محمدسعید محمدزاده، مدیر امنیت و ریسک شرکت کارت اعتباری ایران کیش / قرنها پیش از اینترنت و شبکه بانکی و حتی تلگراف، یکی از مسائل اصلی حکومتداری در سرزمینهای وسیع این بود که پیام چطور سریع و قابلاعتماد از نقطهای به نقطه دیگر برسد.
ایران از دوره هخامنشی شبکهای از پیکهای مرحلهای و ایستگاههای بینراهی داشت. در دورههای بعد، چاپار و چاپارخانه بخشی شناختهشده از نظام ارتباطی کشور شدند. پیک تمام مسیر را با یک اسب طی نمیکرد. پیام در شبکهای از ایستگاهها حرکت میکرد؛ اسب تازه، پیک بعدی، مسیر و ایستگاه بعدی همگی بخشی از کارکرد کل سامانه بودند. منابع تاریخی حتی از ثبت زمان ورود و خروج پیکها در برخی دورهها و افزایش تعداد ایستگاهها هنگام نیازهای اطلاعاتی و نظامی سخن گفتهاند.
نبوغ این سیستم در تقسیم کار بود. نقطهضعف بالقوهاش هم دقیقاً همانجا قرار داشت. برای سالم رسیدن پیام، فقط فرستنده و گیرنده کافی نبودند؛ تمام مسیر باید قابل اعتماد میبود.
اقتصاد دیجیتال امروز با همه پیچیدگیاش از این جهت چندان متفاوت نیست.
شرکتها دیگر بهتنهایی ساخته نمیشوند
تصور عمومی از امنیت سازمان هنوز اغلب حول خود سازمان شکل میگیرد: فایروال چقدر امن است؟ سرورها بهروز شدهاند؟ کارکنان آموزش دیدهاند؟ تست نفوذ انجام دادهایم؟
این سؤالها مهماند، اما یک واقعیت را کنار میگذارند. بسیاری از سازمانهای امروز بخش قابلتوجهی از قابلیت دیجیتال خود را اصلاً خودشان تولید نمیکنند.
یک بانک ممکن است برای نرمافزار، مرکز تماس، زیرساخت مخابراتی، تجهیزات امنیتی، سرویسهای ابری، نگهداری سختافزار، پیامک، احراز هویت و دهها خدمت دیگر به شرکتهای بیرونی وابسته باشد. یک کارخانه علاوه بر تأمینکننده مواد اولیه، به شرکت سازنده یا نگهدارنده سیستم کنترل صنعتی وابسته است. یک فروشگاه اینترنتی به شرکت پرداخت، سرویس پیامک، حملونقل، نرمافزارهای ثالث و APIهای متعدد متصل است.
مرز واقعی سازمان دیگر روی دیوار ساختمان یا حتی لبه شبکهاش تمام نمیشود. مرز امنیتیاش تا تمام شرکتها و فناوریهایی امتداد دارد که برای کارکرد روزمره به آنها اعتماد کرده است.
NIST این موضوع را تحت عنوان C-SCRM بررسی میکند: مدیریت ریسک امنیت سایبری در زنجیره تأمین. یعنی شناخت و مدیریت ریسک محصول، نرمافزار، سختافزار و خدماتی که سازمان از بیرون میگیرد، در تمام چرخه عمر آنها.
مسئله این نیست که تأمینکننده امن است یا نه
سؤال «تأمینکننده ما امن است؟» دیگر کافی نیست. سؤال پیچیدهتر این است: تأمینکننده ما خودش به چه کسانی وابسته است؟
فرض کنید بانک از شرکت «الف» نرمافزار میخرد. شرکت الف کد خود را روی زیرساخت شرکت «ب» میزبانی میکند، برای احراز هویت از سرویس «ج» استفاده میکند، بخشی از نرمافزارش را با کتابخانه متنباز نوشته و پشتیبانی بخشی از سیستم را به پیمانکار «د» سپرده است. بانک فقط با شرکت الف قرارداد دارد، اما در عمل به ب، ج و د هم وابسته شده؛ حتی اگر هیچ قراردادی با آنها نداشته باشد.
در ادبیات مدیریت ریسک به این لایههای بعدی گاهی Nth-party Risk میگویند؛ یعنی ریسک طرفهای لایههای بعدی، یا سادهتر، تأمینکننده تأمینکننده. این همان بخش پنهان زنجیره است.
در چاپارخانه میشد ایستگاه بعدی را دید. در زنجیره دیجیتال گاهی حتی نمیدانیم چند ایستگاه وجود دارد. به همین دلیل NIST در راهنمای تازهاش (ژوئیه ۲۰۲۶) هنگام بررسی یک تأمینکننده فقط به کنترلهای امنیتی متعارف اکتفا نمیکند و موضوعاتی مثل منشأ محصول، تابآوری، مالکیت و کنترل و لایههای مختلف زنجیره را هم در Due Diligence وارد کرده است.
ما خدمت را برونسپاری میکنیم؛ ریسک را نه
این شاید یکی از مهمترین سوءبرداشتهای مدیریتی باشد. وقتی نگهداری یک سیستم را برونسپاری میکنیم، عملیات به شرکت دیگری منتقل میشود. اما اگر همان شرکت هک شود و مهاجم از دسترسی پیمانکار وارد شبکه ما شود، اثر حادثه همچنان متعلق به ماست. اگر اطلاعات مشتریان در یک سرویس بیرونی نشت کند، مشتری معمولاً اول نام ما را میبیند. اگر نرمافزار حیاتی تأمینکننده از کار بیفتد و خدمت ما متوقف شود، این نام تأمینکننده نیست که روی صفحه موبایل مشتری ظاهر میشود.
برونسپاری مسئولیت اجرایی ممکن است؛ برونسپاری پیامد ریسک معمولاً نه.
دادههای جهانی هم نشان میدهد موضوع از یک نگرانی نظری گذشته است. گزارش DBIR ۲۰۲۵ ورایزن که بیش از ۲۲ هزار رخداد امنیتی را بررسی کرده، میگوید سهم رخدادهای دارای نقش طرف ثالث به حدود ۳۰ درصد رسیده و نسبت به سال قبل دو برابر شده است.
خطر بعدی: اگر همه چاپارها از یک ایستگاه عبور کنند
زنجیره تأمین فقط مسئله «تأمینکننده ضعیف» نیست. گاهی تأمینکننده اتفاقاً بزرگ و حرفهای است؛ مشکل این است که تعداد بسیار زیادی سازمان به همان شرکت وابستهاند.
فرض کنید دهها بانک، فروشگاه، شرکت حملونقل و کسبوکار بزرگ از یک سرویس مشترک استفاده کنند. اختلال در آن سرویس دیگر یک حادثه برای یک شرکت نیست؛ میتواند همزمان دهها زنجیره دیگر را متوقف کند. به این پدیده Concentration Risk یا ریسک تمرکز میگویند: وابستگی تعداد زیادی از سازمانها به تعداد محدودی نقطه مشترک.
گزارش Global Cybersecurity Outlook ۲۰۲۶ مجمع جهانی اقتصاد، «ابهام و تمرکز» را دو مسئله مهم زنجیره تأمین دیجیتال میداند. ۶۵ درصد شرکتهای بزرگ مورد بررسی، آسیبپذیری تأمینکنندگان و زنجیره تأمین را یکی از بزرگترین موانع تابآوری سایبری خود دانستهاند؛ سال قبل این عدد ۵۴ درصد بود.
این موضوع برای اقتصاد دیجیتال از یک حمله منفرد مهمتر است، چون یک اختلال کوچک در نقطهای مشترک میتواند به شکل دومینو در صنایع مختلف پخش شود.
در ایران مسئله یک لایه دیگر هم دارد
برای سازمانهای ایرانی زنجیره تأمین فناوری گاهی مسیر سادهای ندارد. بخشی از تجهیزات یا نرمافزار ممکن است از مسیرهای واسطهای تهیه شود، دسترسی مستقیم به تولیدکننده اصلی محدود باشد، پشتیبانی رسمی همیشه در دسترس نباشد یا سازمان برای ادامه کار به فناوریهایی وابسته باشد که مسیر تأمین آنها کاملاً شفاف نیست.
در فضای رسانهای داخلی هم متخصصان امنیت درباره خطر وابستگی به تعداد محدودی برند خارجی و استفاده از نرمافزارها یا مسیرهای تأمین غیرقابلاعتماد هشدار دادهاند.
در چنین شرایطی پرسش امنیتی فقط این نیست که «این تجهیز چه قابلیتهایی دارد؟» باید پرسید:
- این محصول دقیقاً از کجا آمده؟
- چه کسی آن را بهروزرسانی میکند؟
- Firmware یا نرمافزار داخلیاش چه مسیری را طی کرده؟
- اگر شرکت واسطه فردا نباشد، پشتیبانی چه میشود؟
- اگر آسیبپذیری مهمی کشف شود، چه کسی Patch رسمی را در اختیار ما میگذارد؟
این سؤالها شاید زمانی جزئیات فنی محسوب میشدند؛ امروز بخشی از مدیریت ریسک کسبوکار هستند.
چرا یک پرسشنامه امنیتی دیگر کافی نیست؟
مدل رایج ارزیابی تأمینکننده معمولاً آشناست. فرمی ارسال میشود: آیا Firewall دارید؟ آیا Backup دارید؟ ISO 27001 دارید؟ تست نفوذ انجام میدهید؟ و در پایان تعدادی Yes و No تبدیل به امتیاز میشود.
این کار بیفایده نیست، اما اگر مدیریت زنجیره تأمین به همین مرحله محدود شود، بیشتر شبیه Compliance است تا مدیریت ریسک.
سؤال بالغتر این است:
- اگر این شرکت فردا از دسترس خارج شود، کدام خدمت ما متوقف میشود؟
- اگر حساب مدیریتیاش هک شود، به چه چیزهایی از ما دسترسی دارد؟
- اگر یکی از پیمانکاران خودش هک شود، آیا امکان رسیدن به ما وجود دارد؟
- اگر سرویس را قطع کنیم، چند ساعت طول میکشد جایگزین ایجاد کنیم؟
- آیا حادثه با تأمینکننده را تا به حال تمرین کردهایم؟
جالب اینکه گزارش ۲۰۲۶ مجمع جهانی اقتصاد نشان میدهد گرچه ۶۶ درصد سازمانها بلوغ امنیتی تأمینکنندگان را ارزیابی میکنند، فقط ۳۳ درصد نقشه نسبتاً جامعی از اکوسیستم زنجیره تأمین خود دارند و تنها ۲۷ درصد حادثه سایبری یا بازیابی مرتبط را شبیهسازی میکنند. یعنی تعداد زیادی از سازمانها از تأمینکننده میپرسند «آمادهای؟» اما کمتر میپرسند «اگر آماده نبودی، ما چه میکنیم؟»
واحد خرید، بخشی از معماری امنیت شده است
یکی از مهمترین نتایج این تغییر آن است که امنیت زنجیره تأمین را نمیتوان فقط به تیم امنیت سپرد. بخش بزرگی از ریسک پیش از آنکه CISO حتی تأمینکننده را ببیند، ایجاد شده: وقتی واحد خرید Vendor را انتخاب میکند، وقتی حقوقی قرارداد را مینویسد، وقتی کسبوکار برای تحویل سریعتر پروژه فشار میآورد، وقتی IT دسترسی Remote برای پیمانکار ایجاد میکند، و وقتی پروژه تمام میشود اما کسی آن دسترسی را لغو نمیکند.
امنیت واقعی زمانی شروع میشود که این تصمیمها به هم متصل شوند. خرید باید بداند چه ریسکی میخرد. حقوقی باید بداند در رخداد امنیتی چه تعهدی از تأمینکننده میخواهد. IT باید بداند چه دسترسیای داده است. امنیت باید بتواند آن دسترسی و ریسک را ببیند. مدیریت هم باید بداند کدام تأمینکننده اگر متوقف شود، کسبوکار را متوقف میکند.
چاپارخانه امروز شاید یک شرکت نرمافزاری باشد
شبکه چاپار یک درس ساده داشت: هیچ پیامرسانی بهتنهایی آن شبکه را نمیساخت. ارزش شبکه از همکاری ایستگاهها ایجاد میشد و ضعف هر ایستگاه میتوانست روی کل مسیر اثر بگذارد.
اقتصاد دیجیتال هم هر روز بیشتر شبیه همین شبکه میشود. یک بانک دیگر فقط یک بانک نیست. یک کارخانه فقط یک کارخانه نیست. یک فروشگاه آنلاین فقط یک وبسایت نیست. هرکدام مجموعهای از نرمافزارها، پیمانکاران، زیرساختها، APIها، مراکز داده و شرکتهایی هستند که به هم متصل شدهاند.
ما این اتصال را برای سرعت، تخصص و بهرهوری ساختهایم و منطقی هم هست. اما همان چیزی که مزیت ایجاد میکند، نوع تازهای از آسیبپذیری هم میسازد.
شاید به همین دلیل سؤال امنیتی مدیران باید کمی تغییر کند. بهجای اینکه فقط بپرسیم «سازمان ما چقدر امن است؟» باید بپرسیم: برای ادامه کار به چه کسانی اعتماد کردهایم، آنها به چه کسانی اعتماد کردهاند و اگر یکی از حلقههای این زنجیره بشکند، تا کجای کسبوکار ما سقوط میکند؟
در عصر چاپار، سلامت پیام به تمام ایستگاههای مسیر وابسته بود. در عصر دیجیتال هم واقعیت چندان متفاوت نیست. امنیت ما فقط به قویترین کنترل داخل سازمان وابسته نیست؛ به ضعیفترین اعتمادی وابسته است که در بیرون سازمان واگذار کردهایم.
