کاوند: تاب‌آوری باید در ارزیابی فناوری‌های زیرساخت حیاتی جایگاه مشخص‌تری داشته باشد

سال‌هاست درباره حمایت از محصولات بومی در حوزه فناوری اطلاعات و امنیت سایبری صحبت می‌شود. ‌بهروز کاوند، مدیرعامل شرکت مدبران که در سالن ۴۴ در پاویون کمیسیون تولید حضور دارد در حاشیه بیست‌ونهمین نمایشگاه الکامپ درباره تفاوت برخورد و نگاه به محصولات مورد استفاده در زیرساخت‌های حیاتی نسبت به سایر تولیدات داخلی گفت: به نظرم یکی از اشکالات از همین جا شروع می‌شود که همه محصولات فناوری را در یک سبد قرار می‌دهیم. طبیعتا تولید یک نرم‌افزار سازمانی یا یک محصول عمومی IT در داخل کشور ارزشمند است، اما محصولی که قرار است در شبکه یک نیروگاه، پالایشگاه، شبکه برق، آب یا یک زیرساخت حیاتی قرار بگیرد، داستان متفاوتی دارد.

وی ادامه داد: اینجا دیگر فقط درباره یک کالا یا حتی صرفه‌جویی ارزی صحبت نمی‌کنیم. بعضی از این فناوری‌ها عملا بخشی از معماری امنیتی و دفاعی زیرساخت کشور هستند و مستقیما با تاب‌آوری آن زیرساخت ارتباط دارند. یعنی توانایی یک مجموعه برای ادامه فعالیت، مقابله با اختلال و بازگشت به شرایط عملیاتی در زمان بحران. بنابراین سوال اصلی فقط این نیست که محصول داخلی است یا خارجی. سوال مهم‌تر این است که کشور تا چه اندازه روی فناوری‌هایی که امنیت، استمرار خدمات و تاب‌آوری زیرساخت‌های حیاتی به آنها وابسته است کنترل دارد.

کاوند تاکید کرد: البته استفاده از فناوری خارجی در زیرساخت‌های حیاتی را نباید یک تهدید بدانیم. اصلا نمی‌شود چنین حکم کلی داد. صنعت امروز بدون فناوری‌های بین‌المللی قابل تصور نیست و اینکه بگوییم همه چیز باید بومی شود نه عملی است و نه لزوما امنیت بیشتری ایجاد می‌کند. بحث اصلی نقاط وابستگی راهبردی است. باید ببینیم اگر یک محصول به لایسنس خارجی، به‌روزرسانی آنلاین، سرویس ابری یا پشتیبانی سازنده وابسته است، در شرایط عادی فقط با یک وابستگی تجاری مواجهیم یا در شرایط بحران این وابستگی می تواند استمرار فعالیت یک زیرساخت را تحت تاثیر قرار دهد؟ اینجاست که تاب آوری اهمیت پیدا می کند. یک زیرساخت حیاتی باید برای شرایط غیرعادی هم طراحی شده باشد. تحریم، جنگ، حمله سایبری، قطع ارتباطات بین المللی یا حتی تصمیم تجاری یک شرکت خارجی نباید بتواند یک قابلیت حیاتی را از دسترس خارج کند.‌ به همین دلیل معتقدم در فناوری‌های حساس، استقلال عملیاتی و تاب‌آوری باید در کنار امنیت به معیارهای اصلی تصمیم‌گیری تبدیل شوند. یعنی حتی در شرایط بحران بتوانیم فناوری را بهره‌برداری، نگهداری، بازیابی و پشتیبانی کنیم.

کاوند درباره این نگاه منتقدان تولید داخل، که معمولا می‌گویند حمایت از محصول بومی ممکن است باعث شود کیفیت و رقابت در اولویت دوم قرار بگیرد، گفت: اگر حمایت را اشتباه تعریف کنیم، این نگرانی کاملا واقعی است. بومی بودن نباید برای هیچ محصولی حاشیه امن ایجاد کند، مخصوصا محصولی که قرار است وارد زیرساخت حیاتی شود. اتفاقا این محصولات باید سختگیرانه‌تر آزمایش شوند. امنیت، کیفیت، منشا فناوری، فرایند توسعه، زنجیره تامین، استمرار پشتیبانی و عملکرد در شرایط بحران باید قابل ارزیابی باشد. من این موضوع را این طور خلاصه می‌کنم: بومی بودن جایگزین کیفیت و امنیت نیست، بلکه زمانی ارزش راهبردی پیدا می‌کند که در کنار کیفیت و امنیت، تاب‌آوری کشور را هم افزایش دهد.

وی ادامه داد: از طرف دیگر نباید انتظار داشته باشیم یک فناوری بومی بدون دسترسی به محیط واقعی، پایلوت و بازخورد بهره بردار، یک شبه به بلوغ محصولات بین المللی با چند دهه سابقه برسد. حمایت درست یعنی ایجاد فرصت رشد برای فناوری که صلاحیت فنی خودش را اثبات کرده، نه پایین آوردن استاندارد برای آن.

مدیرعامل مدبران درباره موضوع تعدد نهادهای نظارتی و فرایندهای مختلف ارزیابی، تجربیات خود را این‌گونه تشریح کرد: من اصل سختگیری را کاملا ضروری می‌دانم. وقتی درباره زیرساخت حیاتی صحبت می‌کنیم، طبیعتا نمی‌توان با یک ارزیابی ساده اجازه ورود یک فناوری را داد. مسئله بیشتر تعدد مسیرها و گاهی نبود وحدت رویه است. ممکن است یک محصول از چند مسیر مورد بررسی قرار بگیرد و در هر مسیر با الزامات یا برداشت‌های متفاوتی مواجه شود. گاهی هم بخشی از تصمیم‌گیری‌ها به تفسیر کارشناسی یا شرایط یک پروژه وابسته می‌شود. به نظرم باید بین سختگیری و پیچیدگی تفاوت قائل شویم. ارزیابی می‌تواند بسیار سختگیرانه باشد، اما در عین حال شفاف، هماهنگ و قابل پیش‌بینی هم باشد. حتی فکر می‌کنم در ارزیابی فناوری‌های زیرساخت حیاتی باید تاب‌آوری هم جایگاه مشخص‌تری داشته باشد. اینکه محصول در شرایط قطع سرویس خارجی، اختلال ارتباطی یا بحران چه رفتاری دارد، استمرار خدمات آن چگونه تضمین می‌شود و زنجیره پشتیبانی آن تا چه اندازه در داخل کشور قابل حفظ است، به اندازه برخی شاخص‌های فنی اهمیت دارد.

او درباره تغییر اساسی در نگاه حاکمیت به این حوزه پیشنهاد کرد: فکر می‌کنم باید کم‌کم از مفهوم صرف حمایت از محصول بومی عبور کنیم و درباره حاکمیت بر فناوری های راهبردی و تاب‌آوری ملی صحبت کنیم. در این نگاه حاکمیت ابتدا مشخص می‌کند کشور برای امنیت و استمرار زیرساخت‌های حیاتی به چه فناوری‌هایی نیاز دارد و در کدام نقاط، وابستگی خارجی می تواند در زمان بحران به نقطه آسیب پذیری تبدیل شود. بعد برای این فناوری‌ها برنامه بلندمدت تعریف می‌کند. از تحقیق و توسعه و آزمایش گرفته تا ارزیابی، پایلوت، خرید، پشتیبانی و استمرار توسعه. در این مدل مسئولیت تولیدکننده هم کمتر نمی‌شود، اتفاقا بیشتر می‌شود. تولیدکننده باید بتواند امنیت، کیفیت و استمرار توسعه فناوری را تضمین کند و حاکمیت هم باید یک مسیر روشن و باثبات برای رشد و به کارگیری آن ایجاد کند.

وی افزود: در‌نهایت شاید دو سوال ساده بتواند مشخص کند یک فناوری چقدر برای کشور راهبردی است: اگر فردا دسترسی کشور به این فناوری قطع شود، چه اتفاقی برای زیرساخت‌های حیاتی ما می‌افتد؟ و آیا در چنین شرایطی می‌توانیم بدون وابستگی خارجی، سرویس حیاتی را ادامه دهیم؟ اگر پاسخ این سوال‌ها نگران‌کننده باشد، دیگر درباره یک کالای معمولی فناوری اطلاعات صحبت نمی‌کنیم. درباره بخشی از امنیت، تاب‌آوری و حاکمیت فناوری کشور صحبت می‌کنیم.