گفت‌وگو با دبیر و قائم‌مقام انجمن رمز ایران درباره امنیت زیرساخت‌ها و تجهیزات خارجی/ مراقب درهای پشتی باشید!

برای خرید اینترنتی، اطلاعات بانکی‌مان را وارد می‌کنیم؛ برای دریافت یک خدمت، کد ملی و شماره تلفنمان را می‌دهیم و برای گرفتن پاسخ از هوش مصنوعی، گاهی یک فایل کامل را بارگذاری می‌کنیم. هر بار بخشی از اطلاعاتمان را به یک سامانه می‌سپاریم، اما کمتر می‌پرسیم این اطلاعات کجا می‌روند و چطور از آن‌ها نگهداری می‌شود.
وقتی خبر می‌رسد اطلاعات کاربران یک سامانه در دسترس دیگران قرار گرفته، شاید نخستین واکنشمان این باشد که ببینیم نام ما هم میان آن‌ها هست یا نه. اما نگرانی به اطلاعات شخصی محدود نمی‌شود؛ بانک‌ها، بیمارستان‌ها و دیگر مراکز خدماتی هم داده‌هایی در اختیار دارند که حفاظت از آن‌ها با زندگی روزانه همه ما گره خورده است. همین‌جاست که می‌خواهیم بدانیم این اطلاعات چقدر در امان‌اند و راه دسترسی دیگران به آن‌ها از کجا باز می‌شود.
برای یافتن پاسخ این پرسش‌ها، به سراغ انجمن رمز ایران رفتم؛ انجمنی علمی که در زمینه رمزشناسی و امنیت اطلاعات فعالیت می‌کند. آنچه در ادامه می‌خوانید، گفت‌وگوی من با حبیب رستمی، دبیر و قائم‌مقام این انجمن، درباره امنیت اطلاعات و زیرساخت‌هایی است که هر روز از آن‌ها استفاده می‌کنیم.

به نظر می‌رسد با نوعی وادادگی جدی در حوزه مدیریت داده‌ها مواجهیم؛ مسئله‌ای که با افزایش موارد نشت اطلاعات و انتشار هرازگاه خبرهای مرتبط از سوی پلیس فتا، ملموس‌تر شده است. این وضعیت را تا چه اندازه جدی می‌دانید و آیا دیگر کشورها نیز با چنین چالشی روبه‌رو هستند؟

در سال‌های اخیر شاهد رشد چشمگیر انتشار داده‌ها در فضای مجازی و شبکه‌های اجتماعی بوده‌ایم؛ رشدی که حتی اگر آن را نمایی ندانیم، ابعاد بسیار گسترده‌ای پیدا کرده است. همزمان، روش‌هایی برای دسترسی غیرمجاز به داده‌ها وجود دارد و ما با نشت اطلاعات و نقض امنیت داده‌ها مواجهیم. این وضعیت را چالشی جدی برای امنیت داده‌ها می‌دانم که به ایران محدود نیست و همه کشورهای جهان با آن روبه‌رو هستند. کشورهای پیشرفته، ازجمله اعضای اتحادیه اروپا، با وضع و اصلاح قوانین و مقررات تلاش کرده‌اند حاکمیت خود بر داده‌ها را در سطح ملی تقویت کنند.
وقتی از حاکمیت داده صحبت می‌کنیم، منظور ما سطح ملی است؛ در سطح سازمانی نیز موضوع حکمرانی داده مطرح می‌شود. در این چارچوب، سازمان‌ها برای حفاظت از داده‌های خود تلاش می‌کنند و کشورها با تدوین مقررات در پی آن هستند که استفاده از خدمات خارجی، امنیت داده‌هایشان را به مخاطره نیندازد. ما در ایران نیز با این نگرانی روبه‌رو هستیم و از برخی جهات، نگرانی بیشتری داریم؛ زیرا ملاحظات لازم به‌طور کامل رعایت نمی‌شود و بسیاری از قواعد موردنیاز هنوز وضع نشده است. از این منظر، با ضعف مقررات و قانون‌گذاری در حوزه داده روبه‌روییم.

منشأ آسیب‌پذیری‌های امنیتی در حوزه داده چیست و چه عواملی در شکل‌گیری آن‌ها نقش دارند؟

ما در سطوح مختلف با طیف گسترده‌ای از تهدیدات مواجهیم که از جنبه‌های گوناگون، امنیت داده‌هایمان را تهدید و تضعیف می‌کنند. نمی‌توانیم به‌سرعت و به‌صورت قطعی بگوییم که در یک لحظه خاص و به‌طور مشخص با کدام‌یک از این مخاطرات روبه‌رو هستیم.
برای مثال، امروز شاهد موج و تب یا گرایش عمومی در جامعه هستیم که بسیاری را به سمت استفاده از هوش مصنوعی سوق داده است. فرض کنیم مجموعه‌ای از اطلاعات را در اختیار داریم و می‌خواهیم آن‌ها را تحلیل کنیم؛ در این شرایط، گاهی بسیار بی‌محابا و بدون توجه به مخاطرات موجود، حجم زیادی از داده‌های عموماً ارزشمند خود را در اختیار ابزارهای به‌اصطلاح دستیار هوش مصنوعی قرار می‌دهیم.
نگرانی من این است این داده‌ها وارد یک بانک اطلاعاتی می‌شوند و شرکت‌هایی مشخص، برمبنای همین داده‌ها، تحلیلی به ما ارائه می‌کنند. ما نیز از اینکه توانسته‌ایم از هوش مصنوعی استفاده کنیم، خرسند می‌شویم؛ غافل از اینکه کشورهایی که بر این شرکت‌های ارائه‌دهنده خدمات حاکمیت دارند، عموماً در ردیف دشمنان کشور ما قرار دارند؛ یا آمریکایی هستند یا زیر نظر رژیم غاصب اسرائیل قرار دارند یا به هر شکل، متعلق به کشورهایی هستند که با کشور ما روابط خوبی ندارند و ما با آن‌ها در مخاصمه هستیم.
داده‌هایمان را به آنجا می‌فرستیم و تصور می‌کنیم اتفاقی نمی‌افتد و صرفاً از هوش مصنوعی استفاده کرده‌ایم؛ در حالی که این داده‌ها به جایی رفته‌اند که دیگر بازنمی‌گردند و عملاً از دست ما خارج شده‌اند. در بهترین حالت، تحلیلی دریافت می‌کنیم که آن را بسیار شیک و در پوششی پرزرق‌وبرق به ما تحویل می‌دهند. ما نیز با افتخار، آن تحلیل را در یک جلسه، جمع یا نشست ارائه و تصور می‌کنیم کار بسیار مهمی انجام داده‌ایم؛ کاری که هیچ‌کس دیگری قادر به انجام آن نیست. من وضعیت خودمان را در بهترین حالت به کودکی تشبیه می‌کنم که سارقی به او شکلات می‌دهد و در مقابل، گوشواره را از گوشش باز می‌کند و می‌برد. متأسفانه اکنون چنین وضعیتی در کشور ما وجود دارد.
آنچه تأسف من را بیشتر می‌کند، این است که گاهی حتی مقامات عالی‌رتبه ما با افتخار اعلام می‌کنند می‌خواهند برخی داده‌های باارزش کشور، مانند داده‌های آمایش سرزمینی ما را در اختیار هوش مصنوعی قرار دهند و تحلیل آن را دریافت کنند. من این رویکرد را بسیار نگران‌کننده می‌دانم.

وابستگی به محصولات خارجی در حوزه امنیت سایبری چه پیامدها و مخاطراتی به همراه دارد؟

ما امروز در شبکه‌ها و زیرساخت‌های کشور از تجهیزاتی استفاده می‌کنیم که بخش قابل‌توجهی از آن‌ها خارجی هستند. این در حالی است که سال‌هاست در کشور قوانین و مقرراتی داریم که استفاده از تجهیزات خارجی دارای نمونه داخلی را منع می‌کنند. حتی در زمان حیات رهبر شهید نیز تأکید ایشان بر استفاده نکردن از این محصولات بود، اما متأسفانه دستگاه‌ها، سازمان‌ها و شرکت‌ها به این موضوع توجه نمی‌کنند و بدون در نظر گرفتن عواقب این کار، به سراغ تجهیزات خارجی می‌روند.
گاهی حتی شاهد بوده‌ایم برخی مجموعه‌ها برای اینکه اعلام کنند بخشنامه‌های دولت و تأکیدات نهادهای مسئول حوزه افتا (امنیت سایبری) را رعایت کرده‌اند، تجهیزات داخلی را خریداری و در انبار نگهداری می‌کنند، اما در عمل از تجهیزات خارجی استفاده می‌کنند؛ یعنی خرید داخلی صرفاً برای ظاهرسازی و اعلام رعایت بخشنامه‌ها و مقررات انجام می‌شود.
نکته‌ای که می‌خواهم بر آن تأکید کنم، این است این تجهیزات، چه داخلی و چه خارجی، همگی به اصطلاح درهای پشتی دارند که در مواقع نیاز از آن‌ها استفاده می‌شود. وجود این درهای پشتی در محصولات خارجی، درواقع مسیر سهل‌الوصولی است که کشورهای متخاصم می‌توانند از طریق آن برای حمله به زیرساخت‌های ما استفاده کنند. حتی ممکن است از این مسیرها حمله‌ای انجام ندهند تا ناامن بودن تجهیزات آشکار نشود، اما دسترسی غیرمجاز به اطلاعات ما را ادامه ‌دهند و داده‌های موردنیاز خود را برای حملات سایبری یا فیزیکی آینده جمع‌آوری ‌کنند.
ممکن است هیچ ظهور و بروز آشکاری هم وجود نداشته باشد که نشان دهد از این تجهیزات برای حمله به منافع و منابع ما استفاده می‌شود، اما جمع‌آوری داده را همچنان ادامه خواهند داد. من این مسئله را موضوعی کاملاً شناخته‌شده و یکی دیگر از مشکلاتی می‌دانم که در کشور با آن مواجهیم.
به اعتقاد من، شاید دلیل اصلی حملاتی که در طول جنگ‌های ۱۲روزه و ۴۰روزه به زیرساخت‌ها و بانک‌های ما شد و حتی حملات پیش از آن به برخی زیرساخت‌ها، مانند سامانه سوخت و موارد مشابه، عمدتاً به همین مسئله بازگردد؛ اینکه خودمان با دست خودمان، در بخش‌هایی که نباید از تجهیزات خارجی استفاده کنیم، این تجهیزات را به کار گرفته‌ایم و با چنین پیامدها و حوادث خسارت‌باری روبه‌رو شده‌ایم.

در شرایط بحرانی، کدام بخش‌های خدماتی، ارگان‌ها و سازمان‌ها آسیب‌پذیری بیشتری دارند؟

نمی‌توانیم به‌طور قطعی بگوییم کدام زیرساخت‌ها آسیب‌پذیرترند. هر زیرساختی که از تجهیزات خارجی استفاده می‌کند، این استعداد را دارد که مورد حمله قرار بگیرد. این موضوع را کاملاً بدیهی می‌دانم و معتقدم مسئله‌ای نیست که اکنون بخواهیم برای آن دلیل بیاوریم.
این تجهیزات در بسیاری از زیرساخت‌های ما، چه در بخش صنعت و چه در بخش خدمات، به‌کار گرفته شده‌اند و آسیب‌پذیری‌های شناخته‌شده دارند. گاهی نیز دارای آسیب‌پذیری‌های موسوم به «روز صفر» هستند که ممکن است هنوز شناسایی نشده باشند، اما وجود دارند.
ما امروز در سطح جهان با تجارتی به نام تجارت آسیب‌پذیری‌های روز صفر مواجهیم؛ افرادی که این آسیب‌پذیری‌ها را شناسایی می‌کنند، آن‌ها را به بهره‌برداران می‌فروشند و بهره‌برداران نیز با استفاده از آن‌ها به منابع حیاتی کشورها دسترسی پیدا می‌کنند. تا زمانی که این آسیب‌پذیری‌ها شناخته شوند، اطلاعاتشان به‌صورت عمومی منتشر شود و برای مقابله با آن‌ها ابزارها و تدابیر امنیتی تهیه کنیم، مهاجمانِ آگاه از این ضعف‌ها، داده‌های موردنظر خود را جمع‌آوری کرده‌اند. نگرانی ما زمانی بیشتر می‌شود که این داده‌ها با اطلاعات دیگر تقاطع داده شوند؛ یعنی داده‌هایی که از منابع مختلف جمع‌آوری شده‌اند، در کنار یکدیگر قرار بگیرند و ارتباط میان آن‌ها استخراج شود. این فرایند می‌تواند عواقب بسیار وخیمی داشته باشد.
در گذشته، تقاطع دادن چنین حجم گسترده‌ای از داده‌ها کاری دشوار و شاید بتوانیم بگوییم از برخی جهات ناممکن بود؛ زیرا از توان محاسباتی و امکاناتی که در اختیار بود، فراتر می‌رفت. اما امروز با ظهور ابزارهای هوش مصنوعی و ماشین‌هایی که محاسبات را با سرعت بالا انجام می‌دهند، تقاطع دادن حجم گسترده‌ای از داده‌ها به کاری آسان و دست‌یافتنی تبدیل شده است.
به همین دلیل، مهاجمان می‌توانند هر زمان که اراده کنند، از مجموعه این داده‌ها و ابزارها برای انجام حمله علیه منابع و منافع کشورها استفاده کنند.

برای افزایش ضریب امنیت سایبری باید چه اقدام‌هایی انجام دهیم؟

در گام نخست باید به‌صورت اصولی به توسعه محصولات بومی به معنای واقعی توجه کنیم؛ نه اینکه صرفاً با استفاده از منابع یا نرم‌افزارهای متن‌باز، محصولاتی تولید کرده یا توسعه دهیم و نام آن‌ها را محصولات یا تجهیزات بومی بگذاریم.
محصول بومی واقعی تعریف مشخصی دارد و ما باید به سمت حمایت از تولید چنین محصولاتی حرکت کنیم. این محصولات باید در زیرساخت‌های حیاتی و اساسی کشور مستقر شوند. من این اقدام را نخستین گام برای حفاظت از داده‌های حساس کشور می‌دانم.
در کنار این موضوع، باید ضوابط و مقررات مشخصی تدوین کنیم که حاکمیت داده را در کشور میسر کند؛ به‌گونه‌ای که بتوانیم در سطح ملی و با در نظر گرفتن ملاحظات امنیت ملی، از داده‌های کشور در بخش‌های مختلف حراست کنیم. ما باید مانع نشت داده‌ها و نقض امنیت آن‌ها شویم و از قرار گرفتن این اطلاعات در اختیار کشورهایی که به دنبال شناسایی اهداف هستند و می‌خواهند از داده‌های ما برای ضربه زدن به این اهداف استفاده کنند، جلوگیری کنیم.

آیا شبکه ملی اطلاعات می‌تواند به‌عنوان یک دیوار پدافندی در فضای مجازی، نقش مؤثری در تقویت امنیت سایبری ایفا کند؟

شبکه ملی اطلاعات، درواقع شبکه‌ای را در داخل کشور ایجاد می‌کند که داده‌های ما در آن مدیریت می‌شوند و به گردش درمی‌آیند. وقتی از شبکه ملی اطلاعات صحبت می‌کنیم، منظورمان این است که داده‌ها در داخل کشور مدیریت شوند و در نقاطی که نیاز به تبادل اطلاعات با خارج از کشور وجود دارد، با دقت بالا، تجهیزات بومی و حفاظت‌های اساسی از آن‌ها مراقبت کنیم؛ بدون اینکه در ارائه خدمات اختلالی ایجاد شود. ما می‌توانیم با استفاده از شبکه ملی اطلاعات، در سطح ملی به همه اهدافی که جامعه از استفاده از اینترنت دارد، دست پیدا کرده و این نگرانی را برطرف کنیم که داده‌هایمان بدون ضرورت از کشور خارج شوند و دوباره بازگردند. در این چارچوب، داده‌ها در داخل کشور پردازش می‌شوند و اگر قرار باشد داده‌ای از کشور خارج یا به آن وارد شود، در دروازه‌های ورودی و خروجی، با استفاده از تجهیزات امن بومی بر آن نظارت و از آن مراقبت می‌کنیم. من این موضوع را گامی بسیار مهم برای افزایش امنیت داده‌ها و اطلاعات در داخل کشور می‌دانم.
البته تا رسیدن به نقطه ایده‌آل، هنوز راه زیادی در پیش داریم، اما آنچه اکنون در کشور دنبال می‌شود، توجه به امنیت شبکه ملی اطلاعات به‌عنوان یک اولویت راهبردی است. مراکزی مانند مرکز ملی فضای مجازی، مرکز مدیریت راهبردی افتا و دیگر دستگاه‌ها و نهادهای متولی امنیت داده در کشور، تلاش می‌کنند پیوست‌های امنیتی شبکه ملی اطلاعات در بالاترین حد ممکن اجرایی شوند تا اطمینان داشته باشیم از داده‌هایمان در محدوده کشور و در فضای مجازی مراقبت می‌شود.