دادهها در خط مقدم
جهان صنعت – گسترش خدمات دیجیتال در ایران طی سالهای اخیر شیوه زندگی، کسبوکار و تعاملات شهروندان با دولت و بخش خصوصی را بهطور اساسی تغییر داده است. امروز بخش مهمی از اطلاعات هویتی، مالی، پزشکی و ارتباطی مردم در سامانههای الکترونیکی ذخیره میشود و میلیونها کاربر روزانه از سکوهای اینترنتی، بانکداری الکترونیکی، خدمات بیمه، حملونقل هوشمند و تجارت الکترونیکی استفاده میکنند. این تحول اگرچه فرصتهای گستردهای برای توسعه اقتصاد دیجیتال فراهم اما همزمان مخاطرات تازهای نیز ایجاد کرده؛ مخاطراتی که مهمترین آنها تهدید امنیت سایبری و افزایش احتمال نقض یا نشت دادههای کاربران است.
گزارش تازه مرکز پژوهشهای مجلس شورای اسلامی با عنوان مروری بر چالشها و راهکارهای سیاستی ارتقای امنیت سایبری در ایران با رویکرد تطبیقی(با تمرکز بر موضوع نقض داده) تلاش کرده با بررسی تجربه ایران و چند کشور دیگر تصویری از وضعیت امنیت سایبری کشور و خلأهای سیاستی موجود ارائه کند. این گزارش با مرور نمونههای متعدد داخلی و خارجی نشان میدهد که امنیت سایبری دیگر صرفا یک موضوع فنی برای متخصصان فناوری اطلاعات نیست بلکه بهیکی از مسائل مهم حکمرانی، اقتصاد، حقوق شهروندی و حتی امنیت ملی تبدیل شده است.
گزارش مرکز پژوهشهای مجلس با بررسی تجربه ایران و جهان نشان میدهد که حفاظت از این دارایی دیگر صرفا یک مساله فنی نیست بلکه بهچالشی در حوزه حکمرانی، قانونگذاری، اعتماد عمومی و امنیت ملی بدل شده است.
اقتصاد دیجیتال بدون امنیت پایدار نمیماند
یکی از محورهای اصلی گزارش ارتباط مستقیم امنیت سایبری با توسعه اقتصاد دیجیتال است. در سالهای گذشته سرمایهگذاری گستردهای برای گسترش خدمات آنلاین در کشور انجام شده و میلیونهانفر اطلاعات شخصی خود را در اختیار سامانههای مختلف قرار دادند. در چنین شرایطی هرگونه حمله سایبری یا افشای اطلاعات تنها یک اختلال فنی محسوب نمیشود بلکه اعتماد عمومی بهخدمات دیجیتال را نیز تحت تاثیر قرار میدهد.
اعتماد مهمترین سرمایه اقتصاد دیجیتال است. اگر کاربران نسبتبه امنیت اطلاعات شخصی خود اطمینان نداشته باشند تمایل آنها برای استفاده از خدمات آنلاین کاهش خواهد یافت. در نتیجه توسعه تجارت الکترونیکی، بانکداری دیجیتال، دولت هوشمند و خدمات مبتنی بر داده نیز با چالش مواجه میشود.
مرکز پژوهشهای مجلس تاکید میکند که طی سالهای اخیر حملات سایبری متعددی علیه شرکتها، نهادهای دولتی و زیرساختهای حیاتی کشور رخ داده که پیامدهای آن تنها محدود بهافشای اطلاعات نبوده بلکه اعتبار سازمانها و اعتماد عمومی را نیز تحت تاثیر قرار داده است. این گزارش نمونههایی مانند حملات بهسامانههای بانکی، شرکتهای بیمه، ثبت احوال، سکوهای حملونقل اینترنتی و خدمات سفارش غذا را بهعنوان نمونههایی از این روند معرفی میکند.
تفاوت مهم نقض داده و نشت داده
یکی از نکات قابلتوجه گزارش تفکیک میان دو مفهوم نقض داده (Data Breach) و نشت داده (Data Leak) است، دواصطلاحی که در ادبیات عمومی ایران اغلب بهجای یکدیگر بهکار میروند.
بر اساس این گزارش نقض داده معمولا نتیجه یک حمله سایبری یا نفوذ عمدی است. در این حالت مهاجمان با استفاده از ابزارهایی مانند هک، بدافزار یا فیشینگ بهسامانههای اطلاعاتی نفوذ کرده و aدرمقابل نشت داده الزاما ناشی از حمله سایبری نیست. گاهی یک خطای انسانی، تنظیمات اشتباه سرور، ارسال اطلاعات بهگیرنده نادرست یا پیکربندی نامناسب سامانههای ابری موجب میشود اطلاعات محرمانه بدون دخالت مستقیم مهاجمان در اختیار افراد غیرمجاز قرار گیرد.
این تمایز از منظر حقوقی و سیاستگذاری اهمیت زیادی دارد زیرا شیوه پیشگیری، مسوولیت سازمانها و نحوه رسیدگی بههر یک از این دو رخداد متفاوت است. گزارش تاکید میکند که هر دو پدیده میتوانند پیامدهای مشابهی از جمله سرقت هویت، خسارت مالی، آسیب بهاعتبار سازمانها و تهدید امنیت ملی ایجاد کنند.
تجربه جهانی چه میگوید؟
بخش قابلتوجهی از گزارش بهبررسی نمونههای مشهور نقض داده در جهان اختصاص یافته است. هدف از این بررسی صرفا مرور رخدادهای امنیتی نیست بلکه تحلیل نحوه واکنش دولتها، شرکتها و نهادهای نظارتی پس از وقوع این حوادث است.
در میان نمونههای بررسیشده پروندههای فیسبوک، یاهو، ماریوت، اکوئیفکس، کپیتال وان، مایکروسافت، ترلو، پاناما پیپرز و کمبریج آنالیتیکا جایگاه ویژهای دارند. وجه مشترک این پروندهها آن است که تقریبا در همه آنها علاوه بر خسارت مالی، شرکتها با کاهش اعتماد کاربران، افت ارزش سهام، شکایتهای دستهجمعی، جریمههای سنگین و الزام بهاصلاح ساختارهای امنیتی روبهرو شدند.
برای نمونه گزارش بهپرونده فیسبوک اشاره میکند که در آن اطلاعات بیش از ۵۳۳میلیونکاربر افشا شد. بهدنبال این رخداد علاوه بر واکنش گسترده افکار عمومی شرکت متا با جریمههای چندصدمیلیون یورویی در اروپا، توافقهای مالی سنگین در آمریکا و الزام بهاصلاح سیاستهای حفاظت از داده مواجه شد. گزارش توضیح میدهد که قوانین اتحادیه اروپا بهکاربران امکان مطالبه خسارت ناشی از نقض داده را نیز میدهد؛ موضوعی که نشاندهنده جایگاه حقوق شهروندان در نظامهای پیشرفته حفاظت از داده است.
در نمونه یاهو نیز گزارش نشان میدهد که تاخیر چندساله این شرکت در اطلاعرسانی درباره حملات سایبری علاوه بر کاهش ارزش تجاری شرکت موجب جریمههای سنگین و شکایتهای گسترده کاربران و سهامداران شد. این تجربه اهمیت شفافیت و اطلاعرسانی سریع در مدیریت بحرانهای سایبری را برجسته میکند.
آنچه از مرور این نمونهها برمیآید آن است که بسیاری از کشورها طی سالهای اخیر تلاش کردند مسوولیت شرکتها در حفاظت از دادههای کاربران را بهصورت شفاف در قوانین تعریف کنند و برای تخلف از این الزامات نیز ضمانت اجراهای مالی و حقوقی قابلتوجهی در نظر بگیرند. درمقابل گزارش مرکز پژوهشهای مجلس معتقد است که چارچوبهای قانونی ایران هنوز فاصله قابلتوجهی با این استانداردها دارد؛ موضوعی که در بخشهای بعدی گزارش بهتفصیل بررسی شده است.
امنیت سایبری؛ از مسوولیت فنی تا مسوولیت حقوقی
یکی از مهمترین ویژگیهای گزارش مرکز پژوهشهای مجلس عبور از نگاه صرفا فنی بهامنیت سایبری است. در این گزارش نقض داده نه بهعنوان یک نقص در سامانههای فناوری اطلاعات بلکه بهعنوان پدیدهای با پیامدهای اقتصادی، حقوقی، اجتماعی و حتی سیاسی بررسی شده است. مطالعه پروندههای بینالمللی نشان میدهد که در بسیاری از کشورها وقوع یک حمله سایبری تنها آغاز بحران است. بخش مهمتر نحوه مدیریت بحران، اطلاعرسانی، جبران خسارت و پاسخگویی مدیران سازمانهاست.
پرونده یاهو؛ هزینه سنگین تاخیر در اطلاعرسانی
یکی از نمونههای مورد بررسی در گزارش پرونده مشهور شرکت یاهو است؛ رخدادی که هنوز هم از آن بهعنوان یکی از بزرگترین نقضهای داده در تاریخ اینترنت یاد میشود. طبق گزارش دوحمله جداگانه در سالهای۲۰۱۳و۲۰۱۴ اطلاعات بیش از ۵/۱میلیارد حساب کاربری را تحت تاثیر قرار داد. اطلاعات افشاشده شامل نام کاربران، نشانی ایمیل، شماره تلفن، تاریخ تولد و رمزهای عبور هششده بود هرچند اطلاعات بانکی در میان دادههای سرقتشده قرار نداشت.
آنچه این پرونده را از بسیاری موارد دیگر متمایز میکند نه صرفا گستردگی حمله بلکه نحوه واکنش شرکت است. گزارش یادآور میشود که یاهو با فاصلهای حدود دوسال وقوع حمله را بهکاربران اطلاع داد؛ موضوعی که بعدها تحقیقات نهادهای نظارتی آمریکا نشان داد مدیران شرکت از حادثه اطلاع داشتند. همین تاخیر زمینهساز شکایتهای متعدد و جریمههای سنگین شد.
از نگاه گزارش تجربه یاهو نشان میدهد که در نظامهای حقوقی پیشرفته پنهانکردن یک رخداد امنیتی میتواند پیامدهایی بهمراتب سنگینتر از خود حمله سایبری داشته باشد. در این پرونده علاوه بر کاربران سهامداران نیز مدعی شدند که شرکت با پنهان کردن اطلاعات آنان را درباره وضعیت واقعی کسبوکار گمراه کرده است.
نقش دعاوی جمعی در حمایت از کاربران
گزارش مرکز پژوهشهای مجلس در ادامه بهسازوکار دعاوی جمعی میپردازد؛ ابزاری که در بسیاری از کشورها برای حمایت از حقوق مصرفکنندگان مورد استفاده قرار میگیرد. استدلال گزارش آن است که در اغلب موارد خسارت هر کاربر بهتنهایی آنقدر زیاد نیست که پیگیری قضایی برای او صرفه اقتصادی داشته باشد اما وقتی میلیونها کاربر بهطور همزمان آسیب میبینند امکان طرح دعوای جمعی فراهم میشود و دادگاه میتواند شرکت متخلف را بهپرداخت خسارت و اصلاح رویهها ملزم کند. گزارش تصریح میکند که نظام حقوقی ایران هنوز سازوکار موثر و فراگیری برای چنین دعاوی در حوزه حفاظت از دادهها ندارد.
در پرونده یاهو سرانجام شرکت با پرداخت صدهامیلیوندلار برای جبران خسارت، تامین هزینههای دادرسی، ارائه خدمات پایش اعتبار کاربران و اصلاح سیاستهای امنیت اطلاعات موافقت کرد. افزون بر این کمیسیون بورس و اوراق بهادار آمریکا نیز بهدلیل تاخیر در افشای حادثه این شرکت را جریمه کرد. گزارش این موارد را نمونهای از پیوند میان امنیت سایبری حقوق شرکتها و شفافیت بازار سرمایه میداند.
ماریوت؛ وقتی ادغام شرکتها بهتهدید امنیتی تبدیل میشود
نمونه مهم دیگر شرکت هتلداری ماریوت اینترنشنال است. گزارش توضیح میدهد که پس از خرید مجموعه هتلهای استاروود برخی آسیبپذیریهای سامانههای قدیمی این شرکت بهطور کامل برطرف نشد و همین مساله زمینه نفوذ مهاجمان را فراهم کرد. نتیجه آن افشای اطلاعات صدهامیلیون مهمان از جمله نام، اطلاعات تماس، شماره گذرنامه و در برخی موارد اطلاعات کارتهای بانکی بود.
گزارش تاکید میکند که اهمیت این پرونده تنها در ابعاد حمله نیست بلکه در نحوه واکنش شرکت نیز قابلتوجه است. ماریوت پس از شناسایی حادثه برای کاربران ایمیل هشدار ارسال و وبگاه و مرکز تماس ویژه ایجاد کرد، خدمات پایش هویت در اختیار برخی کاربران قرار داد، با نهادهای نظارتی همکاری کرده و سامانه آسیبپذیر استاروود را از مدار خارج کرد. متعهد شد در موارد مشخص هزینه تعویض گذرنامه یا خسارت ناشی از سوءاستفاده از اطلاعات بانکی را جبران کند.
با این حال این اقدامات مانع از پیگیریهای قضایی نشد. شکایتهای متعدد کاربران، رسیدگی نهادهای ناظر و جریمههای مالی بخشی از پیامدهای حقوقی این حادثه بود. گزارش یادآور میشود که دفتر کمیسر اطلاعات بریتانیا (ICO) ماریوت را بهدلیل رعایتنکردن استانداردهای حفاظت از دادهها جریمه کرد هرچند همکاری سریع شرکت در کاهش آثار حادثه در میزان جریمه نهایی موثر بود.
وجه مشترک تجربههای جهانی
مرور پروندههای یاهو، ماریوت و سایر نمونههای بررسیشده در گزارش چند الگوی مشترک را آشکار میکند: نخست اینکه تقریبا در همه این پروندهها اطلاعرسانی سریع بهکاربران یکی از مهمترین وظایف شرکتها تلقی شده است. دوم مدیران ارشد و هیاتمدیره نیز دربرابر ضعفهای امنیتی مسوول شناخته شدند و امنیت سایبری دیگر تنها وظیفه واحد فناوری اطلاعات نیست. سوم جبران خسارت کاربران، اصلاح ساختارهای امنیتی و پاسخگویی عمومی بهبخش جداییناپذیر مدیریت بحران تبدیل شده است.
گزارش بهاین نکته اشاره میکند که پساز رخدادهایی مانند پرونده یاهو نهادهای نظارتی آمریکا مقررات سختگیرانهتری برای افشای حوادث سایبری وضع کردند و شرکتهای بورسی موظف شدند در بازهزمانی مشخص وقوع رخدادهای مهم امنیتی را بهبازار سرمایه اطلاع دهند. این تحول نشان میدهد که امنیت سایبری اکنون بهیکی از مولفههای حکمرانی شرکتی و مدیریت ریسک تبدیل شده است.
درمجموع گزارش مرکز پژوهشهای مجلس از این تجربههای بینالمللی نتیجه میگیرد که موفقیت در مدیریت بحرانهای سایبری تنها بهتوان فنی وابسته نیست. وجود قوانین روشن، نهادهای ناظر مستقل، سازوکارهای جبران خسارت، مسوولیتپذیری مدیران و فرهنگ شفافیت نقش تعیینکنندهای در کاهش آثار نقض دادهها دارند. این یافتهها مبنای بخش بعدی گزارش است که بهبررسی وضعیت حقوقی و نهادی ایران و راهکارهای پیشنهادی برای ارتقای نظام حفاظت از دادهها میپردازد.
الزامات سیاستگذاری برای حفاظت از دادهها
مرور تجربههای بینالمللی نشان میدهد که تقریبا هیچ کشوری از تهدید حملات سایبری و نقض دادهها مصون نیست. آنچه کشورها را از یکدیگر متمایز میکند نه وقوع یا عدم وقوع این حوادث بلکه نحوه آمادگی برای پیشگیری، مدیریت بحران و بازگرداندن اعتماد عمومی است. گزارش مرکز پژوهشهای مجلس نیز با همین رویکرد تلاش میکند از تجربه کشورهایی مانند آمریکا و اعضای اتحادیه اروپا برای بررسی وضعیت ایران استفاده کند.
خلأهای حقوقی در حفاظت از دادهها
یکی از مهمترین یافتههای گزارش نبود یک چارچوب جامع و منسجم برای حفاظت از دادههای شخصی در ایران است. گزارش معتقد است اگرچه قوانین مختلفی در حوزه جرایم رایانهای، تجارت الکترونیکی، مجازات اسلامی یا برخی مقررات بخشی بهموضوع امنیت اطلاعات پرداختند اما هنوز قانونی جامع که حقوق صاحبان داده، مسوولیت نگهدارندگان اطلاعات و نحوه رسیدگی بهنقض داده را بهصورت یکپارچه مشخص کند وجود ندارد. این موضوع موجب شده که در بسیاری از رخدادهای سایبری، مسوولیت دستگاهها، حقوق کاربران و سازوکار جبران خسارت با ابهام مواجه باشد.
در بسیاری از نظامهای حقوقی سازمانها موظفند در صورت وقوع نقض داده در مدت زمان مشخص کاربران و نهادهای ناظر را مطلع کنند. افزون بر آن در صورت کوتاهی در حفاظت از اطلاعات، جریمههای مالی سنگین و مسوولیتهای مدنی برای آنها پیشبینی شده است. گزارش با مرور این تجربهها بر اهمیت تدوین مقررات شفاف در ایران تاکید میکند.
مسوولیت مدیران؛ امنیت سایبری فقط وظیفه واحد فناوری نیست
یکی دیگر از محورهای مهم گزارش تغییر نگاه بهمدیریت امنیت سایبری است. در گذشته امنیت اطلاعات عمدتا موضوعی فنی تلقی میشد و مسوولیت آن بر عهده واحدهای فناوری اطلاعات قرار داشت اما تجربه شرکتهایی مانند یاهو و ماریوت نشان داده که تصمیمهای مدیران ارشد درباره سرمایهگذاری، مدیریت ریسک، اطلاعرسانی و پاسخگویی تاثیر مستقیمی بر پیامدهای یک حادثه سایبری دارد.
بر همین اساس گزارش تاکید میکند که هیاتمدیره و مدیران ارشد باید امنیت سایبری را بخشی از نظام حکمرانی سازمان بدانند. تخصیص منابع مالی کافی، ارزیابی مستمر ریسک، نظارت بر اجرای استانداردهای امنیتی، آموزش کارکنان و تدوین برنامه واکنش بهحادثه ازجمله اقداماتی است که باید در سطح مدیریت عالی سازمان دنبال شود. این رویکرد در بسیاری از کشورهای پیشرو بهیکی از الزامات حکمرانی شرکتی تبدیل شده است.
اطلاعرسانی؛ حلقهای که نباید نادیده گرفته شود
گزارش در بررسی پروندههای مختلف بارها بهاهمیت اطلاعرسانی بهموقع اشاره میکند. تاخیر در اعلام وقوع یک حمله سایبری علاوه بر افزایش احتمال سوءاستفاده از اطلاعات میتواند اعتماد کاربران را کاهش دهد و زمینه مسوولیتهای حقوقی بیشتری را برای سازمان ایجاد کند.
درمقابل تجربه شرکتهایی که پس از شناسایی حادثه بهسرعت کاربران را مطلع کرده، راهنماییهای امنیتی ارائه داده و خدمات جبرانی در اختیار آنان قرار دادند نشان میدهد که مدیریت شفاف بحران میتواند بخشی از خسارتهای اعتباری را کاهش دهد. از این منظر اطلاعرسانی صرفا یک اقدام رسانهای نیست بلکه بخشی از مسوولیت حرفهای و حقوقی سازمانها در قبال کاربران محسوب میشود.
امنیت سایبری؛ سرمایهگذاری یا هزینه
یکی از نکات قابل تامل گزارش آن است که بسیاری از سازمانها هزینههای امنیت سایبری را نوعی هزینه اضافی تلقی میکنند درحالیکه تجربههای بینالمللی نشان میدهد هزینه پیشگیری معمولا بسیار کمتر از خسارتهای ناشی از یک نقض داده گسترده است.
در پروندههای بررسیشده شرکتها علاوه بر پرداخت جریمههای مالی با کاهش ارزش سهام، افت درآمد، هزینههای دادرسی، کاهش اعتماد مشتریان و آسیب بهاعتبار تجاری مواجه شدند. در برخی موارد نیز هزینههای اصلاح سامانهها و جبران خسارت کاربران سالها ادامه داشته است. بههمیندلیل گزارش بر ضرورت تغییر نگاه مدیران نسبتبه سرمایهگذاری در امنیت اطلاعات تاکید میکند.
جمعبندی
گزارش مرکز پژوهشهای مجلس بیش از آنکه صرفا گزارشی درباره چند حمله سایبری باشد تلاشی برای ترسیم تصویری از آینده حکمرانی دیجیتال در ایران است. پیام اصلی آن این است که با گسترش اقتصاد دیجیتال حفاظت از دادههای شخصی دیگر یک موضوع تخصصی محدود بهکارشناسان فناوری اطلاعات نیست بلکه بهیکی از ارکان اعتماد عمومی، رقابتپذیری اقتصادی و حکمرانی مطلوب تبدیل شده است.
بررسی تجربههای جهانی نشان میدهد که کشورها برای کاهش آثار نقض داده مجموعهای از ابزارهای حقوقی، نظارتی، فنی و مدیریتی را بهکار گرفتند؛ از تدوین قوانین جامع حفاظت از داده و الزام بهاطلاعرسانی سریع گرفته تا ایجاد نهادهای ناظر، امکان طرح دعاوی جمعی و اعمال جریمههای بازدارنده. درمقابل گزارش معتقد است ایران هنوز در برخی از این حوزهها با خلأهای تقنینی و اجرایی روبهرو بوده و برای همگامشدن با تحولات اقتصاد دیجیتال نیازمند بازنگری در سیاستها و تقویت چارچوبهای حکمرانی داده است.
درنهایت شاید مهمترین پیام این گزارش آن باشد که امنیت سایبری صرفا بهمعنای جلوگیری از نفوذ هکرها نیست بلکه بهمعنای ایجاد محیطی قابل اعتماد برای شهروندان، کسبوکارها و نهادهای عمومی است. هرچه وابستگی جامعه بهخدمات دیجیتال بیشتر میشود حفاظت از دادهها نیز بهیکی از پیششرطهای توسعه پایدار تبدیل خواهد شد. از این منظر سرمایهگذاری در امنیت سایبری نه یک انتخاب بلکه ضرورتی برای آینده اقتصاد و حکمرانی دیجیتال کشور است.
