بازوی پژوهشی مجلس در یک گزارش کارشناسی بررسی کرد
راهکارهای ارتقای امنیت سایبری
در عصر فناوری اطلاعات، امنیت سایبری به یکی از مهمترین الزامات حفظ ثبات اقتصادی، اجتماعی و سیاسی جوامع تبدیل شده است. در سالهای اخیر، همزمان با گسترش زیرساختهای دیجیتال در ایران، حملات سایبری و نشت دادههای گسترده به معضلی اساسی بدل شده و امنیت اطلاعات سازمانها و زیرساختهای حیاتی کشور را تهدید میکند. بخشهای بانکی و بیمهای، به عنوان ستونهای اصلی اقتصاد دیجیتال و نگهبانان دادههای حساس مالی و شخصی میلیونها شهروند، بیش از سایر حوزهها در معرض خطر قرار دارند.
طی سالهای اخیر، حملات متعدد به شبکه بانکی، صرافیهای رمزارز و شرکتهای بیمه، منجر به نشت اطلاعات مالی، هویتی و پزشکی شهروندان شده است. برای مثال، هک سامانههای بانکی و صرافیها طی رویدادهای امنیتی اخیر، دادههای میلیونها مشتری را در معرض تهدید قرار داد. همچنین، شرکتهای بیمه با افشای اطلاعات حساس بیمهگذاران، مانند سوابق پزشکی و جزئیات قراردادها، مواجه شدند. این حملات نهتنها باعث خسارات مالی مستقیم، سرقت هویت، اخاذی و کاهش اعتماد عمومی به سیستمهای دیجیتال شده، بلکه امنیت اقتصادی و ملی کشور را نیز تحتتاثیر قرار داده است.
ضعفهای ساختاری متعددی این وضعیت را تشدید کردهاند؛ نبود قانون جامع حفاظت از دادههای شخصی، فقدان نهاد نظارتی مستقل و قدرتمند، نبود استانداردهای اجباری امنیت سایبری، کمبود نیروی متخصص و ضعف اطلاعرسانی شفاف پس از حوادث از این قبیل ضعفها به شمار میروند. سازمانها اغلب پس از وقوع حمله، اقدام موثری برای جبران خسارت یا تقویت امنیت انجام نمیدهند. هزینه بالای سرمایهگذاری در امنیت برای شرکتهای کوچک و متوسط، آسیبپذیری زیرساختها در برابر تحریمها و فیلترینگ و عدم الزام به بیمه سایبری نیز از چالشهای کلیدی هستند.
این مشکلات، پیامدهایی فراتر از خسارت مالی را به همراه دارد؛ پیامدهایی مانند کاهش اعتماد عمومی به خدمات بانکی و بیمهای، تضعیف اعتبار نهادها و خطرهای زیرساختی بلندمدت. درحالیکه کشورهای پیشرفته با قوانینی مانند GDPR و CCPA و نظارت شدید، این تهدیدها را مدیریت میکنند، ایران فاقد چارچوب قانونی و سیاستی منسجم است. بنابراین، ضرورت تدوین سیاستهای تقنینی، نظارتی و عملیاتی با تمرکز بر بخشهای بانکی و بیمهای، برای ارتقای امنیت سایبری، حفاظت از دادهها و تقویت اعتماد عمومی، بیش از پیش احساس میشود. گزارش مرکز پژوهشهای مجلس، با رویکرد تطبیقی به دنبال شناسایی چالشها و ارائه راهکارهای عملی است.
انواع مشکلات فنی در امنیت سایبری
برخلاف کاربرد رایج در ایران که دو اصطلاح نقض داده (Data Breach) و نشت داده (Data Leak) اغلب به جای یکدیگر استفاده میشوند، این دو پدیده از نظر فنی و حقوقی تفاوتهای مهمی دارند. نقض داده یک نفوذ عمدی و مخرب است که معمولا از طریق حملات سایبری مانند هک، فیشینگ یا بهرهبرداری از آسیبپذیریها رخ میدهد. در این حالت، افراد غیرمجاز به طور فعال به سیستمها، شبکهها یا پایگاههای داده نفوذ کرده و به اطلاعات محرمانه دسترسی پیدا میکنند. در نشت داده تمرکز اصلی بر دسترسی غیرمجاز است که عمدتا غیرعمدی و تصادفی است. خطای انسانی، تنظیمات اشتباه سرورها، پیکربندی نادرست پایگاههای داده، ارسال ایمیل به آدرس اشتباه یا قرار دادن سند حساس در فضای ابری عمومی از علل اصلی آن به شمار میرود. هر دو پدیده میتوانند به افشای اطلاعات حساس، سرقت هویت، خسارات مالی و آسیب به اعتبار منجر شوند، اما علل، مسوولیت حقوقی و شیوههای پیشگیری و پاسخگویی به آنها متفاوت است.
نمونه حملات سایبری در ایران
در سالهای اخیر، حملات سایبری و نشت داده به یکی از جدیترین چالشهای امنیت اطلاعات در ایران تبدیل شده است. این حملات دامنه گستردهای از نهادهای دولتی تا پلتفرمهای خصوصی، بانکها و شرکتهای بیمه را در بر گرفته و حریم خصوصی میلیونها شهروند، اعتماد عمومی و امنیت اقتصادی کشور را تهدید کرده است. ضعف زیرساختهای امنیتی، نبود قوانین جامع حفاظت از داده، عدم شفافیت در اطلاعرسانی و کمبود نیروی متخصص از دلایل اصلی تداوم این حملات هستند.
در شهریور ۱۴۰۲ با حمله به سرویس تاکسی اینترنتی تپسی دادههای بیش از ۲۷میلیون مسافر و ۶میلیون راننده (۱۳۶میلیون سفر) لو رفت. اطلاعات شامل نام، شماره تماس و جزئیات سفرها بود. مدیرعامل شرکت اعلام کرد باج پرداخت نمیشود و اقدامات امنیتی تقویت شد. این حادثه اعتماد کاربران را کاهش داد اما واکنش قانونی گستردهای نداشت. در همین ماه، حمله به ۱۸ شرکت بیمه باعث لو رفتن اطلاعات بیش از ۱۱۵میلیون بیمهگذار شامل دادههای هویتی، بیمه شخص ثالث، عمر و سلامت شد. در پی این حمله، بیمه مرکزی ابتدا وقوع حمله را کماهمیت جلوه داد اما بعدا تایید شد دادهها برای فروش عرضه شده است. همچنین در دیماه سال ۱۴۰۲، با هک پلتفرم اسنپفود. اطلاعات حدود ۲۰میلیون کاربر، شامل شماره تلفن، موقعیت مکانی، سوابق سفارش و جزئیات کارت بانکی (بدون CVV2 و رمز) در معرض خطر قرار گرفت. این شرکت حمله را تایید کرد، موضوع را به پلیس فتا گزارش داد و مدعی شد اطلاعات حساس بانکی درز نکرده است. هکرها درخواست باج ۳۰ هزار دلاری کردند اما پرداخت آن تایید نشد.
در شهریور سال 1403، یک حمله گسترده به شبکه بانکی توسط گروه IRLeaks باعث افشای اطلاعات میلیونها مشتری شامل نام، شماره کارت، کد ملی، موجودی حساب و جزئیات تراکنشها شد. در این اتفاق، شرکت توسن (ارائهدهنده خدمات بانکی) متهم به ضعف امنیتی شد. گزارشها حاکی از پرداخت حدود ۳میلیون دلار باج است. طبق گزارش مرکز پژوهشها، بانک مرکزی و نهادها شفافیت کمی در خصوص این اتفاق نشان دادند و دعاوی حقوقی معناداری علیه بانکها مطرح نشد. سایر حملات مهم شامل هک سامانه ثبت احوال، شبکه سوخت، سایتهای دولتی(مجلس، قوه قضائیه، وزارت علوم) و بانک سپه و پاسارگاد در جریان تنشهای امنیتی خرداد ۱۴۰۴ است. این حملات منجر به سرقت هویت، کلاهبرداری، کاهش اعتماد عمومی به خدمات دیجیتال، خسارات اعتباری و تهدید امنیت ملی شدهاند. با این حال، در ایران برخلاف نمونههای جهانی(مانند یاهو یا فیس بوک)، اطلاعرسانی شفاف، جریمههای سنگین، دعاوی جمعی و مسوولیتپذیری سازمانها بسیار ضعیف است. کاربران اغلب از جزئیات آگاه نمیشوند و جبران خسارت انجام نمیگیرد.
اهمیت حفظ اطلاعات کاربران
افشای اطلاعات کاربران در حملات سایبری مانند هک اسنپفود، تپسی، شبکه بانکی و شرکتهای بیمه در ایران، اهمیت بسیار بالایی دارد. این رخدادها فقط یک حادثه فنی نیستند، بلکه تهدیدی جدی علیه حریم خصوصی، امنیت اقتصادی و اعتماد عمومی به شمار میروند. دادههای لو رفته شامل نام، شماره تلفن، کد ملی، شماره کارت بانکی، سوابق سفارش، سفر و اطلاعات پزشکی است. افراد سودجو میتوانند از این اطلاعات به راحتی برای سرقت هویت، کلاهبرداری مالی، اخاذی و حتی تهدید فیزیکی سوءاستفاده کنند. همچنین افشای دادهها باعث کاهش اعتماد به خدمات دیجیتال بانکی، بیمهای و پلتفرمهای خدماتی میشود و رشد اقتصاد دیجیتال را کند میکند. در سوی دیگر، چنین اطلاعاتی میتواند در جنگ سایبری، جاسوسی یا اختلال زیرساختهای حیاتی مورد بهرهبرداری قرار گیرد.
در همین راستا، شرکتها نگهبان «دادههای امانتی» کاربران هستند و مسوولیت قانونی و اخلاقی سنگینی بر عهده دارند. حفاظت از این دادهها با استفاده از رمزنگاری قوی، احراز هویت چندمرحلهای، ممیزی منظم و اطلاعرسانی شفاف ضروری است. در بسیاری از کشورها، عدم توجه به امنیت سایبری، منجر به جریمههای سنگین، دعاوی حقوقی، کاهش ارزش برند و حتی ورشکستگی میشود و هزینه پیشگیری، بسیار کمتر از هزینههای پس از حادثه است. علاوه بر این، اعتماد مشتریان سرمایه اصلی کسبوکارهای دیجیتال است و بدون آن، خدمات بانکی، بیمه و پلتفرمهای آنلاین پایدار نخواهند ماند.
در ایران، ضعف قوانین و نظارت ضعیف باعث تشدید مشکل شده است. گزارش مرکز پژوهشهای مجلس تاکید دارد که شرکتها باید با سرمایهگذاری در امنیت سایبری، آموزش نیروی انسانی و رعایت استانداردهای بینالمللی، از دادههای کاربران محافظت کنند. حفاظت از اطلاعات نه تنها یک الزام فنی، بلکه تعهد اقتصادی و اجتماعی برای حفظ اعتماد عمومی و توسعه پایدار اقتصاد دیجیتال است. بنابراین، تقویت قوانین، نظارت مستقل، شفافیت و سرمایهگذاری در امنیت سایبری بهویژه در بخشهای حساس بانکی و بیمهای از اهمیت بالایی برخوردار است و بدون اقدام جدی، تکرار این حملات، اعتماد به اقتصاد دیجیتال ایران را بیش از پیش تضعیف خواهد کرد.
راهکارهای سیاستی
مرکز پژوهشهای مجلس برای مقابله با چالشهای امنیت سایبری و نقض داده، مجموعهای از راهکارهای تقنینی، نظارتی و سیاستی را پیشنهاد کرده است. این پیشنهادها با رویکرد تطبیقی و تمرکز بر حفاظت از دادههای شخصی تدوین شدهاند. در حوزه چارچوب قانونی و نظارتی، تصویب قانون جامع حفاظت از دادهها ضروری است. این قانون باید حقوق و مسوولیتهای کاربران، شرکتها و نهادها را به وضوح مشخص کند، استانداردهای سختگیرانه برای جمعآوری، ذخیره و پردازش داده تعریف کند و جریمههای سنگینی برای تخلفات در نظر بگیرد. همچنین تاسیس یک نهاد مستقل حفاظت از داده با اختیارات اجرایی قوی برای نظارت، تحقیق، جریمه و تعقیب متخلفان از الزامات کلیدی است. شرکتها باید ملزم به اطلاعرسانی شفاف و سریع وقوع نقض داده به کاربران و نهاد نظارتی شوند و جزئیات حادثه، اقدامات اصلاحی و توصیههای حفاظتی را ارائه دهند.
برای تقویت زیرساختها و الزامات فنی، ممیزی امنیتی اجباری توسط شرکتهای ثالث معتبر باید الزامی شود تا پروتکلهای امنیتی، رمزنگاری و مدیریت داده به طور منظم ارزیابی شود. الزام به خرید بیمه امنیت سایبری نیز مهم است تا خسارات کاربران جبران شود و شرکتهایی که استانداردهای بالاتر رعایت میکنند برای تشویق، در پرداخت حق بیمه تخفیف بگیرند. علاوه بر این، تدوین و تمرین برنامههای جامع واکنش به حوادث و برگزاری رزمایشهای دورهای برای آمادگی در برابر حملات سایبری ضروری است.
در بخش توسعه ظرفیت انسانی و اقتصادی، سرمایهگذاری در آموزش و تربیت نیروی متخصص امنیت سایبری از طریق همکاری دولت با دانشگاهها و بخش خصوصی باید پیگیری شود. ارائه مشوقهای مالی مانند وامهای کمبهره، معافیتهای مالیاتی و کمکهای مستقیم به ویژه به شرکتهای کوچک و متوسط برای سرمایهگذاری در امنیت توصیه شده است. بهرهگیری از فناوریهای پیشرفته مانند هوش مصنوعی برای تشخیص سریع تهدیدها نیز الزامی است.
علاوه بر این، تقویت همکاریهای بینالمللی برای اشتراک دانش و فناوری با رعایت ملاحظات تحریمها و اجرای برنامههای آموزشی برای ارتقای آگاهی عمومی کاربران از دیگر راهکارهای مهم هستند. این پیشنهادها بر رفع ضعفهای فعلی مانند نبود قانون جامع، نظارت ناکافی، کمبود متخصص و عدم شفافیت تمرکز دارند و اجرای آنها نیازمند اراده سیاسی، هماهنگی بیندستگاهی و تخصیص بودجه کافی است تا اعتماد عمومی به خدمات دیجیتال بهویژه در حوزه بانکی و بیمهای بازگردانده شود و زیرساختهای حیاتی کشور تقویت شود.
