رصد آموزش امنیت سایبری به یک کارگروه دایمی نیاز دارد/ اگر حوزه سایبر متخصص باشد، امنیت سایبری فوق تخصص است!

خبرگزاری علم و فناوری ساینس بلاگ؛ با پیشرفت تکنولوژی، روی کارآمدن فناوری های نوین و توسعه فضای مجازی 5 میلیارد گوشی هوشمند در دنیا مورد استفاده قرار می گیرد، مسیله ای که لزوم توجه به امنیت سایبری را به خوبی مشخص می کند. به طوری که سرمایه گذاری در کسب و کارهای دیجیتال از سرمایه گذاری در امنیت سایبری پیشی گرفته و این یک چالش بزرگ و مهم تلقی می شود. کمبود نیروی کار در حوزه امنیت سایبری هم مشکل دیگری است که روزبه روز بیشتر خود را نشان می دهد، به طوری که سال 2022 در مقایسه با سال قبل این شکاف 26.2 درصد افزایش داشته است.

بنابراین با توجه به اهمیت بحث امنیت سایبری باید با ظرفیت سازی و تربیت نیروی انسانی این کمبود را رفع کنیم و در مسیر نیل به اهداف و رفع نیازها، محصولات این حوزه را به مرحله بومی سازی برسانیم. در این راستا با «محمدحسام تدین»، عضو هییت علمی و معاون پژوهشکده امنیت ارتباطات و فناوری اطلاعات به گفت وگو پرداخته ایم که در ادامه از نظر می گذرانید.

ساینس بلاگ: در تدوین نقشه راه ملی امنیت سایبری کجای کار قرار داریم؟

تدین: ما سندهای متعددی را در حوزه امنیت سایبری تدوین کرده ایم. سال 1389 سند افتا به عنوان نخستین سند در زمینه امنیت فناوری اطلاعات و تبادل ارتباطات شکل گرفت و ذی نفعان مختلفی را برای امن سازی فضای سایبری کشور مشخص کرد و برای هرکدام شرح وظایفی را در نظر گرفته است.

بعد از آن هم با توجه به صحبت هایی که راجع به شبکه ملی اطلاعات و سایر موضوعات شد، سندهای مختلفی در زمینه امن سازی شبکه ملی اطلاعات یا پدافند سایبری کشور توسط سازمان پدافند غیرعامل و سایر متولیان در بحث امنیت کشور، مطرح شده و اخیرا هم سند راهبردی جمهوری اسلامی در فضای مجازی منتشر شده است که بحث سایبر و امنیت سایبری را به صورت توام مدنظر قرار داده است.

ظرفیت سازی و تربیت نیروی انسانی در دستورکار وزارتخانه ها

ساینس بلاگ: پس در حوزه امنیت سایبری سند زیاد داریم اما در بحث اجرای این سند ها چطور پیش می رویم؟

تدین: در برخی سندها وزارت ارتباطات و فناوری اطلاعات متولی ظرفیت سازی است و وقتی این سندها به وزارت ارتباطات ابلاغ می شود در اختیار وزارتخانه قرار می گیرد و کارگروه هایی تشکیل می شود تا اقدامات لازم در راستای تحقق اقدامات مورد درخواست انجام شود.

در بحث امنیت نیز به طور جدی کارگروه هایی تشکیل شده و نزدیک به 10عنوان پروژه هم تعریف شده است و روی این حوزه به دلیل اهمیتی که دارد توانسته ایم به خوبی ورود کنیم و اهدافی که برنامه ریزی شده را محقق کنیم. البته تعداد اسناد کشور زیاد نیست ولی از متولیان مختلف ابلاغ می شود و برای انجام بهتر کار نیاز به هماهنگی دارند که از دوباره کاری و هدر رفت سرمایه ها جلوگیری شود.

عموما نکته مهم مغفول مانده در اسناد این است که باید درخت ارتباطی سندهای تهیه شده با سایر سندهای ملی مشخص شود. شجره نامه سندهای ما تا حد زیادی مشخص نیست. در ابتدای سندهایی که می نویسیم باید اشاره شود که چه سندهای مرتبط دیگری در کشور در این زمینه وجود دارد.

همچنین مشخص شود چه کسانی سند را تدوین کرده اند و از یک پیشگفتار خوب برای روشن سازی اهداف تدوین سند بهره مند باشند. ما وقتی سند راهبردی می نویسیم بخشی از آن مطالعه اسنادی است که در قبل داشته ایم ولی در سندی که منتشر می شود این مطالعات ذکر نمی شود و یا دسترسی آسانی به مطالعات پیش زمینه ای آن ها وجود ندارد. زیرا این موارد سرنخ هایی می شوند برای اینکه ما چه اقداماتی را در دستور کار داریم و مشخص می کند چرا ما به دنبال انتشار سند جدید بوده ایم.

متخصصان امنیت سایبری برطرف کننده نیاز بخش خصوصی نیستند

ساینس بلاگ: وجود این اسناد چه ضرورتی دارد؟

تدین: در اسناد بالادستی که از طرف شورای عالی فضای مجازی ارایه شده است، بحث ظرفیت سازی و تربیت نیروی انسانی در دستورکار وزارت ارتباطات، وزارت علوم، کار و تعاون و … قرار گرفته است که باید برنامه ای در حوزه سایبر داشته باشند. این موضوع ما را در وزارت ارتباطات به این سمت برد که پروژه ای تعریف کنیم و یک برنامه راهبردی داشته باشیم تا شرح وظایف متولیان مشخص شود.

ما متولیان زیادی را در بحث آموزش کشور داریم، ولی وقتی وارد میدان عمل می شویم نیروهای تربیت شده از نظر کیفیت و کمیت نیازهای بخش خصوصی و حتی دولتی را به صورت کامل مرتفع نمی کنند، در ریشه یابی که انجام دادیم، متوجه شدیم که ارتباط میان نهادهای متولی آموزش جزیره ای است، یعنی از نیاز هم مطلع نیستند و تصمیم گیری ها برای تربیت نیروی انسانی و رشته های مختلف عموما مبتنی بر نیاز بازار و رشد سریع فناوری نیست . همچنین در امر آموزش یک حلقه مفقوده به نام نیروی انسانی ماهر وجود دارد که راه حل جامعی برای آن نداریم.

دانشگاه های ما بیشتر دانش محور هستند و این فقدان مهارت، موجب شده نیروی فارغ التحصیل وقتی وارد بازار کار می شود نتواند خود را نشان دهد و انتظارات بخش کار را برآورده کند، بنابراین سرخورده می شود. البته این موضوعی نیست که فقط در کشور ما باشد.

متولیان زیادی در بحث آموزش کشور داریم ولی بخش خصوصی خروجی ها را برطرف کننده نیاز خود نمی داند

در آمریکا هم در سال 2008 بخش خصوصی، حاکمیتی و بخش دانشگاهی و همچنین افرادی که می خواستند وارد بازار کار شوند، دچار این مشکل بودند که نیاز همدیگر را درک نمی کردند.

آمریکایی ها یک برنامه ای را آماده کردند با عنوان «ان آی سی ای» (NICE) و با یک طرح ملی سعی کردند پاسخگوی این موضوع باشند. یک برنامه راهبردی بلندمدت که ذی نفعان متعدد را دور خود جمع کرده و بخش آموزش و دانشگاهی موظف شدند که منطبق بر استانداردهایی شروع به آموزش کنند که در آن 52 عنوان شغل امنیت سایبری تعریف شده است.

این 52 عنوان شغل هر کدام مشخص است که چه نوع دانش، مهارت و توانایی را لازم دارند. این استاندارد و چارچوب به زیست بوم آموزشی کمک کرد که بداند چه آموزشی ارایه شود، آموزش گیرنده چه آموزشی باید ببنید و بخش متقاضی بداند به چه تخصص هایی نیازمند است. ضمن اینکه سه ضلع دانش آموز، معلم و والدین را در یک برنامه راهبردی ملی تحت برنامه های آموزش سایبری و امنیت سایبری و آشنایی با این نوع مشاغل قرار دادند.

ایجاد یک کارگروه دایمی برای رصد آموزش امنیت سایبری

ساینس بلاگ: در ایران برای بومی سازی امنیت سایبری چه اقداماتی لازم است؟

تدین: در پژوهشگاه ارتباطات و فناوری اطلاعات سندی تببین کردیم و انتظار داریم از طرف نهادهای بالادستی تایید شود. در این سند بر اساس تجربیات جهانی، همه ذی نفعان کلیدی را شناسایی کردیم. ما نزدیک به 60 ذی نفع آموزشی در کشور شناسایی کردیم و با تهیه پرسشنامه ها و جلسات خبرگی خودمان را به 21 ذی نفع آموزشی اصلی رساندیم که نقش کلیدی از نظر قدرت و منفعت در آموزش سایبری و امنیت سایبری دارند.

این ذی نفعان شامل آموزش و پرورش، وزارت علوم، وزارت بهداشت، جهاد کشاورزی، پدافند غیرعامل، وزارت ارتباطات و … هستند. در این راستا برنامه ای در نظر گرفته ایم تا بتوانیم کارگروه دایمی ملی برای رصد آموزش امنیت سایبری و سایبری در کشور داشته باشیم.

بعد از اینکه آمریکایی ها در حوزه آموزش امنیت سایبر یک سند ملی ارایه کردند و موفقیت های شایانی به دست آوردند،  در سال 2023 سند راهبری را ارایه کرده اند که باید آموزش سایبری را مطابق الگوی موفق آموزش امنیت سایبری اجرایی کنیم. از این رو در جلسه با خبرگان و برای کاهش هزینه ها به این نتیجه رسیدیم که ما هم بحث آموزش امنیت سایبری و سایبری را توام باهم در نظر بگیریم.

آموزش سایبری باید مادام العمر باشد

ساینس بلاگ: از جهاد کشاورزی نام بردید، این حوزه چه ارتباطی به امنیت سایبری دارد؟

تدین: وقتی کشاورزی نوین شده و مهندس کشاورزی گلخانه ای مکانیزه ایجاد می کند که مشتمل بر اینترنت اشیا است از دماسنج، حرارت و سیستم های مکانیزه آبیاری و… وصل می شود. اگر هک شود و مورد حمله قرار گیرد یا یکی از تنظیمات دمایی تغییر کند ضرر زیادی متحمل می شود و محصولاتش مورد خطر قرار می گیرد و شاید سرمایه اش از بین برود.

در جهان امروز هر فردی که با اینترنت کار می کند باید آموزش امنیت سایبری را ببیند. وزارت علوم باید در این باره فکری بکند. جهاد کشاورزی بخشی به نام ترویج کشاورزی دارد. وقتی کشاورز زمین را به صورت مکانیزه وهوشمند  آبیاری می کند، پهپاد زمین را سمپاشی یا کودپاشی می کند و با اینترنت به تجهیزات هواشناسی وصل می شود و برای محصولات خود بازاریابی اینترنتی انجام می دهد. پس کشاورز ما هم نیاز به آموزش دارد و باید کار با اینترنت را بلد باشد. وارد هر مقوله کسب و کاری هم که بشویم می بینیم دنیای آینده نیاز به آموزش امنیت سایبری و سایبری دارد.

دنیا به سمت سه سواد بنیادی در حرکت است؛ سواد دیجیتالی، سواد محاسباتی و پایداری دیجیتالی. سواد دیجیتالی می گوید هر فرد باید بتواند از مجاری مختلفی همچون اینترنت، شبکه های اجتماعی، تصویری، صوتی، پادکست و… اطلاعات دریافت کند. سواد محاسباتی یعنی اطلاعاتی که دریافت می کند را تجزیه و تحلیل کند و به نفع خودش بهره برداری کند و نیاز خود را برطرف کند. پایداری دیجیتالی باید خودش را با فناوری نوینی که می آید هماهنگ کند و از آن استفاده کند.

فناوری سرعت شتابانی گرفته است. خودروهای خودران آمده اند و افراد کهنسال باید از آن ها استفاده کنند ولی نمی توانند خودشان را با این فناوری های نوین منطبق کنند و می ترسند. آموزش بسیار مهم است. اساتید آموزش معتقد هستند که آموزش سایبری باید مادام العمر باشد، هرلحظه که دیر ورود کنیم بازی را باخته ایم و دچار مشکل می شویم.

ساینس بلاگ: برخی معتقد هستند که اینترنت اشیا حریم خصوصی را از بین می برد، نظر شما چیست؟

در این سند علاقه مند هستیم، به طور جدی در امر آموزش ورود کنیم و آموزش و پرورش برای این کار بهترین است چرا که هم والدین درگیر موضوع هستند، هم دانش آموز و  هم معلم. با آموزش مناسب جلوی خیلی از تهدیدات گرفته می شود. اینترنت اشیا فارغ از فضای سایبر نیست و باید در فضای سایبر به آن نگاه کرد، چون در حال فراگیری است باید زودتر به آن رسیدگی کنیم.

اگر حوزه سایبر تخصص باشد، امنیت سایبری فوق تخصص است!

ساینس بلاگ: سند«ظرفیت سازی نیروی انسانی مورد نیاز تحول و پیشرفت فضای مجازی و سایبری کشور»  در چه مرحله ای قرار دارد؟

تدین: سند «ظرفیت سازی نیروی انسانی مورد نیاز تحول و پیشرفت فضای مجازی و سایبری کشور» آماده شده و برای وزارت ارتباطات و فناوری اطلاعات ارسال شده است. این وزارت اقدامات اولیه را انجام می دهد و برای شورای عالی فضای مجازی و مرکز عالی فضای مجازی ارسال می کند تا بررسی های لازم صورت گیرد.

اکنون در امر آموزش ارتباطات بین ذی نفعان هماهنگ و کامل نیست، باید نهادها همانند نخ تسبیح به هم وصل شوند تا هم گرایی برای رفع نیازهای کشور ایجاد شود. چون سایبر بحثی جهانی است، دانش هم باید جهانی و به روز باشد. اگر حوزه سایبر تخصص باشد، حوزه امنیت باید فوق تخصص است. در فوق تخصص شما باید دایما به روز باشید و بدانید آخرین تهدیدات و حملات چیست؟ تا بتوانید جلوی آن را بگیرید. پس یک حوزه دانشی است که بسیار با بحث های دانش جهانی ارتباط دارد و در داخل کشور باید مجموعه ها خودشان را با فضای پر تحول کنونی منطبق کنند.

لزوم ایجاد یک سامانه برای متولیان آموزش امنیت سایبری

ساینس بلاگ: برای تحقق این سند باید چه اقداماتی را انجام دهید؟

تدین: همه متولیان آموزش باید یک سامانه برای خودشان داشته باشند که نیازسنجی ها را انجام بدهند و همچنین تمام مسایل مرتبط با بحث آموزش سایبری و امنیت سایبری را در حوزه قلمرو خودشان جمع آوری کنند و بعد با نهاد بالادستی و کارگروه ملی به اشتراک بگذارند تا نهاد حاکمیتی بالا تصمیم گیری درستی داشته باشد.

این ارتباط هم اکنون وجود ندارد و برای ما مشکل ایجاد کرده است. ما باید بدانیم وزارت علوم چند متخصص سایبری و امنیت سایبری تربیت می کند. از طرفی باید بدانیم در وزارت کار چقدر نیرو به کارگیری شده، چقدر در داخل کشور مانده و چقدر خارج شده است و نیازهای کنونی کشور چه هستند. نظام صنفی رایانه ای ما باید ارتباط تنگاتنگی با متولیان آموزش داشته باشد تا همه بتوانند برای رفع نیاز مردم و بخش خصوصی در تامین نیرو همکاری کنند.

همه متولیان آموزش باید یک سامانه داشته باشند و مسایل مرتبط با آموزش امنیت سایبری را جمع آوری کنند تا نهادهای حاکمیتی تصمیم گیری درستی داشته باشد

موضوع دیگری که در این سند مدنظر بوده است، بحث آموزش های مهارتی، گواهی نامه ها و کیفیت است. کیفیت ها پایین است و اشکالی که وجود  دارد این است که مدرس وقتی وارد بخش دولتی برای آموزش سایبری و امنیت سایبری می شود با بی علاقگی مخاطب مواجه می شود و این جدیت و کیفیت آموزش را از بین می برد.

از طرفی دیگر کارکنان با یک آزمون جدی مواجه نمی شوند که تست و ارزیابی شوند. به نظر می رسد سازمان سنجش می تواند انتخاب مناسبی برای این امر باشد. امیدوارم این سند بتواند به مقصود خود برسد و برای کشور سبب خیر شود.

سند ظرفیت سازی و تربیت نیروی انسانی با کارگروه مستمری پیش برود

ساینس بلاگ: فکر می کنید این سند اجرایی می شود؟

تدین: از نظر ضمانت اجرایی ما یک کارگروه تعیین کردیم که در مرکز ملی فضای مجازی مستقر است. ذی نفعان به صورت دایمی و متوالی کرسی دارند و داشبوردی هم باید در مرکز ملی فضای مجازی برای آموزش آن ها باشد.

مرکز ملی  فضای مجازی باید مطلع باشد که چه نیرویی تربیت شده و در داخل کشور وجود دارد. توزیع به چه صورت است و نیازهای کشور چه هستند و در چه زمینه هایی سرمایه گذاری شده است.

اگر موضوع آموزش و ظرفیت سازی را به صورت مداوم رصد نکنیم، اهداف این سند به مقصود نمی رسند. حتما باید موضوع دنباله دار باشد و توسط کارگروه مستمری پیش برود. این 20 ذی نفع باید سامانه ای داشته باشند و در مرکز ملی اطلاعات به اشتراک بگذارند و اشراف روی بحث آموزش امنیت سایبری و سایبر باشد.