پلیس فضای تولید و تبادل اطلاعات فراجا (فتا) چارچوب جامع اطلاع‌رسانی و پاسخ‌گویی به حوادث سایبری را برای بیش از ۱۶۰ هزار کسب‌وکار اینترنتی در سراسر کشور ابلاغ کرد. بر اساس این دستورالعمل جدید که متناسب با گستره و شدت حملات تنظیم شده است، مدیران سکوهای دیجیتال موظف هستند در حوادث بحرانی حداکثر ظرف مدت یک ساعت و در حوادث عادی تا ۲۴ ساعت، اقدامات رسمی اطلاع‌رسانی و مدیریت بحران را آغاز کنند.
ابعاد حقوقی و الزام جدید رگولاتوری برای سکوهای دیجیتال
توسعه روزافزون اقتصاد دیجیتال در ایران و فعال بودن بیش از ۱۶۰ هزار کسب‌وکار در این اکوسیستم، نیازمند تدوین چارچوب‌های دقیق رگولاتوری برای مدیریت ریسک و حفظ امنیت داده‌های کاربران است. بر اساس اظهارات سرتیپ وحید مجید، رئیس پلیس فتای فراجا، این ابلاغیه حقوقی و فنی جدید با اتکا به اسناد بالادستی کشور از جمله «سند نظام ملی پیشگیری و مقابله با حوادث فضای مجازی» (مصوب سال ۱۳۹۶ شورای عالی فضای مجازی) و اسناد راهبردی پلیس فتا تنظیم شده است.
هدف اصلی این ابلاغیه، ایجاد شفافیت حقوقی و تعیین مسئولیت دقیق شفاف‌سازی برای مدیران ارشد، اعضای هیئت‌مدیره و مدیران امنیت شبکه در هنگام وقوع رخنه اطلاعاتی یا حملات سایبری است. تا پیش از این، عدم وجود پروتکل زمان‌بندی‌شده دقیق، منجر به پنهان‌کاری یا تأخیر فراوان در اطلاع‌رسانی حوادث سایبری می‌شد که خسارات جبران‌ناپذیری به اعتماد عمومی و داده‌های خصوصی کاربران وارد می‌ساخت.
سطح‌بندی خماسی حوادث سایبری و جدول زمانی اطلاع‌رسانی
در چارچوب جدید، حوادث سایبری از حیث شدت، میزان خسارت احتمالی به زیرساخت‌ها و تهدید داده‌ها به ۵ سطح مجزا تقسیم شده‌اند. برای هر سطح، بسترهای اطلاع‌رسانی و بازه زمانی واکنشی مشخصی تعیین گردیده است:
- سطح عادی (Normal): مواردی همچون دریافت ایمیل‌های اسپم متناوب، اسکن‌های ناموفق پورت‌ها و تلاش‌های ناموفق برای نفوذ در این دسته قرار می‌گیرند. زمان پاسخ‌گویی و مستندسازی اولیه حداکثر ۲۴ ساعت است و اطلاع‌رسانی صرفاً داخلی و سازمانی انجام می‌شود.
- سطح قابل توجه (Noticeable): حوادثی با اثرات محدود که پاسخ‌گویی اولیه به آن‌ها حداکثر ظرف ۱۲ ساعت الزامی است.
- سطح مهم (Important): اختلالات جدی‌تر در خدمات یا تهدیدات میان‌برد که نیاز به واکنش حداکثر ۶ ساعته دارند.
- سطح حساس (Sensitive): حوادثی که احتمال افشای داده‌ها یا صدمه به اعتباری سازمان را دارند. مهلت واکنش حداکثر ۳ ساعت بوده و کنترل بحران رسانه‌ای، انتشار بیانیه‌های رسمی و برگزاری کنفرانس‌های خبری با حضور رسانه‌های سراسری پیش‌بینی شده است.
- سطح بحرانی (Critical): حوادثی با خسارات گسترده ملی، فلج‌شدن خدمات یا رخنه وسیع در پایگاه‌های داده. در این سطح، اطلاع‌رسانی اولیه و هماهنگی با مراجع ذی‌صلاح باید حداکثر ظرف ۱ ساعت انجام پذیرد و گزارش‌دهی ساعتی مستمر اعمال شود.
سطح‌بندی کسب‌وکارها و تمرکز تمرکز جغرافیایی زیرساخت‌ها
پلیس فتا علاوه بر دسته‌بندی حوادث، کسب‌وکارهای اینترنتی را نیز بر اساس شاخص‌هایی نظیر «حجم تراکنش‌های مالی روزانه»، «تعداد کاربران فعال» و «حجم داده‌های حساس ذخیره‌شده» دسته‌بندی کرده است. طبق این گزارش، ۱۳۰ شرکت بزرگ و کلیدی کشور در «سطح الف» جای گرفته‌اند که زیرساخت‌های حیاتی اقتصاد دیجیتال کشور را تشکیل می‌دهند. کسب‌وکارهای «سطح ب» نیز با فاصله‌ای اندک در رتبه بعدی قرار دارند.
نکته آمار قابل توجه در تحلیل زیرساخت‌های فناوری کشور، تمرکز شدید جغرافیایی کسب‌وکارهای سطح الف است؛ به‌طوری‌که ۹۱ درصد این کسب‌وکارها در استان تهران (تهران بزرگ) مستقر هستند. مابقی نیز در کلان‌شهرهایی نظیر مشهد، تبریز، اصفهان، شیراز و قزوین پراکنده شده‌اند. این ناهمگونی پراکندگی جغرافیا نشان‌دهنده نیاز مبرم به توسعه دیتاسنترها و مراکز پردازشی منطقه‌ای در سایر استان‌ها برای کاهش ریسک‌های تمرکز زیرساختی است.
تحلیل فنی و الزام اجرا برای تیم‌های SecOps و DevSecOps
از منظر مهندسی شبکه و امنیت اطلاعات، اجرای موفق این دستورالعمل مستلزم پیاده‌سازی سامانه‌های پایش مداوم، مراکز عملیات امنیت (SOC) و تدوین دقیق برنامه‌های پاسخ به حوادث (Incident Response Plan) است. کسب‌وکارها باید بسترهای اطلاع‌رسانی خود را به چهار رده تفکیک کنند:
۱. بسترهای رسمی و سازمانی (تحت کنترل حقوقی مستقیم سازمان)
۲. بسترهای عمومی (برای مدیریت افکار عمومی و مقابله با شایعات)
۳. بسترهای تخصصی و فنی (جهت تبادل هشدارهای امنیتی با سایر تیم‌های CSIRT)
۴. بسترهای داخلی (ارتباطات امن میان‌سازمانی)
💡 خلاصه مشخصات چارچوب پاسخ‌گویی و الزامات امنیتی فتا
- مرجع ابلاغ‌کننده: پلیس فضای تولید و تبادل اطلاعات (فتا) فراجا
- پایه‌های قانونی: سند نظام ملی پیشگیری و مقابله با حوادث فضای مجازی (مصوب ۱۳۹۶)
- سطوح حوادث: عادی (۲۴ ساعت)، قابل‌توجه (۱۲ ساعت)، مهم (۶ ساعت)، حساس (۳ ساعت)، بحرانی (۱ ساعت)
- تعداد کسب‌وکارهای سطح الف: ۱۳۰ شرکت بزرگ (با سهم ۹۱ درصدی تهران بزرگ)
- بسترهای ارتباطی الزام‌شده: سیستم‌های مدیریت بحران رسانه‌ای، ایمیل سازمانی، کنفرانس‌های خبری و ارتباط مستقیم با نهادهای رگولاتوری
ارزیابی نهایی نشان می‌دهد که داشتن یک چارچوب زمان‌بندی‌شده، اگرچه مسئولیت سنگینی بر دوش تیم‌های فنی و مدیران ارشد می‌گذارد، اما گامی مثبت به سوی استانداردسازی پاسخ به بحران و پاسخ‌گویی در نظام دیجیتال کشور محسوب می‌شود.
