امنیت سایبری زیرساخت های حیاتی با تاکید بر زیرساخت های انرژی

تهدیدات سایبری زیرساخت های حیاتی، به علت برخورداری از ویژگی هایی چون قیمت پایین ورود، گمنامی متهاجم و تاثیرگذاری جدی و گسترده، پدیده ای به نام انتشار قدرت را به وجود آورده است. این تهدیدات موجب شده تا دولت های کوچک بیش تر از سایر دولت ها در معرض اعمال قدرت قرار گیرند و از سوی دیگر منجر به ورود بازیگران جدیدی همچون شرکت ها، گروه های سازمان یافته و افراد به معادلات قدرت جهانی شود؛ بنابراین این پدیده، امنیت ملی را از ابعاد مختلفی تحت تاثیرات جدی قرار داده است. به نظر می رسد با داشتن رویکردهای کلاسیک به امنیت ملی، نمی توان از پس شناخت این پدیده و طراحی و اجرای اقدامات لازم در این خصوص برآمد.

ضرورت و اهداف پژوهش

زیرساخت ها بسترهای مهم حیات، رشد و پویایی جوامع به شمار می روند. در این میان، برخی از زیر ساخت ها نقشی حیاتی در منافع ملی دارند و اختلال هرچند کوتاه مدت در عملکرد آن ها می تواند منجر به آسیب جدی در اقتصاد امنیت یا ایمنی جامعه شود که به چنین زیرساخت هایی، زیرساخت های حیاتی اطلاق می شود. یکی از ملاحظات مهم پیرامون زیرساخت های حیاتی هر کشور، حفاظت از آن ها در برابر تهدیدهای درونی و بیرونی است. مرور تجربه های گذشته ایران نشان می دهد که تهدیدها و اقدام های خصمانه برخی دولت های خارجی در قبال ایران، محدود به حملات نظامی نبوده و در مقاطع زمانی مختلف، حوزه های گوناگونی ازجمله حمل و نقل هوایی، دریانوردی، بانکداری، فناوری اطلاعات و غیره، عرصه های تجاوز به زیرساخت های مهم کشور بوده است. انجام حملات سایبری مخرب به سایت اتمی نطنز، وزارت نفت و وزارت مسکن و شهرسازی در سال های اخیر، نمونه هایی از این اقدام ها هستند. از همین رو، تامین امنیت زیرساخت های حیاتی در برابر تهدیدهای سایبری از اهمیت ویژه ای برای دولت ها و همچنین صاحبان زیرساخت های حیاتی برخوردار است. بر همین مبنا پژوهش حاضر پس از بررسی مفهوم زیرساخت و امنیت سایبری به آسیب شناسی نظام حکمرانی امنیت سایبری زیرساخت های حیاتی پرداخته و در پایان مدل پیشنهادی حکمرانی را ارائه نموده است.

مفهوم زیرساخت و مولفه های حیاتی بودن آن

کلمه زیرساخت به معنی سیستم ها یا تسهیلات فیزیکی ملموس و مادی است که خدمات عمومی اساسی مانند حمل و نقل، تسهیلات رفاهی (آب، برق و گاز)، انرژی و … را تامین می کنند. کمینه اموال و تجهیزاتی که حوزه های اقتصادی و اجتماعی برای تداوم عملکرد خود، به وجود و کارایی درست آن ها نیاز دارند، با عنوان زیرساخت های حیاتی شناخته می شوند. زیرساخت های حیاتی به دلیل تکامل ساختاری خود، مجموعه ای بسیار پیچیده، ناهمگون و وابسته به هم از امکانات، سیستم ها و عملکردهایی هستند که در برابر برخی تهدیدات به شدت آسیب پذیرند. برخی از مولفه های حیاتی بودن زیرساخت ها عبارتند از:

• میانگین مدت زمان آستانه ای برای بازیابی (MTTR): بر اساس این مولفه زیرساخت ها یا خدماتی که مدت زمان اختلال یا از کار افتادگی در آن ها بالا بوده و به عبارتی میانگین مدت زمان مورد نیاز برای بازیابی آن ها طولانی است، بدون تردید حیاتی محسوب می شوند؛ چراکه برای بازگردانی عملیات مربوطه به حالت عادی، مدت زمان بیشتری نیاز خواهد بود؛
• تاثیرگذاری: زیرساخت هایی که اختلال در آن ها، از دست دادن آن ها، یا از دسترس خارج شدن آن ها عملیات کل سازمان یا واحد صنعتی را مختل یا حتی متوقف می کند، حد بحرانیت بیشتری خواهند داشت، چراکه عواقب آن می تواند فاجعه بار باشد؛
• احتمال بروز اختلال: این رویکرد شباهت زیادی به ارزیابی احتمال خطر (ارزیابی ریسک) دارد که در آن احتمال یک حادثه یا از کار افتادگی با تخمین عواقب و پیامدهای منفی آن همراه می شود.

امنیت سایبری و ویژگی های مخاطرات سایبری

به دلایل مختلف، تعریف امنیت سایبری سخت است. فضای سایبری علاوه بر اجزای زیاد، پتانسیل این را دارد تا اجزای دیگری را نیز در خود جای دهد و از این رو معنی امنیت سایبری به تصمیم گیری ها در موقعیت های مختلف وابسته است. در بعضی موارد شرایط اقتصادی، سیاسی، اجتماعی فرهنگی، نظامی از این دست موقعیت ها هستند. از مهم ترین ویژگی های مخاطرات سایبری عبارتند از:

گستردگی عاملان

 ماهیت تروریسم سایبری به نحوی است که عاملان متعددی در آن نقش دارند. این عوامل شامل اشخاص و مجموعه های دولتی و خصوصی می شوند. وسعت این عوامل به این دلیل است که دسترسی به کامپیوتر و اینترنت بسیار آسان شده است. به تعبیر دیگر، با توجه به اینکه وسایل به کار رفته در حملات سایبری کامپیوتر و اینترنت است، به همین خاطر اقدام به این عمل تروریسم چندان دشوار به نظر نمی رسد. عوامل فعالیت های تروریستی در حوزه سایبری، منحصرا در درون یک کشور نمی باشند، بلکه غالبا این عوامل در خارج از کشور به سر می برند و مقاصد خود در سایر کشورها را مورد تهاجم قرار می دهند.

ردیابی دشوار

 در اغلب موارد، خیلی راحت نمی توان تروریسم سایبری را ردیابی کرد. از این رو، عوامل این ‌گونه تروریسم از حاشیه امنیتی بیشتری برخوردار هستند. به همین خاطر، این مورد نیز بر گستره وسیع این گونه فعالیت ها موثر است. ناشناس بودن عوامل حملات سایبری یکی از مواردی است که در تروریسم سایبری بسیار به آن توجه شده و به کار گرفته می شود. امکان شناخت و ردیابی این حملات به راحتی میسر نمی باشد، علاوه بر اینکه نمی توان خیلی راحت با آن ها هم مبارزه کرد. همچنین عاملان اعمال تروریستی در بسترهای سایبری اغلب از شیوه های پیچیده ای به منظور هدف قرار دادن مقاصد خود استفاده می کنند.

دشواری اثبات

 اعمال تروریستی در حیطه تروریسم سایبری، علاوه بر اینکه خیلی سخت قابل ردیابی هستند، حتی در صورت شناسایی هم به راحتی این امکان وجود ندارد که این جرم اثبات شود. نکته دیگر اینکه تمامی کشورهای جهان نیز قوانین مصوبی در این خصوص ندارند و در صورت داشتن این چنین قوانین نیز، به خاطر اینکه فضای مجازی یک عرصه پویا و فعال می باشد، این قوانین قادر به پاسخگویی در قبال این مسائل نیست. از این رو، عوامل تروریسم سایبری با فراغ بال بیشتری در این رابطه دست به اعمال کارشکنانه و اخلال گرایانه در حوزه سایبری می زنند.

آسیب شناسی حوزه امنیت سایبری زیرساخت های حیاتی

در این بخش که مبتنی بر یک روش شناسی ترکیبی که ترکیبی از متدولوژی کمی و کیفی است به آسیب شناسی نظام حکمرانی امنیت سایبری زیرساخت های حیاتی پرداخته و خلاهای موجود در این زمینه احصا شده است. این خلاها و چالش ها در قالب های سیاست گذاری، تنظیم گری و قوانین و نظامات حقوقی دسته بندی شده اند.

• سیاست گذاری: سیاست گذاری مفهومی است که به دولت، جامعه و ارتباط این دو نهاد اجتماعی مربوط می شود و به نحوی حلقه ارتباطی بین دولت و به معنای عام کلمه و جامعه است. برخی از خلاهای مقوله سیاست گذاری عبارتند از: نبود چارچوب نظری مشخص در سیاست گذاری، فقدان ساختار حوزه مسئولیت و کمبود قابل توجه متخصصین مجرب و کارکشته؛
• تنظیم گری: تنظیم گری را می توان اعمال مداخله به منظور اثرگذاری بر رفتار کلیه آحاد اقتصادی و اجتماعی، شامل بازیگران بخش های خصوصی و دولتی به شمار آورد. برخی از چالش های حوزه تنظیم گری عبارتند از: عدم درک فناوری های تحول آفرین توسط نهادهای نظارتی، عمل کردن مبتنی بر روش های تنظیم گری سنتی و فقدان تدابیر لازم هنجاری و نهادی.
• قوانین و نظامات حقوقی: برنامه ریزی استراتژیک یک فعالیت مهم مدیریتی در جهت تنظیم اولویت های سازمان و متمرکز کردن انرژی و منابع سازمان در جهت دستیابی به آن اولویت هاست. از همین رو برخی از چالش های بخش قوانین و نظامات حقوقی عبارتند از: عدم وجود سند راهبردی در حوزه حکمرانی امنیت سایبری زیرساخت های حیاتی، نبود ضمانت اجرایی قوانین مربوط به امنیت سایبری و نبود قانون جامع در زمینه امنیت سایبری زیرساخت های حیاتی.

مدل پیشنهادی حکمرانی

مدل پیشنهادی پژوهش حاضر برای بهینه سازی حکمرانی فضای امنیت سایبری زیرساخت های حیاتی «مدل حکمرانی شبکه ای» می باشد. مهم ترین خصوصیات شبکه ها مواردی چون تمایل به اهداف و مقاصد یکسان، همکاری ارادی و عدم تمرکزگرایی می باشد. در همین راستا و جهت ارائه مدل فرآیندی حکمرانی شبکه محور باید چند گام مورد بررسی و مطالعه قرار گیرد و فرآیند پیاده شدن مدل حکمرانی شبکه ای مبتنی بر بررسی های این مراحل ابتنا شود. این مراحل عبارتند از:

• بررسی و شناسایی الزامات درونی شبکه: در این مرحله، اول شبکه باید از جنبه مشخصات، افراد دارای نقش، بستر شکل گیری شبکه و فرم حکم رانی، مطالعه شود تا بتوان بر مبنای آن مشخصات شبکه های در حال فعالیت را از منظر حجم شبکه، مرز، میزان تراکم، نبود تمرکز، کارایی، سابقه عملکرد، حوزه کارکرد، قلمروی ساختاری و نوع فرهنگ مسلط بر آن بررسی کرد؛
• طراحی و راه اندازی شبکه: در این موقعیت، باید سطح آمادگی سیستمی، مورد مطالعه واقع شود تا بتوان بر مبنای آن تعیین کرد که سطح آمادگی برای تشکیل شبکه در چه وضعیتی است. همچنین روسا و رهبری شبکه وظیفه دارند برخورد بین اعضا را هدایت کرده و آن را تسهیل کنند. سپس باید عملیات شبکه انجام شود که گردآوری، تلفیق و تجزیه و تحلیل اطلاعات را شامل شده و پشتیبانی تصمیمات و اختصاص دادن منابع بین بخش های شبکه را در برمی گیرد؛
• ارزیابی شبکه: در پایان می توان نتایج حاصله از توسعه حکمرانی را بر اساس میزان اثربخشی شبکه، میزان کارایی و شفافیت شبکه ارزیابی نمود تا سطح موفقیت در اجرای مراحل توسعه قابل پیش ‌بینی باشد.

جمع بندی

زیرساخت ها بسترهای مهم حیات، رشد و پویایی جوامع به شمار می روند. در این میان، برخی از زیر ساخت ها نقشی حیاتی در منافع ملی دارند و اختلال هرچند کوتاه مدت در عملکرد آن ها می تواند منجر به آسیب جدی در اقتصاد امنیت یا ایمنی جامعه شود که به چنین زیرساخت هایی، زیرساخت های حیاتی اطلاق می شود. از همین رو تامین امنیت سایبری این زیرساخت ها از اهمیت ویژه ای برخوردار است. از مهم ترین مولفه های حیاتی بودن زیرساخت ها می توان به مواردی چون میانگین مدت زمان آستانه ای برای بازیابی، تاثیرگذاری و احتمال بروز اختلال اشاره نمود. مخاطرات سایبری ویژگی هایی دارند که آن ها را از سایر مخاطرات مجزا می کند. گستردگی عاملان، ردیابی دشوار و دشواری اثبات ازجمله این ویژگی ها می باشد. پژوهش حاضر پس از بررسی آسیب های نظام حکمرانی امنیت سایبری زیرساخت های حیاتی در قالب های سیاست گذاری، تنظیم گری و قوانین و نظامات حقوقی مدل «حکمرانی شبکه ای» را ارائه نموده است.

این مطالعه در اندیشکده هاتف توسط امیر محمدی دوست در سال ۱۴۰۰ انجام شده ‌است.