بودجه امنیت سایبری متمرکز می‌شود

به گزارش پیوست، در نشست «توسعه صنعت افتا؛ از مجوز تا اعتماد»،بهناز آریا، قائم مقام شرکت کهشان و رئیس کمیسیون افتا در سازمان نظام صنفی رایانه‌ای که دبیر این نشست نیز بود، گفت: سوال اصلی این است که اگر از توسعه صنعت افتا صحبت می‌کنیم، شاخص ما چیست؛ تعداد مجوزها، تعداد محصولات تولیدشده، تعداد حملات دفع‌شده یا معیارهای دیگر؟

زهرا آخودداد، معاون توسعه و ارزیابی صنعت افتا، گفت: توسعه این صنعت به عوامل مختلفی بستگی دارد، اما یکی از مهم‌ترین شاخص‌ها، بزرگ‌شدن کیک اقتصادی حوزه امنیت سایبری است. بخش آی‌تی در کل اقتصاد سهم کوچکی دارد و امنیت سایبری نیز سهمی محدود از همین بخش را تشکیل می‌دهد.برای توسعه صنعت، باید جذابیت مالی و شغلی این حوزه برای بخش خصوصی و نیروی جوان افزایش یابد. هم‌اکنون شرکت‌های بزرگ امنیتی در کشور کم‌تعدادند و بسیاری از شرکت‌های فعال از نظر اندازه و تعداد پرسنل کوچک‌اند.

آخودداد تأکید کرد که اگر ورود نیروی انسانی به این بخش تنظیم نشود، با توجه به خروج نیروهای متخصص به دلایل مختلف از جمله مسائل مالی و اجتماعی، صنعت افتا با کمبود نیرو مواجه خواهد شد.

او گفت: نرخ بیکاری متخصصان امنیت سایبری در دنیا نزدیک به صفر است و ایران نیز باید از نظر مالی، امنیت شغلی و امکان کسب دانش، شرایطی ایجاد کند که نیروهای کافی به این حوزه جذب شوند.

حسین مومنی، معاون امنیت فضای تولید و تبادل اطلاعات سازمان فناوری اطلاعات ایران، هم گفت: بازار امنیت سایبری ایران هنوز بسیار کوچک است و سهم آن از کل بازار فناوری اطلاعات کشور احتمالاً بیشتر از دو تا سه درصد نیست. توسعه این صنعت نیازمند همکاری بازیگران مختلف از جمله حاکمیت، وزارت ارتباطات، بانک مرکزی، شرکت‌های خصوصی، نخبگان و متخصصان، نهادهای مالی و قانون‌گذار است. با تدوین برنامه‌های حمایتی و ارتقای دانش فنی متخصصان می‌توان به توسعه صنعت کمک کرد.

سیدحسین علوی، معاون صنعت و بومی‌سازی سازمان پدافند غیرعامل کشور، هم اضافه کرو: شاخص‌های توسعه صنعت افتا باید چندبعدی باشد و نمی‌توان تنها به یک معیار اکتفا کرد. در کنار بحث مجوزها، باید به وضعیت شرکت‌های امنیتی، منابع سخت‌افزاری و زیرساخت‌های موردنیاز نیز توجه شود.

فاصله مجوز تا صلاحیت واقعی

مومنی، معاون امنیت فضای تولید و تبادل اطلاعات در سازمان فناوری اطلاعات هم توضیح داد: یکی از گام‌های اولیه برای کاهش فاصله دانش و صنعت، بازنگری در سرفصل‌های درسی دانشگاهی است. بسیاری از رشته‌های مرتبط مانند هوش مصنوعی و برق، دروس کافی در حوزه امنیت سایبری ندارند.خوشبختانه کارگروهی در وزارت علوم برای بازنگری برنامه‌های درسی حوزه امنیت تشکیل شده و برخی رشته‌ها و دروس جدید در حال تعریف هستند. گام بعدی این است که از دل دانشگاه، شرکت‌های اسپین‌آف و مراکز رشد حمایت شوند.

حسین مومنی تأکید کرد که معاونت علمی، بنیاد نخبگان، صندوق‌های نوآوری و شکوفایی و سایر نهادهای حمایتی باید به شرکت‌های زایش‌یافته از دانشگاه در حوزه امنیت سایبری کمک کنند تا شکاف بین دانشگاه و صنعت کاهش یابد. معاون امنیت فضای تولید و تبادل اطلاعات سازمان فناوری اطلاعات همچنین درباره اشتراک‌گذاری دانش حاصل از رخدادها گفت: با وجود ملاحظات طبقه‌بندی اطلاعات، بخش خصوصی انتظار دارد شریک حاکمیت باشد و در پیشگیری از تکرار رخدادها مشارکت کند.

او پیشنهاد داد که یک سکوی ملی برای به‌اشتراک‌گذاری تجربیات موفق و ناموفق امنیتی ایجاد شود تا دستگاه‌ها و شرکت‌ها بتوانند الگوهای حمله و آسیب‌پذیری‌ها را با رعایت ملاحظات امنیتی به اشتراک بگذارند.

مومنی در ادامه به معرفی مرکز ماهر پرداخت و گفت: این مرکز معادل ایرانی تیم‌های پاسخگویی به رخدادها (CERT) در دنیاست و وظایفی مانند مدیریت حادثه، مدیریت وصله، شناسایی آی‌پی‌های آلوده، مقابله با فیشینگ و رصد آسیب‌پذیری‌ها را بر عهده دارد.

او گفت: ۴۴ مرکز CSIRT دانشگاهی در سراسر کشور ذیل مرکز ماهر فعالیت می‌کنند و انتظار می‌رود بخشی از کاهش شکاف دانش و صنعت در این مراکز اتفاق بیفتد.

آخودداد، معاون توسعه و ارزیابی صنعت افتا اضافه کرد: ادعای اینکه محصولات داخلی حتماً می‌توانند به‌طور کامل جایگزین محصولات خارجی شوند، ادعای درستی نیست، زیرا امنیت زیرساخت‌ها باید تأمین شود و استفاده از محصول ضعیف می‌تواند به ضرر امنیت دستگاه باشد.

به گفته او، اولویت حمایت از محصولات داخلی است، اما باید مسیر رشد برای این محصولات تعریف شود. آخودداد افزود نمی‌توان تا زمانی که محصول داخلی به بلوغ نرسیده، استفاده از محصول خارجی را ممنوع کرد.

زهرا آخوددادگفت: سیاست فعلی، سیاست «مولتی‌برندینگ» است؛ یعنی محصول داخلی فرصت پیدا کند در کنار محصول خارجی در دستگاه‌هایی با رده‌بندی پایین‌تر و غیرزیرساختی اجرا شود، بازخورد بگیرد و به بلوغ برسد.

آخودداد تأکید کرد که بازار محصولات امنیتی در دنیا رقابتی است، اما بازار ایران بسته است و حاکمیت باید این بازار را جبران کند. به گفته او، حمایت مستقیم مالی همیشه بهترین راه نیست؛ بلکه باید محصولات در محیط‌های مشخص و با رعایت امنیت دستگاه تست و ارزیابی شوند.

معاون توسعه و ارزیابی صنعت افتا هم از تدوین دو سند راهبردی خبر داد: سند توسعه صنعت افتا با نقشه راه پنج‌ساله و سند نظام اعتباربخشی جدید. در نظام ارزیابی جدید، سه رکن برای هر محصول در نظر گرفته شده است: ارزیابی امنیتی، ارزیابی عملکردی و ارزیابی اعتباری شرکت.

به گفته او، در این مدل، هر محصول و شرکت رتبه‌بندی می‌شود و سازمان‌ها بر اساس این رتبه‌بندی می‌توانند به محصول اعتماد کنند.

معاون توسعه و ارزیابی صنعت افتا همچنین از راه‌اندازی سامانه جدید مجوزهای افتا در یک ماه آینده خبر داد و گفت: در این سامانه، شرکت‌ها مستندات خود را بارگذاری می‌کنند و می‌توانند وضعیت درخواست‌های خود را به‌صورت شفاف و مرحله‌ای دنبال کنند.

علوی، معاون صنعت و بومی‌سازی سازمان پدافند غیرعامل کشور گفت: فعالان فضای سایبری، شرکت‌های خصوصی و حتی نهادهای اجرایی بالادستی، همگی در دفاع سایبری نقش دارند. به گفته او، باید انتقادات و پیشنهادات بخش خصوصی شنیده شود و مسیر همکاری کوتاه‌تر و شفاف‌تر گردد.

سیدحسین علوی گفت: اگر بخش خصوصی بداند محصول یا خدمت او در کجای نقشه راه امنیت سایبری کشور جایگاه دارد و بازگشت سرمایه‌اش تضمین شود، انگیزه بیشتری برای سرمایه‌گذاری و تولید خواهد داشت.

 تمرکز بودجه‌های امنیت سایبری

آخودداد، معاون توسعه و ارزیابی صنعت افتا گفت: طبق قانون، سازمان‌ها موظفند یک‌ونیم درصد از بودجه خود را به امنیت سایبری اختصاص دهند، اما بسیاری از سازمان‌ها این بودجه را صرف خرید سرور و تجهیزات می‌کنند، نه پروژه‌های امنیتی.

به گفته او، طرحی در دست اجراست که این بودجه‌ها در یک مجموعه هماهنگ‌کننده متمرکز شود تا پروژه‌های ملی و بزرگ امنیتی تعریف شوند. آخودداد گفت: حتی اگر نتوان همه سازمان‌ها را پوشش داد، می‌توان با تمرکز بودجه، چند پروژه بزرگ و اثرگذار تعریف کرد.او تأکید کرد که نظارت بر نحوه خرج‌کردن این بودجه و تعریف پروژه‌های متنوع در حوزه امنیتی‌سازی، خدمت و آموزش، از شاخص‌های توسعه صنعت افتا خواهد بود.