هک اطلاعات کاربران سایت‌های ایرانی چه کسی پاسخگوست؟
در حالی که روزهای گذشته خبرهایی مبنی بر هک شدن اطلاعات کاربران از جمله در وب‌سایت علی‌بابا منتشر شد اما نه خود شرکت و نه مسوولی پاسخگوی دقیق چرایی این موضوع که آیا این اتفاق به دلیل بی‌احتیاطی و عدم اتخاذ تدابیر حفاظتی افتاده یا خیر، نبوده است؛ بار دیگر این موضوع پررنگ شده که چرا با گذشت بیش از یک سال از تدوین لایحه‌ای تحت عنوان صیانت از داده‌های شخصی، این لایحه هنوز به تصویب و اجرا نرسیده است.
این روزها از گوشه و کنار، اخباری مبنی بر حملات هکری و حمله به زیرساخت‌های کشور شنیده میشود، اما یکی از اخباری که تا حدودی در حوزه فناوری اطلاعات کشور جنجال به پا کرد، هک شدن سایت علی‌بابا، شرکت ارایه‌دهنده خدمات فروش آنلاین بلیت است که مسعود طباطبایی، مدیرعامل این شرکت، چند روز پیش اعلام و تایید کرد که متاسفانه تعدادی از سرورهای علی‌بابا مورد حمله هکرها قرار گرفته و به برخی از اطلاعات کاربران و سورس‌کدها دسترسی پیدا کردند. تیم امنیت علی‌بابا اقدامات لازم را انجام داده و با توجه به سرنخ‌های موجود، این موضوع از طریق نهادهای ذی‌ربط در حال پیگیری است.
همچنین در بیانیه علی‌بابا که پس از این اتفاق منتشر شد آمده بود: مسوولیت این رخداد را می‌پذیریم و از کسانی که به نحوی آسیب دیده‌اند، عذرخواهی می‌کنیم. حفاظت از اطلاعات همواره اولویت ما بوده و هست. این اطمینان را به شما می‌دهم که اقدامات لازم برای جلوگیری از تکرار این اتفاق صورت گرفته و با قدرت بیشتر در جهت حفاظت از حریم خصوصی کاربران پیش خواهیم رفت. اطلاعات تکمیلی درباره این حمله هکری از سوی علی‌بابا اطلاع‌رسانی خواهد شد.
اما مجید حسینی‌نژاد، بنیان‌گذار علی‌بابا نیز ضمن انتشار تصویری از بیانیه رسمی علی‌بابا در رابطه با این حمله، اضافه کرد: همیشه پشت هر رو دست خوردنی؛ جایی برای یادگیری و رشد هست، صمیمانه عذر می‌خواهم و مطمئنم که تیم عالی تکنولوژی و امنیت علی‌بابا با یادگیری از این اتفاق امنیت را به‌طور بی‌اندازه چشمگیری بالاتر می‌برد و شما ما را یادگیرنده، اهل رشد و توسعه خواهید یافت.
صداقت داشتند، اما احتیاط نکردند
پس از این اظهارات، امیر ناظمی، رئیس سازمان فناوری ایران به این مساله واکنش نشان داد و در توییتر نوشت: صداقت شما و همراهی‌تان برای رشد و توسعه امنیت نشانه‌ای از تعهد شماست. همین که پنهان‌کاری رویه شما نیست و تعهد به شناسایی مشکل و رفع آن دارید، نقطه آغازین توسعه را نشان داده‌اید. صداقت با مردم خود نشانه یک سرمایه اجتماعی است و هم سازنده آن سرمایه.
این درحالی است که مسوولان معتقدند، اعتماد مهم‌ترین حلقه زنجیره خدمات در هر سرویس است، سرویس‌های مجازی هر روز در حال رشدند، بنابراین کسانی که اطلاعات شهروندان را نگه می‌دارند، باید از قبل فرآیند شفاف‌سازی را انجام دهند تا دسترسی به اطلاعات مردم کار مشکلی باشد. به همین دلیل لازم است ضریب حریم خصوصی را به نحو قابل بهبودی افزایش داد. اما صرف نظر از اطلاع‌رسانی این رویداد عذرخواهی توسط مدیران این وب‌سایت، باید دید هزینه این بی‌احتیاطی چطور پرداخت میشود.
این موضوع سوالی است که توسط کاربری در توییتر و در واکنش به اظهارات مدیران علی‌بابا عنوان و سوال شده که «آیا پرونده توسط نهادهای حاکمیتی بررسی مستقل خواهد شد؟ اگر بله نتیجه به صورت شفاف و عمومی گزارش خواهد شد؟ اگر دیتا بریچ ناشی از کوتاهی شرکت بوده باشد، کاربر امکان شکایت از شرکت را دارد؟ آیا چنین کوتاهی‌هایی جرم‌انگاری شده‌اند؟»
رضا باقری اصل – دبیر شورای اجرایی فناوری اطلاعات – در پاسخ به این سوال‌ها می‌گوید: در قانون جرایم رایانه‌ای برای عمد در عمل مجرمانه مجازات تعیین شده، جز در ماده ۵ که بی‌احتیاطی، بی‌مبالاتی یا عدم رعایت تدابیر امنیتی مامورین دولتی در خصوص داده‌های سری هم جرم‌انگاری شده، اما در مورد علی‌بابا کسی که هک کرده مشمول مجازات مواد ۱ و ۱۱ است.
ماده ۱ قانون جرایم رایانه‌ای (ماده ۷۲۹ قانون مجازات‌های اسلامی) حاکی از آن است که هرکس به‌طور غیرمجاز به داده‌ها یا سامانه‌های رایانه‌ای یا مخابراتی که به وسیله تدابیر امنیتی حفاظت شده است دسترسی یابد، به حبس از ۹۱ روز تا یک سال یا جزای نقدی از پنج میلیون تا ۲۰ میلیون ریال یا هر دو مجازات محکوم خواهد شد.
مدیران سایت باید به دستگاه قضا شکایت کنند
البته تورج کاظمی – رییس پلیس فتا تهران – درباره هک شدن سایت علی‌بابا اظهار کرده است: طبق رصدهای صورت‌گرفته سایت علی‌بابا توسط افرادی هک شده، مدیران سایت باید با مراجعه به مرجع قضایی اعلام شکایت کنند، در صورت ارجاع پرونده به پلیس فتا، ما به موضوع شکایت رسیدگی خواهیم کرد. برای اطلاع از میزان دسترسی هکرها به اطلاعات کاربران نیاز به بررسی سرورهای سایت مورد نظر داریم و تا زمانی که مدیران سایت به دستگاه قضایی شکایت نکنند، امکان بررسی سرورها وجود ندارد.
همه این اظهارات در حالی است که لایحه صیانت از داده‌های شخصی مردادماه سال گذشته توسط سازمان فناوری اطلاعات کشور رونمایی شد و آن زمان اعلام شد که این لایحه برای تصویب به هیات دولت و سپس برای تبدیل شدن به قانون به مجلس خواهد رفت. هدف اصلی این لایحه، صیانت از حیثیت و کرامت اشخاص موضوع داده‌ها عنوان شده بود.
وزیر ارتباطات و فناوری اطلاعات در آن زمان با اشاره به این لایحه و با تاکید بر لزوم صیانت از داده‌های مردم در سرویس‌های موجود در فضای مجازی بیان کرد: پیش از این در فضای مجازی و برای سرویس‌هایی که هر روز با سرعت بیشتری در حال رشد هستند، لایحه‌ای نداشتیم. همچنین اطلاعاتی از شهروندان ایرانی در سرویس‌های بین‌المللی ضبط و ثبت می‌شد که قابلیت پیگیری نداشت. به همین دلیل برای رعایت صیانت از داده‌های مردم در حوزه سرویس‌های بین‌المللی هم در تلاشیم. برای این قانون نیاز به تعاملات بین‌المللی داریم.
همچنین لایحه صیانت از داده‌های شخصی سندی است که به گفته رسول سراییان – دبیرکل سازمان نظام صنفی رایانه‌ای کشور – اگر مردم نگرانی و دغدغه‌ای درباره داده‌هایشان دارند با مطالعه این سند و تضامینی که به آنها داده شده، می‌توانند اعتماد کنند؛ همچون سایر قوانین و مقررات. همه دنیا هم همین کار را می‌کنند. همه دنیا این قوانین و مقررات را دارند. در اروپا هم قانونی هست تحت عنوان GDPR که درباره حفاظت از حریم داده‌هاست.
صیانت از حریم خصوصی، قانونی مصوب در اروپا
اما قانون GDPR (مقررات عمومی حفاظت از داده)، قانونی است که اتحادیه اروپا به‌منظور صیانت از حریم خصوصی افراد و محافظت از داده‌های شخصی آنها، تصویب کرده و همه شرکت‌های ارایه‌دهنده خدمات به کاربران که با داده‌های شخصی افراد سروکار دارند را ملزم به رعایت آن می‌کند. اگرچه این قانون در اتحادیه اروپا وضع شده است اما حوزه سرزمینی آن محدود به اعضای اتحادیه اروپا نیست و دایره شمول آن می‌تواند شرکت‌ها و سازمان‌هایی که در این اتحادیه مستقر نیستند را نیز در برگیرد.
حوزه فراگیر و گسترده این قانون و ضمانت‌های اجرایی مستحکم آن از یک طرف و جرایم سنگینی که درصورت تخلف از آنها به شرکت‌ها تحمیل میشود، باعث شد سازگاری با این قانون به‌شکل جدی در دستور کار بسیاری از شرکت‌ها به‌خصوص شرکت‌های حوزه فناوری اطلاعات و ارایه‌دهنده سرویس‌های شبکه اجتماعی قرار گیرد. همچنین ماهیت این قانون و دید جامع و فراگیر آن در ارتباط با حریم خصوصی افراد و محافظت از داده‌ها، باعث شده که مطالعه آن از منظر نیازهای امنیتی بسیار مهم باشد. نیازهای موجود در این قانون متناسب با دغدغه‌های شرکت‌ها و ارایه‌دهندگان سرویس‌های شبکه اجتماعی و سایر فعالان حوزه فناوری اطلاعات است.
با وجود این به نظر می‌رسد این لایحه از سال گذشته تاکنون به مرحله تصویب و اجرا نرسیده است، همان‌طور که دبیر شورای اجرایی فناوری اطلاعات نوشته است: شاید امروز روزی باشد که مسئولیت‌پذیری و شفافیت ارزش خود را بازیافته و در کنار مسئولیت‌های حقوقی و کیفری (که در این مورد بی‌احتیاطی و عدم اتخاذ تدابیر حفاظتی جرم‌انگاری نشده است) شایسته توجه بیشتر باشد. اگر چه شرکت می‌تواند طبق قانون برای استیفای حق مشترکین اقامه دعوی کند.
باقری همچنین در پاسخ به کاربر دیگری که سازمان فناوری اطلاعات را مجری قانون می‌داند که باید کم‌کاری‌های شرکت علی بابا را به‌جهت سرقت مشخصات کاربران بررسی کند، می‌گوید: بر اساس کدام قانون یا مقرره، سازمان فناوری اطلاعات مسئول این اقدام است؟ براساس بند ۵ اصل ۱۵۶ قانون اساسی پیشگیری از وقوع جرم بر عهده قوه قضائیه است. یک شورای عالی هم بر اساس ماده ۲ قانون پیشگیری از وقوع جرم تأسیس شده که وزارت ICT عضو آن نیست.