ايران بزرگترين قرباني حملات سايبري

(روزنامه مردم‌سالاري ـ 1395/03/17 ـ شماره 4054 ـ صفحه 9)

حملات اخير به برخي پرتال‌ها و سايت‌هاي حاکميتي در ايران اگرچه چندان جدي و خسارت بار نبود اما به عقيده کارشناسان حوزه امنيت اطلاعات حاوي پيام‌هاي متعدد و مهمي‌است. به عقيده ناظران، اين حملات هشداري جدي است براي مسئولان و متوليان امنيت سايبري کشور تا روندها و فرايندها را در اين حوزه بازبيني کنند و قدرت دفاعي کشور را متناسب با حملات و تهديدات افزايش دهند.

آقاي محمد محمدجواهري فعال حوزه امنيت سايبري و مديرعامل يکي از شرکت‌هاي دانش بنيان فعال در حوزه امنيت اطلاعات، خانم بهناز آريا عضو هيأت مديره سازمان نظام صنفي رايانه استان تهران و همچنين آقاي علي عباس‌نژاد عضو هيأت مديره سازمان نظام صنفي يارانه استان تهران از شاخه مشاوران ميهمان کافه خبر بودند تا دغدغه‌ها و نظرات فعالان و کارشناسان بخش امنيت اطلاعات در حوزه سايبري را تشريح کنند.

محمد جواهري:

اين که ما در وضعيت مناسبي از نظر امنيت سايبري قرار داربم يا نداريم اساسا ارزيابي درستي نيست چرا که در مقوله امنيت حتي قدرتمندترين کشورها هم نمي‌توانند به صورت مطلق ادعايي داشته باشند. شايد بهترين تمثيل براي مقوله امنيت در حوزه سايبر همان دزد و پليس باشد؛ دزدها هميشه يک قدم جلوتر از پليس هستند و در حوزه امنيت سايبر هم معمولا هکرها و.. زودتر به روش‌هاي دزدي اطلاعات و حمله به سايت‌ها دسترسي پيدا مي‌کنند بنابراين نمي‌توان در حوزه امنيت چندان به ارزيابي کمي‌دست زد. از منظر کيفي اما مي‌توانيم بگوييم در ايران وضعيت بدي نداريم ولي در موقعيت عالي يا حتي خيلي خوبي هم نيستيم. پيش و بيش از اين ارزيابي‌ها مهم اين است که وضعيت فعلي بايد بهبود پيدا کند و اين بهبود مستمر يک اصل باشد.

ما در طي سه دهه گذشته همواره مورد تهديدهاي مختلفي بوده‌ايم و حملات متعددي را هم در قالب جنگ تحميلي، تحريم‌ها و.... تجربه کرده‌ايم. اين تهديدات الان هم وجود دارند و تنها قالبشان تغيير کرده است. اتفاقات چند هفته اخير نمونه روشني از اين تهديدات و اقدامات دشمنان است.

به همين اعتبار ما بايد ايمن‌سازي و تقويت ساختارهاي دفاعي را در حوزه سايبري با جديت بيشتري دنبال کنيم دقيقاً همانگونه که در بخش دفاعي، موشکي و... سرمايه‌گذاري کرده‌ايم يا همانطور که پارادايم اقتصاد مقاومتي را به عنوان راهبرد افزايش تاب آوري اقتصادي در دستور کار داريم.

آريا:

من هم موافقم که نمي‌توانيم وضعيت امنيت سايبري را اندازه‌گيري کنيم ولي مي‌توانيم مقايسه‌اي داشته باشيم ميان آنچه بايد باشيم و آنچه هستيم. در واقع بررسي کنيم چه توانمندي‌هايي بايد داشته باشيم و الان نداريم.

عباس‌نژاد:

ايران از لحاظ ژئوپوليتيکال در منطقه‌اي قراردارد و ذخاير و از موقعيت‌هايي برخوردار است که همواره اين سرزمين را کانون بحران و هدف قرار داده است. در واقع ما هم در منطقه‌اي ناامن قرار داريم و هم به لحاظ رويکردهاي خاص نظام‌مان و اصول مداري ملي و جهاني، مورد تهديد دائمي ‌هستيم. اين تهديدات انواع مختلفي دارد اگر در گذشته هجوم به کشورها از مرزهاي جغرافيايي انجام مي‌گرفت، امروز اين تهاجم از طريق سايبري است و بسيار بي‌سروصداتر و البته کم هزينه‌تر چرا که حساسيت‌ها در مورد اين نوع تهاجم بسيار کمتر است. در حالي که آنچه يک مهاجم با نفوذ به مرزهاي سايبري ديگران بدست مي‌آورد بسيار ارزشمندتر از خاک و اشغال سرزمين است.

واقعيت اين است که ايران يکي از بزرگترين قربانيان تهاجم‌هاي سايبري در جهان است و اساساً مفهوم جنگ افزار سايبري پس از حمله «استاکس نت» به ايران در ادبيات جهاني متداول شد. موضوع در اين سطح ديگر هک شدن يک سايت معمولي يا تغيير صفحه اول آن نيست بلکه بسيار فراتر است و از آن به «تهديد پيشرفته دائمي» (APT) تعبير مي‌شود. در اين سطح يک گروه مشخصي به صورت هدفمند و مداوم به مرزهاي سايبري ديگران حمله مي‌کنند تا اطلاعات لازم را سرقت کنند يا تخريب‌هاي خاصي را انجام دهند.

با اين وجود در کشور متاسفانه تا به حال نگاه جامع نگري نسبت به عمق و اهميت اين تهديدات وجود نداشته عملياتي نشده و همين مسئله ضربه پذيري ما را افزايش داده است.

اگرچه بعد از اتفاقاتي مانند حمله استاکس نت توانمندي‌هايمان را افزايش داديم ولي حوزه فناوري اطلاعات دائماً در حال تغيير است و افزايش و روزآمد کردن توانمندي‌ها بايد دائمي‌باشد چرا که تهديدها دائماً نو مي‌شوند.

آريا:

ترديدي نيست که بايد آسيب‌پذيري‌هاي ما به حداقل برسد و توانمندي‌هايمان افزايش اما با توجه به تفاوت شرايط کشورها و فناوريهاي مورد استفاده بنابراين، مقايسه ميان توانمندي‌هاي سايبري در اين حوزه اصلا موضوعيت ندارد. ما هنوز از ظرفيت‌هاي داخلي براي افزايش امنيت سايبري به شکل مطلوب بهره‌ نبرده‌ايم. در بسياري از دانشگاه‌هاي ما مباحث امنيت سايبري تدريس مي‌شود ولي کارشناساني که تربيت مي‌شوند، کافي نيستند و سرعت بروز‌رساني دانش و شيوه‌هاي آموزش بايد افزايش پيدا کند. در اين حوزه توليد دانش بومي ‌بسيار کليدي است ولي تعداد متخصصان ما و بودجه تخصيص داده شده براي توليد اين دانش بومي ‌کافي نيست.

محمد جواهري:

گذشته از ناکافي بودن تعداد کارشناسان اين حوزه در کشور ما نکته کليدي اين است که همين ظرفيت موجود بايد از حالت بالقوه به بالفعل تغييرکند. ما کارشناس در اين حوزه کم داريم ولي از همين کارشناسان هم بخوبي و درست استفاده نمي‌شود چون برنامه نداريم. اين بي برنامگي هم از آنجا ناشي مي‌شود که مقوله امنيت سايبري هنوز براي لايه‌هاي مختلف مسئولان و مديران ما به يک دغدغه اصلي تبديل نشده است. چرا؟ چون هنوز مخاطرات، هزينه‌ها و پيامدهاي بي‌توجهي يا کم‌توجهي به مقوله امنيت سايبري کاملاً براي آنها مشهود و آشکار نيست.

در واقع مديران تصميم‌ساز ما بايد دقيقاً مانند مقوله تسليحات و دانش نظامي ‌براي تقويت حوزه سايبري هم برنامه ريزي، بودجه ريزي و اقدام کنند. متاسفانه در حال حاضر کمتر سازمان و نهادي در کشور وجود دارد که برنامه جامعي براي حفظ و افزايش امنيت سايبري تدوين يا در دست اجرا داشته باشد. اين در حالي است که پايين بودن ضريب امنيت در مورد پرتال‌هاي عمومي ‌که مطالب به ظاهرکم اهميتي بر روي آنها قرار دارد از نظر کارشناسي و ارزش اطلاعات، اتفاق کم اهميتي تلقي مي‌شود ولي واقعيت اين است که اين اتفاق باعث کم اعتمادي يا بي اعتمادي عمومي‌به تمام ساختارهاي سايبري مي‌شود و اصلاً بعيد نيست در صورت تکرار و استمرار اين اتفاقات، مردم نسبت به خدماتي نظير بانکداري و پرداخت الکترونيکي هم بي‌اعتماد شوند بنابراين موضوع صرفاً از جنبه فني مهم نيست و ابعاد مختلفي دارد که حائز اهميت است.

عباس‌نژاد:

مشکل هدف ما در تغيير نگاه تصميم سازان به نگاه مبتني بر ريسک و پيشگيرانه است. وقتي در مورد دفاع سايبري صحبت مي‌کنيم بايد نگاهمان پيشگيرانه باشد نه رويکردي مبتني بر درمان. متاسفانه اما اکنون باور و رويکرد غالب در کشور نگاهي مثل نگاه به آتش‌نشاني است يعني پرداختن به اتفاق و هک و... پس از وقوع. در حالي که انگاره درست کاملاً برعکس است. در دنيا اصل غيرقابل چشم‌پوشي در دفاع سايبري، استفاده از روش‌هاي پيشگيرانه براي بوجود نيامدن مشکل است. در دفاع سايبري يک لايه محافظ ايجاد و دائماً تقويت مي‌شود. استفاده مستمر از فناوري‌هاي جديد و روش‌هاي نو در حوزه سايبري امري اجتناب‌ناپذير است بنابراين به روز کردن لايه‌هاي محافظ و شيوه مراقبت از داشته‌هاي سايبري هم يک اقدام اجتناب‌ناپذير و ضروري است.

آريا:

نکته‌اي که نبايد از آن غفلت کرد اين است که در بسياري از مواقع و موارد حملات سايبري مدت‌ها بعد از وقوع، کشف مي‌شوند مانند استاکس نت که در سال 2012 کشف آشکار شد اما بعدها مشخص شد از سال 2007 مشغول سرقت اطلاعات بوده است و در تمام اين پنج سال رد و نشاني از آن پيدا نبود و کاملا استتار شده بود.

در اتفاقاتي مانند آنچه براي سايت‌هاي مرکز آمار و... شاهدش بوديم، هدف فقط جنگ رواني و تبليغات است و به تغيير صفحه اول چند پرتال عمومي‌بسنده شده ولي در مواردي که حمله به قصد سرقت اطلاعات و جاسوسي انجام مي‌شود، اصل بر پنهان کاري و استتار است و به همين خاطر هم کشف، مقابله و خنثي‌سازي از حساسيت،پيچيدگي و اهميت بيشتري برخوردار است.

متاسفانه ما در مورد نحوه برخورد با اين اتفاقات در حوزه عمومي‌و مديريت پس لرزه‌هاي آن هم دچار نقص و ضعف هستيم. به عنوان مثال در ماجراي لو رفتن شماره‌ کارت‌هاي بانکي که چند سال قبل اتفاق افتاد واقعاً هيچ خطري خطر آني و حياتي حساب‌هاي بانکي افراد را تهديد نمي‌کرد ولي نگراني زيادي در جامعه ايجاد شد چون شيوه از قبل برنامه‌ريزي شده‌اي براي مديريت رسانه‌اي و افکار عمومي‌نداشتيم و هنوز هم نداريم. در حالي که بايد براي اين گونه موارد پروتکل رسانه‌اي داشته باشيم و بدانيم به چه شيوه‌اي افکار عمومي را آگاه کنيم که اين خود بخشي از همان برنامه ريزيست.

آريا:

ما در ايران يک سند بالا دستي در حوزه امنيت سايبري داريم به نام «سند افتاي کشور» در اين سند راهبردهاي کلان امنيت سايبري تدوين شده و تمام نيازمندي‌ها هم به ريز آمده است.

عباس‌نژاد:

دنيا نگاه کمي‌متفاوت تري به اين مقوله دارد. در جهان به مقوله امنيت نگاه اقدام اصلاحي وجود دارد نه نگاه اصلاحي. نگاه اقدام اصلاحي يعني بايد به دنبال حل ريشه اي مشکلات باشيم ولي نگاه اصلاحي معمولا راه حل‌هاي خود را به حل مشکل پس از وقوع آن متمرکز مي‌کند. به عنوان مثال در کشور آلمان از سال 2005 در سالهاي اخير يک سند راهبردي کلان تدوين شد که مخفف آن ITSMIG است يعني امنيت آي تي ساخته آلمان.

اين سند مي‌گويد بايد براي امنتيت سايبري کشورمان يک مدل بومي‌داشته باشيم چرا که امنيت سايبري يک بخش مهمي ‌از امنيت ملي است. ما هم بايد به اين سمت برويم تا نگاه نادرست به امنيت در ايران از بين برود.

آريا:

کارهايي در اين زمينه انجام شده است و نهادهاي مختلفي هم در راستاي تامين امنيت بومي‌فعال هستند. ما در کشور سازمان پدافند غيرعامل، افتاي رياس جمهوري، پليس فتا و... را داريم که بر‌اساس سند افتا هر کدام از اين نهادها مسئوليت‌ها و وظايفي برعهده دارند. متولي سياستگذاري در اين حوزه هم باز بر اساس سند افتا، شوراي عالي فضاي مجازي است که با همکاري ساير نهادها سياست‌هاي کلان را تدوين مي‌نمايد.

عباس‌نژاد:

اما در دنيا بار اصلي بر دوش بخش خصوصي و مراکز پژوهشي و دانشگاهي قراردارد. دولت‌ها بودجه‌هاي مشخصي را براي حوزه امنيت سايبري درنظر مي‌گيرند و اين بودجه در اختيار بخش خصوصي و تحقيقاتي و دانشگاهي قرارمي‌گيرد. اين تجربه موفق دنياست چرا که نمي‌توان انتظار داشت دولت خود را با تحقيق و پژوهش درگير کند.

در کشور ما هم همين اقدامات را انجام داده ايم اما نگاه جامع و برنامه کلان عملياتي وجود ندارد. در گام اول هم بايد مديران کشور را نسبت به خطراتي که در کمين است و پيامدهاي آن را آگاه کنيم و سپس اقدامات عملياتي را ابلاغ و طلب نماييم.

آريا:

در يک جمله ما در مورد امنيت سايبري احتياج به فرهنگسازي داريم. اين فرهنگسازي بايد مستمر و پويا و براي لايه‌هاي مختلف جامعه از مديران تا افراد عادي انجام بگيرد. اگر تجربه دنيا نشان مي‌دهد تحقيق و پژوهش کار دولت‌ها نيست و بايد به بخش خصوصي واگذار شود همين تجربه مي‌گويد بزرگترين مسئوليت دولت‌ها، فرهنگسازي است. حاکميت بايد باني و حامي‌فرهنگسازي باشد تا هرچه سريع‌تر به امنيت بومي ‌دست يابيم.

فروردين ماه سال گذشته بخشي از اطلاعات نه چندان مهم يکي از بانك‌هاي ما منتشر شد. همين اتفاق حساسيت‌ها را در بدنه كارشناشي و لايه مديريت بانك آنقدر بالا برد كه به بهبود مستمر ضريب امنيت خود پرداختند تا جايي كه طي سال گذشته بيش از 990 هزار حمله سايبري را شناسايي دفع كرده‌اند. ما در كشورمان به چنين حساسيت و توجهي نيازمنديم.

عباس‌نژاد:

همين ماجرا بهانه خوبي است براي اينكه بپرسيم اساساً چند درصد سازمان‌ها و نهادهاي ما امكان شناسايي حملات انجام شده به اطلاعات و سايت‌هايشان را دارند؟ آيا اصلاً راهبرد شخصي براي شناسايي حملات سايبري تدوين شده تا بعد از آن به مرحله رفع حمله برسند؟ در دنياي امروز امنيت يكي از مقولات مورد بررسي براي ارزشگذاري يك سازمان تلقي مي‌شود.

جواهري:

به عبارت ديگر ميزان حساسيت و آشنايي يك مدير به موضوع امنيت سايبري در دنياي ما يكي از شاخصه‌هايي است كه ارزش و قيمت يك مدير را تعيين مي‌كند. هر قدر مدير به مقوله امنيت سايبري نگاه پيشگيرانه بيشتري داشته باشد، ارزش بالاتري دارد و برعكس.

عباس‌نژاد:

امنيت سايبري مقوله‌اي نيست كه فقط به بخش فناوري اطلاعات مربوط باشد چرا كه در صورت بروز مشكل نه فقط حوزه فناوري اطلاعات بلكه تمامي بخش‌هاي سازمان درگير مي‌شوند و اعتبار و برند سازماني خدشه‌دار مي‌شود. به همين خاطر هم براي ايجاد، حفظ و افزايش مستمر امنيت سايبري بايد يك نگاه جامع سازماني داشت و موضوع و برنامه‌ها صرفاً به حوزه فناوري اطلاعات خلاصه و محدود نشود.

http://mardomsalari.com/Template1/News.aspx?NID=249076

ش.د9500596