ارزیابی ریسک های امنیتی انتشار اطلاعات فنی و هویتی در سامانه های شفافیت سازمانی (مطالعه موردی: شهرداری های تهران و تبریز)

شفافیت سازمانی به عنوان یکی از ارکان حکمرانی، خوب سازمان های دولتی را به انتشار گسترده اطلاعات در سامانه های شفافیت ترغیب کرده است. با این حال این رویه با اصول بنیادین امنیت اطلاعات در تعارض قرار می گیرد. پژوهش حاضر با هدف، شناسایی، تحلیل و ارزیابی ریسک های امنیت اطلاعات ناشی از انتشار اطلاعات در سامانه های شفافیت انجام شده است. این مطالعه با ترکیب روش های تحلیل محتوای کیفی، مرور نظام مند ادبیات و ارزیابی ریسک مبتنی بر سناریو به تحلیل مصادیق عینی از سامانه های شفافیت سازمان های دولتی ایران پرداخته است. یافته ها نشان می دهد که انتشار اطلاعات هویتی کارکنان شامل نام، کد ملی، آدرس منزل، شماره تماس، وضعیت تاهل و اطلاعات ایثارگری و اطلاعات فنی و زیرساختی شامل برند و نسخه آنتی ویروس سازمان ها، مشخصات فایروال، نوع تکنولوژی ذخیره سازی، تامین کننده اینترنت، شرکت پشتیبان سامانه ها و... ریسک های جدی امنیت اطلاعات ایجاد می کند. این ریسک ها شامل مهندسی اجتماعی، فیشینگ، هدفمند جعل هویت، بهره برداری از آسیب پذیری های فنی و حملات زنجیره تامین هستند. ارزیابی ریسک نشان می دهد که ریسک مهندسی اجتماعی ناشی از انتشار اطلاعات هویتی کارکنان در سطح «بحرانی» و ریسک بهره برداری از آسیب پذیری های فنی بر اساس اطلاعات منتشر شده در سطح «بالا» قرار دارد. در مقابل، استانداردهای بین المللی امنیت اطلاعات (ISO/IEC ۸۰۰-۵۳، ISO/IEC ۲۷۰۰۲، NIST SP, ۲۷۰۰۱) بر اصولی مانند طبقه بندی اطلاعات، حداقل سازی داده ها و اصل «نیاز به دانستن» تاکید دارند که رعایت آنها می تواند تعادل میان شفافیت و امنیت را ممکن سازد.

کلیدواژه ها:

شفافیت سازمانی ، امنیت اطلاعات ، سامانه های شفافیت دولتی ، مهندسی اجتماعی ، ارزیابی ریسک ، تجمیع داده ها