واقعیت ناگفته در حملات سایبری اخیر به نهادهای ایرانی

در دوهفته اخیر حمله گسترده باج افزار Wanna Cry و از کار افتادن سایت های برخی نهادها مانند پست، وزارت کار، بانک مرکزی و.

باعث شد تا بحث بر سر جدی نگرفتن امنیت اطلاعات در سازمان ها و نهادهای مختلف دولتی مورد توجه قرار بگیرد.

– / تاکنون دستورالعمل ها، ابلاغیه ها و فرآیند های مختلفی برای افزایش امنیت اطلاعات در فضای مجازی استخراج شده است که در آخر هیچ کدام از آنها مانع از به خطر افتادن اطلاعات مهم و حیاتی سازمان ها و در نهایت کاربران نشده است.

برای نمونه هفته گذشته و با توجه به اطلاع رسانی های وسیع و ارائه راهنمایی های لازم برای رفع آسیب پذیری مرتبط حمله باج افزار Wanna Cry به دلیل تعلل برخی از سازمان ها و کاربران، این باج افزار در سه روز توانست دو هزار قربانی جدید را در کشور به دام بیندازد.

اما چرا با وجود اهمیت بالای حفاظت از اطلاعات در فضای مجازی و تشکیل ارتشی به نام ارتش سایبری در ایران همچنان سازمان ها و نهادهای دولتی کشور خسارت های زیادی را به دلیل تعلل در بالا بردن امنیت اطلاعات خود متحمل می شوند؟ برنامه هایی که اجرا نمی شود هک وب سایت های عمومی و خدماتی دستگاه های اجرایی، حمله به سایت سازمان فضایی ایران توسط یک گروه هکر ایرانی به نام Persian Boys، هک یکی از بانک های کشور توسط گروه ISCN، حمله ویروس اینترنتی استاکس نت به رایانه های صنعتی، حمله بدافزار جاسوسی استارس به رایانه های کشور، حمله ویروسی به نام وایپر به سیستم رایانه ای وزارت نفت، جمع آوری اطلاعات خصوصی از کشورهایی مانند ایران از طریق بد افزاری به نام Flame، هک چندباره سایت ایسنا توسط هکرهای خارجی و داخلی، نفوذ هکرها به سایت مجلس شورای اسلامی، نفوذ به سایت دانشگاه پیام نور و تغییر نمره ها و.

تنها بخشی از حملات سایبری به وب سایت های دولتی و آموزشی کشور در سال های اخیر است.

به باور کارشناسان و فعالان امنیت فضای مجازی، بی توجهی و باور نداشتن مدیران سازمان ها و نهاد های دولتی و نبود یک فرآیند مشخص و استاندارد در حوزه امنیت سایبری باعث شده تا ایران به عنوان یکی از آسیب پذیرترین کشورها در زمینه امنیت سایبری شناخته شود.

مهم ترین سند بالادستی نظام در حوزه امنیت سایبر، سند راهبردی امنیت فضای تبادل اطلاعات (افتا) است که در برنامه پنجم و ششم توسعه گنجانده شده است.

در این سند که کلیه ارکان نظام موظف به اجرای آن شده اند، الزاماتی در حوزه امنیت فضای تبادل اطلاعات برای دولت در نظر گرفته شده است.

استقرار نظام مدیریت امنیت اطلاعات( ISMS)در دستگاه های حکومتی، استانداردسازی محصولات امنیتی در حوزه سایبر، راه اندازی مراکزی چون مرکز عملیات امنیت (SOC )و مرکز ماهر از جمله این الزامات است.

اما آمارها نشان می دهد که تاکنون هیچ کدام از این الزامات مورد توجه ارکان اجرایی کشور قرار نگرفته است.

اما آمارهای منتشر شده در وب سایت پایش شاخص های فناوری اطلاعات کشور در خصوص سند راهبردی افتا گویای این موضوع است که کشور در اجرای این سند از برنامه ها بسیار عقب است.

برای نمونه وضعیت مورد انتظار در انتهای برنامه پنجم(سال ۹۴) برای استقرار نظام مدیریت امنیت اطلاعات (ISMS) 53درصد در نظر گرفته شده بود که براساس آخرین آمار منتشر شده در این وب سایت تا پایان سال ۹۲ تنها ۳۹ درصد این هدف محقق شده است.

در خصوص راه اندازی مرکز عملیات امنیت یا SOC نیز از ۱۰۰ درصد انتظار تا پایان سال ۹۴، تنها ۲۰ درصد طرح تا سال ۹۲محقق شده و طرح گوهر (گروه واکنش هماهنگ رخدادهای امنیتی) نیز از ۱۰۰ درصد اجرا (تا سال ۹۴) تنها ۳۵ درصد به مرحله عملیاتی رسیده است.

در حوزه استانداردسازی و ارزیابی محصولات امنیتی نیز با وجودی که انتظار می رفت ۲۹ آزمایشگاه ارزیابی محصولات امنیتی در این بخش ایجاد شود، راه اندازی تنها ۸ آزمایشگاه در این زمینه محقق شده است.

ذکر این نکته ضروری است که آمار اشاره شده در خصوص سند راهبردی افتا، آخرین و به روزترین آمار قابل مشاهده در وب سایت پایش شاخص های فناوری اطلاعات کشور است.

ممنوعیت خرید نرم افزارهای امنیتی خارجی و الزام به خرید نرم افزارهای داخلی برای دستگاه های اجرایی نیز از دیگر مواردی است که از سوی دولت به تمام دستگاه های اجرایی ابلاغ شده است اما این مورد نیز از سوی دستگاه های اجرایی مورد توجه قرار نمی گیرد.

مشکل کجاست؟ حملات سایبری و به خطر افتادن اطلاعات مهم سازمان ها و کاربران مختص ایران نیست و معضلی است که جامعه جهانی را درگیر خود کرده است.

اما در ایران به دلیل استفاده از نرم افزارهای امنیتی قفل شکسته، نبود برنامه منسجم و مشخص، موازی کاری، نبود آموزش مناسب و افراد متخصص و.

خسارات ناشی از یک هک یا حمله سایبری بسیار چشمگیر تر است.

علی امیری، مشاوره امنیتی در گفت و گو با ایران ، بزرگ ترین مشکل بر سر راه امنیت اطلاعات فضای سایبر را نبود نیروی انسانی کارآمد و بی توجهی به فرآیند های خاص و تعیین شده عنوان می کند.

او در این خصوص می گوید: داشتن نیروی انسانی متخصص در حوزه امنیت از بسیاری مشکلات می تواند جلوگیری کند.

علاوه بر اینکه در سازمان ها و دستگاه های اجرایی دولتی جای چنین افراد متخصصی خالی است یکی دیگر از مشکلات بزرگ بر سر راه حفظ امنیت اطلاعات این است که در حال حاضر بخش بزرگی از نهادهای دولتی ما همچنان از نرم افزارهای قفل شکسته استفاده می کنند.

در واقع عدم رعایت قانون کپی رایت در کشور ریسک های امنیتی را نیز افزایش داده است.

برای مثال در خصوص حمله باج افزار اخیر Wanna Cry کشورها با مشکل بیشتری همراه شده اند که نرخ عدم رعایت کپی رایت در آنها بالاتر بوده است وی در ادامه می افزاید: جای خالی متخصصان امنیتی و در نظر نگرفتن بخشی مجزا برای اجرای فرآیند های امنیتی در سازمان ها نیز از دیگر مسائلی است که باعث می شود با یک حمله کوچک بخش بزرگی از اطلاعات یک سازمان ایرانی دچار خطر شود.

نگاه بسیاری از مدیران دولتی به موضوع امنیت یک نگاه کلیدی نیست و بسیاری از آنها بر این باورند که در نظر گرفتن بودجه برای افزایش امنیت اطلاعات یک هزینه اضافه و بی فایده است و به همین دلیل شاهد هستیم که اطلاعات در کشور براحتی مورد سوء استفاده قرار می گیرد.

به باور وی نبود یک سازمان مسئول و مستقل در زمینه امنیت سایبری که هشدارها و سیاست هایش مورد توجه قرار بگیرد از دیگر ضعف ها بر سر امنیت فضای سایبری کشور است.

براساس اظهارات امیری در حال حاضر تنها مرکز ماهر (مرکز مدیریت امداد و هماهنگی عملیات رخداد های رایانه ای) است که بعد از اعلام حمله ها به صورت جهانی، خبرها و اظهاراتی مطرح می کند که بیشتر مردم نه این سازمان و وظایفش را می شناسند و نه هشدارهای آن را جدی می گیرند.

در همین زمینه بهناز آریا، کارشناس امنیتی نیز در گفت و گو با ایران ، اعلام می کند که بزرگترین مشکل بر سر راه امنیت سایبری کشور، جدی نگرفتن این موضوع از سمت مدیران است.

او در این خصوص می گوید: بسیاری از حملات سایبری براحتی قابل پیش بینی و پیشگیری هستند اما متأسفانه بسیاری از سازمان های ما باوری به امنیت اطلاعات و مشخص کردن فرآیند برای آن ندارند.

برای مثال با یک به روز رسانی نرم افزار می توان جلوی آن را گرفت.

برای مثال در خصوص باج افزار Wanna Cry از ماه پیش با به روز رسانی که مایکروسافت برای برخی برنامه های خود داده بود و همچنین اطلاع رسانی که به خود سازمان ها شده بود براحتی می توانستیم جلوی درز هرگونه اطلاعاتی را بگیریم اما متأسفانه بسیاری از سازمان های ما به هشدارهای ارائه شده توجهی نشان ندادند.

آریا بخش دیگر مشکل در این حوزه را استفاده از نرم افزارهای قفل شکسته می داند و می افزاید: استفاده از نرم افزارهای اصل این مزیت را دارد که در صورت بروز مشکل با هر به روزرسانی از سمت شرکت توسعه دهنده مشکل به وجود آمده حل خواهد شد همچنین وجود سیستم پشتیبانی برای این نرم افزارها حل و پیشگیری از مشکلات را نیز راحت تر می کند.

اما متأسفانه در ایران به دلیل عدم اجرای قانون کپی رایت اکثر سازمان ها و دستگاه های اجرایی دولتی از نرم افزارهای قفل شکسته استفاده می کنند.

حتی در شرایطی هم که نماینده یک شرکت نرم افزاری در کشور وجود دارد سازمان ها ترجیح می دهند برای پرداخت پول کمتر از نرم افزار قفل شکسته استفاده کنند این در حالی است که خسارتی که از سمت همین نرم افزار قفل شکسته می تواند به سازمان ها وارد شود هزینه ای بالاتر از خرید یک نرم افزارسالم دارد.

آریا اعلام می کند که در بحث امنیت سایبری در کشور، قوانین و برنامه های مشخصی وجود دارد اما مشکل اینجاست که هیچ کدام از این برنامه ها و الزامات به اجرا گذاشته نمی شود.

وی پیشنهاد می کند که در کنار اجرای سیاست های تعیین شده در حوزه امنیت سایبری بهتر است همان طور که تمام بخش های یک سازمان دارای برنامه استراتژیک هستند، امنیت اطلاعات نیز در هر سازمان و دستگاه اجرایی دارای برنامه استراتژیک و بودجه مشخص باشد.

به باور وی نظارت دقیق و استفاده از متخصصان با تجربه در سازمان ها و دستگاه های اجرایی تا حدود زیادی می تواند خسارت ناشی از یک حمله اینترنتی را کاهش دهد.

/ روزنامه ایران
کلید واژه ها: اطلاعات – امنیت – اطلاع – سایبری – ایران – فضای مجازی – کشور – تبادل اطلاعات – حمله – حملات سایبری – دولت – استاندارد – سازمان فضایی ایران – دانشگاه پیام نور – مجازی – وب سایت – اطلاعات خصوصی – ایرانی – برنامه – نظام – افزایش امنیت – سازمان فضایی – اطلاع رسانی – ویروس – وزارت – بانک مرکزی – آسیب پذیری – هایی – ارتش – بانک

لینک منبع : http://www.ghatreh.com/news/nn37796546/%D9%88%D8%A7%D9%82%D8%B9%DB%8C%D8%AA-%D9%86%D8%A7%DA%AF%D9%81%D8%AA%D9%87-%D8%AD%D9%85%D9%84%D8%A7%D8%AA-%D8%B3%D8%A7%DB%8C%D8%A8%D8%B1%DB%8C-%D8%A7%D8%AE%DB%8C%D8%B1-%D9%86%D9%87%D8%A7%D8%AF%D9%87%D8%A7%DB%8C-%D8%A7%DB%8C%D8%B1%D8%A7%D9%86%DB%8C

شما ممکن است این را هم بپسندید

پاسخ دهید

نشانی ایمیل شما منتشر نخواهد شد. بخش‌های موردنیاز علامت‌گذاری شده‌اند *

سوال تصادفی * Time limit is exhausted. Please reload CAPTCHA.