گفتگوی مهر با دستیار وزیر ارتباطات در امور امنیت؛
برنامه های دولت برای امنیت اطلاعات
دستیار وزیر ارتباطات در امور امنیت فناوری اطلاعات ضمن تشریح برنامه های جدید این وزارتخانه در زمینه امنیت اظهار داشت: تکالیف مربوط به امنیت طبق اهداف شبکه ملی اطلاعات تنها 21 درصد اجرا شده است.
خبرگزاری مهر - گروه دانش و فناوری؛ معصومه بخشی پور: دستیابی به شبکه ای امن و تامین پدافند سایبری در زیرساخت های کشور در قالب سیاست های کلی نظام قرار دارد و از برنامه پنجم توسعه که در آن سند استراتژیک امنیت فضای تبادل اطلاعات – افتا – گنجانده شده تا حالا چندین سند حوزه فضای سایبری به موضوع امنیت اختصاص یافته است. برای مثال در برنامه ششم توسعه بر آمادگی ایران در زمینه امنیت سایبری تاکید شده تا ایران به یکی از قدرت های سایبری منطقه در زمینه امنیت تبدیل گردد. در سند تبیین الزامات شبکه ملی اطلاعات نیز موضوع مصون سازی، کاهش لطمه پذیری، افزایش پایداری و تاب آوری امنیتی و دفاعی شبکه ملی اطلاعات در مقابل تهدیدات مورد توجه قرار گرفته است. در همین حال در طرح کلان و معماری شبکه ملی اطلاعات نیز موضوع امنیت در پیوست حدود ۲۰ اقدام جای دارد. با این وجود اما وقوع حملات سایبری، نفوذ به سامانه های اطلاعاتی و نشت اطلاعات بصورت گوناگون در کشور طی چند سال اخیر نشان میدهد که حوزه امنیت فضای سایبری با اهداف اساسی سیاست های نظام فاصله دارد و اقدامات مدنظر آنطور که باید پیش نرفته است. بدین جهت عیسی زارع پور وزیر ارتباطات دولت سیزدهم در زمان ارائه برنامه به مجلس شورای اسلامی برای گرفتن رأی اعتماد از نمایندگان، «حفظ حریم خصوصی و امنیت فضای تبادل اطلاعات» را یکی از رئوس برنامه های خود عنوان نمود. بنا بر اظهارات وی، دوگانه «احراز هویت» در مقابل «نقض حریم خصوصی» بعضاً دستاویزی برای امنیتی جلوه دادن فضای مجازی کشور شده است. در صورتیکه در حقیقت عدم تحقق امنیت و بی توجهی به سند الزامات شبکه ملی اطلاعات، موجب نا امن تر شدن این فضا و ضرر و زیان مادی و معنوی کاربران فضای مجازی کشور شده است. زارع پور حدود ۱۴ راهبرد را برای رفع چالش های حوزه امنیت عنوان کرده که همچون با اهمیت ترین آنها می توان به ارتقای توان داخلی و کاهش وابستگی به خارج از کشور، بومی سازی فناوری، خدمات و تجهیزات مورد نیاز کشور با استفاده از زیست بوم شرکت های دانش بنیان داخلی، پشتیبانی از شرکت های دانش بنیان داخلی فعال در زمینه فاوا، پیگیری راه اندازی مرکز ملی پایش امنیت زیرساخت های ارتباطی و اطلاعاتی کشور برای کشف و دفع حملات، تهیه و در اختیار قرار دادن ابزارهای مناسب جهت استفاده در سازمان های دولتی و خصوصی با هدف مقابله با حملات سایبری، تربیت نیروهای متخصص حوزه امنیت فناوری اطلاعات در کشور، پیگیری ایجاد سازوکار قانونی لازم جهت پیگیری حقوقی در ابعاد بین الملل در صورت حمله به زیرساخت های کشور و فراهم کردن زیرساخت های فنی و حقوقی لازم برای پشتیبانی از حقوق کاربران در فضای مجازی اشاره نمود. حدود ۳ ماه پیش نیز وزیر ارتباطات برای نیل به این اهداف، امیر محمدزاده لاجوردی را بعنوان نماینده ویژه خود در امور امنیت فناوری اطلاعات منصوب نمود. محمدزاده لاجوردی که عضو هیأت مدیره شرکت ارتباطات زیرساخت نیز است، دارای مدرک دکتری مهندسی کامپیوتر با گرایش امنیت شبکه از دانشگاه صنعتی شریف و دانشجوی پسا دکتری مهندسی کامپیوتر گرایش تحلیل مبتنی بر جریان جهت شناسایی حملات مانای پیشرفته در دانشگاه صنعتی شریف و نیز متخصص شبکه های کامپیوتری و امنیت فناوری اطلاعات است. با وی به گفتگو نشستیم تا روند برنامه های وزارت ارتباطات را در زمینه امنیت جویا شویم. محمدزاده لاجوردی معتقد می باشد که حدود ۲۱ درصد از وظایف در رابطه با وزارت ارتباطات مطابق با اسناد شبکه ملی اطلاعات در زمینه امنیت انجام شده است و ما در زمینه امنیت گرفتار عقب ماندگی هستیم. متن این گفتگو به شرح زیر است: * شما بعنوان نماینده ویژه وزیر ارتباطات در امور امنیت فاوا از طرف دکتر زارع پور منصوب شده اید، با عنایت به این که این پست برای اولین بار در این وزارتخانه تعریف شده است، ضرورت آنرا چه می دانید؟ در سند طرح کلان و معماری شبکه ملی اطلاعات چندین سرفصل به موضوع امنیت و تکالیف وزارت ارتباطات در مورد آن اشاره دارد؛ بطور کل چه برنامه هایی را در دست انجام دارید؟ اسناد مرجعی که ما باید برمبنای آن در زمینه امنیت کار را جلو ببریم شامل سند تبیین الزامات و سند معماری و طرح کلان شبکه ملی اطلاعات می شود که از سند تبیین الزامات بعنوان «قانون اساسی شبکه ملی اطلاعات» تعبیر می شود و در سال ۹۶ تصویب شده است. سند معماری و طرح کلان شبکه ملی اطلاعات نیز یک سند اجرائیست که تصویب آن به سال ۹۹ بازمی گردد. در سند طرح کلان و معماری شبکه ملی اطلاعات که ۵۳ اقدام کلان دارد و یک سری اجزا و اهداف عملیاتی و کمی نیز در آن دیده شده است، ما باید در ۳ طبقه بندی تکالیفی را در زمینه امنیت پیاده سازی نماییم. به نحوی که از ۵۳ اقدام کلان تعریف شده در این سند، حدود ۲۰ اقدام کاملاً امنیتی است، مستقل از این که کدام سازمان و نهادی مجری آن باشد. از این ۲۰ اقدام، متولی اصلی ۱۸ مورد آن وزارت ارتباطات است. در همین حال ۳۳ اقدام باقی مانده نیز که کاملاً امنیتی نیستند نیازمند طراحی امنیتی هستند که به اشتباه به آن پیوست امنیتی نیز گفته می شود. به عبارت دیگر در معماری شبکه ملی اطلاعات، یک ستون عمودی در طرح کلان با موضوع امنیت وجود دارد. به این معنا که تمام پروژه ها باید طراحی امنیتی داشته باشد. * با این وجود کار بسیار بزرگی در پیش دارید. حال با عنایت به این که اسناد مرجعی که از آن نام برده اید در سالهای گذشته به تصویب رسیده است، چه میزان از این تکالیف انجام شده و چه بخش هایی برای کار همچنان باقی مانده است؟ بله؛ کار بسیار بزرگی است و ارزیابی ما نشان میدهد که در این عرصه باید با سرعت بیشتری پیش رفت و طبق بررسی های ما حدود ۲۱ درصد از وظایف در رابطه با وزارت ارتباطات مطابق با این اسناد، در زمینه امنیت انجام شده است. این نشان میدهد که ما در زمینه امنیت گرفتار عقب ماندگی هستیم. * شما دلیل این عقب ماندگی را در چه مواردی می دانید؟ به نظر می آید که حوزه امنیت در وزارت ارتباطات تا حالا حوزه ای واگرا بوده و بخش های مختلف حوزه امنیت در این وزارتخانه با هم همگرا نیستند. حداقل ۶ معاونت و اداره کل مختلف در وزارت ارتباطات به صورتی در رابطه با حوزه امنیت هستند که لازم است حتما با یکدیگر همگرا شوند. که شامل معاونت امنیت سازمان فناوری اطلاعات، مرکز امنیت سامانه های صیانتی زیرساخت، اداره کل امنیت سیستم های ارتباطی سازمان تنظیم مقررات و ارتباطات رادیویی، کمیته پدافند غیرعامل وزارت ارتباطات، پژوهشکده امنیت پژوهشگاه ارتباطات و تیم های سرت (CERT) دستگاه های زیرمجموعه وزارت ارتباطات، می شوند. اما موضوع این است که هر کدام از این بخش ها برای خود پروژه مستقل انجام می دهند و همگرا نیستند. در صورتیکه می توان خیلی از امور را با مساعدت یکدیگر انجام داد و در زمان و هزینه صرفه جویی کرد. بنابراین آقای وزیر تصمیم گرفتند که در وزارت ارتباطات یک نقطه کانونی برای حوزه امنیت ایجاد کنند. * حدود ۳ ماه از انتصاب شما در این مسئولیت می گذرد. تا حالا موفق به همگرایی این بخش ها و سایر نهادهای در رابطه با حوزه امنیت شده اید؟ ما در ۳ ماه گذشته حدود ۲۵۰ جلسه با حضور این بخش ها در وزارتخانه داشتیم تا این واحدهای امنیتی از نظر تعریف مسئولیت، یکپارچه شوند. در خارج از وزارت ارتباطات هم ما نیازمند این همگرایی هستیم. اکنون نهادهای مختلفی همچون مرکز ملی فضای مجازی، افتای ریاست جمهوری، پدافند غیرعامل، پلیس فتا، معاونت فضای مجازی دادستانی، حراست های سازمانی و مراکز امنیتی مانند وزارت اطلاعات به صورتی درگیر موضوعات امنیت هستند و همگرایی این بخش ها نیز بسیار مهم می باشد. باید برای این هماهنگی بیشتر هم راهکاری در نظر گرفت. بدین جهت مرکز ملی فضای مجازی در تلاش است که این دستگاهها و نهادها را با یکدیگر هماهنگ کند. * باتوجه به کلیتی که از ساختار موجود امنیت در کشور بیان کردید، اولویت برنامه های شما در این عرصه، مربوط به چه مواردی می شود؟ بحث امنیت بسیار گسترده است اما ما اولویت را روی «مقابله با حملات امنیتی فناوری اطلاعات»، «امن سازی و سالم سازی» و «مراقبت از کودک» معطوف کرده ایم. دراین زمینه کار جدیدی که در حوزه امنیت و سالم سازی در دست انجام داریم مربوط به «راه اندازی اپراتورهای خدمات امنیتی» می شود که پیگیر آن هستیم. به بیان دیگر اپراتورهایی که خدمات امنیتی ارائه می دهند را شناسایی خواهیم کرد و مدل کسب وکار آنها را اقتصادی خواهیم کرد تا بتوانند سرویس پایدار و باکیفیت عرضه کنند. این گواهی فعالیت باتوجه به مقیاس فعالیتی که این اپراتورها دارند و سرویس دهی آن شامل افراد عادی و خانواده و یا کسب و کارها، سازمان ها و زیرساخت ها، متفاوت خواهد بود. ما اپراتورهای امنیت را راه اندازی می نماییم. این اپراتورها همان بخش خصوصی هستند که بصورت نظام مند خدمات حوزه امنیت را برای تامین نیازهای مردم ارائه می دهند. این اپراتورها می توانند خدمات امنیتی در مقیاس ملی عرضه کنند. در نگاه کلان تر هم اپراتور خدمات امنیت می تواند در زمان رخداد سایبری، به سازمان ها سرویس داده و رخدادهای امنیتی را پیشگیری و یا پیگیری کند. این اپراتورها می توانند برای مدیریت دسترسی کودکان در فضای مجازی در زمینه خانواده، خدمات مربوط به کودک ارائه نمایند تا کودکان بصورت مدیریت شده با نظارت والدین در فضای مجازی حضور داشته باشند. این پروژه در دست انجام است. * در زمینه امن سازی پروژه دیگری در اولویت انجام ندارید؟ پروژه های زیادی را پیگیری می نماییم. برای مثال یکی از پروژه های ما «ایجاد و ارتقای گذرگاه های ایمن» است که این گذرگاه ها می تواند مرزی و یا داخلی باشد. هدف از اجرای این پروژه این است که ما بدانیم مرز سایبری مان کجاست؟ در این صورت اگر قرار بر ورود حملاتی به سازمان ها و یا شرکت های مان است، پیش از آن که حمله ای وارد شود، در همان مرز بتوانیم آنرا پیش بینی و کنترل نماییم. * اکنون وضعیت کنترل مرزهای فضای سایبری ما چگونه است؟ هم اکنون ما نظارت خوبی در مرزهای مجازی نداریم و مهاجم از این طریق نفوذ می کند و به سازمان ها و زیرساخت های ما ورود پیدا می کند. ما با ایجاد گذرگاه های ایمن، می توانیم این حملات را عقب تر بکشانیم؛ البته این پروژه مستلزم انجام یک کار فنی و هم نیازمند تجهیزات است. البته باتوجه به اقداماتی که تا حالا انجام شده و تجهیزاتی که آماده است، می توان با زیرساخت قبلی هم قسمتی از نیاز این کار را پیش برد. ما بررسی کردیم و دیدیم که می شود با زیرساخت پروژه های دیگر، نیاز این پروژه را تامین کرد. ما در زمینه مباحث ضد تحریم هم پروژه هایی تعریف کرده ایم تا تحریم هایی که کشورهای خارجی مقابل ما انجام می دهند، اثربخشی لازم را نداشته باشد. برای مثال قسمتی از این تحریم ها، دسترسی به خدمات مختلفی را برای شرکت های کامپیوتری و برنامه نویسان و توسعه دهندگان محدود می کند. این بی صداقتی شرکت های خارجی است که به بهانه تحریم، نمی خواهند ما در تولید نرم افزار و تجهیزات کامپیوتری رشد داشته باشیم و بنابراین دسترسی به برخی خدمات توسعه ای را به روی مهندسان ایرانی محدود می کنند. تلاش ما این است که با یک سری اقدامات، با این رویکرد مقابله کرده و دسترسی به این خدمات مسدود شده را باز نماییم. شاید خیلی از این موضوعات از نظر فنی از دید کاربر پنهان باشد اما در بخش هایی که مربوط به نیازمندی های متخصصان حوزه کامپیوتر است، ارائه این راه حل ها برای این متخصصان بسیار کارساز است. * در زمینه امنیت اطلاعات یکی از خلاءهای موجود به نبود قانون های در رابطه با این بخش بر می گردد. آیا در پیشبرد پروژه ها با خلاءهای قانونی حوزه امنیت نیز برخورد کرده اید؟ ما معتقدیم که وزارت ارتباطات در زمینه قانونگذاری امنیت باید به سایر نهادها کمک نماید. چونکه در زمینه امنیت و فضای مجازی قوانینمان باید به روز و پخته تر شود. در زمینه حریم خصوصی و صیانت از داده های کاربر باید قانونگذاری صورت گیرد. همانطور که در اروپا نیز قانون GDPR دراین زمینه تصویب شده است، ما هم باید به سراغ آن برویم. دراین زمینه وزارت ارتباطات برای لایحه صیانت از داده های کاربران، پیشنهاداتی را تهیه کرده و اصلاحاتی را روی این لایحه اعمال کرده تا با تصویب دولت، به مجلس ارائه شود. از این لایحه می توان برای طراحی های امنیتی پروژه های حوزه امنیت نیز استفاده نمود.
* طی سالهای گذشته با مشکلات بسیاری به علت نبود امنیت در سازمان ها و کسب وکارها درباب نشت اطلاعات کاربران مواجه بودیم، آیا برنامه ای برای پیشگیری اینطور رخدادها دارید؟ یکی از برنامه های مهم ما ساماندهی کسب وکارها در زمینه امنیت است. ما باید به کسب وکارها دراین زمینه کمک نماییم. همانطور که اشاره کردید متأسفانه در دو سه سال قبل نسبت به قبل، بیشترین مقدار انتشار اطلاعات خصوصی کاربران، کسب و کارها، و یا سازمان ها و شرکتها را شاهد بوده ایم. البته ناگفته نماند که حجم حملات نیز به شدت افزایش پیدا کرده است. ما در این زمینه تمهیداتی داریم تا اینطور رخدادها را به حداقل برسانیم. دراین زمینه کارگروهی تشکیل شده است که البته فقط وزارت ارتباطات درگیر آن نیست و بازیگران مختلفی در این عرصه حضور دارند. *در مورد نشت اطلاعات چالشی که همیشه در کشور وجود دارد این است که در زمان وقوع رخداد، سازمان های متولی مطابق با سند تقسیم کار مقابله با حوادث فضای مجازی (مصوب شورای عالی فضای مجازی)، مسئولیت را برعهده نمی گیرند و به صورتی موضوع در بین پاسکاری سازمان های متولی به فراموشی سپرده می شود. طبق آن سند، مسئول نشت اطلاعات در هر سازمان و دستگاهی، بالاترین مقام همان سازمان است. یعنی وقتی در کسب و کاری نشت اطلاعات رخ می دهد مدیر آن کسب وکار مسئول است. اما موضوع این است که مسئولان آن سازمان ها پاسخگو نیستند. این مساله دلیلهای مختلفی دارد. برای مثال طبق بخشنامه ای، ۱۵ درصد از بودجه فناوری اطلاعات سازمان ها باید به حوزه امنیت تخصیص داده شود. اما آمارها نشان میدهد که در سالهای قبل بودجه فناوری اطلاعات سازمان ها در مجموع حدود ۲ هزار میلیارد تومان بوده است که ۱۵ درصد آن، ۳۰۰ میلیارد تومان می شود. سوال این است که آیا با این مبلغ می شود امنیت دستگاهها را تامین و تضمین کرد؟ حوزه امنیت نیازمند هزینه و البته هزینه کرد آن نیز غیرقابل ملموس است. البته اکنون سازمان ها و مراکزی که گرفتار حمله سایبری شده اند حاضرند هزینه کنند که آن اتفاق مجدداً نیافتد. البته باید توجه داشت که امنیت یک هنر است و فقط یک علم نیست (The security is an art، is not just a science). این که احساس نماییم تنها با خرید تجهیزات و نیروی انسانی و یک دستور العمل، امنیت در یک سازمان تامین می شود درست نیست. فرهنگ امنیت باید در مجموعه و یا سازمان نهادینه شود؛ این همان هنر است. اگر هزاران اپلیکیشن و اپراتور و سامانه برای خانواده ها و سازمان ها راه اندازی شود اما فرهنگ حوزه امنیت وجود نداشته باشد، این تمهیدات بی فایده است. از طرف دیگر همانطور که گفتم بودجه دولتی برای حوزه امنیت کم است و به همین جهت ما معتقدیم که باید مدل کسب وکار حوزه امنیت را در کشور اصلاح کنیم؛ بنابراین به دنبال اپراتورهای حوزه امنیت هستیم. در این میان مشکل دیگری که وجود دارد این است که ما در کشور جایی نداریم که اپراتورهای حوزه امنیت را ارزیابی عملکردی کند. به علت نبود مرجع ارزیابی عملکردی محصولات و تجهیزات حوزه امنیت، هر یک از سازمان ها، متفاوت از سازمان دیگر تضمین امنیت یک محصول امنیتی را قبول دارد. این یک خلا است. اکنون گواهی هایی مانند گواهی ISMS، گواهی خدمات و گواهی ارزیابی تجهیزات از طرف سازمان فناوری اطلاعات صادر می شود اما این به مفهوم ارزیابی عملکرد نیست. این گواهی ها برای ارزیابی امنیتی است. آنچه که مسلم است این است که ما در ارزیابی عملکردی سیستم های امنیتی در کشور خوب کار نکرده ایم و باید فکری به حال این مساله کرد. بنابراین بخشنامه ای با کمک چندین نهاد همچون وزارت ارتباطات، سازمان ملی استاندارد و سازمان نظام صنفی کامپیوتری بعنوان بخش خصوصی در دست تدوین است تا امکان ارزیابی عملکردی محصولات و تجهیزات حوزه امنیت فراهم گردد و رویه ای باشد که همه سازمان ها مطابق آن پیش بروند و هر کس ساز خودرا نزند. ما معتقدیم که این حوزه باید ساماندهی گردد. این بخشنامه درحال تدوین است تا تمامی گواهینامه های حوزه امنیت در سازمان ها یکپارچه شود. * در سند اقدامات کلان شبکه ملی اطلاعات به موضوع ایجاد سیستم عامل امن نیز اشاره شده است. شما چه برنامه ای برای تحقق این هدف دارید؟ موضوع سیستم عامل امن در دو سیستم عامل بومی و سیستم عامل تلفن همراه دنبال می شود که ایجاد سیستم عامل داخلی برای مراکز امنیتی و نظامی، حیاتی و حساس مهم بر عهده وزارت دفاع و وزارت اطلاعات گذاشته شده است. از طرف دیگر ایجاد سیستم عامل تلفن همراه نیز برعهده وزارت ارتباطات است که در ذیل مسئولیت معاون فناوری و نوآوری این وزارتخانه دنبال می شود. بااینکه هر یک از این پروژه ها نیازمند طراحی امنیتی است و ما باید آنرا تهیه نماییم اما ما بطور مستقیم در این پروژه ها نقشی نداریم.
* در سند طرح کلان و معماری شبکه ملی اطلاعات در زمینه ساماندهی VPN ها نیز تکالیفی دیده شده است. دراین زمینه برنامه ای دارید؟ بله ؛ باید توجه داشت که ساماندهی VPN ها کار پر چالشی است، چونکه در این اقدام، عوامل مختلفی دخیل هستند و ما نمی توانیم یکسره به سراغ آنها برویم. متأسفانه به اشتباه شاید ساماندهی VPN ها معادل مسدود سازی و فیلترینگ عنوان می شود اما این درست نیست. برای ساماندهی این مساله باید چند کار به پیش رود. یکی از موضوعات به مباحث ضد تحریم باز می گردد. یعنی از VPN برای دور زدن تحریم ها استفاده می شود و باید در این خصوص فرهنگسازی شود و بالا بردن سواد رسانه ای کاربران در دستور کار قرار گیرد. در کنار آن بحث اقتصادی و نیز بومی سازی پلت فرم داخلی نیز مطرح است. همین طور موضوع قوانین حریم خصوصی نیز در این سطح باید مورد توجه قرار گیرد و تمامی این موارد باید به موازات هم پیش رود. همه اینها یک چرخه است و نمی گردد به تنهایی بگوییم که استفاده از VPN را ساماندهی می نماییم. برای مثال در ایالت متحده چون پلت فرم ها در اختیارش خودشان است، اعمال خط مشی در لایه پلت فرم انجام می پذیرد. به این معنا که دسترسی به توئیتر و اینستاگرام را نمی بندد اما در آن پلت فرم ها، خط مشی خودرا اعمال می کنند و عکس حاج قاسم را حذف می کند. اگر امکان اعمال خط مشی در این پلت فرم ها وجود نداشته باشد، نخستین جایی که آنها را می بندد همان ایالت متحده است. * به فیلترینگ هوشمند اشاره کردید. پروژه های مختلفی در سالهای قبل در این زمینه عنوان شد و برای مثال قرار بود بجای مسدودسازی پلت فرم اینستاگرام، محتوای نامناسب فیلتر شود. این پروژه ها به کجا رسید؟ به خاطر پیشرفت تکنولوژی و رمزگذاری داده این روش امکان پذیر نیست؛ ما اگر بخواهیم مشکلات فضای مجازی مان حل شود باید در زمینه فضای مجازی مانند فناوری های هسته ای و نانو روی لبه تکنولوژی حرکت نماییم. این که می بینیم در فضای مجازی عقب هستیم و به فرموده مقام معظم رهبری این فضا ول است، دلیلش این است که در این عرصه به طور معمول از تکنولوژی عقب بوده ایم. فیلترینگ هوشمند در لایه محتوا روی پلت فرم های خارجی عملاً برای ما امکان پذیر نیست و کشورهای خارجی با صاحبان پلت فرم وارد مذاکره شده و اعمال خط مشی می کنند. ما دو راه بیشتر نداریم؛ یا باید با این پلت فرم های خارجی تعامل نماییم که در کشور ما بیایند و شرایط ما را بپذیرند و یا این که نسخه های داخلی خودمان را راه اندازی نماییم. * آیا بومی سازی سامانه های امنیتی هم در تکالیف وزارت ارتباطات طبق سند اقدامات کلان شبکه ملی اطلاعات آمده است؟ بله؛ بومی سازی ۱۰۰ درصدی سامانه های امنیتی جز تکلیف شبکه ملی اطلاعات است که البته مسئولیت آن در اختیار نهاد دیگری است و ما معتقدیم می توان آنرا ۱۰۰ درصد بومی کرد. اما بومی سازی سامانه های غیرامنیتی بصورت ۱۰۰ درصد، تقریباً نا ممکن است. برای مثال در تشخیص یک حمله سایبری، نیازمند این هستیم که سامانه ناظر و تشخیصی بومی در زیرساخت خودمان داشته باشیم و این سامانه نباید خارجی باشد. * شما به سامانه های ناظر و تشخیصی حوزه امنیت اشاره کردید. یکی از سامانه های امنیتی که سالهای گذشته معرفی و از آن بعنوان سپری برای جلوگیری از حملات سایبری نام برده شد، «دژفا» بود. این پروژه اکنون چه عملکردی دارد؟ ممکنست در هر دوره ای برای سامانه هایی اسم های خاصی گذاشته شود اما مستقل از این اسم، سالیان سال است که مرکز ماهر، سامانه های مختلفی را بوجود می آورد که اغلب بغیر از هم هستند. در مقطعی قرار شد که این سامانه ها یکپارچه شوند و نام آنرا دژفا گذاشتند. البته اگر عملکرد دژفا نیز مانند اسمش بود الان بسیاری از اقدامات کلان شبکه ملی اطلاعات انجام شده بود و دیگر هزینه نمی کردیم. دژفا اقدامات با ارزشی است که دوستان در سالهای گذشته در زمینه امنیت انجام دادند اما کار بر زمین مانده زیاد است. ما در زمینه امنیت باید قابلیت های بسیاری را به شبکه ملی اطلاعات اضافه نماییم. این سامانه ها باید به هم وصل شده و مقیاس پذیر (scalable) باشند نه واگرا! * با این وجود نمی توان امیدوار بود که سپر دژفا امنیت اطلاعات را تضمین کند و از نشت اطلاعات جلوگیری کند؟ ببینید حمله سایبری از طرق مختلف صورت می گیرد. باید یک سری سامانه داشته باشیم که این حملات روی کل ترافیک را تحلیل و همبسته سازی (اصطلاحاً Correlation) کند که اکنون این سامانه ها با حالت ایده آل ما فاصله دارد. اما بسیاری از حملات بوسیله اینترنت رخ نمی دهد و نیروی نفوذی مثل استاکس نت در شبکه داخلی بدافزار را منتشر می کند. به این قبیل حملات APT ( حملات مانای پیشرفته) می گویند که توسط دولت ها و حکومت ها بواسطه مهندسی اجتماعی و تحلیل ساختار، تولید شده و هدایت می شوند. تا حالا ۱۲۰ مورد از این حملات در دنیا شناسایی شده است. برای مثال در حمله اخیر به صدا و سیما که یک حمله سایبری تشخیص داده شد، نفوذ بوسیله اشراف اطلاعاتی و به کمک بدافزار صورت گرفت. البته هنوز تحقیقات در حال انجام می باشد اما این که حمله بدافزاری بوده، قطعی است. در پاسخ به سوال شما به این نکته نیز باید توجه کرد که نظام ملی پیشگیری و مقابله با حوادث سایبری وظایف همه دستگاه های مرتبط را دسته بندی کرده است. در مورد حمله سایبری باید توجه داشت که حمله، موضوعی امنیتی است و نهادهای امنیتی و نظامی هم در آن دخیل می شوند. البته حمله سایبری در آستانه های مختلف تعریف متفاوتی دارد و شاید برخی تهدیدات به مفهوم جنگ سایبری باشد و نیروی نظامی و انتظامی درگیر آن شوند.
این مطلب را می پسندید؟
(1)
(0)
تازه ترین مطالب مرتبط
نظرات بینندگان در مورد این مطلب