اشتراک‌گذاری سریع اطلاعات مربوط به حوادث سایبری در حین پاسخ به یک رخداد، یکی از عوامل کلیدی در افزایش تاب‌آوری سایبری (Cyber Resilience) است. حوادث گسترده در بخش خرده‌فروشی نشان داد که تبادل به‌موقع اطلاعات، نه تنها برای یک صنعت خاص، بلکه برای سایر بخش‌ها نیز حیاتی است؛ چرا که سازمان‌ها اغلب از فناوری‌ها، تأمین‌کنندگان و زنجیره‌های تأمین (Supply Chains) دیجیتال مشابهی استفاده می‌کنند و یک آسیب‌پذیری در یک سازمان می‌تواند در سازمان‌های دیگر نیز تکرار شود.
چالش‌های رگولاتوری در تبادل اطلاعات
سازمان‌ها معمولاً اطلاعات حوادث را با مراکز ملی امنیت سایبری یا جوامع مورد اعتماد به اشتراک می‌گذارند. با این حال، این فرآیند اغلب تحت فشارهای عملیاتی، حقوقی و تجاری شدید صورت می‌گیرد. برای بسیاری از سازمان‌ها، به‌ویژه شرکت‌های سهامی عام، تردید در مورد تعهدات رگولاتوری و احتمال افشای اطلاعات حساس بازار یا «اطلاعات داخلی» (Inside Information)، مانعی جدی در برابر اشتراک‌گذاری به‌موقع داده‌ها ایجاد می‌کند.
در بریتانیا، عدم قطعیت در مورد نحوه رعایت مقررات سوءاستفاده از بازار (MAR) که توسط سازمان FCA نظارت می‌شود، باعث شده بود برخی سازمان‌ها در اشتراک‌گذاری اطلاعات با NCSC دچار تردید شوند. مسئله اصلی، عدم تمایل به همکاری نبود، بلکه ابهام در نحوه تطبیق الزامات قانونی با نیازهای امنیتی بود.
رویکرد مشترک برای رفع ابهامات
برای حل این مشکل، یک همکاری سه‌جانبه میان صنعت، NCSC و FCA شکل گرفت تا دیدگاه‌های مختلف بررسی شود:
- بخش صنعت: واقعیت‌های عملیاتی پاسخ به حوادث و چالش‌های تصمیم‌گیری برای اشتراک‌گذاری داده‌ها را ارائه کرد.
- NCSC: تخصص خود را در زمینه پاسخ به حادثه (Incident Response) و نحوه استفاده از اطلاعات دریافتی به اشتراک گذاشت.
- FCA: به عنوان نهاد نظارتی، تخصص حقوقی خود را در مورد نحوه اجرای الزامات قانونی در زمان وقوع حوادث سایبری ارائه داد.
دستاوردهای عملیاتی و راهکارهای پیشنهادی
این همکاری منجر به تدوین راهنمای عملی FCA در مورد افشای اطلاعات داخلی مرتبط با حوادث سایبری شد. این راهنما به سازمان‌ها کمک می‌کند تا تعهدات خود را در هنگام پاسخ به یک حادثه ارزیابی کنند. نکته کلیدی این است که اشتراک‌گذاری اطلاعات با NCSC برای محافظت از سیستم‌های حیاتی و خدمات آنلاین، با الزامات رگولاتوری سازگار است، زیرا این اقدام در چارچوب وظایف حرفه‌ای و قانونی سازمان تلقی می‌شود.
در نهایت، اگرچه هر سازمان مسئول ارزیابی شرایط خاص خود و رعایت قوانین است، اما ارائه راهنماهای شفاف رگولاتوری باعث می‌شود تردیدهای قانونی، مانعی برای تقویت امنیت جمعی نباشد. ایجاد تاب‌آوری ملی مستلزم آن است که سازمان‌ها بتوانند با اطمینان و سرعت، اطلاعات تهدیدات را به اشتراک بگذارند.
