امنیت سایبری سنگر جدید دانشگاه‌های کشور
دانشگاه‌ها و مراکز پژوهشی به دلیل برخورداری از داده‌های ارزشمند علمی، دستاوردهای فناورانه و زیرساخت‌های گسترده دیجیتال، یکی از اهداف مهم تهدیدات سایبری شده‌اند؛ موضوعی که ضرورت ارتقای تاب‌آوری امنیتی این مراکز را دوچندان کرده است. در همین راستا، مرکز ملی فضای مجازی با ارزیابی و رتبه‌بندی امنیت سایبری دانشگاه‌ها، به دنبال شناسایی نقاط ضعف و تقویت سازوکارهای حفاظتی است.
به گزارش ایسنا، سومین جلسه ارزیابی و رتبه‌بندی خدمات‌دهندگان فضای مجازی کشور با موضوع دانشگاه‌ها و مراکز پژوهشی کشور از نظر امنیت سایبری با حضور رؤسای دانشگاه‌ها و مدیران فناوری اطلاعات آن‌ها در مرکز ملی فضای مجازی برگزار شد؛ نشستی که در آن، گزارش روند بررسی اقدامات انجام‌شده در ۱۷ دانشگاه سطح اول کشور و همچنین رتبه هر یک از آن‌ها بر اساس بند ششم سند الزامات ارتقای امنیت سایبری فضای مجازی، به رؤسا و نمایندگان فناوری اطلاعات دانشگاه‌ها اعلام شد.
پیش‌تر نتایج ارزیابی امنیت سایبری شرکت‌های ارائه‌دهنده خدمات پیامکی و بانک‌های کشور نیز توسط مرکز ملی فضای مجازی به مجموعه‌های مربوط اعلام شده بود و دانشگاه‌ها به‌عنوان نخستین نهادهای علمی و پژوهشی در همین چارچوب سنجیده شدند. در همین زمینه، محسن پاشا - قائم‌مقام و معاون امنیت مرکز ملی فضای مجازی طی یادداشتی به تبیین دلایل و منطق راهبردی رتبه‌بندی امنیت سایبری دانشگاه‌ها پرداخته که به شرح ذیل است:
دانشگاه زیر ذره‌بین؛ آزمون بلوغ و تاب‌آوری سایبری
ارزیابی و رتبه‌بندی دانشگاه‌ها از منظر امنیت سایبری، اقدامی راهبردی برای سنجش بلوغ امنیتی، شناسایی شکاف‌ها، اولویت‌بندی اقدامات اصلاحی، هدایت هدفمند منابع و ارتقای کیفیت تصمیم‌گیری مدیریتی انجام شده است. چنین ارزیابی‌ای زمانی اثربخش خواهد بود که بر اساس شاخص‌های روشن، قابل سنجش و متناسب با مأموریت، اندازه، زیرساخت‌ها و سطح حساسیت فعالیت‌های دانشگاه ها طراحی و اجرا می‌شود. این فرآیند حوزه‌هایی همچون حکمرانی و راهبری امنیت سایبری، مدیریت ریسک، حفاظت از داده‌ها و دارایی‌های اطلاعاتی، مدیریت هویت و دسترسی، امنیت زیرساخت‌ها و زنجیره تأمین، آمادگی برای مقابله با رخدادها، تداوم خدمات، آموزش و فرهنگ‌سازی امنیتی و حفاظت از پژوهش‌های حساس را دربرمی‌گیرد. همچنین، ارزیابی باید علاوه بر سنجش وجود سیاست‌ها و سازوکارهای رسمی، میزان اجرای واقعی، اثربخشی کنترل‌ها و توان دانشگاه در شناسایی، پاسخ‌گویی و بازیابی پس از رخدادهای سایبری را نیز بررسی کند.
بر این اساس، رتبه‌بندی باید مبنایی برای تدوین برنامه بهبود، تعیین اهداف دوره‌ای، پایش روند پیشرفت و بازنگری مستمر در سیاست‌ها و کنترل‌های امنیتی باشد. ارائه بازخورد تحلیلی و اختصاصی به هر دانشگاه، به آن کمک می‌کند تصویری دقیق‌تر از نقاط قوت، ضعف‌ها، آسیب‌پذیری‌ها و اولویت‌های اصلاحی خود به دست آورده و منابع محدود را بر مهم‌ترین ریسک‌ها متمرکز کند. از سوی دیگر، این نظام ارزیابی می‌تواند زمینه‌ساز یادگیری نهادی و هم‌افزایی میان دانشگاه‌ها شود؛ به‌گونه‌ای که تجربیات موفق، الگوهای عملیاتی، راهکارهای فنی و رویه‌های مؤثر میان دانشگاه‌ها به اشتراک گذاشته شود و از ظرفیت دانشگاه‌های پیشرو برای الگوسازی و انتقال تجربه استفاده شود.
امنیت سایبری دانشگاه‌ها زمانی به سطح مطلوبی از بلوغ و تاب‌آوری می‌رسد که از یک موضوع فنی فراتر رود و به بخشی از نظام راهبری، مدیریت ریسک و تصمیم‌سازی در سطح عالی دانشگاه تبدیل شود. در چنین رویکردی، رئیس و هیئت‌رئیسه دانشگاه، مدیران آموزشی و پژوهشی، مدیران فناوری و مسئولان امنیتی، در چارچوبی هماهنگ و پاسخ‌گو، ارتقای امنیت سایبری را به‌عنوان یکی از الزامات تداوم مأموریت علمی و حفظ سرمایه دانشی دانشگاه دنبال خواهند کرد.
جامعه علمی کشور با طیف متنوعی از مخاطرات روبه‌روست. برای تحلیل دقیق این ریسک‌ها، بازیگران تهدید علیه دانشگاه‌ها را می‌توان در سه دسته عمده مورد ارزیابی قرار داد:
۱. جاسوسی سایبری دولتی و شبه‌دولتی
بازیگران دولتی، شبه‌دولتی و شبکه‌های وابسته به آن‌ها در جناح دشمن، دانشگاه‌ها را به دلیل نقش‌شان در تولید دانش، تربیت نیروی انسانی متخصص و نگهداری داده‌های علمی و فناورانه، هدفی راهبردی تلقی می‌کنند. اهداف اصلی این تهدیدگران شامل دستیابی به دستاوردهای علمی و فناورانه، سرقت مالکیت فکری، نتایج پژوهش‌ها و داده‌های آزمایشگاهی، شناسایی و رصد دانشمندان و پژوهشگران برجسته و بهره‌برداری از دانشگاه به‌عنوان دروازه‌ای برای نفوذ به سایر نهادهای حاکمیتی، صنعتی و پژوهشی است.
۲. جرائم سایبری سازمان‌یافته با انگیزه مالی
گروه‌های مجرم سایبری نیز دانشگاه‌ها را به دلیل تعدد کاربران، گستردگی سامانه‌ها، وجود داده‌های هویتی و مالی و وابستگی به خدمات برخط، هدف جذابی می‌دانند. مهم‌ترین شیوه‌های این گروه‌ها شامل اجرای باج‌افزار و اخاذی، سرقت اطلاعات هویتی دانشجویان، کارکنان و اعضای هیئت علمی، دسترسی به داده‌های مالی و اطلاعات پرداخت، کلاهبرداری‌های مبتنی بر ایمیل و جعل هویت و فروش دسترسی غیرمجاز به سامانه‌های دانشگاهی در بازارهای زیرزمینی است.
۳. تهدیدات داخلی و کاربران مجاز
بخش مهمی از ریسک امنیتی دانشگاه‌ها از درون سازمان یا از سوی کاربرانی ناشی می‌شود که به‌طور قانونی به سامانه‌ها و داده‌ها دسترسی دارند. سوءاستفاده عمدی کارکنان، پیمانکاران، دانشجویان یا پژوهشگران دارای دسترسی، افشای داده‌ها بر اثر خطا و سهل‌انگاری، انتقال و نگهداری ناایمن اطلاعات پژوهشی و آموزشی، استفاده از ابزارهای تأییدنشده، اشتراک‌گذاری نامناسب حساب‌های کاربری و تداوم دسترسی پس از پایان همکاری یا خروج نیروی انسانی، از مهم‌ترین مصادیق این تهدیدات است.
در محیط دانشگاهی، به دلیل تنوع کاربران، گردش گسترده داده و فرهنگ تعامل و اشتراک‌گذاری علمی، مرز میان خطای انسانی، قصور، بی‌احتیاطی و رفتار مخرب گاه روشن نیست. مدیریت چرخه عمر حساب‌های کاربری، اصل حداقل دسترسی، تفکیک وظایف، ثبت و پایش رویدادها، بازبینی دوره‌ای مجوزها و آموزش مستمر کاربران از جمله الزامات کاهش این نوع ریسک به شمار می‌رود.
تهدیدهای امنیت سایبری دانشگاه‌ها
تهدیدهای امنیت سایبری علیه دانشگاه‌ها طیفی از مخاطرات زیرساختی، اطلاعاتی، انسانی، اقتصادی و شناختی را دربر می‌گیرد. به دلیل ماهیت باز، چندلایه و شبکه‌ای دانشگاه‌ها، این تهدیدات می‌توانند به‌طور هم‌زمان بر آموزش، پژوهش، خدمات اداری، اعتبار نهادی و حتی سرمایه دانشی کشور اثر بگذارند. مهم‌ترین انواع این تهدیدها عبارت‌اند از:
۱. ریسک‌های زیرساختی، سامانه‌ها و زنجیره تأمین
یکی از مهم‌ترین کانون‌های آسیب‌پذیری در دانشگاه‌ها، تنوع سامانه‌ها و وابستگی آن‌ها به نرم‌افزارهای شخص ثالث، پیمانکاران فناوری اطلاعات، خدمات ابری و استقرارهای غیرمتمرکز است. آسیب‌پذیری در نرم‌افزارهای مدیریت دانشگاهی، سامانه‌های آموزش الکترونیکی، سامانه‌های یکپارچه آموزشی و اداری، ضعف در وصله‌گذاری، پیکربندی ناایمن و نبود نظارت متمرکز بر برخی تجهیزات و سرویس‌ها، می‌تواند به رخنه‌های گسترده منجر شود. در بسیاری از دانشگاه‌ها، دانشکده‌ها، آزمایشگاه‌ها یا واحدهای پژوهشی برای تسریع امور، زیرساخت‌هایی مستقل از مرکز فناوری اطلاعات ایجاد می‌کنند که همین وضعیت به یکی از مهم‌ترین منشأهای ریسک ساختاری تبدیل می‌شود.
۲. بدافزارها و بهره‌برداری از آسیب‌پذیری‌ها
باج‌افزار، تروجان‌ها، درهای پشتی، جاسوس‌افزارها و سایر ابزارهای نفوذ همچنان از رایج‌ترین روش‌های حمله به دانشگاه‌ها هستند. این بدافزارها ممکن است از طریق ایمیل، حافظه‌های USB، افزونه‌های ناامن، دانلودهای آلوده یا حتی زنجیره تأمین نرم‌افزار وارد محیط دانشگاهی شوند. بهره‌برداری از آسیب‌پذیری‌های وصله‌نشده و خدمات در معرض اینترنت نیز از مسیرهای متداول نفوذ است. وجود شبکه‌های گسترده، تنوع زیاد کاربران، سامانه‌های قدیمی و محدودیت در یکپارچگی مدیریتی سبب می‌شود دانشگاه‌ها به محیطی مستعد برای گسترش جانبی بدافزار، تثبیت ماندگاری مهاجم و سرایت آلودگی میان بخش‌های مختلف تبدیل شوند.
۳. حملات اخلال‌گرانه و اختلال در تداوم خدمات
دانشگاه‌ها به‌شدت به زمان‌بندی خدمات وابسته‌اند؛ از ثبت‌نام و انتخاب واحد گرفته تا برگزاری آزمون، اعلام نتایج، دسترسی به سامانه‌های آموزش الکترونیکی و خدمات پژوهشی. از این‌رو، حملات منع خدمت توزیع‌شده (DDoS) یا سایر حملات اخلال‌گرانه علیه این سامانه‌ها، به‌ویژه در مقاطع حساس تقویم آموزشی، می‌تواند آثار قابل‌توجهی بر مدیریت دانشگاه، رضایت ذی‌نفعان و اعتبار نهادی برجای بگذارد. حتی اگر حمله از نظر زمانی کوتاه‌مدت باشد، وقوع آن در زمان نامناسب ممکن است تبعاتی فراتر از اختلال فنی ایجاد کند و به بحران مدیریتی و بی‌اعتمادی عمومی بینجامد.
۴. هکتیویسم، عملیات روانی و سوءاستفاده از برند دانشگاه
دانشگاه‌ها به دلیل جایگاه علمی و اجتماعی خود در معرض حملات نمادین و رسانه‌محور نیز قرار گیرند. تغییر محتوای وب‌سایت دانشگاه، انتشار اسناد سرقت‌شده برای ایجاد اثر رسانه‌ای، جعل صفحات رسمی و سوءاستفاده از نام، دامنه یا هویت بصری دانشگاه برای کلاهبرداری، فیشینگ یا اثرگذاری روانی از جمله این موارد است. در این دسته از حملات، گاه هدف اصلی مهاجم دسترسی به داده نیست، بلکه تخریب تصویر نهادی، ایجاد التهاب ادراکی و تضعیف اعتماد عمومی است.
۵. مهندسی اجتماعی و مخاطرات رفتاری – انسانی
بخش مهمی از تهدیدات دانشگاهی از طریق فریب کاربران و سوءاستفاده از رفتار انسانی محقق می‌شود. فیشینگ علیه استادان، پژوهشگران، مدیران و دانشجویان، جعل هویت مدیران یا همکاران علمی، سوءاستفاده از فراخوان‌ها، بورسیه‌ها، فرصت‌های مطالعاتی، همکاری‌های پژوهشی و کنفرانس‌ها به‌عنوان پوشش حمله، از مهم‌ترین مصادیق این حوزه است. تجربه نشان می‌دهد که در بسیاری از حملات مؤثر علیه دانشگاه‌ها، نقطه آغاز نفوذ نه یک ضعف فنی پیچیده، بلکه خطای انسانی، اعتماد بیش از حد و فریب کاربر است. به همین دلیل، ارتقای فرهنگ امنیتی و سواد سایبری کاربران، بخشی جدایی‌ناپذیر از تاب‌آوری دانشگاهی به شمار می‌رود.
۶.تهدیدات مرتبط با پژوهش‌های حساس، همکاری‌های بین‌المللی و علم باز
دانشگاه‌ها در محیطی فعالیت می‌کنند که ذات آن بر تبادل دانش، همکاری علمی، انتشار یافته‌ها و تعاملات بین‌المللی استوار است. همین ویژگی، سطح تهدید را پیچیده‌تر می‌کند. سوءاستفاده از همکاری‌های علمی برای جمع‌آوری اطلاعات، نفوذ از طریق پروژه‌های مشترک، سرقت پیش‌دستانه نتایج پژوهش پیش از انتشار، دسترسی به داده‌های آزمایشگاهی یا مخازن پژوهشی و نشت اطلاعات از بسترهای باز یا ابزارهای همکاری علمی، از مهم‌ترین مخاطرات این حوزه‌اند. هرچه دانشگاه در حوزه‌های حساس‌تر و پیشرفته‌تر علمی فعال باشد، اهمیت این تهدید افزایش می‌یابد؛ زیرا پیامد آن می‌تواند بر مزیت علمی، فناورانه و حتی اقتصادی کشور اثر بگذارد.
۷. اینترنت اشیا، تجهیزات هوشمند و دارایی‌های متصل
دانشگاه‌ها علاوه بر سامانه‌های اداری و آموزشی، از طیف متنوعی از تجهیزات متصل استفاده می‌کنند؛ از تجهیزات آزمایشگاهی و دستگاه‌های تحقیقاتی گرفته تا دوربین‌ها، سامانه‌های کنترل تردد، زیرساخت‌های هوشمند ساختمان و تجهیزات پزشکی در دانشگاه‌های علوم پزشکی. بسیاری از این دارایی‌ها از منظر امنیت سایبری کمتر مورد توجه قرار می‌گیرند، در حالی که ممکن است دارای سیستم‌عامل‌های قدیمی، پشتیبانی‌نشده یا پیکربندی‌های ناایمن باشند. این تجهیزات می‌توانند به نقطه ورود مهاجم، بستر گسترش نفوذ یا منشأ اخلال در فرایندهای حیاتی آموزشی، پژوهشی و درمانی تبدیل شوند.
راهکارهای ارتقای امنیت سایبری دانشگاه‌ها
برای مواجهه ساختاری با این چالش‌ها، ارتقای امنیت سایبری دانشگاه‌ها نیازمند یک رویکرد جامع ملی و درون‌دانشگاهی است که اهم محورهای آن شامل موارد زیر است: ۱. ارتقای آگاهی و فرهنگ امنیت سایبری در میان کارکنان، استادان و دانشجویان به‌عنوان خط دفاع اول. ۲. تقویت حاکمیت، سیاست‌گذاری و مدیریت ریسک برای شناسایی دارایی‌های حیاتی و تعیین دقیق مسئولیت‌ها. ۳. مدیریت هویت و دسترسی بر اساس اصل «حداقل دسترسی». ۴. حفاظت از داده‌ها و پژوهش‌های حساس از طریق طبقه‌بندی، تفکیک و رمزنگاری. ۵. طراحی معماری امن شبکه، تفکیک شبکه‌ها و کاهش مواجهه سامانه‌های حیاتی با اینترنت. ۶. استقرار کنترل‌های فنی، سخت‌سازی سامانه‌ها، وصله‌گذاری مستمر و حفاظت از سامانه‌های کلیدی. ۷. پایش و تشخیص به‌موقع رویدادهای امنیتی و رفتارهای مشکوک. ۸. توسعه آمادگی، پاسخ به حادثه و بازیابی سریع برای حفظ تداوم خدمات آموزشی و پژوهشی. ۹. مدیریت امنیت زنجیره تأمین، خدمات ابری و شرکت‌های پیمانکار فناوری اطلاعات. ۱۰. ارزیابی، ممیزی و بهبود مستمر از طریق سنجش منظم و آزمون‌های نفوذپذیری.
رتبه‌بندی دانشگاه‌ها در مرکز ملی فضای مجازی، راهبردی برای توانمندسازی اکوسیستم علمی کشور است تا با شناخت دقیق نقاط آسیب‌پذیر، سنگرهای علمی و پژوهشی ایران اسلامی را در برابر طوفان تهدیدات سایبری نفوذناپذیر سازد.
منبع: ایسنا