در سالهای اخیر، تهدیدهای سایبری بیش از هر زمان دیگری ماهیتی شبکهای پیدا کردهاند. یک حمله موفق به یک سازمان مالی، اپراتور مخابراتی یا شرکت انرژی اغلب محدود به همان سازمان باقی نمیماند و میتواند بهسرعت به سایر بازیگران همان صنعت نیز سرایت کند. همین واقعیت باعث شده است که در بسیاری از کشورها، سازمانها به این جمعبندی برسند که دفاع سایبری دیگر صرفاً یک مسئولیت فردی نیست، بلکه نیازمند سازوکارهای همکاری و اشتراک اطلاعات در سطح صنعت است. یکی از مهمترین ابزارهایی که برای پاسخ به این نیاز شکل گرفته، مراکز «اشتراک و تحلیل اطلاعات» یا همان ISACها هستند.
به گزارش پایگاه خبری بانکداری الکترونیک،در تجربههای جهانی ISACها بهعنوان بستری برای گردآوری، تحلیل و توزیع اطلاعات تهدید میان اعضای یک صنعت عمل میکنند. این مراکز به سازمانها کمک میکنند تا نشانههای اولیه حملات را سریعتر شناسایی کنند، از تجربیات یکدیگر بیاموزند و در برابر تهدیدهایی که ماهیت مشترک دارند واکنشی هماهنگتر داشته باشند. با این حال، پرسش مهمی که برای بسیاری از اکوسیستمها مطرح میشود این است که چنین سازوکاری چگونه میتواند بهصورت عملی شکل بگیرد.
مسیر جمع آوری دادههای تهدید پراکنده را از اعضای مختلف در ISAC
نمای مفهومی از نقش ISAC در تبدیل دادههای تهدید پراکنده به هوش امنیتی قابلاقدام برای دفاع جمعی در صنعت پرداخت
چرا ISACها معمولاً بهصورت بخشی شکل میگیرند؟
مرور تجربه کشورهای مختلف نشان میدهد که ISACها اغلب نه در سطح کل اقتصاد، بلکه در سطح صنایع مشخص شکل گرفتهاند. برای مثال، بخش مالی، انرژی، سلامت و حملونقل در بسیاری از کشورها دارای ISACهای اختصاصی هستند. دلیل این رویکرد ساده است: سازمانهای فعال در یک صنعت با تهدیدهای مشابهی روبهرو هستند، زیرساختهای فنی نزدیکتری دارند و مهمتر از همه، سطحی از اعتماد حرفهای میان آنها وجود دارد که اشتراک اطلاعات حساس را ممکن میکند.
در نتیجه، راهاندازی یک ISAC بخشی معمولاً با گرد هم آمدن بازیگران کلیدی یک صنعت آغاز میشود؛ سازمانهایی که درک مشترکی از ریسکهای سایبری دارند و میدانند که همکاری در این حوزه میتواند سطح تابآوری کل اکوسیستم را افزایش دهد.
مرحله نخست: ایجاد اجماع میان بازیگران صنعت
نخستین گام برای شکلگیری یک ISAC، ایجاد یک هسته اولیه از سازمانهای پیشرو است. این هسته میتواند شامل بانکها، شرکتهای پرداخت، اپراتورهای زیرساختی یا سایر بازیگران کلیدی یک صنعت باشد. در این مرحله، هدف اصلی نه ایجاد یک زیرساخت فنی، بلکه شکلدادن به یک فهم مشترک از مسئله است: اینکه اشتراک اطلاعات تهدید میتواند به نفع همه اعضا باشد.
اغلب ISACهای موفق جهان از دل کارگروههای غیررسمی امنیت سایبری شکل گرفتهاند؛ گروههایی که در ابتدا با جلسات منظم، تبادل تجربیات و گفتوگو درباره تهدیدهای جاری آغاز کردهاند و بهتدریج به ساختارهای رسمیتر تبدیل شدهاند.
مرحله دوم: ایجاد چارچوب اعتماد
اگر یک عامل تعیینکننده در موفقیت یا شکست ISACها وجود داشته باشد، آن عامل «اعتماد» است. سازمانها تنها زمانی حاضر میشوند اطلاعات مرتبط با رخدادهای امنیتی یا نشانههای حمله را به اشتراک بگذارند که اطمینان داشته باشند این اطلاعات بهدرستی مدیریت خواهد شد.
به همین دلیل، بسیاری از ISACها از ابتدا چارچوبهای مشخصی برای مدیریت محرمانگی اطلاعات تعریف میکنند. توافقنامههای محرمانگی میان اعضا (NDA)، استفاده از مدلهای طبقهبندی اطلاعات مانند Traffic Light Protocol (TLP) و تعریف سیاستهای روشن برای نحوه استفاده و انتشار دادهها از جمله ابزارهایی هستند که به شکلگیری این اعتماد کمک میکنند.
بدون چنین چارچوبهایی، حتی پیشرفتهترین زیرساختهای فنی نیز نمیتوانند یک سازوکار اشتراک اطلاعات پایدار ایجاد کنند.
مرحله سوم: ایجاد زیرساخت فنی برای اشتراک اطلاعات تهدید
پس از شکلگیری اعتماد اولیه، نوبت به ایجاد زیرساختهای فنی میرسد. در بسیاری از ISACهای جهان، یک پلتفرم مدیریت اطلاعات تهدید (Threat Intelligence Platform) بهعنوان هسته اصلی تبادل دادهها مورد استفاده قرار میگیرد. ابزارهایی مانند MISP یا سایر سامانههای مشابه امکان ثبت، تحلیل و اشتراک شاخصهای نفوذ (IOC)، الگوهای حمله و دادههای مرتبط با تهدیدها را فراهم میکنند.
در کنار این پلتفرمها، استفاده از استانداردهای تبادل اطلاعات مانند STIX و TAXII نیز به سازمانها کمک میکند تا دادههای تهدید را بهصورت ساختاریافته و قابلاستفاده در سامانههای امنیتی خود دریافت کنند. در عمل، این اطلاعات میتواند مستقیماً در سامانههای SOC، SIEM یا سایر ابزارهای دفاعی اعضا مورد استفاده قرار گیرد و زمان تشخیص حملات را کاهش دهد.
معماری ISAC در صنعت پرداخت
نمای مفهومی از معماری یک ISAC در اکوسیستم پرداخت الکترونیک و نحوه اتصال آن به مراکز عملیات امنیت اعضا
مرحله چهارم: حرکت از اشتراک داده به همکاری عملیاتی
با وجود اهمیت زیرساختهای فنی، یک ISAC موفق تنها به تبادل شاخصهای نفوذ محدود نمیشود. ارزش واقعی این مراکز زمانی آشکار میشود که اعضا از مرحله اشتراک داده عبور کرده و به همکاریهای عملیاتی برسند.
این همکاری میتواند شامل تحلیل مشترک کمپینهای حمله، انتشار هشدارهای سریع درباره تهدیدهای نوظهور، بررسی نمونههای بدافزار و حتی اجرای تمرینهای مشترک امنیت سایبری باشد. در چنین شرایطی، ISAC به یک «مرکز هماهنگی دفاع سایبری» در سطح صنعت تبدیل میشود؛ جایی که تجربهها و دادههای پراکنده به دانش عملیاتی مشترک تبدیل میشوند.
اگر تجربه ISACهای مختلف در جهان را کنار هم قرار دهیم، میتوان به نوعی یک الگوی مفهومی در نحوه بلوغ آنها اشاره کرد. در این برداشت مفهومی، ISACهای موفق معمولاً بر سه لایه شکل میگیرند: لایه اعتماد، لایه تبادل اطلاعات و لایه عملیات مشترک. در لایه نخست، چارچوبهای حقوقی و حرفهای شکل میگیرد که به اعضا اطمینان میدهد اطلاعات حساس آنها بهدرستی مدیریت خواهد شد. بر بستر این اعتماد، لایه دوم یعنی تبادل ساختاریافته دادههای تهدید شکل میگیرد؛ جایی که شاخصهای نفوذ، هشدارها و الگوهای حمله میان اعضا به اشتراک گذاشته میشود. اما در نهایت، آنچه یک ISAC را به یک سازوکار مؤثر دفاع سایبری تبدیل میکند لایه سوم است؛ سطحی که در آن سازمانها فراتر از تبادل داده، در تحلیل و پاسخ به تهدیدها نیز با یکدیگر همکاری میکنند.
مدل حکمرانی و پایداری ISAC
یکی دیگر از تصمیمهای مهم در طراحی ISAC، مدل حکمرانی آن است. در بسیاری از کشورها، این مراکز بهصورت کنسرسیومهای صنعتی اداره میشوند؛ یعنی سازمانهای عضو بهطور مشترک در مدیریت و تامین مالی آن مشارکت دارند. در برخی موارد نیز نهادهای دولتی نقش تسهیلگر را ایفا میکنند و زیرساختهای اولیه را فراهم میکنند، در حالی که مدیریت عملیاتی در اختیار بخش خصوصی باقی میماند.
مدل عضویت، نحوه تامین مالی، ساختار تصمیمگیری و سطح دسترسی اعضا به اطلاعات از جمله موضوعاتی هستند که باید در این مرحله بهطور شفاف تعریف شوند.
چگونه میتوان موفقیت یک ISAC را سنجید؟
برای آنکه یک ISAC به یک گروه گفتوگوی غیررسمی یا یک کانال پیامرسان ساده تبدیل نشود، لازم است شاخصهایی برای سنجش عملکرد آن تعریف شود. سرعت انتشار هشدارهای امنیتی، تعداد شاخصهای نفوذ قابل استفاده برای اعضا، میزان مشارکت فعال سازمانها و کاهش زمان تشخیص حملات از جمله معیارهایی هستند که میتوانند نشان دهند یک ISAC تا چه اندازه در افزایش تابآوری سایبری یک صنعت موثر بوده است.
جمعبندی
در نهایت، تجربههای جهانی نشان میدهد که ISACها بیش از آنکه یک پروژه فناوری باشند، یک سازوکار همکاری و اعتماد در میان سازمانهای یک صنعت هستند. فناوری میتواند ابزار لازم برای تبادل داده را فراهم کند، اما آنچه این سازوکار را پایدار و موثر میکند، شکلگیری یک فرهنگ همکاری در مواجهه با تهدیدهای مشترک است. در دنیایی که حملات سایبری بهطور فزایندهای سازمانیافته و فرامرزی شدهاند، چنین همکاریهایی میتواند یکی از مهمترین عوامل افزایش تابآوری سایبری در سطح یک صنعت و حتی یک کشور باشد.
نظر شما چیست؟