وزارت ارتباطات ایران با تعریف «اپراتور امنیت سایبری» قصد دارد از ظرفیت شرکتهای خصوصی برای محافظت از دستگاههای دولتی در برابر تهدیدات آنلاین استفاده کند. این طرح که بخشی از الزامات قانون برنامه هفتم توسعه است، به دنبال ساماندهی و ارتقای سطح امنیت نهادهایی است که به دلیل کمبود نیروی انسانی یا بودجه، توان تخصصی کافی ندارند.
اپراتور امنیت سایبری؛ چه نقشی خواهند داشت؟
ایده ساده است: دستگاههای دولتی که تیم امنیتی قدرتمندی ندارند، میتوانند خدمات امنسازی را به اپراتورهای مجاز برونسپاری کنند. این اپراتورها شرکتهای خصوصی تخصصی هستند که پس از احراز صلاحیت و دریافت مجوز از سازمان فناوری اطلاعات و وزارت ارتباطات، بهعنوان بازوی امنیتی برونسپاریشده عمل میکنند. محمد محسن صدر، رئیس سازمان فناوری اطلاعات ایران، اعلام کرده است که چارچوبهای ارزیابی دستگاهها تدوین و ابلاغ شده و فراخوان اپراتور امنیت سایبری بهزودی منتشر میشود.
طبق اعلام سازمان فناوری اطلاعات، فرآیند ارزیابی و امتیازدهی دستگاهها مشخص شده و به دستگاههای هماهنگکننده ابلاغ گردیده تا وضعیت دقیق امنیت هر دستگاه روشن شود. برای آن دسته از نهادهایی که فاقد نیروی تخصصیاند، امکان استفاده از اپراتورهای امنیتی پیشبینی شده است؛ اما این اپراتورها ملزوم به اخذ مجوز و رعایت شرایط احراز صلاحیت هستند.
- خدمات پایش و مانیتورینگ آسیبپذیری و تهدیدات
- اجرای سیاستهای امنیتی و مدیریت نقاط پایانی
- پاسخ به حادثه و بازیابی سریع سیستمها
- آموزش و توانمندسازی تیمهای داخلی مشتریان
این خدمات گرچه برای هر دستگاه شکل متفاوتی خواهند داشت، اما محور کلی بر افزایش سطح امنیت، کاهش ریسک و مدیریت مؤثرتر رخدادهای سایبری متمرکز است. سازمان فناوری اطلاعات نیز همسو با مراکز آپا این گام را دنبال میکند تا همپوشانیها و تقسیمکارها مشخص شود. به گفته صدر، فراخوان اپراتور امنیت سایبری در همین هفته یا تا یک ماه آینده منتشر و صدور چند مجوز اپراتوری آغاز خواهد شد.
مثالی ساده: یک اداره با بودجه محدود نمیتواند تیم واکنش به حادثه یا تحلیلگر تهدید تماموقت داشته باشد؛ در اینجا اپراتور امنیتی وارد میشود، پایش ۲۴/۷ را فراهم میکند، رخدادها را تشخیص و پاسخ میدهد و گزارشهای منظم برای بهبود ساختار امنیتی ارائه میدهد. این مدل نه تنها هزینهها را مقطعی کاهش میدهد، بلکه به کاهش زمان تشخیص و اصلاح آسیبپذیریها کمک میکند.
چالشها و نکات حقوقی
با این حال، برونسپاری خدمات امنیتی به شرکتهای خصوصی چند نکته مهم دارد: حفظ محرمانگی اطلاعات، تعیین حدود مسئولیتهای اپراتور و دستگاه متقاضی، چارچوبهای نظارتی روشن و سازوکارهای اعطای مجوز. آییننامه و شرایط احراز صلاحیت فعلاً تدوین شده و ملاک امتیازدهی مشخص خواهد بود؛ اما نظارت مستمر و مکانیزمهای انطباق نیز باید در دستور کار قرار گیرد تا ریسکهای جدیدی ایجاد نشود.
در مجموع، تعریف «اپراتور امنیت سایبری» میتواند گامی مؤثر برای تقویت امنیت سایبری دستگاههای غیرزیرساختی باشد؛ به شرطی که شفافیت در مجوزدهی، استانداردهای فنی و نظارت قانونی رعایت شود. این طرح فرصتی است تا نوآوری شرکتهای خصوصی در حوزه امنیت سایبری با نیازهای دستگاهها هماهنگ گردد و ظرفیت ملی در برابر تهدیدات آنلاین تقویت شود.
