رابطه میان سایبر و اصول اخلاقی

به گزارش کارگروه بین‌الملل سایبربان؛ پاتریک شاناهان (Patrick Shanahan)، معاون وزیر دفاع آمریکا در ماه سپتامبر امسال گفت که پنتاگون قصد دارد صنعت را برای بهبود امنیت سایبری مسئولیت‌پذیر کند و بدین منظور واشنگتن وارد دنیای جدیدی می‌شود.

تمرکز وزارت دفاع ایالات متحده روی افزایش مسئولیت پیمانکار برای رعایت امنیت سایبری میتواند منجر به مشکلات اخلاقی و رعایت رضایتمندی شود، زیرا شرکت کنندگان در این صنعت برای برآوردن استانداردهای قراردادی و فنی نامطمئن و ابزارهای اجرای کار با یکدیگر همکاری می‌کنند. دفتر حقوقی برایان سوئینی (Brian E. Sweeney) با تمرکز روی مسائل فناوری، هوافضا و دفاعی، قراردادهای دولتی و تجاری و برنامههای اخلاقی و انطباقی دراین خصوص مقاله‌ای نوشته که بدین شرح است:

«با وجود پیشرفت حاصله، پیمانکاران باید نگرانی های مسائل امنیت سایبری را در برنامه های اخلاقی و انطباقی خود به عنوان ابزاری برای تغییر فرهنگ سازمان و برآورده شدن الزامات دنیای جدید نمایش داده و اطمینان حاصل کنند که مشکل امنیت سایبری مشکلات اخلاقی و قانونی اضافی ایجاد نمی‌کند.

رویکرد فعلی پنتاگون برای ایجاد و حفظ انطباق پیمانکار با استانداردهای امنیت سایبری از طریق مفاد قرارداد در ضمیمه مقررات دفاعی تأمین فدرال «252.204-7012» است که از اواخر دسامبر سال 2017 نیاز به تحت پوشش قرار دادن پیمانکاران برای حفاظت از اطلاعات طبقه بندی نشده کنترل شده در سازمان‌ها و سیستم های اطلاعاتی غیرانتفاعی در انتشارات ویژه مؤسسه ملی استاندارد و فناوری «800-171» داشته است. پیمانکاران باید نیازهای خودشان را برآورده کنند، که اغلب ارزیابی دشواری است.

باوجود هشدارهای وزارت دفاع در دستورالعملهای مطابق با این الزامات، درنهایت مسئولیت پیمانکار تعیین احتمال اجرای انتشارات ویژه مؤسسه ملی استاندارد و فناوری همانند هر ابزار امنیتی موردنیاز در ارائه مناسب امنیت برای اطلاعات دفاعی پوششی است.

اخیراً، در تأییدیه کتبی مشترک قبل از کمیته خدمات مسلح خانه نمایندگان، ریاست وزارت دفاع آمریکا یک برنامه آزمایشی به نام «تحویل بدون مصالحه» را اعلام کرد که تمرکز و میزان تعهدات امنیت سایبری پیمانکار را افزایش خواهد داد. هدف این برنامه، ایجاد امنیت به عنوان ستون چهارم در کسب، در مقایسه با هزینه، برنامه ریزی و عملکرد به عنوان تعهدات پیمانکاران برجسته در تقویت توانایی امنیت سایبری آنها است. برنامه آزمایشی فوق در سال آینده اجرا خواهد شد.

این دیدگاه‌ها با انتشار خلاصه راهبرد سایبری دفاعی وزارت دفاع ایالات متحده در ماه سپتامبر گذشته مورد تأیید قرار گرفتند. سازمان با تنظیم راهبرد سطح بالا برای دفاع از دارایی‌های غیرنظامیان در پایگاه صنعتی دفاعی، وعده تنظیم و اجرای استانداردهای امنیت سایبری، انعطاف پذیری و گزارش دهی و حفظ مسئولیت پرسنل سازمان و شرکای بخش خصوصی تمرینات و انتخاب‌های امنیت سایبری خودشان را می‌دهد. 

پنتاگون با توجه بیش از حد به امنیت سایبری پیمانکار به عنوان ستون چهارم مالکیت، در حال افزایش اهمیت تأییدیه شخصی پیمانکاران با توجه به موافقت آنها با استانداردهای نامشخص است. این امر باعث افزایش خطرات و درنتیجه رویارویی پیمانکاران با مسئولیت‌های قراردادی، غیرنظامی یا حتی جنایی برای تعهدات ضمنی یا صریح می‌شود که با بی‌توجهی و غفلت یا اجرای بی‌ملاحظه حقیقت تأییدیه شخصی یا بیانیه‌های کاملاً نادرست اجرا می‌شود.

در سطح قراردادی، موافقت ضعیف به پیمانکاری ختم می‌شود که به نظر براساس الزامات موردنیاز و ارزیابی‌های اولیه توانایی‌های امنیت سایبری پیمانکار برای جایزه واجد شرایط نیست. پس از اعطای جایزه، نقص امنیت سایبری میتواند منجر به نقص مواد قراردادی و درنتیجه ادعای خسارت از سوی پیمانکاران اصلی و فرعی مرتبط و دولتی یا حتی ایجاد زمینه فسخ قرارداد شود. 

در سطح اجرایی، تأییدیه‌های شخصی می‌تواند اساس تعقیب قانونی ادعاهای جنایی و مدنی باشد. حداقل در سطح مدنی، این یک ریسک نظری نیست. حداقل دو مورد اقدامات افشاگری در برابر پیمانکاران با توجه به تطابق آنها با الزامات امنیت سایبری وزارت دفاع وجود دارد. در هر دو مورد، دولت ایالات متحده از مداخله در موضوع خودداری کرده و یک پرونده به طور داوطلبانه مورد تأیید قرار نگرفت، در حالیکه دیگر موارد در انتظار تأیید هستند. موارد دیگر هنوز محرمانه هستند، درحالیکه دولت این اتهامات را بررسی و سپس برای مداخله تصمیم‌ گیری می‌کند.

با وجود اینکه الزامات تاحدودی نامطمئن باقی مانده و اجرا و نظارت بر مسائل امنیت سایبری افزایش می‌یابند، پیمانکاران باید استفاده از برنامه‌های اخلاقی و انطباقی را به عنوان عنصر راهبرد امنیت سایبری خود بررسی کنند. یک برنامه مستحکم در حال حاضر باید ارزش های اصلی و فرهنگ سازمان پیمانکار را تعریف کند و افزودن آگاهی رسانی امنیت سایبری و تطابق به ارزش های اصلی سازمان، می‌تواند به تغییر فرهنگ مدنظر پنتاگون کمک کند.

برنامه همچنین باید شامل آموزش مداوم، ارزیابی ریسک و گزارش موارد نقض احتمالی به مدیریت و دولت تحت قانون مالکیت فدرال کد اخلاقی رفتاری تجاری پیمانکار 52.203-13 باشد. بند قانون مالکیت فدرال نیازمند مستلزم گزارش اجباری تقلب مشکوک و سایر موارد تحت ماده 52.203-13 (b) (2)  و همچنین ایجاد یک برنامه انطباقی و آگاهی اخلاقی تجاری مداوم با کنترل های داخلی مناسب و ارزیابی خطرات دورهای تحت شماره 52.203-13 (c) است.

این عناصر برنامه باید با استانداردهای مؤسسه ملی فناوری و استانداردها هماهنگ باشند تا اطمینان حاصل شود که هر رویداد امنیت سایبری قابل گزارش نه تنها باید مطابق با استانداردها گزارش داده شود، بلکه از یک دیدگاه اخلاقی و انطباق ارزیابی و تحت قانون مالکیت فدرال نیز گزارش داده شود. به همین ترتیب، هر ارزیابی ریسک امنیت سایبری که آگاهی و آموزش کارمندان یا کمبود کنترل های داخلی را نشان می‌دهد، باید به عنوان بخشی از برنامه اخلاقی و انطباقی بررسی شود.