رویکرد تازه امنیت سایبری آمریکا

دیپلماسی ایرانی: پس از چندین حمله سایبری برجسته به دولت ایالات متحده در سال‌های اخیر، نیاز به ارتقا و افزایش انعطاف‌پذیری در سامانه های امنیت سایبری موجود برای امنیت ملی حیاتی شده است. آخرین دستورالعمل دولت فدرال با هدف بهبود امنیت سایبری کشور، یک دگرگونی قابل ستایش در اولویت‌ها را نشان می‌دهد؛ دور شدن از دفاع محیطی و دیوارهای آتش سنتی و در عوض پذیرش معماری اعتماد صفر.

معماری اعتماد صفر اغلب جایگزینی برای امنیت سایبری قدیمی مبتنی بر محیط، شناخته می شود. برای دهه‌ها، تلاش‌های امنیت سایبری سازمانی پیرامون مفهوم "اعتماد ضمنی" می‌چرخید. در این مدل، شبکه‌ها و سامانه‌ها برای دفاع در برابر نفوذ در یک محیط شبکه ای کاملاً تعریف شده طراحی شدند. این محیط را می توان به مانند یک قلعه قرون وسطایی تصور کرد.

دسترسی به این قلعه تنها از گذر درِ ورودی با وارسی دقیق هویت توسط نگهبانان امکان پذیر است. پس از ورود، نظارت بر شخص بازدید کننده به خاطر احراز هویت اولیه دیگر به دقت انجام نمی گیرد.

در یک رویکرد مبتنی بر محیط، بازیگران بد – به محض اینکه دسترسی اولیه را به دست آورند – به طور بالقوه می توانند به روشی نامحدود در داخل دیوارها عملیات داشته باشند.

با این حال، در معماری اعتماد صفر، هیچ فعالیتی، صرف نظر از اینکه در داخل شبکه یا از خارج از محیط آن سرچشمه گرفته باشد، نباید قابل اعتماد فرض شود. این به معنای افزایش امنیت در داخل دیوارهاست، مانند قفل کردن و نگهبانی از درهای بیشتر و نیاز بازدیدکنندگان برای تأیید چندباره هویت خود در زمان حرکت در پهنه قلعه.

سازمان ها به طور فزاینده ای به محیط های ابری تجاری مهاجرت و زیرساخت های ترکیبی را انتخاب می کنند. نیروی کار بیش از پیش توانایی جابه جایی دارد، روندی که با همه گیری کووید-19 به سرعت شتاب گرفت.

چرخش از دفاع محیطی به "معماری اعتماد صفر" به آسانی چرخاندن یک سوئیچ نیست. این چرخش یک تعهد پیچیده و چیزی بیش از تهیه سخت افزار و نرم افزار تازه را در بر می گیرد. این چرخش نیازمند اصلاحات به ویژه در 6 حوزه بودجه و تملک، بدهی های فنی، نبود فوریت و اصطکاک رفتاری، سیاست های نامشخص رهبری و مسئولیت پذیری در مسائل ادراکی است.

در نتیجه، راهبرد تازه ی اعتماد صفر دولت فدرال باید با تامین مالی تقویت شود تا بتوان دفاع سایبری موثری را ایجاد کرد. دستور اجرایی 14028 به تغییراتی از جمله اکتساب و حمایت بودجه نیازمند است و از دفتر مدیریت و بودجه (OMB) می‌خواهد که مقررات اکتساب فدرال را برای اعمال این تغییرات بررسی کند.

تلاش برای مدیریت سامانه های قدیمی می تواند مغایرتی میان تجربه کاربر و امنیت ایجاد کند. کاهش مؤثر خطر در هنگام مهاجرت به معماری اعتماد صفر ممکن است به آژانس‌های فدرال نیاز داشته باشد که تجربه کاربر را به طور گذرا به‌خاطر منافع عمومی‌تر امنیت در نظر بگیرند. کاربران باید درک کنند که اقداماتی برای جدا کردن سامانه‌های قدیمی از بقیه شرکت‌ها یک ناراحتی گذرا و ضروری برای حفظ یکپارچگی گسترده‌تر سامانه های فناوری اطلاعات سازمان است.

نبود فوریت و اصطکاک رفتاری 

نبود فوریت می تواند منجر به کمینه تلاش برای برآوردن الزامات اساسی انطباق شود، در صورتی که آنچه مورد نیاز است سرمایه گذاری در طرح های فراگیر است. به همین ترتیب، اصطکاک رفتاری می‌تواند سرعت پیشرفت را کُند کند.

دفتر مدیر ملی سایبری (ONCD) باید در اولویت‌بندی همسویی سیاست‌ها هم در سراسر دولت ایالات متحده و هم در هر بخش و سازمان، نقش رهبری داشته باشد زیرا سیاست‌های ناهماهنگ در هر سطحی می‌تواند اجرای معماری اعتماد صفر را به تأخیر بیندازد.

دفتر مدیریت ملی سایبر باید توسعه راهبردهای مستمر برای حرکت به سمت معماری اعتماد صفر را رهبری کند و از انسجام در اجرای آن، از جمله نظارت بر بودجه آن اطمینان حاصل کند. OMB دارای اهرمی برای اطمینان از انجام اقدامات مناسب است، اما ONCD باید آن تصمیمات را ابلاغ کرده و میزان پیشرفت را تجزیه و تحلیل و ارزیابی کند، بودجه های مربوطه را در میان ادارات و سازمان ها هماهنگ کند، تصمیمات را هدایت و تقاضای منابع را رفع کند.

منبع: مرکز واکاوی های راهبردی و بین المللی / تحریریه دیپلماسی ایرانی/11