مدیران رمیس: جبران خسارت فناوری اطلاعات دولت، ۱۰ همت هزینه دارد

به گزارش پیوست، شاپور خسروی، مدیر فروش رمیس، از افزایش درخواست مشتریان این شرکت در دو حوزه امنیت و پشتیبانی خبر داد. به گفته او رویکرد بخش دولتی به واردات تجهیزات زیرساخت در روزهای پس از جنگ با تساهل بیشتری همراه است؛ این درحالی است که به گفته او اکنون نهادهای دولتی نیازمند حدود ۱۰ الی ۱۵ همت سرمایه برای جبران خسارت به تجهیزات اکتیو زیرساخت فناوری اطلاعات خود هستند.

همچنین محمد سلطانی، مدیر فنی رمیس عنوان کرد اگر نهادهای دولتی می‌خواهند از آسیب به تجهیزات زیرساختی فناوری اطلاعات خود در امان باشند باید انحصار استفاده از یک برند خاص در این حوزه برداشته شود.

خسروی توضیح داد که برای جلوگیری از حملات سایبری باید قوانین بالادستی در حوزه واردات تجهیزات زیرساختی تغییر کنند؛ زیرا تا پیش از جنگ واردات تجهیزات زیرساختی در ردیف واردات کالاهایی کم اهمیت‌تر همچون کنسول بازی قرار می‌گرفته است؛ همچنین رویکرد اخیر درباره تخصیص ارز برای واردات تجهیزات زیرساختی نیز وجود داشته است.

مدیر فروش رمیس، اهمیت واردات تجهیزات زیرساختی را به عنوان یک کالای اساسی یادآوری کرد و در خصوص نقش این حوزه در حفظ امنیت ملی عنوان کرد: تجهیزات زیرساختی حکم کالای اساسی دارد زیرا وقتی سرویس نو بر پایه فناوری در کشور ارائه می‌شود اولا انتظارات از نوع خدمات تغییر می‌کند، دوم زیرساخت‌های قبلی که بر پایه فناوری نبودند از بین می‌روند. برای مثال اکنون بیشتر از اسنپ استفاده می‌شود تا آژانس و در واقع اسنپ تبدیل به نوعی حمل‌و‌نقل عمومی شده است و در صورت حمله زیرساختی به آن بخشی از امنیت ملی به خطر می‌افتد؛ از این جهت نباید واردات تجهیزات مرکز داده با واردات کنسول بازی در یک ردیف قرار بگیرد.

اما او در ادامه توضیح داد که نگاه حاکمیت بعد از جنگ به واردات تجهیزات زیرساختی نسبت به قبل از جنگ کاملا متفاوت شده است و اکنون این گروه کالا به نظر دولت دست‌کمی از کالاهای اساسی ندارد.

خسروی در این باره گفت: برای مثال بر اساس شنیده‌ها کارگروهی در وزارت اقتصاد تشکیل شد تا در این حوزه تسهیلاتی انجام دهد و به بانک‌ها نیز اختیار خرید بدون تشریفات تجهیزات زیرساختی داده شده است. درنتیجه اکنون مدیران عامل بانک‌ها می‌توانند بدون تشریفات و پیچیدگی‌های گذشته، تجهیزات مربوط به امنیت و زیرساخت خود را خریداری کنند.

کسب‌وکارها نگهداری اطلاعات را برون‌سپاری کنند 

خسروی در پاسخ به این سوال که حالا کسب‌وکارها برای ایجاد امنیت بیشتر داده‌های خود باید چه اقداماتی انجام دهند گفت: بهتر است کسب‌وکارهای کوچک خدمات حوزه فناوری خود را به صورت برون‌سپاری از شرکت‌هایی که خدمات ابری ارائه می‌کنند تهیه کنند و خودشان مرکز داده مستقل و کوچک نداشته باشند؛ زیرا این شرکت‌ها بهتر می‌توانند امنیت مورد نیاز را ایجاد کنند.

او درباره اقدامات مورد نیاز در سازمان‌ها و نهادهایی که مجبور به نگهداری از داده‌های خود هستند عنوان کرد: این سازمان‌ها باید در معماری امنیت خود بازنگری و بند به بند استانداردهای امنیتی که ذیل ایزو ۲۷۰۰ تعریف می‌شود را رعایت کنند. از سوی دیگر بسیاری از حملات با همکاری کارمندان ناراضی شکل می‌گیرد که در این میان منابع انسانی سازمان‌ها می‌توانند نقش پررنگی در کاهش خطر ایفا کنند.

زیرساخت اقتصاد دیجیتال آسیب ندید

به گفته خسروی رمیس در روزهای جنگ دچار آسیب چندانی نشده است و تنها به دلیل لغو پروازها تامین کالا در این شرکت متوقف شده است.

او همچنین توضیح داد که کارکنان رمیس در طول جنگ به صورت حضوری و غیر حضوری سرکار بوده‌اند و این شرکت خدمات مهمی به دو بانک آسیب‌دیده سپه و پاسارگاد ارائه کرده است.

شاپور خسروی در پاسخ به این سوال که کسب‌وکارهای اقتصاد دیجیتال تا چه اندازه در جنگ اخیر دچار آسیب شدند، گفت: برآورد دقیقی نمی‌توان ارائه کرد اما خوشبختانه به دلیل این که بیشتر هاست‌های کسب‌وکارهای اقتصاد دیجیتال در داخل کشور قرار دارند، کسب‌وکارها به لحاظ زیرساختی آسیب جدی ندیدند و می‌توان گفت بخش خصوصی در این حوزه اکنون وضعیت بهتری نسبت به بخش دولتی دارد.

اما خسروی درباره برآورد تقریبی آسیب به زیرساخت‌های بخش دولتی عنوان کرد: به نظر می‌آید در بخش دولتی آسیب‌ها بیشتر بوده است زیرا حمله‌ها بیشتر روی زیرساخت‌های دولتی متمرکز بود. برآورد من این است که بخش دولتی در حوزه زیرساخت و تجهیزات اکتیو مراکز داده به سرمایه‌ای در حدود ۱۰ تا ۱۵ همت نیاز دارد تا به شرایط پیش از جنگ برگردد.

استفاده از برندهای متنوع؛ راه نجات تجهیزات زیرساختی

محمد سلطانی، مدیر فنی رمیس یکی از راهکارهای اساسی برای حداقل‌سازی احتمال یا جلوگیری از آسیب به زیرساخت‌های دیجیتال کشور را تنوع‌بخشی در حوزه منابع زیرساختی و استفاده از مدل‌ها و برندهای مختلف در بازار معرفی کرد. به گفته سلطانی بعد از حملات اخیر مهم ترین درس‌آموخته این است که باید تغییراتی در رویکردهای خریداری منابع زیرساختی و نگهداری آنها ایجاد شود.

به عقیده سلطانی در حوزه خریداری و بکارگیری تجهیزات و منابع زیرساختی، مهمترین نتیجه لزوم خروج از انحصار فعلی است. او عنوان کرد یکی از مهمترین نقاط ضعف ما vendor-lock شدن، بدون حتی کوچکترین تلاش وندور برای این امر، است. شرکت‌هایی که بخش عمده‌ای از بازار کشور در انحصار آنهاست، مانند شرکت سیسکو در حوزه تجهیزات شبکه، شرکت HPE در حوزه منابع پردازشی و شرکت Dell در حوزه تجهیزات ذخیره‌سازی و پشتیبان‌گیری مبتنی بر دیسک، به صورت مستقیم حتی یک دلار در کشور به منظور بازاریابی و جلب نظر مشتریان هزینه نکرده‌اند و این بسیار تلخ است که بخش بزرگی از بدنه مدیران و کارشناسان حوزه زیرساخت فناوری اطلاعات در کشور  چه در سمت کارفرماها و چه در سمت پیمانکاران مقاومت بالایی در استفاده از تجهیزات متنوع و جدید دارند.

به عقیده مدیر فنی رمیس این سطح از چسبندگی و تعصب به برندها و محصولات و مدل‌های خاصی از تجهیزات این برندها باید آسیب‌شناسی شده و برای کاهش آنها قدم‌های جدی برداشته شود.

سلطانی اضافه می‌کند: البته تجربیات تلخی نیز از استفاده از تجهیزات جدید و تجربه نشده نیز وجود دارد که علت اصلی آن نبود پشتیبانی مستقیم و حضور وندورها در کشور است که همین موضوع یکی از دلایل مهم مقاومت مدیران و کارشناسان حوزه زیرساخت‌های دیجیتال است.

سلطانی می‌گوید: نقش شرکت‌های تولیدکننده نرم‌افزارهای داخلی را نیز باید مورد اشاره قرار داد. این شرکت‌ها نیز بسیار در مقابل ایجاد تنوع در تجهیزات زیرساختی مقاومت دارند و عملاً لیست مشخصی از تجهیزات را به مشتریان خود اجبار می‌کنند که همین موضوع باعث شده معماری و منابع زیرساخت بسیاری از مشتریان آنها، مانند بانک‌ها، شرکت‌های بیمه، بیمارستان‌ها و غیره شباهت‌های بسیاری به یکدیگر پیدا کنند.

محمد سلطانی آسیب دیگر را تشابه تمامی المان‌های داخلی یک سازمان نیز می‌داند. او درباره این موضوع توضیح می‌دهد: برای نمونه اگر یک شرکت یا سازمان ۱۰ رک شامل سرور داشته باشد تمامی آنها از یک برند هستند. چه اشکالی دارد اگر یک کلاستر مجازی‌سازی بر روی سرورهای HPE است کلاستر دیگر بر روی سرورهای Lenovo یا سیسکو باشد. چه اشکالی دارد اگر یک کلاستر مجازی‌سازی به تجهیز ذخیره‌سازی Dell متصل است کلاستر دیگر به تجهیز ذخیره‌سازی برند دیگری مثل هواوی یا فوجیتسو متصل باشد. چه اشکالی دارد اگر یک نسخه از پشتیبان‌ها بر روی تجهیز Dell قرار دارد نسخه دیگر مثلا بر روی محصول دیگری باشد. مهمترین مشکل این عدم تنوع در سازمان‌ها و در سطح کلان‌تر در کشور این است که اگر یک آسیب‌پذیری بر روی یکی از این محصولات کشف شود، عملا بخش عمده‌ای از سازمان یا حتی کشور در معرض سواستفاده هکرها و خرابکاران از آن آسیب‌پذیری قرار می‌گیرد. هیچ برندی در دنیا نمی تواند عدم وجود آسیب‌پذیری در محصولات خود را تضمین کند. حال که اینگونه است با تنوع‌بخشی احتمال بروز آسیب‌پذیری مشابه و همزمان را کاهش می‌دهیم.

توصیه‌های امنیتی همچون ایزو ۲۷۰۰ را جدی بگیرید

سلطانی ادامه می‌دهد: در حوزه نگهداری و operation لایه‌های زیرساختی نیز مهمترین درس‌آموخته، جدی گرفتن توصیه‌های مختلف، به‌روش‌ها و فرآیندهای ITSSM است. یکی از مواردی که باید جدی گرفته شود و اجرای آن به صورت مستمر کنترل و مانیتور شود، رعایت الزامات امنیتی مانند به‌روزرسانی به موقع تجهیزات و نرم‌افزارهاست. مورد دیگر برگزاری منظم و مستمر مانورهای بازیابی داده‌های بکاپ است. استفاده از افراد یا شرکت‌های باتجربه و حرفه‌ای در حوزه پشتیبانی و نگهداری زیرساخت‌ها نیز می‌تواند درس‌آموخته دیگر باشد.

او  در آخر و در پاسخ به این پرسش که آیا برآوردی از خسارات وارد شده به زیرساخت‌های کشور دارد عنوان کرد که از دید ریالی برآوردی ندارد و انجام چنین برآوردی بر عهده سازمان‌های ذی ربط است که البته کار ساده‌ای نیست و نیازمند حجم بالایی از داده‌های مختلف است که با توجه به اینکه بخشی از خسارت ها به سازمان‌های نظامی و دولتی وارد شده محرمانه نیز تلقی می‌شود. او افزود بخشی از خسارت‌ها به صورت مستقیم به تجهیزات وارد شده که شاید محاسبه آن آسان تر از خسارت‌هایی باشد که به صورت غیرمستقیم وارد شده است.