امنيت سايبري در چرخه تكرار
از هك سامانه ثبت احوال و بانكها تا افشاي اطلاعات شركتهاي بيمه و پلتفرمهاي اينترنتي، فهرست رخدادهاي امنيت سايبري در ايران هر سال طولانيتر ميشود؛ اما آنطور كه تازهترين گزارش مركز پژوهشهاي مجلس نشان ميدهد، اين زنجيره تكرارشونده هنوز به شكلگيري يك نظام حقوقي براي حمايت از كاربران، جبران خسارت قربانيان يا حتي الزام دستگاهها به پاسخگويي منجر نشده است.
از هك سامانه ثبت احوال و بانكها تا افشاي اطلاعات شركتهاي بيمه و پلتفرمهاي اينترنتي، فهرست رخدادهاي امنيت سايبري در ايران هر سال طولانيتر ميشود؛ اما آنطور كه تازهترين گزارش مركز پژوهشهاي مجلس نشان ميدهد، اين زنجيره تكرارشونده هنوز به شكلگيري يك نظام حقوقي براي حمايت از كاربران، جبران خسارت قربانيان يا حتي الزام دستگاهها به پاسخگويي منجر نشده است. گزارشي كه در كنار تشريح ريشههاي اين بحران، تصويري از فاصله ايران با استانداردهاي جهاني حفاظت از دادهها ارايه ميدهد، اما خود نيز از تازهترين رخدادهاي امنيتي كشور جا مانده است.
افشاي اطلاعات كاربران و حمله به زيرساختهاي ديجيتال ديگر به رخدادي استثنايي در ايران تبديل نشده است. در سالهاي اخير، از سامانههاي دولتي گرفته تا بانكها، شركتهاي بيمه، پلتفرمهاي اينترنتي و ارايهدهندگان خدمات مالي، بارها هدف حملات سايبري قرار گرفتهاند؛ رخدادهايي كه هر بار نگرانيهاي گستردهاي درباره امنيت دادههاي شهروندان ايجاد كرده، اما در اغلب موارد بدون تعيين مسووليت روشن، جبران خسارت كاربران يا حتي انتشار گزارش شفاف از ابعاد حادثه به پايان رسيدهاند. مركز پژوهشهاي مجلس شوراي اسلامي در تازهترين گزارش خود با عنوان «مروري بر چالشها و راهكارهاي سياستي ارتقاي امنيت سايبري در ايران» تلاش كرده است تصويري جامع از وضعيت امنيت سايبري كشور ارايه دهد. اين گزارش ضمن بررسي مهمترين حملات سايبري داخلي، آنها را با نمونههاي مشهور جهاني مقايسه كرده و نشان ميدهد كه مهمترين ضعف ايران نه صرفا افزايش حملات، بلكه فقدان زيرساخت حقوقي و نهادي براي مديريت پيامدهاي آنهاست.
روايت دو سال حملات سايبري
بخش مهمي از گزارش به مرور رخدادهاي امنيتي ايران در فاصله تير ۱۴۰۲ تا خرداد ۱۴۰۴ اختصاص يافته است. در اين بازه زماني، حمله به سرورهاي بنياد شهيد، افشاي اطلاعات كاربران تپسي، نشت دادههاي شركتهاي بيمه و سامانه ثبت احوال از نخستين رخدادهاي شاخص محسوب ميشوند. در ادامه نيز حملات به وبسايت وزارت علوم، سامانه هوشمند سوخت، اسنپفود، سايت مجلس شوراي اسلامي، سامانه قوه قضاييه و بنياد مستضعفان در فهرست گزارش قرار گرفتهاند؛ مجموعهاي از رخدادها كه نشان ميدهد دامنه حملات، هم نهادهاي حاكميتي و هم بخش خصوصي را دربر گرفته است. اين روند در سال ۱۴۰۳ نيز ادامه يافت. گزارش به حمله سايبري گسترده عليه بيش از ۲۰ بانك ايراني در شهريور همان سال اشاره ميكند؛ رخدادي كه يكي از بزرگترين حملات به زيرساخت بانكي كشور به شمار ميرود. آخرين مورد ثبتشده در گزارش نيز حملات همزمان به بانك سپه، بانك پاسارگاد و صرافي نوبيتكس در جريان جنگ ۱۲ روزه خرداد ۱۴۰۴ است. مركز پژوهشها با كنار هم قرار دادن اين رخدادها، تصويري از روند فزاينده تهديدهاي سايبري در ايران ترسيم ميكند؛ روندي كه به اعتقاد نويسندگان گزارش، ديگر نميتوان آن را مجموعهاي از اتفاقات پراكنده دانست، بلكه به يك الگوي مستمر تبديل شده است.
گزارشي كه خود از آخرين رخدادها عقب ماند
با وجود جامع بودن اين بررسي، گزارش يك خلأ قابل توجه نيز دارد. اگرچه نسخه نهايي آن در تير ۱۴۰۵ منتشر شده، اما جدول رخدادهاي امنيتي در خرداد ۱۴۰۴ متوقف ميشود و هيچ اشارهاي به حملات سايبري اخير عليه چهار بانك كشور و شركت خدمات انفورماتيك ندارد. اين موضوع از آن جهت اهميت دارد كه خود گزارش بارها بر ضرورت اطلاعرساني سريع، شفافيت و بهروز بودن دادههاي امنيت سايبري تاكيد كرده است. در نتيجه، فاصله زماني ميان انتشار گزارش و آخرين رخدادهاي مهم، ناخواسته همان مشكلي را بازتاب ميدهد كه نويسندگان گزارش در حال نقد آن هستند؛ يعني نبود سازوكاري براي بهروزرساني مستمر اطلاعات و ارايه تصويري دقيق از وضعيت امنيت سايبري كشور.
پنج ضعف ساختاري كه بحران را تكرار ميكند
مركز پژوهشهاي مجلس در جمعبندي خود پنج چالش اساسي را عامل تداوم اين وضعيت معرفي ميكند؛ نخست، افزايش كمّي و كيفي حملات سايبري و گسترش دامنه آنها به بخشهاي مختلف دولتي و خصوصي است. دوم، ضعف در اطلاعرساني و پاسخگويي پس از وقوع حملات؛ موضوعي كه موجب ميشود كاربران از ابعاد واقعي رخداد و ميزان آسيب وارد شده به اطلاعات شخصي خود آگاه نشوند. سومين ضعف، نبود قانون جامع حفاظت از دادههاي شخصي و فقدان نهادي مستقل براي نظارت بر اجراي آن است. كمبود نيروي انساني متخصص در حوزه امنيت سايبري نيز چهارمين مشكل ساختاري معرفي شده و در نهايت، گزارش به نبود مسووليتپذيري سازمانها در قبال كاربران و خسارتهاي ناشي از نشت اطلاعات اشاره ميكند. به اعتقاد مركز پژوهشها، همين مجموعه عوامل باعث شده است حملات سايبري در ايران غالبا بدون پيامد حقوقي يا مديريتي جدي خاتمه پيدا كنند.
كاربران؛ حلقه فراموششده حملات سايبري
يكي از مهمترين محورهاي گزارش، بررسي نحوه برخورد سازمانها با كاربران پس از وقوع حملات سايبري است. در بسياري از كشورها، هنگامي كه اطلاعات كاربران افشا ميشود، شركتها موظفند در كوتاهترين زمان ممكن وقوع حادثه را اطلاعرساني كنند، ابعاد آن را توضيح دهند و در صورت وارد شدن خسارت، مسووليت جبران آن را برعهده بگيرند. در برخي پروندهها نيز كاربران از طريق دعاوي جمعي موفق به دريافت غرامتهاي چند ميليون دلاري شدهاند. اما گزارش مجلس تاكيد ميكند كه در ايران چنين روندي تقريبا وجود ندارد. طبق گزارش، در پروندههايي مانند حمله به تپسي، اسنپفود يا حمله گسترده به بانكها، نه دعاوي جمعي موثري عليه شركتها شكل گرفته و نه اطلاعات روشني درباره جريمه يا برخورد نهادهاي ناظر با شركتهاي آسيبديده منتشر شده است. در نتيجه، كاربران عملا آخرين حلقه اين زنجيره هستند؛ اطلاعات آنها افشا ميشود، اما سازوكاري براي احقاق حقوق يا جبران خسارتشان وجود ندارد.
واكنش متفاوت شركتها به باجخواهي هكرها
گزارش همچنين به نحوه مواجهه شركتها با درخواستهاي باجگيري گروههاي هكري پرداخته است. بر اساس اين گزارش، تپسي به صورت رسمي اعلام كرد حاضر به پرداخت باج نشده است. اسنپفود نيز هيچگاه پرداخت مبلغ درخواستي هكرها را تاييد نكرد. در مقابل، گزارش درباره حمله گسترده به بيش از ۲۰ بانك ايراني در سال ۱۴۰۳ مينويسد شركت توسن براي جلوگيري از انتشار بيشتر اطلاعات، حدود سه ميليون دلار به گروه هكري پرداخت كرده است. مركز پژوهشها البته تاكيد ميكند كه چنين اقدامي را نميتوان جبران خسارت كاربران تلقي كرد؛ بلكه صرفاتلاشي براي كنترل بحران بوده است. افزون بر اين، حتي در صورت پرداخت باج نيز هيچ تضميني وجود ندارد كه نسخههاي در اختيار مهاجمان واقعا حذف شده يا امكان سوءاستفاده مجدد از آنها از بين رفته باشد.
ريشه بحران؛ نبود قانون جامع حفاظت از داده
گزارش، ريشه بسياري از مشكلات را در خلأ قانوني جستوجو ميكند. در اتحاديه اروپا، مقررات عمومي حفاظت از دادهها (GDPR) شركتها را ملزم ميكند در مدت زمان مشخص، وقوع نشت اطلاعات را اعلام كنند، حقوق كاربران را رعايت كنند و در صورت تخلف با جريمههاي سنگين روبهرو شوند. در امريكا نيز قوانين متعددي از جمله CCPA سازوكارهايي براي حمايت از دادههاي شخصي پيشبيني كردهاند. اما در ايران هنوز قانون جامعي براي حفاظت از دادههاي شخصي وجود ندارد؛ قانوني كه بتواند مسووليت شركتها، حقوق كاربران، نحوه اطلاعرساني، ميزان جريمهها و اختيارات نهادهاي نظارتي را بهصورت شفاف مشخص كند. به همين دليل، سازمانها در بسياري از موارد اختيار دارند درباره نحوه اطلاعرساني، ميزان شفافيت يا حتي اعلام اصل وقوع حادثه تصميمگيري كنند و نهادهاي ناظر نيز ابزار حقوقي كافي براي الزام آنها در اختيار ندارند.
پيشنهادهايي براي اصلاح وضعيت
مركز پژوهشهاي مجلس در پايان گزارش، مجموعهاي از پيشنهادهاي سياستي را براي اصلاح اين وضعيت ارايه كرده است. نخستين پيشنهاد، تصويب قانون جامع حفاظت از دادههاي شخصي است؛ قانوني كه مسووليت سازمانها، حقوق كاربران و ضمانتهاي اجرايي را به صورت شفاف تعريف كند. ايجاد يك نهاد مستقل حفاظت از دادهها، مشابه نهادهاي ناظر در اتحاديه اروپا، دومين پيشنهاد كليدي گزارش است؛ نهادي كه اختيار تحقيق، رسيدگي، صدور حكم و اعمال جريمه را داشته باشد. الزام دستگاهها و شركتها به اطلاعرساني نقض داده در مهلتي مشخص، كه با الگوبرداري از GDPR حداكثر ۷۲ ساعت پيشنهاد شده، از ديگر محورهاي اين بسته سياستي است. گزارش همچنين انجام مميزيهاي امنيتي توسط شركتهاي مستقل، توسعه بيمه امنيت سايبري براي جبران خسارت كاربران، سرمايهگذاري در آموزش نيروي متخصص، ارايه مشوقهاي مالياتي براي ارتقاي امنيت شركتهاي كوچك و متوسط، بهرهگيري از فناوريهايي مانند هوش مصنوعي براي شناسايي تهديدها، تقويت همكاريهاي بينالمللي و اجراي رزمايشهاي منظم واكنش به حادثه را از ديگر راهكارهاي پيشنهادي ميداند.
مساله اصلي؛ اجراي قانون، نه كمبود ايده
با وجود اين، خود گزارش نيز اذعان ميكند كه بسياري از اين پيشنهادها تازه نيستند و طي سالهاي گذشته بارها در اسناد سياستي و نشستهاي تخصصي مطرح شدهاند. از اين منظر، چالش اصلي امروز كشور كمبود راهكار يا نبود شناخت از مساله نيست؛ بلكه فقدان سازوكار اجرايي براي تبديل اين پيشنهادها به قوانين الزامآور و رويههاي عملياتي است. در واقع، تجربه سالهاي اخير نشان ميدهد كه با هر حمله سايبري، بحث درباره ضرورت تصويب قانون حفاظت از دادهها، تقويت امنيت زيرساختها و افزايش شفافيت دوباره مطرح ميشود، اما پس از فروكش كردن حساسيتها، روند اصلاحات نيز متوقف ميشود و حمله بعدي دوباره همين چرخه را از ابتدا تكرار ميكند. گزارش مركز پژوهشهاي مجلس نيز اگرچه تصويري نسبتا دقيق از ابعاد اين بحران ارايه ميدهد، اما همزمان يادآور اين واقعيت است كه تا زماني كه پاسخگويي، شفافيت و حفاظت از دادههاي شخصي به يك الزام قانوني تبديل نشود، نه كاربران از حقوق موثري برخوردار خواهند بود و نه سازمانها انگيزه كافي براي ارتقاي امنيت و پذيرش مسووليت در قبال پيامدهاي نشت اطلاعات خواهند داشت. در چنين شرايطي، هر حمله سايبري جديد تنها نام ديگري به فهرست بلند رخدادهاي امنيتي كشور اضافه ميكند؛ فهرستي كه هر سال طولانيتر ميشود، اما هنوز به همان پرسش اساسي پاسخ نداده : مسوول حفاظت از دادههاي شهروندان و جبران خسارت آنها چه كسي است.
