محدودسازی اینترنت تنها راهگشای امنیت سایبری نیست

حمله سایبری اخیر به سامانه سوخت نشان داد که تاکید زیاد برخی سیاست‌گذاران بر ملی کردن زیرساخت‌ها و تعریف ارتقای امنیت به قطع ارتباط یا محدودسازی اینترنت، راهگشا نیست.

به گزارش افتانا (پایگاه خبری امنیت فناوری اطلاعات)، حمله سایبری اخیر به سامانه‌های سوخت کشور بار دیگر چگونگی تامین امنیت زیرساخت‌های اینترنتی و شبکه‌های حیاتی کشور را مورد توجه قرار داده است. سال‌هاست که سیاستگذاران عملیاتی‌شدن شبکه ملی اطلاعات را راهی برای ارتقای امنیت سایبری و حفاظت از داده‌های کاربران و سازمان‌های داخلی می‌دانند. آنها تاکید دارند که صرفا با ملی کردن زیرساخت‌ها و شبکه‌های ارتباطی، می‌توان آنها را در برابر حملات امنیتی و نشت اطلاعات‌ ایمن کرد و از سوی دیگر ارتباط با شبکه جهانی و واردات پهنای باند را موضوعی برای کاهش امنیت سرویس‌های داخلی قلمداد می‌کنند، اما حمله سایبری اخیر به سامانه‌های سوخت کشور و اینکه اساسا سامانه سوخت یک شبکه بومی بوده و هیچ ارتباطی با اینترنت نداشته، نشان داد صرفا محدودکردن ارتباط خارجی، به امن‌‌تر شدن سرویس‌ها منتهی نمی‌شود.

تامین امنیت زیرساخت‌های حیاتی مساله بسیار مهمی است؛ زیرا هرگونه اختلال در این سامانه‌ها، زندگی روزمره طیف گسترده‌‌ای از افراد را تحت‌تاثیر قرار داده و می‌تواند تبعات اجتماعی و سیاسی قابل‌توجهی ایجاد کند.

مرور حملات سایبری مدت اخیر نشان می‌دهد این مساله در کشور به مرور شکل جدی‌‌تری به خود گرفته است، زیرا تیرماه امسال نیز حمله گسترده سایبری به شرکت راه‌آهن و ستاد وزارت راه و شهرسازی به‌دلیل ضعف لایه‌های امنیتی فعالیت‌های جاری، این وزارتخانه را چندین روز دچار مشکل کرد؛ پیشتر هم حملات سایبری مشابهی به سامانه سازمان‌‌هایی مانند گمرک، وزارت بهداشت و ثبت احوال گزارش شده بود.

قطع از اینترنت چاره‌ساز نبود
برخلاف آنچه همواره مسوولان بر آن تاکید دارند، به‌نظر می‌رسد ملی‌شدن سامانه‌ها و قطع ارتباطات جهانی این زیرساخت‌ها نیز دردی از ضعف‌‌های امنیتی موجود که منجر به حوادث اخیر شده است دوا نکند، زیرا عمده سامانه‌‌هایی که در مدت اخیر مورد حمله قرار گرفته‌اند، خصوصا سامانه سوخت کشور، سامانه‌های اختصاصی بوده‌‌اند که ارتباطی با اینترنت جهانی ندارند.

روز پنج‌شنبه نیز رئیس سازمان پدافند غیرعامل صریحا اعلام کرد که: «از محلی آسیب خوردیم که قبلا آن‌ را کشف و کتبا اعلام کرده بودم.» این سازمان تاکید داشته است که بی‌‌توجهی برخی مسوولان در رفع آسیب‌پذیری‌‌های گزارش‌شده باعث این اتفاق بوده و قرار است با مقصران این موارد برخورد قضایی شود.

با این‌حال سیاست‌گذاران کشور مدت‌هاست که در صحبت‌‌های خود بدون آنکه ابعاد گسترده‌‌تری از موضوع را موردنظر قرار دهند، سرسختانه بر محدود‌کردن این زیرساخت‌ها از شبکه‌ها جهانی تاکید می‌کنند و آن را مانع اصلی تامین امنیت قابل‌قبول می‌‌دانند.

رضا تقی‌‌پور، از موافقان سرسخت طرح صیانت آبان‌ماه سال گذشته در مصاحبه‌‌ای با بیان اینکه هدف شبکه ملی اطلاعات توسعه شبکه زیرساخت امن و پایدار ملی است، گفته بود که: «برای جلوگیری از سوء‌استفاده از اینترنت علیه زیرساخت‌های کشور باید راه جدیدی اتخاذ شود» و در ادامه از جلوگیری از حملات سایبری بیگانگان با راه‌اندازی شبکه ملی اطلاعات سخن گفته بود.

صحبت‌‌‌هایی با مضمون مشابهی از سیاست‌گذاران دیگر این حوزه که امنیت سایبری کشور را در گرو داشتن شبکه‌‌ای ملی و انحصاری می‌‌دانند، به کرات در خبر‌گزاری‌‌ها یافت می‌شود.

ابوالحسن فیروزآبادی، دبیر شورای‌عالی فضای‌مجازی در شهریور‌ماه سال‌جاری تاکید کرده بود که «ایجاد شبکه ملی اطلاعات به قدرت سایبری برای محافظت از کشور در برابر خطرات جنگ نرم و هوشمندانه منجر خواهد شد.»

اما کارشناسان حوزه فناوری و امنیت اطلاعات نظر متفاوتی دارند. علی پرند، از فعالان حوزه فناوری کشور می‌گوید: بحث راه‌‌اندازی شبکه اختصاصی برای مدیریت ارتباطات داخلی و خاص کشور نه‌تنها هیچ ایرادی ندارد، بلکه در جایگاه خود می‌تواند مزیت‌‌های قابل‌توجهی در زمینه بهبود کیفیت ارتباطی ایجاد کند؛ اما مشکل از آنجایی شروع می‌شود که مسوولان امر، تامین امنیت را صرفا در گرو ملی‌شدن سامانه‌ها و قطع ارتباطات جهانی می‌‌دانند و از فاکتورهای بسیار مهم دیگر غافل می‌شوند. پرند می‌افزاید: در سال‌های اخیر به دلایل مختلف جلوی توسعه تکنولوژی و سرمایه‌‌‌گذاری در حوزه‌های نوین گرفته شده است.

از سوی دیگر به دلایل اقتصادی، امکان به‌‌کارگیری سخت‌افزارهای جدید و پیشرفته و همچنین کارشناسان زبده در این حوزه از بسیاری از سازمان‌ها سلب شده است، زیرا اغلب متخصصان کشور، خصوصا در حوزه‌های مرتبط با فناوری، ترجیح می‌دهند برای به‌دست‌آوردن رفاه و دسترسی پیدا‌کردن به زمینه‌های لازم برای رشد بیشتر، به کشورهای دیگر (از کشورهای همسایه تا کشور‌هایی که قطب فناوری دنیا به‌حساب می‌‌آیند) مهاجرت کنند. این کارشناس با اشاره به اینکه چنین بخش‌‌هایی در سیاستگذاری‌‌های کشور در مدت اخیر مغفول مانده‌‌اند، می‌گوید: نمی‌‌توان صرفا تمامی وزن را به یک پارامتر داد و از دیگر پارامترها صرف‌نظر کرد، زیرا اساسا زمانی که ما در زمینه نیروی متخصص و سخت‌افزار و فناوری جدید ضعف داریم، محدود‌کردن سامانه‌ها از زیرساخت‌های جهانی نمی‌‌تواند راهگشا باشد.

وی تاکید می‌کند زمانی می‌توان انتظار خروجی مطلوب داشت که تمامی قطب‌‌های این اکوسیستم همپای هم رشد کنند و اگر یک بخش به دلیل تحلیل‌‌های اشتباه سیاستگذار به عقب رانده شود، دستیابی به امنیت مطلوب محال است. پرند معتقد است در تمامی دنیا و کشورهای پیشرفته، بار اصلی ورود تکنولوژی‌‌های جدید و تحول‌‌های دیجیتال روی دوش شرکت‌های بخش‌خصوصی بوده است. وی تصریح می‌کند تا زمانی که راه برای فعالیت بخش‌خصوصی در کشور هموار نشود و با بهبود شرایط اقتصادی کشور زمینه برای سرمایه‌‌گذاری‌‌های قابل‌توجه در حوزه تکنولوژی و استارت‌آپ‌های حوزه امنیت فراهم نشود، شرایط بهبود نخواهد یافت.

ابهام قوانین و نادیده گرفتن تخصص
یکی دیگر از مسئله‌‌هایی که در نقدهای اخیر نسبت به موضوع تامین امنیت مطرح شده، نادیده گرفتن تخصص و توانمندی سازمان‌ها یا افراد در سپرده‌شدن مسئولیت‌های مدیریتی است. در بخشی از طرح اخیر مجلس که به طرح صیانت معروف است، درباره سپردن مدیریت زیرساخت‌های ارتباطی و دیجیتال کشور به مراکز نظامی سخن گفته شده است. سینا زادمهر، از دیگر فعالان حوزه امنیت اطلاعاتی در این‌باره می‌گوید: با وجود آنکه ترجیح داده می‌شود مدیریت موضوعاتی مانند جنگ‌‌های سایبری- به دلیل ابعاد سیاسی خاصی که دارد- به بخش‌های نظامی واگذار شود، اما سپردن مدیریت شرکتی مانند شرکت ارتباطات زیرساخت به مراکز نظامی کاری کارشناسی به‌نظر نمی‌رسد، زیرا اساسا مراکز نظامی تخصص و توانمندی‌‌های خاص خود را دارند و بحث تامین امنیت زیرساخت‌های دیجیتال تخصص جداگانه‌‌ای است که مدیریت تخصصی خاص خود را می‌‌طلبد، اما به‌نظر می‌رسد با تصویب برخی طرح‌‌های جدید در مجلس، قرار است توزیع وظایف در این حوزه با تغییراتی جدی همراه باشد.

اکنون مطابق با آنچه که در «نظام ملی پیشگیری و مقابله با حوادث فضای‌مجازی» توسط شورای‌عالی فضای‌مجازی به تصویب رسیده، مسوولیت دستگاه‌ها در پیشگیری و مقابله با حوادث فضای‌مجازی مشخص شده است. طبق این مصوبه، پیشگیری و مقابله با حوادث حوزه عمومی برعهده نیروی انتظامی است؛ حوادثی که در سازمان‌های غیر زیرساختی رخ می‌دهد از طریق وزارت ارتباطات باید رسیدگی شود و مسوولیت پیگیری حوادث در دستگاه‌های حاکمیتی که دارای زیرساخت‌های حیاتی و حساس هستند نیز بر عهده مرکز افتای ریاست‌جمهوری است. در همین حال انجام رزمایش و تست پایداری زیرساخت‌های حیاتی کشور نیز برعهده سازمان پدافند غیرعامل است.

اما در مطلبی که روز پنج‌شنبه در سایت سازمان پدافند غیرعامل منتشر شده، تاکید شده است که: «اکنون در کشور جایگاه نهادهای اصلی و دستگاه‌های متولی همچون افتا، ماهر، فتا و سازمان پدافند غیرعامل در پذیرفتن مسوولیت شفاف نیست و کشور در تامین امنیت فضای‌مجازی دچار ضعف‌‌هایی است و در موقع بروز مشکلات دقیقا معلوم نیست که مقام پاسخگو کیست و در مقابل چه چیزی باید پاسخگو باشد.» در مطلب منتشرشده تصریح شده است که «سند شورای‌عالی فضای‌مجازی برای تقسیم وظایف دستگاه‌ها در «نظام ملی پیشگیری و مقابله با حوادث فضای‌مجازی» ناکارآمد است.

چند روز پیش، احسان کیانخواه، پژوهشگر حوزه امنیت و حکمرانی فضای‌مجازی نیز در آسیب‌‌شناسی حملات رخ داده اخیر تاکید کرده بود که دستگاه‌های اجرایی کشور در زمینه‌های IT ضعف جدی دارند و حتی مراکزی مانند «افتا» و «ماهر» نه کارایی لازم را دارند و نه آن‌طور که باید پاسخگو هستند. این کارشناس حوزه امنیت سایبری معتقد است که ضعف قوانین و ابهام‌های موجود باعث شده هیچ سازمانی به‌درستی مسوولیت برقراری امنیت این زیرساخت‌ها را گردن نگیرد و نتیجه همین نبود شفافیت سازمانی چیزی است که می‌‌بینیم. وی همچنین تاکید کرده بود که در مراکز داده‌‌ای که در کشور ایجاد شده‌‌اند اساسا استاندارد درستی رعایت نمی‌شود و در طراحی بسیاری از سامانه‌های مهم حتی اصول اولیه نیز رعایت نمی‌‌شوند. رئیس شورای‌عالی فضای‌مجازی نیز در گفت‌وگوی تلویزیونی خود که ساعاتی پس از حادثه انجام شد تاکید کرده بود که شاید حمله‌کردن به سیستمی که نسبتا پیچیدگی بالایی نداشته و تعداد زیادی ترمینال دارد کار چندانی سختی نباشد و به‌عبارتی دیگر این حمله سطح بالایی نداشته است.

با این وجود بررسی‌‌های میدانی نشان می‌دهد دامنه اختلال ایجاد‌شده به حدی است که پس از گذشت چند روز و وعده‌های پیاپی مدیران کشور درباره بازگشت این سامانه‌ها به روال عادی، هنوز شرایط کاملا به روال سابق برنگشته است.