استانداردهای سنی پانزده‌گانه انگلیس برای اینترنت کودکان

با آغاز اجرای طرح قوانین منطبق سازی اینترنت برای کودکان در انگلیس، بسیاری از پلتفرم‌های حاضر در بازار این کشور ملزم به ایجاد تغییراتی اساسی در نحوه تعامل خود با کاربران کودک شدند.
 
 مدت کوتاهی از اجرای طرح قوانین منطبق سازی اینترنت برای کودکان در انگلیس آغاز شده است. بر همین اساس، بسیاری از پلتفرم‌ها و شرکت‌های فناوری حاضر در بازار این کشور، ملزم به ایجاد تغییراتی اساسی در نحوه تعامل خود با کاربران کودک هستند. در این نوشتار کوتاه به بررسی این قوانین و لزوم وجود چنین تدابیری از سوی دولت در راستای محافظت از کودکان، خواهیم پرداخت.
 
اجرای قانون یاد شده، از تاریخ ۲ دسامبر سال ۲۰۲۰ به اجرا در آمد. طراحان و متخصصان مسئول، هدف اصلی این قانون را حفظ حداکثری امنیت آنلاین و حفاظت از حریم خصوصی کاربران کودک اعلام کرده‌اند. حال پس از گذشت یک دوره گذار ۱۲ ماهه از تاریخ یاد شده، این طرح، به جریان افتاده است. به عبارت دیگر، کلیه پلتفرم‌ها، اعم از رسانه‌های اجتماعی، پلتفرم‌های پخش موسیقی و ویدئو، سرویس‌های استریم و …، تا تاریخ یاد شده موظف به انطباق سیستم خود با قانون جدید هستند. حال پس از گذشت یک سال فرصت برای آماده سازی و تحول در سازوکارها، طرح یاد شده اجرا شده و بسیاری از پلتفرم‌ها نیز شرایط کار جدید خود در این کشور را پذیرفته‌اند.
 
به طور کلی، موضوع پرداختن به کودکان در اینترنت، همواره مسئله‌ای بسیار حیاتی بوده و طی سال‌های اخیر به موضوعی برجسته‌تر از گذشته نیز بدل شده است. امروزه بسیاری از کشورها در پی تدوین چارچوب‌ها و قوانینی برای کاهش آسیب‌های اینترنت برای کودکان هستند. انگلیس، یکی از دولت‌هایی است که بررسی و اجرای چنین طرحی را کلید زده است.
 
استانداردهای سنی پانزده‌گانه انگلیس
 
دستورالعمل یاد شده، ۱۵ بند را شامل می‌شود که به طور خلاصه به معرفی آن‌ها خواهیم پرداخت.
 
۱. در نظر گرفتن منافع کودک: طراحی و توسعه وب باید به گونه‌ای باشد که منافع کودکان را در نظر داشته باشد.
 
۲. ارزیابی تأثیر حفاظت از داده‌ها: ارزیابی و کاهش خطراتی که واسطه پردازش داده‌ها، متوجه حقوق و آزادی کودکان متقاضی بهره مندی از سرویس‌ها می‌شود. این بخش با توجه به سن، ظرفیت و نیازهای موجود در نظر گرفته می‌شود.
 
۳. برنامه سنی مناسب: رویکردی ریسک محور را برای تعیین سن تک تک کاربران و اطمینان از اعمال دقیق استانداردها برای کودکان را شامل می‌شود. سرویس دهندگان بر این اساس باید از روش‌های تعیین سن کاربران استفاده کنند یا در غیر این صورت، استانداردهای کودکان را برای همه کاربران اعمال نمایند.
 
۴. شفافیت: بر اساس این بند، اطلاعات و توضیحات سرویس دهندگان در خصوص شرایط حریم خصوصی برنامه یا سرویسشان، باید برای گروه سنی کودکان ساده و قابل درک باشد. هدف این بخش، اطمینان از درک کودکان از میزان و نوع اطلاعاتی است که شرکت‌ها و پلتفرم مورد استفاده قرار می‌دهند.
 
۵. استفاده مخرب از داده‌ها: پلتفرم‌ها ملزم هستند که از داده‌های شخصی کودکان به گونه‌ای استفاده کنند که برای آن‌ها تهدید و مضراتی نداشته باشد و با سایر مقررات دولتی نیز در تضاد نباشد.
 
۶. سیاست‌ها و استانداردهای جامعه: پلتفرم‌ها باید از خط مشی‌ها، سیاست‌ها و استانداردهای اجتماعی مانند محدودیت‌های سنی و اصول محتوایی، پیروی کنید.
 
۷. تنظیمات پیش فرض: تنظیمات و طراحی پیش فرض وب سایت‌ها و اپلیکیشن‌ها، مگر در موارد بسیار نادر و منطقی، باید بر حفظ حداکثری حریم خصوصی مبتنی باشد.
 
۸. به حداقل رساندن جمع آوری داده‌ها: بر اساس این بند، سرویس‌های آنلاین و پلتفرم‌ها، باید حداقل اطلاعات شخصی مورد نیاز برای ارائه خدمات را از کودکان جمع آوری کنند. بر همین اساس، آن‌ها باید از کودکان بپرسند که قصد فعال سازی کدام بخش‌های برنامه را دارند و اساس دریافت اطلاعات را بر آن بگذارند.
 
۹. اشتراک گذاری داده‌ها: داده‌های کودکان، مگر در موارد خاص و با دلیل قانع کننده، نباید افشا شوند.
 
۱۰. خاموشی ردیاب مکانی: گزینه‌های مربوط به موقعیت مکانی باید برای کاربران کودک، به صورت پیش فرض خاموش باشد و هنگام روشن بودنش، با یک علامت واضح این امر را به کودک اطلاع دهد. موقعیت مکانی همچنین باید به صورت خودکار پس از هر بار استفاده توسط کودک، مجدداً به صورت خودکار خاموش شود.
 
۱۱. کنترل والدین: خدمات آنلاین، باید در مورد قابلیت‌های کنترل والدین در هر پلتفرم‌شان، اطلاعات مناسب را در اختیار کودک قرار داده و در زمان تحت نظارت بودن، این امر را با علامتی واضح به کودک اطلاع دهند.
 
۱۲. عدم ارزیابی و آنالیز حساب کاربری: قابلیت‌های ثبت، آنالیز و تجزیه و تحلیل اطلاعات حساب کاربری کودکان، که عموماً به منظور شخصی سازی پروفایل یا جمع آوری کلان داده‌ها از سوی شرکت‌ها صورت می‌پذیرد، باید به طور پیش فرض غیر فعال باشند و فقط در موارد بسیار ضروری و با دلیل قانع کننده، مورد استفاده قرار گیرند.
 
۱۳. پرهیز از تکنیک‌های تلنگر: شرکت‌های فناوری باید از اعمال هر گونه روش برای تشویق کودکان به ارائه اطلاعات شخصی غیرضروری در بستر اینترنت، پرهیز کنند.
 
۱۴. اسباب بازی و وسایل متصل به اینترنت: شرکت‌ها در صورت تولید و عرضه اسباب بازی و دستگاه‌های متصل به اینترنت، باید از مطابقت کامل عملکرد آن‌ها با دستورالعمل‌های سنی کودکان، اطمینان یابند.
 
۱۵. ابزار آنلاین: باید ابزار مناسبی برای کمک به کودکان در راستای حفظ حریم شخصی و گزارش نگرانی‌ها و مشکلات در اختیار کودکان قرار گیرد.
 
دهه آینده قوانین فضای مجازی اوج می‌گیرد
 
الیزابت دنهام، از متخصصان و مسئولان حوزه حفاظت از داده و حریم شخصی، طی سخنرانی خود در تاریخ ۳ مارس سال جاری میلادی، در مؤسسه اینترنت آکسفورد، با اشاره به گسترش روزافزون این قبیل قوانین و اهمیت تدوین و وجود آن‌ها، گفت: «این قانون، کار مهمی در زمینه حفاظت از کودکان به شمار می‌رود. من معتقدم که در دهه آینده، بسیاری از حوزه‌های قضائی، اقدام به تدوین و اجرای چنین قوانینی خواهند کرد. ما روزی به گذشته نگاه خواهیم کرد و از عدم وجود این قبیل حمایت‌ها از کودکان در دوره‌ها پیشین، شگفت زده خواهیم شد. یک نکته اساسی دیگر نیز در این میان وجود دارد. اگر نسلی داشته باشیم که شاهد سو استفاده پلتفرم‌ها از اطلاعاتشان باشد، چگونه می‌تواند در آینده به تکنولوژی و نوآوری اعتماد کند؟»
 
مسیر پیش رو...
 
اگرچه بسیاری از منتقدان این طرح، معتقدند که اجرای دستورالعمل‌های یاد شده، چالش‌هایی را برای مشاغل دیجیتال در پی خواهد داشت، اما شرکت‌های بزرگی چون تیک تاک و یوتیوب، تغییرات لازم جهت انطباق با قوانین جدید را سیستم خود ایجاد کرده‌اند.
 
به عقیده بسیاری از کارشناسان، قوانین یاد شده از حیث گستردگی و همه جانبه بودن، در نوع خود اول هستند و انتظار می‌رود که این دست قواعد و چارچوب‌ها به مرور به معیاری بین المللی و جهانی بدل شود.
 
کارشناسان پیش بینی می‌کنند که این چارچوب قانونی جدید، نفوذ جهانی قابل قبولی به دست خواهد آورد. به عنوان مثال، کمیسیون حفاظت از داده‌ها در جمهوری ایرلند نیز در حال تدوین مقرراتی مشابه است. علاوه بر این، برخی اعضای کنگره و سنای ایالات متحده نیز خواستار اجرای داوطلبانه چنین استانداردهایی از سوی پلتفرم‌های داخل آمریکا شده‌اند.
 
این در حالی است که موضوع حفاظ از کودکان در فضای مجازی، طی سال‌های اخیر در ایران نیز مطرح شده است. کارشناسان بسیاری تا به امروز، مسئله لزوم پرداختن به کودکان در فضای مجازی را در ایران مطرح ساخته‌اند. گفتگوها در این مورد، پس از حدود ۵ سال وقفه، روز ۱۷ خرداد سال جاری، از سوی شورای عالی فضای مجازی به تصویب رسید. بر اساس این سند مصوب، کلیه سکوها و ارائه دهندگان محتوا و خدمات فضای مجازی باید در مدت یک سال، نسبت به صیانت از داده‌ها، رده‌بندی و تفکیک محتوا و خدمات ویژه هر رده سنی از خدمات عمومی اقدام کنند.
 
اگرچه تصویب و اجرای این قانون گامی بسیار مهم و سازنده در این مسیر به شمار می‌رود، اما بی شک طرح یاد شده نیازمند به روزرسانی و تکمیل مداوم و تدریجی است.

رسیدن مرز سایبری کشور به گیت وی سازمان‌ها

 
یک پژوهشگر حوزه امنیت فضای مجازی با بیان اینکه متاسفانه مرز سایبری کشور به پشت گیت وی سازمان‌ها و شرکت‌ها رسیده است، گفت: دستگاه واحدی باید مسئول جریان داده‌ای و امنیت سایبری کشور شود.
 
احسان کیانخواه پژوهشگر حوزه امنیت و حکمرانی فضای مجازی به تشریح چالش‌های حوزه امنیت سایبری پرداخت و به این سوال پاسخ داد که آیا قوانین فعلی در حوزه امنیت داده در کشور کفایت می‌کند و یا اینکه نیازمند تدوین قوانین و مقررات در حوزه حکمرانی داده هستیم.
 
وی با بیان اینکه در حوزه امنیت داده در فضای مجازی، مسئولیت‌ها نه برای ناظر و نه برای دارنده داده، مشخص نیست، اظهار داشت: اصولاً محور امنیت حراست از دارایی نامشهود یا داده است. یعنی قرار است داده مورد نیاز برای هدفی خاص توسط ذی‌نفعان مشخص، تحت سیاست‌های دقیق و رفتارهای اصولی، به اشتراک و توسعه گذاشته شود و نظامات کنترلی متقن برای آن برقرار شود.
 
کیانخواه با اشاره به اینکه هر سازمان دارای یک ساختار تقسیم وظایف است که هر بخش و جایگاهی کار خود را انجام می‌دهد و این وجه سخت سازمان است، ادامه داد: سازمان دارای یک وجه نرم است که فرآیندها و کارها را به پیش می‌برد. این همان مفهوم حکمرانی است.
 
وی با بیان اینکه اشکال وضعیت جاری در حوزه سازمان‌های ما، وظیفه‌گرا شدن است ادامه داد: یعنی مفهوم حکمرانی ناظر به نتیجه یا پیامد کار انجام نمی‌شود. همانند مثل معروف کندن چاله! یعنی دغدغه مدیران، مجریان زیرساخت و شبکه، متصدیان امنیت سایبری و ناظران حوزه امنیت توجه به جریان و برآیند این فعالیت‌ها نیست. بلکه مساله انجام صرفاً وظیفه مشخص شده، بدون توجه به گام قبل و بعد آن و نتیجه و پیامد مورد انتظار است.
 
نظام جامع امنیت سایبری برای توسعه اقتصاد دیجیتال ایجاد شود
 
این پژوهشگر حوزه امینت و حکمرانی فضای مجازی تاکید کرد: نیازمند برقراری نظام جامع هستیم تا شاکله جریان امنیت را در راستای توسعه دولت الکترونیکی و اقتصاد دیجیتال مشخص کند. عموماً دو نوع نظارت وجود دارد، نظارت مبتنی بر نتیجه که گذشته‌نگر است و با رخداد، خسارت آن شاید اصلاً قابل جبران نباشد و نظارت آینده‌نگرانه که به رصد لحظه‌ای و پیش‌بینی‌ها استوار است.
 
وی با بیان اینکه در این راستا مراکز نظارتی باید یکپارچه شوند و مراکز داده با حفظ محرمانگی باید شناسنامه‌دار باشند، خاطرنشان کرد: شبکه اینترنت داخل کشور از لحاظ شکل جریان داده‌ای نیازمند نظارت مستمر است. جریان‌های ناهنجار باید رصد و کشف و متوقف شود. اینکه مرز سایبری کشور به پشت دروازه ( GateWay) سازمان‌ها و شرکت‌ها رسیده جای تأسف و بازنگری را دارد.
 
کیانخواه با اشاره به اینکه هم اکنون مراکز داده که نیاز به ارائه خدمات برخط دارند، بدون کمک و پناه مطمئن رها شده‌اند و در حد پیامک و اطلاع رسانی‌های سایت محور به آن‌ها توجه می‌شود ادامه داد: نیازمند سازماندهی متمرکز برای استفاده از توان بخش عمومی، دولتی و خصوصی برای ارتقا مستمر امنیت سایبری کشور هستیم. از طرفی دستگاه واحدی باید در حوزه امنیت سایبری مسئولیت‌پذیر باشد که در عین سازماندهی متمرکز و رصد مستمر شبکه و جریان داده‌ای کشور، هم‌گام و هم‌یار دستگاه‌ها در حفظ امنیت سایبری کشور که هم‌ردیف امنیت سرزمینی قرارگرفته، باشد. باید برای دهه‌های آینده از همین امروز آماده شد.
 
چالش جدی دو مرکز ماهر و افتا
 
وی در پاسخ به این سوال که نهادهایی مانند مرکز افتا، مرکز ماهر، سازمان پدافند غیرعامل و پلیس فتا طبق مصوبه شورای عالی فضای مجازی دارای مسئولیت‌هایی در این زمینه هستند اما با این وجود چرا شاهد تعدد اتفاقات در حوزه درز اطلاعات و افشای داده و تهدیدات در فضای مجازی هستیم که هیچیک از این نهادها مسئولیت آن را بر عهده نمی‌گیرند، گفت: اصل وجود قانون اقدام مثبتی است. دستگاه‌های مختلفی در حوزه امنیت فعال هستند و این تقسیم‌کاری برای ایجاد هم‌افزایی خوب است. اما مسئله این است که آیا امنیت و مقابله با حوادث سایبری در این قانون به‌درستی دیده‌شده است؟
 
این پژوهشگر حوزه امنیت و حکمرانی فضای مجازی با اشاره به اینکه شبکه اینترنت کشور از لحاظ دسترسی Flat است، توضیح داد: یعنی درخواست (Request) به یک سرور در مرکز داده داخلی از نقطه‌ای خارج از کشور با مسیریابی‌های بدون مانع وارد می‌شود. البته ذات دسترسی در اینترنت و مسیریابی در شبکه نیز همین است. یعنی با کمترین هزینه دسترسی و حرکت روی گره‌های شبکه، پاسخ (Response) به درخواست ارسال می‌شود.
 
وی ادامه داد: این سهولت مسیر دسترسی به محتوای درون سرورها، برای خرابکاری اینترنتی نیز سهولت برقرار می‌کند. یعنی با کمترین مانع و شاید بدون مانعی، هکرهای اینترنتی به سرور ارائه‌دهنده محتوا دسترسی پیدا می‌کنند. حال بر اساس معماری شبکه ارائه‌دهنده سرویس و توان هکر یا گروه‌های هکری، میزان تاب‌آوری مرکز داده مشخص می‌شود.
 
کیانخواه با اشاره به اینکه امنیت دستگاه‌ها بر اساس سطح اهمیت بین دو مرکز ماهر و افتا تقسیم‌شده است، خاطرنشان کرد: وظیفه این دو مرکز ارتقا، توانمندسازی و مقاوم‌سازی دستگاه‌ها است. ابزار انجام این وظایف، اطلاع‌رسانی، آموزش و نظارت‌های دوره‌ای است.
 
وی با بیان اینکه ابتدا باید بپذیریم هرگونه حادثه سایبری غیرقابل‌جبران بوده یا سخت قابل جبران است، افزود: به‌طور مثال نشت داده هویتی، مالی یا رفتاری کاربران یا از دسترس خارج شدن سرویس‌های حیاتی روزمره مردم قابل جبران است؟ پاسخ خیر است.
 
این پژوهشگر با اشاره به اینکه اشکالات و باگ های نرم‌افزاری و سخت‌افزاری سامانه‌ها عموماً پس از آسیب‌پذیری آشکار می‌شود، ادامه داد: یعنی اول تهدید بالقوه یا بالفعل عملی شده پس از آن فکر چاره می‌شود. حال چقدر هشدارها دقیق است؟ این هشدارها چگونه تشخیص داده می‌شود؟ آیا صرفاً با رصد سامانه‌های امنیتی خارجی هشدارها صادر می‌شود؟ سوالاتی است که باید پاسخ داده شود. بعضاً هم مشاهده‌شده با چند روز تأخیر از اعلام جهانی، هشداری صادر می‌شود. این چالش جدی دو مرکز افتا و ماهر است.
 
دلایل ناکارآمدی مراکز افتا و ماهر
 
به گفته کیانخواه، مراکز داده کمتر همراهی مستمر و سایه به سایه این مراکز را مشاهده می‌کنند و علی‌رغم تلاش‌های زیاد کارکنان مراکز مرتبط با قانون «نظام ملی پیشگیری و مقابله با حوادث فضای مجازی» حداقل در یک سال گذشته ضربات جبران‌ناپذیری به فضای سایبر کشور با نشت داده و اطلاعات رخ‌داده است.
 
وی یکی از دلایل اصلی ناکارآمدی این مراکز را شفاف نبودن مسئولیت‌ها در مقابل احتمال حادثه عنوان کرد و گفت: اول اینکه این مراکز خود را پشتیبان می‌بینند و برای خود نقش لجستیکی قائل هستند (حداقل در عمل) و دوم اینکه به علت حجم بالای نفوذ حملات سایبری حساسیت‌ها در کنترل کاهش پیداکرده درصورتی‌که نشت حتی یک بیت داده جبران‌ناپذیر است. نگاه را باید فراتر از حال و قدرت سایبری را در آینده جستجو کرد. یعنی همین یک بیت اطلاعات نیز ممکن است منجر به استثمار سده‌های آینده شود.
 
ارزیابی ریسک امنیت سایبری به‌درستی انجام نمی‌شود
 
وی در پاسخ به این سوال که چرا سامانه‌های نظارتی سازمان‌های دولتی و حاکمیتی که مسئولیت حفاظت از اطلاعات را دارند امن نیستند؟ گفت: در مورد اینکه چرا سامانه‌های نظارتی یا غیر نظارتی، امنیت لازم را ندارند، چند نکته مدنظر است. البته عموماً سامانه‌های نظارتی به شبکه اینترنت متصل نیستند و از امنیت نسبی برخوردار هستند اما با این حال حوادث نشان می‌دهد ارزیابی ریسک امنیت سایبری به‌درستی انجام نمی‌شود، یعنی مخاطره به‌دقت کشف نمی‌شود و احتمال وقوع و دارایی در معرض خطر آن مشخص نمی‌شود.
 
کیانخواه گفت: وقتی مدل‌های ارزیابی ریسک دستگاه‌های ناظر بررسی می‌شود، این بی‌توجهی و بی‌دقتی قابل‌مشاهده است. انواع و اقسام ریسک‌ها برای سازمان‌ها از تجربیات و استانداردهای مرتبط استخراج می‌شود. این موضوع فقط حساسیت دستگاه‌ها نسبت به کشف ریسک‌های حقیقی و حیاتی را کاهش می‌دهد.
 
هزینه تجهیزات امنیتی بالاست
 
وی با اشاره به اینکه هزینه تجهیزات امنیتی بالا است و فرایند خرید و آموزش و عملیاتی سازی تجهیزات سازمان‌ها حتی اگر در بودجه مصوبشان باشد، ماه‌ها طول می‌کشد، گفت: مدیریت سازمان‌ها عموماً علاقه‌ای به هزینه در حوزه امنیت ندارند. هزینه برای امنیت در سازمان قابل‌مشاهده نیست. چون در زمان صحت کارکرد، هزینه کرد برای امنیت هدر رفت منابع توصیف می‌شود. وقتی هم که حادثه‌ای رخ می‌دهد عملاً رخ داده است و مدیریت‌ها نیز مسئولیت قبول نمی‌کنند. البته به‌روزرسانی نرم‌افزاری تجهیزات امنیتی و هزینه برای آن هم مغفول است.
 
این پژوهشگر امنیت فضای مجازی گفت: آموزش مستمر و اثربخش هم در حوزه امنیت صورت نمی‌پذیرد و با همان سهل‌انگاری ذکرشده به این حوزه توجه نمی‌شود.
 
چالش اتکا به تکنولوژی‌های حوزه شبکه و امنیت
 
کیانخواه گفت: اتکا به‌صرف تکنولوژی‌های حوزه شبکه و امنیت هم چالش جدی است. به‌طوری که مدیران شبکه و زیرساخت عموماً Vlanبندی، فایروالینگ و اتکا به دستورالعمل‌های صاحبان تکنولوژی را اصل می‌دانند. به نظر می‌آید علاوه بر توجه به این دستورالعمل‌ها، ارزیابی ریسک دقیق دارایی‌های سازمانی و توجه به امنیت بالا همراه با سهولت در ارائه سرویس و معماری دقیق و نظارت‌پذیری شبکه هم لازم است. اتکا بیش از اندازه به تکنولوژی‌ها منجر به کاهش توجه به آسیب‌پذیرهای واقعی شبکه و زیرساخت می‌شود.
 
این پژوهشگر حوزه امینت و حکمرانی فضای مجازی معتقد است که سلامت و صلابت سایبری کشور به متخصصان بخش شبکه و امنیت شبکه گره‌خورده است و بی‌توجهی به مسئله جبران هزینه مبتنی بر عملکرد آنها و کاهش تمرکز تیم‌های توسعه و نگهداری شبکه و زیرساخت منجر به افزایش ریسک‌های امنیتی می‌شود.
 
وی گفت: ذات فعالیت در حوزه سرویس‌های زیرساختی همراه با استرس بالا است. وقتی جبران خدمت نیز به‌درستی انجام نشود مسئولیت‌پذیری کاهش‌یافته و شاکله شبکه یک سازمان که همانند موجودی زنده و ارگانیک نیازمند پایش سلامتی و برطرف کردن مشکلات و چالش‌ها است، به نابودی می‌رود. مسائل سایبر نوبه نو می‌شود و نیاز به تمرکز و نگهداشت مستمر دارد و جبران خدمت متخصصان این حوزه متناسب با بازار کار و شرایط جهانی، ضرورتی برای ارائه خدمات اثربخش به جامعه است.
 
کیانخواه با اشاره به اینکه سازمان‌ها و کسب‌وکارهای خصوصی و دولتی به‌راحتی خدمات مختلفی را با یک خط اینترنت، یک سرور و یک فایروال ارزان برای ذی‌نفعان خود برقرار می‌کنند، تاکید کرد: در صورتی‌که بدون داشتن معماری دقیق شبکه مبتنی بر وضعیت جاری و توسعه پیش رو، تجهیزات مربوطه و نیروی انسانی موردنیاز، نمی‌توان سرویس و خدمتی را دایر کرد. به‌راحتی نباید سرویس‌های داده محور را بدون رعایت دستورالعمل‌های مناسب برقرار کرد. روح دستورالعمل‌ها باید گویای خبرگی و ناظر بر شرایط اجرا باشد و نباید حس بیگانگی با شرایط اجرا و اقتضائات حرفه‌ای را داشته باشد. همیاری لازم است و نه نظارت خشک.

رسیدن مرز سایبری کشور به گیت وی سازمان‌ها

 
یک پژوهشگر حوزه امنیت فضای مجازی با بیان اینکه متاسفانه مرز سایبری کشور به پشت گیت وی سازمان‌ها و شرکت‌ها رسیده است، گفت: دستگاه واحدی باید مسئول جریان داده‌ای و امنیت سایبری کشور شود.
 
احسان کیانخواه پژوهشگر حوزه امنیت و حکمرانی فضای مجازی به تشریح چالش‌های حوزه امنیت سایبری پرداخت و به این سوال پاسخ داد که آیا قوانین فعلی در حوزه امنیت داده در کشور کفایت می‌کند و یا اینکه نیازمند تدوین قوانین و مقررات در حوزه حکمرانی داده هستیم.
 
وی با بیان اینکه در حوزه امنیت داده در فضای مجازی، مسئولیت‌ها نه برای ناظر و نه برای دارنده داده، مشخص نیست، اظهار داشت: اصولاً محور امنیت حراست از دارایی نامشهود یا داده است. یعنی قرار است داده مورد نیاز برای هدفی خاص توسط ذی‌نفعان مشخص، تحت سیاست‌های دقیق و رفتارهای اصولی، به اشتراک و توسعه گذاشته شود و نظامات کنترلی متقن برای آن برقرار شود.
 
کیانخواه با اشاره به اینکه هر سازمان دارای یک ساختار تقسیم وظایف است که هر بخش و جایگاهی کار خود را انجام می‌دهد و این وجه سخت سازمان است، ادامه داد: سازمان دارای یک وجه نرم است که فرآیندها و کارها را به پیش می‌برد. این همان مفهوم حکمرانی است.
 
وی با بیان اینکه اشکال وضعیت جاری در حوزه سازمان‌های ما، وظیفه‌گرا شدن است ادامه داد: یعنی مفهوم حکمرانی ناظر به نتیجه یا پیامد کار انجام نمی‌شود. همانند مثل معروف کندن چاله! یعنی دغدغه مدیران، مجریان زیرساخت و شبکه، متصدیان امنیت سایبری و ناظران حوزه امنیت توجه به جریان و برآیند این فعالیت‌ها نیست. بلکه مساله انجام صرفاً وظیفه مشخص شده، بدون توجه به گام قبل و بعد آن و نتیجه و پیامد مورد انتظار است.
 
نظام جامع امنیت سایبری برای توسعه اقتصاد دیجیتال ایجاد شود
 
این پژوهشگر حوزه امینت و حکمرانی فضای مجازی تاکید کرد: نیازمند برقراری نظام جامع هستیم تا شاکله جریان امنیت را در راستای توسعه دولت الکترونیکی و اقتصاد دیجیتال مشخص کند. عموماً دو نوع نظارت وجود دارد، نظارت مبتنی بر نتیجه که گذشته‌نگر است و با رخداد، خسارت آن شاید اصلاً قابل جبران نباشد و نظارت آینده‌نگرانه که به رصد لحظه‌ای و پیش‌بینی‌ها استوار است.
 
وی با بیان اینکه در این راستا مراکز نظارتی باید یکپارچه شوند و مراکز داده با حفظ محرمانگی باید شناسنامه‌دار باشند، خاطرنشان کرد: شبکه اینترنت داخل کشور از لحاظ شکل جریان داده‌ای نیازمند نظارت مستمر است. جریان‌های ناهنجار باید رصد و کشف و متوقف شود. اینکه مرز سایبری کشور به پشت دروازه ( GateWay) سازمان‌ها و شرکت‌ها رسیده جای تأسف و بازنگری را دارد.
 
کیانخواه با اشاره به اینکه هم اکنون مراکز داده که نیاز به ارائه خدمات برخط دارند، بدون کمک و پناه مطمئن رها شده‌اند و در حد پیامک و اطلاع رسانی‌های سایت محور به آن‌ها توجه می‌شود ادامه داد: نیازمند سازماندهی متمرکز برای استفاده از توان بخش عمومی، دولتی و خصوصی برای ارتقا مستمر امنیت سایبری کشور هستیم. از طرفی دستگاه واحدی باید در حوزه امنیت سایبری مسئولیت‌پذیر باشد که در عین سازماندهی متمرکز و رصد مستمر شبکه و جریان داده‌ای کشور، هم‌گام و هم‌یار دستگاه‌ها در حفظ امنیت سایبری کشور که هم‌ردیف امنیت سرزمینی قرارگرفته، باشد. باید برای دهه‌های آینده از همین امروز آماده شد.
 
چالش جدی دو مرکز ماهر و افتا
 
وی در پاسخ به این سوال که نهادهایی مانند مرکز افتا، مرکز ماهر، سازمان پدافند غیرعامل و پلیس فتا طبق مصوبه شورای عالی فضای مجازی دارای مسئولیت‌هایی در این زمینه هستند اما با این وجود چرا شاهد تعدد اتفاقات در حوزه درز اطلاعات و افشای داده و تهدیدات در فضای مجازی هستیم که هیچیک از این نهادها مسئولیت آن را بر عهده نمی‌گیرند، گفت: اصل وجود قانون اقدام مثبتی است. دستگاه‌های مختلفی در حوزه امنیت فعال هستند و این تقسیم‌کاری برای ایجاد هم‌افزایی خوب است. اما مسئله این است که آیا امنیت و مقابله با حوادث سایبری در این قانون به‌درستی دیده‌شده است؟
 
این پژوهشگر حوزه امنیت و حکمرانی فضای مجازی با اشاره به اینکه شبکه اینترنت کشور از لحاظ دسترسی Flat است، توضیح داد: یعنی درخواست (Request) به یک سرور در مرکز داده داخلی از نقطه‌ای خارج از کشور با مسیریابی‌های بدون مانع وارد می‌شود. البته ذات دسترسی در اینترنت و مسیریابی در شبکه نیز همین است. یعنی با کمترین هزینه دسترسی و حرکت روی گره‌های شبکه، پاسخ (Response) به درخواست ارسال می‌شود.
 
وی ادامه داد: این سهولت مسیر دسترسی به محتوای درون سرورها، برای خرابکاری اینترنتی نیز سهولت برقرار می‌کند. یعنی با کمترین مانع و شاید بدون مانعی، هکرهای اینترنتی به سرور ارائه‌دهنده محتوا دسترسی پیدا می‌کنند. حال بر اساس معماری شبکه ارائه‌دهنده سرویس و توان هکر یا گروه‌های هکری، میزان تاب‌آوری مرکز داده مشخص می‌شود.
 
کیانخواه با اشاره به اینکه امنیت دستگاه‌ها بر اساس سطح اهمیت بین دو مرکز ماهر و افتا تقسیم‌شده است، خاطرنشان کرد: وظیفه این دو مرکز ارتقا، توانمندسازی و مقاوم‌سازی دستگاه‌ها است. ابزار انجام این وظایف، اطلاع‌رسانی، آموزش و نظارت‌های دوره‌ای است.
 
وی با بیان اینکه ابتدا باید بپذیریم هرگونه حادثه سایبری غیرقابل‌جبران بوده یا سخت قابل جبران است، افزود: به‌طور مثال نشت داده هویتی، مالی یا رفتاری کاربران یا از دسترس خارج شدن سرویس‌های حیاتی روزمره مردم قابل جبران است؟ پاسخ خیر است.
 
این پژوهشگر با اشاره به اینکه اشکالات و باگ های نرم‌افزاری و سخت‌افزاری سامانه‌ها عموماً پس از آسیب‌پذیری آشکار می‌شود، ادامه داد: یعنی اول تهدید بالقوه یا بالفعل عملی شده پس از آن فکر چاره می‌شود. حال چقدر هشدارها دقیق است؟ این هشدارها چگونه تشخیص داده می‌شود؟ آیا صرفاً با رصد سامانه‌های امنیتی خارجی هشدارها صادر می‌شود؟ سوالاتی است که باید پاسخ داده شود. بعضاً هم مشاهده‌شده با چند روز تأخیر از اعلام جهانی، هشداری صادر می‌شود. این چالش جدی دو مرکز افتا و ماهر است.
 
دلایل ناکارآمدی مراکز افتا و ماهر
 
به گفته کیانخواه، مراکز داده کمتر همراهی مستمر و سایه به سایه این مراکز را مشاهده می‌کنند و علی‌رغم تلاش‌های زیاد کارکنان مراکز مرتبط با قانون «نظام ملی پیشگیری و مقابله با حوادث فضای مجازی» حداقل در یک سال گذشته ضربات جبران‌ناپذیری به فضای سایبر کشور با نشت داده و اطلاعات رخ‌داده است.
 
وی یکی از دلایل اصلی ناکارآمدی این مراکز را شفاف نبودن مسئولیت‌ها در مقابل احتمال حادثه عنوان کرد و گفت: اول اینکه این مراکز خود را پشتیبان می‌بینند و برای خود نقش لجستیکی قائل هستند (حداقل در عمل) و دوم اینکه به علت حجم بالای نفوذ حملات سایبری حساسیت‌ها در کنترل کاهش پیداکرده درصورتی‌که نشت حتی یک بیت داده جبران‌ناپذیر است. نگاه را باید فراتر از حال و قدرت سایبری را در آینده جستجو کرد. یعنی همین یک بیت اطلاعات نیز ممکن است منجر به استثمار سده‌های آینده شود.
 
ارزیابی ریسک امنیت سایبری به‌درستی انجام نمی‌شود
 
وی در پاسخ به این سوال که چرا سامانه‌های نظارتی سازمان‌های دولتی و حاکمیتی که مسئولیت حفاظت از اطلاعات را دارند امن نیستند؟ گفت: در مورد اینکه چرا سامانه‌های نظارتی یا غیر نظارتی، امنیت لازم را ندارند، چند نکته مدنظر است. البته عموماً سامانه‌های نظارتی به شبکه اینترنت متصل نیستند و از امنیت نسبی برخوردار هستند اما با این حال حوادث نشان می‌دهد ارزیابی ریسک امنیت سایبری به‌درستی انجام نمی‌شود، یعنی مخاطره به‌دقت کشف نمی‌شود و احتمال وقوع و دارایی در معرض خطر آن مشخص نمی‌شود.
 
کیانخواه گفت: وقتی مدل‌های ارزیابی ریسک دستگاه‌های ناظر بررسی می‌شود، این بی‌توجهی و بی‌دقتی قابل‌مشاهده است. انواع و اقسام ریسک‌ها برای سازمان‌ها از تجربیات و استانداردهای مرتبط استخراج می‌شود. این موضوع فقط حساسیت دستگاه‌ها نسبت به کشف ریسک‌های حقیقی و حیاتی را کاهش می‌دهد.
 
هزینه تجهیزات امنیتی بالاست
 
وی با اشاره به اینکه هزینه تجهیزات امنیتی بالا است و فرایند خرید و آموزش و عملیاتی سازی تجهیزات سازمان‌ها حتی اگر در بودجه مصوبشان باشد، ماه‌ها طول می‌کشد، گفت: مدیریت سازمان‌ها عموماً علاقه‌ای به هزینه در حوزه امنیت ندارند. هزینه برای امنیت در سازمان قابل‌مشاهده نیست. چون در زمان صحت کارکرد، هزینه کرد برای امنیت هدر رفت منابع توصیف می‌شود. وقتی هم که حادثه‌ای رخ می‌دهد عملاً رخ داده است و مدیریت‌ها نیز مسئولیت قبول نمی‌کنند. البته به‌روزرسانی نرم‌افزاری تجهیزات امنیتی و هزینه برای آن هم مغفول است.
 
این پژوهشگر امنیت فضای مجازی گفت: آموزش مستمر و اثربخش هم در حوزه امنیت صورت نمی‌پذیرد و با همان سهل‌انگاری ذکرشده به این حوزه توجه نمی‌شود.
 
چالش اتکا به تکنولوژی‌های حوزه شبکه و امنیت
 
کیانخواه گفت: اتکا به‌صرف تکنولوژی‌های حوزه شبکه و امنیت هم چالش جدی است. به‌طوری که مدیران شبکه و زیرساخت عموماً Vlanبندی، فایروالینگ و اتکا به دستورالعمل‌های صاحبان تکنولوژی را اصل می‌دانند. به نظر می‌آید علاوه بر توجه به این دستورالعمل‌ها، ارزیابی ریسک دقیق دارایی‌های سازمانی و توجه به امنیت بالا همراه با سهولت در ارائه سرویس و معماری دقیق و نظارت‌پذیری شبکه هم لازم است. اتکا بیش از اندازه به تکنولوژی‌ها منجر به کاهش توجه به آسیب‌پذیرهای واقعی شبکه و زیرساخت می‌شود.
 
این پژوهشگر حوزه امینت و حکمرانی فضای مجازی معتقد است که سلامت و صلابت سایبری کشور به متخصصان بخش شبکه و امنیت شبکه گره‌خورده است و بی‌توجهی به مسئله جبران هزینه مبتنی بر عملکرد آنها و کاهش تمرکز تیم‌های توسعه و نگهداری شبکه و زیرساخت منجر به افزایش ریسک‌های امنیتی می‌شود.
 
وی گفت: ذات فعالیت در حوزه سرویس‌های زیرساختی همراه با استرس بالا است. وقتی جبران خدمت نیز به‌درستی انجام نشود مسئولیت‌پذیری کاهش‌یافته و شاکله شبکه یک سازمان که همانند موجودی زنده و ارگانیک نیازمند پایش سلامتی و برطرف کردن مشکلات و چالش‌ها است، به نابودی می‌رود. مسائل سایبر نوبه نو می‌شود و نیاز به تمرکز و نگهداشت مستمر دارد و جبران خدمت متخصصان این حوزه متناسب با بازار کار و شرایط جهانی، ضرورتی برای ارائه خدمات اثربخش به جامعه است.
 
کیانخواه با اشاره به اینکه سازمان‌ها و کسب‌وکارهای خصوصی و دولتی به‌راحتی خدمات مختلفی را با یک خط اینترنت، یک سرور و یک فایروال ارزان برای ذی‌نفعان خود برقرار می‌کنند، تاکید کرد: در صورتی‌که بدون داشتن معماری دقیق شبکه مبتنی بر وضعیت جاری و توسعه پیش رو، تجهیزات مربوطه و نیروی انسانی موردنیاز، نمی‌توان سرویس و خدمتی را دایر کرد. به‌راحتی نباید سرویس‌های داده محور را بدون رعایت دستورالعمل‌های مناسب برقرار کرد. روح دستورالعمل‌ها باید گویای خبرگی و ناظر بر شرایط اجرا باشد و نباید حس بیگانگی با شرایط اجرا و اقتضائات حرفه‌ای را داشته باشد. همیاری لازم است و نه نظارت خشک.

هکرها با سوءاستفاده از نام ویندوز ۱۱ آلفا به دنبال نفوذ به کامپیوترها هستند

 
کلاهبرداران با سوءاستفاده از هیجانی که پیرامون ویندوز ۱۱ به وجود آمده، به سراغ برپایی کمپین‌های فیشینگ با استفاده از نام ویندوز ۱۱ آلفا رفته‌اند و قصد دارند با بی‌توجهی کاربران اطلاعات آن‌ها را از دستشان خارج کنند.
 
به گزارش وب‌سایت Bleeping Computer، شرکت‌ها اخیرا ایمیل‌هایی دریافت کرده‌اند که حاوی فایل‌هایی با ادعای ساخته شدن روی ویندوز ۱۱ آلفا هستند. در این ایمیل‌ها به کاربران گفته شده که برای رعایت سازگاری و باز کردن این فایل‌ها باید مراحل خاصی را دنبال کنند، اما دنبال کردن این مراحل باعث از کار افتادن ویژگی‌های امنیتی و اجرای یک ماکروی VBA خاص می‌شود که دربرگیرنده کد مخرب هکرهاست.
 
کد مربوطه توسط مهاجمان به هم ریخته شده تا قابل تحلیل نباشد، اما همچنان به روش‌هایی می‌توان آن را پاکسازی کرد و دستورات اصلی را خواند. در این کد یک درب پشتی قرار داده شده که با توجه به شواهد احتمالا متعلق به گروه هکری FIN7 است.
 
 
محققان شرکت Anomali می‌گویند در این اسکریپت VB کدهایی قرار داده شده که پیش از آلوده کردن کامپیوتر زبان‌های مورد استفاده در دستگاه را بررسی می‌کند. چنان‌چه زبانی از میان روسی، اوکراینی، مولداویایی، سوربی، اسلوواک، اسلوونیایی، استونیایی و صربستانی شناسایی شود، فعالیت‌های مخرب متوقف می‌شود.
 
با توجه به اسم‌هایی که در این کمپین استفاده شده، به نظر می‌رسد که فعالیت هکرها در بازه زمانی بین اواخر ژوئن تا اواخر ژوئیه شکل گرفته است، زمانی که اخبار مربوط به ویندوز ۱۱ شدت بیشتری پیدا کرده بود و نام این سیستم عامل در اکثر محافل اجتماعی شنیده می‌شد.
 
هکرها با ادعا به ساخت این فایل از طریق ویندوز ۱۱ آلفا می‌خواهند کاربران را متقاعد کنند که مشکل عدم سازگاری مانع از دسترسی به اطلاعات شده و می‌توانند از طریق دنبال کردن دستورالعمل‌ها مشکل را برطرف کنند. ولی با انجام این کارها به مهاجمان اجازه می‌دهند کد خود را روی کامپیوتر اجرا نمایند.
 
گروه FIN7 حداقل از سال ۲۰۱۳ مشغول فعالیت است و تاکنون شرکت‌هایی مثل «رد رابین»، «آربیز»، «چیلیز» و Chipotle Mexican Grill را هدف حمله قرار داده است.

هکرها با سوءاستفاده از نام ویندوز ۱۱ آلفا به دنبال نفوذ به کامپیوترها هستند

 
کلاهبرداران با سوءاستفاده از هیجانی که پیرامون ویندوز ۱۱ به وجود آمده، به سراغ برپایی کمپین‌های فیشینگ با استفاده از نام ویندوز ۱۱ آلفا رفته‌اند و قصد دارند با بی‌توجهی کاربران اطلاعات آن‌ها را از دستشان خارج کنند.
 
به گزارش وب‌سایت Bleeping Computer، شرکت‌ها اخیرا ایمیل‌هایی دریافت کرده‌اند که حاوی فایل‌هایی با ادعای ساخته شدن روی ویندوز ۱۱ آلفا هستند. در این ایمیل‌ها به کاربران گفته شده که برای رعایت سازگاری و باز کردن این فایل‌ها باید مراحل خاصی را دنبال کنند، اما دنبال کردن این مراحل باعث از کار افتادن ویژگی‌های امنیتی و اجرای یک ماکروی VBA خاص می‌شود که دربرگیرنده کد مخرب هکرهاست.
 
کد مربوطه توسط مهاجمان به هم ریخته شده تا قابل تحلیل نباشد، اما همچنان به روش‌هایی می‌توان آن را پاکسازی کرد و دستورات اصلی را خواند. در این کد یک درب پشتی قرار داده شده که با توجه به شواهد احتمالا متعلق به گروه هکری FIN7 است.
 
 
محققان شرکت Anomali می‌گویند در این اسکریپت VB کدهایی قرار داده شده که پیش از آلوده کردن کامپیوتر زبان‌های مورد استفاده در دستگاه را بررسی می‌کند. چنان‌چه زبانی از میان روسی، اوکراینی، مولداویایی، سوربی، اسلوواک، اسلوونیایی، استونیایی و صربستانی شناسایی شود، فعالیت‌های مخرب متوقف می‌شود.
 
با توجه به اسم‌هایی که در این کمپین استفاده شده، به نظر می‌رسد که فعالیت هکرها در بازه زمانی بین اواخر ژوئن تا اواخر ژوئیه شکل گرفته است، زمانی که اخبار مربوط به ویندوز ۱۱ شدت بیشتری پیدا کرده بود و نام این سیستم عامل در اکثر محافل اجتماعی شنیده می‌شد.
 
هکرها با ادعا به ساخت این فایل از طریق ویندوز ۱۱ آلفا می‌خواهند کاربران را متقاعد کنند که مشکل عدم سازگاری مانع از دسترسی به اطلاعات شده و می‌توانند از طریق دنبال کردن دستورالعمل‌ها مشکل را برطرف کنند. ولی با انجام این کارها به مهاجمان اجازه می‌دهند کد خود را روی کامپیوتر اجرا نمایند.
 
گروه FIN7 حداقل از سال ۲۰۱۳ مشغول فعالیت است و تاکنون شرکت‌هایی مثل «رد رابین»، «آربیز»، «چیلیز» و Chipotle Mexican Grill را هدف حمله قرار داده است.

سرقت اطلاعات صدها هزار دانش‌آموز و معلم در آمریکا

 
مقامات محلی در ایالت دالاس می‌گویند اطلاعات شخصی صدها هزار دانش‌آموز و کارمندان آموزش و پرورش در دسترس هکرها قرار گرفته و بارگذاری شده است.
 
 به نقل از زد دی نت، این اطلاعات در جریان یک رخداد مرتبط با به خطر افتادن امنیت داده‌ها سرقت شده است. سرورهای هک شده تنها حاوی اطلاعات بیش از ۱۵۰ هزار دانش‌آموز بوده‌اند. ابعاد این مشکل تا بدان حد بزرگ است که هر کارمند آموزش و پرورش، والدین و پیمانکار آموزش و پرورش دالاس که از سال ۲۰۱۰ به این سو با این مجموعه در تماس حرفه‌ای بوده، به علت این حمله سایبری دچار مشکل شده است.
 
وقوع این حمله کم سابقه در تاریخ ۸ آگوست به اطلاع مسئولان محلی رسیده و پلیس در حال بررسی موضوع است، اما هنوز عامل یا عوامل آن شناسایی نشده‌اند.
 
هکر یا هکرها بعد از دسترسی به سرورهای حاوی اطلاعات، داده‌های آنها را بارگذاری کرده و بر روی یک سایت ذخیره سازی کلود به صورت رمزگذاری شده ذخیره کرده‌اند.
 
این داده‌ها بعد از مدتی از سایت مذکور پاک شده‌اند، اما سرنوشت نهایی آنها هنوز مشخص نیست.
 
از جمله اطلاعات سرقت شده در این حمله می‌توان به نام و نام خانوادگی، آدرس، شماره تلفن همراه، شماره تأمین اجتماعی، تاریخ تولد افراد، سوابق بازداشت و حتی سوابق پزشکی اشخاص اشاره کرد. هکرها به تاریخ استخدام کارمندان و پیمانکاران، اطلاعات حقوق و دستمزد و علت پایان همکاری این افراد نیز دسترسی یافته‌اند.

سرقت اطلاعات صدها هزار دانش‌آموز و معلم در آمریکا

 
مقامات محلی در ایالت دالاس می‌گویند اطلاعات شخصی صدها هزار دانش‌آموز و کارمندان آموزش و پرورش در دسترس هکرها قرار گرفته و بارگذاری شده است.
 
 به نقل از زد دی نت، این اطلاعات در جریان یک رخداد مرتبط با به خطر افتادن امنیت داده‌ها سرقت شده است. سرورهای هک شده تنها حاوی اطلاعات بیش از ۱۵۰ هزار دانش‌آموز بوده‌اند. ابعاد این مشکل تا بدان حد بزرگ است که هر کارمند آموزش و پرورش، والدین و پیمانکار آموزش و پرورش دالاس که از سال ۲۰۱۰ به این سو با این مجموعه در تماس حرفه‌ای بوده، به علت این حمله سایبری دچار مشکل شده است.
 
وقوع این حمله کم سابقه در تاریخ ۸ آگوست به اطلاع مسئولان محلی رسیده و پلیس در حال بررسی موضوع است، اما هنوز عامل یا عوامل آن شناسایی نشده‌اند.
 
هکر یا هکرها بعد از دسترسی به سرورهای حاوی اطلاعات، داده‌های آنها را بارگذاری کرده و بر روی یک سایت ذخیره سازی کلود به صورت رمزگذاری شده ذخیره کرده‌اند.
 
این داده‌ها بعد از مدتی از سایت مذکور پاک شده‌اند، اما سرنوشت نهایی آنها هنوز مشخص نیست.
 
از جمله اطلاعات سرقت شده در این حمله می‌توان به نام و نام خانوادگی، آدرس، شماره تلفن همراه، شماره تأمین اجتماعی، تاریخ تولد افراد، سوابق بازداشت و حتی سوابق پزشکی اشخاص اشاره کرد. هکرها به تاریخ استخدام کارمندان و پیمانکاران، اطلاعات حقوق و دستمزد و علت پایان همکاری این افراد نیز دسترسی یافته‌اند.

سرقت اطلاعات صدها هزار دانش‌آموز و معلم در آمریکا

 
مقامات محلی در ایالت دالاس می‌گویند اطلاعات شخصی صدها هزار دانش‌آموز و کارمندان آموزش و پرورش در دسترس هکرها قرار گرفته و بارگذاری شده است.
 
 به نقل از زد دی نت، این اطلاعات در جریان یک رخداد مرتبط با به خطر افتادن امنیت داده‌ها سرقت شده است. سرورهای هک شده تنها حاوی اطلاعات بیش از ۱۵۰ هزار دانش‌آموز بوده‌اند. ابعاد این مشکل تا بدان حد بزرگ است که هر کارمند آموزش و پرورش، والدین و پیمانکار آموزش و پرورش دالاس که از سال ۲۰۱۰ به این سو با این مجموعه در تماس حرفه‌ای بوده، به علت این حمله سایبری دچار مشکل شده است.
 
وقوع این حمله کم سابقه در تاریخ ۸ آگوست به اطلاع مسئولان محلی رسیده و پلیس در حال بررسی موضوع است، اما هنوز عامل یا عوامل آن شناسایی نشده‌اند.
 
هکر یا هکرها بعد از دسترسی به سرورهای حاوی اطلاعات، داده‌های آنها را بارگذاری کرده و بر روی یک سایت ذخیره سازی کلود به صورت رمزگذاری شده ذخیره کرده‌اند.
 
این داده‌ها بعد از مدتی از سایت مذکور پاک شده‌اند، اما سرنوشت نهایی آنها هنوز مشخص نیست.
 
از جمله اطلاعات سرقت شده در این حمله می‌توان به نام و نام خانوادگی، آدرس، شماره تلفن همراه، شماره تأمین اجتماعی، تاریخ تولد افراد، سوابق بازداشت و حتی سوابق پزشکی اشخاص اشاره کرد. هکرها به تاریخ استخدام کارمندان و پیمانکاران، اطلاعات حقوق و دستمزد و علت پایان همکاری این افراد نیز دسترسی یافته‌اند.

جاسوسی وزارت بازرگانی آمریکا از شهروندان در شبکه های اجتماعی

 
وزارت بازرگانی آمریکا باید طی ۹۰ روز یکی از بخش های زیر مجموعه خود را حذف کند چرا که طبق بررسی ها به طور غیرقانونی شهروندان آمریکایی را در شبکه های اجتماعی رصد می کرد.
 
 به نقل از ورج، وزارت بازرگانی آمریکا روز جمعه اعلام کرد بخش امنیت داخلی خود را حذف می‌کند زیرا بررسی‌ها نشان داد این بخش با انجام تحقیقات جنایی درباره کارمندان بخش بازرگانی و شهروندان آمریکایی فراتر از اختیار خود عمل کرده است.
 
طبق بررسی دفتر شورای عمومی وزارت بازرگانی آمریکا، بخش «سرویس تحقیق و مدیریت تهدید» اختیار قانونی لازم برای انجام بررسی‌های جنایی را ندارد.
 
کنگره آمریکا در اوایل سال جاری تحقیقاتی درباره واحد مذکور نیز انجام داد. در ماه می سناتور راجر ویکر بولتنی گزارشی از تحقیقات درباره بخش سرویس تحقیق و مدیریت تهدید منتشر کرد. در این گزارش اشاره شده بود واحد مذکور فعالیت‌های افراد در توئیتر را رصد می‌کند تا مشخص شود کدام حساب‌های کاربری درباه فرایندهای سرشماری آمریکا اظهار نظرهای منتقدانه ثبت می‌کنند.
 
به طور دقیق‌تر بخش سرویس تحقیق و مدیریت تهدید وزارت بازرگانی آمریکا با هدف نشان دادن قدرت‌های اطلاعاتی خود در شبکه‌های اجتماعی تحقیقاتی انجام داده است. اما تاکنون شواهدی درباره تلاش برای بی اعتبار کردن سرشماری رصد نشده بود. فعالیت‌های واحد مذکور از اواسط دهه ۲۰۰۰ میلادی آغاز شده است.
 
در بیانیه وزارت بازرگانی آمده است: براساس توصیه بررسی کنندگان، این واحد باید طی ۹۰ روز حذف شود و وظایف امنیتی آن به بخش‌های دیگر وزارت خانه منتقل شود. اولویت ما ایجاد محیطی در وزارتخانه است که کارمندان احساس امنیت و احترام کنند. ما نسبت به حفظ امنیت خود و آزادی‌های مدنی و حریم خصوصی کارمندان و عموم مردم متعهد هستیم.
 
بررسی کنندگان علاوه بر حذف واحد توصیه کرده‌اند وزارت بازرگانی قانونی جنایی را که بخشی از مسئولیت واحد بود نیز اجرا نکند. به طور واضح توضیح داده شده این وزارتخانه اختیارات لازم برای انجام چنین فعالیت‌هایی ندارد.

جاسوسی وزارت بازرگانی آمریکا از شهروندان در شبکه های اجتماعی

 
وزارت بازرگانی آمریکا باید طی ۹۰ روز یکی از بخش های زیر مجموعه خود را حذف کند چرا که طبق بررسی ها به طور غیرقانونی شهروندان آمریکایی را در شبکه های اجتماعی رصد می کرد.
 
 به نقل از ورج، وزارت بازرگانی آمریکا روز جمعه اعلام کرد بخش امنیت داخلی خود را حذف می‌کند زیرا بررسی‌ها نشان داد این بخش با انجام تحقیقات جنایی درباره کارمندان بخش بازرگانی و شهروندان آمریکایی فراتر از اختیار خود عمل کرده است.
 
طبق بررسی دفتر شورای عمومی وزارت بازرگانی آمریکا، بخش «سرویس تحقیق و مدیریت تهدید» اختیار قانونی لازم برای انجام بررسی‌های جنایی را ندارد.
 
کنگره آمریکا در اوایل سال جاری تحقیقاتی درباره واحد مذکور نیز انجام داد. در ماه می سناتور راجر ویکر بولتنی گزارشی از تحقیقات درباره بخش سرویس تحقیق و مدیریت تهدید منتشر کرد. در این گزارش اشاره شده بود واحد مذکور فعالیت‌های افراد در توئیتر را رصد می‌کند تا مشخص شود کدام حساب‌های کاربری درباه فرایندهای سرشماری آمریکا اظهار نظرهای منتقدانه ثبت می‌کنند.
 
به طور دقیق‌تر بخش سرویس تحقیق و مدیریت تهدید وزارت بازرگانی آمریکا با هدف نشان دادن قدرت‌های اطلاعاتی خود در شبکه‌های اجتماعی تحقیقاتی انجام داده است. اما تاکنون شواهدی درباره تلاش برای بی اعتبار کردن سرشماری رصد نشده بود. فعالیت‌های واحد مذکور از اواسط دهه ۲۰۰۰ میلادی آغاز شده است.
 
در بیانیه وزارت بازرگانی آمده است: براساس توصیه بررسی کنندگان، این واحد باید طی ۹۰ روز حذف شود و وظایف امنیتی آن به بخش‌های دیگر وزارت خانه منتقل شود. اولویت ما ایجاد محیطی در وزارتخانه است که کارمندان احساس امنیت و احترام کنند. ما نسبت به حفظ امنیت خود و آزادی‌های مدنی و حریم خصوصی کارمندان و عموم مردم متعهد هستیم.
 
بررسی کنندگان علاوه بر حذف واحد توصیه کرده‌اند وزارت بازرگانی قانونی جنایی را که بخشی از مسئولیت واحد بود نیز اجرا نکند. به طور واضح توضیح داده شده این وزارتخانه اختیارات لازم برای انجام چنین فعالیت‌هایی ندارد.