دولت بریتانیا در حال بازنگری جامع در رویکرد امنیت سایبری برای بخش خدمات کشوری است. این تغییر مسیر، انتقال از مدل‌های دستوری (Top-down Mandates) به سمت ایجاد سرویس‌های متمرکزی است که تیم‌های عملیاتی در خط مقدم، تمایل به پذیرش و استفاده از آن‌ها داشته باشند.
شکست مدل‌های دستوری در ساختارهای فدرال
برندون نولتون-هانگ (Breandán Knowlton-Hung)، معاون CISO خدمات کشوری بریتانیا، در جریان اجلاس Gartner Security & Risk Management در لندن، توضیح داد که چگونه گزارش سال ۲۰۲۵ دفتر حسابرسی ملی (NAO) منجر به بازنگری در مدل عملیاتی استراتژی امنیت سایبری ملی سال ۲۰۲۲ شد.
استراتژی سال ۲۰۲۲ بر چشم‌انداز «دفاع یکپارچه» (Defend as One) متمرکز بود. در این مدل، دفتر CISO مسیر کلی و دیدگاه کلان ریسک را تعیین می‌کرد، در حالی که هر سازمان به‌طور مجزا مسئول مدیریت ریسک‌های محلی خود بود. با توجه به اینکه دولت بریتانیا از حدود ۴۶۵ نهاد مجزا (شامل وزارتخانه‌ها و سازمان‌های عمومی) تشکیل شده است، این مدل بر این فرض استوار بود که صرفاً با صدور استانداردها و الزام به تضمین (Assurance)، انطباق و نتایج مطلوب حاصل می‌شود.
یافته‌های بحرانی حسابرسی NAO
گزارش NAO در سال ۲۰۲۵ نشان داد که پس از سه سال اجرای استراتژی، دولت بریتانیا با چالش‌های جدی روبروست:
- فقدان برنامه اجرایی: نبود یک برنامه پیاده‌سازی مناسب و عدم امکان ارزیابی اثربخشی اقدامات.
- کمبود شدید نیروی انسانی: یک‌سوم پست‌های سایبری خالی بوده یا توسط پیمانکاران موقت پر شده‌اند و اکثریت معماران متخصص (Specialist Architects) به‌صورت غیردائمی فعالیت می‌کردند.
- شکاف بین سیاست و اجرا: محدودیت‌های بودجه‌ای و تداخل ریسک‌ها باعث شد دستورات متمرکز در سطح سازمان‌های محلی عملی نشوند.
مدل حاکمیت چندمرکزی (Polycentric Governance)
در پاسخ به این چالش‌ها، دولت بریتانیا به سمت مدل «حاکمیت چندمرکزی» حرکت کرده است. در این مدل، مراکز تصمیم‌گیری متعددی وجود دارند که به‌جای پیروی صرف از یک سلسله‌مراتب واحد، با یکدیگر هماهنگ می‌شوند. استراتژی جدید بر این اصل استوار است: «تعداد موارد تحت مدیریت متمرکز را کاهش ده، اما مدیریت آن‌ها را سخت‌گیرانه‌تر کن و در سایر بخش‌ها، خدماتی ارائه بده که به‌طور غیرقابل‌انکار مفید باشند».
مثال عملی: سرویس متمرکز پایش آسیب‌پذیری
یکی از نمونه‌های موفق این رویکرد، ایجاد یک سرویس متمرکز برای پایش آسیب‌پذیری (Vulnerability Monitoring) است که هزاران سازمان بخش عمومی را برای شناسایی هزاران کلاس از نقاط ضعف بیرونی اسکن می‌کند و سپس اعلان‌های عملیاتی (Actionable Notifications) را به مالکان مربوطه ارسال می‌کند.
این تغییر رویکرد منجر به نتایج ملموسی شده است: میانگین زمان رفع آسیب‌پذیری‌های سطح دامنه (Domain-level Vulnerabilities) از ۵۰ روز به ۸ روز کاهش یافته است. نکته کلیدی این است که این اصلاحات نه از طریق دستور، بلکه به دلیل مفید بودن سرویس توسط تیم‌های محلی انجام شد.
