امنیت سایبری زیرساخت‌های حیاتی و راهکارهای تاب‌آوری ملی

زیرساخت های کشور زیر آتش دیجیتال؛ نقشه ای تازه برای دوام آوردن

امنیت سایبری زیرساخت های حیاتی دیگر یک بحث فنی محدود به اتاق سرورها نیست. وقتی برق، آب، حمل ونقل، بانک ها، مراکز درمانی و شبکه های ارتباطی به سامانه های دیجیتال وابسته اند، یک اختلال کوچک می تواند خیلی سریع به بحران عمومی تبدیل شود. برای مقابله با حملات سایبری هم دیگر خرید چند ابزار امنیتی کافی نیست؛ کشورها به راهبردی هماهنگ برای تاب آوری ملی و ادامه خدمات ضروری نیاز دارند.

مشکل اینجاست که بسیاری از سازمان ها هنوز امنیت را مجموعه ای از محصولات جدا از هم می بینند. فایروال می خرند، نرم افزار نظارتی نصب می کنند و چند گزارش دوره ای هم تحویل می دهند؛ اما وقتی حمله واقعی از راه می رسد، تیم ها نمی دانند چه کسی باید تصمیم بگیرد، کدام سرویس اولویت دارد و ارتباط با مردم چطور باید مدیریت شود.

مطالعه مقاله قبلی در دسته بندی علم و دانش با عنوان بحران تریلیون دلاری توکن های هوش مصنوعی و آینده بازار.

زیرساخت حیاتی فقط نیروگاه و پالایشگاه نیست

تا چند سال قبل، با شنیدن عبارت زیرساخت حیاتی بیشتر یاد نیروگاه، سد، پالایشگاه یا تأسیسات نظامی می افتادیم. حالا تعریف ماجرا خیلی گسترده تر شده است. یک مرکز داده، سامانه پرداخت، شبکه مخابراتی، شرکت توزیع مواد غذایی یا حتی نرم افزار مدیریت بیمارستان هم می تواند بخشی از زنجیره خدمات ضروری باشد.

این وابستگی دیجیتال کار را راحت تر کرده، اما یک نقطه ضعف جدی هم ساخته است. اگر سامانه رزرو یک شرکت حمل ونقل از دسترس خارج شود، تأخیر فقط روی نمایشگر باقی نمی ماند؛ مسافر سرگردان می شود، بار به مقصد نمی رسد و کسب وکارهای دیگر هم ضرر می کنند. اثر یک اختلال سایبری درست مثل ردیف دومینو جلو می رود.

نکته مهم تر، وابستگی سازمان ها به تأمین کنندگان بیرونی است. بسیاری از اپراتورها برای نرم افزار، فضای ابری، نگهداری تجهیزات و پشتیبانی شبکه از چندین شرکت کمک می گیرند. حالا اگر فقط یکی از این شرکت ها آسیب پذیر باشد، مهاجم می تواند از همان مسیر وارد مجموعه ای بزرگ تر شود.

به همین دلیل، بررسی امنیت صرفاً در محدوده داخلی سازمان جواب نمی دهد. مدیران باید بدانند چه سرویس هایی از بیرون دریافت می شود، داده ها کجا قرار دارند، چه افرادی به آن ها دسترسی دارند و در صورت قطع شدن تأمین کننده، جایگزین واقعی چیست. جمله «احتمالش خیلی کم است» هم دیگر پاسخ قابل قبولی نیست.

تهدیدها سریع تر و حرفه ای تر شده اند

مهاجمان امروزی لزوماً چند نوجوان کنجکاو پشت لپ تاپ نیستند. گروه های سازمان یافته، مجرمان باج افزاری و بازیگران وابسته به دولت ها، زمان و منابع زیادی برای شناسایی هدف صرف می کنند. آن ها دنبال جایی هستند که یک نفوذ محدود، بیشترین فشار اقتصادی یا اجتماعی را ایجاد کند.

هوش مصنوعی هم اجرای برخی حمله ها را ساده تر کرده است. ساخت پیام های فیشینگ طبیعی، جعل صدای مدیر، تولید اسناد ظاهراً معتبر و تحلیل اطلاعات افشاشده حالا با سرعت بیشتری انجام می شود. یعنی حتی کارمندی که قبلاً پیام جعلی را از روی غلط های عجیب تشخیص می داد، ممکن است این بار گول بخورد.

البته همان فناوری می تواند به مدافعان هم کمک کند. تحلیل رفتار کاربران، تشخیص الگوهای غیرعادی و اولویت بندی هشدارها با کمک ابزارهای هوشمند دقیق تر می شود. بااین حال، سپردن همه چیز به الگوریتم اشتباه بزرگی است. سیستم خودکار ممکن است هشدار بدهد، اما تصمیم درباره خاموش کردن یک شبکه درمانی یا توقف یک خط تولید همچنان به انسان باتجربه نیاز دارد.

امنیت سایبری زیرساخت های حیاتی باید ترکیبی از فناوری، نیروی انسانی و فرآیند روشن باشد. اگر یکی از این سه بخش جدی گرفته نشود، دو بخش دیگر هم در لحظه بحران کارایی کامل نخواهند داشت.

تاب آوری با جلوگیری کامل از حمله فرق دارد

هیچ سازمانی نمی تواند قول بدهد که هرگز هک نمی شود. چنین ادعایی بیشتر شبیه شعار تبلیغاتی است تا برنامه امنیتی. آسیب پذیری تازه، خطای انسانی یا ضعف یک شریک تجاری همیشه ممکن است راهی برای نفوذ ایجاد کند.

تاب آوری یعنی حتی اگر مهاجم وارد شد، همه چیز با هم از کار نیفتد. شبکه باید بخش بندی شده باشد، نسخه های پشتیبان باید سالم و جدا از محیط اصلی نگهداری شوند و سرویس های ضروری بتوانند حداقل با ظرفیت محدود ادامه پیدا کنند. هدف این است که بحران کنترل شود، نه اینکه با یک ضربه کل مجموعه زمین بخورد.

برنامه بازیابی هم نباید فقط در قالب یک فایل طولانی روی رایانه مدیر فناوری باقی بماند. این برنامه باید مرتب آزمایش شود. آیا نسخه پشتیبان واقعاً قابل بازیابی است؟ اگر ایمیل سازمانی قطع شد، تیم بحران چطور ارتباط می گیرد؟ اگر مدیر اصلی در دسترس نبود، چه کسی اختیار تصمیم گیری دارد؟

تمرین های شبیه سازی پاسخ همین پرسش ها را روشن می کنند. این تمرین ها معمولاً ضعف هایی را نشان می دهند که در گزارش های رسمی دیده نمی شود؛ از شماره تماس قدیمی یک مسئول گرفته تا نبود هماهنگی میان تیم فنی، روابط عمومی و مدیریت ارشد.

تاب آوری ملی زمانی شکل می گیرد که سازمان ها فقط به دفاع از ساختمان خودشان فکر نکنند. یک اپراتور آب، بانک یا شرکت مخابرات باید اثر تصمیم هایش بر سایر خدمات را هم بسنجد. در بحران واقعی، هیچ زیرساختی جزیره ای و جدا از بقیه نیست.

چرا رعایت استانداردها به تنهایی کافی نیست؟

قوانین و استانداردها ضروری اند؛ چون حداقل انتظارات را مشخص می کنند و مدیران را وادار می کنند برای امنیت بودجه در نظر بگیرند. مشکل از جایی شروع می شود که هدف اصلی سازمان، گرفتن تأییدیه و پر کردن چک لیست باشد.

ممکن است یک مجموعه روی کاغذ همه الزامات را رعایت کرده باشد، اما تجهیزات قدیمی، حساب های کاربری بلااستفاده یا دسترسی های بیش ازحد هنوز در شبکه باقی مانده باشند. گزارش انطباق معمولاً وضعیت یک مقطع زمانی را نشان می دهد، درحالی که تهدید سایبری هر روز تغییر می کند.

رویکرد بهتر، مدیریت امنیت براساس ریسک واقعی است. اول باید دارایی های حیاتی شناسایی شوند، بعد مسیرهای احتمالی حمله و پیامد توقف هر سرویس بررسی شود. همه سامانه ها ارزش یکسانی ندارند و منطقی نیست بودجه محدود میان آن ها به طور مساوی تقسیم شود.

مدیران ارشد هم باید در این گفت وگو حضور داشته باشند. امنیت فقط مسئولیت مدیر فناوری اطلاعات نیست. وقتی خاموش کردن یک سرویس روی درآمد، سلامت مردم یا اعتبار سازمان اثر می گذارد، مدیرعامل و هیئت مدیره هم باید پیامدهای آن را بفهمند و برایش تصمیم بگیرند.

اشتراک گذاری اطلاعات باید جدی تر شود

یکی از ضعف های رایج این است که سازمان ها درباره رخدادهای امنیتی سکوت می کنند. ترس از آسیب اعتباری، جریمه یا واکنش مشتریان باعث می شود اطلاعات مهم دیر به بقیه برسد. در همین فاصله، مهاجم همان روش را علیه چند هدف دیگر امتحان می کند.

اشتراک گذاری سریع شاخص های نفوذ، روش حمله و آسیب پذیری های کشف شده می تواند جلوی گسترش بحران را بگیرد. قرار نیست اطلاعات حساس یا مشخصات مشتریان عمومی شود؛ مهم این است که هشدار فنی قابل استفاده، به موقع به اپراتورهای مرتبط برسد.

برای این کار، اعتماد حرف اول را می زند. بخش دولتی، شرکت های خصوصی و مراکز تخصصی باید کانال هایی امن و قواعدی شفاف داشته باشند. سازمانی که یک رخداد را صادقانه گزارش می کند نباید احساس کند به خاطر همکاری تنبیه خواهد شد.

همکاری فقط هنگام حادثه معنی ندارد. گروه های مختلف می توانند پیش از وقوع حملات سایبری، سناریوهای مشترک طراحی کنند، وابستگی سرویس ها را بشناسند و تمرین های منطقه ای یا سراسری برگزار کنند. چنین کاری در ظاهر زمان بر است، اما وسط بحران ساعت های ارزشمندی می خرد.

فناوری قدیمی، بدهی پنهان زیرساخت هاست

بخشی از زیرساخت های عملیاتی برای چند دهه کار طراحی شده اند. تعویض یک سامانه کنترل صنعتی هم مثل به روزرسانی برنامه گوشی نیست. توقف خط تولید یا شبکه توزیع ممکن است هزینه سنگینی داشته باشد، بنابراین تجهیزات قدیمی سال ها بدون تغییر باقی می مانند.

بعضی از این سیستم ها دیگر وصله امنیتی دریافت نمی کنند یا برای اتصال دائمی به اینترنت ساخته نشده اند. بااین حال، نیاز به مدیریت از راه دور و تحلیل داده باعث شده کم کم به شبکه های جدید متصل شوند. همین اتصال کوچک گاهی دری بزرگ برای ورود مهاجم باز می کند.

اگر جایگزینی فوری ممکن نیست، باید لایه های محافظتی اضافه شود. جداسازی شبکه عملیاتی، محدود کردن دسترسی، ثبت دقیق فعالیت ها و استفاده از ابزارهای تشخیص تهدید می تواند ریسک را پایین بیاورد. مهم تر از همه، سازمان باید بداند کدام تجهیزات قدیمی در شبکه فعال اند؛ موضوعی که گاهی حتی فهرست دقیقی برایش وجود ندارد.

بودجه نوسازی هم نباید فقط بر پایه کاهش هزینه انرژی یا افزایش سرعت توجیه شود. بهبود امنیت شبکه و کم شدن احتمال توقف خدمات، ارزش اقتصادی مستقیمی دارد. هزینه پیشگیری معمولاً خیلی کمتر از باج، بازیابی داده و خسارت ناشی از تعطیلی طولانی است.

آدم ها هنوز مهم ترین بخش دفاع هستند

بیشتر حمله ها در نهایت با یک حساب کاربری، رمز عبور یا تصمیم انسانی سروکار دارند. آموزش سالانه و نمایش چند اسلاید خسته کننده کافی نیست. کارکنان باید با نمونه های واقعی، کوتاه و مرتبط با وظیفه خودشان آموزش ببینند.

کارمند مرکز تماس با مسئول نگهداری نیروگاه ریسک های یکسانی ندارد. آموزش مؤثر باید نقش محور باشد و به افراد بگوید هنگام دیدن مورد مشکوک دقیقاً چه کاری انجام دهند. گزارش دادن هم باید ساده باشد؛ نه اینکه کارمند برای اعلام یک ایمیل مشکوک پنج فرم مختلف پر کند.

از طرف دیگر، فرهنگ سرزنش معمولاً نتیجه بدی دارد. اگر کسی به دلیل یک اشتباه از مجازات شدید بترسد، احتمالاً آن را پنهان می کند. گزارش سریع خطا می تواند تفاوت میان یک رخداد کوچک و یک بحران گسترده باشد.

تیم های امنیتی نیز به حمایت نیاز دارند. هشدارهای شبانه روزی، کمبود نیرو و فشار دائمی احتمال فرسودگی و اشتباه را بالا می برد. سرمایه گذاری روی مهارت، گردش شیفت و سلامت نیروی انسانی بخشی جدی از تاب آوری ملی است، نه یک مزیت جانبی.

یک نقشه عملی برای آمادگی واقعی

قدم اول، شناخت دقیق خدمات حیاتی و وابستگی های آن هاست. سازمان باید بداند توقف کدام سامانه بعد از چند دقیقه یا چند ساعت به مردم آسیب می زند. بدون این تصویر، اولویت بندی بودجه و نیروی انسانی بیشتر بر اساس حدس جلو می رود.

قدم دوم، طراحی دفاع چندلایه است. احراز هویت چندمرحله ای، مدیریت دسترسی، بخش بندی شبکه، پشتیبان گیری آفلاین و نظارت مداوم باید در کنار هم قرار بگیرند. هیچ ابزار واحدی قرار نیست ناجی همه چیز باشد.

قدم سوم، تمرین مداوم سناریوهای بحرانی است. بهتر است سناریوها سخت و حتی کمی آزاردهنده باشند: قطع هم زمان ارتباطات، افشای اطلاعات، خرابی نسخه پشتیبان یا در دسترس نبودن مدیران اصلی. تمرین آسان فقط حس امنیت کاذب می سازد.

قدم چهارم، هماهنگی با تأمین کنندگان و نهادهای مسئول است. قراردادها باید وظایف امنیتی، زمان گزارش رخداد و روش ادامه خدمت در وضعیت اضطراری را روشن کنند. عبارت های مبهم دقیقاً همان چیزی هستند که وسط بحران دردسر درست می کنند.

در نهایت، شاخص موفقیت نباید فقط تعداد حمله های مسدودشده باشد. زمان کشف نفوذ، سرعت مهار، مدت بازیابی و توان ادامه خدمات معیارهای واقعی تری هستند. امنیت سایبری زیرساخت های حیاتی وقتی ارزش خود را نشان می دهد که زندگی روزمره مردم، حتی زیر فشار یک حمله جدی، متوقف نشود.

تهدیدهای دیجیتال قرار نیست آرام تر شوند و اتصال سامانه ها هم روزبه روز بیشتر می شود. پس راه حل، ترسیدن از فناوری یا قطع کامل ارتباط نیست. باید زیرساختی بسازیم که حمله را زود ببیند، ضربه را محدود کند، سریع برگردد و از هر حادثه چیزی یاد بگیرد. این همان تفاوت میان امنیت نمایشی و تاب آوری واقعی است.

برای دریافت جدیدترین اخبار تکنولوژی با مجله هوش مصنوعی با ما همراه باشید