ایتنا- بهناز آریا: رسانه مهم‌ترین نقش را در ارتقای دانش عمومی بازی می‌کند.

یاشار بهمند- همواره یکی از تلاش‌های گروه‌های صنفی نظم‌بخشی و ساماندهی کسب و کار بوده و خواهد بود. نظام صنفی رایانه‌ای که از جوان‌ترین نهادهای صنفی کشور است هم از این امر مستثنی نبوده و یکی از اهداف خود را نظام‌مندی فعالیت‌های صنفی دانسته است.
کمیسیون افتا این سازمان که یکی از فعال‌ترین زیر مجموعه‌های سازمان نظام صنفی رایانه‌ای محسوب می‌شود، سال گذشته از فعال‌ترین کمیسیون‌های سازمان نظام صنفی در حوزه ساماندهی کسب و کار بوده است. 
در همین راستا و برای آشنایی با فعالیت‌های این کمیسیون، به سراغ رئیس کمیسیون، خانم بهناز آریا رفتیم تا خوانندگان ما با کارهای انجام گرفته در این کمیسیون از یک سو و از سوی دیگر با دیدگاه مسئول امنیت صنف IT نسبت به مسائل این صنف آشنا شوند. 


• سابقه شما در زمینه افتا اولین سئوال ما در این مصاحبه است.
فعالیت IT من از کهکشان آغاز شد و با این شرکت ادامه یافت و امروز با ۱۳ سال سابقه در سمت قائم مقام کهکشان مشغول به فعالیت هستم. اما بخش اصلی کهکشان که همان آموزش است، ذات شرکت را دانش‌بنیان نموده است. این ذات دانش‌بنیان باعث شده که مدرسان مجموعه، همگی در تمام سال‌ها تلاش کنند که در صف مقدم ورود فناوری اطلاعات به شرکت باشند و امنیت هم از این مستثنا نبود. 
چون علاقه به امنیت در مجموعه کهکشان از همان روزهای اول وجود داشت و متخصصان زیادی نیز در مجموعه حاضر بودند، در سال ۸۴ شرکت کهکشان مشاور ایمن را به عنوان یک شرکت مشاوره در حوزه امنیت در مجموعه کهکشان تاسیس کردیم و با این شرکت پروژه‌های مختلفی را انجام داده‌ایم. 
علاقه شخصی بنده در حوزه امنیت اطلاعات هم در زمینه مدیریت فناوری اطلاعات بود و چه در زمینه تدریس و آموزش و چه در حوزه پروژه‌های مشاوره فناوری اطلاعات که شرکت انجام داده در بخش مدیریت امنیت اطلاعات فعالیت داشته‌ام. کار دیگری که من انجام می‌دهم ممیزی‌های استانداردهای حوزه امنیت است و اکنون به عنوان سرممیز اسنانداردهای ISO۲۷۰۰۰، ISO۲۰۰۰۰ و ES۲۵۹۹ هستم.

• برای بررسی بازار امنیت نیاز به شناخت بازیگران این حوزه داریم. آیا شما آماری از تعداد شرکت‌های فعال در حوزه امنیت و توانمندی‌های آنها دارید؟
متاسفانه هیچ دیتابیس قابل استنادی در مورد تعداد شرکت‌های افتا در ایران وجود ندارد و یکی از کارهایی که در این کمیسیون مصر به انجام آن هستیم، برگزاری فراخوان و جمع‌آوری اطلاعات این شرکت هاست. 
متاسفانه شرکت‌های حوزه افتا در زمینه‌هایی که تاکنون وارد شده‌ایم همکاری‌های لازم را انجام نداده‌اند و اطلاعات کامل خود را ارائه نکرده‌اند؛ شاید نگران اطلاعات خود هستند یا این فراخوان‌ها را جدی نمی‌گیرند. 
اما پس از سال‌ها فعالیت در حوزه امنیت ما تعدادی از شرکت‌ها را به عنوان شرکت‌های حاضر در پروژه‌ها می‌شناسیم، این عدد در حدود ۱۴۰ الی ۱۵۰ شرکت است. اما از اینکه گستره فعالیت این شرکت‌ها چقدر است و اینکه شرکت‌ها چه میزان توانایی دارند، اطلاع‌درستی نداریم.

• با توجه به اینکه خود شما مدیریت بخش آموزش موسسه‌ای آموزشی را بر عهده دارید، آیا می‌توانیم آماری از تعداد متخصصان امنیت فناوری اطلاعات بخش خصوصی ارائه کنیم؟
تعداد دانشجوهایی که هر سال در موسسات آموزشی چون کهکشان به عنوان کارشناس امنیت تربیت می‌شوند، بسیار زیاد است اما فقط بخشی از این‌ها به متخصص ویژه امنیت تبدیل می‌شوند. بیشتر این کارشناسان افرادی هستند که دانش امنیتی را کسب می‌کنند که در کار خود از آن استفاده کنند ولی متخصص ویژه امنیت نیستند. 
تعداد متخصصین ویژه امنیت بسیار کم است. برای به دست آوردن برآورد ساده‌ای از تعداد کارشناسان امنیت، به طور متوسط برای هر یک شرکت امنیتی ۶ یا ۷ کارمند در نظر می‌گیریم و با این برآورد تخمین ۱۰۰۰ نیروی متخصص امنیت عدد دور از ذهنی نیست. بار دیگر اعلام می‌کنم که هیچ یک از این اعداد آمار واقعی و قابل استنادی محسوب نمی‌شود و بیشتر بر روی حدس و گمان استوار است. 

• با در نظر گرفتن تعداد حدودی شرکت‌ها و متخصصین حوزه امنیت آیا می‌توانیم برآورد صحیحی از توان امنیت فناوری اطلاعات در بخش خصوصی داشته باشیم؟
با توجه به انجام پروژه‌های ملی توسط بخش خصوصی می‌توانیم بگوییم بخش خصوصی ما توانایی بسیار بالایی دارد براحتی از پس بزرگ‌ترین پروژه‌ها بر آمده است. اما طبق آخرین برآوردی که سازمان فناوری اطلاعات انجام داده، حدود ۳۶۰۰ سازمان دولتی شناسایی شده است که نیاز به گرفتن خدمات امنیت اطلاعات از بخش خصوصی دارند. 
اگر به این تعداد سازمان‌های خصوصی شده و شرکت‌های خصوصی را اضافه کنید که حتی آنها هم بخشی از زیرساخت‌های حیاتی را تشکیل می‌دهند با حجم بالای از نیاز به امنیت فناوری اطلاعات مواجه می‌شویم که باید توسط بخش خصوصی پشتیبانی گردند و بخش خصوصی ما باید برای پاسخگویی به این نیاز آمادگی لازم را داشته باشد. 
امروز با توجه به تعداد حدودی شرکت‌های امنیتی فکر می‌کنم این تعداد پاسخگو نیست. از سوی دیگر باید این نکته را نیز گوشزد کنم که از بین شرکت‌های امنیتی فعال فقط تعداد محدودی از آنها (در حدود ۲۰ الی ۳۰ شرکت) توان واقعی ارائه خدمات به سازمان‌ها و شرکت‌های بزرگ را دارند. این نکته بسیار نگران کننده است و به نظر می‌رسد که هم از سوی بخش خصوصی و هم از سوی بخش دولتی باید اقدامات بسیاری انجام شود.

• تعامل دولت و بخش خصوصی در حوزه امنیت چگونه است؟ آیا حمایت‌های لازم از بخش خصوصی توسط دولت انجام می‌شود؟
در سال‌های گذشته وضعیت تعامل دولت با بخش خصوصی به ویژه در حوزه امنیت اصلاً خوب نبود. البته پروژه‌هایی از سوی دولت تعریف و توسط بخش خصوصی انجام می‌شد ولی منظور ما از تعامل هماهنگی بیشتر بین صنف و بخش دولتی است که بسیار ضعیف بود. 
البته در سال گذشته تعاملات خوبی بین بخش خصوصی و قسمت‌هایی از بدنه دولت انجام پذیرفت ولی همچنان برای ما راضی‌کننده نیست. بزرگ‌ترین مسئله تا سال‌های گذشته عدم وجود سیاست‌های کلان و ساختارهای سیاستگذاری در دولت بود که آن هم با تشکیل شورای عالی فضای مجازی به انجام رسید. 
ما امیدواریم با تشکیل این سازمان سطح تعاملات بالاتر برود و بخش دولتی از توانایی‌های شرکت‌های خصوصی مطلع شوند. ما چند مشکل در تعامل بین مدیران بخش دولتی و خصوصی در حوزه امنیت داریم که یکی از مهم‌ترین آنها عدم دیدگاه یکسان در بین این دو است. 
متاسفانه بخش دولتی هنوز محصول محور عمل می‌کند و ایجاد امنیت را در خرید چند محصول نرم‌افزاری و سخت‌افزاری مانند ضدبدافزارها می‌بینند، در صورتی که این محصولات بخشی از دیدگاه فراگیر نسبت به مدیریت امنیت فناوری اطلاعات است. مشکل دیگر دیدگاه گروهی از مدیران دولتی است که امنیت را به عنوان بحث عمده نمی‌بینند و تا جایی که ممکن است تلاش می‌کنند هزینه‌های امنیتی را کم کنند. 
سوی دیگر رفتار این مدیران وقتی است که از بخش خصوصی متوقعند که فضای بسیار امنی را فراهم سازد که این امر چیزی در حد غیرممکن است. عدم پرداخت‌های به موقع در پروژه‌ها یکی دیگر از معضلات بخش خصوصی است که به ویژه شرکت‌های ارائه‌دهنده محصولات خارجی با آن بیشتر درگیرند و این امر باعث شده تعدادی از شرکت‌ها در وضعیت بحران به سر ببرند.