گزارش میزگرد امنیت سایبری ایران با حضور اعضای هیات مدیره سازمان

حملات اخیر به برخی پرتال ها و سایت های حاکمیتی در ایران اگرچه چندان جدی و خسارت بار نبود اما به عقیده کارشناسان حوزه امنیت اطلاعات حاوی پیام های متعدد و مهمی است. به عقیده ناظران، این حملات هشداری جدی است برای مسئولان و متولیان امنیت سایبری کشور تا روندها و فرایندها را در این حوزه بازبینی کنند و قدرت دفاعی کشور را متناسب با حملات و تهدیدات افزایش دهند.

 بهناز آریا،عضوهیأت مدیره و مسئول کمیسیون افتای سازمان نظام صنفی رایانه ای استان تهران وهمچنین علی عباس نژاد عضو هیأت مدیره سازمان نظام صنفی رایانه ای استان تهران از شاخه مشاوران ومحمد جواهری فعال حوزه امنیت سایبری و مدیرعامل یکی از شرکت های دانش بنیان فعال در حوزه امنیت اطلاعات، میهمان کافه خبر خبرگزاری خبرآنلاین بودند تا دغدغه ها و نظرات فعالان و کارشناسان بخش امنیت اطلاعات در حوزه سایبری را تشریح کنند.

آریا:

من هم موافقم که نمی‌توانیم وضعیت امنیت سایبری را اندازه‌گیری کنیم ولی می‌توانیم مقایسه‌ای داشته باشیم میان آنچه باید باشیم و آنچه هستیم. در واقع بررسی کنیم چه توانمندیهایی باید داشته باشیم و الان نداریم.

تردیدی نیست که باید آسیب‌پذیری‌های ما به حداقل برسد و توانمندی هایمان افزایش اما با توجه به تفاوت شرایط کشورها و فناوریهای مورد استفاده  بنابراین، مقایسه میان توانمندی‌های سایبری در این حوزه اصلا موضوعیت ندارد. ما هنوز از ظرفیت‌های داخلی برای افزایش امنیت سایبری به شکل  مطلوب بهره‌ نبرده‌ایم.

در بسیاری از دانشگاه‌های ما مباحث امنیت سایبری تدریس می‌شود ولی کارشناسانی که تربیت می‌شوند، کافی نیستند و سرعت بروز رسانی دانش و شیوه‌های آموزش باید افزایش پیدا کند. در این حوزه تولید دانش بومی بسیار کلیدی است ولی تعداد متخصصان ما و بودجه نخصیص داده شده برای تولید این دانش بومی کافی نیست.
 

عباس نژاد: 

ایران از لحاظ ژئوپولیتیکال در منطقه‌ای قراردارد و ذخایر و از موقعیت‌هایی برخوردار است که همواره این سرزمین را کانون بحران و هدف قرار داده است.

در واقع ما هم در منطقه‌ای ناامن قرار داریم و هم به لحاظ رویکردهای خاص نظاممان و اصول مداری ملی و جهانی، مورد تهدید دائمی هستیم. این تهدیدات انواع مختلفی دارد اگر در گذشته هجوم به کشورها از مرزهای جغرافیایی انجام می‌گرفت، امروز این تهاجم از طریق سایبری است و بسیار بی سروصداتر و البته کم هزینه‌تر چرا که حساسیت‌ها در مورد این نوع تهاجم بسیار کمتر است. در حالی که آنچه یک مهاجم با نفوذ به مرزهای سایبری دیگران بدست می‌آورد بسیار ارزشمندتر از خاک و اشغال سرزمین است.

واقعیت این است که ایران یکی از بزرگترین قربانیان تهاجم‌های سایبری در جهان است و اساساً مفهوم جنگ افزار سایبری پس از حمله «استاکس نت» به ایران در ادبیات جهانی متداول شد. موضوع در این سطح دیگر هک شدن یک سایت معمولی یا تغییر صفحه اول آن نیست بلکه بسیار فراتر است و از آن به «تهدید پیشرفته دائمی» (APT) تعبیر می‌شود. در این سطح یک گروه مشخصی به صورت هدفمند و مداوم به مرزهای سایبری دیگران حمله می‌کنند تا اطلاعات لازم را سرقت کنند یا تخریب‌های خاصی را انجام دهند.

با این وجود در کشور متاسفانه تا به حال نگاه جامع نگری نسبت به عمق و اهمیت این تهدیدات وجود نداشته عملیاتی نشده  و همین مسئله

ضربه پذیری ما را افزایش داده است.

اگرچه بعد از اتفاقاتی مانند حمله استاکس نت توانمندی هایمان را افزایش دادیم ولی حوزه فناوری اطلاعات دائماً در حال تغییر است و افزایش و روزآمد کردن توانمندی ها باید دائمی باشد چرا که تهدیدها دائماً نو می‌شوند.

مشکل هدف ما در تغییر نگاه تصمیم سازان به نگاه مبتنی بر ریسک و پیشگیرانه است. وقتی در مورد دفاع سایبری صحبت می‌کنیم باید نگاهمان پیشگیرانه باشد  نه رویکردی مبتنی بر درمان. متاسفانه اما اکنون باور و رویکرد غالب در کشور نگاهی مثل نگاه به آتش‌نشانی است یعنی پرداختن به اتفاق و هک و.... پس از وقوع. در حالی که انگاره درست کاملاً برعکس است. در دنیا اصل غیرقابل چشم پوشی در دفاع سایبری، استفاده از روش های پیشگیرانه برای بوجود نیامدن مشکل است.  در دفاع سایبری یک لایه محافظ ایجاد و دائماً تقویت می‌شود. استفاده مستمر از فناوری های جدید و روشهای نو در حوزه سایبری امری اجتناب ناپذیر است بنابراین به روز کردن لایه‌های محافظ و شیوه مراقبت از داشته‌های سایبری هم یک اقدام اجتناب ناپذیر و ضروری است.

محمدجواهری:

گذشته از ناکافی بودن تعداد کارشناسان این حوزه در کشور ما نکته کلیدی این است که همین ظرفیت موجود باید از حالت بالقوه به بالفعل تغییرکند. ما کارشناس در این حوزه کم داریم ولی از همین کارشناسان هم بخوبی و درست استفاده نمی‌شود چون برنامه نداریم. این بی برنامگی هم از آنجا ناشی می‌شود که مقوله امنیت سایبری هنوز برای لایه های مختلف مسئولان و مدیران ما به یک دغدغه اصلی تبدیل نشده است. چرا؟ چون هنوز مخاطرات، هزینه‌ها و پیامدهای بی توجهی یا کم توجهی به مقوله امنیت سایبری کاملاً برای آنها مشهود و آشکار نیست.

در واقع مدیران تصمیم ساز ما باید دقیقاً مانند مقوله تسلیحات و دانش نظامی برای تقویت حوزه سایبری هم برنامه ریزی، بودجه ریزی و اقدام کنند. متاسفانه در حال حاضر کمتر سازمان و نهادی در کشور وجود دارد که برنامه جامعی برای حفظ و افزایش امنیت سایبری تدوین یا در دست اجرا داشته باشد. این در حالی است که پایین بودن ضریب امنیت در مورد پرتال های عمومی که مطالب  به ظاهرکم اهمیتی بر روی آنها قرار دارد از نظر کارشناسی و ارزش اطلاعات، اتفاق کم اهمیتی تلقی می‌شود ولی واقعیت این است که این اتفاق باعث کم اعتمادی یا بی اعتمادی عمومی به تمام ساختارهای سایبری می‌شود و اصلاً بعید نیست در صورت تکرار و استمرار این اتفاقات، مردم نسبت به خدماتی نظیر بانکداری و پرداخت الکترونیکی هم بی‌اعتماد شوند بنابراین موضوع صرفاً از جنبه فنی مهم نیست و ابعاد مختلفی دارد که حائز اهمیت است.

این که ما در وضعیت مناسبی از نظر امنیت سایبری قرار داربم یا نداریم اساسا ارزیابی درستی نیست چرا که در مقوله امنیت حتی قدرتمندترین کشورها هم نمی‌توانند به صورت مطلق ادعایی داشته باشند. شاید بهترین تمثیل برای مقوله امنیت در حوزه سایبر همان دزد و پلیس باشد؛ دزدها همیشه یک قدم جلوتر از پلیس هستند و در حوزه امنیت سایبر هم معمولا هکرها و.. زودتر به روش های دزدی اطلاعات و حمله به سایت ها دسترسی پیدا می کنند بنابراین نمی‌توان در حوزه امنیت چندان به ارزیابی کمّی دست زد. از منظر کیفی اما می توانیم بگوییم در ایران وضعیت بدی نداریم ولی در موقعیت عالی یا حتی خیلی خوبی هم نیستیم. پیش و بیش از این ارزیابی ها مهم این است که وضعیت فعلی باید بهبود پیدا کند و این بهبود مستمر یک اصل باشد.

ما در طی سه دهه گذشته همواره مورد تهدیدهای مختلفی بوده‌ایم و حملات متعددی را هم در قالب جنگ تحمیلی، تحریم‌ها و.... تجربه کرده‌ایم. این تهدیدات الان هم وجود دارند و تنها قالبشان تغییر کرده است. اتفاقات چند هفته اخیر نمونه روشنی از این تهدیدات و اقدامات دشمنان است.

به همین اعتبار ما باید ایمن سازی و تقویت ساختارهای دفاعی را در حوزه سایبری با جدیت بیشتری دنبال کنیم دقیقاً همان گونه که در بخش دفاعی، موشکی و.... سرمایه گذاری کرده‌ایم یا همانطور که پارادایم اقتصاد مقاومتی را به عنوان راهبرد افزایش تاب آوری اقتصادی در دستور کار داریم.