عصر ارتباط – معاونت امنیت فضای تولید و تبادل اطلاعات سازمان فناوری اطلاعات در حال حاضر به نیابت از وزارت ارتباطات و فناوری اطلاعات، متولی حوزه فعالیت در نظام پیشگیری و مقابله با حوادث فضای مجازی مربوط به دستگاه‌های غیر زیرساختی و فاقد محرمانگی است.
البته ماموریت تامین امنیت در حوزه‌هایی نظیر خدمات شبکه ملی اطلاعات و خدمات دولت الکترونیکی نیز به عهده این معاونت است و همین حوزه‌های مسوولیتی، منجر به تعریف ماموریت‌های متعددی از بحث‌های آموزشی گرفته تا پیشگیری و مهار حملات سایبری و تایید انواع محصولات سخت‌افزاری و نرم‌افزاری در شبکه داخلی کشور را شامل می‌شود.
برای آگاهی از برنامه‌ها و اقدامات این مرکز در سال جاری مصاحبه‌ای را با محمود خالقی‌دخت معاون امنیت فضای تولید و تبادل اطلاعات سازمان فناوری اطلاعات انجام دادیم. وی معتقد است که در مساله تامین امنیت و دفع حملات سایبری، موضوع شناسایی و رفع آسیب‌پذیری سامانه‌های دولتی از اهمیت ویژه ای برخوردار است.
مشروح مصاحبه عصر ارتباط با معاون امنیت فضای تولید و تبادل اطلاعات سازمان فناوری اطلاعات در پی می‌آید.
اهداف و برنامه‌های اصلی معاونت امنیت فضای تولید و تبادل اطلاعات چه هستند و چه برنامه‌های مشخصی برای سال 1401 دارید؟
ماموریت اصلی معاونت، ارزیابی وضعیت امنیت و امن‌سازی یا کمک به امن‌سازی در چند حوزه است.
یک حوزه فعالیت در نظام پیشگیری و مقابله با حوادث فضای مجازی مربوط به دستگاه‌های غیر زیرساختی و فاقد محرمانگی است که این موضوع به وزارت ارتباطات محول شده است و به نیابت از وزارتخانه معاونت امنیت سازمان فناوری اطلاعات این مسوولیت را بر عهده دارد.
بخشی دیگر از ماموریت معاونت امنیت فضای تولید و تبادل اطلاعات مربوط به خدمات شبکه ملی اطلاعات و خدمات دولت الکترونیک است. فعالیت معاونت در این سه حوزه در زمینه ارزیابی و کمک به امن‌سازی یا انجام امن‌سازی صورت می‌گیرد.
در دستگاه‌های غیر زیرساختی معمولا معاونت امنیت فضای تولید و تبادل اطلاعات مسوولیت کمک کردن دارد. یعنی قبل از حادثه می‌بایست در زمینه پیشگیری کمک کنیم، حین حادثه به رفع آن کمک کنیم و بعد از حادثه در زمینه ارتقای سطح امنیت کمک کنیم. برای دو حوزه دیگر که خدمات شبکه ملی اطلاعات و خدمات دولت الکترونیک است اما مسوولیت معاونت امنیت فضای تولید و تبادل اطلاعات بیش از این است.
در این بخش مسوولیت تامین و ارتقای امنیت نیز به عهده معاونت امنیت فضای تولید و تبادل اطلاعات است و نقش اصلی و اجرایی داریم. البته معاونت دولت الکترونیک سازمان فناوری اطلاعات متولی دولت الکترونیک است.
توجه داشته باشید که وزارت ارتباطات در حوزه زیست بوم افتا مسوولیت دارد. از سال‌ها قبل، هم عرضه‌کنندگان حوزه خدمات و هم تولیدکنندگان محصول برای محصولات خود به وزارتخانه مراجعه می‌کردند.
محصولات مورد بررسی در مرکز ماهر شامل چه مواردی هستند آیا اپلیکیشن‌ها را هم شامل می‌شوند؟
امروز عمدتا برای محصولات امنیتی مثل فایروال‌های یا مواردی نظیر سامانه‌های کنترل‌کننده صنعتی بررسی صورت می‌گیرد. کار بررسی اپلیکیشن‌های عادی تا به حال در مرکز ماهر انجام نشده است اما از این به بعد این اپلیکیشن‌ها نیز در معاونت امنیت فضای تولید و تبادل اطلاعات بررسی خواهند شد.
براساس آیین‌نامه‌ای که سال گذشته در کمیسیون تنظیم مقررات ِمرکز ملی فضای مجازی تصویب شده است، می‌بایست سایر محصولات در حوزه ارتباطات و فناوری اطلاعات و حتی محصولات وارداتی را نیز بررسی کنیم. در این خصوص وزیر محترم ارتباطات نیز دستور مستقیمی‌مبنی بر این امر داده‌اند که برای این حوزه ساماندهی بهتری صورت گیرد.
پیش از این محصولات واراداتی براساس تعهدنامه‌ای که واردکننده می‌داد، مسوولیت تامین امنیت را می‌پذیرفت. پس از این اما به این شکل نخواهد بود و اگر آیین‌نامه‌ای که برای تصویب آماده شده است در کارگروه اعتبارسنجی به تصویب برسد، محصولات وارداتی و تولید داخل اعم از محصولات امنیتی یا محصولاتی که در حوزه فاوا هستند نیز برای بررسی به معاونت امنیت فضای تولید و تبادل اطلاعات سپرده خواهند شد.
بحث تایید نمونه‌ها با اجرای این روش زمانبر نخواهد شد؟
در این خصوص با نظام صنفی رایانه‌ای جلساتی داشته‌ایم و نظام صنفی هم در کارگروه عضو است و پیشنهادی به منظور ایجاد مسیر سبز برای واردکنندگان خوشنام را مطرح کرده‌اند که این موضوع را در آیین‌نامه گنجانده‌ایم.
بنابراین تدابیر لازم اندیشیده شده تا اعضای نظام صنفی رایانه‌ای به مشکل برنخورد و زیرساخت‌های کشور هم با مشکل مواجه نشوند. بر این اساس برنامه این است که کشور در زمینه تامین تجهیزات با مشکل مواجه نشود و در حوزه امنیت به مشکل برخورد نکند، چراکه نمی‌توانیم یکی از این دو را فدای دیگری کنیم و باید یک تناسبی بین منافع هر دو حوزه ایجاد کنیم.
باتوجه به نشست‌های متعددی که اتفاق افتاده است و نظر به راه‌حل‌هایی که از سوی خود نظام صنفی رایانه‌ای پیشنهاد شده است، تدابیر لازم را در آیین‌نامه پیش‌بینی کرده‌ایم.
پیش‌نویس آیین‌نامه توسط معاونت امنیت فضای تولید و تبادل اطلاعات تهیه شده و سپس در جلساتی با حضور سازمان استاندارد، نظام صنفی و متولیان حوزه امنیت(پلیس فتا، مرکز مدیریت راهبردی افتا، وزارت ارتباطات و سازمان پدافند غیرعامل) به بحث گذاشته شده است.
تایید نمونه محصولات به‌طور مشخص در کجا انجام می‌شود؟ آیا تایید نمونه در معاونت امنیت فضای تولید و تبادل اطلاعات صورت می‌پذیرد؟
خیر. تایید نمونه در آزمایشگاه انجام می‌شود. صرفا ارجاع و صدور گواهی در معاونت امنیت فضای تولید و تبادل اطلاعات انجام می‌شود. بنابراین هم به آزمایشگاه‌ها گواهی اعطا می‌شود و هم به محصولاتی که در این آزمایشگاه‌ها مورد بررسی قرار می‌گیرند گواهی می‌دهیم.
برای آزمایشگاه‌ها ساختار جدیدی ایجاد می‌شود؟
بله به امید خدا برای آزمایشگاه‌ها ساختار جدید ایجاد می‌کنیم. توجه داشته باشید که برخی از آزمایشگاه‌ها انطباق با یک استاندارد خاص را بررسی می‌کنند که این یک فرایند نسبتا طولانی است. برخی دیگر از آزمایشگاه‌ها نیز قرار است که فرایند‌های سریع‌تری داشته باشند تا بتوانند مثلا اپلیکیشن‌های موبایلی را در تعداد زیاد مورد آزمون قرار دهند
در صورتی که ارتقایی برای نرم‌‌افزار یا سخت‌افزار محصولی اتفاق بیفتد آیا نیاز به کسب مجوز دوباره وجود دارد؟
شرایطی برای این موضوع نیز در نظر گرفته شده است یعنی تا یک میزان مشخص نیاز به دریافت مجوز وجود ندارد اما بیش از میزان تعیین شده نیاز به اخذ مجوز دارد.
این یکی از ابهاماتی بود که در نظام ارزیابی و اعتبارسنجی وجود داشت و ایجاد مشکل می‌کرد. این مساله باعث می‌شد که تا حدی سلیقه‌ای رفتار شود اما سعی کرده‌ایم تمام چالش‌هایی از این دست را شناسایی کنیم. به همین منظور جلساتی را با آزمایشگاه‌ها و تولیدکنندگان و واردکنندگان داشته‌ایم تا به یک راه‌حل مرزی و طرفین برسیم و صرفا برای یک طرف چالش ایجاد نشود. سعی بر این بوده که راه‌حل متوازن باشد و بتواند بیشترین میزان امنیت را نیز تامین کند.
باتوجه به مشکلات و چالش‌های سایبری ماه‌های اخیر آیا مرکز ماهر با همین ساختار به فعالیت خود ادامه می‌دهد یا باز طراحی در آن صورت می‌گیرد؟
طی چهار ماه اخیر تلاش کرده‌ایم چالش‌هایی را که در حوزه‌های ساختاری، فرایندی، پرسنلی، مسایل فناورانه مرتبط با سامانه‌ها و نیز در حوزه هماهنگی با سایر نهادهایی که به‌خصوص در نظام پیشگیری و مقابله مسوولیت قانونی دارند، شناسایی کرده و گام‌هایی برای رفع یا به حداقل رساندن این چالش‌ها برداریم. باتوجه ویژه به حوزه هماهنگی‌ها در همه این حوزه‌ها اقداماتی را انجام داده‌ایم، همچنین توانسته‌ایم جلسات هماهنگی منظمی را برگزار کنیم که به حل برخی از مسایل هم کمک کرده است. سعی کرده‌ایم در ارتباطات‌مان چالش‌ها را شناسایی کنیم و داریم یک به یک آنها را برطرف می‌کنیم.
یکی از ماموریت‌های معاونت، بحث تامین یا ارتقای سامانه‌های ملی است که برای پیشگیری و مقابله به آن نیاز داریم. در گذشته مرکز ماهر تعداد قابل توجهی سامانه برای تشخیص و صدور هشدار در سطح ملی ایجاد کرده بود، معاونت امنیت فضای تولید و تبادل اطلاعات هم درصدد ارتقای این سامانه‌ها و ایجاد سامانه‌های جدید به‌خصوص ایجاد پایگاه‌های داده ملی بوده است.
با ایجاد پایگاه‌های داده ملی می‌توانیم سوابق تمام موضوعات اعم از آسیب‌پذیری‌ها، حملات، حوادث، خسارات و بازیابی‌هایی که وجود داشته را در اختیار داشته باشیم. این سوابق می‌تواند در برنامه‌ریزی‌ها و نیز برای بهره‌برداری در توسعه سامانه‌های حوزه امنیت، توسط بخش خصوصی مورد استفاده قرار گیرد. بنابراین یک بخش قابل توجهی از برنامه معاونت امنیت فضای تولید و تبادل اطلاعات در سال 1401 توسعه همین سامانه‌ها و پایگاه‌های داده است.
آیا هماهنگی‌های لازم بین دستگاه‌های مرتبط در حوزه پیشگیری شکل گرفته است تا از این طریق از ایجاد موازی‌کاری در لایه‌های مختلف سامانه‌ها جلوگیری شود؟
هماهنگی انجام شده و وجود دارد، البته ضعف‌هایی هم در این زمینه هست و همین امروز نیز نمی‌توانیم ادعا کنیم که این هماهنگی کامل است. در این خصوص دو مساله وجود دارد یکی آنکه در تقسیم کاری که صورت گرفته ممکن است اشکلاتی ببینیم.
وزارت ارتباطات در همین زمینه نواقص را شناسایی کرده و پیشنهادی را به مرکز ملی فضای مجازی ارایه داده است.
مساله دوم این است که باتوجه به تقسیم‌کاری که امروز وجود دارد می‌بایست هماهنگی لازم برای زمانی که حادثه‌ای بروز می‌کند وجود داشته باشد. در این حوزه نیز هماهنگی‌هایی صورت گرفته و خوشبختانه امروز نسبت به قبل وضعیت بهتری داریم. البته باید این را هم گفت که قطعا شرایط این هماهنگی بهینه نیست و در این خصوص معاونت امنیت فضای تولید و تبادل اطلاعات به سهم خود پیشنهاداتی را داده است.
در همین راستا اخیرا جلسه‌ای را با سازمان پدافند غیرعامل داشته‌ایم. این هفته نیز پیشنهادی را برای یک توافق چهارجانبه با مرکز مدیریت راهبردی افتا ارایه کردیم و قصد داریم این پیشنهاد را در آینده با پلیس فتا نیز مطرح کنیم.
توجه داشته باشید که چهار بازیگر عملیاتی در کنار یک مجموعه سیاستگذار وجود دارند که این‌ها شامل وزارت ارتباطات، سازمان پدافند غیرعامل، افتا و پلیس فتا هستند، این نهاد‌ها توسط حراست کل در حوزه عملیات در مراکز حراست پشتیبانی می‌شوند.
همچنین مرکز ملی فضای مجازی به عنوان سیاستگذار و قانونگذار حضور دارد. هماهنگی در این حوزه در برخی موارد با چالش‌هایی مواجه شده است اما تلاش وزارت ارتباطات این بوده که به سهم خود چالشی ایجاد نکند.
معمولا فضا به این شکل است که مردم حملات سایبری را زمانی متوجه می‌شوند که اتفاق می‌افتند، اما بسیاری از حملات سایبری نیز در لایه امنیت دفع می‌شوند، اطلاعات و آماری در خصوص میزان و تعداد حملات سایبری به کشور وجود دارد؟
نکته‌ای که وجود دارد این است که برخی فعالیت‌های پیشگیرانه می‌تواند از وقوع حملات جلوگیری کند، یعنی می‌توانیم با تمرکز بر آسیب‌پذیری اقداماتی را انجام دهیم. درحال حاضر اصلی‌ترین فعالیت‌ها روی کاهش میزان آسیب‌پذیری متمرکز است، علت نیز آن است که اساسا تمرکز روی قبل از وقوع حمله و حادثه است.
اگر بخواهیم تقسیم‌بندی داشته باشیم می‌بایست آسیب‌پذیری وجود داشته باشد که حمله با تمرکز به آن آسیب‌پذیری صورت گیرد. پس از وقوع حمله نیز اگر با اقدام مناسب و به موقع توام نشود منجر به وقوع حادثه می‌شود. البته حادثه نیز که اتفاق می‌افتد الزاما همه چیز از دست نمی‌رود، ممکن است یک خرابی ایجاد شود اما با بازیابی می‌توانیم مواردی را بازگردانیم.
تمرکز اما می‌بایست از ابتدای طیف باشد؛ هر چقدر فعالیت‌ها به سمت شناسایی و رفع آسیب‌پذیری متمرکز شود بهتر است.
مرکز ماهر همین کار را انجام می‌دهد و تعداد قابل توجهی از سامانه‌های آن روی شناسایی آسیب‌پذیری و هشدار به دستگاه‌ها در خصوص آسیب‌پذیری آنها تمرکز دارد. تمام تلاش مرکز ماهر آن است که قبل از آنکه تهدید بتواند از منشا آسیب‌پذیری استفاده کند آگاهی‌رسانی کنیم تا آسیب‌پذیری‌ها رفع شوند.
در زمان بروز حمله ماموریت مرکز ماهر چیست، آیا دسترسی مستقیم به داده‌های سازمان‌های دولتی در مرکز ماهر وجود دارد؟
مرکز ماهر دسترسی مستقیم به شبکه دستگاه‌ها ندارد و خود دستگاه باید در این زمان عمل کند. دستگاه می‌بایست با داشتن سامانه‌هایی مثل سامانه تشخیص و مقابله با نفوذ و مراکز عملیات و امنیت وقوع حمله را به موقع تشخیص دهد و با آن مقابله کند.
البته مرکز ماهر قراردادهایی با برخی از سرویس‌دهندگان که خدمات تشخیص روی شبکه و ابر انجام می‌دهند دارد. این موضوع در حملاتی مثل ممانعت از سرویس توزیع شده اهمیت دارد چراکه در این نوع حملات در شبکه هدف نمی‌توان با این حملات مقابله کرد و حتما باید در یک گام جلوتر و قبل از آن که به شبکه برسد با حمله مقابله کرد.
پایش و مانیتور حملات دی داس در شبکه زیرساخت وجود دارد که کنترل آن به صورت توامان توسط مرکز ماهر و شرکت ارتباطات زیرساخت صورت می‌گیرد.
همچنین نت فلو نیز وجود دارد که مرکز ماهر مجری آن برای شرکت ارتباطات زیرساخت است. خیلی از اطلاعات از جمله وقوع حملات را می‌توانیم از فلو ی ترافیک استخراج کنیم که این کار را نیز انجام داده‌ایم. درحال حاضر در حال توسعه پهنای باند تحت پایش آن هستیم و همچنین از پرووایدرهای(ارایه‌دهندگان سرویس) خصوصی بخشی از خدمات را خریداری می‌کنیم و بعضا برخی از سرویس‌های دولتی را پشت خدمات امنیتی ابری که بخش خصوصی ارایه می‌دهد، می‌بریم.
این خدمتی پیشگیرانه است که برای پیشگیری از وقوع حمله به بخشی از دستگاه‌های دولتی ارایه می‌دهیم. در این حوزه نیز امسال ارتقای جدی در زمینه ارتقای دستگاه‌هایی که می‌توانیم ارایه دهیم خواهیم داشت. در همین راستا سرویس امنیتی که خریداری خواهیم کرد نسبت به سال‌های قبل ارتقا خواهد یافت و تعداد بیشتری از دستگاه‌های دولتی را پشت این خدمات برده و از این خدمات بهره‌مند می‌کنیم تا از وقوع تعداد بیشتری از حملات جلوگیری شده و تشخیص و مقابله با آنها انجام شود.
در مرحله پس از وقوع حمله، مرکز ماهر چه اقدامی را صورت می‌دهد؟
در چرخه سوم که بحث بعد از وقوع حادثه مطرح است، در حوزه دستگاه‌های زیرساختی(خدمات شبکه ملی اطلاعات و خدمات دولت الکترونیک) نقش متناظر و متناسب خود را داریم و تیم به مجموعه(مجموعه‌ای که مورد حمله قرار گرفته) اعزام می‌کنیم.
این تیم منشا حمله را بررسی کرده و برای بازیابی، اقدامات لازم را انجام می‌دهد. اگر لازم باشد از بخش خصوصی نیز استفاده می‌کنیم و با ترکیبی از توانایی دولتی و خصوصی رسیدگی لازم را انجام می‌دهیم.
