ارتقای امنیت سایبری دستگاه‌های وزارت ارتباطات؛ معیار موفقیت، رفع آسیب‌پذیری‌هاست نه برگزاری نشست‌ها
وزارت ارتباطات دستیابی دستگاه‌های تابعه به حداقل سطح سوم بلوغ امنیت سایبری را هدف‌گذاری کرده است؛ بررسی اهمیت رفع آسیب‌پذیری‌ها و شاخص‌های سنجش پیشرفت این برنامه را در ادامه بخوانید.
چهارمین نشست راهبر امنیت وزارت ارتباطات و فناوری اطلاعات با محوریت ارزیابی بلوغ امنیت سایبری دستگاه‌های تابعه برگزار شد. در این نشست، دستیابی همه دستگاه‌ها به حداقل سطح سوم بلوغ امنیت سایبری در گام نخست برنامه، رفع آسیب‌پذیری‌ها، ممیزی میدانی و اجرای اقدامات اصلاحی مورد تأکید قرار گرفت. با این حال، اطلاعات منتشرشده درباره نتایج ارزیابی‌ها، تعداد دستگاه‌های ارزیابی‌شده و میزان تحقق اهداف برنامه جزئیات کافی ندارد؛ موضوعی که اهمیت انتشار شاخص‌های قابل‌اندازه‌گیری از پیشرفت این طرح را برجسته می‌کند.
در این مقاله می‌خوانید
-
وزارت ارتباطات چه برنامه‌ای را دنبال می‌کند؟
-
سطح بلوغ امنیت سایبری چه چیزی را مشخص می‌کند؟
-
چرا رفع آسیب‌پذیری‌ها باید با ارزیابی مجدد همراه باشد؟
-
برای سنجش نتیجه برنامه چه اطلاعاتی باید منتشر شود؟
برنامه وزارت ارتباطات برای ارتقای بلوغ امنیت سایبری چیست؟
براساس گزارشی که خبرگزاری مهر در ۲۵ مهر ۱۴۰۵ منتشر کرده است، چهارمین نشست راهبر امنیت وزارت ارتباطات و فناوری اطلاعات با حضور مسئولان و نمایندگان دستگاه‌های تابعه و اعضای تیم تخصصی راهبر امنیت برگزار شد. در این نشست، نتایج ارزیابی بلوغ امنیت سایبری، روند اجرای برنامه سه‌مرحله‌ای ارتقای بلوغ، میزان تحقق الزامات گام نخست و برنامه‌های مراحل بعدی بررسی شد. محمدحسین شیخی، رئیس پژوهشگاه ارتباطات و فناوری اطلاعات و راهبر امنیت وزارت ارتباطات، دستیابی همه دستگاه‌های تابعه به حداقل سطح سوم بلوغ امنیت سایبری در گام نخست برنامه را از اهداف اعلام‌شده عنوان کرد. اجرای اقدامات اصلاحی اولویت‌دار، رفع آسیب‌پذیری‌ها و پایش مستمر وضعیت امنیتی نیز در زمره محورهای مورد تأکید این نشست قرار داشت.در گزارش منتشرشده همچنین به استفاده از ظرفیت‌های پژوهشگاه، پژوهشکده امنیت و آزمایشگاه امنیت برای ارائه خدمات مشاوره‌ای، ارزیابی امنیتی، آزمون نفوذ و پشتیبانی فنی اشاره شده است. تکمیل مستندات و شواهد فنی، ممیزی‌های میدانی و رفع عدم‌انطباق‌های شناسایی‌شده در مهلت‌های تعیین‌شده نیز بخشی از اقدامات مورد پیگیری در این برنامه عنوان شده‌اند.
سطح بلوغ امنیت سایبری چه چیزی را مشخص می‌کند؟
بلوغ امنیت سایبری به میزان توسعه‌یافتگی و انسجام فرایندهای امنیتی یک سازمان اشاره دارد؛ از نحوه شناسایی و مدیریت ریسک‌ها تا اجرای کنترل‌های امنیتی، پایش مستمر و اصلاح ضعف‌های شناسایی‌شده. ارزیابی بلوغ می‌تواند به سازمان کمک کند تصویری ساختاریافته از وضعیت امنیتی خود به دست آورد و برای بهبود آن اولویت‌بندی انجام دهد. با این حال، سطح بلوغ را نباید با مصونیت کامل در برابر حملات سایبری یکسان دانست. کسب یک سطح مشخص در چارچوب ارزیابی، به‌خودی‌خود ثابت نمی‌کند که همه سامانه‌ها عاری از آسیب‌پذیری‌اند یا سازمان در برابر هر نوع حمله‌ای آمادگی کافی دارد. نتیجه ارزیابی باید در کنار شواهد فنی، دامنه بررسی، وضعیت سامانه‌های حیاتی و میزان اجرای اقدامات اصلاحی تفسیر شود. در خبر منتشرشده درباره نشست راهبر امنیت، هدف رسیدن دستگاه‌های تابعه به حداقل سطح سوم اعلام شده است؛ اما جزئیات چارچوب ارزیابی، شاخص‌های تشکیل‌دهنده این سطح و وضعیت فعلی هر دستگاه در دسترس نیست. بنابراین، نمی‌توان صرفاً براساس این گزارش تعیین کرد که دستگاه‌ها اکنون در چه سطحی قرار دارند یا چه میزان تا هدف تعیین‌شده فاصله دارند.
چرا شناسایی آسیب‌پذیری بدون پیگیری اصلاحات کافی نیست؟
ارزیابی امنیتی زمانی ارزش عملی پیدا می‌کند که یافته‌های آن به اقدام مشخص منجر شود. شناسایی یک ضعف فنی، نخستین مرحله از فرایند مدیریت آن است؛ سازمان باید اهمیت و احتمال بهره‌برداری از ضعف را ارزیابی کند، برای رفع آن مسئول مشخص و مهلت تعیین کند و پس از اجرای اصلاحات، اثربخشی اقدام را دوباره بسنجد. برای مثال، اگر در یک ارزیابی مشخص شود سامانه‌ای از نرم‌افزار آسیب‌پذیر استفاده می‌کند، صرف ثبت موضوع در گزارش ارزیابی به معنی کاهش ریسک نیست. باید مشخص شود اصلاح انجام شده است یا خیر، آیا نسخه آسیب‌پذیر در بخش دیگری از زیرساخت همچنان فعال است و آیا بررسی مجدد، رفع ضعف را تأیید می‌کند. این مثال، یک فرایند عمومی مدیریت آسیب‌پذیری است و به معنای شناسایی چنین موردی در دستگاه‌های تابعه وزارت ارتباطات نیست. تأکید وزارت ارتباطات بر رفع عدم‌انطباق‌ها، اقدامات اصلاحی زمان‌بندی‌شده و ممیزی میدانی از این جهت اهمیت دارد که برنامه ارتقای امنیت را به اجرای اقدامات قابل پیگیری پیوند می‌دهد. با این حال، برای سنجش میزان پیشرفت باید نتایج این اقدامات نیز مشخص شود؛ موضوعی که در گزارش موجود با آمار و جزئیات فنی همراه نشده است.
سه شاخص برای سنجش پیشرفت برنامه
برای ارزیابی نتیجه چنین برنامه‌ای، برگزاری نشست‌های دوره‌ای یا اعلام هدف کلی به‌تنهایی کافی نیست. دست‌کم سه گروه شاخص می‌تواند تصویر روشن‌تری از پیشرفت ارائه کند.
نخست، میزان تحقق هدف بلوغ: چند دستگاه تاکنون ارزیابی شده‌اند؟ چه تعداد به سطح هدف رسیده‌اند و چه تعداد همچنان به اقدام اصلاحی نیاز دارند؟ انتشار آمار تجمیعی و غیرحساس می‌تواند میزان پیشرفت برنامه را روشن‌تر کند.
دوم، وضعیت اقدامات اصلاحی: چه سهمی از عدم‌انطباق‌های شناسایی‌شده در مهلت تعیین‌شده برطرف شده‌اند؟ چه تعداد از موارد پرریسک همچنان باز هستند و آیا رفع آن‌ها با ارزیابی مجدد تأیید شده است؟ این شاخص‌ها نشان می‌دهند برنامه تا چه اندازه از مرحله شناسایی مشکل به مرحله کاهش ریسک رسیده است.
سوم، استمرار پایش و ممیزی: آیا ارزیابی‌ها فقط در یک مقطع انجام می‌شوند یا وضعیت امنیتی دستگاه‌ها در دوره‌های مشخص دوباره بررسی می‌شود؟ تغییر وضعیت در ارزیابی‌های متوالی، در کنار شواهد فنی، می‌تواند برای سنجش پایداری اقدامات اصلاحی مفید باشد.
انتشار عمومی این اطلاعات الزاماً به معنای افشای جزئیات حساس زیرساخت‌ها نیست. می‌توان نتایج را به‌صورت تجمیعی منتشر کرد، بدون آنکه نام سامانه‌های آسیب‌پذیر، مسیرهای دسترسی، جزئیات ضعف‌های فنی یا اطلاعاتی که امکان سوءاستفاده ایجاد می‌کنند در دسترس عموم قرار گیرد.
آزمون نفوذ و پشتیبانی فنی چه نقشی دارند؟
در گزارش نشست، استفاده از ظرفیت‌های تخصصی پژوهشگاه، پژوهشکده امنیت و آزمایشگاه امنیت برای ارزیابی امنیتی، آزمون نفوذ، مشاوره و پشتیبانی فنی مطرح شده است. این خدمات می‌توانند در شناسایی ضعف‌های فنی و بررسی میزان اثربخشی کنترل‌های امنیتی نقش داشته باشند؛ البته نتیجه به دامنه آزمون، کیفیت اجرا و نحوه پیگیری یافته‌ها وابسته است. آزمون نفوذ به‌تنهایی جایگزین مدیریت مستمر آسیب‌پذیری، امن‌سازی پیکربندی‌ها، کنترل دسترسی، پایش رخدادها و آمادگی برای پاسخ‌گویی به حادثه نیست. ارزش آن زمانی بیشتر می‌شود که یافته‌ها اولویت‌بندی شوند، اقدامات اصلاحی مسئول و مهلت مشخص داشته باشند و پس از اصلاح، آزمون یا بررسی لازم برای تأیید نتیجه انجام شود. از سوی دیگر، اشاره به تأمین اعتبارات موردنیاز دستگاه‌های تابعه در گزارش نشست، اهمیت منابع اجرایی را نیز نشان می‌دهد. پیشبرد برنامه‌های امنیتی به نیروی متخصص، ابزار مناسب، بودجه و هماهنگی مدیریتی نیاز دارد. با وجود این، اطلاعات منتشرشده میزان اعتبار موردنیاز، نحوه تخصیص آن یا سهم هر دستگاه از منابع را مشخص نمی‌کند.
پرسش اصلی؛ نتیجه برنامه چگونه قابل سنجش خواهد بود؟
برگزاری چهارمین نشست راهبر امنیت وزارت ارتباطات نشان می‌دهد ارزیابی بلوغ، رفع آسیب‌پذیری‌ها و پیگیری اقدامات اصلاحی در دستور کار این مجموعه قرار دارد. هدف‌گذاری برای دستیابی دستگاه‌های تابعه به حداقل سطح سوم بلوغ امنیت سایبری نیز یک مقصد مشخص برای گام نخست برنامه تعریف می‌کند. با این حال، برای ارزیابی میزان پیشرفت، اطلاعاتی فراتر از اعلام هدف و تشریح جلسات موردنیاز است: تعداد دستگاه‌های ارزیابی‌شده، وضعیت تحقق سطح هدف، میزان رفع عدم‌انطباق‌ها، زمان‌بندی مراحل بعدی و نتایج ارزیابی‌های مجدد. این داده‌ها امکان مقایسه پیشرفت در طول زمان را فراهم می‌کنند و به ارزیابی مستقل‌تر عملکرد برنامه کمک خواهند کرد. در شرایطی که امنیت سامانه‌های دولتی و زیرساخت‌های حوزه ارتباطات اهمیت بالایی دارد، معیار نهایی موفقیت چنین طرحی نه تعداد جلسات برگزارشده، بلکه شواهد قابل اتکا از کاهش ریسک و بهبود مستمر وضعیت امنیتی است. گزارش نشست وزارت ارتباطات بخشی از اهداف و سازوکارهای مورد پیگیری را توضیح می‌دهد؛ اما برای داوری درباره میزان موفقیت برنامه، انتشار نتایج اجرایی و شاخص‌های قابل‌اندازه‌گیری اهمیت دارد.
منابع
