۱۰ راهکار برای افزایش ضریب امنیت سایبری دانشگاه ها و مراکز علمی

به گزارش دیجیتالر، قائم مقام و معاون امنیت مرکز ملی فضای مجازی در یادداشتی، ۱۰ راهکار برای ارتقاء امنیت سایبری دانشگاه ها را شرح داد.

به گزارش دیجیتالر به نقل از مرکز ملی فضای مجازی، سومین جلسه ارزیابی و رتبه بندی خدمات دهندگان فضای مجازی کشور با مبحث دانشگاه ها و مراکز پژوهشی کشور از نظر امنیت سایبری با حضور رؤسای دانشگاه ها و مدیران فناوری اطلاعات آنها در مرکز ملی فضای مجازی برگزار شد؛ نشستی که در آن، گزارش روند بررسی اقدامات انجام شده در ۱۷ دانشگاه سطح اول کشور و همینطور رتبه هر یک از آنها برمبنای بند ششم سند الزامات ارتقاء امنیت سایبری فضای مجازی، به رؤسا و نمایندگان فناوری اطلاعات دانشگاه ها اعلام گردید.
پیش تر نتایج ارزیابی امنیت سایبری شرکت های عرضه کننده خدمات پیامکی و بانکهای کشور هم توسط مرکز ملی فضای مجازی به مجموعه های مربوط اعلام شده بود و دانشگاه ها بعنوان اولین نهادهای علمی و پژوهشی در همین چارچوب سنجیده شدند.
در همین زمینه محسن پاشا قائم مقام و معاون امنیت مرکز ملی فضای مجازی طی یادداشتی به تبیین دلیلهای و منطق راهبردی رتبه بندی امنیت سایبری دانشگاه ها پرداخته است؛ متن این یادداشت به شرح ذیل است:

دانشگاه زیر ذره بین؛ آزمون بلوغ و تاب آوری سایبری

ارزیابی و رتبه بندی دانشگاه ها از منظر امنیت سایبری، اقدامی راهبردی برای سنجش بلوغ امنیتی، شناسایی شکاف ها، اولویت بندی اقدامات اصلاحی، هدایت هدفمند منابع و ارتقاء کیفیت تصمیم گیری مدیریتی انجام شده است. چنین ارزیابی ای زمانی اثربخش خواهد بود که برمبنای فاکتورهای روشن، قابل سنجش و متناسب با مأموریت، اندازه، زیرساخت ها و سطح حساسیت فعالیتهای دانشگاه ها طراحی و اجرا می شود.
این پروسه حوزه هایی همچون حکمرانی و راهبری امنیت سایبری، مدیریت ریسک، محافظت از داده ها و دارایی های اطلاعاتی، مدیریت هویت و دسترسی، امنیت زیرساخت ها و زنجیره تامین، آمادگی برای رویارویی با رخدادها، ادامه خدمات، آموزش و فرهنگ سازی امنیتی و محافظت از پژوهش های حساس را دربرمی گیرد. همچنین، ارزیابی باید علاوه بر سنجش وجود سیاستها و سازوکارهای رسمی، میزان اجرای حقیقی، اثربخشی کنترل ها و توان دانشگاه در شناسایی، پاسخ گویی و بازیابی بعد از رخدادهای سایبری را هم بررسی کند.
بر این اساس، رتبه بندی باید مبنایی برای تدوین برنامه بهبود، تعیین اهداف دوره ای، پایش روند پیشرفت و بازبینی مستمر در سیاستها و کنترل های امنیتی باشد. عرضه بازخورد تحلیلی و اختصاصی به هر دانشگاه، به آن کمک می نماید تصویری دقیق تر از نقاط قوت، ضعف ها، آسیب پذیری ها و اولویت های اصلاحی خود به دست آورده و منابع محدود را بر مهم ترین ریسک ها متمرکز کند.
از سوی دیگر، این نظام ارزیابی می تواند زمینه ساز یادگیری نهادی و هم افزایی میان دانشگاه ها شود؛ بگونه ای که تجربیات موفق، الگوهای عملیاتی، راهکارهای فنی و رویه های مؤثر میان دانشگاه ها به اشتراک گذاشته شود و از ظرفیت دانشگاه های پیشرو برای الگوسازی و انتقال تجربه استفاده گردد.
امنیت سایبری دانشگاه ها زمانی به سطح مطلوبی از بلوغ و تاب آوری می رسد که از یک مبحث فنی فراتر رود و به قسمتی از نظام راهبری، مدیریت ریسک و تصمیم سازی در سطح عالی دانشگاه تبدیل گردد. در چنین رویکردی، رییس و هیأت رئیسه دانشگاه، مدیران آموزشی و پژوهشی، مدیران فناوری و مسؤلان امنیتی، در چارچوبی هماهنگ و پاسخ گو، ارتقاء امنیت سایبری را بعنوان یکی از الزامات ادامه مأموریت علمی و حفظ سرمایه دانشی دانشگاه دنبال خواهند کرد.
بازیگران تهدید
جامعه علمی کشور با طیف متنوعی از مخاطرات روبه روست. برای تحلیل دقیق این ریسک ها، بازیگران تهدید مقابل دانشگاه ها را می توان در سه دسته عمده مورد ارزیابی قرار داد:
۱. جاسوسی سایبری دولتی و شبه دولتی
بازیگران دولتی، شبه دولتی و شبکه های وابسته به آنها در جناح دشمن، دانشگاه ها را به علت نقش شان در تولید دانش، تربیت نیروی انسانی متخصص و نگهداری داده های علمی و فناورانه، هدفی راهبردی تلقی می کنند. اهداف اصلی این تهدیدگران شامل دستیافتن به دستیافته های علمی و فناورانه، سرقت مالکیت فکری، نتایج تحقیقات و داده های آزمایشگاهی، شناسایی و رصد دانشمندان و محققان برجسته و بهره برداری از دانشگاه بعنوان دروازه ای برای نفوذ به سایر نهادهای حاکمیتی، صنعتی و پژوهشی است.
۲. جرائم سایبری سازمان یافته با انگیزه مالی
گروه های مجرم سایبری هم دانشگاه ها را به علت تعدد کاربران، گستردگی سیستم ها، وجود داده های هویتی و مالی و وابستگی به خدمات برخط، هدف جذابی می دانند. مهم ترین شیوه های این گروه ها شامل اجرای باج افزار و اخاذی، سرقت اطلاعات هویتی دانشجویان، کارکنان و اعضای هیأت علمی، دسترسی به داده های مالی و اطلاعات پرداخت، کلاهبرداری های مبتنی بر ایمیل و جعل هویت و فروش دسترسی بدون مجوز به سیستم های دانشگاهی در بازارهای زیرزمینی است.
۳. تهدیدات داخلی و کاربران مجاز
بخش مهمی از ریسک امنیتی دانشگاه ها از درون سازمان یا از جانب کاربرانی ناشی می شود که به صورت قانونی به سیستم ها و داده ها دسترسی دارند. سوءاستفاده عمدی کارکنان، پیمانکاران، دانشجویان یا محققان دارای دسترسی، افشای داده ها بر اثر خطا و سهل انگاری، انتقال و نگهداری ناایمن اطلاعات پژوهشی و آموزشی، استفاده از ابزارهای تأییدنشده، اشتراک گذاری نامناسب حساب های کاربری و ادامه دسترسی بعد از پایان همکاری یا خروج نیروی انسانی، از مهم ترین مصادیق این تهدیدات است.
در محیط دانشگاهی، به علت تنوع کاربران، گردش گسترده داده و فرهنگ تعامل و اشتراک گذاری علمی، مرز میان خطای انسانی، قصور، بی احتیاطی و رفتار مخرب گاه روشن نیست. مدیریت چرخه عمر حساب های کاربری، اصل حداقل دسترسی، تفکیک وظایف، ثبت و پایش رویدادها، بازنگری دوره ای مجوزها و آموزش مستمر کاربران همچون الزامات کاهش این نوع ریسک به حساب می آید.

تهدیدهای امنیت سایبری دانشگاه ها

تهدیدهای امنیت سایبری مقابل دانشگاه ها طیفی از مخاطرات زیرساختی، اطلاعاتی، انسانی، اقتصادی و شناختی را دربر می گیرد. به علت ماهیت باز، چندلایه و شبکه ای دانشگاه ها، این تهدیدات می توانند به صورت هم زمان بر آموزش، پژوهش، خدمات اداری، اعتبار نهادی و حتی سرمایه دانشی کشور اثر بگذارند. مهم ترین انواع این تهدیدها عبارت اند از:
۱. ریسک های زیرساختی، سیستم ها و زنجیره تأمین
یکی از مهم ترین کانون های آسیب پذیری در دانشگاه ها، تنوع سیستم ها و وابستگی آنها به نرم افزارهای شخص ثالث، پیمانکاران فناوری اطلاعات، خدمات ابری و استقرارهای غیرمتمرکز است. آسیب پذیری در نرم افزارهای مدیریت دانشگاهی، سیستم های آموزش الکترونیکی، سیستم های یکپارچه آموزشی و اداری، ضعف در وصله گذاری، پیکربندی ناایمن و نبود نظارت متمرکز بر برخی تجهیزات و سرویس ها، می تواند به رخنه های گسترده منجر شود. در خیلی از دانشگاه ها، دانشکده ها، لابراتوار ها یا واحدهای پژوهشی برای تسریع امور، زیرساخت هایی مستقل از مرکز فناوری اطلاعات ایجاد می کنند که همین وضعیت به یکی از مهم ترین منشأهای ریسک ساختاری تبدیل می شود.
۲. بدافزارها و بهره برداری از آسیب پذیری ها
باج افزار، تروجان ها، درهای پشتی، جاسوس افزارها و سایر ابزارهای نفوذ همچنان از رایج ترین شیوه های حمله به دانشگاه ها هستند. این بدافزارها ممکنست از راه ایمیل، حافظه های USB، افزونه های ناامن، دانلودهای آلوده یا حتی زنجیره تامین نرم افزار وارد محیط دانشگاهی شوند. بهره برداری از آسیب پذیری های وصله نشده و خدمات در معرض اینترنت هم از مسیرهای متداول نفوذ است. وجود شبکه های گسترده، تنوع زیاد کاربران، سیستم های قدیمی و محدودیت در یکپارچگی مدیریتی سبب می شود دانشگاه ها به محیطی مستعد برای بسط جانبی بدافزار، تثبیت ماندگاری مهاجم و سرایت آلودگی میان بخش های مختلف تبدیل شوند.
۳. حملات اختلال گرانه و اختلال در ادامه خدمات
دانشگاه ها بشدت به زمان بندی خدمات وابسته اند؛ از نام نویسی و انتخاب واحد گرفته تا برگزاری آزمون، اعلام نتایج، دسترسی به سیستم های آموزش الکترونیکی و خدمات پژوهشی. به این دلیل، حملات منع خدمت توزیع شده (DDoS) یا سایر حملات اختلال گرانه مقابل این سیستم ها، بخصوص در مقاطع حساس تقویم آموزشی، می تواند آثار قابل توجهی بر مدیریت دانشگاه، رضایت ذی نفعان و اعتبار نهادی برجای بگذارد. حتی اگر حمله از نظر زمانی کوتاه مدت باشد، وقوع آن در زمان نامناسب ممکنست تبعاتی فراتر از اختلال فنی بوجود آورد و به بحران مدیریتی و بی اعتمادی عمومی بینجامد.
۴. هکتیویسم، عملیات روانی و سوءاستفاده از برند دانشگاه
دانشگاه ها به علت جایگاه علمی و اجتماعی خود در معرض حملات نمادین و رسانه محور هم قرار گیرند. تغییر محتوای وبسایت دانشگاه، انتشار اسناد سرقت شده برای ایجاد اثر رسانه ای، جعل صفحات رسمی و سوءاستفاده از نام، دامنه یا هویت بصری دانشگاه برای کلاهبرداری، فیشینگ یا اثرگذاری روانی همچون این موارد است. در این دسته از حملات، گاه هدف اصلی مهاجم دسترسی به داده نیست، بلکه تخریب تصویر نهادی، ایجاد التهاب ادراکی و تضعیف اعتماد عمومی است.
۵. مهندسی اجتماعی و مخاطرات رفتاری – انسانی
بخش مهمی از تهدیدات دانشگاهی از راه فریب کاربران و سوءاستفاده از رفتار انسانی محقق می شود. فیشینگ مقابل استادان، محققان، مدیران و دانشجویان، جعل هویت مدیران یا همکاران علمی، سوءاستفاده از فراخوان ها، بورسیه ها، فرصتهای مطالعاتی، همکاریهای پژوهشی و کنفرانس ها بعنوان پوشش حمله، از مهم ترین مصادیق این حوزه است.
تجربه نشان میدهد که در خیلی از حملات مؤثر مقابل دانشگاه ها، نقطه آغاز نفوذ نه یک ضعف فنی پیچیده، بلکه خطای انسانی، اعتماد بیشتر از حد و فریب کاربر است. به همین دلیل، ارتقاء فرهنگ امنیتی و سواد سایبری کاربران، بخشی جدایی ناپذیر از تاب آوری دانشگاهی به حساب می آید.
۶. تهدیدات در رابطه با پژوهش های حساس، همکاریهای بین المللی و علم باز
دانشگاه ها در محیطی فعالیت می نمایند که ذات آن بر تبادل دانش، همکاری علمی، منتشر شده ها و تعاملات بین المللی استوار است. همین ویژگی، سطح تهدید را پیچیده تر می کند. سوءاستفاده از همکاریهای علمی برای جمع آوری اطلاعات، نفوذ از راه پروژه های مشترک، سرقت پیش دستانه نتایج پژوهش قبل از انتشار، دسترسی به داده های آزمایشگاهی یا مخازن پژوهشی و نشت اطلاعات از زمینه های باز یا ابزارهای همکاری علمی، از مهم ترین مخاطرات این حوزه اند. هرچه دانشگاه در حوزه های حساس تر و پیشرفته تر علمی فعال باشد، اهمیت این تهدید افزایش می یابد؛ برای اینکه پیامد آن می تواند بر مزیت علمی، فناورانه و حتی اقتصادی کشور اثر بگذارد.
۷. اینترنت اشیا، تجهیزات هوشمند و دارایی های متصل
دانشگاه ها علاوه بر سیستم های اداری و آموزشی، از طیف متنوعی از تجهیزات متصل استفاده می کنند؛ از تجهیزات آزمایشگاهی و دستگاه های تحقیقاتی گرفته تا دوربین ها، سیستم های کنترل عبور، زیرساخت های هوشمند ساختمان و تجهیزات پزشکی در دانشگاه های علوم پزشکی. خیلی از این دارایی ها از منظر امنیت سایبری کمتر مورد توجه قرار می گیرند، در حالیکه ممکنست دارای سیستم عامل های قدیمی، پشتیبانی نشده یا پیکربندی های ناایمن باشند. این تجهیزات می توانند به نقطه ورود مهاجم، بستر گسترش نفوذ یا منشا اختلال در فرایندهای حیاتی آموزشی، پژوهشی و درمانی تبدیل شوند.

راهکارهای ارتقاء امنیت سایبری دانشگاه ها

برای مواجهه ساختاری با این چالش ها، ارتقاء امنیت سایبری دانشگاه ها نیازمند یک رویکرد جامع ملی و درون دانشگاهی است که اهم محورهای آن شامل موارد زیر است:
۱. ارتقاء آگاهی و فرهنگ امنیت سایبری در بین کارکنان، استادان و دانشجویان بعنوان خط دفاع اول.
۲. تقویت حاکمیت، سیاستگذاری و مدیریت ریسک برای شناسایی دارایی های حیاتی و تعیین دقیق مسئولیت ها.
۳. مدیریت هویت و دسترسی برمبنای اصل «حداقل دسترسی».
۴. محافظت از داده ها و پژوهش های حساس از راه طبقه بندی، تفکیک و رمزنگاری.
۵. طراحی معماری امن شبکه، تفکیک شبکه ها و کاهش مواجهه سیستم های حیاتی با اینترنت.
۶. استقرار کنترل های فنی، سخت سازی سیستم ها، وصله گذاری مستمر و محافظت از سیستم های کلیدی.
۷. پایش و تشخیص بموقع رویدادهای امنیتی و رفتارهای مشکوک.
۸. توسعه آمادگی، پاسخ به حادثه و بازیابی سریع برای حفظ ادامه خدمات آموزشی و پژوهشی.
۹. مدیریت امنیت زنجیره تامین، خدمات ابری و شرکت های پیمانکار فناوری اطلاعات.
۱۰. ارزیابی، ممیزی و بهبود مستمر از راه سنجش منظم و آزمون های نفوذپذیری.
رتبه بندی دانشگاه ها در مرکز ملی فضای مجازی، راهبردی برای توانمندسازی اکوسیستم علمی کشور است که با شناخت دقیق نقاط صدمه پذیر، سنگرهای علمی و پژوهشی ایران اسلامی را در مقابل طوفان تهاجمات سایبری نفوذناپذیر سازد.

منبع: دیجیتالر

1405/08/18

10:17:52

0.0 / 5

تگهای خبر: آثار , آزمون , آموزش , آموزش الکترونیکی

این مطلب دیجیتالر را می پسندید؟

(0)

تازه ترین مطالب مرتبط

کامنت بینندگان دیجیتالر در مورد این مطلب

کامنت شما در مورد این مطلب

نام:

ایمیل:

کامنت:

سوال:

= ۲ بعلاوه ۱