فایل «تکامل از امنیت اطلاعات به تابآوری سایبری» که توسط وحید صیامی، کارشناس خبره صنعت بانکی، آماده شده، مروری فشرده بر تحول مفاهیم امنیت دیجیتال و مهمترین رخدادهای تاریخ امنیت سایبری از دهه ۱۹۶۰ تا امروز ارائه میکند. تحریریه راه پرداخت با اتکا به دادهها و محتوای این ارائه، چکیدهای تحلیلی از مهمترین روندها و نکات آن را تهیه کرده است. نسخه کامل این پاورپوینت نیز در پایان این مطلب برای دانلود در دسترس مخاطبان قرار گرفته است.
روزی مسئله امنیت دیجیتال، حفاظت از چند فایل و چند کامپیوتر بود. امروز اما یک حمله سایبری میتواند خط لوله سوخت را متوقف کند، بیمارستانی را از کار بیندازد، زنجیره تأمین نرمافزار را آلوده کند، بانکها و رسانهها را از دسترس خارج کند و میلیاردها دلار ارزش اقتصادی را نابود سازد. مسیری که جهان از «امنیت اطلاعات» تا «تابآوری سایبری» طی کرده، فقط تاریخ فناوری نیست؛ تاریخ وابستگی اقتصاد، دولتها، کسبوکارها و زندگی روزمره به شبکههایی است که هر روز نامرئیتر اما حیاتیتر میشوند.
گزارش مجمع جهانی اقتصاد با همکاری دانشگاه آکسفورد با عنوان «Unpacking Cyber Resilience» که در نوامبر ۲۰۲۴ منتشر شده، این مسیر را در قالب یک خط زمانی نشان میدهد؛ مسیری که از امنیت کامپیوتر و داده در دهه ۱۹۶۰ آغاز میشود، از امنیت اطلاعات و اطمینان اطلاعات عبور میکند، به امنیت سایبری در دهه ۲۰۱۰ میرسد و در دهه ۲۰۲۰ با مفهوم «تابآوری سایبری» گره میخورد. در افق پیشرو نیز هوش مصنوعی، پردازش کوانتومی و فناوریهای نوظهور، فصل تازهای از این روایت را رقم خواهند زد.
روزگاری امنیت فقط به معنای حفاظت از داده بود
در دهه ۱۹۶۰، جهان هنوز در آغاز راه شبکهایشدن بود. کامپیوترها بزرگ، محدود و عمدتاً در اختیار دولتها، دانشگاهها و مراکز تحقیقاتی بودند. مسئله اصلی، حفاظت از دادهها و کنترل دسترسی به منابع مشترک بود. در همین دوره نخستین نشانههای رفتار مجرمانه با کامپیوترها دیده شد؛ رفتارهایی که بر سوءاستفاده از آسیبپذیریها و سرقت یا استفاده غیرمجاز از دادهها متمرکز بودند.
با راهاندازی آرپانت، نخستین شبکه کامپیوتری، مفاهیمی مانند امنیت داده و امنیت شبکه بهتدریج شکل گرفتند. در این دوره، سهگانه معروف امنیت اطلاعات یعنی محرمانگی، یکپارچگی و دسترسپذیری اهمیت پیدا کرد؛ سه مفهومی که هنوز هم ستونهای اصلی گفتوگو درباره امنیت دیجیتالاند.
در آن زمان، تهدید سایبری هنوز شبیه آن چیزی نبود که امروز میشناسیم. هدف، بیشتر داده بود تا زیرساخت؛ بیشتر دسترسی غیرمجاز بود تا اختلال گسترده؛ بیشتر مسئلهای فنی بود تا بحرانی اقتصادی و اجتماعی. اما همین آغاز ساده، پایه مسیری شد که چند دهه بعد، جهان را با یکی از پیچیدهترین ریسکهای عصر دیجیتال روبهرو کرد.
سال ۱۹۷۱، ویروس کریپر بهعنوان یکی از نخستین ویروسهای کامپیوتری شناخته شد؛ ویروسی که توانست ۲۸ کامپیوتر در یک شبکه را آلوده کند. امروز این عدد ممکن است کوچک به نظر برسد، اما در آن زمان نشان داد که اتصال شبکهای، همزمان با فرصت، شکل تازهای از آسیبپذیری را هم به وجود میآورد.
در سال ۱۹۸۸، کرم موریس نقطه عطف دیگری بود. این کرم منابع حدود ۶ هزار دستگاه را از بین برد و خسارت گستردهای ایجاد کرد. اهمیت کرم موریس فقط در خسارت آن نبود؛ این رخداد نشان داد که یک نقص نرمافزاری یا یک کد مخرب میتواند در شبکهای متصل، با سرعتی بسیار بیشتر از انتظار گسترش پیدا کند.
از همینجا، امنیت دیجیتال دیگر فقط موضوع قفلکردن یک سیستم نبود. مسئله به رفتار شبکهها، سرعت انتشار تهدید، وابستگی میان سیستمها و ناتوانی سازمانها در پیشبینی اثر زنجیرهای حملات مربوط میشد.
دهه ۹۰؛ وقتی وب، امنیت را به مسئله عمومی تبدیل کرد
اختراع وب در سال ۱۹۹۱ و جهانگیرشدن آن از سال ۱۹۹۳، نقطه تغییر بزرگی بود. ارتباطات شبکهای با سرعتی تصاعدی رشد کرد و کسبوکارها، دولتها، رسانهها و مردم عادی به فضای آنلاین وارد شدند. با این تغییر، امنیت اطلاعات دیگر فقط دغدغه آزمایشگاهها و مراکز تحقیقاتی نبود؛ به مسئله سازمانها، بازارها و کاربران عادی تبدیل شد.
وقتی وب با کسبوکارها درهمتنیده شد، حفاظت از سیستمهای اطلاعاتی، سیستمهای کامپیوتری و شبکهها اهمیت بیشتری پیدا کرد. سازمانها به این نتیجه رسیدند که دادهها فقط دارایی فنی نیستند؛ دادهها بخشی از دارایی اقتصادی، reputational و عملیاتی آنها هستند. از این دوره به بعد، امنیت اطلاعات به بخشی از حکمرانی سازمانی نزدیک شد.
در پایان دهه ۹۰، ویروس ملیسا در سال ۱۹۹۹ سرورهای ایمیل بیش از ۳۰۰ کسبوکار و سازمان دولتی را با بار اضافی مواجه کرد و ۸۰ میلیون دلار خسارت به بار آورد. یک سال بعد، ویروس آیلاویو در سال ۲۰۰۰ اختلالی گسترده ایجاد کرد و خسارت جهانی آن حدود ۱۵ میلیارد دلار برآورد شد.
این رخدادها نشان دادند که تهدید دیجیتال میتواند از مسیرهای سادهای مثل ایمیل وارد شود، اما اثری فراتر از یک سیستم آلوده داشته باشد. ایمیل، که قرار بود ابزار ارتباطی روزمره باشد، به مسیر انتشار جهانی اختلال تبدیل شد.
دهه ۲۰۰۰؛ از امنیت اطلاعات تا اطمینان اطلاعات
در دهه ۲۰۰۰، مسئله امنیت پیچیدهتر شد. سازمانها دیگر فقط نمیخواستند از دادهها محافظت کنند؛ آنها باید مطمئن میشدند که سیستمها قابل اتکا هستند، خدمات ادامه پیدا میکند و اطلاعات در زمان درست و به شکل قابل اعتماد در دسترس میماند. اینجا مفهوم «اطمینان اطلاعات» پررنگتر شد.
در همین دوره، حملات سایبری از سطح ویروسها و آلودگیهای عمومی به سمت رخدادهایی رفتند که میتوانستند سازمانهای بزرگ و زیرساختهای مهم را مختل کنند. در سال ۲۰۰۰، هک وزارت دفاع آمریکا و ناسا باعث شد سامانههای ناسا ۲۱ روز آفلاین شوند. در سال ۲۰۰۳، کرم اسلامر با سرعتی خیرهکننده گسترش یافت، خدمات هاستهای اینترنتی را مختل کرد، سرعت اینترنت را کاهش داد و در کمتر از ۱۰ دقیقه بیش از ۷۵ هزار قربانی گرفت.
در سال ۲۰۰۷، حمله سایبری به استونی یکی از نخستین نمونههای برجسته حمله هدفمند به یک کشور بود. بانکها، رسانهها و نهادهای دولتی استونی از کار افتادند و جهان دید که حمله سایبری میتواند نه فقط یک سازمان، بلکه عملکرد عمومی یک کشور را مختل کند. از این نقطه به بعد، تهدید سایبری دیگر فقط مسئله واحد فناوری اطلاعات نبود. امنیت به سیاست، اقتصاد، اعتماد عمومی، خدمات مالی و تداوم حکمرانی گره خورد.
دهه ۲۰۱۰؛ امنیت سایبری وارد زیرساخت شد
دهه ۲۰۱۰، دورهای بود که در آن امنیت سایبری به یکی از واژههای اصلی اقتصاد دیجیتال و امنیت ملی تبدیل شد. توسعه ابزارهای موبایلی، اینترنت اشیاء، کلانداده و خدمات ابری، سطح دسترسی و اتصال را افزایش داد؛ اما همزمان، آسیبپذیریهای تازهای ساخت. در همین دوره، واژه «امنیت سایبری» بهطور جدیتر در ادبیات عمومی و مدیریتی جای گرفت. استاکسنت در سال ۲۰۱۰ یکی از مهمترین رخدادهای این دهه بود؛ نخستین حمله شناختهشده به سامانههای کنترل صنعتی. اهمیت استاکسنت در این بود که مرز میان دنیای دیجیتال و فیزیکی را شکست. بدافزار دیگر فقط فایلها را خراب نمیکرد؛ میتوانست وارد زیرساخت صنعتی شود و عملکرد فیزیکی یک سیستم را هدف بگیرد.
یک سال بعد، هک پلیاستیشن سونی به سرقت اطلاعات شخصی ۷۷ میلیون کاربر منجر شد. در سال ۲۰۱۲، بدافزار شامون باعث وقفه بیش از دو هفتهای در عملیات صنعتی شد. در سال ۲۰۱۵، حمله انرژی سیاه به قطع برق در اوکراین انجامید. این رخدادها هرکدام بخشی از واقعیت تازه را نشان میدادند: حمله سایبری میتواند داده بدزدد، کسبوکار را متوقف کند، خدمات عمومی را مختل کند، زیرساخت صنعتی را هدف بگیرد و حتی برق شهروندان را قطع کند.
سال ۲۰۱۷؛ سالی که باجافزارها چهره ریسک سایبری را تغییر دادند
اگر بخواهیم در تاریخ امنیت سایبری یک سال را بهعنوان نقطه تمرکز انتخاب کنیم، ۲۰۱۷ یکی از گزینههای جدی است. در این سال، چند رخداد بزرگ نشان دادند که ریسک سایبری تا چه اندازه میتواند جهانی، پرهزینه و زنجیرهای باشد.
تریتون در سال ۲۰۱۷ کدی مخرب بود که سیستمهای ایمنی جلوگیری از حوادث را غیرفعال میکرد. در همان سال، ناتپتیا بیش از ۱۰ میلیارد دلار به چندین سازمان بزرگ خسارت زد. واناکرای نیز بیش از ۲۳۰ هزار کامپیوتر را آلوده کرد و میلیاردها دلار خسارت به جا گذاشت. نشت دادهها در اکوییفاکس هم ۱۴۳ میلیون مشتری را تحت تأثیر قرار داد و هزینه بازیابی آن ۱.۴ میلیارد دلار برآورد شد.
رخدادهای ۲۰۱۷ یک پیام روشن داشتند: امنیت سایبری فقط پیشگیری از نفوذ نیست. سازمانها باید برای زمانی که نفوذ رخ میدهد نیز آماده باشند. باید بتوانند حمله را تشخیص دهند، اثر آن را محدود کنند، عملیات خود را ادامه دهند، خدمات حیاتی را بازیابی کنند و اعتماد ذینفعان را از دست ندهند. این همان نقطهای است که آرامآرام مفهوم «تابآوری سایبری» از حاشیه به متن آمد.
دهه ۲۰۲۰؛ از دفاع سایبری به تابآوری سایبری
در دهه ۲۰۲۰، حملات سایبری بیش از گذشته به زنجیره تأمین، خدمات عمومی و زیرساختهای حیاتی نزدیک شدند. دیگر موضوع فقط این نبود که یک سازمان چقدر دیوار دفاعی محکمی دارد؛ مسئله این بود که اگر یک حلقه از زنجیره آلوده شود، چند سازمان، چند کشور و چند صنعت تحت تأثیر قرار میگیرند.
سولارویندز در سال ۲۰۲۰ نمونه روشن این تغییر بود. در این رخداد، کد مخرب به ۱۸ هزار مشتری ارائه شد و شرکت بخشی از درآمد خود را از دست داد. اهمیت سولارویندز در این بود که نشان داد زنجیره تأمین نرمافزار میتواند به مسیر حمله تبدیل شود؛ یعنی سازمانی که خودش مستقیماً هدف نیست، از مسیر اعتماد به یک تأمینکننده آلوده میشود.
در سال ۲۰۲۱، حمله به خدمات درمانی ایرلند ماهها اختلال ایجاد کرد و هزینه رفع آن ۱۰۰ میلیون یورو اعلام شد. همان سال، باجافزار کلونیال پایپلاین باعث اختلال ۱۱ روزه در تأمین سوخت آمریکا شد و پرداخت ۴.۴ میلیون دلار هزینه در پی داشت. لاگفورجی نیز در اوج خود به ۱۰۰ حمله در دقیقه رسید و ۴۰ درصد از کل شبکههای تجاری جهان را تحت تأثیر قرار داد.
در سال ۲۰۲۲، نشت دادههای اکتا در پنج روز ۳۶۶ مشتری را تحت تأثیر قرار داد و از دست رفتن ۲ میلیارد دلار ارزش بازار را به دنبال داشت. در سال ۲۰۲۳ نیز نشت دادههای MOVEit Transfer حدود ۹۴ میلیون کاربر و بیش از ۲۵۰۰ کسبوکار را تحت تأثیر قرار داد و بیش از ۱۰ میلیارد دلار خسارت بر جای گذاشت.
اینجا دیگر صحبت از امنیت به معنای سنتی کافی نیست. سازمانی که در زنجیرهای از تأمینکنندگان، مشتریان، دادهها، APIها، زیرساختهای ابری و سرویسهای شخص ثالث قرار دارد، نمیتواند فقط به دیوار دفاعی خود تکیه کند. باید تابآور باشد.
تابآوری سایبری یعنی چه؟
تابآوری سایبری یعنی سازمان فقط به این فکر نکند که «چگونه حمله نشود»، بلکه برای این پرسش هم پاسخ داشته باشد: «اگر حمله شد، چطور ادامه میدهیم؟»
این مفهوم، امنیت را از حوزه صرفاً فنی خارج میکند و به موضوعی مدیریتی، عملیاتی و راهبردی تبدیل میکند. تابآوری سایبری یعنی سازمان بداند کدام داراییهای دیجیتال برای ادامه فعالیت حیاتیاند، چه وابستگیهایی به تأمینکنندگان دارد، در صورت اختلال چه خدماتی باید اول بازیابی شوند، چه کسی تصمیم میگیرد، چه اطلاعاتی باید به مشتریان و نهادهای ناظر داده شود و چگونه میتوان اعتماد ازدسترفته را ترمیم کرد.
در نگاه سنتی، امنیت سایبری بیشتر با ابزارهایی مانند فایروال، آنتیویروس، کنترل دسترسی، رمزنگاری و پایش شبکه شناخته میشد. این ابزارها همچنان ضروریاند، اما کافی نیستند. سازمانی که تابآوری سایبری دارد، علاوه بر دفاع، توان تشخیص، پاسخ، بازیابی و یادگیری پس از حمله را هم در خود ایجاد میکند.
به بیان ساده، امنیت سایبری تلاش میکند مانع حادثه شود؛ تابآوری سایبری میپذیرد که حادثه ممکن است رخ دهد و میپرسد سازمان تا چه اندازه میتواند در برابر آن دوام بیاورد.
چرا این روایت برای اقتصاد دیجیتال مهم است؟
برای اقتصاد دیجیتال، حمله سایبری فقط یک رخداد فنی نیست؛ میتواند به توقف خدمت، از دست رفتن داده، کاهش اعتماد مشتری، زیان مالی، مداخله رگولاتور، افت ارزش بازار و اختلال در زنجیره تأمین منجر شود. در صنایع مالی، پرداخت، بیمه، سلامت، انرژی، حملونقل و خدمات عمومی، این مسئله حساستر است؛ چون خدمات دیجیتال با زندگی روزمره مردم پیوند خوردهاند.
در گذشته، ممکن بود اختلال در یک سامانه داخلی فقط کارکنان همان سازمان را درگیر کند. امروز اختلال در یک ارائهدهنده خدمت، میتواند هزاران کسبوکار و میلیونها کاربر را تحت تأثیر قرار دهد. حملات سالهای اخیر دقیقاً همین واقعیت را نشان دادهاند؛ از بانکها و رسانههای استونی تا خدمات درمانی ایرلند، از زنجیره تأمین سولارویندز تا اختلال سوخترسانی کلونیال پایپلاین.
برای همین، تابآوری سایبری باید در سطح هیئتمدیره، مدیریت ریسک، عملیات، منابع انسانی، روابط عمومی و حتی طراحی محصول دیده شود. امنیت دیگر فقط پروژه واحد فناوری اطلاعات نیست؛ بخشی از مدل بقا و استمرار کسبوکار است.
آینده؛ هوش مصنوعی، کوانتوم و تهدیدهای ناشناخته
خط زمانی گزارش مجمع جهانی اقتصاد در نهایت به دهه ۲۰۳۰ و فراتر از آن میرسد؛ جایی که هوش مصنوعی، پردازش کوانتومی و فناوریهای خلاقانه، هم ابزار دفاع خواهند بود و هم ابزار حمله.
هوش مصنوعی میتواند به شناسایی سریعتر الگوهای حمله، تحلیل رفتار غیرعادی و پاسخ خودکار کمک کند؛ اما همزمان میتواند برای تولید بدافزارهای پیچیدهتر، حملات فیشینگ باورپذیرتر و شناسایی سریعتر آسیبپذیریها نیز استفاده شود. پردازش کوانتومی نیز میتواند در آینده بخشی از روشهای رمزنگاری امروز را با چالش جدی مواجه کند. بنابراین، آینده امنیت سایبری نه سادهتر، بلکه پیچیدهتر خواهد شد.
در چنین آیندهای، سازمانها نمیتوانند فقط با ابزارهای امروز برای تهدیدهای فردا آماده شوند. آنها باید ساختار تصمیمگیری، معماری فناوری، فرهنگ سازمانی و مدل مدیریت ریسک خود را بهگونهای طراحی کنند که در برابر تغییر، شوک و عدم قطعیت دوام بیاورد.
تاریخ امنیت دیجیتال، از حفاظت از داده و مقابله با ویروسهای اولیه آغاز شد و با گسترش وب، حملات زیرساختی، باجافزارها و تهدیدهای زنجیرهای، به مفهوم امروزین «تابآوری سایبری» رسید. این تغییر فقط تغییر واژه نیست؛ نشانه بلوغ جهان دیجیتال است. هرچه اقتصاد و زندگی روزمره بیشتر به شبکهها وابسته شده، تهدیدها هم واقعیتر، پرهزینهتر و اثرگذارتر شدهاند. امروز پرسش اصلی این نیست که آیا سازمانها هدف حمله قرار میگیرند یا نه؛ پرسش این است که پس از حمله، آیا میتوانند بایستند، خدمت بدهند و اعتماد را بازسازی کنند؟ تابآوری سایبری پاسخ همین پرسش است.
