اطلاع‌رساني يا اعتمادسوزي؟
بهنام عباسي‌وندا
در دنياي امروز كه زندگي ديجيتال بخش جدايي‌ناپذير از روزمره ما شده، حملات سايبري به يكي از بزرگ‌ترين چالش‌ها براي سازمان‌ها، دولت‌ها و حتي كاربران عادي تبديل شده است. با افزايش تعداد و پيچيدگي اين حملات، نحوه اطلاع‌رساني درباره آنها و برخورد با اين حوادث به موضوعي بسيار مهم تبديل شده است. اما متاسفانه در ايران، بسياري از سازمان‌ها به جاي شفاف‌سازي، با انتشار بيانيه‌هاي كليشه‌اي سعي در كاهش نگراني‌هاي عمومي دارند. اين رويكرد نه تنها اعتماد مردم را جلب نمي‌كند، بلكه باعث ايجاد شك و ترديد بيشتر در ذهن آنها مي‌شود.
بيانيه‌هاي كليشه‌اي و بي‌اعتمادي عمومي
در ايران، اطلاع‌رساني درباره حملات سايبري اغلب با بيانيه‌هايي همراه است كه بيشتر بر انكار يا كم‌اهميت جلوه دادن موضوع تمركز دارند. عباراتي مانند «هيچ اتفاقي نيفتاده است»، «اطلاعات كاربران در امنيت كامل است» يا «ريسك خاصي وجود ندارد» بارها و بارها تكرار مي‌شوند. اين نوع واكنش‌ها نه‌تنها نگراني‌ها را كاهش نمي‌دهند، بلكه باعث مي‌شوند مردم احساس كنند كه سازمان‌ها به امنيت سايبري بي‌توجه هستند. براي مثال در مواردي مانند نشت اطلاعات از بانك‌ها يا موسسات دولتي، شواهد نشان مي‌دهد كه حملات سايبري واقعا اتفاق افتاده و اطلاعات كاربران به خطر افتاده است، اما بيانيه‌هاي رسمي اين موضوع را انكار يا كم‌اهميت جلوه مي‌دهند.
رويكرد جهاني: شفافيت و مسووليت‌پذيري
در كشورهاي پيشرفته مانند ايالات متحده و كشورهاي عضو اتحاديه اروپا، اطلاع‌رساني درباره حملات سايبري تحت قوانين و استانداردهاي مشخصي انجام مي‌شود. اين قوانين بر شفافيت، مسووليت‌پذيري و حفاظت از حقوق كاربران تاكيد دارند. براي مثال:
مقررات عمومي حفاظت از داده‌ها (GDPR): در اتحاديه اروپا، سازمان‌ها موظف هستند در صورت وقوع نقض داده‌ها، ظرف ۷۲ساعت به مراجع نظارتي اطلاع دهند و در صورت تاثير قابل توجه برحقوق افراد، كاربران را نيز مطلع كنند.
قوانين اطلاع‌رساني نقض داده‌ها در امريكا: سازمان‌ها بايد به سرعت كاربران و مراجع مربوطه را از وقوع حملات سايبري مطلع كنند.
استاندارد ISO/IEC 27001: اين استاندارد بر ايجاد سيستم‌هاي مديريت امنيت اطلاعات تاكيد دارد كه شامل فرآيندهاي شفاف پاسخ به حوادث سايبري است.
راه‌حل‌هاي پيشنهادي
براي بهبود اطلاع‌رساني
براي بهبود وضعيت اطلاع‌رساني در مورد حملات سايبري در ايران، پيشنهاد مي‌شود سازوكارهاي مختلفي در نظر گرفته شود. ابتدا بايد قوانين ملي مشابه GDPR تدوين شود تا سازمان‌ها را ملزم به اطلاع‌رساني شفاف و به موقع در مورد نقض داده‌ها كند. اين قوانين بايد بر شفافيت و مسووليت‌پذيري تاكيد داشته باشند. علاوه بر اين، سازمان‌ها بايد اطلاعات دقيق و شفافي درباره نوع حمله، داده‌هاي آسيب‌ديده و اقدامات انجام شده براي مقابله با حادثه ارايه دهند تا اعتماد عمومي افزايش يابد. اطلاع‌رساني بايد به سرعت و در زمان مناسب، مثلا ظرف ۷۲ ساعت پس از وقوع حادثه، به كاربران و مراجع نظارتي انجام شود تا از گسترش آسيب‌ها جلوگيري شود. همچنين افزايش دانش امنيت سايبري در بين سازمان‌ها و كاربران از طريق برگزاري كارگاه‌ها، دوره‌هاي آموزشي و كمپين‌هاي آگاهي‌بخشي ضروري است تا فرهنگ امنيت سايبري ارتقا يابد. ايجاد مراكز تخصصي پاسخ به حوادث سايبري (CERT) نيز مي‌تواند به عنوان بازوي فني سازمان‌ها عمل كند و به تحليل، پاسخ و اطلاع‌رساني درمورد حملات سايبري بپردازد. در نهايت سازمان‌ها بايد مسووليت حوادث سايبري را بپذيرند و گزارش‌هاي شفاف و دقيقي پس از وقوع حوادث ارايه دهند تا اعتماد عمومي بازسازي شود.
اطلاع‌رساني شفاف و مسووليت‌پذيري در برابر حملات سايبري، كليد حفظ اعتماد عمومي است. ايران مي‌تواند با الهام از قوانين و استانداردهاي بين‌المللي، چارچوبي ملي براي اطلاع‌رساني تدوين كند كه بر شفافيت، آموزش و ارتقاي فرهنگ امنيت سايبري تاكيد داشته باشد. اجراي اين سازوكار نه تنها اعتماد عمومي را افزايش مي‌دهد، بلكه مي‌تواند به عنوان الگويي براي ديگر كشورهاي منطقه نيز عمل كند. البته موفقيت اين طرح نيازمند همكاري همه‌جانبه دولت، سازمان‌ها و كاربران است.