خبرنگار را نمیتوان با یک روز تقدیر به رسمیت شناخت
تهران ـ خبرنگار فناوری بازار کسبوکار | دیجیتالی شدن اقتصاد، مرز میان امنیت ملی و امنیت اقتصادی را باریکتر از همیشه کرده است؛ بهگونهای که یک حمله سایبری یا اختلال در زیرساختهای حیاتی دیگر فقط یک حادثه فنی محسوب نمیشود و میتواند به توقف فعالیت بنگاهها، اختلال در زنجیره تأمین، از دست رفتن داده و افزایش هزینههای تولید و خدمات منجر شود. در چنین شرایطی، تأکید معاون اول رئیسجمهور بر ارتقای امنیت سایبری، پدافند غیرعامل و بازطراحی معماری امنیتی کشور را میتوان هشداری جدی برای اقتصادی دانست که هر روز وابستگی بیشتری به زیرساختهای دیجیتال پیدا میکند.
سالها امنیت سایبری بیشتر در ادبیات تخصصی فناوری اطلاعات و نهادهای امنیتی مطرح میشد، اما گسترش اقتصاد دیجیتال این معادله را تغییر داده است. امروز بخش قابل توجهی از فعالیت اقتصادی به شبکههای ارتباطی، سامانههای پرداخت، بانکداری الکترونیک، پایگاههای داده، خدمات ابری، سامانههای فروش و زنجیرههای دیجیتال تأمین وابسته است و همین وابستگی باعث شده هر اختلال جدی در این زیرساختها بتواند خیلی سریع از یک مسئله فنی به یک مسئله اقتصادی تبدیل شود.
از همین منظر، اظهارات اخیر معاون اول رئیسجمهور درباره ضرورت ارتقای امنیت سایبری و پدافند غیرعامل را نمیتوان صرفاً در چارچوب هشدارهای امنیتی تحلیل کرد. محمدرضا عارف در جلسه ستاد علوم و فناوری افتا با اشاره به احتمال تداوم تهدیدها پس از شکستهای اخیر دشمن، بر ضرورت حفظ آمادگی کشور، رصد دقیق تهدیدها و توجه بیشتر به پدافند غیرعامل تأکید کرد؛ موضوعی که برای فعالان اقتصادی نیز یک پیام روشن دارد: ریسک سایبری دیگر خارج از محاسبات اقتصادی بنگاهها نیست.
وقتی حمله سایبری به توقف کسبوکار منجر میشود
برای یک شرکت، پیامد یک حمله سایبری الزاماً به سرقت اطلاعات یا نفوذ به سامانهها محدود نمیشود. اگر سامانه فروش، ارتباط با مشتریان، سیستم حسابداری، شبکه داخلی یا دسترسی به اطلاعات حیاتی برای مدتی از کار بیفتد، فعالیت روزمره شرکت نیز مختل خواهد شد. در صنایع و خدماتی که به زیرساختهای دیجیتال وابستگی بیشتری دارند، دامنه این خسارت میتواند از یک شرکت فراتر برود و بخشهایی از زنجیره تأمین و حتی مشتریان و شرکای تجاری آن را تحت تأثیر قرار دهد.
در چنین شرایطی، هزینه واقعی حمله تنها هزینه تعمیر یا جایگزینی تجهیزات نیست. توقف تولید یا ارائه خدمات، تأخیر در تحویل سفارشها، اختلال در پرداختها، هزینه بازیابی اطلاعات، آسیب احتمالی به اعتبار برند و کاهش اعتماد مشتریان، مجموعهای از هزینههایی هستند که ممکن است در برآوردهای اولیه دیده نشوند. به همین دلیل، امنیت سایبری در حال تبدیل شدن به یکی از اجزای مدیریت ریسک اقتصادی است؛ درست مانند نقدینگی، نوسان قیمت مواد اولیه، ریسک تأمین یا نوسانات بازار.
این تغییر نگاه برای اقتصاد ایران اهمیت بیشتری دارد، زیرا هرچه خدمات و فعالیتهای اقتصادی بیشتر به بسترهای دیجیتال منتقل شوند، هزینه ناامن بودن این بسترها نیز افزایش پیدا میکند. در واقع، سرمایهگذاری نکردن در امنیت سایبری ممکن است در کوتاهمدت هزینههای یک بنگاه را کاهش دهد، اما در زمان وقوع یک حادثه میتواند هزینه بسیار بزرگتری را به آن تحمیل کند.
معماری «اعتماد صفر» و تغییر نگاه به امنیت زیرساختها
یکی از محورهای مهم مطرحشده در جلسه ستاد علوم و فناوری افتا، ارزیابی و بازطراحی معماری زیرساختهای حیاتی و حرکت به سمت معماری «اعتماد صفر» بود. این موضوع در ظاهر یک بحث تخصصی در حوزه فناوری اطلاعات است، اما در عمل میتواند پیامدهای مستقیمی برای نحوه فعالیت سازمانها و شرکتها داشته باشد.
در مدلهای سنتی، بخشی از امنیت بر این فرض استوار بود که اگر کاربر یا دستگاهی در محدوده داخلی یک شبکه قرار داشته باشد، میتوان تا حدی به آن اعتماد کرد. معماری اعتماد صفر این پیشفرض را کنار میگذارد و دسترسی به منابع را بر اساس هویت، سطح دسترسی، وضعیت دستگاه و شرایط اتصال ارزیابی میکند. به بیان سادهتر، حضور در شبکه بهتنهایی مجوز اعتماد نیست.
اهمیت این رویکرد در شرایطی بیشتر میشود که شرکتها دیگر در یک محیط بسته فعالیت نمیکنند. کارکنان از راه دور به سامانهها متصل میشوند، اطلاعات در سرویسهای ابری نگهداری میشود و پیمانکاران، تأمینکنندگان و شرکای تجاری نیز در بسیاری از موارد به بخشی از زیرساخت یا دادههای سازمان دسترسی دارند. بنابراین مرز سنتی میان «داخل سازمان» و «خارج سازمان» عملاً کمرنگ شده و مدلهای امنیتی نیز ناگزیر باید با این واقعیت جدید هماهنگ شوند.
برای فعال اقتصادی، اهمیت معماری اعتماد صفر در نهایت به یک مسئله ساده برمیگردد: اگر دسترسیها دقیقتر مدیریت شوند و هر کاربر یا دستگاه فقط به منابع مورد نیاز خود دسترسی داشته باشد، دامنه خسارت احتمالی یک نفوذ نیز میتواند محدودتر شود. بنابراین یک مفهوم فنی در اینجا به ابزاری برای کاهش ریسک عملیاتی و اقتصادی تبدیل میشود.
نیروی متخصص؛ حلقهای که نمیتوان آن را با تجهیزات جایگزین کرد
در میان مباحث مطرحشده از سوی معاون اول، تأکید بر نیروی انسانی متخصص در حوزه امنیت سایبری نیز اهمیت ویژهای دارد. عارف خواستار توجه به مطالبات و نیازمندیهای این نیروها و حفظ متخصصان این حوزه شده است؛ موضوعی که شاید در نگاه اول در حاشیه بحثهای فنی قرار بگیرد، اما در واقع یکی از پایههای اصلی امنیت پایدار است.
امنیت سایبری صرفاً با خرید تجهیزات و نرمافزار ایجاد نمیشود. سازمان باید متخصصانی داشته باشد که بتوانند داراییهای حساس را شناسایی کنند، آسیبپذیریها را تشخیص دهند، هشدارهای امنیتی را تحلیل کنند و در صورت وقوع حادثه، واکنش مناسبی نشان دهند. حتی بهترین تجهیزات نیز بدون نیروی انسانی توانمند نمیتوانند بهتنهایی یک سازمان را در برابر تهدیدها ایمن کنند.
از این منظر، مسئله نیروی انسانی را باید همزمان یک موضوع امنیتی و اقتصادی دانست. اگر کشور در تربیت و حفظ متخصصان امنیت سایبری موفق نباشد، بخشی از سرمایهگذاری انجامشده در تجهیزات و زیرساختها نیز نمیتواند بازده مورد انتظار را ایجاد کند. برای شرکتهای خصوصی نیز این موضوع به معنای آن است که امنیت نباید صرفاً به خرید یک محصول یا برونسپاری کامل خدمات تقلیل پیدا کند؛ بلکه باید حداقلی از دانش و ظرفیت داخلی برای مدیریت ریسک سایبری وجود داشته باشد.
«پردیس امنیت سایبری»؛ فرصتی برای ساختن یک بازار جدید
در این جلسه گزارشی از اقدامات انجامشده برای تکمیل «پردیس امنیت سایبری» نیز ارائه شد؛ طرحی که قرار است به سکوی توسعه فناوریهای راهبردی و قدرت فناورانه کشور در حوزه امنیت سایبری تبدیل شود و زمینه گذار به نسل پنجم پارکهای فناوری و دستیابی به قدرت سایبری پایدار را فراهم کند.
اهمیت اقتصادی چنین طرحی زمانی آشکار میشود که خروجی آن از ایجاد یک ساختار اداری یا پژوهشی فراتر برود و به شکلگیری یک بازار واقعی برای فناوریهای امنیتی منجر شود. شرکتهای دانشبنیان و فعالان فناوری زمانی میتوانند در این حوزه رشد کنند که علاوه بر حمایت اولیه، مشتری واقعی، تقاضای پایدار، استانداردهای مشخص و امکان حضور در بازار داشته باشند.
در اینجا یک چالش مهم سیاستگذاری نیز وجود دارد؛ حمایت از تولید فناوری با ایجاد بازار برای فناوری یکسان نیست. ممکن است شرکتی توان تولید یک محصول امنیتی را داشته باشد، اما اگر دستگاهها و بنگاهها امکان خرید، ارزیابی و استفاده از آن را نداشته باشند، فناوری تولیدشده به محصولی تجاری تبدیل نخواهد شد. بنابراین موفقیت پردیس امنیت سایبری را باید در نهایت با میزان اتصال آن به صنعت، بازار و نیاز واقعی اقتصاد سنجید.
همکاری منطقهای؛ اگر از تفاهمنامه فراتر برود
معاون اول رئیسجمهور همچنین استفاده از ظرفیت اتحادیههای منطقهای از جمله شانگهای و بریکس را فرصتی برای ارتقای امنیت سایبری دانست و بر استفاده از تجربیات کشورهای منطقه تأکید کرد. این همکاریها در صورتی که به تبادل دانش فنی، آموزش نیروی انسانی، انتقال تجربه و اجرای پروژههای مشترک منجر شوند، میتوانند بخشی از هزینه و زمان توسعه ظرفیتهای امنیتی کشور را کاهش دهند.
در حوزه امنیت سایبری، تجربه اهمیت زیادی دارد؛ زیرا تهدیدها با سرعت تغییر میکنند و روشهای مقابله با آنها نیز دائماً در حال تحول است. استفاده از تجربه کشورهایی که با تهدیدهای مشابه مواجه بودهاند، میتواند بخشی از مسیر آزمون و خطا را کوتاه کند. با این حال، ارزش اقتصادی این همکاریها در نهایت نه در تعداد تفاهمنامهها، بلکه در خروجی عملی آنها سنجیده خواهد شد؛ از انتقال فناوری و دانش گرفته تا افزایش توان شرکتهای داخلی و ارتقای تابآوری زیرساختها.
کسبوکارها هم باید وارد معادله امنیت شوند
یکی از نکاتی که در بحث امنیت سایبری کمتر مورد توجه قرار میگیرد، نقش مستقیم خود بنگاههاست. همه شرکتها زیرساخت حیاتی کشور نیستند، اما بسیاری از آنها اطلاعات مشتریان، اطلاعات مالی، قراردادها، دادههای کارکنان و اطلاعات تجاری ارزشمندی در اختیار دارند. آسیب دیدن این اطلاعات میتواند نهتنها خود شرکت، بلکه مشتریان و شرکای تجاری آن را نیز متضرر کند.
به همین دلیل، امنیت سایبری نباید صرفاً مسئولیت مدیر فناوری اطلاعات تلقی شود. مدیرعامل باید بداند مهمترین داراییهای دیجیتال شرکت کداماند، مدیر مالی باید از پیامدهای توقف سامانههای مالی اطلاع داشته باشد و مدیران عملیاتی نیز باید بدانند در صورت از دسترس خارج شدن سامانههای اصلی، فعالیت شرکت چگونه ادامه پیدا خواهد کرد. برنامه پشتیبانگیری، مدیریت سطح دسترسی، آموزش کارکنان و برنامه واکنش به رخداد، دیگر موضوعات صرفاً فنی نیستند؛ آنها بخشی از برنامه تداوم کسبوکار هستند.
در واقع، برای بسیاری از بنگاهها پرسش اصلی دیگر این نیست که «آیا ممکن است هدف حمله سایبری قرار بگیریم؟» بلکه این است که «اگر چنین اتفاقی افتاد، چند ساعت یا چند روز میتوانیم بدون آسیب جدی به فعالیت خود ادامه دهیم؟» پاسخ به همین پرسش است که میزان تابآوری واقعی یک کسبوکار را مشخص میکند.
مسئله فقط امنیت نیست؛ تابآوری اقتصاد است
مجموعه موضوعاتی که در جلسه ستاد علوم و فناوری افتا مطرح شده، از بازطراحی معماری زیرساختهای حیاتی و حرکت به سمت اعتماد صفر گرفته تا حل مشکل نیروی انسانی و توسعه ظرفیتهای فناورانه، در صورت عبور از مرحله تصمیم و رسیدن به اجرا، میتواند به شکلگیری رویکردی جامعتر نسبت به امنیت سایبری منجر شود.
اقتصاد امروز به دنبال امنیت مطلق نیست؛ چنین هدفی عملاً دستنیافتنی است. آنچه برای دولت و بنگاه اهمیت دارد، ایجاد تابآوری است؛ یعنی اگر حمله یا اختلالی رخ داد، فعالیت اقتصادی با کمترین آسیب ادامه پیدا کند، خدمات حیاتی سریعتر بازگردند و هزینه واردشده به تولید و کسبوکار به حداقل برسد.
از این زاویه، امنیت سایبری دیگر یک موضوع حاشیهای برای اقتصاد نیست. همان زیرساختهایی که امکان توسعه اقتصاد دیجیتال را فراهم کردهاند، در صورت نبود حفاظت کافی میتوانند به نقاط آسیبپذیر اقتصاد نیز تبدیل شوند. هرچه سهم داده، شبکه و فناوری در فعالیت اقتصادی بیشتر شود، اهمیت حفاظت از آنها نیز بیشتر خواهد شد.
اقتصاد دیجیتال بدون تابآوری سایبری، اقتصادی است که بخشی از سرمایه خود را روی زمینی با ریسک بالا بنا کرده است.
هزینه امنیت سایبری ممکن است در صورتهای مالی یک شرکت به عنوان یک هزینه فناوری دیده شود، اما هزینه ناامن بودن میتواند در قالب توقف تولید، از دست رفتن مشتری، اختلال در زنجیره تأمین، خسارت اطلاعاتی و کاهش اعتماد بازار ظاهر شود؛ هزینههایی که در بسیاری از موارد بسیار سنگینتر از هزینه پیشگیری هستند.
بنابراین پیام اصلی سیاستهای جدید امنیت سایبری فقط متوجه نهادهای امنیتی و دستگاههای دولتی نیست. برای بخش خصوصی نیز زمان آن رسیده است که امنیت سایبری را از ردیف هزینههای جانبی فناوری خارج کرده و آن را بخشی از سرمایهگذاری برای تداوم فعالیت، حفظ دارایی و بقای کسبوکار بداند.
اگر اقتصاد قرار است بیش از گذشته دیجیتال شود، امنیت آن نیز باید همپای دیجیتالی شدن توسعه پیدا کند؛ در غیر این صورت، همان فناوریای که قرار است سرعت و بهرهوری اقتصاد را افزایش دهد، میتواند در زمان بحران به یکی از مهمترین نقاط آسیبپذیری آن تبدیل شود.
دیدگاهتان را بنویسید