محمداحسان حمیدیا، کارشناس حوزه امنیت سایبری در تحلیل ماه شماره 128 ماهنامه نسل چهارم آورده است:

تحولات سال‌های اخیر نشان داده است که امنیت سایبری دیگر یک موضوع صرفاً فنی یا محدود به واحدهای فناوری اطلاعات نیست، بلکه به یکی از مؤلفه‌های اصلی حکمرانی دیجیتال، تاب‌آوری سازمانی و حتی امنیت اقتصادی و ملی کشورها تبدیل شده است. با وجود این، به نظر می‌رسد یکی از چالش‌های بنیادین در بسیاری از سازمان‌ها، به‌ویژه در زیرساخت‌های حساس، همچنان به نحوه نگاه مدیران ارشد به مقوله امنیت بازمی‌گردد.

در بسیاری از سازمان‌ها، امنیت اطلاعات هنوز به‌عنوان یک مرکز هزینه تلقی می‌شود؛ در حالی که تجربه‌های جهانی نشان می‌دهد سرمایه‌گذاری در امنیت، در واقع سرمایه‌گذاری برای حفظ تداوم کسب‌وکار، اعتماد عمومی و کاهش ریسک‌های راهبردی است. معمولاً تا زمانی که یک رخداد امنیتی بزرگ اتفاق نیفتد، ضرورت اختصاص بودجه مناسب برای ارتقای زیرساخت‌های امنیتی چندان مورد توجه قرار نمی‌گیرد. این نگاه واکنشی موجب می‌شود امنیت از مرحله طراحی سامانه‌ها فاصله بگیرد و به مجموعه‌ای از اقدامات مقطعی و پس از وقوع حادثه محدود شود.

این مسئله در حوزه زیرساخت‌های حیاتی اهمیت دوچندان پیدا می‌کند. مراکز داده، شبکه‌های بانکی، سامانه‌های مالی، صنایع انرژی و سایر خدمات حیاتی، به دلیل نقش کلیدی خود، همواره در معرض تهدیدهای پیچیده و هدفمند قرار دارند. ازاین‌رو رعایت حداقل استانداردهای امنیتی دیگر کافی نیست و سازمان‌ها باید به سمت معماری‌های چندلایه، پایش مستمر و مدیریت فعال ریسک حرکت کنند. هرگونه ضعف در طراحی، نگهداری یا به‌روزرسانی این زیرساخت‌ها می‌تواند پیامدهایی فراتر از یک سازمان و حتی در سطح ملی به همراه داشته باشد.

موضوع دیگری که در سال‌های اخیر بیش از گذشته مورد توجه قرار گرفته، مسئله زنجیره تأمین امنیت و وابستگی به فناوری‌های خارجی است. واقعیت آن است که بخش قابل توجهی از حملات سایبری پیشرفته توسط بازیگران سازمان‌یافته و در برخی موارد با حمایت دولت‌ها انجام می‌شود. در چنین فضایی، امنیت صرفاً به ویژگی‌های فنی یک محصول محدود نیست؛ بلکه میزان شفافیت، قابلیت ارزیابی، امکان ممیزی امنیتی، کنترل زنجیره تأمین و سطح اعتمادپذیری آن نیز اهمیت پیدا می‌کند.

از این منظر، توسعه محصولات و تجهیزات بومی در حوزه امنیت سایبری می‌تواند تمامی راهبرد باشد. به عنوان مثال اگر گاهی تاکید شود که محصول بومی بایستی توان رقابت با نمونه های معتبر بین المللی را داشته باشد و اگر نداشت پس نتیجه این خواهد شد که همچنان از نمونه معتبر مثلا آمریکایی استفاده شود که این نتیجه گیری نقض غرض است. عدم اعتماد به برخی شرکت های معتبر ایرانی همچنان سرمایه های امنیت را به داخل کشور متوجه نخواهد کرد و این تسلسل همیشگی همچنان امتداد پیدا خواهد کرد. متاسفانه سالهاست که حاکمیت حمایت از شرکت ها و محصولات داخلی را در گرو گرنت های تحقیقاتی و یا وام های ویژه می پندارد در حالی که باید بازار را مدیریت کرد، البته روشن است که بومی‌سازی صرفاً به معنای تولید داخل نیست و حمایت از محصولی که حداقل های استانداردهای بین المللی و آزمون های مستقل امنیتی را نمی تواند برآورده سازد مورد تایید نیست.
در کنار این موضوع، یکی از مهم‌ترین تحولات سال‌های اخیر در معماری امنیت سایبری، گسترش رویکرد اعتماد صفر (Zero Trust) است. این رویکرد بر این اصل استوار است که هیچ کاربر، دستگاه، سرویس یا نرم‌افزاری نباید به‌صورت پیش‌فرض مورد اعتماد قرار گیرد؛ بلکه تمامی درخواست‌های دسترسی باید به‌طور مستمر احراز هویت، اعتبارسنجی و ارزیابی شوند. به بیان دیگر، اعتماد در این معماری یک ویژگی دائمی نیست، بلکه نتیجه فرایندهای مستمر راستی‌آزمایی است.

نکته قابل تأمل آن است که بسیاری از سازمان‌ها همچنان بر مبنای مدل‌های سنتی امنیت فعالیت می‌کنند؛ مدل‌هایی که در آن، قرار گرفتن یک کاربر یا تجهیز در داخل شبکه سازمانی به‌منزله قابل اعتماد بودن آن تلقی می‌شود. در حالی که تجربه حملات سایبری سال‌های اخیر نشان داده است بخش قابل توجهی از نفوذها پس از عبور از مرز شبکه و از طریق دسترسی‌های مجاز یا تجهیزات مورد اعتماد انجام می‌شود. به همین دلیل، حرکت به سمت معماری اعتماد صفر دیگر یک انتخاب فناورانه نیست، بلکه ضرورتی برای افزایش تاب‌آوری سایبری محسوب می‌شود.

اگر در کشور سند بالادستی مشخصی برای تبیین دکترین امنیت سایبری یا «طرحنامه امنیت سایبری»  وجود نداشته باشد، تدوین آن یک ضرورت جدی است؛ زیرا راهبردهای کلان در این حوزه باید بر پایه یک دکترین یا سند بالادستی مشخص شکل بگیرند. برای نمونه، ایالات متحده طی سال‌های اخیر دکترین امنیت سایبری خود را به سمت رویکردی تهاجمی تغییر داده و این موضوع را نیز به‌صراحت اعلام کرده است.
در نهایت، ارتقای امنیت سایبری نیازمند مجموعه‌ای از اقدامات هم‌زمان است؛ اصلاح نگرش مدیریتی، افزایش سرمایه‌گذاری هدفمند، رعایت استانداردهای بین‌المللی، توسعه فناوری‌های بومی قابل ارزیابی، مدیریت ریسک زنجیره تأمین و بهره‌گیری از معماری‌های نوین امنیتی. تنها در چنین چارچوبی می‌توان انتظار داشت که زیرساخت‌های دیجیتال کشور در برابر تهدیدهای پیچیده و روزافزون، از سطح مناسبی از تاب‌آوری و پایداری برخوردار باشند. آینده امنیت سایبری بیش از آنکه به خرید تجهیزات جدید وابسته باشد، به کیفیت تصمیم‌های مدیریتی، بلوغ حکمرانی فناوری و میزان اعتماد به دانش و توانمندی داخلی وابسته است.

انتهای پیام