پژوهشگر حکمرانی فناوری در گفتوگو با ۲۴ نیوز:
حکمرانی سایبری ایران باید از «واکنش» بهسمت «پیشگیری» حرکت کند
بررسی الزامات حکمرانی فناوری و امنیت سایبری در عصر هوش مصنوعی؛ از تنظیمگری و اقتصاد دیجیتال تا توسعه سرمایه انسانی، قانونگذاری و تجربه کشورهای پیشرو در گفتوگو با مهدی نریمانی، پژوهشگر حکمرانی فناوری.
تحول شتابان فناوریهای نوظهور، از هوش مصنوعی تا گسترش اقتصاد دیجیتال، امنیت سایبری را از یک موضوع صرفاً فنی به یکی از ارکان اصلی حکمرانی، توسعه اقتصادی و امنیت ملی کشورها تبدیل کرده است. در چنین شرایطی، دیگر نمیتوان امنیت سایبری را تنها در قالب مقابله با تهدیدها یا مدیریت حوادث سایبری تعریف کرد؛ بلکه سیاستگذاری هوشمند، حکمرانی کارآمد، تنظیمگری بهروز، توسعه سرمایه انسانی و ایجاد توازن میان امنیت، نوآوری و حقوق شهروندان، به الزامات اساسی این حوزه تبدیل شدهاند.
در گفتوگوی پیشرو با مهدی نریمانی، پژوهشگر حکمرانی فناوری، با نگاهی به تجربه کشورهای مختلف و بررسی وضعیت ایران، مهمترین چالشها، الزامات و مسیرهای پیشروی حکمرانی امنیت سایبری مورد بحث قرار گرفته است.
آیا میتوان گفت جهان از «مدیریت فناوری» به سمت «حکمرانی فناوری» حرکت کرده است؟ این تغییر چه الزاماتی برای کشورها ایجاد میکند؟
بله، میتوان گفت جهان در حال گذار از مدیریت فناوری به سمت حکمرانی فناوری است. در گذشته، فناوری تنها بهعنوان یک ابزار دیده میشد و تمرکز بر توسعه، بهرهبرداری و افزایش کارایی آن بود؛ اما امروزه، با گسترش فناوریهای نوظهور، از جمله هوش مصنوعی و داده، و همچنین وابستگی روزافزون زیرساختهای حیاتی به مسائل سایبری، فناوری دیگر تنها یک ابزار نیست، بلکه یکی از مؤلفههای اصلی قدرت ملی، رشد اقتصادی، امنیت و حکمرانی کلان کشورها محسوب میشود.
مدیریت فناوری به این پرسش پاسخ میدهد که چگونه از فناوری به شکلی کارآمد استفاده کنیم؛ اما در سطح حکمرانی، این پرسش مطرح است که چگونه توسعه، تنظیمگری و هدایت فناوری را بهگونهای مدیریت کنیم که منافع اقتصادی، امنیت ملی، حقوق شهروندان و نوآوری را بهطور همزمان تأمین کند.
این موضوع، مباحثی مانند مدیریت ریسک، تنظیمگری هوشمند، حمایت از نوآوری، حفاظت از دادهها و مشارکت ذینفعان را نیز دربرمیگیرد.
این تحول، الزاماتی را برای کشورها ایجاد کرده است؛ از جمله تدوین راهبردهای جامع، آیندهنگر و منعطف که با سرعت تحولات فناوری همگام باشند. یکی دیگر از این الزامات، هماهنگی میان نهادهاست؛ چراکه فناوری دیگر تنها یک موضوع فنی نیست و ابعاد مختلف اقتصادی، حقوقی، امنیتی و اجتماعی را دربرمیگیرد.
سرمایهگذاری بر نیروی انسانی متخصص و ارتقای ظرفیتهای موجود نیز اهمیت زیادی دارد. همچنین باید از تنظیمگری واکنشی به سمت تنظیمگری پیشدستانه و هوشمند حرکت کنیم و منتظر نمانیم تا مخاطرات رخ دهند و سپس بر اساس آنها واکنش نشان دهیم.
از دیگر تغییرات مهم این است که نباید حکمرانی فناوری را تنها وظیفه دولت بدانیم. امروزه، تجربه کشورهای پیشرو نشان میدهد که حکمرانی مؤثر، حکمرانیای است که بخش خصوصی، دانشگاهها و جامعه مدنی را در کنار یکدیگر قرار دهد و آنها را در فرایندهای سیاستگذاری و تنظیمگری مشارکت دهد؛ موضوعی که در اصطلاح از آن با عنوان «حکمرانی چندذینفعی» یاد میشود.
تجربه کشورهای دیگر چه درسهایی برای سیاستگذاری ایران دارد و از چه اشتباهاتی باید پرهیز کنیم؟
بر اساس مطالعاتی که داشتهام، به نظرم اولین و مهمترین درس برای ما، بهویژه در حوزه سیاستگذاری و حکمرانی فناوری، این است که رویکرد ما نسبت به فناوری، بهخصوص در حوزه امنیت سایبری، نباید تنها به مسائل امنیتی محدود شود. این نگاه محدود، باعث میشود فناوری آنگونه که باید، دیده و استفاده نشود.
امروزه فناوری به حوزههای مختلف وارد شده و موتور رشد اقتصادی، نوآوری، اشتغال و دیپلماسی است و در نهایت، اگر همه این موارد بهدرستی پیش بروند، میتواند نشاندهنده قدرت ملی باشد. بنابراین، فناوری باید از نگاه صرفاً امنیتی خارج شود و رویکرد کلان ما در سطح مدیریت و حکمرانی تغییر کند.
کشورهای مختلف، الگوها و مدلهای متفاوتی را دنبال میکنند. برای مثال، در ایالات متحده، نوآوری، رقابتپذیری و مشارکت بخش خصوصی اهمیت زیادی دارد. در اتحادیه اروپا، حفاظت از حقوق شهروندان و تنظیمگری مبتنی بر ارزشها در اولویت است و در چین نیز رویکرد متمرکز در توسعه فناوری، همزمان با ملاحظات امنیتی، دنبال میشود.
این الگوها متفاوتاند، اما نقطه اشتراک آنها این است که فناوری را تنها یک مسئله امنیتی نمیبینند، بلکه آن را بخشی از راهبرد توسعه و قدرت ملی خود میدانند.
نکته مهم این است که ما نباید این درسآموختهها را عیناً برای کشور خودمان کپی و پیادهسازی کنیم. باید آنها را مطالعه و بررسی کنیم و متناسب با شرایط، ظرفیتها و نیازهای خودمان، از این تجربیات استفاده کنیم.
برای مثال، در حوزه امنیت سایبری، وجود یک مرجع هماهنگکننده قدرتمند و یک نهاد متولی میتواند اهمیت زیادی داشته باشد. تقسیم شفاف مسئولیتها، مشارکت واقعی بخش خصوصی و دانشگاهها و سرمایهگذاری بر نیروی انسانی نیز از دیگر موارد مهم هستند. بهروزرسانی قوانین و مقررات هم از جمله درسآموختههایی است که میتوان از کشورهای دیگر آموخت.
همین موارد را میتوان بهعنوان اشتباهات ساختاری نیز در نظر گرفت که باید از آنها پرهیز کنیم؛ از جمله نگاه صرفاً امنیتی، تعدد قوانین بدون ضمانت اجرا، ایجاد نهادهای موازی، تصمیمگیریهای مقطعی و واکنشی و نبود هماهنگی میان دستگاهها.
امروز امنیت سایبری چه جایگاهی در اقتصاد دیجیتال دارد؟ آیا میتوان آن را یک سرمایهگذاری اقتصادی دانست یا همچنان بهعنوان یک هزینه به آن نگاه میشود؟
امنیت سایبری در حال حاضر یک هزینه جانبی یا موضوعی کوچک در حوزه فناوری اطلاعات نیست، بلکه یکی از پیشنیازهای اصلی توسعه اقتصاد دیجیتال است.
اقتصاد دیجیتال بر پایه اعتماد شکل میگیرد و اگر کاربر، سرمایهگذار یا کسبوکار به امنیت خدمات دیجیتال اطمینان نداشته باشد، تجارت الکترونیک، بانکداری دیجیتال، دولت هوشمند و سایر خدمات آنلاین توسعه پیدا نمیکنند و با چالشهای جدی مواجه میشوند.
این موضوع را در کشورهای پیشرو میبینیم؛ جایی که توجه به امنیت سایبری تنها یک اقدام دفاعی نیست، بلکه یک سرمایهگذاری راهبردی برای حفظ کسبوکارها، افزایش تابآوری و ارتقای رقابتپذیری اقتصاد است.
کشوری که در حوزههایی مانند طراحی امن سامانهها، حفاظت از دادهها، آموزش نیروی انسانی و ارتقای زیرساختها سرمایهگذاری میکند، در واقع برای حفظ داراییهای دیجیتال و تضمین رشد اقتصادی خود سرمایهگذاری کرده است.
متأسفانه در بسیاری از موارد، نگاه مناسبی وجود ندارد و منتظر میمانیم تا یک حادثه، حمله یا رخداد رایانهای اتفاق بیفتد و سپس به این فکر کنیم که امنیت سایبری اهمیت دارد و بخواهیم پس از وقوع بحران، به سیستمها، آموزش، نیروی انسانی، نرمافزارها و سایر الزامات این حوزه توجه کنیم.
وقتی اقتصاد یک کشور دیجیتالی میشود، سرمایهگذاری و توجه به امنیت سایبری دیگر یک انتخاب نیست، بلکه یک ضرورت اقتصادی و توسعهای است. تأکید میکنم که امنیت سایبری هزینه اقتصاد دیجیتال نیست، بلکه سرمایهگذاری برای حفظ اعتماد، تداوم کسبوکارها و رشد اقتصادی است.
یکی از مسائل مهم در حوزه امنیت سایبری، فاصله آموزشهای دانشگاهی با میدان واقعی است. آیا نظام آموزشی ما نیروی مورد نیاز امنیت سایبری را تربیت میکند؟
متأسفانه خیر. در نگاه کلان، نه فقط در حوزه امنیت سایبری، بلکه بهطور کلی، نظام آموزشی ما تفاوت زیادی با حوزه واقعی، میدان عمل، بازار کار و اشتغال دارد و مسئله امنیت سایبری نیز از این موضوع مستثنی نیست.
موضوعی که امنیت سایبری را مهمتر و متفاوتتر میکند، ماهیت پویا و عملی این رشته است. هر روز اتفاقات مختلفی در این حوزه رخ میدهد و پیشرفتها و تحولات گوناگونی شکل میگیرد. بنابراین، بهروز بودن، هم در دانش نظری و آکادمیک و هم در عمل، اهمیت زیادی دارد.
امروزه یک متخصص امنیت سایبری تنها نباید دانش فنی داشته باشد، بلکه باید به موضوعات دیگری مانند مدیریت ریسک، استانداردها، تحلیل تهدیدها، کار تیمی و سایر مهارتها و دانشهای غیرفنی نیز بپردازد و آنها را کسب کند.
یکی از اقداماتی که میتوان در این زمینه انجام داد، بهروزرسانی سرفصلهای آموزشی در بازههای کوتاه است تا تنوع، پیشرفت و تحولاتی که در این رشته و حوزه رخ میدهد، بهسرعت به نظام آموزشی و آکادمیک منتقل شود و دانشجویان نیز بتوانند از آن بهرهمند شوند.
همچنین ایجاد آزمایشگاهها و، مهمتر از آن، محیطهای شبیهسازی حملات سایبری یا بهاصطلاح «سایبر رنجها» میتواند شرایطی نزدیک به واقعیت برای کارشناسان حوزه امنیت سایبری فراهم کند تا بتوانند تمرینها و مانورهای خود را در این محیطها برگزار کنند.
نکته کلی این است که باید مدل تربیت نیروی انسانی خود را تغییر دهیم و مجموعه این اقدامات، در کنار یکدیگر، میتواند پاسخگوی این نیاز باشد.
در مطالعات تطبیقی نیز نمونههایی در این زمینه وجود دارد. برای مثال، ایالات متحده چارچوب آموزشی مشخصی برای آموزش امنیت سایبری دارد. برخی کشورها نیز برنامههای ملی امنیت سایبری تدوین کردهاند تا در یک بازه سه، چهار یا پنجساله، تعداد مشخصی کارشناس یا افسر امنیت سایبری تربیت کنند و نیاز خود به نیروی متخصص را برطرف سازند.
این برنامهها، چارچوبهای آموزشی و راهبردهای ملی میتوانند نمونههای خوبی باشند. البته در کشور خودمان نیز بهتازگی در سطح آموزشوپرورش برنامههایی در این زمینه آغاز شده است که امیدواریم با برنامهریزی دقیقتر و جزئیتر، خروجی مناسبی داشته باشد.
هوش مصنوعی چه چالشهای جدیدی برای قانونگذاری امنیت سایبری ایجاد کرده است؟
هوش مصنوعی فرصتهای زیادی برای ارتقای امنیت سایبری ایجاد کرده است، اما در عین حال، تهدیدهای سایبری را نیز متحول کرده است. بنابراین، چالش امروز ما تنها استفاده از هوش مصنوعی نیست، بلکه حکمرانی و قانونگذاری آن نیز هست.
از یک سو، هوش مصنوعی به کسانی که در برابر تهدیدها قرار دارند، کمک میکند تا تهدیدها را شناسایی کنند، رخدادهای امنیتی را تحلیل کنند و واکنش بهتری به حملات داشته باشند. اما از سوی دیگر، مهاجمان نیز از همین فناوری برای طراحی حملات پیچیدهتر استفاده میکنند؛ تولید بدافزارهای هوشمند، حملات فیشینگ شخصیسازیشده و دیپفیکها، همگی از مواردی هستند که هوش مصنوعی به مهاجمان در اجرای آنها در مقیاس گسترده کمک کرده است.
از سوی دیگر، سامانههای هوش مصنوعی نیز با تهدیدهای جدی مواجه هستند. برای مثال، دادههایی که برای آموزش آنها استفاده میشود، ممکن است دستکاری شوند، حملاتی علیه مدلهای هوش مصنوعی صورت گیرد یا دادههای آنها استخراج شود.
این موارد در گذشته در امنیت سایبری سنتی پیشبینی نشده بودند و بنابراین، چالشهای جدیدی هستند که قانونگذاران باید با آنها مواجه شوند.
مسئله و چالش اصلی این است که سرعت تحول هوش مصنوعی بسیار بیشتر از سرعت قانونگذاری است. بنابراین، به جای اینکه برای هر فناوری یا کاربرد جدید، یک قانون مستقل تدوین کنیم، باید تنظیمگری را به سمتی ببریم که مبتنی بر ریسک باشد.
تنظیمگری مبتنی بر ریسک، رویکردی است که بر اصولی مانند شفافیت، مسئولیتپذیری، ارزیابی ریسک، نظارت مستقل و پاسخگویی تأکید دارد و نسبت به تحولات فناوری، انعطاف بیشتری نشان میدهد.
حتی اگر همین امروز یک قانون هوش مصنوعی یا AI Act تصویب کنیم، به احتمال زیاد، شش ماه یا یک سال بعد، آن قانون دیگر کاربرد و کارایی مورد انتظار را نخواهد داشت.
از سوی دیگر، باید توجه داشته باشیم که چارچوبهای حکمرانی و قانونگذاری تنها به دنبال محدودسازی نباشند و صرفاً مخاطرات امنیتی و حقوقی را نبینند، بلکه جنبههای حمایتی و تشویقی را نیز در نظر بگیرند.
در حکمرانی سایبری، چگونه میتوان میان امنیت، نوآوری و حقوق شهروندی تعادل برقرار کرد؟
گاهی این تصور وجود دارد که امنیت، نوآوری و حقوق شهروندی در تقابل با یکدیگر هستند، در حالی که میتوان این سه را سه ضلع اصلی حکمرانی دیجیتال دانست؛ موفقیت هر یک از آنها به تقویت دو ضلع دیگر وابسته است.
اگر امنیت نادیده گرفته شود، اعتماد عمومی، سرمایهگذاری و تداوم خدمات دیجیتال آسیب میبینند. اگر نوآوری محدود شود، اقتصاد دیجیتال، رقابتپذیری و توان فناورانه کشور تضعیف میشود. اگر حقوق شهروندی، بهویژه حریم خصوصی و حفاظت از دادههای شخصی، مورد توجه قرار نگیرد، سرمایه اجتماعی و اعتماد مردم به سیاستهای حاکمیتی کاهش مییابد.
بنابراین، حکمرانی موفق به دنبال این نیست که بگوید یکی از این سه مؤلفه باید بر دیگری ترجیح داده شود، بلکه تلاش میکند میان آنها تعادلی هوشمندانه برقرار کند.
این تعادل از طریق تنظیمگری هوشمند، ارزیابی مستمر ریسک، شفافیت، پاسخگویی و مشارکت ذینفعان مختلف به دست میآید.
در بحث قانونگذاری و تنظیمگری نیز، همانطور که اشاره کردم، بسیاری از کشورها از ابزارهایی مانند «سندباکس تنظیمگری» استفاده میکنند تا شرکتها بتوانند محصولات خود را در یک محیط کنترلشده آزمایش کنند؛ به این ترتیب، هم نوآوری متوقف نمیشود و هم الزامات امنیتی و حقوق شهروندان رعایت میشود.
این تجربهها نشان میدهد که میتوان میان توسعه فناوری و مدیریت مخاطرات توازن برقرار کرد.
بنابراین، باید توجه کنیم که امنیت پایدار بدون اعتماد عمومی امکانپذیر نیست و اعتماد عمومی نیز بدون احترام به حقوق شهروندان شکل نمیگیرد. از سوی دیگر، نوآوری در محیطی رشد میکند که هم امنیت در آن برقرار باشد و هم قوانینش شفاف، قابل پیشبینی و منصفانه باشند.
هنر اصلی حکمرانی سایبری، ایجاد همین توازن میان این سه ضلع است و حذف هر یک از آنها، کل نظام حکمرانی را با چالش مواجه میکند.
برخی معتقدند در ایران بیش از آنکه با کمبود قانون مواجه باشیم، با تعدد نهادهای تصمیمگیر روبهرو هستیم. آیا با این گزاره موافقید؟
رویکردهای مختلفی نسبت به این موضوع وجود دارد. اگر تنها با نگاه حقوقی به مسئله بنگریم، شاید بسیاری بگویند مشکل ما قانون نیست، اما اگر سایر ابعاد را نیز در نظر بگیریم، واقعیت این است که در قوانین و مقررات ما خلأها و کاستیهایی از نظر بهروزرسانی وجود دارد.
برای مثال، نزدیکترین قانون ما در حوزه امنیت سایبری، اگر قانون جرایم رایانهای را در نظر بگیریم، مصوب سال ۱۳۸۸ است که در دو سال اخیر نیز بحث اصلاح آن مطرح شده است. اما با توجه به تحولات گسترده فناوری، ظهور تهدیدهای جدید، توسعه زیرساختهای حیاتی و فناوریهای نوظهور، این قوانین پاسخگوی همه نیازهای امروز حوزه امنیت سایبری نیستند.
بازنگری و تدوین چارچوب حقوقی جدید، متناسب با تحولات فناوری، یک ضرورت و امری حتمی است.
در کنار این خلأهای قانونی، یکی از چالشهای مهم، جزیرهای بودن نهادها و تداخل مأموریتهاست. در حوزه امنیت سایبری، دستگاههای مختلفی بر اساس وظایف و مأموریتهای خود فعالیت میکنند، اما تقسیم کار ملی بهصورت شفاف انجام نشده و سازوکار هماهنگ و مؤثری نیز وجود ندارد.
موازیکاریهایی که از این طریق شکل میگیرد، جدا از کند کردن فرایند تصمیمگیری و ایجاد ابهام در مسئولیتها، اثربخشی اقدامات امنیتی را نیز کاهش میدهد. این تداخلها گاهی در تعیین وظایف هر نهاد رخ میدهد و حتی موضوع جرمشناسی دیجیتال و پیگیریهایی را که پس از یک حادثه یا رخداد رایانهای انجام میشود، دشوار میکند و گاهی باعث اختلال در روند رسیدگی میشود.
باید تأکید کنم که وجود نهادهای متعدد، بهخودیخود یک چالش یا ضعف نیست. مسئله اصلی، تقسیم شفاف وظایف و وجود سازوکار هماهنگی میان آنهاست.
اگر به مدل و رویکرد ایالات متحده نگاه کنیم، نهادهای مختلفی در حوزه امنیت سایبری فعالیت میکنند؛ از سیاستگذاری و حکمرانی گرفته تا عملیات، اطلاعات و امنیت، تحقیقات، حوزه قضایی و تنظیمگری. بنابراین، تعدد نهادها در آنجا نیز وجود دارد، اما تفاوت اصلی این است که یک چارچوب هماهنگکننده مشخص، مسئولیتهای روشن و سازوکار پاسخگویی نهایی وجود دارد.
اگر میان این نهادها تداخلی وجود داشته باشد، مشخص است که کدام نهاد مسئول برطرف کردن اختلافات و کدام نهاد هماهنگکننده اصلی است. همه این نهادها نیز در قالب یک نظام حکمرانی منسجم، در کنار یکدیگر و با همکاری فعالیت میکنند.
برای ایران میتوان همزمان دو مسیر را پیشنهاد داد. در کنار بهروزرسانی و تکمیل چارچوبهای قانونی متناسب با فناوریهای نوظهور، مسیر دوم این است که حکمرانی سایبری و ساختار مسئولیتهای موجود چابکسازی شوند، جزیرهای بودن نهادها از بین برود، مسئولیتها شفاف شوند و یک تقسیم کار ملی دقیق و شفاف شکل بگیرد.
در نهایت، امنیت سایبری بیش از آنکه تنها به تعداد قوانین یا تعداد دستگاههای مسئول وابسته باشد، به انسجام نهادی، هماهنگی سازمانها و بازیگران و اجرای مؤثر سیاستها وابسته است؛ در واقع، این عوامل هستند که خروجی مناسب را ایجاد میکنند.
آیا حکمرانی امنیت سایبری در ایران بیشتر رویکردی واکنشی دارد یا پیشگیرانه؟
تا حد زیادی، کشور ما در حوزه امنیت سایبری رویکردی «ریاکتیو» یا واکنشی دارد. در بسیاری از موارد، توجه ما به امنیت سایبری پس از وقوع یک حادثه، حمله سایبری یا افشای اطلاعات شکل میگیرد.
این رویکرد باعث میشود تمرکز اصلی ما به سمت پاسخ به رخداد و مدیریت بحران پس از وقوع تهدید، حمله یا حادثه معطوف شود، در حالی که هزینههای پیشگیری معمولاً کمتر مورد توجه قرار میگیرد.
اخیراً اقدامات مهمی برای حرکت به سمت رویکردهای پیشگیرانه، پیشدستانه یا «پرواکتیو» انجام شده است. اسناد موجود، ستادهایی که تشکیل شدهاند و الزامات حفاظتی که گاهی اعمال شدهاند، همگی نشان میدهند که بهتدریج در حال حرکت به سمت رویکردی پیشگیرانه هستیم.
اما برای رسیدن به حکمرانی کاملاً پیشگیرانه، نیازمند تغییر نگاه از مدیریت حادثه به سمت مدیریت ریسک و پیشبینی تهدیدها هستیم.
حکمرانی پیشدستانه یا پیشگیرانه به این معناست که پیش از وقوع حمله، آسیبپذیریها شناسایی و برطرف شوند، ریسکها بهصورت مستمر ارزیابی شوند، اطلاعات تهدید میان نهادها به اشتراک گذاشته شود، امنیت محصولات و نرمافزارها از مرحله طراحی سامانهها مورد توجه قرار گیرد و تابآوری زیرساختهای حیاتی افزایش یابد.
در اینجا نیز میتوان به مطالعات تطبیقی در اتحادیه اروپا و ایالات متحده اشاره کرد. در این کشورها، اشتراکگذاری اطلاعات اهمیت بسیار زیادی دارد و حتی نهادهای تخصصی برای این موضوع وجود دارند. در بسیاری از سازمانها نیز بخشی از فعالیتها به اشتراکگذاری اطلاعات، چه از جنس اطلاعات تهدید، چه داده و چه اطلاعات سازمانی، اختصاص دارد.
ارزیابی سازمانها و نهادها نیز اهمیت زیادی دارد. برای مثال، جریمههایی برای نهادهای دولتی در نظر گرفته شده است؛ بهگونهای که اگر در یک سازمان، رخنه، افشای اطلاعات، حمله یا حادثهای رخ دهد، مسئول مربوطه با پیامدهایی مواجه شود. به نوعی، در برخی موارد «ترک فعل» نیز جرمانگاری شده است؛ گاهی با مجازاتهای مدنی، مانند پرداخت جریمه و جابهجایی مسئولان، و گاهی نیز با مجازاتهای کیفری.
بحث ارزیابی نیز اهمیت بسیار زیادی دارد. اینکه هر سازمان، بخش قابل توجهی از بودجه خود را به حوزه امنیت سایبری اختصاص دهد و سازوکار ارزیابی بودجه و مدیریت نیز وجود داشته باشد تا بررسی کند آیا آن نهاد یا سازمان بودجه مربوط به امنیت سایبری را بهدرستی تخصیص داده و از آن استفاده کرده است یا خیر، اهمیت زیادی دارد. اگر این الزامات نیز رعایت نشود، در فرایند ارزیابی، جریمههایی برای افراد و سازمانها در نظر گرفته میشود.
در فضای سایبری، موفقیت واقعی زمانی حاصل میشود که تنها توان پاسخ به حمله را افزایش ندهیم، بلکه بتوانیم احتمال وقوع حمله و تبدیل شدن آن به بحران را نیز کاهش دهیم.
به همین دلیل، مسیر آینده حکمرانی امنیت سایبری، حرکت از رویکرد «ریاکتیو» به «پرواکتیو»، از واکنش به پیشگیری و از پاسخ به حادثه به سمت مهندسی ریسک و افزایش تابآوری سایبری است.
