حکمرانی امنیت سایبری و نقش بیمه مسئولیت سایبری در انتقال ریسک

به گزارش پایگاه خبری پایداری ملی به نقل از افتانا، مسئله اصلی امنیت سایبری ایران صرفاً «کمبود فناوری» نیست؛ بلکه ضرورت ایجاد یک زنجیره منسجم از سیاست‌گذاری، نظارت، اجرا، مسئولیت‌پذیری و انتقال ریسک است و طرح بیمه‌نامه مسئولیت شرکت‌های امنیتی می‌تواند دقیقاً در همین نقطه قرار گیرد.
 
همان‌طور که می‌دانیم شاکله امنیت سایبری در کشورمان بر یک نظام چند بعدی استوار شده است. در این ساختار، امنیت سایبری متعلق به یک دستگاه خاص نیست، بلکه مجموعه‌ای از مسئولیت‌های سیاست‌گذاری، تنظیم‌گری، نظارت، حفاظت زیرساختی، عملیات فنی، پاسخ به رخداد، مسئولیت حقوقی و در نهایت جبران خسارت را دربرمی‌گیرد. همین چندلایه بودن، از یک سو نقطه قوت نظام امنیتی کشور است و از سوی دیگر، در صورت نبود سازوکار‌های هماهنگ‌کننده، می‌تواند به موازی‌کاری، پراکندگی مسئولیت و دشواری تصمیم‌گیری منجر شود.
 
گستردگی کشور؛ گستردگی مسئولیت

ایران از نظر ساختار اداری، اقتصادی و زیرساختی کشوری بسیار گسترده است. وزارتخانه‌ها، سازمان‌های دولتی، نهاد‌های عمومی، بانک‌ها و مؤسسات مالی، شرکت‌های بزرگ صنعتی، اپراتورها، مراکز درمانی، دانشگاه‌ها، شهرداری‌ها، شرکت‌های خدماتی و هزاران کسب‌وکار خصوصی، هرکدام دارای سامانه‌ها و دارایی‌های اطلاعاتی خاص خود هستند. از طرف دیگر، بخش قابل توجهی از زیرساخت‌های حیاتی کشور مانند انرژی، برق، آب، حمل‌ونقل، ارتباطات، نظام بانکی و سلامت، به شبکه‌ها و سامانه‌های دیجیتال وابسته‌اند.
 
در چنین شرایطی، تصور اینکه «امنیت سایبری کشور» توسط یک نهاد واحد مدیریت شود، عملاً امکان‌پذیر نیست. هر دستگاه هم مسئولیت تخصصی خود را دارد و هم باید الزامات عمومی امنیت سایبری را رعایت کند. برای مثال، امنیت سایبری یک بانک تنها یک مسئله فناوری اطلاعات نیست؛ بلکه به استمرار خدمات مالی، اعتماد عمومی، حفاظت از اطلاعات مشتریان و ثبات اقتصادی نیز مربوط می‌شود. به همین ترتیب، حمله به یک زیرساخت انرژی می‌تواند از یک رخداد فنی فراتر رفته و به مسئله‌ای در سطح تداوم خدمات عمومی و امنیت ملی تبدیل شود؛ بنابراین ساختار چندلایه‌ای که در تصویر مشاهده می‌شود، تا حد زیادی نتیجه طبیعی همین گستردگی است.
 
شورای عالی فضای مجازی؛ نقطه اتصال سیاست‌گذاری

یکی از راهکار‌های کشور برای این درک و حل این پیچیدگی، تشکیل شورای عالی فضای مجازی در ۱۷ اسفند ۱۳۹۰ بود. در فرمان تشکیل شورا، ضرورت ایجاد یک «نقطه کانونی متمرکز» برای سیاست‌گذاری، تصمیم‌گیری و هماهنگی در فضای مجازی مورد تأکید قرار گرفت و مقرر شد مرکز ملی فضای مجازی نیز زیر نظر شورا شکل بگیرد. همچنین در همان حکم، همکاری همه دستگاه‌های کشور با مرکز ملی فضای مجازی مورد تأکید قرار گرفت.
 
اهمیت این ساختار در واقع در یک نکته است: فضای مجازی مرز سازمانی نمی‌شناسد. یک رخداد سایبری می‌تواند هم‌زمان وزارت ارتباطات، یک بانک، یک شرکت خصوصی، نهاد امنیتی، دستگاه قضایی و حتی زیرساخت حیاتی کشور را درگیر کند؛ بنابراین وجود یک سطح سیاست‌گذار و هماهنگ‌کننده بالادستی برای کاهش شکاف میان این دستگاه‌ها ضروری است. مرکز ملی فضای مجازی نیز بر اساس اساسنامه خود مأموریت اشراف و رصد فضای مجازی، تصمیم‌گیری در چارچوب مصوبات شورا و نظارت بر اجرای تصمیمات در سطوح مختلف را بر عهده دارد. در نتیجه، نقش شورای عالی و مرکز ملی فضای مجازی را باید بیشتر در ایجاد انسجام در سطح ملی دید؛ نه اینکه آنها جایگزین دستگاه‌های تخصصی و عملیاتی شوند.
 
تعدد نهاد‌های امنیتی؛ ضرورت تقسیم کار

در لایه بعدی، مجموعه‌ای از نهاد‌ها با مأموریت‌های متفاوت قرار دارند. مرکز مدیریت راهبردی افتا در حوزه الزامات و ارزیابی امنیتی دستگاه‌های مشمول اهمیت دارد؛ وزارت ارتباطات و سازمان فناوری اطلاعات در حوزه زیرساخت‌ها، خدمات و اکوسیستم فناوری اطلاعات نقش دارند؛ و سازمان پدافند غیرعامل کشور از منظر کاهش آسیب‌پذیری، افزایش تاب‌آوری و استمرار کارکرد زیرساخت‌های حیاتی، حساس و مهم وارد می‌شود.
 
اهمیت پدافند غیرعامل در این میان قابل توجه است؛ زیرا در اساسنامه جدید این سازمان، تهدیدات سایبری صراحتاً در کنار سایر تهدیدات مورد توجه قرار گرفته و وظایفی مانند شناسایی آسیب‌پذیری زیرساخت‌های حیاتی، تحلیل تهدید و ریسک، تدوین الزامات، نظارت بر اجرای برنامه‌ها و ایجاد هماهنگی میان دستگاه‌های اجرایی برای آن پیش‌بینی شده است.
 
از سوی دیگر، در سطح تخصصی، نهاد‌هایی مانند بانک مرکزی، سازمان بورس، وزارت نیرو، وزارت نفت، وزارت بهداشت و سایر دستگاه‌های متولی صنایع، مسئولیت‌های امنیتی حوزه تخصصی خود را دارند؛ بنابراین در واقع با یک شبکه حکمرانی امنیت سایبری مواجه هستیم، نه یک زنجیره فرماندهی ساده.
 
این وضعیت اگرچه امکان تخصصی‌شدن تصمیمات را افزایش می‌دهد، اما یک چالش جدی نیز ایجاد می‌کند: هرچه تعداد بازیگران بیشتر شود، نیاز به هماهنگی، تعریف دقیق مسئولیت و سازوکار انتقال اطلاعات نیز بیشتر خواهد شد.
 
شرکت‌های امنیت سایبری؛ بازوی اجرایی اکوسیستم

در چنین ساختاری، شرکت‌های امنیت سایبری بخش مهمی از ظرفیت اجرایی کشور را تشکیل می‌دهند. این شرکت‌ها از طریق تست نفوذ، ارزیابی آسیب‌پذیری، ممیزی امنیت، SOC، پایش و پاسخ به رخداد، مشاوره، آموزش، طراحی معماری امن و تأمین محصولات امنیتی، بخش قابل توجهی از نیاز سازمان‌ها را پاسخ می‌دهند. به بیان دیگر، اگر نهاد‌های حاکمیتی عمدتاً قواعد، الزامات و چارچوب‌ها را تعیین می‌کنند، شرکت‌های تخصصی امنیت سایبری در بسیاری از موارد اجرای فنی و عملیاتی امنیت را بر عهده دارند.
 
این موضوع یک رابطه مهم میان سازمان و شرکت امنیتی ایجاد می‌کند. سازمان انتظار دارد پیمانکار امنیتی ریسک‌های آن را کاهش دهد؛ اما در صورت وقوع حادثه، ممکن است مشخص شود که بخشی از خسارت ناشی از نقص در یک خدمت امنیتی، ارزیابی نادرست، خطای انسانی یا عدم اجرای تعهدات قراردادی بوده است. اینجاست که مسئله «مسئولیت» از مسئله صرفاً فنی جدا می‌شود.

خلاء مهم: چه کسی ریسک مالی حادثه را تحمل می‌کند؟

امنیت سایبری معمولاً با یک اصل ساده شروع می‌شود: پیشگیری بهتر از درمان است. اما حتی بهترین سامانه‌های امنیتی نیز نمی‌توانند ریسک را به صفر برسانند. وقتی حادثه‌ای رخ می‌دهد، سازمان ممکن است با هزینه‌های متعددی مواجه شود؛ از هزینه بررسی و مهار حادثه و بازیابی سامانه‌ها گرفته تا توقف کسب‌وکار، خسارت به مشتریان، هزینه‌های حقوقی و مسئولیت ناشی از قصور یا نقص خدمات یک شرکت تخصصی.
 
در این نقطه، اگر سازوکار مشخصی برای انتقال بخشی از ریسک مالی وجود نداشته باشد، تمام فشار اقتصادی حادثه بر سازمان یا شرکت ارائه‌دهنده خدمت باقی می‌ماند. این مسئله به‌ویژه برای شرکت‌های امنیت سایبری اهمیت دارد؛ زیرا آنها برخلاف بسیاری از پیمانکاران فناوری اطلاعات، مستقیماً در حوزه‌ای فعالیت می‌کنند که شکست در آن می‌تواند پیامد‌های گسترده و گاه زنجیره‌ای ایجاد کند.
 
بیمه‌نامه مسئولیت شرکت‌های امنیتی؛ حلقه اتصال امنیت و مدیریت ریسک

در این نقطه، بیمه‌نامه مسئولیت شرکت‌های امنیتی می‌تواند یک نقش متفاوت و مهم ایفا کند. ارزش این طرح صرفاً در «پرداخت خسارت» خلاصه نمی‌شود؛ بلکه اهمیت اصلی آن در ایجاد یک لایه مالی و حقوقی در کنار لایه فنی امنیت سایبری است. در مدل سنتی، سازمان از یک شرکت امنیتی خدمت دریافت می‌کند و رابطه آنها عمدتاً بر قرارداد و تعهدات فنی استوار است. اما با شکل‌گیری طرح بیمه‌نامه مسئولیت شرکت‌های امنیتی که توسط یکی از شرکت‌های مطرح بیمه‌ای کشور و با تایید بیمه مرکزی اجرایی شده، می‌توان میان سه ضلع مهم ارتباط برقرار کرد: سازمان متقاضی خدمت، شرکت امنیت سایبری، پوشش بیمه‌ای مسئولیت.
 
این ساختار می‌تواند باعث شود مسئولیت‌های حرفه‌ای شرکت امنیتی شفاف‌تر تعریف شود و سازمان نیز در صورت تحقق ریسک‌های تحت پوشش، صرفاً به رابطه قراردادی با پیمانکار متکی نباشد.
 
از منظر بازار، این موضوع حتی می‌تواند به افزایش بلوغ صنعت امنیت سایبری منجر شود. شرکت امنیتی برای برخورداری از پوشش مناسب، ناگزیر است فرآیند‌های داخلی، مستندات، کنترل‌های فنی، مدیریت کارکنان، کنترل دسترسی، مدیریت رخداد و کیفیت خدمات خود را منظم‌تر کند؛ بنابراین بیمه می‌تواند از یک محصول مالی صرف، به ابزار ارتقای استاندارد حرفه‌ای شرکت‌های امنیتی تبدیل شود.
 
از سوی دیگر، برای مشتری نیز پیام مهمی دارد: انتخاب یک شرکت امنیتی صرفاً بر مبنای قیمت یا ادعا‌های فنی انجام نمی‌شود، بلکه می‌تواند معیار‌هایی مانند صلاحیت حرفه‌ای، سطح کنترل‌های امنیتی، کیفیت فرآیند‌ها و ظرفیت پذیرش مسئولیت را نیز شامل شود.
 
از یک بیمه مسئولیت ساده تا شکل‌گیری بازار مدیریت ریسک سایبری

یکی از مهم‌ترین آثار بالقوه طرح بیمه‌نامه مسئولیت شرکت‌های این است که می‌تواند رابطه میان «امنیت» و «اقتصاد» را تقویت کند. این بیمه نامه می‌تواند انگیزه اقتصادی ایجاد کند. سازمانی که امنیت بهتری دارد، ریسک کمتری ایجاد می‌کند؛ شرکت امنیتی که فرآیند‌های حرفه‌ای‌تری دارد، قابلیت پذیرش مسئولیت بیشتری پیدا می‌کند؛ و شرکت بیمه نیز می‌تواند بر مبنای ارزیابی ریسک، محصول مناسب‌تری طراحی کند. در این مدل، طرح بیمه‌نامه مسئولیت شرکت‌های امنیتی نه جایگزین امنیت فنی است و نه جایگزین نظارت حاکمیتی؛ بلکه یک لایه مکمل است که میان امنیت، مسئولیت حرفه‌ای و مدیریت مالی ریسک ارتباط ایجاد می‌کند.
 
ضرورت همکاری همه‌جانبه

موفقیت چنین طرحی در نهایت به عملکرد یک شرکت بیمه به‌تنهایی وابسته نیست. اگر نهاد‌های حاکمیتی، دستگاه‌های تخصصی، شرکت‌های امنیتی و سازمان‌های استفاده‌کننده از خدمات امنیتی در طراحی این بازار مشارکت نکنند، امکان ایجاد یک محصول واقعی و قابل اتکا کاهش می‌یابد. نهاد‌های سیاست‌گذار باید چارچوب کلی را مشخص کنند؛ نهاد‌های تخصصی امنیتی باید الزامات و معیار‌های ارزیابی ریسک را توسعه دهند؛ دستگاه‌های تخصصی هر صنعت باید الزامات اختصاصی حوزه خود را مشخص کنند؛ شرکت‌های امنیتی باید خدمات و فرآیند‌های خود را استاندارد و مستندسازی کنند؛ سازمان‌ها نیز باید مسئولیت امنیت خود را بپذیرند و صرفاً آن را به پیمانکار واگذار نکنند. در این میان، نقش کانون افتای کشور نیز می‌تواند در ایجاد ارتباط میان ظرفیت‌های دولتی و خصوصی اهمیت داشته باشد؛ زیرا توسعه بازار امنیت سایبری نیازمند ایجاد زبان مشترک میان نهاد‌های حاکمیتی، شرکت‌های تخصصی و کسب‌وکارهاست.
 
در نهایت، آنچه از تصویر و ساختار موجود می‌توان نتیجه گرفت این است که مسئله اصلی امنیت سایبری ایران صرفاً «کمبود فناوری» نیست؛ بلکه ضرورت ایجاد یک زنجیره منسجم از سیاست‌گذاری، نظارت، اجرا، مسئولیت‌پذیری و انتقال ریسک است.
 
طرح بیمه‌نامه مسئولیت شرکت‌های امنیتی می‌تواند دقیقاً در همین نقطه قرار گیرد؛ یعنی در مرز میان امنیت فنی و مسئولیت اقتصادی. اگر این طرح با همکاری نهاد‌های حاکمیتی، تنظیم‌گران تخصصی، شرکت‌های امنیت سایبری و سازمان‌های متقاضی خدمات توسعه پیدا کند، می‌تواند از یک محصول بیمه‌ای فراتر رفته و به یکی از اجزای زیرساخت مدیریت ریسک سایبری کشور تبدیل شود؛ زیرساختی که هدف آن نه جایگزین‌کردن امنیت، بلکه ایجاد انگیزه برای امنیت بهتر، تعریف روشن‌تر مسئولیت و فراهم‌کردن ظرفیت جبران آثار مالی حوادث سایبری است.

امین ترابی، مشاور امنیت اطلاعات و طراح اولین بیمه‌نامه مسئولیت سایبری