امنیت سایبری: سنگر جدید مؤسسات آموزش عالی در کشور
به نقل از ایسنا، سومین جلسه مرتبط با ارزیابی و رتبه‌بندی خدمات‌دهندگان فضای مجازی تقویت امنیت سایبری در دانشگاه‌ها و مراکز پژوهشی کشور با حضور رؤسای دانشگاه‌ها و مدیران مرتبط با فناوری اطلاعات آن‌ها در مرکز ملی فضای مجازی برگزار گردید. این نشست به تشریح روند بررسی اقدامات صورت‌گرفته در ۱۷ دانشگاه برتر کشور و اعلام رتبه هر یک از آن‌ها با توجه به بند ششم سند الزامات امنیت سایبری اختصاص داشت.
در گذشته، نتایج ارزیابی امنیت سایبری برای شرکت‌های ارائه‌دهنده خدمات پیامکی و همچنین بانک‌ها از سوی مرکز ملی فضای مجازی به نهادهای ذی‌ربط ابلاغ شد. دانشگاه‌ها به عنوان نخستین نهادهای علمی در این زمینه مورد بررسی قرار گرفتند. در این راستا، محسن پاشا - قائم‌مقام و معاون امنیت مرکز ملی فضای مجازی، در یادداشتی اهداف و منطق راهبردی رتبه‌بندی امنیت سایبری دانشگاه‌ها را به طور مختصر بیان کرده است:
دانشگاه در کانون توجه؛ آزمون بلوغ و تاب‌آوری سایبری
رتبه‌بندی و ارزیابی دانشگاه‌ها در حوزه امنیت سایبری، یک اقدام راهبردی به منظور اندازه‌گیری سطح بلوغ امنیتی، شناسایی شکاف‌ها، اولویت‌بندی اقدامات اصلاحی و هدایت منابع به‌صورت هدفمند است. این ارزیابی تنها در صورتی مؤثر خواهد بود که بر اساس معیارهای شفاف، قابل اندازه‌گیری و متناسب با مأموریت، مقیاس، زیرساخت‌ها و سطح حساسیت فعالیت‌های دانشگاه‌ها پیاده‌سازی شود.
این فرآیند شامل حوزه‌هایی نظیر حکمرانی و مدیریت امنیت سایبری، مدیریت خطر، حفاظت از داده‌ها و دارایی‌های اطلاعاتی، مدیریت هویت و دسترسی، تأمین امنیت زیرساخت‌ها و زنجیره تأمین، آمادگی در برابر وقوع حوادث، تداوم خدمات، آموزش و ارتقا فرهنگ امنیتی و حفاظت از تحقیقات حساس می‌باشد. لازم به ذکر است، این ارزیابی باید علاوه بر بررسی وجود سیاست‌ها و سازوکارهای رسمی، به ارزیابی میزان اجرای واقعی، اثربخشی کنترل‌ها و توان دانشگاه در شناسایی، پاسخگویی و بازیابی پس از بروز حوادث سایبری بپردازد.
در نتیجه، رتبه‌بندی می‌بایست به‌عنوان مبنایی برای تدوین برنامه‌های بهبود، مشخص کردن اهداف مرحله‌ای، پایش روند پیشرفت و بازنگری مداوم در سیاست‌ها و کنترل‌های امنیتی عمل کند. ارائه بازخورد تحلیلی و مختص به هر دانشگاه به آن‌ها کمک خواهد کرد تا تصویری دقیق از نقاط قوت، ضعف‌ها، آسیب‌پذیری‌ها و اولویت‌های اصلاحی خود به دست آورند و منابع محدود را بر روی مهم‌ترین خطرات متمرکز سازند. همچنین، این سیستم ارزیابی می‌تواند بستری برای تبادل تجربیات و هم‌افزایی میان دانشگاه‌ها فراهم آورد؛ به‌طوری که تجربیات موفق، الگوهای عملی، راهکارهای فنی و رویه‌های مؤثر بین دانشگاه‌ها به اشتراک گذاشته شود و از توانمندی‌های دانشگاه‌های پیشرو به‌منظور الگوسازی بهره‌برداری گردد.
بلوغ و تاب‌آوری امنیت سایبری دانشگاه‌ها هنگامی به سطح رضایت‌مندی می‌رسد که از حیطه فنی فراتر برود و به جزئی از ساختار مدیریت ریسک و تصمیم‌سازی در سطوح عالی دانشگاه تبدیل شود. در این بین، رئیس و هیئت‌رئیسه دانشگاه، مدیران آموزشی و پژوهشی، مسئولان فناوری و امنیت، با همکاری یکدیگر، ارتقای امنیت سایبری را به عنوان یک ضرورت برای تداوم مأموریت‌های علمی و حفاظت از سرمایه‌های دانشی دانشگاه دنبال خواهند کرد.
عوامل تهدید
جامعه علمی کشور با مجموعه‌ای متنوع از خطرات مواجه است. برای بررسی دقیق این ریسک‌ها، مؤلفه‌های تهدیدکننده دانشگاه‌ها را می‌توان به سه دسته کلی تقسیم کرد:
۱. جاسوسی سایبری دولتی و شبه‌دولتی
عناصر دولتی، شبه‌دولتی و شبکه‌های مرتبط با آن‌ها در دایره دشمن، دانشگاه‌ها را به‌دلیل نقش کلیدی‌شان در تولید دانش، تربیت نیروی انسانی متخصص و نگهداری داده‌های علمی و فناوری، هدفی استراتژیک تلقی می‌کنند. اهداف اصلی این تهدیدگران شامل به‌دست آوردن دستاوردهای علمی و فناوری، سرقت مالکیت معنوی، نتایج تحقیقات و داده‌های آزمایشگاهی و شناسایی و مانیتورینگ دانشمندان معتبر به منظور نفوذ به دیگر نهادهای حکومتی، صنعتی و پژوهشی است.
۲. جرائم سایبری سازمان‌یافته با هدف مالی
گروه‌های جنایی سایبری نیز به دلیل تعدد کاربران و گستردگی سامانه‌ها و ضریب اطمینان به خدمات آنلاین، دانشگاه‌ها را هدفی جذاب می‌دانند. از جمله رایج‌ترین شیوه‌های این گروه‌ها می‌توان به حملات باج‌افزاری، سرقت داده‌های هویتی دانشجویان و کارکنان، نفوذ به اطلاعات مالی و پرداخت، کلاهبرداری‌های ایمیلی و جعل هویت، و فروش دسترسی غیرمجاز به سیستم‌های دانشگاهی در بازارهای زیرزمینی اشاره کرد.
۳. تهدیدات داخلی و کاربران مجاز
بخش قابل‌توجهی از ریسک‌های امنیتی دانشگاه‌ها از داخل سازمان یا به‌دست کاربرانی ناشی می‌شود که به‌طور قانونی به سامانه‌ها و داده‌ها دسترسی دارند. سوءاستفاده عمدی از اطلاعات توسط کارکنان، پیمانکاران، دانشجویان یا پژوهشگران دارای دسترسی، افشای داده‌ها به دلیل خطا و بی‌احتیاطی، انتقال و نگهداری ناایمن اطلاعات پژوهشی و آموزشی و استفاده از ابزارهایی که تأیید نشده‌اند، از مهم‌ترین مصادیق این نوع تهدیدات هستند.
در محیط دانشگاه، به سبب تنوع کاربران، جریان گسترده داده‌ها و فرهنگ تعامل علمی، مرز بین خطای انسانی، کوتاهی، بی‌احتیاطی و رفتارهای مخرب گاهی مشخص نیست. مدیریت چرخه عمر حساب‌های کاربری، اصل حداقل دسترسی، تفکیک وظایف، ثبت و پایش رخدادها، مرور دوره‌ای مجوزها و آموزش مستمر کاربران، از جمله الزامات کاهش این نوع خطرات محسوب می‌شود.
تهدیدهای امنیت سایبری دانشگاه‌ها
تهدیدات امنیت سایبری علیه دانشگاه‌ها شامل مجموعه‌ای از خطرات زیرساختی، اطلاعاتی، انسانی، اقتصادی و شناختی است. به دلیل ماهیت باز، چندلایه و شبکه‌ای دانشگاه‌ها، این تهدیدات می‌توانند همزمان بر آموزش، تحقیقات، خدمات اداری، اعتبار نهادی و حتی سرمایه دانشی کشور اثرگذار باشند. مهم‌ترین انواع این تهدیدات شامل موارد زیر است:
۱. ریسک‌های زیرساختی، سامانه‌ها و زنجیره تأمین
یکی از محوری‌ترین کانون‌های آسیب‌پذیری در دانشگاه‌ها، تنوع سامانه‌ها و وابستگی آن‌ها به نرم‌افزارهای شخص ثالث، پیمانکاران فناوری اطلاعات و خدمات ابری است. آسیب‌پذیری در ابزارهای مدیریت دانشگاه، سامانه‌های یادگیری الکترونیک، سامانه‌های یکپارچه آموزشی و اداری، ضعف در بروزرسانی‌ها، پیکربندی ناایمن و فقدان نظارت مرکزی بر برخی تجهیزات و خدمات می‌تواند به بروز رخنه‌های گسترده منجر شود. در برخی دانشگاه‌ها، دانشکده‌ها، آزمایشگاه‌ها یا واحدهای پژوهشی برای تسهیل امور، زیرساخت‌هایی مستقل از مرکز فناوری اطلاعات ایجاد می‌کنند که این می‌تواند به یکی از نشأت‌گیرندگان اصلی ریسک‌های ساختاری تبدیل شود.
۲. بدافزارها و بهره‌برداری از آسیب‌پذیری‌ها
باج‌افزارها، تروجان‌ها، درهای پشتی و جاسوس‌افزارها همچنان از متداول‌ترین روش‌های حمله به دنیای دانشگاهی به شمار می‌آیند. این بدافزارها می‌توانند از طریق ایمیل، حافظه‌های USB، افزونه‌های ناامن، دانلودهای آلوده یا حتی زنجیره تأمین نرم‌افزارها وارد محیط‌های دانشگاهی شوند. بهره‌برداری از آسیب‌پذیری‌های بدون بروزرسانی و خدمات در معرض اینترنت نیز جزء شیوه‌های رایج نفوذ است. وجود شبکه‌های وسیع، تنوع کاربران، سامانه‌های قدیمی و محدودیت در یکپارچگی مدیریتی، دانشگاه‌ها را به محیطی مستعد برای گسترش جانبی بدافزارها و تقویت حضور تبهکاران تبدیل می‌کند.
۳. حملات اخلال‌گرانه و اختلال در تداوم خدمات
دانشگاه‌ها به شدت به زمان‌بندی خدمات وابسته‌اند؛ از ثبت‌نام و انتخاب واحد تا برگزاری آزمون‌ها، اعلام نتایج و دسترسی به سامانه‌های الکترونیکی و خدمات پژوهشی. بنابراین، حملات منع خدمت توزیع‌شده (DDoS) یا سایر حملات مختل‌کننده به این سامانه‌ها، به‌ویژه در مراحل حساس تقویم آموزشی، می‌تواند تأثیرات قابل توجهی بر مدیریت دانشگاه، رضایت ذی‌نفعان و اعتبار نهادی داشته باشد. حتی اگر حمله از نظر زمانی، کوتاه‌مدت باشد، وقوع آن در زمان نامناسب ممکن است موجب بحران مدیریتی و بی‌اعتمادی عمومی شود.
۴. هکتیویسم، عملیات روانی و سوءاستفاده از برند دانشگاه
دانشگاه‌ها به دلیل مقام علمی و موقعیت اجتماعی خود در معرض حملات نمادین و رسانه‌ای نیز قرار دارند. تغییر محتوای وب‌سایت دانشگاه، انتشار اسناد سرقت‌شده برای ایجاد تأثیر رسانه‌ای، جعل صفحات رسمی و سوءاستفاده از نام، دامنه یا هویت بصری دانشگاه برای کلاهبرداری و یا فیشینگ، از جمله این موارد است. در این نوع حملات، گاهی هدف اصلی مهاجم دسترسی به داده نیست، بلکه تخریب تصویر نهادی، ایجاد التهاب ادراکی و تضعیف اعتماد عمومی است.
۵. مهندسی اجتماعی و مخاطرات رفتاری – انسانی
بخش قابل توجهی از تهدیدات دانشگاهی از طریق فریب کاربران و سوءاستفاده از رفتار انسانی رخ می‌دهد.
فیشینگ علیه استادان، پژوهشگران، مدیران و دانشجویان، جعل هویت اعضای هیئت علمی و یا همکاران علمی، سوءاستفاده از دعوت‌نامه‌ها، بورسیه‌ها، فرصت‌های مطالعاتی، همکاری‌های پژوهشی و کنفرانس‌ها به‌عنوان پوششی برای حملات، از شایع‌ترین مصادیق این حوزه هستند.
تجارب نشان می‌دهد که در بسیاری از حملات مؤثر علیه دانشگاه‌ها، نقطه شروع نفوذ نه یک ضعف فنی پیچیده، بلکه خطای انسانی، اعتماد بیش از حد و فریب کاربر بوده است. به همین دلیل، ارتقاء فرهنگ امنیتی و سواد سایبری کاربران بخش جدایی‌ناپذیری از افزایش تاب‌آوری دانشگاهی محسوب می‌شود.
۶. تهدیدات مرتبط با پژوهش‌های حساس، همکاری‌های بین‌المللی و علم باز
دانشگاه‌ها در فضایی فعالیت می‌کنند که بر اساس تبادل دانش، همکاری علمی، انتشار یافته‌ها و تعاملات جهانی استوار است. این ویژگی در واقع پیچیدگی سطح تهدید را افزایش می‌دهد. سوءاستفاده از همکاری‌های علمی جهت جمع‌آوری اطلاعات، نفوذ از طریق پروژه‌های مشترک، سرقت پیش‌دستانه نتایج تحقیقات پیش از انتشار، دستیابی به داده‌های آزمایشگاهی یا مخازن پژوهشی و نشت اطلاعات از پلتفرم‌های باز یا ابزارهای همکاری علمی، از برجسته‌ترین خطرات این عرصه هستند. هرچه دانشگاه در حوزه‌های علمی حساس‌تر و پیشرفته‌تر مشغول به کار باشد، اهمیت این تهدید نیز افزایش می‌یابد؛ زیرا تبعات آن می‌تواند اثرات منفی بر مزیت‌های علمی، فناوری و حتی اقتصادی کشور داشته باشد.
۷. اینترنت اشیا، تجهیزات هوشمند و دارایی‌های متصل
علاوه بر نرم‌افزارهای اداری و آموزشی، دانشگاه‌ها از مجموعه‌ای گسترده از تجهیزات متصل استفاده می‌کنند؛ از تجهیزات آزمایشگاهی و دستگاه‌های پژوهشی گرفته تا دوربین‌ها، سامانه‌های کنترل تردد و زیرساخت‌های هوشمند. بسیاری از این دارایی‌ها از منظر امنیت سایبری مورد توجه قرار نمی‌گیرند، در حالی که احتمال دارد دارای سیستم‌های عامل قدیمی، بدون پشتیبانی یا پیکربندی‌های ناامن باشند. این تجهیزات می‌توانند به نقطه ورودی برای حمله‌کنندگان تبدیل شوند و به گسترش نفوذ یا ایجاد اختلال در فرایندهای آموزشی، پژوهشی و درمانی منجر گردند.
راهکارهای ارتقاء امنیت سایبری دانشگاه‌ها
برای مواجهه با این چالش‌ها به‌طور سازنده، تقویت امنیت سایبری دانشگاه‌ها نیازمند یک رویکرد جامع ملی و درون‌دانشگاهی است که شامل محورها زیر می‌باشد:
۱. افزایش آگاهی و فرهنگ امنیت سایبری در میان کارکنان، استادان و دانشجویان به‌عنوان خط دفاع نخست.
۲. تقویت حاکمیت، سیاست‌گذاری و مدیریت ریسک باهدف شناسایی دارایی‌های حیاتی و مشخص کردن مسئولیت‌ها.
۳. مدیریت هویت و دسترسی بر مبنای اصل «حداقل دسترسی».
۴. حفاظت از داده‌ها و نتایج پژوهش‌های حساس از طریق طبقه‌بندی، تفکیک و رمزنگاری.
۵. طراحی معماری امن شبکه، تفکیک شبکه‌ها و کاهش مواجهه زیرساخت‌های حیاتی با اینترنت.
۶. پیاده‌سازی کنترل‌های فنی، تقویت سامانه‌ها، بروزرسانی مداوم و حفاظت از زیرساخت‌های کلیدی.
۷. پایش و شناسایی به‌موقع حوادث امنیتی و رفتارهای مشکوک.
۸. توسعه آمادگی، واکنش به حوادث و بازگشت سریع برای حفظ تداوم خدمات آموزشی و پژوهشی.
۹. مدیریت امنیت زنجیره تأمین، خدمات ابری و پیمانکاران فناوری اطلاعات.
۱۰. ارزیابی، ممیزی و بهبود مستمر از طریق سنجش منظم و آزمون‌های نفوذپذیری.
رتبه‌بندی دانشگاه‌ها توسط مرکز ملی فضای مجازی به‌عنوان راهبردی برای توانمندسازی اکوسیستم علمی کشور تلقی می‌شود تا با شناسایی دقیق نقاط آسیب‌پذیر، سنگرهای علمی و پژوهشی ایران اسلامی را در برابر طوفان تهدیدات سایبری غیرقابل نفوذ سازد.
انتهای پیام