در شرایطی که وابستگی خدمات و زیرساخت‌های کشور به شبکه‌ها و سامانه‌های دیجیتال افزایش یافته، دو مسیر هم‌زمان در حوزه امنیت سایبری در حال شکل‌گیری است؛ از یک سو جلسات تخصصی برای تدوین «قانون جامع امنیت سایبری کشور» آغاز شده و از سوی دیگر، وزارت ارتباطات با تشکیل نشست‌های «راهبر امنیت» به دنبال ایجاد سازوکاری برای امن‌سازی، پایش و ارزیابی مستمر سازمان‌های تابعه خود است. کنار هم گذاشتن این دو مسیر، یک سؤال مهم را مطرح می‌کند: آیا امنیت سایبری کشور در حال حرکت از واکنش به تهدیدها به سمت ایجاد یک نظام منسجم برای پیشگیری و تاب‌آوری است؟
قانون؛ تلاش برای پایان دادن به پراکندگی مسئولیت‌ها
پژوهشگاه ارتباطات و فناوری اطلاعات اخیراً از آغاز جلسات تخصصی تدوین چارچوب قانون جامع امنیت سایبری خبر داده است. این جلسات با محوریت معاونت حقوقی ریاست‌جمهوری و با حضور نمایندگان مرکز ملی فضای مجازی، سازمان پدافند غیرعامل، وزارت دفاع، سازمان نظام صنفی رایانه‌ای و پژوهشگاه برگزار می‌شود.
در نخستین جلسات، وضعیت قوانین موجود، خلأهای قانونی، هم‌پوشانی‌ها و چالش‌های موجود در حوزه امنیت سایبری بررسی شده و قرار است این جلسات به شکل هفتگی ادامه پیدا کند. همچنین اعلام شده است که در ادامه، سایر دستگاه‌ها، بخش خصوصی، دانشگاه‌ها و صاحب‌نظران نیز متناسب با موضوع به این فرایند اضافه خواهند شد.
اهمیت این روند صرفاً در تدوین یک قانون جدید نیست. یکی از مشکلاتی که در چنین حوزه‌ای می‌تواند وجود داشته باشد، تعدد مقررات و مشخص نبودن مرز مسئولیت دستگاه‌های مختلف است. بر اساس توضیحات رئیس پژوهشگاه ارتباطات و فناوری اطلاعات، یکی از اهداف تدوین قانون جامع نیز جلوگیری از مقررات موازی و تعارض میان وظایف دستگاه‌ها و ایجاد مبنایی روشن برای تقسیم مسئولیت‌ها و هماهنگی نهادی عنوان شده است.
راهبر امنیت؛ لایه اجرایی ماجرا
در سطح وزارت ارتباطات، هم‌زمان سازوکار دیگری در حال پیگیری است. سومین نشست «راهبر امنیت وزارت ارتباطات و فناوری اطلاعات» با حضور مسئولان فناوری اطلاعات، امنیت سایبری و نمایندگان حراست سازمان‌های تابعه برگزار شده و محور اصلی آن، برنامه عملیاتی امن‌سازی، ارتقای سطح بلوغ امنیتی و افزایش تاب‌آوری سایبری سازمان‌های زیرمجموعه بوده است.
در این نشست بر یکسان‌سازی فرایندهای امنیتی و هماهنگی میان سازمان‌های تابعه تأکید شده و محمدحسین شیخی، راهبر امنیت وزارت ارتباطات، پایش و ارزیابی مستمر را یکی از الزامات اصلی اقدامات امنیتی دانسته است.
این بخش از ماجرا اهمیت ویژه‌ای دارد؛ زیرا امنیت سایبری با یک بار ایمن‌سازی به پایان نمی‌رسد. آسیب‌پذیری‌ها تغییر می‌کنند، تهدیدها شکل تازه‌ای پیدا می‌کنند و حتی یک سامانه‌ای که امروز وضعیت مناسبی دارد، ممکن است در آینده در معرض تهدید جدیدی قرار بگیرد. بنابراین، ایجاد چرخه‌ای شامل پایش، شناسایی ضعف، اصلاح و ارزیابی مجدد می‌تواند از اجرای مقطعی پروژه‌های امنیتی مهم‌تر باشد.
آیا این دو مسیر می‌توانند به هم متصل شوند؟
اگر تدوین قانون جامع امنیت سایبری را لایه سیاست‌گذاری و تعیین مسئولیت‌ها در نظر بگیریم، سازوکار «راهبر امنیت» می‌تواند نمونه‌ای از لایه اجرایی و عملیاتی این رویکرد باشد.
در یک مدل کامل، قانون باید مشخص کند چه نهادی در برابر چه بخشی از امنیت مسئول است؛ استانداردها و الزامات مشترک باید مشخص کنند امنیت چگونه سنجیده شود و سازوکارهای پایش نیز باید نشان دهند که این الزامات در عمل تا چه اندازه اجرا شده‌اند.
در چنین ساختاری، مسیر ایده‌آل می‌تواند از تعیین مسئولیت و الزام قانونی آغاز شود، به استانداردسازی و ارزیابی وضعیت امنیتی برسد و سپس با شناسایی آسیب‌پذیری، اصلاح و ارزیابی مجدد ادامه پیدا کند.
معیار موفقیت، تعداد نشست‌ها نیست
با این حال، نقطه‌ای که باید در ادامه مورد توجه قرار گیرد، خروجی قابل اندازه‌گیری این اقدامات است.
برگزاری نشست‌های تخصصی، تدوین قانون و ابلاغ الزامات، به خودی خود نمی‌تواند نشان دهد که تاب‌آوری سایبری افزایش یافته است. آنچه در نهایت اهمیت دارد این است که مشخص شود چه تعداد از آسیب‌پذیری‌ها شناسایی و برطرف شده‌اند، سطح آمادگی سازمان‌ها چگونه سنجیده می‌شود، چه استاندارد مشترکی در سازمان‌های تابعه اجرا شده و نتایج ارزیابی‌های دوره‌ای چه تغییری نسبت به گذشته داشته است.
اگر این اطلاعات در ادامه مسیر منتشر و قابل ارزیابی شود، می‌توان درباره اثرگذاری این سازوکارها قضاوت دقیق‌تری داشت. در غیر این صورت، فاصله میان سیاست‌گذاری امنیت سایبری و اجرای واقعی آن همچنان یک چالش باقی خواهد ماند.
از «امن‌سازی» تا تاب‌آوری
اهمیت اتفاقات اخیر در نهایت در این است که ادبیات امنیت سایبری در وزارت ارتباطات از صرفاً «امن‌سازی» به سمت پایش، ارزیابی و تاب‌آوری در حال حرکت است؛ رویکردی که در صورت اجرای مستمر می‌تواند به جای واکنش صرف به رخدادهای امنیتی، ظرفیت شناسایی و اصلاح پیشگیرانه نقاط ضعف را تقویت کند.
اکنون دو مسیر در کنار یکدیگر قرار گرفته‌اند: تلاش برای تدوین یک چارچوب جامع قانونی در سطح کشور و ایجاد سازوکار پایش و ارزیابی در مجموعه وزارت ارتباطات. اینکه این دو مسیر تا چه اندازه به یکدیگر متصل شوند و چه خروجی قابل اندازه‌گیری ایجاد کنند، تعیین خواهد کرد که این روند صرفاً مجموعه‌ای از جلسات و مقررات جدید خواهد بود یا گامی عملی برای افزایش تاب‌آوری سایبری زیرساخت‌های کشور.
لینک کوتاه: