۱۰ چالش امنیت سایبری ایران چیست؟ 

مرکز پژوهش‌های مجلس روز گذشته در گزارشی با عنوان «مروری بر چالش‌ها و راهکارهای سیاستی ارتقای امنیت سایبری در ایران با رویکرد تطبیقی و متمرکز بر موضوع نقض داده» مهم‌ترین نمونه‌های نقض و نشت داده در دو سال اخیر را بررسی کرده است. این مرکز با بررسی نمونه‌هایی که شامل هک سرورهای بنیاد شهید، تپسی، شرکت‌های بیمه، سامانه ثبت احوال، وزارت علوم، اسنپ‌فود، سایت مجلس و خانه ملت، سامانه قوه قضائیه، وب‌سایت بنیاد مستضعفان، ۲۰ بانک ایرانی، بانک سپه، بانک پاسارگاد، نوبیتکس و حمله به شبکه سوخت می‌شود، برای چالش‌های امنیت سایبری ایران راهکارهایی ارائه کرده است.

نبود قوانین جامع و نهادهای نظارتی مستقل، ضعف در اطلاع‌رسانی شفاف، نبود استانداردهای اجباری برای حفاظت از داده‌ها و کمبود نیروی انسانی متخصص از جمله چالش‌های امنیت سایبری ایران است. همچنین، مشکلاتی مانند هزینه بالای سرمایه‌گذاری در امنیت سایبری برای شرکت‌های کوچک و متوسط، ضعف زیرساخت‌های فناوری اطلاعات و آسیب‌پذیری در برابر تحریم‌ها و فیلترینگ نیز در این تحلیل برجسته شده است.

ضعف زیرساخت‌های امنیت سایبری

بررسی‌های مرکز پژوهش‌های مجلس نشان می‌دهد که بسیاری از سازمان‌ها و شرکت‌ها در ایران، زیرساخت‌ها و سیاست‌های مناسبی برای مقابله با حمله‌های سایبری ندارند. همچنین، در بسیاری از موارد، سازمان‌ها حتی پس از وقوع حمله، اقدام‌های لازم برای تقویت امنیت سایبری خود را انجام نمی‌دهند. ضعف نظارت قانونی، نبود قوانین جامع حفاظت از داده‌ها، کمبود نیروی انسانی متخصص در حوزه امنیت سایبری و نبود شفافیت در اطلاع‌رسانی نقض‌های داده از دلایل اصلی گسترش این معضل هستند. از نظر بازوی پژوهشی مجلس، سازمان‌ها و شرکت‌ها می‌توانند با ممیزی‌های اجباری امنیت سایبری، دریافت گواهی‌نامه‌های استاندارد، به‌روزرسانی سیستم‌ها و توسعه نرم‌افزارهای ایمن، زیرساخت‌های خود را در برابر تهدیدهای سایبری تقویت کنند.

ضعف مدیریت داده‌ها

یکی از چالش‌های امنیت سایبری ایران این است که داده‌های کاربران اغلب بدون تدابیر امنیتی مناسب ذخیره می‌شوند یا در حجم زیاد نگهداری می‌شوند که خطر افشا یا سوءاستفاده از آن‌ها را افزایش می‌دهد. در این زمینه، پیشنهاد مرکز پژوهش‌های مجلس، حداقل‌سازی داده‌ها، ناشناس‌سازی داده‌ها، پاکسازی دوره‌ای و رمزگذاری داده‌هاست. در این شرایط، شرکت‌ها باید به جمع‌آوری داده‌های ضروری و حذف داده‌های قدیمی یا غیرضروری ملزم شوند، از تکنیک‌های ناشناس‌سازی و مستعارسازی برای کاهش خطر افشای داده‌های حساس استفاده کنند و داده‌ها را به‌صورت دوره‌ای برای کاهش حجم اطلاعات ذخیره‌شده پاکسازی کنند. همچنین، از رمزگذاری قوی برای داده‌ها در حالت ذخیره‌سازی و انتقال استفاده کنند.

اطلاع رسانی ناکارآمد نقض‌ها

شرکت‌ها و سازمان‌های ایرانی اغلب نقض‌های امنیتی را به‌موقع یا به‌صورت شفاف اطلاع‌رسانی نمی‌کنند که این موضوع به بی‌اعتمادی کاربران و گسترش آسیب‌ها منجر می‌شود. این در حالی است که برای ارتقای امنیت سایبری در کشور باید اطلاع‌رسانی، شفافیت عمومی و جریمه‌های تأخیر به‌صورت قانونی اجباری شود. شرکت‌ها باید گزارش نقض داده‌ها را حداکثر ظرف ۷۲ ساعت به کاربران و مقام‌های نظارتی ارائه دهند. همچنین، گزارش عمومی درباره نوع نقض، داده‌های تحت تأثیر و اقدام‌های انجام‌شده منتشر کنند. این شرکت‌ها در صورت تأخیر در اطلاع‌رسانی یا ارائه اطلاعات ناقص با جریمه‌های سنگین روبه‌رو خواهند شد.

 کمبود نیروی انسانی

کارشناسان بارها نسبت به کمبود نیروی انسانی متخصص هشدار داده‌اند. از نظر آن‌ها، کمبود نیروی کار ماهر در زمینه امنیت سایبری، مدیریت داده‌ها و فناوری اطلاعات باعث افزایش خطر نقض داده‌ها و ضعف در پاسخ‌گویی به تهدیدها می‌شود. نسخه تجویزی مرکز پژوهش‌های مجلس برای مقابله با این چالش، سرمایه‌گذاری در آموزش، ارائه مشوق‌های دولتی و گسترش همکاری میان بخش دولتی و خصوصی است.

عدم مسئولیت‌پذیری شرکت‌ها و سازمان‌‌ها

بسیاری از شرکت‌ها و سازمان‌ها در قبال نقض داده‌ها پاسخگو نیستند و تمایلی به اجرای سیاست‌های امنیتی سخت‌گیرانه ندارند. جریمه‌های مالی سنگین، مسئولیت‌پذیری قانونی و تقویت نقش شرکت‌های بیمه از راهکارهای بازوی پژوهشی مجلس برای رفع این چالش مهم در حکمرانی امنیت سایبری کشور است. از نظر این نهاد، اعمال جریمه‌های قابل توجه بر اساس درصدی از درآمد سالانه برای نقض‌های امنیتی، پیش‌بینی مجازات کیفری برای مدیران اجرایی در موارد بی‌توجهی شدید به امنیت و الزام شرکت‌های بیمه به ارائه پوشش مالی برای خسارت‌های ناشی از نقض داده‌ها می‌تواند شرکت‌ها و سازمان‌ها را نسبت به حوادث سایبری مسئولیت‌پذیرتر کند.

هزینه بالای امنیت سایبری

هزینه بالای امنیت سایبری یکی دیگر از چالش‌های امنیت سایبری در ایران است. شرکت‌های کوچک و متوسط به علت محدودیت بودجه نمی‌توانند از فناوری‌های پیشرفته امنیتی استفاده کنند. به همین دلیل، ارائه معافیت‌های مالیاتی برای شرکت‌هایی که در امنیت سایبری سرمایه‌گذاری می‌کنند، اعطای وام یا کمک‌های مالی به شرکت‌های کوچک برای ارتقای زیرساخت‌های امنیتی و الزام به خرید بیمه امنیت سایبری برای جبران هزینه‌های خسارت و غرامت می‌تواند در کاهش هزینه‌های امنیت سایبری این شرکت‌ها تأثیرگذار باشد.

ضعف در واکنش به حوادث سایبری

بسیاری از شرکت‌ها و سازمان‌ها فاقد برنامه‌های مؤثر برای شناسایی، مهار و رفع نقض‌های امنیتی هستند. راهکار مرکز پژوهش‌های مجلس در این زمینه، تدوین برنامه‌های واکنش به حوادث، برگزاری مانورهای سایبری و استفاده از هوش مصنوعی است.

ضعف نظارت و قوانین جامع

نبود چارچوب قانونی یکپارچه و نهاد نظارتی قوی به عدم هماهنگی در مدیریت امنیت سایبری منجر شده است. طبق بررسی‌های بازوی پژوهشی مجلس، تصویب قانونی که حقوق و مسئولیت‌های تمامی ذی‌نفعان را مشخص کند، ایجاد یک نهاد مستقل با اختیارات قانونی برای نظارت، تحقیق و اعمال جریمه و اعطای اختیار به این نهاد برای پیگیری قانونی ناقضان می‌تواند ضعف نظارت و قوانین جامع در حوزه امنیت سایبری را برطرف کند.

تحریم‌ها و فیلترینگ 

تحریم‌ها و فیلترینگ نیز باعث محدودیت در دسترسی به فناوری‌ها، تجهیزات و اطلاعات به‌روز شده و شرکت‌ها را آسیب‌پذیرتر کرده است. از نظر کارشناسان، سرمایه‌گذاری در تولید تجهیزات و نرم‌افزارهای امنیتی بومی، ایجاد مسیرهایی برای همکاری با سازمان‌های بین‌المللی مانند ITU و UN در حوزه امنیت سایبری، از جمله در زمینه آموزش‌های امنیتی و رفتاری، ارتقای استانداردهای امنیتی و ایجاد استثناهایی در سیاست فیلترینگ برای تسهیل دسترسی به ابزارها و خدمات امنیتی، می‌تواند آثار تحریم‌ها و فیلترینگ را کاهش دهد.

پیامدهای گسترده نقض‌ها

نقض داده‌ها همچنین می‌تواند پیامدهای مالی، حقوقی و اعتباری گسترده‌ای برای شرکت‌ها به همراه داشته باشد. مرکز پژوهش‌های مجلس در این زمینه، الزام شرکت‌ها به ارائه بیمه برای کاربران در برابر سرقت هویت یا خسارت مالی، ایجاد سازوکارهایی برای پیگیری حقوقی توسط کاربران آسیب‌دیده و الزام شرکت‌ها به همکاری کامل با تحقیقات نهادهای نظارتی و ارائه جزئیات نقض‌ها را پیشنهاد می‌دهد.

در مجموع، گزارش مرکز پژوهش‌های مجلس نشان می‌دهد چالش‌های امنیت سایبری ایران تنها به حملات سایبری محدود نیست و ضعف‌های قانونی، مدیریتی، فنی و کمبود نیروی انسانی نیز در افزایش آسیب‌پذیری سازمان‌های دولتی و خصوصی نقش دارند. این گزارش تأکید می‌کند که اصلاح قوانین، تقویت زیرساخت‌ها، ارتقای شفافیت در اطلاع‌رسانی، سرمایه‌گذاری در آموزش و توسعه فناوری‌های امنیتی می‌تواند به کاهش ریسک حملات سایبری و بهبود حکمرانی امنیت سایبری در ایران کمک کند.