از کودتای دی سال۱۴۰۴ تا جنگ‌های تحمیلی اخیر به‌روایت مدیر امور امنیت فناوری اطلاعات سازمان

در عصر دیجیتال، رسانه‌ها به ستون فقرات جریان اطلاعات و آگاهی عمومی تبدیل شده‌اند و سازمان صداوسیما به‌عنوان رسانه ملی، نقش بی‌بدیلی در این حوزه ایفا می‌کند.

به گزارش روابط عمومی رسانه ملی، در اوضاع کنونی که تهدیدات سایبری با سرعت و پیچیدگی فزاینده‌ای در حال رشد است و زیرساخت‌های حیاتی کشور پیوسته هدف حملات قرار می‌گیرند، تأمین امنیت سایبری این سازمان به امری اجتناب ناپذیر و حیاتی بدل شده است. هرگونه نقض امنیت در این زیرساخت حساس، نه تنها می‌تواند اعتماد مخاطبان را خدشه‌دار کند، بلکه امکان انحراف افکار عمومی و ایجاد بحران‌های اطلاعاتی را نیز فراهم می‌آورد. در همین خصوص با حسین خرمی، مدیر امور امنیت فناوری اطلاعات و عملیات صداوسیما در معاونت توسعه و فناوری رسانه گفت‌وگویی ترتیب داده‌ایم که در ادامه آمده است.

با توجه به جایگاه حساس صداوسیما به‌عنوان رسانه ملی، ارزیابی‌تان از وضعیت کنونی امنیت سایبری این سازمان چیست و به‌نظر شما در چه بخش‌هایی پیشرفت محسوس داشته و در چه نقاطی همچنان با چالش‌های جدی مواجهیم؟

اگر بخواهم خیلی صریح و البته کارشناسی پاسخ بدهم، باید بگویم که وضعیت امنیت سایبری سازمان را نه می‌توان «ضعیف» توصیف کرد و نه می‌توان با اطمینان گفت که سازمان به سطح مطلوب و پایدار امنیت سایبری رسیده است. واقعیت این است که سازمان در سال‌های اخیر اقدامات درخور ‌توجهی در حوزه امنیت سایبری انجام داده و از نظر تجهیزات، سامانه‌های امنیتی، نیروی انسانی متخصص، ایجاد ساختارهای عملیاتی و حرکت به سمت مرکز عملیات امنیت، از گذشته فاصله زیادی گرفته است.
اما مسئله اصلی امروز دیگر صرفاً «داشتن ابزار امنیتی» نیست. چالش اصلی، تبدیل مجموعه‌ای از ابزارها، سامانه‌ها و اقدامات پراکنده به یک «نظام دفاع سایبری یکپارچه، هوشمند و تاب‌آور» است.
سازمانی مانند صداوسیما با یک سازمان عادی فناوری اطلاعات تفاوت اساسی دارد. ما با زیرساخت‌هایی مواجه هستیم که بخشی از آن‌ها مستقیماً با استمرار پخش، اطلاع‌رسانی عمومی، مدیریت افکار عمومی، ارتباطات حاکمیتی و حتی مدیریت بحران کشور ارتباط پیدا می‌کنند. بنابراین دسترس‌پذیری در چنین سازمانی اهمیت ویژه‌ای پیدا می‌کند؛ یعنی ممکن است یک حمله سایبری که در یک سازمان معمولی صرفاً یک اختلال IT تلقی شود، در سازمان رسانه‌ای ما به یک مسئله امنیتی، اجتماعی و حتی ملی تبدیل شود.
به همین دلیل معتقدم رویکرد امنیتی سازمان باید از «محافظت از سیستم‌ها» به سمت «حفاظت از ماموریت سازمان» تغییر کند.

 جنگ ۱۲روزه چه آموزه‌ها و تجربه‌هایی برای حوزه امنیت سایبری کشور و به‌ویژه سازمان صداوسیما به‌همراه داشت؟ 

جنگ ۱۲روزه یک نقطه عطف بسیار مهم در نگاه ما به امنیت سایبری بود. این جنگ نشان داد که وقتی یک منازعه از سطح سیاسی و نظامی عبور می‌کند، فضای سایبری عملاً به یکی از میدان‌های اصلی نبرد تبدیل می‌شود. طبق گزارش‌های منتشرشده، در فاصله دو روز قبل از جنگ تا بعد از جنگ ۱۲روزه بیش از ۲۲ هزار عملیات سایبری علیه کشور صورت گرفته است. این عدد به‌تنهایی نشان می‌دهد که در یک بحران نظامی، حملات سایبری دیگر یک فعالیت جانبی نیستند، بلکه بخشی از عملیات اصلی محسوب می‌شوند.
در چنین شرایطی مهاجم صرفاً به دنبال تخریب یک یا چند سرور نیست. ممکن است هدف، ایجاد اختلال، جمع‌آوری اطلاعات، شناسایی زیرساخت، سرقت داده‌های حیاتی، نفوذ به زنجیره تاݦݧٔمین، دستکاری اطلاعات، ایجاد اختلال در ارتباطات یا حتی ایجاد یک برداشت غلط در افکار عمومی‌باشد.
برای سازمان، این موضوع اهمیتی دوچندان دارد. تصور کنید مهاجم نتواند کل شبکه سازمان را از کار بیندازد، اما بتواند برای چند دقیقه محتوای یک شبکه تلویزیونی، سامانه انتشار خبر، وب‌سایت یا یک بستر رسانه‌ای را دستکاری کند. از منظر فنی ممکن است زمان حادثه کوتاه باشد، اما اثر امنیتی و روانی آن بسیار بزرگ خواهد بود.
در واقع جنگ ۱۲روزه به ما آموخت که زمان پاسخ در امنیت سایبری اهمیت بسیار زیادی دارد. دیگر کافی نیست که بگوییم سامانه ما امن است؛ باید بدانیم اگر مورد حمله قرار گرفتیم، در پنج دقیقه اول، 30 دقیقه اول، یک ساعت اول و ۲۴ ساعت اول دقیقاً چه اقداماتی باید انجام دهیم.

 از منظر تحلیلی، جنگ رمضان چه تفاوت‌ها و درس‌هایی نسبت به تجربه قبلی داشت؟ با توجه به سخنان رئیس مرکز ملی فضای مجازی درباره بیش از ۱۰۰ حمله حرفه‌ای در روز و هدف‌گیری زیرساخت‌های بانکی و انرژی، این رویداد چه پیام‌هایی برای رویکرد امنیت سایبری سازمان داشت؟

بله، جنگ رمضان نیز از این منظر بسیار آموزنده بود. مستند به مصاحبه منتشرشده رئیس مرکز ملی فضای مجازی، در جریان این جنگ حملات سایبری علیه کشور به‌شدت افزایش یافت و حتی از بیش از 100 حمله حرفه‌ای در روز صحبت شده است؛ حملاتی که فقط بخش بانکی را هدف قرار نمی‌دادند و زیرساخت‌های انرژی را نیز شامل می‌شدند.
این موضوع هم یک پیام بسیار مهم دارد: اینکه، مهاجم دیگر الزاماً به دنبال یک «هدف منفرد» نیست، بلکه به دنبال اثرگذاری بر «زنجیره خدمت» است.
مثلاً اگر هدف، مختل کردن یک سرویس رسانه‌ای باشد، شاید لازم نباشد مستقیماً سراغ سامانه‌های پخش برویم. می‌توان از طریق شبکه، مرکز داده، DNS، سرویس احراز هویت، ارتباطات، تاݦݧٔمین‌کننده، سرویس ابری، CDN، تجهیزات ذخیره‌سازی یا حتی حساب کاربری یک مدیر به آن سرویس نزدیک شد.
این همان چیزی است که در امنیت مدرن به آن نگاه مبتنی بر Attack Surface و Attack Path می‌گوییم؛ بنابراین یکی از مهم‌ترین درس‌های این دوره برای سازمان این است که باید «دارایی‌های حیاتی» را نه به‌صورت جزیره‌ای، بلکه در قالب «زنجیره وابستگی» آن‌ها شناسایی کنیم

دو جنگ قبلی عمدتاً تهدیداتی برون‌مرزی و نظامی داشتند؛ اما بحران دی‌ سال ۱۴۰۴ ماهیت داخلی داشت. از منظر سایبری، این تفاوت چه معنایی برای یک سازمان رسانه‌ای مانند صداوسیما دارد و چه چالش‌ها و الزامات جدیدی را پیش روی امنیت رسانه قرار می‌دهد؟

تفاوت مهم این است که در جنگ، تهدید عمدتاً ماهیت برون‌مرزی و نظامی دارد، اما در بحران‌های داخلی، فضای سایبری با حوزه‌های اجتماعی، رسانه‌ای، اطلاعاتی و امنیتی درهم‌ تنیده می‌شود.
در حوادث دی‌ سال ۱۴۰۴، بحث ارتباطات، اینترنت، شبکه‌های اجتماعی، تولید و انتشار محتوا و مدیریت روایت اهمیت بسیار زیادی پیدا کرد. گزارش‌هایی نیز درباره طراحی عملیات علیه زیرساخت‌های ارتباطی و رادیوتلویزیونی منتشر شد.
برای یک سازمان رسانه‌ای، این تجربه بسیار مهم است، زیرا نشان می‌دهد که امنیت رسانه فقط به این معنا نیست که «کسی نتواند وارد شبکه شود». امنیت رسانه یعنی بتوانیم در مواقع بروز بحران، سه چیز را هم‌زمان حفظ کنیم:
نخست، صحت محتوا؛ دوم، استمرار انتشار؛ و سوم، اعتماد مخاطب. اگر مهاجم بتواند هرکدام از این سه را مختل کند، حتی بدون تخریب فنی گسترده، می‌تواند به هدف خود برسد.

 این حوادث نشان دادند که نگاه سنتی به امنیت سایبری دیگر کافی نیست، نظر شما چیست؟

نگاه سنتی معمولاً می‌پرسد «چگونه جلو نفوذ را بگیریم؟» اما نگاه جدید باید بپرسد «اگر نفوذ اتفاق افتاد، چگونه ماݦݧٔموریت خود را ادامه دهیم؟» این رویکرد بسیار مهم است. ما باید از Security به سمت Cyber Resilience حرکت کنیم؛ یعنی تاب‌آوری سایبری.
در امنیت سنتی، فرض بر این است که یک دیوار دفاعی ایجاد کنیم و اجازه ورود مهاجم را ندهیم، اما در Cyber Resilience فرض می‌کنیم که بخشی از حملات ممکن است موفق شوند؛ بنابراین سازمان باید بتواند حمله را تشخیص دهد، آن را محدودسازد، سرویس حیاتی را حفظ و از مسیر جایگزین استفاده کند، سامانه آلوده را جدا نماید و در کوتاه‌ترین زمان به وضعیت پایدار برگردد. برای سازمانی مانند صداوسیما این موضوع بسیار حیاتی است.
ما باید برای سناریوهایی مانند از دست رفتن مرکز داده، اختلال شبکه، حمله باج‌افزاری، از دسترس خارج شدن سرویس‌های حیاتی، نفوذ به حساب‌های privileged، حمله به زنجیره تامین، حمله به زیرساخت پخش و حتی دستکاری محتوای در حال انتشار، Playbook مشخص داشته باشیم.

 هوش مصنوعی به‌سرعت در حال تغییر ابعاد مختلف امنیت سایبری است. شما چه نقشی برای این فناوری در آینده امنیت سایبری سازمان قائلید؟ 

هوش مصنوعی قطعاً یکی از مهم‌ترین تغییرات آینده امنیت سایبری خواهد بود، اما نباید درباره آن دچار اغراق شویم. AI قرار نیست جایگزین متخصص امنیت شود، بلکه باید ظرفیت تحلیل و تصمیم‌گیری متخصص را افزایش دهد.
در یک SOC بزرگ، روزانه حجم عظیمی از رویدادها تولید می‌شود. انسان نمی‌تواند همه آن‌ها را با دقت بررسی کند. هوش مصنوعی می‌تواند در Correlation، تشخیص رفتارهای غیرعادی، اولویت‌بندی رخدادها، تحلیل Threat Intelligence، کشف الگوهای حمله، کمک به Threat Hunting و حتی پیشنهاد Response Action بسیار موثر باشد.
اما یک نکته بسیار مهم وجود دارد: AI باید در یک معماری حاکمیتی و کنترل‌شده قرار بگیرد. نمی‌توان اختیار تصمیم‌های حساس را بدون Human Oversight به یک الگوی هوش مصنوعی واگذار کرد. آینده را ترکیبی از Human Intelligence و Artificial Intelligence می‌بینم.
 با توجه به شرایط پیچیده کنونی کشور، آینده تهدیدات سایبری علیه کشور و سازمان را چگونه ارزیابی می‌کنید و در چنین وضعیتی، صداوسیما چه آسیب‌پذیری‌ها و چه ظرفیت‌هایی دارد و راهبرد امنیت سایبری آن چگونه باید تدوین شود؟
به نظر من باید از همین امروز فرض کنیم که «جنگ سایبری» دیگر فقط بخشی از جنگ نظامی نیست، بلکه می‌تواند مستقل از جنگ فیزیکی نیز ادامه داشته باشد. وضعیت نه جنگ و نه صلح، دقیقاً وضعیتی است که در آن عملیات سایبری می‌تواند بیشترین کاربرد را پیدا کند، زیرا مهاجم می‌تواند بدون ورود به یک جنگ تمام‌عیار، دائماً به عملیات شناسایی، نفوذ، جاسوسی، خرابکاری، عملیات روانی و اختلال دست بزند.
در چنین موقعیتی احتمالاً شاهد حملات زنجیره‌ای خواهیم بود؛ حملاتی که شاید هرکدام به تنهایی اهمیت زیادی نداشته باشند، اما در مجموع یک هدف راهبردی را دنبال کنند. برای مثال ممکن است ابتدا یک مهاجم ماه‌ها عملیات شناسایی انجام دهد، سپس به یک تاݦݧٔمین‌کننده نفوذ کند، بعد اعتبارنامه یک کاربر privileged را به دست آورد و در نهایت در زمان مناسب عملیات خود را اجرا کند. این گونه حمله با یک DDoS ساده کاملاً متفاوت است.
بنابراین آینده امنیت سایبری سازمان را باید در چهار محور ببینیم: محور اول، Intelligence؛ یعنی شناخت دائمی تهدید و مهاجم؛ محور دوم، Resilience؛ یعنی توان ادامه فعالیت در شرایط حمله؛ محور سوم، Detection & Response؛ یعنی تشخیص و واکنش سریع و محور چهارم، Deception و Proactive Defense؛ یعنی فقط منتظر حمله نباشیم و به شکل فعالانه مهاجم و مسیرهای احتمالی حمله را شناسایی کنیم.

مهم‌ترین اولویت‌های امنیت سایبری در آینده

برای سال‌های آینده، مهم‌ترین اولویت‌های خود در حوزه امنیت سایبری سازمان را چه می‌دانید و به‌ترتیب اهمیت چگونه رده‌بندی می‌کنید؟ 

من پنج اولویت را ضروری می‌دانم:  نخست، ایجاد یک تصویر واقعی و لحظه‌ای از دارایی‌های فناوری اطلاعات، فناوری عملیاتی و سامانه‌های رسانه‌ای سازمان؛ دوم، تعیین سرویس‌ها و زیرساخت‌های واقعاً حیاتی و ایجاد معماری دفاعی متناسب با اهمیت آن‌ها؛ سوم، توسعه SOC از یک مرکز جمع‌آوری لاگ به یک مرکز واقعی Detection, Threat Hunting, Incident Response و Cyber Intelligence؛ چهارم، ایجاد معماری تاب‌آور برای سرویس‌های رسانه‌ای؛ یعنی حتی در صورت از دست رفتن بخشی از زیرساخت، پخش و اطلاع‌رسانی متوقف نشود و پنجم، سرمایه‌گذاری جدی روی نیروی انسانی. در نهایت باید بدانیم که هیچ تجهیزاتی نمی‌تواند جایگزین نیروی متخصص، فرایند مناسب و تصمیم‌گیری سریع شود.