پاسکاری مسئولیت؛ بازی خطرناک نهادهای مسئول با امنیت سایبری / زیرساخت‌های ملی قربانی ترک‌فعل‌ها می‌شوند
امنیت سایبری نیازمند برنامه عملیاتی، مدیریت مستمر، نیروی متخصص، تخصیص به‌موقع منابع و ارزیابی دقیق است.
امنیت سایبری نیازمند برنامه عملیاتی، مدیریت مستمر، نیروی متخصص، تخصیص به‌موقع منابع و ارزیابی دقیق است.
به گزارش رصد روز، ارجاع پرونده عملکرد دستگاه‌های مسوول در اجرای تکالیف امنیت سایبری به دادسرای دیوان محاسبات ضعفی را آشکار کرده که دیگر نمی‌توان آن را به تاخیر در اجرای چند تکلیف قانونی یا مشکلات تخصیص اعتبار نسبت داد. وقتی وزارت ارتباطات، بانک مرکزی و بانک‌های عامل در انجام ماموریت‌های قانونی خود با قصور مواجه می‌شوند باید آن را نشانه‌ای از فقدان هماهنگی، ضعف نظارت و نبود سازوکار موثر پاسخگویی دانست.
براساس اعلام دیوان محاسبات باوجود تصریح مواد۱۰۳و۱۰۷قانون برنامه هفتم پیشرفت و بند پ تبصره۶ قانون بودجه سال۱۴۰۴ تکالیف مربوط به ارتقای امنیت سایبری و حفاظت از زیرساخت‌ها و داده‌های ملی به‌طور کامل اجرا نشده است. این در حالی است که امنیت سایبری مستقیما با امنیت اقتصادی، استمرار خدمات عمومی، حفاظت از اطلاعات شهروندان و اعتماد عمومی ارتباط دارد بنابراین تعلل در اجرای چنین تکالیفی را نمی‌توان درحد یک‌کوتاهی معمول اداری تقلیل داد.
یکی از تناقض‌های جدی در مدیریت این حوزه فاصله میان تکالیف قانونی و عملکرد واقعی دستگاه‌هاست. قوانین بالادستی وظایف مشخصی را برای دستگاه‌های مسوول تعیین کردند اما گزارش دیوان محاسبات نشان می‌دهد که این الزامات هنوز به نتایج عملی مورد انتظار منجر نشدند.
پرسش اساسی این است که وقتی وظایف قانونی مشخص دستگاه‌های مسوول معرفی و منابع مالی نیز پیش‌بینی شدند چرا همچنان در اجرای برنامه‌های امنیت سایبری با چنین مشکلاتی مواجه هستیم؟ نمی‌توان همه این‌ناکامی‌ها را به پیچیدگی‌های فنی یا مشکلات اداری نسبت داد. امنیت سایبری نیازمند برنامه عملیاتی، مدیریت مستمر، نیروی متخصص، تخصیص به‌موقع منابع و ارزیابی دقیق است. اگر دستگاهی در اجرای این الزامات کوتاهی می‌کند باید مشخص شود مشکل ناشی از ضعف مدیریتی است نبود هماهنگی بین‌بخشی است یا فقدان اراده کافی برای اجرای قانون. تداوم این وضعیت نشان می‌دهد که امنیت سایبری هنوز درعمل به اولویت واقعی برخی دستگاه‌های مسوول تبدیل نشده است.
نکته نگران‌کننده‌تر شکل‌گیری چرخه‌ای از پاسکاری مسوولیت میان دستگاه‌های مختلف است. وزارت ارتباطات، بانک مرکزی و بانک‌های عامل هرکدام بخشی از مسوولیت امنیت سایبری را برعهده دارند اما آنچه در عمل دیده می‌شود به‌جای یک زنجیره هماهنگ و نتیجه‌محور مجموعه‌ای از تاخیرها و ناهماهنگی‌هاست. طبیعتا امنیت سایبری حوزه‌ای بین‌بخشی است و اجرای آن به همکاری چندین نهاد نیاز دارد اما تعدد متولیان نباید به ابزاری برای فرار از مسوولیت تبدیل شود.
هردستگاه باید در برابر وظایف مشخص خود پاسخگو باشد و هیچ نهادی نباید بتواند قصور خود را با اشاره به عملکرد نامناسب مجموعه‌ای دیگر توجیه کند. مساله اینجاست که در چنین ساختاری هردستگاه بخشی از مشکلات را به کمبود اعتبار تاخیر در تصمیم‌گیری یا ضعف عملکرد سایر نهادها نسبت دهد اما درنهایت مشخص نیست چه کسی مسوول نتیجه نهایی است. این همان خلأ مدیریتی خطرناکی است که باعث می‌شود مسوولیت‌ها میان سازمان‌ها توزیع شود اما پاسخگویی واقعی شکل نگیرد. نمی‌توان در زمان تدوین قانون همه دستگاه‌ها را متولی دانست اما هنگام اجرای آن هیچ‌کدام مسوولیت ناکامی را نپذیرند.
گزارش دیوان محاسبات از اختلال در تخصیص حداقل یک‌درصد از اعتبارات هزینه‌ای و تملک دارایی‌های سرمایه‌ای دستگاه‌های مشمول برای ارتقای امنیت سایبری خبر می‌دهد. تامین اعتبار نیم‌درصدی مربوط به توسعه زیست‌بوم دولت هوشمند و هوش مصنوعی نیز با مشکل مواجه شده است. این مساله نشان می‌دهد که حتی پیش‌بینی منابع مالی در قوانین بودجه نیز تضمینی برای اجرای برنامه‌ها نیست.
اختصاص اعتبار زمانی ارزشمند است که به پروژه‌های مشخص، اقدامات فنی و نتایج قابل اندازه‌گیری تبدیل شود. در غیراین صورت ردیف‌های بودجه‌ای اعدادی در اسناد مالی خواهند بود که تاثیر ملموسی بر امنیت زیرساخت‌ها ندارند. البته باید میان پیش‌بینی، تخصیص و هزینه‌کرد اعتبار تفاوت قائل شد. دستگاه‌ها باید به‌صورت شفاف اعلام کنند چه میزان از منابع قانونی به آنها تخصیص یافته، چه میزان هزینه شده و این هزینه‌کرد چه تاثیری بر کاهش آسیب‌پذیری‌ها داشته است.
تاخیر در ارزیابی و رتبه‌بندی سالانه امنیت سایبری دستگاه‌ها نیز بخش دیگری از این ناکارآمدی است. ارزیابی امنیتی قرار است وضعیت آمادگی دستگاه‌ها را مشخص کند، نقاط ضعف را شناسایی کند و مبنایی برای اصلاح آسیب‌پذیری‌ها باشد. وقتی همین فرآیند نیز با تاخیر مواجه می‌شود عملا یکی از ابزارهای اصلی نظارت و پیشگیری از اختلالات امنیتی تضعیف خواهد شد.
با این حال مساله فقط انجام ارزیابی نیست؛ بلکه ضمانت اجرای نتایج آن اهمیت بیشتری دارد. اگر دستگاهی در رتبه‌بندی امنیت سایبری عملکرد ضعیفی داشته باشد اما الزام مشخصی برای اصلاح نقاط ضعف آن وجود نداشته باشد این رتبه‌بندی به اقدامی تشریفاتی تبدیل خواهد شد. ارزیابی باید پیامد مدیریتی داشته باشد و مدیران را در قبال وضعیت امنیتی مجموعه تحت مسوولیتشان پاسخگو کند.
اهمیت این قصورها زمانی روشن‌تر می‌شود که وابستگی روزافزون خدمات عمومی و فعالیت‌های اقتصادی به زیرساخت‌های دیجیتال را در نظر بگیریم. نظام بانکی، خدمات پرداخت، سامانه‌های دولتی و بخش قابل‌توجهی از فعالیت‌های اقتصادی به شبکه‌ها و سامانه‌هایی وابسته هستند که حفاظت از آنها مستلزم اجرای دقیق الزامات امنیت سایبری است.
در حوزه بانکی هرگونه ضعف امنیتی می‌تواند اعتماد مشتریان، استمرار خدمات مالی و امنیت اطلاعات را تحت تاثیر قرار دهد. در بخش خدمات عمومی نیز حفاظت از داده‌های شهروندان و پایداری سامانه‌های الکترونیکی اهمیت حیاتی دارد بنابراین تعلل در اجرای تکالیف قانونی می‌تواند زمینه‌ساز افزایش آسیب‌پذیری زیرساخت‌هایی شود که بخش مهمی از زندگی روزمره مردم و فعالیت اقتصادی کشور به آنها وابسته است. از سوی دیگر توسعه دولت هوشمند و استفاده از ظرفیت هوش مصنوعی بدون تامین الزامات امنیتی، می‌تواند مخاطرات جدیدی ایجاد کند. توسعه دیجیتال زمانی معنا دارد که همزمان با گسترش خدمات، امنیت، تاب‌آوری و قابلیت بازیابی زیرساخت‌ها نیز ارتقا پیدا کند. افزایش تعداد سامانه‌ها و خدمات الکترونیکی بدون حفاظت متناسب از آنها نشانه پیشرفت پایدار نیست.
ارجاع پرونده دستگاه‌های مسوول به دادسرای دیوان محاسبات اقدامی ضروری برای پیگیری ترک‌فعل‌هاست اما نباید آن را پایان کار تلقی کرد. مساله اصلی این است که چرا باید اجرای تکالیف قانونی تا مرحله انباشت قصور و ارجاع پرونده پیش برود؟ در حوزه‌ای مانند امنیت سایبری که تهدیدات آن مستمر و متغیر است نظارت باید پیشگیرانه و مستمر باشد، نه صرفا واکنشی و پس از وقوع تخلف. رسیدگی به این پرونده باید به مشخص شدن مسوولیت دقیق هر دستگاه، شناسایی مدیران مسوول و تعیین تکلیف عقب‌ماندگی‌ها منجر شود. باید روشن شود کدام بخش از اعتبارات تخصیص نیافته، چه ماموریت‌هایی اجرا نشده و چه موانعی باعث تاخیر در ارزیابی امنیتی شده است.
نهادهای نظارتی باید علاوه‌بر شناسایی تخلف، دستگاه‌ها را به اجرای برنامه‌های اصلاحی با زمان‌بندی مشخص ملزم کنند. اگر نتیجه رسیدگی‌ها صرفا به صدور گزارش و ثبت تخلف محدود شود بدون آنکه تغییری در عملکرد دستگاه‌ها ایجاد کند نمی‌توان انتظار داشت چرخه فعلی متوقف شود. مشکل دیگر غلبه رویکرد اداری و گزارش‌محور بر اقدامات عملیاتی است.
امنیت سایبری با تشکیل کارگروه برگزاری جلسات و صدور بخشنامه محقق نمی‌شود. دستگاه‌ها باید بتوانند نشان دهند چه زیرساخت‌هایی را ایمن‌سازی کرده چه آسیب‌پذیری‌هایی را برطرف کردند و در برابر رخدادهای احتمالی چه میزان آمادگی دارند. ارزیابی عملکرد نیز باید براساس شاخص‌های فنی و نتایج قابل سنجش انجام شود و نه صرفا گزارش‌های خوداظهاری دستگاه‌ها.
به بیان دیگر ملاک موفقیت نباید تعداد جلسات برگزارشده یا اسناد تدوین‌شده باشد بلکه باید میزان کاهش آسیب‌پذیری‌ها و افزایش تاب‌آوری زیرساخت‌ها مورد توجه قرار گیرد.
پرونده اخیر دیوان محاسبات را نباید اختلافی میان چند دستگاه اجرایی یا تخلفی مالی و اداری تلقی کرد. این پرونده نشانه‌ای از ضعف جدی در حکمرانی امنیت سایبری کشور است؛ جایی که قانون وجود دارد مسوولیت‌ها به ظاهر تعیین شدند و منابع مالی نیز پیش‌بینی شدند اما اجرای تکالیف همچنان با مشکل مواجه است. به‌نظر می‌رسد بخشی از انرژی دستگاه‌های مسوول به جای تمرکز بر کاهش آسیب‌پذیری‌ها و ارتقای امنیت زیرساخت‌ها صرف توجیه تاخیرها و انتقال مسوولیت به سایر نهادها می‌شود. این درحالی است که تهدیدات سایبری منتظر پایان اختلافات اداری و تکمیل مکاتبات بین‌دستگاهی نمی‌مانند.
هر روز تعلل در اجرای الزامات امنیتی می‌تواند به‌معنای تداوم آسیب‌پذیری‌هایی باشد که پیامدهای احتمالی آن متوجه کل کشور خواهد بود. از این رو رسیدگی دیوان محاسبات به یک اقدام موثر و بازدارنده تبدیل شود؛ اقدامی که علاوه بر تعیین مقصران مدیران مسوول را به پاسخگویی و دستگاه‌ها را به اجرای فوری تعهدات قانونی ملزم کند. امنیت سایبری نه مسوولیتی قابل واگذاری به دیگران است و نه موضوعی که بتوان آن را تا زمان وقوع بحران به تعویق انداخت. نمی‌توان امنیت زیرساخت‌های ملی را قربانی اختلافات سازمانی و پاسکاری مدیریتی کرد. کشور به جای دستگاه‌هایی که در توجیه عملکرد خود و معرفی مقصران دیگر مهارت دارند به مدیرانی نیاز دارد که مسوولیت بپذیرند، قانون را اجرا کنند و دربرابر نتایج عملکردشان پاسخگو باشند.
برای عضویت در کانال رصد روز کلیک کنید
