چالشها و استراتژیهای سیاستی برای بهبود امنیت سایبری در ایران
بر اساس اطلاعات ایسنا، دادههای مربوط به هر یک از افراد و سازمانها شامل نام، شماره تماس، نشانی، سوابق فعالیتهای مالی، پیامهای خصوصی، تاریخچه پزشکی، خریدهای آنلاین، سفرها و فهرست مشتریان و اسرار شرکت بهطور متنوعی در پایگاههای داده ذخیره شده است. تهدیدات سایبری بهمنظور دستیابی به این دادهها با مقاصد مالی، جاسوسی، سیاسی، ایجاد اختلال و... بیش از هر زمان دیگر این حجم از دادهها را در خطر قرار میدهد.
امروزه میلیاردها رکورد از اطلاعات گوناگون در معرض خطر و دسترسی عمومی قرار گرفتهاند که هر یک از آنها میتوانند تهدیدی جدی محسوب شوند. تأمین امنیت و محافظت از دادهها به یکی از اقدامات حیاتی و الزامی برای افراد، سازمانها و دولتها تبدیل شده است.
نقض داده و افشای دادهها از مهمترین تهدیدات امنیتی به شمار میآیند که میتوانند نتیجه حملات خرابکارانه مجرمان سایبری، تهدیدها و افشای اطلاعات کارکنان یا حتی خطاهای ساده انسانی باشند. درنتیجه، بر اثر این تهدیدات، اشخاص، افراد یا سازمانهای غیرمجاز به دادههای حساس، محافظتشده یا محرمانه دسترسی پیدا کرده و ممکن است در معرض مشاهدات، کپی، انتقال، حذف یا انتشار قرار بگیرند.
پیامدهای نقض و افشای دادهها دارای ابعاد متفاوتی است. برای افراد، میتواند به سرقت هویت، خسارت مالی، تهدید، اخاذی و تجاوز به حریم شخصی منجر شود؛ در سازمانها میتواند با کاهش ارزش سهام و اعتبار همراه باشد و برای دولتها نیز خطرات زیرساختی و امنیتی در پی خواهد داشت.
جبران این خسارتها و غرامتهای نظارتی و بازسازی دوباره اعتبار و اعتماد مشتریان و کاربران تا حدی که امکانپذیر باشد میتواند هزینههای هنگفتی به همراه داشته باشد و نیازمند سالها زمان خواهد بود؛ بهویژه در مواقعی که برخی سازمانها از توان خارج شده و به کوچک شدن سهم آنها از بازار یا فروش اجباری منجر میشود.
هر مورد نقض و افشای دادهها میلیونها نفر را تحت تأثیر قرار میدهد و امنیت یا اعتماد به نهادها و دولتها را تضعیف کرده و پایه و اساس یک جامعه دیجیتال را که بر مبنای اعتماد و امنیت ساخته شده است، از بین میبرد. بنابراین، توجه به افشای دادهها، پیشگیری و جبران آن اهمیت دارد که باید در دستور کار سیاستگذاران و تنظیمگران، نه فقط بهصورت واکنشی و پسینی، بلکه بهصورت پیشدستانه و پیشیگیری باشد زیرا برای تأمین امنیت کشور، نهادها و شهروندان ضروری است.
برخلاف اینکه اصطلاح نقض داده و افشای داده در کشور ما غالباً به یک معنا و بهجای یکدیگر استفاده میشوند، این دو مورد پدیدههای متمایزی هستند که هر دو به فاش شدن اطلاعات حساس منجر میشوند و از لحاظ فنی و حقوقی تفاوتهای مهمی دارند و علل و پیامدهای آنها متفاوت است. درک این تفاوتها برای پیادهسازی اقدامات امنیتی و همچنین مواجهه با این رخدادها حیاتی است.
نقض داده یک نفوذ عمدی و ناشی از حمله سایبری است و زمانی رخ میدهد که افراد غیرمجاز از راه هک، فیشینگ یا دیگر فعالیتهای مخرب به سیستمهای کامپیوتری، شبکهها یا پایگاههای داده نفوذ کرده و به اطلاعات محرمانه و محافظتشده دسترسی پیدا کنند. تمرکز اصلی در نقض داده، دسترسی غیرمجاز به دادهها است.
در افشای داده، معمولاً دادهها بهطور غیرعمدی یا تصادفی فاش میشوند و در دسترس افراد غیرمجاز قرار میگیرند. در اینجا، خطاهای انسانی، تنظیمات و پیگردهای اشتباهی سیستمها و پایگاههای داده یا حتی گم شدن دستگاه حاوی اطلاعات نمونههایی از دلایل افشای دادهها هستند. برای مثال ممکن است ایمیل حاوی اطلاعات حساس بهاشتباه ارسال شود، یا یک سند حساس در یک سرور ابری عمومی در دسترس قرار گیرد.
همچنین، افشای اطلاعات محرمانه آژانس امنیت ملی آمریکا (NSA) توسط کارمند سابق، ادوارد اسنودن، هم یکی از گستردهترین افشای اطلاعات طبقهبندیشده در تاریخ بود. این افشاگر بحثهای گستردهای را درباره حقوق حریم خصوصی و نظارت دولتی مطرح کرد.
نمونه دیگر به فیسبوک که در درجه اول بهعنوان یک پلتفرم رسانه اجتماعی شناخته میشود، مربوط میشود که در سال 2021، گزارشی مبنی بر انتشار اطلاعات شخصی کاربران فیسبوک در یک فرم هک سطح پایین اعلام شد. این نشفت داده مربوط به سال 2019 بود و دادههای افشا شده شامل اطلاعات شخصی بیش از 533 میلیون کاربر فیسبوک از 106 کشور جهان است که شامل بیش از 32 میلیون کاربر در ایالات متحده، 11 میلیون کاربر در بریتانیا و 6 میلیون کاربر در هند است.
یکی از سخنگویان فیسبوک اعلام کرده بود که دادهها بهدلیل یک آسیبپذیری که این شرکت در سال 2019 اصلاح کرده بود، استخراج شده است. بهگفته آلون گال، مدیر ارشد فناوری شرکت اطلاعات جرائم سایبری هادسون راک که اطلاعات فاش شده را کشف کرده، با اینکه چند سال از عمر دادههای لو رفته میگذشت، هکرها میتوانند از دادهها برای جعلی هویت افراد و ارتکاب کلاهبرداری استفاده کنند.
استخراج داده تاکتیکی است که طی آن سیستم خودکار، اطلاعات موجود در یک پلتفرم را برمیدارد. این آسیبپذیری در سال 2019 کشف و گزارش شد. فیسبوک در همان سال تغییراتی اعمال کرد و سپس اطمینان داد که در نتیجه اقداماتی که انجام داده این آسیب دیگر وجود ندارد.
در هر حال، امنیت سایبری و حفاظت از دادهها در جوامع مدرن به یکی از دغدغههای اصلی تبدیل شده است، بهویژه در کشورهایی مانند ایران که وابستگی آنها به فناوری دیجیتال و زیرساختهای اطلاعاتی روزبهروز افزایش مییابد. در سالهای اخیر، مجموعهای از حملههای سایبری گسترده
به زیرساختهای دولتی و خصوصی ایران، مانند سیستمهای بانکی، ثبت احوال، شرکتهای بیمه و سکوهای خدماتی، نقاط ضعف جدی در
مدیریت امنیت دادهها را نمایان کرد.
این حملهها تأثیرات مخربی بر امنیت اطلاعات کاربران و اعتبار سازمانها داشته و ضعف زیرساختهای امنیتی، نبود قوانین جامع حفاظت
از دادهها، کمبود شفافیت در اطلاعرسانی و پاسخگویی و همچنین کمبود نیروی انسانی متخصص در حوزه امنیت سایبری را برجسته کرده
پیامدهای این حملهها تنها محدود به خسارتهای اقتصادی نیست، بلکه باعث تضعیف اعتماد عمومی به نهادها، امنیت ملی و کاهش رقابتپذیری شرکتهای ایرانی در بازارهای جهانی نیز شده است.
درنتیجه سیاستگذاری مؤثر، تصویب قوانین جامع و نظارت دقیق میتواند نقشی کلیدی در کاهش این تهدیدها و حفاظت از دادهها داشته
باشد. طبق بررسی تجربههای بینالمللی، تدوین چارچوبهای قانونی منسجم، ایجاد نهادهای نظارتی قدرتمند و اجرای برنامههای آموزشی
جامع میتواند اثر قابل توجهی بر ارتقای امنیت سایبری داشته باشد.
برای مقابله با تهدیدهای امنیت سایبری و بهبود حفاظت از دادهها در ایران، مجموعهای از اقدامهای تقنینی، سیاستگذاری و نظارتی پیشنهاد
میشود:
ایران نیازمند تصویب قوانین جامع حفاظت از دادههاست. یک قانون جامع، مشابه مقررات حفاظت از دادههای عمومی
اروپا، باید تدوینشود که شامل حقوق کاربران، مسئولیت سازمانها، الزامهای شفافیت و جریمههای سنگین برای تخلفها باشد.
این قانون باید تمامی ذینفعان، مانند سازمانهای دولتی و خصوصی را ملزم به رعایت اصول شفافیت و حفاظت از دادهها کند. البته شفافیت برای
نهادهای امنیتی و نظامی ملزم به ملاحظات متفاوت از دیگر سازمانهای دولتی و خصوصی است. بنابراین برای شفافیت در این حوزهها
میتوان نهاد ناظری را پیشنهاد کرد.
علاوه بر این، تدوین سازوکارهایی برای طرح دعاوی جمعی که به کاربران امکان میدهد در صورت نقض امنیت دادههایشان اقدام قانونی
انجام دهند، ضروری است. این اقدامها میتوانند باعث تقویت پاسخگویی سازمانها شوند و کاربران را برای مطالبه حقوق خود توانمند کند.
ایجاد یک نهاد مستقل حفاظت از دادهها با اختیارهای اجرایی میتواند نقطه عطفی در مدیریت امنیت سایبری باشد. این نهاد باید مسئول
نظارت بر حفاظت از دادهها، تحقیق در مورد نقضها و اعمال جریمههای لازم باشد.
همچنین، اجرای ممیزیهای سالیانه توسط شرکتهای معتبر برای ارزیابی زیرساختهای امنیتی و مدیریت دادهها ضروری است.
دولت میتواند حملههای سایبری ناشی از هزینههای مالی بیمه امنیت سایبری شوند تا به خرید اضافه بر این، شرکتها
از طریق ارائه تخفیفهای مالیاتی یا کمکهای مالی، شرکتهای کوچک و متوسط را به سرمایهگذاری در امنیت سایبری تشویق کند.
توسعه برنامههای آموزشی برای تربیت نیروی انسانی متخصص در حوزه امنیت سایبری، از اولویتهای مهم سیاستگذاری است.
این برنامهها باید در سطح مدارس، دانشگاهها و سازمانها پیادهسازی شوند تا کمبود نیروی کار متخصص کاهش یابد.
الزام سازمانها به شفافیت در اطلاعرسانی نقضهای امنیتی یکی از گامهای مهم در بهبود اعتماد عمومی است. سازمانها باید ظرف دو
ساعت پس از وقوع نقض، آن را به کاربران و نهادهای نظارتی اطلاع دهند. این اقدام میتواند به کاهش آسیبها و پیشگیری از سوءاستفاده
کند.
تقویت نظارت بر زیرساختها از طریق پیادهسازی سیستمهای پیشرفته شناسایی تهدیدها، بهویژه مبتنی بر هوش مصنوعی، از دیگر اقدامهای
ضروری است.
همچنین برگزاری رزمایشهای سایبری دورهای میتواند آمادگی سازمانها را برای مقابله با حملههای سایبری افزایش دهد.
علاوهبر این، الزام سازمانها به طراحی و پیادهسازی تکنیکهای ناشناسسازی دادهها میتواند خطرهای ناشی از افشای اطلاعات را
کاهش دهد.
انتهای پیام