دانشگاه‌ها سلاح امنیتی دارند، اما آیا از آن استفاده می‌شود؟
به گزارش خبرگزاری آنا، گسترش خدمات الکترونیکی دانشگاه‌ها، افزایش حجم داده‌های آموزشی و پژوهشی و توسعه سامانه‌های ثبت‌نام، پذیرش و تبادل اطلاعات، امنیت سایبری را به یکی از پیش‌شرط‌های استمرار فعالیت نهاد علم تبدیل کرده است. مراکز آپا با هدف استفاده از توان دانشگاه‌ها برای شناسایی و مقابله با تهدید‌های سایبری شکل گرفتند، اما تأکید محمدمحسن صدر، معاون وزیر ارتباطات و رئیس سازمان فناوری اطلاعات، بر ضرورت ارائه خدمات مستقیم این مراکز به دانشگاه‌های میزبان نشان می‌دهد که هنوز میان ظرفیت تخصصی آنها و نیاز‌های امنیتی دانشگاه‌ها فاصله وجود دارد.
اختلال در سامانه‌های دانشگاهی یا دسترسی غیرمجاز به اطلاعات دانشجویان، استادان و پژوهشگران می‌تواند فراتر از یک مشکل فنی، ارائه خدمات آموزشی و پژوهشی را مختل کند و اعتماد کاربران به خدمات دیجیتال دانشگاه را تحت تأثیر قرار دهد. مراکز آپا قرار بود حلقه اتصال میان دانش تخصصی دانشگاهی، نیاز‌های امنیتی دستگاه‌ها و سازوکار ملی پاسخ‌گویی به رخداد‌های رایانه‌ای باشند. با این حال، میزان استفاده دانشگاه‌ها از این ظرفیت و تأثیر آن بر حفاظت از زیرساخت‌های خودشان همچنان محل توجه است.
صدر در نشست اعلام رتبه‌بندی امنیت سایبری دانشگاه‌ها که در مرکز ملی فضای مجازی برگزار شد، تأکید کرد: «مراکز آپا علاوه بر مأموریت‌های تخصصی خود، باید در درجه نخست به دانشگاه محل استقرارشان خدمات امنیت سایبری، مشاوره‌ای و پشتیبانی ارائه کنند.» او با اشاره به افزایش قراردادها و اعتبارات این مراکز، از وجود دانشگاه‌هایی سخن گفت که همچنان برای دریافت خدمات امنیتی با مشکل مواجه‌اند. این اظهارات، پرسش مهمی را پیش می‌کشد: مراکزی که با هدف استفاده از توان دانشگاهی در حوزه امنیت سایبری ایجاد شده‌اند، تا چه اندازه توانسته‌اند امنیت خود دانشگاه‌ها را بهبود دهند؟
آپا؛ پیوند ظرفیت علمی و امنیت عملیاتی
سه مأموریت اصلی مراکز آپا شامل آگاهی‌رسانی، پشتیبانی و امداد است. اطلاع‌رسانی درباره تهدید‌های امنیتی و روش‌های پیشگیری، ارزیابی امنیت سامانه‌ها و مقاوم‌سازی شبکه‌ها، شناسایی و بررسی رخدادها و کمک به بازگرداندن سامانه‌ها به وضعیت عملیاتی، بخش‌های مختلف این مأموریت را تشکیل می‌دهند.
دانشگاه‌ها به دلیل برخورداری از استادان متخصص، آزمایشگاه‌های پژوهشی و دانشجویان رشته‌های فناوری اطلاعات و مهندسی کامپیوتر، ظرفیت مناسبی برای توسعه این خدمات دارند. دانشگاه صنعتی اصفهان، دانشگاه صنعتی شریف، دانشگاه علم و صنعت ایران و دانشگاه تربیت مدرس از جمله مجموعه‌هایی هستند که می‌توانند در حوزه ارزیابی امنیت، آزمون نفوذ، توسعه ابزار‌های تخصصی و تربیت نیروی انسانی نقش‌آفرینی کنند.
توسعه همکاری میان دانشگاه‌ها و ایجاد هسته‌های تخصصی امنیت سایبری نیز می‌تواند به تجمیع توان علمی و فنی کمک کند. با این حال، تعداد مراکز، تجهیزات آزمایشگاهی و پروژه‌های اجراشده به‌تنهایی معیار مناسبی برای سنجش موفقیت این ساختار نیست. کیفیت خدمات و میزان تأثیرگذاری آنها بر امنیت زیرساخت‌های دیجیتال باید مبنای ارزیابی قرار بگیرد.
امنیت دانشگاه‌ها؛ نخستین مأموریت مراکز آپا
یکی از اصول اساسی در ساماندهی فعالیت مراکز آپا، اولویت دادن به نیاز‌های امنیتی دانشگاه میزبان است. محمدمحسن صدر بر همین موضوع تأکید کرده و معتقد است مراکز آپا باید ابتدا نیاز‌های امنیتی دانشگاه خود را برطرف کنند و سپس به ارزیابی و ارائه خدمات به سایر دستگاه‌ها بپردازند.
این اولویت‌گذاری از نظر عملیاتی اهمیت زیادی دارد؛ زیرا دانشگاهی که میزبان یک مرکز تخصصی امنیت سایبری است، باید بتواند از ظرفیت آن برای حفاظت از سامانه‌های آموزشی، پژوهشی و اداری، شبکه‌های ارتباطی و مراکز داده خود استفاده کند.
شناسایی دارایی‌های دیجیتال، بررسی سطح دسترسی کاربران، ارزیابی آسیب‌پذیری سامانه‌ها، پایش رخداد‌های امنیتی و تدوین برنامه بازیابی پس از حادثه، از جمله اقداماتی است که می‌تواند فعالیت مراکز آپا را به نیاز‌های واقعی دانشگاه متصل کند. اجرای این اقدامات به دسترسی رسمی و کنترل‌شده مراکز به اطلاعات فنی سامانه‌ها و همکاری مستمر آنها با واحد‌های فناوری اطلاعات دانشگاه نیاز دارد.
فاصله میان فعالیت و اثربخشی
مهم‌ترین چالش مراکز آپا، فاصله میان ظرفیت تخصصی و بهره‌برداری عملی از آن است. اجرای پروژه‌های بیرونی و ارائه خدمات به دستگاه‌های مختلف، زمانی ارزشمند خواهد بود که مأموریت اصلی این مراکز در دانشگاه میزبان نیز به‌درستی انجام شود. افزایش قراردادها و اعتبارات، به‌خودی‌خود تضمین نمی‌کند که دانشگاه‌ها از خدمات امنیتی مورد نیاز برخوردار باشند.
صدر در همین زمینه، حمایت سازمان فناوری اطلاعات از تقویت خدمات مراکز آپا به دانشگاه‌های میزبان را مطرح کرده و پیش‌بینی اعتبار بیشتر یا درج تعهدات مشخص در قراردادها را از راهکار‌های قابل پیگیری دانسته است. او با اعلام آمادگی این سازمان برای حمایت از رویکرد یادشده گفت: «در صورت نیاز می‌توان با پیش‌بینی اعتبار بیشتر یا درج بندی در قراردادها، ارائه خدمات ویژه به دانشگاه محل استقرار مراکز آپا را دنبال کرد.»
اجرای این پیشنهاد مستلزم آن است که قراردادها صرفاً به تعهدات کلی محدود نشوند و خدمات مورد انتظار، زمان پاسخ‌گویی، تعداد ارزیابی‌های امنیتی و مسئولیت پیگیری اصلاح آسیب‌پذیری‌ها در آنها مشخص باشد. درج تعهدات روشن و قابل سنجش می‌تواند رابطه مراکز آپا با دانشگاه میزبان را از یک همکاری کلی به مسئولیتی عملیاتی تبدیل کند.
مسئله دیگر، تفاوت میان ارزیابی مقطعی و مدیریت مستمر امنیت است. شناسایی یک آسیب‌پذیری بدون پیگیری اصلاح آن، لزوماً سطح امنیت سامانه را افزایش نمی‌دهد. مراکز آپا باید بتوانند فرایند شناسایی، اولویت‌بندی، اصلاح و ارزیابی مجدد آسیب‌پذیری‌ها را دنبال کنند تا نتایج فعالیت آنها در کاهش مخاطرات امنیتی قابل مشاهده باشد.
نیروی انسانی و شاخص‌های عملکرد
تأمین نیروی انسانی متخصص و پایدار از الزامات اصلی فعالیت مراکز آپاست. حوزه‌هایی مانند امنیت شبکه، تحلیل رخداد، امنیت نرم‌افزار، جرم‌یابی دیجیتال و مدیریت مخاطرات به کارشناسان حرفه‌ای نیاز دارند. مشارکت دانشجویان در فعالیت‌های پژوهشی و آموزشی ارزشمند است، اما مسئولیت حفاظت عملیاتی از زیرساخت‌ها باید بر عهده نیرو‌های متخصص و پاسخ‌گو باشد.
حفظ نیرو‌های آموزش‌دیده نیز اهمیت زیادی دارد. نبود شرایط کاری و معیشتی مناسب می‌تواند حفظ کارشناسان امنیت سایبری را دشوار کند و زمینه خروج سرمایه انسانی آموزش‌دیده را افزایش دهد. بنابراین، بودجه مراکز نباید صرفاً به خرید تجهیزات و اجرای پروژه‌های کوتاه‌مدت اختصاص یابد و حفظ نیروی متخصص نیز باید در برنامه‌ریزی مالی آنها جایگاه داشته باشد.
ارزیابی عملکرد مراکز آپا نیز باید بر اساس خروجی‌های واقعی انجام شود. تعداد سامانه‌های ارزیابی‌شده، میزان آسیب‌پذیری‌های شناسایی و اصلاح‌شده، سرعت پاسخ‌گویی به رخدادها، میزان اجرای توصیه‌های امنیتی و آمادگی برای بازیابی خدمات، شاخص‌هایی هستند که می‌توانند تصویر دقیق‌تری از عملکرد این مراکز ارائه کنند. چنین شاخص‌هایی امکان تفکیک فعالیت‌های صرفاً اداری از خدماتی را فراهم می‌کنند که به بهبود واقعی امنیت دانشگاه منجر شده‌اند.
توسعه خدمات بیرونی بدون فراموش کردن مأموریت اصلی
مراکز آپا علاوه بر حفاظت از زیرساخت‌های دانشگاهی، ظرفیت ارائه خدمات تخصصی به دستگاه‌های اجرایی و شرکت‌ها را نیز دارند. صدر با اشاره به این ظرفیت، امکان ارائه خدمات دانشگاه‌ها به سایر وزارتخانه‌ها و دستگاه‌ها و مشارکت بخش خصوصی در سرمایه‌گذاری مشترک را مطرح کرده است.
گسترش این همکاری‌ها می‌تواند به تجاری‌سازی دانش امنیت سایبری، ایجاد درآمد برای دانشگاه‌ها و توسعه اشتغال تخصصی کمک کند. با این حال، توسعه فعالیت‌های بیرونی نباید موجب شود خدمات دانشگاه میزبان در اولویت دوم قرار بگیرد. تفکیک مسئولیت‌ها، تخصیص نیروی مشخص برای خدمات داخلی و نظارت بر کیفیت خدمات، برای حفظ این تعادل ضروری است.
ساماندهی مراکز داده دانشگاه‌ها نیز از دیگر زمینه‌هایی است که می‌تواند از ظرفیت مراکز آپا بهره ببرد. صدر با تأکید بر ضرورت توجه به امنیت نگهداری داده‌ها پیش از تبادل اطلاعات میان دستگاه‌ها، موضوع ساماندهی مراکز داده دانشگاهی و استفاده از ظرفیت خدمات ابری دولت را نیز مطرح کرده است.
حفاظت از داده‌های آموزشی، پژوهشی و اداری، کنترل دسترسی، پشتیبان‌گیری و تضمین تداوم خدمات، موضوعاتی هستند که باید پیش از توسعه تبادل اطلاعات میان سامانه‌های دانشگاهی مورد توجه قرار بگیرند. مراکز آپا می‌توانند با ارزیابی وضعیت امنیتی زیرساخت‌های ذخیره‌سازی و بررسی سازوکار‌های پشتیبان‌گیری و بازیابی اطلاعات، در این زمینه نقش مؤثری ایفا کنند.
عبور از فعالیت نمایشی به امنیت واقعی
افتتاح آزمایشگاه، امضای تفاهم‌نامه، برگزاری همایش و افزایش بودجه، به‌تنهایی نشانه ارتقای امنیت سایبری نیست. معیار اصلی باید میزان کاهش آسیب‌پذیری‌ها و بهبود توان دانشگاه‌ها در مقابله با رخداد‌های امنیتی باشد. فعالیت مراکز زمانی اثربخش است که به شناسایی نقاط ضعف، اصلاح آنها و افزایش آمادگی زیرساخت‌ها برای مواجهه با تهدید‌ها منجر شود.
مراکز آپا زمانی می‌توانند به پشتوانه امنیت سایبری دانشگاه‌ها تبدیل شوند که بخشی از ساختار عملیاتی حفاظت از اطلاعات باشند، نه صرفاً مجموعه‌هایی پژوهشی یا پیمانکارانی برای اجرای پروژه‌های مقطعی. تحقق این هدف به حمایت مالی، نیروی انسانی پایدار، تعریف مسئولیت‌های مشخص و ارزیابی مستمر عملکرد نیاز دارد.
رتبه‌بندی امنیت سایبری دانشگاه‌ها می‌تواند به شناسایی نقاط ضعف کمک کند، اما نتیجه واقعی زمانی حاصل می‌شود که ارزیابی‌ها به برنامه‌های اصلاحی مشخص منجر شوند و مراکز آپا بتوانند اجرای این برنامه‌ها را پیگیری کنند. دانشگاه‌ها نیز باید نتایج ارزیابی امنیتی را در برنامه‌ریزی و مدیریت زیرساخت‌های دیجیتال خود به کار بگیرند.
مسئله اصلی امروز، صرفاً برخورداری دانشگاه‌ها از ظرفیت علمی و تخصصی نیست؛ بلکه تبدیل این ظرفیت به خدمات عملیاتی و قابل سنجش برای حفاظت از زیرساخت‌ها و داده‌های دانشگاهی است. مراکز آپا پیش از توسعه مأموریت‌های بیرونی، باید امنیت دانشگاه میزبان را به‌صورت مستمر ارتقا دهند و در برابر کیفیت خدمات خود پاسخ‌گو باشند.
انتهای پیام/