تبیین و تفسیر حکم دهم سیاست‌های کلی فضای مجازی
عباس پورخصالیان - با ظهور فضای سایبری، معنای امنیت دگرگون نشده، بلکه موضوع آن، دگرگون شده؛ فرهنگ رفتاری حافظان آن، متحول گردیده، ارزیابی پاسداران امنیت از خود تغییر کرده؛ مدل تولید امنیت دچار استحاله شده؛ رفتار عرضه‌کنندگانِ اطلاعاتِ امنیتی دستخوش تغییر شده؛
شیوه فعالیتِ مدیریتِ امنیت تغییر کرده؛ تحول در منابع امنیت رُخ داده؛ availability یا دسترس‌پذیریِ اطلاعات امنیتی دگرگون شده؛ و بالاخره: میزان سرمایه‌گذاری در تولید امنیت متحول شده است. لذا، تأثیرگذاری فضای سایبری و امنیت بر یکدیگر، همگان را با تحول پارادایم در راهبرد امنیت رو به رو کرده است. درک سنجه‌های این تحول پارادایم، به اعضای شورای عالی و مرکز ملی فضای مجازی کمک می‌کند، تا نخستین نکته مهم حکم دهم (تدوین و تصویب نظام امنیتی مورد نیاز در فضای مجازی) را بهتر درک کنند، زیرا درک نظام امنیتی مورد نیاز در فضای مجازی از تحول پارادایم در راهبرد امنیت، مشتق می‌شود.
حکم دهم و پایانی سیاست‌های کلی فضای مجازی، شورای عالی و مرکز ملی فضای مجازی را موظف به تدوین و تصویب نظام امنیتی مورد نیاز در فضای مجازی[همچنین تدوین و تصویب نظام‌های حقوقی، قضایی و انتظامی‌مورد نیاز در این فضا] کرده است.
منظور از "نظام" در حکم دهم، نظمی اجتماعی است که روابط، مناسبات و وابستگی‌های متقابل میان نهادها، سازمان‌ها، اشخاص و افراد یک جامعه را شکل می‌دهد؛ به مجموعه‌ای از نقش‌ها و رفتارها مشروعیت می‌بخشد؛ و تجلی آنها را در جامعه هدف‌گذاری می‌کند.
به بیان دیگر: حکم دهم از اعضای شورای عالی و مرکز ملی فضای مجازی می‌خواهد، روابط، مناسبات و وابستگی‌های هنجارمند و مشروع را میان نهادها، سازمان‌ها، اشخاص و افراد جامعه از جنبه‌های امنیتی، حقوقی، قضایی و انتظامی‌مورد نیاز در فضای سایبری معین کنند و با تصویب قواعدی برای برقراری این نظام‌ها، به چنین نظاماتی، عینیت ببخشند.
من، این بار، در سلسله تحلیل‌هایم از "ده فرمان رهبری" تنها به نظام امنیتی مورد نیاز در فضای سایبری می‌پردازم؛ و در فرصت‌های آینده، به سایر نظام‌ها، شاملِ: نظام‌های حقوقی، قضایی و انتظامی مورد نیاز در فضای سایبری، اشاره خواهم کرد.
نظام امنیتی مورد نیاز در فضای سایبری
نخست باید بر این فرض تأکید کنم که فضای سایبری، امنیتی نیست و امنیتی نشده است، بلکه این امنیت است که سایبری شده است! لذا با تکیه بر این فرض، در ادامه می‌پردازم به دگرگونی پارامترها یا سنجه‌های نظام‌های امنیتی در فضای سایبری و در زندگی و روزگار امروز ما.
نـُه سنجه تحول پارادایم در راهبرد امنیت
در اثر جامعه شبکه‌ای شده نوین، سنجه‌ها، سرمشق‌ها یا پارادایم‌های امنیتی و پی‌آمدهای تصمیمات امنیتی، دگرگون شده‌اند.
در ادامه به 9 سنجه تحول پارادایم در راهبرد امنیت اشاره می‌شود.
- دگرگونی از لحاظ موضوع امنیت: پارادایم قبلی تامین‌کنندگان امنیت، تعریف کردنِ دقیقِ "دشمن"، نوع حمله و تمرکز روی تک‌تک رویدادهای ضد امنیتی است. در صورتی که در پارادایم کنونی امنیت، واژه "دشمن" محو شده و بجای آن: بازیگران و کنشگرایان مرتبط (relevant actors) که پرشمارند و تعداد آنها به صورت انفجاری رو به افزایش است، نشسته اند! همچنین در پارادایم کنونی امنیت، بجای تمرکز روی تک‌تک رویدادهای ضد امنیتی احتمالی، طیفی از مخاطرات متفاوت مد نظر است و نوع نگاه حافظان امنیت بر رویکرد سیستمی، تمرکز یافته و تاکید حافظان امنیت بر تحلیل مخاطره است.
- دگرگونی از لحاظ فرهنگ‌سازی امنیت: پارادایم پیشین حافظان امنیت کشور در فضای سایبری، "رفتن در لاک خود" و "عایق‌بندی نظام" در برابر مخاطرات احتمالی و حملات بود که بر پنهان‌کاری و محرمانگی بسیاری از اطلاعات، تاکید داشت. در صورتی که در پارادایم کنونی، توسعه شبکه، شفاف‌سازی و گشایش نظام به بیرون و انضمام بیرون به درون، بجای آن نشسته است. در نتیجه، مدیریت منابع باز اجتناب‌ناپذیر شده است. اینک، گشودگی و باز بودن، "قلب" همه دگرگونی‌ها و جابجایی پارادایم‌های هوشمندی امنیتی و زمام‌داری خوب (Good Governance) در زمانه ما شده است. هر چند بر اهمیت این دگرگونی تکیه شود، باز هم کم است! برخوردها، درگیری‌ها و مواجهه‌هایی که این دگرگونی برای انسان معاصر آفریده است هم ایجاد تعادل میان داده برگیری (data acquisition) (یعنی جمع آوری منظم و سامان مند اطلاعات و داده‌ها ) و تحلیل را مشکل ساخته است و هم مسائل و مشکلات مربوط به فرهنگ سازمان‌ها و نهادها برای انجام تحلیل‌ها و چگونه تحلیل کردن حجم عظیمی‌از داده‌ها را مطرح نموده است.
- دگرگونی از لحاظ خودارزیابیِ "امنیتی‌ها": در گذشته، مدیریت‌های امنیت، حراست و حفاظت فیزیکی، چه در یک کشور و چه در یک شرکت، ارزیابی جاه طلبانه‌ای از خود و "حساسیت‌شناسی" محیط خود داشتند زیرا آنها تنها منابع و تنها کسانی بودند که حساسیت‌ها را شناسایی و طبقه بندی می‌کردند. اما این پارادایم، اینک به کلی دگرگون شده و هر وزارتخانه‌ای، هر نهادی و هر شرکتی موظف است، حساسیت‌های مربوط به خویش و بخش خود را مستقلاً شناسایی کند. پس، مدیریت‌های امنیت، متعدد شده‌اند، هریک امنیت خود را کنترل می‌کند و در حوزه امنیت با دیگران، هماهنگی و همکاری دارد. در نهایت هر کاربر، مدیر حفظ امنیت خود و مجموعه مربوط به خود است و به طور معمول، حفظ امنیت خود را به کمک انواع دیواره‌های آتش و سپرواره‌های شخصی انجام می‌دهد. در نتیجه، در زمینه جمع آوری اطلاعات امنیتی، میان کنشگران، رقابت حاکم است؛ بطوری که اموری چون: مدیریت امنیت و حفاظت فیزیکی، دیگر برون‌سپاری می‌شوند. پس اینک آنچه مهم شده است "مدیریت" بخش امنیت است و اعمال نظارت عالیه بر آن.
- دگرگونی از لحاظ مدل تولید امنیت: مدل تولید امنیت در گذشته شبیه به کار در کارخانه‌های مجهز به تسمه نقاله بود. در مدل تسمه نقاله‌ای، میان منابع، نسبت توالی، صف و پشت سر هم قرار گرفتن حاکم است: عده‌ای داده برگیری و عده‌ای دیگر تولید اطلاعات می‌کردند، عده‌ای هم داده‌ها و اطلاعات تولیدشده را پردازش می‌کردند، به تجزیه و تحلیل داده‌ها و اطلاعات تولیدشده می‌پرداختند و ارزش آنها را می‌سنجیدند و در پایانِ این خط تولیدِ تسمه نقاله‌ای ِکمابیش بلند، مدیران نشسته بودند که فرآورده حاضر و آماده را برمی‌گرفتند و مصرف می‌کردند. در این روال، مراوده و ارتباط درونی میان این سه گروه برقرار نمی‌شد و یا به ندرت و به سختی ایجاد می‌شد؛ در صورتی که در پارادایم جدید، همه شبکه‌وند netizen یا network citizen هستند و میان آنها شبکه، وساطت می‌کند؛ به عبارت دیگر، هر یک از آنها، گره این شبکه هستند، شبکه‌ای اجتماعی متشکل از منابع یا حافظان امنیت، شبکه‌ای مجازی که روی شبکه‌های عمومی ولی به یاری نرم افزار، خصوصی شده (که به آن شبکه خصوصی مجازی یا VPN می‌گویند) ایجاد می‌شود. در نتیجه، فرآورده‌های امنیتی، مشتری‌گرا و معطوف به نیازهای مشتری تهیه می‌شوند. مشتری نیز، همان مدیر امنیت است که در پارادایم قبلی، در آخر خط نشسته بود ولی در پارادایم فعلی، یکی از شبکه‌وندان است. در نتیجه: سازمان امنیتی که اعضای آن، همه شبکه‌وند هستند، انعطاف‌پذیر و برخط است. پس، آنچه اکنون مهم شده است: مدیریت بخش امنیت است و اعمال نظارت عالیه بر کلیه تراکنش‌های این بخش.
- دگرگونی از لحاظ رفتار عرضه کننده اطلاعات امنیتی: درگذشته کسی که اطلاعات امنیتی خاصی را در دست داشت، انگار سنگ بزرگی را در دست دارد که برای عرضه آن به دیگری باید از زور خود استفاده کند و آن را با فشار به جلو براند. مخاطبان اطلاعات امنیتی نیز برای اخذ این نوع اطلاعات، در مضیقه بودند و با پافشاری و بعضاً هراس، با اطلاعات امنیتی برخورد می‌کردند. اما امروزه، اوضاع بر عکس شده است. مردم برای اطلاعات امنیتی، گوش شنوا دارند، این نوع اطلاعات بعضاً سفارشی‌اند و متقاضی، منتظر اخذ اطلاعات است، پس همه آن را به نوعی به سوی خود می‌کشند. در نتیجه، اطلاعات امنیتی مشتری‌های مشخصی دارند و آنها، کیفیت فراورده را ارزیابی می‌کنند و همین مطلب، باعث بهبود شاخصه‌های کیفیت اطلاعات امنیت می‌شود. در ضمن فعالیت مراکز تهیه کننده اطلاعات امنیتی، به شیوه مشتری‌محور است.
- دگرگونی از لحاظ شیوه کار مدیریت امنیت: در گذشته فعالیت‌های امنیتی، حفاظتی و حراستی در انحصار حاکمیت بود، اطلاعات توسط حاکمیت تولید می‌شد و از تولید به مصرف می‌رسید. اما امروزه، ساختاری متشکل از بخش عمومی، بخش خصوصی و نهادهای پژوهشی روی اطلاعات امنیتی کار می‌کنند. در نتیجه، ارزش مالی فرآورده‌های امنیتی مشخص است و بخش امنیت، سهمی در تولید ناخالص ملی دارد ولی چون اطلاعات امنیتی، دارای حساسیت بالایی هستند محدودیت‌هایی نیز برای مصرف کننده و یا تولیدکننده ایجاد می‌شود.
- دگرگونی از لحاظ وضعیت منابع اطلاعات امنیتی: در گذشته منابع سری و پنهانی، قابل کنترل بودند؛ اما در وضعیت فعلی، منابع سری و غیبی به علت انفجار منابع و اطلاعات، غیر قابل کنترل شده‌اند. همچنین چالش گذشته، تشخیص هویت منبع اطلاعات امنیتی بود؛ اما در حال حاضر، به جای اجرای فرآیند‌های تشخیص هویت مبنع، آنها را گزینش می‌کنند. در نتیجه روش‌های جدیدی برای گزینش منبع مطرح شده‌اند و مدیریت منابع باز (open)، مطرح شده است.
- دگرگونی از لحاظ دسترس‌پذیری منابع و اطلاعات امنیتی: در گذشته، چون تفکر پنهان‌کاری غالب بود، دستیابی به اطلاعات خاص فقط نیاز به تامین مالی و برخورداری از ابزار و وسایل مکفی داشت. اما امروزه به جای بایگانی‌های راکد، تفکر استفاده به موقع و سرِ وقت از اطلاعات، به مدیریت تولید اطلاعات امنیتی، پویایی داده و تفکر کاربست اطلاعات امنیتی، جای تفکر بایگانی اطلاعات امنیتی را گرفته است. در ضمن امروزه، دیگر نمی‌توان پول به هر قدر و میزان برای تامین امنیت، گردآوری کرد. در واقع آنچه فراوان شده است فرصت و اطلاعات است؛ و آنچه دچار کمبود شدید شده است، منابع مالی و ابزار سخت‌افزاری برای ذخیره سازی به قدر دلخواه است.
- دگرگونی از لحاظ میزان سرمایه‌گذاری در فناوری‌های پردازش اطلاعات امنیتی: درگذشته چون بایگانی اطلاعات طبقه‌بندی شده به صورت سری، اهمیت خاصی داشت سرمایه‌گذاری لازم روی فناوری‌های پیشرفته برای جمع‌آوری و ذخیره‌سازی اطلاعات به میزان زیاد انجام می‌شد؛ اما در حال حاضر جای ظرفیت جمع‌آوری و ذخیره‌سازی اطلاعات را قدرت تحلیل محتوا گرفته است و چون تحلیل‌گران محتوا، نیروهای انسانی‌اند، منابع انسانی، جای ماشین را فعلاً گرفته اند. در نتیجه: "رویکرد کاربری" بر "رویکرد گردآوری"، غلبه کرده است و سرمایه گذاری روی توسعه منابع انسانی، جای سرمایه گذاری روی سخت‌افزار را گرفته است.
جمع بندی
مجموعه سنجه‌های 9گانه‌ی تحول پارادایم در راهبرد امنیت، نظام امنیتی مورد نیاز در فضای سایبری را شکل می‌دهد.
پذیرش این تحول پارادایم در راهبرد امنیت، از سوی اعضای شورای عالی و مرکز ملی فضای مجازی، خط مشی آنها را در تدوین و تصویب نطام امنیتی مورد نیاز در فضای مجازی تعیین می‌کند و برای قوای سه‌گانه و کاربران، تبعات مهم و الزام‌آوری را در پی دارد که کوچک ترینِ آنها، بازاندیشی در ابعاد رژیم فیلترینگ فنی، و اصلاح قانون جرایم رایانه‌ای است.
پیامد دیگر پذیرش تحول پارادایم در راهبرد امنیت (به ویژه پذیرش سنجه چهارم مذکور) این است: اکنون که ما با بخش جدیدی در اقتصاد ملی روبرو هستیم به نام بخش تهیه تولیدات امنیتی و "تولید امنیت" !! پس، باید برای این بخش نیز همچون سایر بخش‌های اقتصاد کشور، صنف و سازمان مقررات‌گذاری‌اش را پیش‌بینی کرد. لذا، شاید بتوان نهاد تازه تاسیس یافته "افتا" را به عنوان رگولاتور و به منظور مقررات‌گذاری در بخش تهیه تولیدات امنیتی و "تولید امنیت" آماده ساخت و بدان ارتقاء داد.(منبع:عصرارتباط)