سایه جنگ ایران بر زیرساخت‌های حیاتی جهان؛ نبرد در میدان سایبری

گزارش‌های رسانه‌ای درباره حمله سایبری که یک نیروگاه برق بریتانیا را به مدت چهار روز از مدار خارج کرد، باید فراتر از مرز‌های بریتانیا جدی گرفته شود. این رخداد به ما نشان می‌دهد که درگیری ایران چگونه می‌تواند توسعه یابد و به دولت‌ها و کسب‌وکار‌های سراسر جهان هشدار می‌دهد که باید برای یک میدان جنگ جدید آماده باشند.

تأسیساتی که گفته می‌شود توسط هکر‌های مرتبط با ایران هدف قرار گرفته، نسبتاً کوچک بوده و دولت بریتانیا تأکید کرده است که هیچ خطری برای سیستم کلی انرژی وجود نداشته است. این یک زمینه مهم است، اما قضاوت درباره اهمیت این حمله صرفاً بر اساس میزان برق ازدست‌رفته، اشتباه خواهد بود. پرسش برای هر کشوری که زیرساخت حیاتی را اداره می‌کند، این است که وقتی هدف بزرگ‌تر باشد چه اتفاقی می‌افتد؟

ما پیش‌تر دلایلی برای نگرانی در جا‌های دیگر نیز دیده‌ایم. سیستم‌های آب و فاضلاب در دست‌کم ۱۲ ایالت ایالات متحده اخیراً گزارش‌هایی از حملات سایبری داشته‌اند. تنها در ایالت مینه‌سوتا، بیش از ۳۰ سیستم آب‌رسانی عمومی تحت تأثیر قرار گرفته‌اند. در جورجیا، یک حادثه باعث افت فشار آب شد و به صدور توصیه جوشاندن آب منجر گشت.

دولت ایالات متحده هنوز به‌طور علنی ایران را به این حملات متهم نکرده است، اما گزارش‌ها به یک گروه هکری مرتبط با سپاه پاسداران انقلاب اسلامی اشاره دارند. این حوادث نشان‌دهنده یک تغییر مهم در امنیت سایبری است.

سال‌ها، بخش عمده‌ای از گفت‌وگوی عمومی پیرامون تهدیدات سایبری بر «داده‌ها» متمرکز بود. مردم درک کرده بودند که هکر‌ها می‌توانند گذرواژه‌ها را سرقت کنند، حساب‌های بانکی را خالی کنند، اطلاعات شخصی را فاش کنند یا دسترسی یک شرکت به سیستم رایانه‌ای‌اش را مسدود کنند. زیرساخت‌های حیاتی ریسک بسیار متفاوتی ایجاد می‌کنند، زیرا سیستم‌هایی که مورد حمله قرار می‌گیرند، بخش‌هایی از دنیای فیزیکی را کنترل می‌کنند.

برای عملکرد جوامع، برق باید تولید و توزیع شود، آب باید پمپاژ و تصفیه گردد، شبکه‌های حمل‌ونقل باید فعال باشند و مخابرات باید آنلاین بمانند. به‌طور فزاینده‌ای، فناوری در زیر لایه همه این سیستم‌ها قرار دارد.

این فناوری کارایی‌های عظیمی ایجاد می‌کند، اما فرصت‌هایی نیز برای مهاجمان فراهم می‌آورد. در ایالات متحده، مقامات به‌طور مشخص درباره بازیگران وابسته به ایران هشدار داده‌اند که «کنترل‌کننده‌های منطقی قابل‌برنامه‌ریزی» متصل به اینترنت را هدف قرار می‌دهند؛ فناوری صنعتی که برای کنترل تجهیزات و فرآیند‌های فیزیکی استفاده می‌شود. آژانس‌های آمریکایی فعالیت‌هایی را در حوزه‌های آب، انرژی و خدمات دولتی شناسایی کرده‌اند، از جمله تلاش‌هایی که منجر به اختلال عملیاتی شده است.

این بخشی از درگیری ایران است که کشور‌هایی بسیار فراتر از خاورمیانه باید آن را در نظر بگیرند. جغرافیا در جنگ سایبری محافظت بسیار کمتری ارائه می‌دهد.

یک سازمان نیازی ندارد در تهران یا تل‌آویو باشد تا خود را درگیر درگیری ببیند. زیرساختی که هزاران مایل دورتر قرار دارد، می‌تواند به دلیل کشوری که در آن فعالیت می‌کند، فناوری مورد استفاده، تامین‌کنندگان آن، یا صرفاً به این دلیل که مهاجم فرصتی برای ایجاد اختلال می‌بیند، به هدف تبدیل شود.

ما همچنین باید مراقب باشیم که تصور نکنیم هدف هر حمله، آسیب فاجعه‌بار است. یک مهاجم ممکن است به دنبال اطلاعات، اختلال، تبلیغات یا اهرم فشار باشد. آنها ممکن است صرفاً بخواهند نشان دهند که می‌توانند نفوذ کنند.

این موضوع حوادث کوچک‌تر را نیز مهم می‌سازد. اگر یک مهاجم به تاسیسات نسبتاً کوچکی نفوذ کند، پیامد‌های فوری ممکن است محدود باشد، اما خودِ دسترسی می‌تواند چیز‌هایی درباره توانایی و قصد به ما بگوید.

مشکل دیگری وجود دارد که دولت‌ها نمی‌توانند از نادیده گرفتن آن صرف‌نظر کنند: زیرساخت‌های حیاتی در انزوای کامل عمل نمی‌کنند.

انرژی از مخابرات، حمل‌ونقل، مراقبت‌های بهداشتی، مالی و صنعت پشتیبانی می‌کند. مخابرات زیربنای پرداخت‌ها و خدمات اضطراری است. سیستم‌های آب به برق و کنترل‌های دیجیتال نیاز دارند. یک حمله موفق لزوماً نیازی ندارد که کل یک سیستم ملی را از کار بیندازد تا پیامد‌های جدی ایجاد کند؛ اگر اختلال شروع به گسترش در سازمان‌هایی کند که به یکدیگر وابسته هستند، این کافی است.

به همین دلیل است که «تاب‌آوری» اکنون به اندازه «دفاع» اهمیت دارد.

وسوسه خطرناکی در امنیت سایبری وجود دارد که استراتژی‌ها را پیرامون جلوگیری از ورود مهاجمان بسازیم. پیشگیری همچنان ضروری است، اما هیچ دولت یا شرکتی نمی‌تواند عاقلانه با این فرض کار کند که از هر حمله‌ای جلوگیری خواهد شد.

اپراتور‌ها باید بدانند پس از اینکه کسی نفوذ کرد، چه اتفاقی می‌افتد. آیا خدمات ضروری می‌توانند ادامه یابند؟ آیا سیستم‌ها می‌توانند ایزوله شوند؟ آیا در صورت لزوم کنترل‌های دستی در دسترس هستند؟ عملیات با چه سرعتی قابل بازیابی است؟ آیا سازمان‌ها می‌دانند به کدام تامین‌کنندگان و سیستم‌های متصل وابسته‌اند؟

اف‌بی‌آی (FBI) از پیش به شرکت‌های آب‌رسانی آسیب‌دیده در ایالات متحده توصیه کرده است تمرین کنند که اگر سیستم‌های خودکار مختل شدند، چگونه به کنترل‌های دستی بازگردند. این یک توصیه روشنگرانه است، زیرا واقعیت پیش روی اپراتور‌های زیرساخت‌های حیاتی را به رسمیت می‌شناسد: تاب‌آوری در برابر حملات سایبری در نهایت باید شامل توانایی حفظ کارکرد دنیای فیزیکی در زمان شکست فناوری باشد.

دولت‌ها و اپراتور‌ها باید اکنون در معرض دید بودن خود را بازنگری کنند، به‌ویژه در جا‌هایی که فناوری عملیاتی از طریق اینترنت قابل‌دسترسی است؛ آنها باید امنیت تامین‌کنندگان را بررسی کنند و برای این احتمال آماده باشند که یک مهاجم علی‌رغم دفاع‌ها موفق شود.

درس ناخوشایند چند هفته اخیر این است که امنیت سایبری در حال تبدیل شدن به چیزی بسیار فراتر از حفاظت از اطلاعات است. هنگامی که حملات سایبری می‌توانند در برق و آب اختلال ایجاد کنند، امنیت سایبری به بخشی از حفاظت از سیستم‌های حیاتی تبدیل می‌شود که تضمین می‌کنند جوامع به کارکرد خود ادامه دهند.

ما باید اکنون بر این اساس آماده شویم، زیرا کشف نقاط ضعف زیرساخت‌های حیاتی در جریان یک حمله جدی، بسیار دیر خواهد بود.