https://virgool.ir/feed/@mjt.mostafavifa2026-11-11 20:03:53https://files.virgool.ir/upload/users/1539413/avatar/428wzi.jpeghttps://virgool.ir/@mjt.mostafavihttps://virgool.ir/@mjt.mostafavi/تصمیمات-کارفرما-و-تاثیر-آن-در-ضعف-صنعت-امنیت-سایبری-miopb1maw0aiپیش‌گفتارهمان‌گونه که از اخبار و تحلیل‌ها می‌توان متوجه شد، در سال‌های اخیر تعداد حملات سایبری موثر به زیرساخت‌های حیاتی کشور با سرعت بالایی رو به گسترش بوده است. اما در واقع این شنیده‌ها، تنها گوشه‌ای از حقیقت است زیرا بر اساس یک قانون نانوشته‌ی جنگ‌های سایبری، تعداد حملات رخ داده، در عمل بسیار بیشتر از تعداد حملاتی است که رسانه‌ای می‌شوند. شاید اولین سوالی که در این شرایط به ذهنمان برسد، این باشد که آیا افزایش تعداد حملات، به خودی خود نشان‌دهنده‌ی ضعف سازمان‌ها در زمینه‌ی دفاع سایبری است؟‌ پاسخ به این سوال بسته به شرایط، می‌تواند مثبت یا منفی باشد. اما نکته‌ی مهم‌تری که فارغ از پاسخ این سوال باید به آن توجه کرد، اقدامات سازمان‌های قربانی پس از رخ دادن این حوادث است.انجام بررسی اولیه از شیوه‌ی پاسخ سازمان‌های قربانی به رخدادهای اخیر، وجود یک ناکارآمدی اساسی در زمینه‌ی دفاع سایبری را نشان می‌دهد.البته برخی از افراد در طی این سال‌ها جملاتی مانند «بزرگ‌ترین سازمان‌های دنیا هم هک می‌شوند» برای کم‌رنگ کردن این رخدادها یا شانه خالی کردن از مسوولیت‌های خود را به کار برده‌اند اما باید به این نکته‌ی مهم اشاره کرد که واکنش سازمان‌ها در کشورهای توسعه یافته در پاسخ به رخدادهای سایبری، چقدر به رفتار سازمان‌های داخلی شباهت دارد؟ به عنوان مثال می‌توان به اقداماتی مانند ارایه‌ی گزارش از جزییات فرآیند حمله یا اقدامات انجام شده برای رفع و مقابله‌ی با آن، تحلیل چگونگی نفوذ مهاجمین به سازمان، اشتراک داده‌های به دست آمده از تحلیل ابزارها و روش‌های مهاجمین (به منظور بهره‌برداری سایر سازمان‌ها در دفاع از خود در برابر تهدیدات مشابه) و موارد دیگر، اشاره کرد.این وقایع در شرایطی رخ می‌دهد که طی دهه‌ی اخیر سازمان‌ها سرمایه‌گذاری قابل توجهی در زمینه‌ی امن‌سازی زیرساخت‌هایشان با استفاده از انواع راهکارهای داخلی و خارجی انجام داده‌اند. اما چرا پس از سال‌ها تلاش و سرمایه‌گذاری در زیرساخت‌های مهم کشور، این ناکارآمدی کماکان در اغلب سازمان‌ها مشاهده می‌شود؟ از آن‌جایی‌که اغلب این سازمان‌ها بخش قابل توجهی از زیرساخت و فرآیندهای امنیت سایبری خود را به شرکت‌های خصوصی برون‌سپاری کرده‌اند، می‌توان برخی از دلایل این ناکارآمدی را در خدمات و محصولات ارایه شده توسط شرکت‌های پیمانکار، جستجو کرد. علت‌های زیادی را می‌توان برای وجود ضعف کارایی و کیفیت در خدمات شرکت‌های داخلی برشمرد، اما در این یادداشت قصد دارم تا تنها یکی از مهم‌ترین این دلایل، یعنی تاثیر دانش پایین موجود در سمت مشتریان و کارفرمایان بر روی صنعت امنیت سایبری کشور را بررسی کنم.بررسی تاثیر ضعف انتخاب مشتریان بر صنعت امنیت سایبری کشوردر صنعت امنیت سایبری کشور مشتری اصلی خدمات و محصولات امنیتی، سازمان‌های غیر خصوصی هستند. در واقع از آن‌جایی که اغلب کسب‌وکارهای خصوصی، بودجه‌ی قابل توجهی به امنیت سایبری خود اختصاص نداده یا تلاش می‌کنند با استفاده از تیم‌های داخل سازمان، امنیت کسب‌وکارشان را تامین کنند، جزو مشتریان مهم شرکت‌های امنیتی محسوب نمی‌شوند. با توجه به موارد ذکر شده، درآمد اصلی شرکت‌های ارایه‌دهنده‌ی خدمات و محصولات امنیت سایبری در کشور از محل مشتریان غیر خصوصی کسب می‌شود. در چنین شرایطی مشکل از آن‌جایی شروع می‌شود که اغلب این مشتریان چه در لایه‌ی مدیریتی و چه در لایه‌ کارشناسی، از دانش و آگاهی لازم برای انتخاب، ارزیابی و بهره‌برداری از راهکارهای پیشرفته‌ی امنیت سایبری برخوردار نیستند. لذا در بسیاری از موارد خدمات و محصولات تخصصی بر اساس سلایق شخصی، تبلیغات تیم‌های بازرگانی شرکت‌ها و به طور ویژه بر مبنای روابط شرکت‌های تامین کننده با مدیران تصمیم‌گیرنده،‌ انتخاب می‌شود.شرکت‌های فعال در زمینه‌ی امنیت نیز طی سال‌ها فعالیت، این موضوع را در سمت مشتریان دولتی و غیر دولتی به خوبی درک کرده و ساختار خود را با آن هماهنگ کرده‌اند. در واقع به جای این‌که ساختار آن‌ها به گونه‌ای طراحی شده باشد که منجر به بیشینه‌سازی تحقیق و توسعه، نوآوری و تربیت و به‌کارگیری متخصصین و نخبگان در راستای ارایه‌ی محصولات و خدمات با فناوری روز شود، به گونه‌ای طراحی شده که به سوی گسترش تیم‌های مذاکره و فروش، توسعه‌ی هر چه بیشتر شبکه‌ی ارتباطی با سازمان‌های دولتی و حکومتی و در نهایت فروش حداکثری بدون در نظر گرفتن منابع و توان موجود، سوق پیدا کرده است.از طرف دیگر نیاز به توضیح نیست که امنیت سایبری، یک صنعت مبتنی بر نیروی متخصص انسانی است، یعنی میزان رشد و پویایی این صنعت با تعداد نیروی متخصص فعال در آن ارتباط مستقیم دارد. اما در شرکت‌های امنیت سایبری ایران با توجه به تغییر اولویت از تولید راهکارهای باکیفیت، به مواردی مانند توسعه‌ی تیم‌های بازرگانی و گسترش روابط، مشاهده می‌کنیم که یک چالش مشترک در بین اغلب این شرکت‌ها وجود دارد و آن نارضایتی پرسنل متخصص و خبره از شرایط کاری خود، به دلیل عدم وجود محیط تحقیقاتی و High-Tech در این شرکت‌ها است. در بسیاری از موارد، پس از مدتی این نیروهای متخصص، انگیزه‌ی لازم برای سرمایه‌گذاری مداوم بر روی توسعه‌ی دانش و تخصص خود را از دست داده ودر نتیجه یا شرایط را می‌پذیرد یا به مهاجرت دست می‌زند.در واقع این شرکت‌ها از نیروهای متخصص انتظار دارند تا وظایف روزمره‌ی خود را در یک سطح متوسط به صورت منظم انجام دهند. به عبارت دیگر کسی از شما به عنوان یک متخصص امنیت سایبری انتظار ارایه‌ی خدمات پیچیده و پیشرفته را ندارد، این موضوع تا جایی پیش می‌رود که اگر با تلاش شخصی هم به سطح خوبی از دانش امنیت سایبری دست پیدا کنید، احتمال بدون استفاده ماندن آن دانش در شرکت‌ها و سازمان‌ها به هیچ‌وجه دور از ذهن نیست. همچنین این شرکت‌ها در اغلب موارد نیازی به سرمایه‌گذاری بر روی آموزش نیرو‌های متخصص و خبره نیز احساس نمی‌کنند زیرا همان‌گونه که شرح داده شد، درخواست خدمات پیشرفته در سمت مشتری وجود ندارد، در نتیجه سرمایه‌گذاری بر روی تربیت نیروی خبره الزاما منجر به فروش بیشتر خدمات و محصولات نخواهد شد.متاسفانه به نظر می‌رسد فعالین امنیت سایبری در سطوح مختلف کشور به این چرخه‌ی معیوب عادت کرده و آن را پذیرفته‌اند. متخصصان به گذراندن چند دوره‌ی استاندارد اکتفا کرده و اغلب هیچ‌گونه تحقیقات مستمری در زمینه‌ی تهدیدات و فناوری‌های سایبری روز ندارند. شرکت‌ها نیز احساس نیازی در این زمینه نکرده و بودجه قابل توجهی در راستای بالا بردن سطح دانش امنیت نیروهای خود، در نظر نگرفته‌اند.دانشگاه‌های داخلی نیز مانند سایر صنایع، از صنعت امنیت روز دنیا فاصله داشته و تنها به بخش‌های محدودی از آن مانند رمزنگاری (آن هم اغلب برای انتشار مقاله) می‌پردازند. این مساله به اندازه‌ای پررنگ است که یک دانش‌آموخته‌ی کارشناسی ارشد امنیت، هنگام فارغ‌التحصیلی از دانشگاه، برتری خاصی نسبت به یک فارغ‌التحصیل رشته‌ی دیگر مانند فناوری اطلاعات (در صنعت امنیت) ندارد مگر این‌که با مطالعه‌ی شخصی مستمر، دانش کاربردی امنیت سایبری را کسب کرده باشد. از سوی دیگر مراکز آپای دانشگاه‌ها که از حدود ۱۵ سال پیش فعالیت خود را با اهداف مختلفی از جمله گسترش دانش سایبری و تربیت نیروی متخصص آغاز کردند، در دستیابی به این اهداف عملکرد موفقی نداشته و حتی اغلب این مراکز طی سال‌های گذشته غیرفعال بوده‌اند.امید آخر می‌ماند به موسسه‌های آموزشی فعال در زمینه‌ی امنیت سایبری که آن‌ها نیز طی گذشت سال‌ها از فعالیت خود مسیری مشابه شرکت‌های ارایه دهنده‌ی خدمات و محصولات در صنعت امنیت را در پیش گرفته و هیچ برنامه‌ی مدون و گسترده‌ای برای ارتقای دیدگاه و دانش مدیران و متخصصین فعال در زمینه‌ی امنیت سایبری کشور (که می‌تواند دستاورد و افتخاری مهم برای یک موسسه‌ی آموزشی باشد) نداشته‌اند. همچنین فعالیت‌های خلاقانه یا تحقیقات خاصی هم از این موسسه‌ها مشاهده نمی‌شود. اغلب این موسسه‌ها به برگزاری تعداد محدودی از دوره‌های استاندارد بین‌المللی و فروش حداکثری این دوره‌ها به افراد و سازمان‌ها بسنده کرده‌اند. در واقع کمتر می‌بینیم مباحث مربوط به تهدیدات پیشرفته و پیچیده در موسسات آموزشی مورد بحث و نظر قرار گرفته یا حتی مقاله‌ای در خصوص دستاوردهای امنیت سایبری توسط آن‌ها منتشر شود.جمع‌بندیبا توجه به موارد ذکر شده و همچنین به دلیل عدم وجود یک استراتژی و چارچوب یکپارچه در ایران، تصمیمات مربوط به امنیت سایبری در اغلب سازمان‌ها به صورت سلیقه‌ای یا براساس نیازهای لحظه‌ای آن سازمان (و بدون دوراندیشی) گرفته می‌شود. از طرف دیگر اغلب سازمان‌ها، در ارزیابی و تمیز دادن راهکارهای امنیتی اساسی از راهکارهای تجاری، ضعف دارند. همین امر در دراز مدت سبب رشد محصولات و خدمات با کارایی پایین و از سوی دیگر کاهش انگیزه‌ی متخصصان و شرکت‌های امنیتی در زمینه‌ی تحقیق و توسعه و عدم تلاش آن‌ها برای حرکت در مرز دانش امنیت سایبری دنیا شده است. در نتیجه مشاهده می‌کنیم تعداد زیادی از محصولات و خدمات مشابه با کیفیت و عملکرد پایین در بازار امنیت داخلی توسط شرکت‌های مختلف ارایه شده است که در برخی از موارد علی‌رغم کارایی پایین، فروش به نسبت بالایی در بین سازمان‌ها داشته‌اند اما به دلیل کیفیت غیر قابل قبول، امکان صادرات گسترده‌ی این راهکارها به سایر کشورها (حتی کشورهای همسایه) نیز وجود ندارد (البته قوانین دولتی مربوط به اجبار سازمان‌ها در تامین نیازهای خود از محصولات و خدمات بومی نیز تاثیر به‌سزایی در به وجود آمدن این شرایط داشته اما پرداختن به آن، خارج از موضوع این سند است). از طرف دیگر با توجه به حملات سایبری اخیر، این راهکارها اثبات کرده‌اند که در زمان وقوع حملات سایبری پیشرفته، کارایی چندانی برای مقابله با آن‌ها ندارند.در پایان باید توجه داشته باشیم که امروزه تامین امنیت ملی هر کشور شامل تامین امنیت سایبری زیرساخت‌های حیاتی آن کشور نیز می‌شود و اولین گام برای دستیابی به این مهم (در کنار فرهنگ‌سازی و آموزش دانش روز)، تدوین یک چشم‌انداز و استراتژی یکپارچه و آینده‌نگر در سطح کشور است. به عبارت دیگر امکان امن‌سازی زیرساخت‌ها در برابر تهدیدات سایبری به صورت جزیره‌ای و سلیقه‌ای وجود ندارد و لازم است یک طرح جامع ملی برای آن ارایه شود که اهداف و استراتژی کلی در آن مشخص شده باشد به‌گونه‌ای که سازمان‌ها نیز بر اساس آن امکان تعریف اهداف و چشم‌انداز امنیتی مطابق با کسب‌وکار خود و برنامه‌ریزی برای دستیابی به این اهداف، در میان مدت و بلند مدت را داشته باشند. مجتبی مصطفویمجتبی مصطفویSat, 19 Mar 2022 17:06:13 +0330