چارچوب اطلاعرسانی حوادث سایبری؛ مهلت یکساعته برای حوادث بحرانی
چارچوب اطلاعرسانی حوادث سایبری، چهار سطح برای شدت حوادث و مهلتهای مشخصی برای گزارشدهی در نظر گرفته است؛ از ۲۴ ساعت برای حوادث کماهمیت تا یک ساعت برای حوادث بحرانی.
چارچوب پیوست رسانهای حوادث فضای مجازی، برای حوادث بحرانی تنها یک ساعت فرصت برای گزارشدهی فوری و اطلاعرسانی عمومی در نظر گرفته است؛ ضربالاجلی که اجرای آن نیازمند آمادگی فنی، مدیریتی و رسانهای سازمانها پیش از وقوع حمله است.
حملات سایبری علیه دستگاهها و زیرساختهای کشور صرفاً یک اختلال فنی نیستند و در صورت گسترش میتوانند خدمات عمومی، دادهها و حتی منافع عمومی و امنیت ملی را تحت تأثیر قرار دهند. به همین دلیل، نحوه واکنش سازمانها پس از شناسایی یک حادثه سایبری، به اندازه توان آنها برای مهار حمله اهمیت دارد.
در همین راستا، «چارچوب پیوست رسانهای حوادث فضای مجازی» برای مدیریت یکپارچه، سریع و هماهنگ اطلاعرسانی در جریان حوادث سایبری، سطوح مختلفی برای شدت حادثه تعیین کرده و متناسب با هر سطح، زمان مشخصی را برای گزارشدهی و اطلاعرسانی در نظر گرفته است.
از ۲۴ ساعت تا یک ساعت؛ چهار سطح برای واکنش به حادثه سایبری
بر اساس این چارچوب، شدت حوادث سایبری با توجه به گستره اختلال یا میزان آسیب واردشده به داراییهای سایبری، حجم و حساسیت دادههای افشاشده، منشأ حمله و میزان تأثیر آن بر منافع عمومی یا امنیت ملی، به چهار سطح «کماهمیت»، «متوسط»، «جدی» و «بحرانی» تقسیم میشود.
در سطح کماهمیت، حادثه باید حداکثر تا ۲۴ ساعت بعد بهصورت داخلی گزارش شود. این سطح شامل اختلالهای محدود یا جزئی است که تیم پاسخ به حوادث سایبری داخلی قادر به حل آنهاست.
در سطح متوسط، سازمان حداکثر چهار ساعت برای گزارشدهی به نهادهای بالادستی فرصت دارد. نقض محرمانگی، جامعیت یا دسترسپذیری و اختلال در بخشی از سامانهها یا خدمات اصلی سازمان، از جمله شرایطی است که در این سطح قرار میگیرد.
اما در حوادث جدی، زمان واکنش به دو ساعت کاهش پیدا میکند. افشای گسترده دادهها، آسیب به زیرساختهای حیاتی یا حملات پیچیده و هوشمند با منشأ خارجی که دامنه اثرگذاری آنها چند استان را شامل شود، از جمله مصادیق این سطح است. در این شرایط، علاوه بر گزارشدهی به نهادهای بالادستی، اطلاعرسانی عمومی نیز پیشبینی شده است.
در بالاترین سطح، یعنی حادثه بحرانی، سازمان تنها یک ساعت برای گزارشدهی فوری و اطلاعرسانی عمومی فرصت دارد. اختلال گسترده در خدمات عمومی، تهدید امنیت ملی یا وقوع جنگ سایبری از جمله شرایطی هستند که میتوانند حادثه را در این سطح قرار دهند. در چنین وضعیتی، اطلاعرسانی عمومی توسط ستاد مدیریت بحران سایبری انجام خواهد شد.
یک ساعت، فقط برای انتشار یک بیانیه نیست
تعیین مهلت یکساعته برای اطلاعرسانی یک حادثه بحرانی، در ظاهر یک الزام رسانهای است؛ اما اجرای آن در عمل به مجموعهای از فرآیندهای امنیتی و مدیریتی وابسته است.
این سند تأکید میکند که هر دستگاه باید پیش از وقوع حادثه، «پیوست اطلاعرسانی مدیریت حوادث سایبری» خود را تدوین کند. این پیوست باید متناسب با شرایط هر دستگاه و خدمات اصلی آن باشد و بهعنوان بخش جداییناپذیر دستورالعمل مدیریت حوادث سایبری سازمان در نظر گرفته شود.
به این ترتیب، هنگام وقوع یک حمله بحرانی، نباید تازه درباره این موضوع تصمیمگیری شود که چه کسی اطلاعرسانی کند، چه اطلاعاتی منتشر شود یا کدام کانال ارتباطی مورد استفاده قرار گیرد. این موارد باید از قبل مشخص شده باشند.
چه کسی درباره حمله سایبری تصمیم میگیرد؟
در ساختار پیشنهادی چارچوب، چهار نقش اصلی برای حوزه اطلاعرسانی تعریف شده است: مدیر اطلاعرسانی، سخنگو، مسئول روابط عمومی و مشاور حقوقی.
مدیر اطلاعرسانی، مسئول تصمیمگیری نهایی درباره زمان، محتوا و کانال اطلاعرسانی است و باید با مسئول ارشد امنیت اطلاعات و سایر مقامات ذیصلاح هماهنگی کامل داشته باشد. گزارشدهی به نماینده افتا نیز بر عهده همین نقش قرار گرفته است.
سخنگو، نقطه تماس اصلی سازمان با رسانههاست و بیانیههای رسمی را ارائه میکند. مسئول روابط عمومی نیز علاوه بر وظایف معمول، باید رسانهها و فضای مجازی را برای شناسایی شایعات، اخبار جعلی و اطلاعات نادرست رصد کند.
در این میان، مشاور حقوقی نیز وظیفه بررسی انطباق اطلاعرسانی با قوانین، ارائه مشاوره درباره اطلاعرسانی عمومی و تهیه گزارشهای نظارتی را بر عهده دارد.
سرعت اطلاعرسانی بدون مستندسازی ممکن نیست
یکی دیگر از الزامات مهم این چارچوب، ثبت و مستندسازی تمامی وقایع و اقدامات مرتبط با حادثه است. این مستندسازی باید شامل اقدامات اطلاعرسانی و جزئیاتی مانند تاریخ، شرح اقدام و نتیجه آن نیز باشد.
همچنین در زمان مهار و دفع حمله، سازمان باید نسبت به گردآوری شواهد قانونی اقدام کند و تمام ارتباطات و اقدامات را به شکلی ثبت کند که تمامیت زنجیره شواهد برای تحقیقات بعدی حفظ شود.
بنابراین، اطلاعرسانی سریع قرار نیست به قیمت از بین رفتن شواهد یا انتشار اطلاعات تأییدنشده تمام شود. چارچوب از یک سو بر سرعت گزارشدهی تأکید دارد و از سوی دیگر، انتشار اطلاعات را به اطلاعات تأییدشده و مبتنی بر شواهد متقن محدود میکند.
اطلاعرسانی فقط برای رسانهها نیست
بر اساس این چارچوب، مخاطبان اطلاعرسانی حوادث سایبری تنها رسانهها و افکار عمومی نیستند. مشتریان و کاربران بیرونی، نهادهای نظارتی، کارکنان داخلی، شرکا و تأمینکنندگان نیز در زمره مخاطبان قرار گرفتهاند.
برای مثال، در حوادث مرتبط با مشتریان، اطلاعرسانی از طریق ایمیل، میز خدمات یا خط تلفن پشتیبانی ویژه پیشبینی شده است؛ حتی در مواردی که الزام قانونی برای اطلاعرسانی وجود نداشته باشد.
از سوی دیگر، ارتباط با شرکا و تأمینکنندگان با هدف جلوگیری از سرایت حادثه در زنجیره تأمین انجام میشود؛ موضوعی که نشان میدهد مدیریت یک حادثه سایبری نباید تنها به محدوده فنی یک سازمان محدود بماند.
مدیریت شایعه؛ جبهه دوم پاسخ به حمله سایبری
این چارچوب، مقابله با شایعات، اخبار جعلی و اطلاعات نادرست را نیز بخشی از فرآیند پاسخگویی به حادثه سایبری در نظر گرفته است.
بر این اساس، سازمان باید بهصورت مستمر فضای رسانهای، شبکههای اجتماعی و گزارشهای خبری را رصد کند تا شایعات یا اطلاعات نادرست را شناسایی کند. پس از آن، شایعات و تأثیرات آنها باید مورد بررسی قرار گیرند و درباره ضرورت پاسخگویی تصمیمگیری شود.
در صورت نیاز به پاسخ، سخنگو با همکاری مشاور حقوقی و از طریق کانالهای مناسب، مانند شبکههای اجتماعی یا نشست خبری، پاسخ سازمان را بهصورت شفاف و سنجیده منتشر میکند. همچنین مردم باید برای دریافت اطلاعات به کانالهای رسمی سازمان یا دستگاه هدایت شوند.
آمادگی برای یک ساعت، از روزهای قبل شروع میشود
چارچوب اطلاعرسانی حوادث سایبری، آمادگی را نیز بخشی از مدیریت حادثه میداند. بر اساس این سند، کارکنان فنی و مدیریتی باید آموزشهای اجباری، از جمله دورههای ۱۶ ساعته شبیهسازی حادثه را پشت سر بگذارند و از آخرین هشدارها و اطلاعرسانیهای حوزه امنیت سایبری مراجع ذیصلاح مطلع باشند.
در مراحل بعد نیز مستندسازی، تحلیل پیامدهای حادثه، اشتراکگذاری اطلاعات تهدیدات برای کاهش احتمال گسترش حملات، حفظ شواهد، تداوم ارتباطات و در نهایت تحلیل ریشهای حادثه و تدوین درسآموختهها پیشبینی شده است.
در نتیجه، مهلت یکساعته برای اطلاعرسانی یک حادثه بحرانی را نمیتوان یک زمانبندی رسانهای دانست. این مهلت، در واقع نتیجه یک زنجیره از آمادگی، شناسایی، تحلیل، تصمیمگیری، هماهنگی امنیتی و حقوقی و در نهایت اطلاعرسانی است؛ زنجیرهای که اگر پیش از وقوع حادثه طراحی و تمرین نشده باشد، یک ساعت میتواند برای سازمان بسیار کوتاه باشد.
