مرکز پژوهش‌های مجلس چه تصویری از امنیت سایبری ترسیم کرده است؟ سکوت پس از نشت

به گزارش پیوست، مرکز پژوهش‌های مجلس در گزارشی با عنوان «مروری بر چالش‌ها و راهکارهای سیاستی ارتقای امنیت سایبری در ایران»، بار دیگر بر ضعف‌های ساختاری کشور در برابر حمله‌های سایبری و نشت اطلاعات انگشت گذاشته است. این گزارش با مرور نمونه‌های بزرگ نقض داده در جهان، از یاهو و فیس‌بوک گرفته تا ماریوت اینترنشنال و سامانه ادهار هند، تلاش کرده‌ تصویری تطبیقی از فاصله ایران با استانداردهای بین‌المللی حفاظت از داده ارائه دهد.

بخش قابل‌توجهی از گزارش به مرور رخدادهای داخلی اختصاص دارد. در این گزارش به ۱۵ رخداد امنیتی از تیر ۱۴۰۲ تا خرداد ۱۴۰۴ اشاره شده است؛ از هک سرورهای بنیاد شهید، تپسی، اطلاعات شرکت‌های بیمه و سامانه ثبت‌احوال در تابستان ۱۴۰۲، تا حمله به سایت وزارت علوم، شبکه سوخت، اسنپ‌فود، سایت مجلس، سامانه قوه قضائیه و بنیاد مستضعفان در پاییز و زمستان همان سال. در ادامه، هک بیش از بیست بانک ایرانی در شهریور ۱۴۰۳ و سرانجام، حمله‌های همزمان به بانک سپه، بانک پاسارگاد و صرافی نوبیتکس در جریان جنگ دوازده‌روزه رژیم صهیونیستی علیه ایران در خرداد ۱۴۰۴، آخرین ردیف‌های این جدول را تشکیل می‌دهند.

جای خالی حمله‌ اخیر به چهار بانک

نکته قابل توجه برای مخاطبی که رخدادهای اخیر حوزه بانکی کشور را دنبال می‌کند، این است که جدول رخدادهای مرکز پژوهش‌ها، با وجود انتشار در تیر ۱۴۰۵، در خرداد ۱۴۰۴ متوقف می‌شود و هیچ اشاره‌ای به حملاتی که در طی جنگ رمضان اتفاق افتاده و حمله اخیر به چهار بانک کشور و شرکت خدمات انفورماتیک نشده است. این گزارش رسمی مرجع‌ترین نهاد پژوهشی مجلس که خود بر لزوم «افزایش شفافیت در اطلاع‌رسانی» و به‌روز بودن داده‌های حوزه امنیت سایبری تأکید کرده، در عمل با فاصله‌ای چند هفته‌ای از تازه‌ترین رخداد این حوزه منتشر شده است؛ فاصله‌ای که به‌خودی‌خود یکی از همان مشکل‌هایی را بازتولید می‌کند که گزارش در نقد آن نوشته شده، اطلاع‌رسانی کُند و نبود سازوکاری برای به‌روزرسانی مستمر تصویر عمومی از وضعیت امنیت سایبری کشور.

یک الگوی تکرارشونده

مرکز پژوهش‌های مجلس در این گزارش پنج ضعف ساختاری را شناسایی کرده است؛ گسترش حملات سایبری و اثرگذاری آنها بر بخش‌های دولتی و خصوصی، ضعف در اطلاع‌رسانی و پاسخ‌گویی پس از وقوع حملات، نبود قانون جامع حفاظت از داده و نهاد مستقل ناظر، کمبود نیروی انسانی متخصص در امنیت سایبری و در نهایت، فقدان مسئولیت‌پذیری سازمان‌ها در قبال رخدادهای امنیتی و حقوق کاربران.

یکی از محورهای اصلی این گزارش، نبود مسئولیت‌پذیری سازمان‌ها و شرکت‌ها پس از وقوع حملات سایبری است. طبق نظر مرکز پژوهش‌های مجلس: «بسیاری از شرکت‌ها و سازمان‌ها پس از حمله‌های سایبری، هیچ‌گونه اقدام موثری برای جبران خسارت کاربران انجام نمی‌دهند.» گزارش با مقایسه وضعیت ایران با سایر کشورها تاکید می‌کند که در بسیاری از کشورها شرکت‌ها موظف‌اند نقض داده را اعلام کنند، خسارت کاربران را جبران کنند یا خدمات جبرانی در اختیار آنها قرار دهند، اما در ایران چنین الزام قانونی و در نتیجه چنین مسئولیت‌پذیری‌ای وجود ندارد.

این جمع‌بندی در بررسی نمونه‌های داخلی نیز تکرار می‌شود. گزارش در مورد حمله به اسنپ‌فود، تپسی و همچنین حمله به بیش از ۲۰ بانک ایرانی در سال ۱۴۰۳ تاکید می‌کند که برخلاف نمونه‌های خارجی بررسی‌شده، «در کشور ما دعاوی جمعی علیه شرکت شکل نگرفت» و «هیچ‌گونه اطلاعی در دست نیست که سازمان‌های مربوطه نیز شرکت را متهم و جریمه کرده باشند.»

به گفته مرکز پژوهش‌های مجلس، همین الگو در پرونده حملات سایبری به بانک‌ها نیز دیده می‌شود. در گزارش آمده است: «هیچ اقدامی درباره دعاوی فردی و جمعی یا توافق با کاربران انجام نشد» و در عین حال مشخص نیست سازمان‌های مسئول پس از این رخدادها اقدامی برای جبران خسارت کاربران یا اصلاح آسیب‌پذیری‌های امنیتی انجام داده‌اند یا خیر.

گزارش همچنین به نحوه مواجهه شرکت‌ها با باج‌خواهی هکرها پرداخته و نشان می‌دهد واکنش سازمان‌ها در این زمینه یکسان نبوده است. بر اساس گزارش، تپسی رسماً اعلام کرده حاضر به پرداخت باج نشده، اسنپ‌فود نیز هرگز پرداخت باج ۳۰ هزار دلاری درخواستی هکرها را تأیید نکرد. در مقابل، مرکز پژوهش‌های مجلس درباره حمله به بیش از ۲۰ بانک ایرانی در سال ۱۴۰۳ می‌نویسد شرکت توسن، ارائه‌دهنده خدمات بانکداری الکترونیکی، برای جلوگیری از انتشار بیشتر اطلاعات حدود سه میلیون دلار به گروه هکری پرداخت کرده است. گزارش تأکید می‌کند این اقدام نه جبران خسارت کاربران، بلکه تلاشی برای مدیریت بحران بوده و همچنان مشخص نیست داده‌های بازپس‌گرفته‌شده واقعاً حذف شده‌اند یا امکان سوءاستفاده از آنها وجود دارد.

چرا هیچ‌کس پاسخ نمی‌دهد؟

پاسخ‌گو نبودن شرکت‌ها و سازمان‌ها نسبت به حملاتی که علیه آنها صورت می‌گیرد طبق این گزارش به نبود زیرساخت حقوقی برمی‌گردد. در این گزارش تاکید شده برخلاف اتحادیه اروپا با مقررات عمومی حفاظت از داده‌ها (GDPR) یا ایالات متحده با قوانینی مانند CCPA، در ایران هیچ قانون جامع حفاظت از داده‌های شخصی وجود ندارد که مهلت مشخصی برای اطلاع‌رسانی نقض داده تعیین کند، شرکت‌ها را به جبران خسارت ملزم سازد یا نهادی مستقل را مسئول تحقیق و جریمه متخلفان قرار دهد. در غیاب چنین قانونی، به گفته گزارش، «نهادهای نظارتی نیز قدرت و اختیار کافی برای مقابله با تخلف‌ها را ندارند» و همین خلا اجازه می‌دهد سازمان‌ها بدون هیچ الزام قانونی، رخداد را اعلام یا کتمان کنند، پاسخ‌گو باشند یا نباشند.

 ۱۰ پیشنهاد برای شکستن چرخه بحران‌ فراموشی

مرکز پژوهش‌ها مجموعه‌ای از راهکارهای تقنینی، نظارتی و سیاستی را برای خروج از این وضعیت پیشنهاد داده است. محور نخست این پیشنهادها، تصویب یک قانون جامع حفاظت از داده‌هاست که حقوق کاربران، مسئولیت‌های سازمان‌ها و الزام شفافیت را در قالب یک سند واحد و با جریمه‌های سنگین برای تخلف مشخص کند؛ در کنار آن، ایجاد یک نهاد مستقل حفاظت از داده با اختیار تحقیق، جریمه و پیگرد قانونی، که مشابه نمونه‌های ایرلندی و اروپایی بررسی‌شده در همین گزارش عمل کند.

محور دوم به نظارت و پیشگیری برمی‌گردد. الزام سازمان‌ها به اطلاع‌رسانی نقض داده ظرف مهلتی مشخص، مرکز پژوهش‌ها با الگوبرداری از GDPR بازه ۷۲ساعت را پیشنهاد کرده، انجام ممیزی‌های امنیتی منظم توسط شرکت‌های شخص ثالث، و الزام به خرید بیمه امنیت سایبری برای جبران خسارت‌های احتمالی کاربران.

محور سوم ناظر بر زیرساخت انسانی و اقتصادی حوزه امنیت سایبری است و شامل سرمایه‌گذاری در آموزش نیروی متخصص، ارائه مشوق‌های مالی و معافیت مالیاتی به شرکت‌های کوچک و متوسط برای ارتقای امنیت، و توسعه فناوری‌های نوین مانند هوش مصنوعی برای شناسایی سریع‌تر تهدیدها می‌شود.

در نهایت، گزارش بر تقویت همکاری‌های بین‌المللی و طراحی برنامه‌های منسجم واکنش به حادثه، همراه با رزمایش‌های دوره‌ای، به‌عنوان آخرین لایه این بسته پیشنهادی تاکید کرده است.

با این‌همه، خود گزارش اشاره کرده که بسیاری از این پیشنهادها تازه نیستند و پیش از این نیز در فضای سیاست‌گذاری کشور مطرح شده بودند؛ آنچه در عمل کم بوده، نه ایده، بلکه اراده و سازوکار اجرا برای تبدیل این فهرست به قانون و رویهٔ الزام‌آور است.

تشخیص روشن، اما بدون نسخه اجرایی برای امروز

گزارش مرکز پژوهش‌های مجلس، در مقایسه با بسیاری از تحلیل‌های پراکنده منتشرشده درباره حمله‌های سایبری در ایران، مزیتش کنار هم گذاشتن پانزده رخداد داخلی و مقایسه مستقیم آنها با بزرگ‌ترین نمونه‌های جهانی نقض داده، بستری فراهم کرده که خلا قانونی و نبود مسئولیت‌پذیری در ایران را نه به‌عنوان یک گمانه، بلکه با استناد به رخدادهای مشخص نشان دهد.

اما همین گزارش، در بزنگاهی که کشور با یکی از تازه‌ترین و پرحساسیت‌ترین رخدادهای امنیت بانکی،حمله به چهار بانک، روبه‌رو شده، ساکت مانده است؛ سکوتی که یادآور همان نکته‌ای است که خود گزارش بارها بر آن تاکید کرده است، تا زمانی که اطلاع‌رسانی سریع و شفاف به یک الزام قانونی تبدیل نشود، حتی نهادهای پژوهشی و سیاست‌گذار نیز با تاخیری چندماهه از واقعیت میدان عقب می‌مانند.

متن کامل گزارش مرکز پژوهش‌های مجلس: مروری بر چالش‌ها و راهکارهای سیاستی ارتقای امنیت سایبری در ایران با رویکرد تطبیقی