امنیت زیرساخت IT شهری؛ راهنمای حفاظت از زیرساخت فناوری اطلاعات شهرداری
وقتی صحبت از امنیت یک شهرداری می‌شود، معمولاً اولین تصویر، یک فایروال، آنتی‌ویروس یا نرم‌افزار امنیتی است. اما در یک شهر دیجیتال، امنیت بسیار فراتر از نصب چند ابزار حفاظتی است.
امروز بخش قابل توجهی از فرآیندهای شهرداری به زیرساخت فناوری اطلاعات وابسته است؛ از مدیریت درآمد و صدور مجوزهای شهرسازی گرفته تا GIS، املاک و مستغلات، خدمات الکترونیک شهروندی، آرشیو اسناد، مکاتبات، سامانه‌های مدیریتی و تبادل اطلاعات میان واحدهای مختلف.
در چنین شرایطی، امنیت زیرساخت IT شهری یعنی اطمینان از اینکه داده‌ها، سامانه‌ها، شبکه‌ها و خدمات دیجیتال شهرداری در برابر دسترسی غیرمجاز، اختلال، تخریب، افشای اطلاعات و خطاهای عملیاتی تا حد امکان محافظت شده و در صورت بروز حادثه، امکان بازیابی و ادامه خدمت وجود داشته باشد.
به بیان ساده‌تر:
امنیت زیرساخت IT شهری فقط محافظت از «اطلاعات» نیست؛ محافظت از توانایی شهرداری برای ارائه خدمات است.
چارچوب NIST Cybersecurity Framework 2.0 نیز امنیت سایبری را صرفاً مجموعه‌ای از ابزارهای فنی نمی‌داند و آن را در قالب مدیریت ریسک سازمانی، حاکمیت و مجموعه‌ای از نتایج امنیتی قابل مدیریت مطرح می‌کند.
امنیت زیرساخت IT شهری چیست؟
امنیت زیرساخت IT شهری مجموعه‌ای از سیاست‌ها، فرآیندها، فناوری‌ها و اقدامات مدیریتی و فنی است که با هدف حفاظت از زیرساخت دیجیتال شهرداری و تضمین تداوم خدمات الکترونیکی شهری اجرا می‌شود.
این زیرساخت می‌تواند شامل موارد زیر باشد:
- سرورها و مراکز داده
- شبکه داخلی شهرداری
- ارتباط میان ساختمان‌ها و واحدهای سازمانی
- تجهیزات شبکه و ارتباطی
- سامانه‌های نرم‌افزاری شهرداری
- پایگاه‌های داده
- سامانه‌های GIS شهری
- سامانه‌های شهرسازی و درآمد
- سامانه‌های خدمات الکترونیک شهروندی
- سیستم‌های مدیریت اسناد و آرشیو الکترونیک
- حساب‌های کاربری و سطوح دسترسی
- APIها و سرویس‌های تبادل اطلاعات
- تجهیزات ذخیره‌سازی و پشتیبان‌گیری
- سرویس‌های ابری و زیرساخت‌های مجازی
- ایستگاه‌های کاری کارکنان
بنابراین، امنیت IT شهری را باید یک زنجیره به‌هم‌پیوسته دید؛ زیرا ضعف در یک بخش می‌تواند سایر بخش‌ها را نیز تحت تأثیر قرار دهد.
چرا امنیت زیرساخت IT برای شهرداری‌ها اهمیت بیشتری پیدا کرده است؟
شهرداری امروز تنها یک سازمان اداری با چند نرم‌افزار داخلی نیست. با گسترش خدمات الکترونیکی، تعداد سامانه‌ها، کاربران، ارتباطات بین‌سازمانی و داده‌های تولیدشده افزایش یافته است. از طرف دیگر، یکپارچه‌سازی سامانه‌های مختلف باعث شده ارتباط میان سیستم‌ها بیشتر شود.
این تحول یک نتیجه مهم دارد:
هرچه اتصال بیشتر شود، سطح حمله و نیاز به مدیریت امنیت نیز پیچیده‌تر می‌شود.
برای مثال، تصور کنید اطلاعات یک شهروند در چند فرآیند مختلف مورد استفاده قرار گیرد:
خدمات شهروندی ← احراز هویت ← سامانه شهرسازی ← اطلاعات ملک ← محاسبه عوارض ← سامانه درآمد ← پرداخت
در چنین معماری‌ای، امنیت یک سامانه به‌تنهایی کافی نیست. باید امنیت کل زنجیره تبادل اطلاعات مورد توجه قرار گیرد.
زیرساخت IT شهری دقیقاً از چه چیزهایی باید محافظت کند؟
برای طراحی یک برنامه امنیتی مناسب، ابتدا باید دارایی‌های دیجیتال شهرداری شناسایی شوند.
۱. داده‌های شهروندان
اطلاعات هویتی، ملکی، درخواست‌ها، سوابق خدمات، پرداخت‌ها و سایر اطلاعات مرتبط با شهروندان از جمله داده‌هایی هستند که نیازمند کنترل دسترسی و حفاظت مناسب‌اند.
۲. داده‌های مالی و درآمدی
اطلاعات مربوط به عوارض، درآمدها، بدهی‌ها، پرداخت‌ها و محاسبات مالی از مهم‌ترین دارایی‌های اطلاعاتی شهرداری هستند. دستکاری یا از دست رفتن این اطلاعات می‌تواند مستقیماً فرآیندهای مالی را مختل کند.
۳. اطلاعات مکانی و GIS
داده‌های مکانی، لایه‌های شهری، اطلاعات املاک، معابر، کاربری‌ها و سایر داده‌های GIS بخش مهمی از زیرساخت اطلاعات شهری را تشکیل می‌دهند. بنابراین امنیت GIS نیز باید بخشی از معماری کلی امنیت اطلاعات شهری باشد.
۴. سامانه‌های عملیاتی شهرداری
سامانه‌هایی مانند شهرسازی، درآمد، املاک، اصناف، نوسازی، کمیسیون‌ها، خدمات شهروندی و مدیریت اسناد باید از منظر امنیتی به‌صورت یک اکوسیستم بررسی شوند.
۵. زیرساخت فیزیکی
امنیت سایبری بدون امنیت فیزیکی کامل نیست. اتاق سرور، تجهیزات شبکه، تجهیزات ذخیره‌سازی، سیستم‌های برق اضطراری و محیط نگهداری تجهیزات نیز باید در برنامه امنیتی دیده شوند.
مهم‌ترین تهدیدهای امنیت زیرساخت IT شهری
تهدیدهای امنیتی الزاماً همیشه پیچیده و پیشرفته نیستند. در بسیاری از موارد، یک پیکربندی اشتباه، حساب کاربری بدون کنترل یا نسخه پشتیبان ناکافی می‌تواند به یک ریسک جدی تبدیل شود.
۱. دسترسی غیرمجاز به حساب‌های کاربری
کاربران مختلف در شهرداری نیازهای متفاوتی دارند. کارشناس درآمد نباید الزاماً به تمام اطلاعات شهرسازی دسترسی داشته باشد و کاربر یک واحد اداری نیز نباید بتواند تنظیمات حساس سرور را تغییر دهد. به همین دلیل، مدیریت هویت و دسترسی یکی از پایه‌های امنیت زیرساخت IT شهری است.
اصل مهم این است:
هر کاربر باید فقط به اطلاعات و عملیاتی دسترسی داشته باشد که برای انجام وظیفه خود به آن نیاز دارد.
۲. حملات باج‌افزاری
در حملات باج‌افزاری، مهاجم ممکن است اطلاعات یا سیستم‌های سازمان را رمزگذاری کرده و دسترسی به آن‌ها را مختل کند. برای شهرداری، مسئله فقط از دست رفتن فایل‌ها نیست. اگر سامانه‌های عملیاتی برای مدتی از دسترس خارج شوند، ممکن است فرآیندهایی مانند ثبت درخواست، صدور مجوز، وصول درآمد یا ارائه خدمات الکترونیکی نیز با اختلال مواجه شوند.
به همین دلیل، پشتیبان‌گیری و برنامه بازیابی باید بخش جدایی‌ناپذیر امنیت باشد.
۳. آسیب‌پذیری سامانه‌های قدیمی
بسیاری از سازمان‌ها به دلیل قدمت برخی زیرساخت‌ها، نسخه‌های قدیمی سیستم‌عامل، نرم‌افزار یا تجهیزات شبکه را همچنان مورد استفاده قرار می‌دهند. ادامه استفاده از تجهیزات و نرم‌افزارهای قدیمی بدون ارزیابی ریسک می‌تواند سطح آسیب‌پذیری زیرساخت را افزایش دهد.
۴. حملات فیشینگ و خطای انسانی
امنیت فقط مسئله واحد فناوری اطلاعات نیست. ممکن است یک کارمند روی یک لینک آلوده کلیک کند، رمز عبور خود را در اختیار فرد دیگری قرار دهد یا فایل مشکوکی را اجرا کند. بنابراین آموزش کاربران و ایجاد فرهنگ امنیتی باید در کنار راهکارهای فنی قرار گیرد.
۵. پیکربندی نادرست شبکه و تجهیزات
گاهی مشکل از نبود ابزار امنیتی نیست؛ بلکه از تنظیم نادرست ابزار موجود ناشی می‌شود. باز بودن سرویس‌های غیرضروری، سطح دسترسی بیش از نیاز، استفاده از رمزهای عبور ضعیف یا نبود تفکیک مناسب شبکه می‌تواند ریسک امنیتی ایجاد کند.
یک اشتباه رایج: امنیت را مساوی فایروال ندانیم
فایروال مهم است، اما امنیت زیرساخت IT شهری به یک تجهیز محدود نمی‌شود.
می‌توان امنیت را مانند چند لایه حفاظتی در نظر گرفت:
کاربر → هویت → شبکه → سامانه → پایگاه داده → پشتیبان‌گیری → پایش → بازیابی
اگر یکی از این لایه‌ها نادیده گرفته شود، ممکن است سایر لایه‌ها نیز تحت تأثیر قرار گیرند. برای مثال، اگر شبکه به‌خوبی محافظت شود اما حساب‌های کاربری بدون کنترل باشند، همچنان ریسک وجود دارد. یا اگر تمام سیستم‌ها ایمن باشند اما نسخه پشتیبان قابل اتکایی وجود نداشته باشد، بازیابی پس از یک حادثه دشوار خواهد بود.
معماری امن شبکه برای شهرداری
یکی از اقدامات مهم، تفکیک منطقی بخش‌های مختلف شبکه است. به‌عنوان نمونه می‌توان شبکه را بر اساس نیازهای عملیاتی به بخش‌هایی مانند:
- شبکه کاربران
- سرورها
- پایگاه‌های داده
- سرویس‌های عمومی
- تجهیزات مدیریتی
- سامانه‌های خاص
- دسترسی‌های بیرونی
تقسیم کرد.
این تفکیک باعث می‌شود در صورت بروز مشکل در یک بخش، امکان کنترل بهتر دامنه حادثه وجود داشته باشد. در معماری‌های جدیدتر، مفهوم Zero Trust نیز می‌تواند در طراحی کنترل دسترسی مورد توجه قرار گیرد؛ یعنی صرفاً به دلیل قرار داشتن یک کاربر یا دستگاه در شبکه داخلی، دسترسی آن به منابع حساس به‌صورت پیش‌فرض پذیرفته نشود.
امنیت پایگاه داده؛ قلب حفاظت از اطلاعات شهری
بخش زیادی از ارزش اطلاعاتی شهرداری در پایگاه‌های داده قرار دارد. بنابراین امنیت پایگاه داده باید موضوعی مستقل و جدی باشد. برخی اقدامات کلیدی عبارت‌اند از:
- تعیین سطح دسترسی کاربران
- ثبت رویدادهای مهم
- کنترل تغییرات اطلاعات
- رمزنگاری اطلاعات حساس در صورت نیاز
- تهیه نسخه پشتیبان
- آزمایش فرآیند بازیابی
- جداسازی دسترسی مدیریتی
- به‌روزرسانی منظم نرم‌افزارهای مرتبط
- پایش فعالیت‌های غیرعادی
نکته مهم این است که Backup با Recovery یکی نیست. داشتن فایل پشتیبان به‌تنهایی کافی نیست؛ شهرداری باید بداند اگر یک سامانه از دسترس خارج شد، با چه فرآیندی و در چه بازه زمانی می‌تواند آن را بازیابی کند.
پشتیبان‌گیری؛ بیمه زیرساخت دیجیتال شهرداری
یکی از پرسش‌های مهم مدیران فناوری اطلاعات باید این باشد: اگر فردا اطلاعات یکی از سامانه‌های اصلی شهرداری از بین برود، چقدر زمان نیاز داریم تا خدمت را دوباره برقرار کنیم؟ پاسخ این سؤال به طراحی سیستم پشتیبان‌گیری و بازیابی وابسته است.
یک برنامه مناسب باید مشخص کند:
- چه داده‌هایی Backup می‌شوند؟
- Backup در چه فاصله‌ای تهیه می‌شود؟
- نسخه‌های پشتیبان کجا نگهداری می‌شوند؟
- چه کسی به Backup دسترسی دارد؟
- چند نسخه از اطلاعات وجود دارد؟
- آیا نسخه‌ای خارج از محیط اصلی نگهداری می‌شود؟
- آخرین بار چه زمانی Recovery آزمایش شده است؟
در امنیت واقعی، نسخه پشتیبان آزمایش‌نشده، تضمین قطعی برای بازیابی نیست.
امنیت سامانه‌های یکپارچه شهری
یکپارچه‌سازی سامانه‌های شهرداری مزایای زیادی دارد؛ اما از منظر امنیتی، معماری ارتباطات باید به‌دقت طراحی شود. فرض کنید اطلاعات بین سامانه‌های شهرسازی، درآمد، املاک، GIS و خدمات شهروندی تبادل می‌شود. در این شرایط باید مشخص باشد:
چه اطلاعاتی؟ → بین کدام سامانه‌ها؟ → با چه سطح دسترسی؟ → از چه مسیر ارتباطی؟ → با چه احراز هویتی؟ → با چه قابلیت ثبت و پایش؟
این موضوع به‌خصوص در معماری‌های مبتنی بر API اهمیت پیدا می‌کند. امنیت API باید شامل مواردی مانند احراز هویت، مجوز دسترسی، محدودسازی درخواست‌ها، اعتبارسنجی داده‌ها، ثبت رویدادها و پایش رفتارهای غیرعادی باشد.
امنیت GIS و داده‌های مکانی شهری
GIS یکی از اجزای مهم زیرساخت اطلاعاتی شهر است. اما امنیت GIS فقط به حفاظت از نرم‌افزار GIS محدود نمی‌شود. باید چرخه کامل داده در نظر گرفته شود:
تولید داده → ذخیره‌سازی → پردازش → اشتراک‌گذاری → انتشار → استفاده در تصمیم‌گیری
سطوح دسترسی به لایه‌های مکانی نیز باید متناسب با نقش کاربران تعریف شود. به‌عنوان مثال، همه کاربران الزاماً نباید امکان مشاهده، ویرایش یا استخراج تمام لایه‌های اطلاعات مکانی را داشته باشند.
امنیت خدمات الکترونیکی شهروندان
هرچه خدمات بیشتری به‌صورت آنلاین ارائه شوند، مرز میان زیرساخت داخلی شهرداری و فضای عمومی اینترنت پررنگ‌تر می‌شود. سامانه‌های خدمات شهروندی، درگاه‌های پرداخت، پورتال‌ها و سرویس‌های آنلاین باید از منظر امنیتی به‌صورت مستمر ارزیابی شوند.
برخی موضوعات مهم در این بخش عبارت‌اند از:
- مدیریت نشست‌های کاربری
- احراز هویت مناسب
- حفاظت از اطلاعات شهروندان
- کنترل دسترسی
- امنیت API
- ثبت رخدادها
- جلوگیری از سوءاستفاده از سرویس‌ها
- به‌روزرسانی نرم‌افزارها
- پایش رخدادهای غیرعادی
نقش مدیریت ارشد در امنیت IT شهری
امنیت فناوری اطلاعات صرفاً وظیفه واحد IT نیست. مدیریت ارشد شهرداری باید بداند:
- مهم‌ترین دارایی‌های اطلاعاتی چیست؟
- کدام سامانه‌ها برای تداوم خدمات حیاتی هستند؟
- چه ریسک‌هایی وجود دارد؟
- در صورت اختلال، اولویت بازیابی با کدام خدمت است؟
- چه مسئولیتی برای مدیریت رخداد وجود دارد؟
- چه میزان وابستگی به پیمانکاران و تأمین‌کنندگان وجود دارد؟
در NIST CSF 2.0، «Govern» یا حاکمیت به‌عنوان یکی از شش کارکرد اصلی چارچوب اضافه شده و بر این موضوع تأکید می‌کند که امنیت سایبری باید در تصمیم‌گیری و مدیریت ریسک سازمانی جای داشته باشد.
امنیت زیرساخت IT شهری باید از کجا شروع شود؟
برای بسیاری از شهرداری‌ها، شروع پروژه امنیتی با خرید تجهیزات جدید بهترین نقطه شروع نیست. نقطه شروع مناسب‌تر، شناخت وضعیت موجود است. یک مسیر پیشنهادی می‌تواند چنین باشد:
مرحله اول: شناسایی دارایی‌ها
سرورها، سامانه‌ها، پایگاه‌های داده، کاربران، تجهیزات شبکه، سرویس‌ها و ارتباطات شناسایی شوند.
مرحله دوم: شناسایی وابستگی‌ها
مشخص شود هر سامانه به کدام سرور، پایگاه داده، شبکه یا سرویس وابسته است.
مرحله سوم: ارزیابی ریسک
برای هر دارایی، احتمال وقوع تهدید و میزان اثرگذاری آن بررسی شود.
مرحله چهارم: اولویت‌بندی
همه مشکلات را نمی‌توان هم‌زمان برطرف کرد. ابتدا باید ریسک‌هایی که می‌توانند بیشترین اثر را بر خدمات شهری داشته باشند، در اولویت قرار گیرند.
مرحله پنجم: ایجاد کنترل‌های امنیتی
کنترل دسترسی، تفکیک شبکه، پشتیبان‌گیری، ثبت رخداد، به‌روزرسانی، احراز هویت و سایر اقدامات متناسب با ریسک اجرا شوند.
مرحله ششم: پایش مستمر
امنیت یک پروژه یک‌باره نیست. زیرساخت تغییر می‌کند، سامانه جدید اضافه می‌شود، کاربران تغییر می‌کنند و تهدیدها نیز تحول پیدا می‌کنند. بنابراین امنیت باید به یک فرآیند مستمر تبدیل شود.
چک‌لیست امنیت زیرساخت IT شهرداری
مدیران فناوری اطلاعات می‌توانند از این فهرست برای یک ارزیابی اولیه استفاده کنند:
حوزه | پرسش کلیدی |
دارایی‌ها | آیا تمام سرورها، سامانه‌ها و تجهیزات شناسایی شده‌اند؟ |
کاربران | آیا سطح دسترسی کاربران بر اساس نقش آن‌ها تعریف شده است؟ |
رمز عبور | آیا سیاست مشخصی برای احراز هویت وجود دارد؟ |
شبکه | آیا بخش‌های حساس شبکه از یکدیگر تفکیک شده‌اند؟ |
سرورها | آیا سیستم‌عامل‌ها و نرم‌افزارها به‌روز هستند؟ |
پایگاه داده | آیا دسترسی به اطلاعات حساس کنترل می‌شود؟ |
Backup | آیا از اطلاعات حیاتی نسخه پشتیبان تهیه می‌شود؟ |
Recovery | آیا بازیابی Backup به‌صورت عملی آزمایش شده است؟ |
سامانه‌ها | آیا رخدادهای مهم ثبت و قابل بررسی هستند؟ |
API | آیا دسترسی سرویس‌های تبادل اطلاعات کنترل می‌شود؟ |
GIS | آیا دسترسی به لایه‌های مکانی سطح‌بندی شده است؟ |
پیمانکاران | آیا دسترسی اشخاص و شرکت‌های بیرونی کنترل می‌شود؟ |
رخداد | آیا برای پاسخ به حادثه امنیتی فرآیند مشخصی وجود دارد؟ |
تداوم خدمت | آیا اولویت بازیابی خدمات حیاتی مشخص شده است؟ |
آموزش | آیا کاربران درباره تهدیدهای رایج آموزش دیده‌اند؟ |
۷ نشانه که نشان می‌دهد زیرساخت IT یک شهرداری نیاز به بازنگری امنیتی دارد
اگر چند مورد از نشانه‌های زیر وجود داشته باشد، بهتر است وضعیت امنیتی زیرساخت با دقت بیشتری بررسی شود:
۱. هیچ فهرست دقیقی از دارایی‌های IT وجود ندارد
اگر مشخص نباشد چه سرورها، سرویس‌ها و سامانه‌هایی در شبکه فعال هستند، مدیریت ریسک دشوار می‌شود.
۲. دسترسی‌ها بر اساس «نیاز» تعریف نشده‌اند
دسترسی بیش از نیاز می‌تواند دامنه یک حادثه را افزایش دهد.
۳. Backup تهیه می‌شود اما Recovery تست نشده است
این وضعیت یکی از نقاط ضعف رایج در برنامه‌های تداوم خدمت است.
۴. سامانه‌های قدیمی بدون برنامه مشخص همچنان فعال‌اند
هر زیرساخت قدیمی باید از نظر ریسک، امکان به‌روزرسانی و جایگزینی ارزیابی شود.
۵. رخدادهای امنیتی ثبت و تحلیل نمی‌شوند
بدون Log و Monitoring مناسب، تشخیص رفتار غیرعادی دشوارتر خواهد بود.
۶. دسترسی پیمانکاران دائمی و بدون محدودیت است
دسترسی اشخاص بیرونی باید متناسب با نیاز، زمان و نقش آن‌ها مدیریت شود.
۷. امنیت فقط به واحد IT سپرده شده است
امنیت مؤثر به همکاری مدیریت، فناوری اطلاعات، کاربران، واحدهای تخصصی و تأمین‌کنندگان نیاز دارد.
امنیت و تداوم خدمت؛ دو مفهوم جدانشدنی
هدف نهایی امنیت زیرساخت IT شهری فقط این نیست که «هیچ حمله‌ای اتفاق نیفتد». چنین تضمینی در محیط دیجیتال واقع‌بینانه نیست. هدف مهم‌تر این است که شهرداری بتواند:
تهدید را بشناسد → ریسک را کاهش دهد → حادثه را تشخیص دهد → واکنش نشان دهد → خدمت را بازیابی کند → از حادثه یاد بگیرد
این نگاه، امنیت را از یک فعالیت صرفاً فنی به بخشی از تاب‌آوری سازمانی شهرداری تبدیل می‌کند. چارچوب NIST نیز بر شناسایی، حفاظت، تشخیص، پاسخ و بازیابی در کنار حاکمیت و مدیریت مستمر ریسک تأکید دارد.
امنیت زیرساخت IT شهری در مسیر هوشمندسازی
هوشمندسازی شهری بدون زیرساخت اطلاعاتی قابل اعتماد پایدار نخواهد بود. هرچه شهرداری به سمت:
- خدمات آنلاین بیشتر
- تبادل اطلاعات بین سامانه‌ها
- داشبوردهای مدیریتی
- GIS
- API
- پردازش داده
- سامانه‌های ابری
- اتوماسیون فرآیندها
- خدمات دیجیتال شهروندی
حرکت کند، اهمیت امنیت نیز بیشتر می‌شود. به همین دلیل، امنیت نباید بعد از طراحی و پیاده‌سازی سامانه‌ها به آن‌ها اضافه شود. امنیت باید از مرحله طراحی معماری زیرساخت و سامانه در نظر گرفته شود.
یک نگاه متفاوت: امنیت، مانع تحول دیجیتال نیست
گاهی امنیت به‌عنوان عاملی دیده می‌شود که سرعت تحول دیجیتال را کاهش می‌دهد. اما در معماری صحیح، امنیت می‌تواند دقیقاً برعکس عمل کند.
وقتی هویت کاربران مشخص است، دسترسی‌ها کنترل شده‌اند، داده‌ها طبقه‌بندی شده‌اند، ارتباط سامانه‌ها مستند است و فرآیند بازیابی وجود دارد، سازمان می‌تواند با اطمینان بیشتری سرویس‌های جدید را توسعه دهد. بنابراین هدف امنیت نباید متوقف کردن اتصال سامانه‌ها باشد؛ بلکه باید ایجاد اتصال کنترل‌شده و قابل اعتماد باشد.
نقش یکپارچگی سامانه‌ها در امنیت شهری
یکی از چالش‌های شهرداری‌ها، وجود سامانه‌هایی است که هرکدام اطلاعاتی را در اختیار دارند اما ارتباط میان آن‌ها به شکل کنترل‌شده و استاندارد انجام نمی‌شود. یک معماری یکپارچه می‌تواند به شفاف شدن جریان اطلاعات کمک کند:
داده از کجا می‌آید؟
به کجا می‌رود؟
چه کسی به آن دسترسی دارد؟
چه عملیاتی روی آن انجام شده است؟
این شفافیت می‌تواند در کنار کنترل‌های امنیتی، مدیریت رخداد و نظارت بر جریان اطلاعات را نیز ساده‌تر کند.
جمع‌بندی؛ امنیت IT شهری یعنی حفاظت از جریان خدمت
زیرساخت فناوری اطلاعات شهرداری، ستون فقرات بخش بزرگی از خدمات دیجیتال شهری است. امنیت آن نیز نباید به یک محصول، یک فایروال یا یک نرم‌افزار ضدبدافزار تقلیل پیدا کند. امنیت زیرساخت IT شهری مجموعه‌ای از اقدامات هماهنگ در حوزه‌های زیر است:
دارایی‌ها + هویت + شبکه + سامانه‌ها + داده + API + Backup + پایش + پاسخ به رخداد + بازیابی
شهرداری‌ای که این اجزا را به‌صورت یکپارچه مدیریت کند، نه‌تنها بهتر می‌تواند از اطلاعات خود محافظت کند، بلکه آمادگی بیشتری برای توسعه خدمات دیجیتال و حرکت به سمت مدیریت هوشمند شهری خواهد داشت. در نهایت، امنیت موفق امنیتی نیست که فقط در زمان بحران دیده شود؛ بلکه زیرساختی است که در پس‌زمینه، پیوسته از داده‌ها و خدمات شهری محافظت می‌کند.
نگاه تخصصی راپکو
در مسیر دیجیتالی شدن شهرداری‌ها، امنیت باید هم‌زمان با یکپارچه‌سازی سامانه‌ها، مدیریت داده و توسعه خدمات الکترونیکی دیده شود. هرچه جریان اطلاعات میان حوزه‌هایی مانند شهرسازی، درآمد، املاک، GIS و خدمات شهروندی گسترده‌تر شود، طراحی معماری ارتباطات، مدیریت دسترسی و تداوم خدمت اهمیت بیشتری پیدا می‌کند.
در راهکارهای یکپارچه مدیریت شهری، نگاه امنیتی زمانی اثربخش‌تر است که از سطح یک سامانه فراتر رفته و کل جریان اطلاعات و فرآیندهای سازمانی را دربرگیرد.
راپکو با تمرکز بر راهکارهای نرم‌افزاری و زیرساختی مدیریت شهری، می‌تواند در مسیر ایجاد و توسعه زیرساخت‌های یکپارچه، قابل مدیریت و آماده توسعه دیجیتال در شهرداری‌ها نقش‌آفرین باشد.
سؤالات متداول درباره امنیت زیرساخت IT شهری
امنیت زیرساخت IT شهری شامل چه بخش‌هایی است؟
امنیت شبکه، سرورها، پایگاه‌های داده، سامانه‌های نرم‌افزاری، کاربران، تجهیزات، APIها، داده‌های شهری، پشتیبان‌گیری، پایش و فرآیند پاسخ به رخداد از مهم‌ترین بخش‌های آن هستند.
آیا امنیت شهرداری فقط به امنیت شبکه مربوط می‌شود؟
خیر. امنیت شبکه تنها یکی از لایه‌های امنیت است. امنیت واقعی باید هویت، دسترسی، نرم‌افزار، داده، زیرساخت فیزیکی، پشتیبان‌گیری، کاربران و تداوم خدمت را نیز پوشش دهد.
چرا Backup برای شهرداری اهمیت دارد؟
زیرا در صورت بروز خرابی، خطای انسانی یا حادثه امنیتی، امکان بازگرداندن اطلاعات و ادامه خدمات را فراهم می‌کند. البته Backup زمانی ارزش عملیاتی دارد که فرآیند بازیابی آن نیز به‌طور منظم آزمایش شود.
آیا یکپارچه‌سازی سامانه‌های شهرداری امنیت را کاهش می‌دهد؟
خود یکپارچه‌سازی الزاماً باعث کاهش امنیت نمی‌شود. اگر تبادل اطلاعات بر اساس معماری مشخص، احراز هویت، مجوز دسترسی، ثبت رخداد و کنترل مناسب انجام شود، می‌توان جریان اطلاعات را به شکل ساختاریافته و قابل نظارت مدیریت کرد.
از کجا باید برای افزایش امنیت زیرساخت IT شهرداری شروع کرد؟
اولین قدم، شناسایی دارایی‌ها و وابستگی‌های زیرساختی است. سپس باید ریسک‌ها ارزیابی، اولویت‌بندی و برای کنترل آن‌ها برنامه اجرایی تعریف شود. رویکردهای مدیریت ریسک مانند NIST CSF 2.0 نیز می‌توانند برای ساختاردهی این فرآیند مورد استفاده قرار گیرند.