به گزارش روز دوشنبه پایگاه اطلاع رسانی سازمان پدافند غیرعامل کشور، قرار است فرآیند صدور گواهی ارزیابی امنیت محصولات بومی حوزه فناوری اطلاعات در قالب آئین نامه جدیدی با همکاری، سازمان پدافند غیرعامل کشور، مرکز ماهر سازمان فناوری اطلاعات و مرکز راهبردی افتای ریاست جمهوری اجرایی شود.
برهمین اساس، نخستین گواهی‌های مشترک در حوزه ارزیابی امنیتی – پدافندی محصولات افتا در مراسمی با حضور سردار حسین باقری، دستیار ویژه امور سایبری رئیس سازمان پدافند غیرعامل کشور و مسئولان وزارت ارتباطات و فناوری اطلاعات و مرکز افتا صادر شد.
این توافق مشترک با هدف ارزیابی امنیتی محصولات بومی و صدور مجوز برای استفاده کسب و کارها و تسهیل کار سازمانها اجرایی می‌شود. گواهی ارزیابی افتا پیش از این از سال ۹۲ روی برخی محصولات حوزه امنیت صادر شده بود که شامل ۷۳ محصول می‌شد. از این تعداد ۵۰ محصول همچنان دارای اعتبار، ۱۱ محصول در حال تمدید مجوز و ۱۲ محصول نیز دارای گواهی منقضی هستند. در آئین نامه جدید، گواهی معتبر برای تجهیزات بومی حوزه شبکه، نرم افزارهای کاربردی و محصولات مرتبط با امن سازی و رمزنگاری صادر می‌شود.
وضعیت امنیت سایبری در برخی دستگاهها و نهادهای حاکمیتی مناسب نیست
سردار باقری، در مراسم صدور گواهی امنیتی محصولات بومی حوزه فناوری اطلاعات با تاکید بر ضرورت امن سازی در این حوزه اظهار داشت: با وجود اینکه تفکیک کار در حوزه امنیت سایبری در سازمان فناوری اطلاعات، مرکز افتای ریاست جمهوری و پدافند سایبری صورت گرفته اما وضعیت امنیت سایبری در برخی دستگاهها و نهادهای حاکمیتی مناسب نیست.
غفلت از تشکیل گروه‌های گوهر در دستگاههای اجرایی
وی افزود: قرار بود در هر دستگاه اجرایی و حاکمیتی یک گروه واکنش هماهنگی رخداد (گوهر) ایجاد شود اما پیگیری‌های ما نشان می‌دهد که تنها دو دستگاه اجرایی این تشکیلات را دارند و سایر دستگاهها به این موضوع توجهی نکردند.
معاون ارتباطات، الکترونیک و فناوری اطلاعات سازمان پدافند غیرعامل کشور، تاکید کرد: برای مبارزه با تهدیدات و شناخت آسیب‌های دستگاهها و مصون سازی برابر تهدیدات فضای مجازی باید مرکز ماهر، مرکز افتا، سازمان پدافند غیرعامل کشور، گروه‌های گوهر و بخش خصوصی کار مشترک انجام دهند تا شاهد تحول اساسی در این بخش باشیم.
سردار باقری ادامه داد: اگر شبکه ملی اطلاعات به معنای کامل راه بیافتد و شاهد داشتن سیستم عامل بومی، مرورگر بومی و جستجوگر بومی و مواردی از این دست داشتیم آسیب پذیری سایبری حتما کمتر خواهد شد.
وی گفت: سازمان پدافند غیرعامل کشور در چند کمیته برای راه اندازی شبکه ملی اطلاعات به وزارت ارتباطات کمک می‌کند که یکی از این کمیته‌ها به بحث امنیت می‌پردازد و امیدوارم با همکاری مشترک حداکثری شاهد رفع دغدغه های این بخش باشیم.
معاون ارتباطات، الکترونیک و فناوری اطلاعات سازمان پدافند غیرعامل کشور خاطرنشان کرد: امنیت سایبری در برخی دستگاهها ضعیف است و باید کمک کنیم تا این مشکل حل شود. البته هر دستگاه باید مسئول امن‌سازی فضای سایبر خود باشد و مراکزی مانند افتا، ماهر و سازمان پدافند غیرعامل کشور نقش نظارتی داشته باشند. در این مورد می توان از توانمندی های بخش خصوصی نیز برای حل مشکلات کمک گرفت.
نظام مقابله با جرم در فضای مجازی تنظیم می‌شود
همچنین رضا جواهری رئیس مرکز افتای ریاست جمهوری این مراسم گفت: هم اکنون نظام مقابله با حوادث فضای مجازی به رویدادهای مرتبط با حوادث این حوزه می‌پردازد و برای جرم انگاری در این بخش، مرکز ملی فضای مجازی در حال تدوین نظام مقابله با جرم در فضای مجازی است.
وی با بیان اینکه مسئولیت افشای اطلاعات و حوادث مرتبط با امنیت فضای مجازی به عهده بالاترین مقام سازمانی قرار دارد که افشای اطلاعات در مورد آن رخ داده است، افزود: آن سازمان باید پاسخگوی حوادث رخ داده باشد و در خصوص مقابله با جرم نیز در صورتی که این نظام تدوین شود می توان از آن برای بررسی موارد مربوط به جرم انگاری استفاده کرد.
رئیس مرکز افتای ریاست جمهوری گفت: در خصوص نشت اطلاعات از پایگاه داده اپراتور رایتل با توجه به تقسیم کار صورت گرفته در نظام مقابله با حوادث فضای مجازی یک تیم مشترک در حال بررسی جوانب موضوع است تا مشخص شود در این مورد حادثه و یا جرم اتفاق افتاده است و یا خیر.
انتقاد از عملکرد بخش خصوصی در مشارکت ارزیابی محصولات بومی
جواهری با انتقاد از عملکرد بخش خصوصی در مشارکت ارزیابی محصولات بومی گفت: طی فراخوانی که از سوی مرکز افتای ریاست جمهوری اعلام شد از بخش خصوصی خواستیم چنانچه محصولات بومی در حوزه امنیت دارند که معادل محصولات خارجی در این بخش است به ما اعلام کند. در این زمینه همکاری خوبی صورت نگرفت و تنها ۳۰ محصول در این فراخوان شرکت کردند.
وی ادامه داد: خوشبختانه مطابق با ابلاغ سازمان برنامه و بودجه قسمتی از بودجه سازمانها به موضوع امنیت اختصاص یافته است و در سال ۹۹ بودجه هر دستگاهی مطابق با نیاز امنیتی آن دستگاه تخصیص می یابد و چنانچه برنامه امنیتی آن دستگاه تدوین نشود بودجه ای به آن تخصیص نخواهد یافت.
رئیس مرکز افتای ریاست جمهوری بر لزوم نظم دهی در فرآیند اعتبارسنجی تجهیزات امنیتی تاکید کرد و گفت: سند راهبردی افتا که در سال ۸۴ ابلاغ شد با هدف ساماندهی و اعتباربخشی به موضوعات افتا بود که پس از آن برای توسعه کسب و کار و حمایت های معنوی در حوزه امنیت به عنوان جزء لاینفک زیرساخت های حیاتی کشور با سازمان فناوری اطلاعات و پدافند غیرعامل توافق کردیم تا این همکاری شکل کامل تری به خود بگیرد.
جواهری افزود: ما همچنین با سازمان حراست کل توافق کردیم تا شرکت هایی که دارای گواهی افتا هستند نیاز به استعلام حراست دستگاهها را نداشته باشند و مشکل اعطای مجوز برای بخش خصوصی حوزه امنیت حل شود.
وی گفت: هم اکنون با این آئین نامه جدید دیگر نیازی به اینکه تولید کنندگان محصولات امنیتی بخواهند از دو جا مجوز بگیرند نیست و این اقدام در راستای عمل به جهش تولید اجرایی می‌شود.
رئیس مرکز افتای ریاست جمهوری افزود: بخش خصوصی باید مشارکت جدی در طرح امن سازی فضای مجازی داشته باشد.
جواهری نبود راهکار مناسب برای جذب نخبگان در بدنه دولت و دستگاههای اجرایی را از دیگر مشکلات این بخش عنوان کرد و گفت: دنبال حل صحیح این مسئله به همکاری مرکز ملی فضای مجازی هستیم تا نیازمندی دستگاههای اجرایی و ارتقای فرهنگ امنیتی سازمانها با استفاده از توانمندی های نخبگان حل و فصل شود.
عواقب نشت اطلاعات باید از سوی نهادهای قضائی پیگیری شود
امیر ناظمی، معاون وزیر ارتباطات نیز در مراسم همکاری مشترک برای صدور گواهینامه ارزیابی امنیتی محصولات بومی حوزه فناوری اطلاعات در مورد نشت اطلاعات کاربران در فضای مجازی که طی چند ماه اخیر به یک دغدغه در حوزه امنیت فضای سایبر تبدیل شده است، گفت: ما آئین نامه ۱۰ بندی در مورد داده‌های فضای مجازی داریم که متأسفانه از سوی دستگاههای اجرایی و سازمانها و شرکت‌ها رعایت نمی‌شود.
وی با بیان اینکه عواقب نشت اطلاعات باید توسط نهادهای قضائی پیگیری و برای آن تصمیم گیری شود، افزود: ما پیش از این برای یکی از موارد نشت اطلاعات که مربوط به داده‌های مردم بود به دادستان کشور نامه زدیم.
معاون وزیر ارتباطات افزود: علاوه بر این آئین نامه ده‌بندی در پروانه تخصصی شرکت‌های فعال در این حوزه نیز ماده‌ای مشخص وجود دارد که امکان پیگیری افشای اطلاعات را از طریق این مجوزهای فراهم می‌کند.
پیگیری نشت اطلاعات رایتل در رگولاتوری
ناظمی تصریح کرد: در خصوص افشای اطلاعات کاربران رایتل از طریق رگولاتوری این موضوع را پیگیری می‌کنیم و اقدامات لازم در حال انجام است.
معاون وزیر ارتباطات با بیان اینکه در صورتی که لایحه مربوط به صیانت از اطلاعات GDPR به تصویب دولت برسد می‌توان امیدوار به حل بسیاری از مشکلات افشای اطلاعات بود.
وی گفت: از آنجایی که لایحه‌هایی که موضوع قضائی دارند نمی‌توانند توسط دولت ارائه شوند و باید از سوی مجلس و یا قوه قضائیه برای آن اقدامات مقتضی صورت گیرد این لایحه باید به تأیید قوه قضائیه از نظر جرم انگاری می‌رسید که این فرایند طولانی و زمان‌بر شد اما هم اکنون این لایحه در جلسات تخصصی قوه قضائیه بررسی شده و به دولت بازگشت. همچنین در کمیسیون‌های تخصصی و فرعی دولت نیز مورد بررسی قرار گرفت و هم اکنون در انتظار ورود به هیئت وزیران برای تصویب نهایی است.
اهداف صدور گواهینامه امنیتی برای تولیدات بومی حوزه افتا
ناظمی با اشاره به اهداف صدور گواهینامه امنیتی برای تولیدات بومی حوزه افتا گفت: صدور این مجوزها یک ضرورت است و به معنای مداخله دولت نیست بلکه حفظ حریم خصوصی شهروندان در این اقدام مورد توجه قرار گرفته است.
وی گفت: برای آنکه دولت مداخله‌ای در کسب و کارهای این حوزه نداشته باشد ۵ استراتژی در نظر گرفته است که شامل صدور گواهی امنیت در سطح فعالیت کسب و کارها، استراتژی استقلال حداکثری بدون مداخله دولت، یکپارچگی و هماهنگی نهادی در نظام حکمرانی، استراتژی تنوع در گواهینامه بر حسب نیاز و نیز استراتژی کاهش هزینه‌های مالی و زمانی می‌شود.
ناظمی گفت: در این راستا ۶ آزمایشگاه مستقل خارج از دولت برای ارزیابی محصولات در نظر گرفته شده است و در راستای یکپارچگی دستگاههای مسئول این گواهینامه با همکاری مشترک مرکز ماهر وزارت اطلاعات، مرکز افتای ریاست جمهوری و معاونت فاوای سازمان پدافند غیرعامل کشور اعطا می‌شود.
رئیس سازمان فناوری اطلاعات ایران گفت: هم اکنون با مشکلات جدی در حوزه امنیت فضای مجازی به دلیل فقدان یکپارچگی دستگاههای مسئول مواجه هستیم.
ناظمی ادامه داد: در همین حال با هماهنگی صندوق نوآوری و شکوفایی معاونت علمی، هزینه دریافت گواهی امنیت برای شرکت‌های دانش بنیان مطابق با یک بسته تشویقی در نظر گرفته شده و بخش عمده‌ای از هزینه‌ها را برای شرکت‌های دانش بنیان تولید کننده، صندوق نوآوری شکوفایی تقبل می‌کند.
وی تاکید کرد: تمامی تلاش این است که در نظام حکمرانی امنیت سایبری شاهد اتفاقاتی از نوع نشت اطلاعات و سرقت داده‌ها نباشیم.
الزامی برای دریافت گواهینامه امنیت برای نرم افزارهای کاربردی وجود ندارد
ناظمی ادامه داد: هم اکنون هیچ الزامی برای دریافت گواهینامه امنیت برای نرم افزارهای کاربردی وجود ندارد و ما مسئول بازخواست و جرم انگاری در این حوزه نیستیم. بر این اساس از شورای عالی فضای مجازی خواستیم که مصوبه‌ای را برای الزام صدور مجوز امنیتی اپلیکیشن‌ها و نرم افزارها صادر کند تا با هماهنگی پلیس فتا بتوانیم این بخش را ساماندهی کنیم. در همین حال برای تدوین آیین نامه مربوط به محصولات خارجی این حوزه نیز اقداماتی از سوی سازمان فناوری اطلاعات صورت گرفته و این آئین نامه به رگولاتوری ارسال شده است چرا که نمی‌توان فقط برای محصولات بومی گواهی امنیت صادر کرد.
وی گفت: این آئین نامه تا یک ماه آینده در کمیسیون تنظیم مقررات ارتباطات تصویب می‌شود که در آن شرایطی هم برای نرم افزارها و هم سخت افزارهای خارجی در نظر گرفته شده است.
معاون وزیر ارتباطات با اشاره به اینکه هم اکنون ۳۴۵ هزار اپلیکیشن ایرانی در بازارهای اپلیکیشن و فضای وب وجود دارد، اظهار داشت: این رقم در سال ۹۲، ۴۸۰ اپلیکیشن بوده و افزایش تعداد این اپلیکیشن‌ها نیازمند داشتن ابزار شناسایی تعداد نصب است. در همین حال به زودی آیین نامه‌ای برای دریافت گواهی امنیتی این اپلیکیشن‌ها اعلام می‌شود.
ناظمی با بیان اینکه در این حوزه جای خالی قانون احساس می‌شود و با وجود اینکه بسیاری از شرکت‌ها و کسب و کارها در حوزه امنیت سایبری رفتار همراه گونه دارند و گزارش‌هایی را برای افتا، فتا و مرکز ماهر ارسال می‌کنند اما با این وجود شاهد برخی بی‌مبالاتی‌ها از سوی سازمانها و شرکت‌هایی هستیم که باعث درز اطلاعات می‌شود.
نظام مقابله با حوادث فضای سایبری نیازمند بازنگری است
رئیس سازمان فناوری اطلاعات در پاسخ به سوال خبرنگاری در مورد کارآمدی نظام مقابله با حوادث فضای سایبری مصوب شورای عالی فضای مجازی گفت: این نظام نیازمند بازنگری است و انتظارات فعلی را برآورده نمی‌کند.
وی گفت: از زمانی که این نظام برای مقابله با حوادث فضای مجازی به تصویب رسید زمان زیادی می‌گذرد و با توجه به اینکه سرعت تحولات بسیار افزایش یافته نیازمند بازبینی در این آئین نامه هستیم و دیگر دغدغه نظام مقابله با حوادث فضای مجازی از جنس محافظت از داده‌های کلان نیست و نمی‌تواند پاسخگوی شرایط فعلی باشد.