پیشنهادهایی برای ارتقای امنیت داده در کشور

امروزه با گسترش فضای تصمیم گیری بر اساس داده ها و آشکارشدن فضیلت بهره گیری از آن ها، دسترسی به داده ها، به عنوان برگ برنده بازیگران این حوزه شناخته می شود. با افزایش حملات سایبری و نقض داده های روزافزون جهانی، حفاظت از این دارایی ارزشمند به یک دغدغه در سازمان ها و بخش های مختلف تبدیل شده است. حفظ امنیت داده ها و جلوگیری از دسترسی های غیرمجاز در محیط سایبری از جمله چالش های اصلی سازمان ها و نهادها به شمار می آید. افزایش آگاهی و آموزش کارکنان، به‌کارگیری فناوری های جدید و پروتکل های امنیتی به‌روز و نظارت مداوم بر امنیت سیستم ها می تواند به کاهش چشمگیر مخاطرات امنیتی کمک کند.

ضرورت و اهداف پژوهش

باتوجه به افزایش حملات سایبری و نقض داده ها در جهان، امنیت داده ها و اطلاعات حساس در سازمان ها و نهادها از اهمیت بسزایی برخوردار است. تأمین امنیت داده ها به معنای محافظت از آن ها در برابر تمامی تلاش ها برای دسترسی غیرمجاز، انتشار و تخریب داده هاست، به عبارت دیگر امنیت داده ها با این سه تهدید اصلی مواجه است. ازآنجایی‌که هر یک از این تهدیدها به نحوی داده ها را در معرض خطر قرار می دهند، شناخت آن ها، به تصمیم گیران و مدیران امکان اتخاذ تصمیم های صحیح و مناسب را می دهد. همچنین، شناخت انواع حمله از نظر سازوکار، هدف، مهاجم و… به کنترل و مدیریت این هجمه ها کمک می کند. از این رو در  این گزارش، به ارائه شرح تهدیدات اصلی، اقدامات و راهبردهای پیشنهادی برای ارتقاء امنیت داده ها جهت آگاهی بیشتر مدیران جهت اجرا و بهینه سازی سیاست های امنیتی پرداخته شده است.

امنیت داده

امروزه با فراگیری فضای مجازی، داده ها به بخش جدایی ناپذیری از زندگی روزمره انسان ها تبدیل شده اند. افراد به واسطه انجام هر فعالیتی در هر زمان و مکان، رد پایی از خود را در این فضا به جا می گذارند. در چنین شرایطی، پرونده ‌ای از زندگی هر فرد با امکان پیش بینی و مداخله در آن را برای افراد دارای دسترسی ایجاد می شود؛ از این رو، برقراری امنیت داده ها برای جلوگیری از دسترسی افراد غیرمجاز به آن ها، ضروری است. به عبارت دیگر امنیت داده، محافظت از اطلاعات دیجیتال در برابر دسترسی غیرمجاز، فساد یا سرقت در کل چرخه عمر آن تعریف می شود .

انواع تهدیدهای امنیتی

سه واژه نقض داده، ازدست‌رفتن داده و نشت داده، سه اصطلاح رایج در تهدیدات و آسیب های امنیتی داده ها هستند که باتوجه به قرابت معنایی، گاهی به ‌اشتباه معادل یکدیگر مورد استفاده قرار می گیرند. باتوجه به تمایزهای قابل توجه و اختلاف های موجود میان این مفاهیم، هر اصطلاح در ادامه تعریف می شود:

نقض داده؛ دسترسی عامل غیر مجاز به داده ها

نقض حریم داده‌ ها به معنای ایجاد دسترسی برای افراد غیرمجاز است. به عبارت دیگر رویدادی که طی آن داده ها در دسترس شخص غیرمجاز قرار بگیرند، «نقض داده» محسوب می شود. این داده ها می توانند شامل داده های شخصی مشتریان یک سازمان خصوصی یا مراجعان یک سازمان دولتی، اطلاعات محرمانه کسب وکارها، اسرار محرمانه دولتی یا هر نوع اطلاعات حساس دیگری باشند.

نشت داده؛ انتشار داده ها در فضایی غیرمجاز

به فرایندی که در آن، امکان دسترسی به داده ها برای سایر افراد فراهم می شود، «نشت» یا «درز» داده ها می گویند. این امکان، گاهی توسط یک فرد غیرمجاز (شخص مهاجم) از بیرون و در مواردی نیز، به وسیله اشتباه یا سهل انگاری افراد مجاز، فراهم می شود. در مورد حمله مهاجم از فضای بیرونی، پس از ایجاد دسترسی به داده ها و نقض حریم داده، یکی از اقداماتی که مهاجم انجام می دهد، انتشار داده هاست. خطای انسانی، زیرساخت نامن، خطای سیستم و دسترسی کارکنان سازمان ها از عوامل اصلی نشت و نقض داده هاست. ازدست دادن داده ها حادثه ای عمدی یا غیرعمدی بوده که در آن داده ها توسط مهاجم حذف، خراب و ناخوانا می شوند؛ همچنین ورود آسیب به داده یا حذف آن توسط فرد مجاز به صورت عمدی یا سهوی از مصادیق از دست رفتن داده ها به شمار می آید. داده ها می توانند در ذخیره سازی، انتقال، پردازش و یا در یک شبکه از بین بروند. سرقت یا مفقود شدن یک دستگاه حاوی داده، به‌عنوان یکی از مصداق ازدست دادن داده است.

نگاهی به آسیب های سایبری ایران در دو سال گذشته

در سال ۱۴۰۲ و ۱۴۰۳ کشور شاهد موارد متعددی از حملات سایبری به زیرساخت ها، سازمان های دولتی و کسب وکارها بود. اگرچه بخش زیادی از این حملات با موفقیت دفع شد؛ اما موارد مهمی از نقض داده نیز رخ داد که تبعات سنگینی را برای دولت و شهروندان به همراه داشته است. در ادامه بحث به چند مورد از مهم ترین حملات سایبری اشاره می شود:

• وزارت امور خارجه: در ۱۷ اردیبهشت ۱۴۰۲ گروه هکری قیام تا سرنگونی، وابسته به سازمان مجاهدین خلق، ادعا کرد که با هک وزارت خارجه جمهوری اسلامی ایران به اسناد محرمانه ای مانند فهرست مدیران و معاونان وزارت خارجه و تلفن آن ها، فهرست اعضای شورای مرکزی و مشاورین و فرماندهان مرکز مقاومت بسیج وزارت خارجه، فهرست پلاک های محرمانه خودروهای وزارت امور خارجه دست یافت.
• بنیاد شهید: در ۲۴ مرداد ۱۴۰۲ گروه هکری بختک اعلام کرد که با حمله سایبری گسترده ای به سرورهای بنیاد شهید و امور ایثارگران، موفق به حذف کل اطلاعات و داده های پشتیبان این سازمان شده است. خبری که بنیاد شهید نیز آن را تأیید نمود.
• تپسی: بر اساس گزارش زومیت، در ۱۱ شهریور ۱۴۰۲ شرکت تپسی توسط گروه هکری آی‌آرلیکس مورد حمله قرار گرفت. در این حمله هکری، اطلاعات بیش از ۲۷ میلیون کاربر این سکو و اطلاعات بیش از ۱۳۶ میلیون سفر (مبدأ و مقصد، آدرس کامل، مشخصات جغرافیایی و…)، منبع کد برنامه های شرکت تپسی، به همراه اطلاعات دستگاه های همراه راننده و مسافران نشت شد و در دسترس هکرها قرار گرفت.
• سامانه مدیریت پرونده های قوه قضاییه: در اسفند ۱۴۰۲ گروه هکری عدالت علی به میلیون ها سند و پرونده تا رده خیلی محرمانه قوه قضائیه تهران دسترسی پیدا کرد. مهاجمین، داده های بدست آورده را در سایتی در دسترس عموم قرار دادند.

ارائه پیشنهادهای راهبردی

با درنظرگرفتن مفهوم سه اصلاح نقض، نشت و ازدست‌دادن داده ها که پیش تر به آن اشاره گردید و توجه به علت ها و مواردی که امنیت داده ها را به خطر می اندازد، مواردی حفاظت از داده ها با بهره گیری از چند تکنیک محقق شده و خطرات امنیتی با به کارگیری آن ها کمینه خواهد شد.

• کنترل دسترسی: کنترل دسترسی روشی برای محدودسازی دسترسی به اطلاعات حساس تنها برای کاربران مجاز است. این روش را می توان با استفاده از رمزهای عبور، احراز هویت چند عاملی و کنترل دسترسی مبتنی بر نقش هر فرد، عملیاتی کرد.
• رمزنگاری داده ها: رمزنگاری جزئی اساسی برای محافظت از داده ها به شمار می آید. این امر شامل تبدیل اطلاعات حساس به یک فرم کدگذاری شده است که بدون کلید رمزگشایی آن برای هر کسی قابل خواندن نیست؛ تنها کاربر مجاز با در اختیار داشتن کلید رمزگشایی، قادر به مشاهده اطلاعات خواهد بود.
• مانیتورینگ داده: مشاهدۀ مداوم داده ها، با استقرار فناوری های نظارتی که زنجیره حیات داده ها را در سراسر شبکه سازمان دنبال می کند، آغاز می شود. با تعیین منشأ داده ها، چگونگی ذخیره و روش انتقال، سیستم های پیشگیری داده ها، بلادرنگ و به طور مداوم جریان داده ها را رصد می کنند و به سازمان ها اجازه می دهند تا هرگونه فعالیت مشکوک یا نقض احتمالی داده ها را شناسایی و به آن واکنش نشان دهند.
• تهیه نسخه پشتیبان از داده ها: پشتیبان گیری منظم از داده ها جنبه مهمی از حفاظت از داده هاست، زیرا تضمین کننده حفظ داده ها در صورت نابودی یا خرابی خواهد بود.
• مرور حملات سایبری گذشته: سازمان ها و بخش های مختلف با مرور حملات گذشته به خود و دیگر قربانیان و شناسایی نقاط ضعف و مسدودسازی آنان، راه هجوم مجدد هکرها را مسدود کرده و به صورت پیشینی در مقابل نفوذ مهاجمین جدید، اقدام می کنند.

جمع‌بندی

باتوجه به افزایش حملات سایبری و نقض داده ها در جهان، امنیت داده ها و اطلاعات حساس در سازمان ها و نهادها از اهمیت بسزایی برخوردار است. تأمین امنیت داده ها به معنای محافظت از آن ها در برابر تمامی تلاش ها برای دسترسی غیرمجاز، انتشار و تخریب داده ها است. نقض داده، ازدست‌رفتن داده و نشت داده ، سه عمل رایج در تهدیدات و آسیب های امنیتی داده است و ازآنجایی‌که هر یک از این تهدیدها به نحوی داده ها را در معرض خطر قرار می دهند، شناخت آن ها، به تصمیم گیران و مدیران امکان اتخاذ تصمیم های صحیح و مناسب را می دهد. وجود رویکردی جامع برای حفاظت از داده ها که شامل رمزنگاری، پشتیبان گیری، کنترل دسترسی، مرور حملات سایبری گذشته است، می تواند به تضمین امنیت و محرمانه بودن اطلاعات حساس کمک کند.

این مطالعه در اندیشکده حنان (حکمرانی نرم و فناوری های نوین) در سال 1403 انجام شده ‌است.