خود را با تحقیق و پژوهش درگیر کند.

در کشور ما هم همین اقدامات را انجام داده ایم اما نگاه جامع و برنامه کلان عملیاتی ی وجود ندارد. در گام اول هم باید مدیران کشور را نسبت به خطراتی که در کمین است و پیامدهای آن را آگاه کنیم و سپس اقدامات عملیاتی را ابلاغ و طلب نماییم.

آریا:

در یک جمله ما در مورد امنیت سایبری احتیاج به فرهنگ سازی داریم. این فرهنگ سازی باید مستمر و پویا و برای لایه های مختلف جامعه از مدیران تا افراد عادی انجام بگیرد. اگر تجربه دنیا نشان می دهد تحقیق و پژوهش کار دولت ها نیست و باید به بخش خصوصی واگذار شود همین تجربه می گوید بزرگترین مسئولیت دولت ها، فرهنگ سازی است. حاکمیت باید بانی و حامی فرهنگ سازی باشد تا هرچه سریعتر به امنیت بومی دست یابیم.

فروردين ماه سال گذشته بخشي از اطلاعات نه چندان مهم یکی از بانك های ما منتشر شد. همين اتفاق حساسيت‌ها را در بدنه كارشناشي و لايه مديريت بانك آنقدر بالا برد كه به بهبود مستمر ضريب امنيت خود پرداختند تا جايي كه طي سال گذشته بيش از 990 هزار حمله سايبري را شناسايي دفع كرده‌اند. ما در كشورمان به چنين حساسيت و توجهي نيازمنديم.

عباس نژاد:

همين ماجرا بهانه خوبي است براي اينكه بپرسيم اساساً چند درصد سازمان‌ها و نهادهاي ما امكان شناسايي حملات انجام شده به اطلاعات و سايت هايشان را دارند؟ آيا اصلاً راهبرد شخصي براي شناسايي حملات سايبري تدوين شده تا بعد از آن به مرحله رفع حمله برسند؟ در دنياي امروز امنيت يكي از مقولات مورد بررسي براي ارزشگذاري يك سازمان تلقي مي‌شود.

جواهري:

به عبارت ديگر ميزان حساسيت و آشنايي يك مدير به موضوع امنيت سايبري در دنياي ما يكي از شاخصه‌هايي است كه ارزش و قيمت يك مدير را تعيين مي‌كند. هر قدر مدير به مقوله امنيت سايبري نگاه پيشگيرانه بيشتري داشته باشد، ارزش بالاتري دارد و برعكس.

عباس نژاد:

امنيت سايبري مقوله‌اي نيست كه فقط به بخش فناوري اطلاعات مربوط باشد چرا كه در صورت بروز مشكل نه فقط حوزه فناوري اطلاعات بلكه تمامي بخش‌هاي سازمان درگير مي‌شوند و اعتبار و برند سازماني خدشه‌دار مي‌شود. به همين خاطر هم براي ايجاد، حفظ و افزايش مستمر امنيت سايبري بايد يك نگاه جامع سازماني داشت و موضوع و برنامه‌ها صرفاً به حوزه فناوري اطلاعات خلاصه و محدود نشود.