حمایت مدیران ارشد سبب بالا رفتن اولویت امنیت خواهد شد.

علیرضا عابدی نژاد مدیرعامل شرکت داده پردازان دوران، در مصاحبه با ماهنامه عصر تراکنش: صنایع مالی ایران از لحاظ امنیت اطلاعات یقینا از سایر صنایع کشور جلوتر هستند، ولی وضعیت مطلوبی ندارند و با پیچیده‌تر شدن حملات، تهدیدات جدی اطلاعات این صنایع را تهدید می‌کند.

در طول دو ماه گذشته حداقل دو رخداد امنیتی یکی در سطح بین‌المللی و دیگری در سطح ملی باعث شد دوباره توجهات به سمت امنیت در حوزه فناوری اطلاعات و ارتباطات جلب شود. اولی قطع شدن چندین ساعته تمام سرویس‌های فیس‌بوک از جمله فیس‌بوک، اینستاگرام و واتس‌اپ بود و دیگری حمله سایبری به سامانه مدیریت سوخت ایران که تقریبا دو روز قطعی پمپ بنزین‌ها را با خود به‌همراه داشت. تجربه نشان داده این رخدادهای امنیتی باعث می‌شوند مدیران نهادها و کسب‌و‌کارها برای مدت کوتاهی دوباره به مسائل امنیت اطلاعات و استانداردهای پیرامون آن توجه کنند و بعد از افتادن آب‌ها از آسیاب، دوباره همان آش و همان کاسه! همین نگاه باعث شد با حضور سه تن از متخصصان و چهره‌های شناخته شده افتا ایران میز گردی داشته باشیم و ریشه‌های این نگاه در مدیران ایرانی و بطور کلی مسائل و چالش‌های افتا در ایران را بررسی کنیم.

این میزگرد با حضور بهناز آریا، رئیس کمیسیون افتا در سازمان نظام صنفی رایانه‌ای استان تهران و مدیرعامل گروه شرکت‌های کهکشان، علیرضا عابدی نژاد، مدیرعامل شرکت داده پردازان دوران و عضو هیئت مدیره نظام صنفی رایانه‌ای استان تهران و عضو شورای مرکز نظام صنفی رایانه‌ای کشور و محمدامین کریمیان، راهبر اجرایی و هم بنیان‌گذار پلتفرم باگ بانتی راورو به شکل آنلاین برگزار شد. گوشه‌ای از صحبت‌های آقای علیرضا عابدی نژاد را در این میز گرد در ادامه می‌خوانید:

عصر تراکنش: امنیت بیش از اینکه در زمان بودنش احساس شود، در زمان نبودنش به چشم می‌آید. وقتی با افراد راجع به موضوعات امنیتی صحبت می‌کنیم، می‌بینیم دغدغه چندانی برای آن ندارند. چون تا امروز از این نقطه دچار بحران نشده‌اند و معتقدند قبل از صرف انرژی و منابع برای امنیت، چیزهای واجب‌تر دیگری برای مصرف منابع و انرژی وجود دارد و در زمان مواجهه با بحران، می‌خواهند یک شبه امنیت را ایجاد کنند. نظر شما در خصوص این فرضیه چیست؟

چالش عدم درک حفظ دارایی‌های نرم

علیرضا عابدی نژاد: به نظر من فرضیه درستی را مطرح کردید.امنیت نسبی است. پس سطحی از امنیت را در هرجا می‌بینید، ولی طبیعتا می‌تواند فاصله زیادی تا سطح لازم امنیت داشته باشد. اجازه بدهید هزینه کردن در خصوص امنیت را با هزینه کردن در خصوص بیمه مقایسه کنیم. امنیت از یک جهت مثل بیمه می‌ماند. وقتی ماشین‌تان را بیمه می‌کنید طبیعتا دنبال جلوگیری از بحران نیستید، فقط می‌خواهید خسارت بحران را کاهش دهید. حال آنکه در کل در خصوص امنیت موضوع فراتر از اینهاست. هرچقدر در حوزه امنیت بیشتر هزینه کنید، هم می‌توانید تا حدودی جلوی بحران را گرفته و هم خسارات آن را کاهش دهید. خیلی اوقات ماشین‌تان را بیمه می‌کنید و تا 10 سال هزینه می‌پردازید و اتفاقی هم برایش نمی‌افتد و دائما به خودتان می‌گویید "هزینه بیمه، زائد است"، در حالیکه اینطور نیست، اگر همان سال اول اتفاقی برایتان می‌افتاد، احتمالا سال‌های بعدی با رضایت خاطر بیمه را تمدید می‌کردید. بنابراین افراد هزینه می‌کنند که خیال‌شان راحت باشد.

امنیت در حوزه فناوری اطلاعات و هزینه‌های مربوط به آن برای جامعه ملموس نیست، ولی امنیت فیزیکی کاملا ملموس است؛ مثلا وقتی از ساختمانی سرقت بشود، اولین کاری که می‌کنید، نصب حفاظ برای پنجره‌ها و درب ضد سرقت و قفل‌های پیچیده‌تر و گاوصندوق محکم‌تر است. تمام این مدل‌ها در حوزه امنیت اطلاعات نیز مطرح هستند، ولی بخش بزرگی از جامعه شخصی و سازمانی ما مفهوم حفظ دارایی‌های نرم را کمتر درک می‌کند. همه می‌دانند که خانه و خودروی آنها دارایی‌های مهمی به شمار می‌رود که باید حفظ شود، ولی آیا داده سازمان هم دارایی مهمی به شمار می‌رود؟ آیا سرویس‌هایی که الان به خوبی کار می‌کنند و منبع درآمد هستند یا وظایف سازمانی را پیش می‌برند، دارایی با ارزشی به حساب می‌آیند؟ متاسفانه این دارایی‌ها برای جامعه ملموس نیستند و به همین دلیل است که متاسفانه در بسیاری از موارد امنیت جدی گرفته نمی‌شود.

عصر تراکنش: چه راهکاری برای انتقال اهمیت امنیت اطلاعات به جامعه و تصمیم‌گیران و تصمیم‌سازان دارید؟ چطور می‌توان افراد را به وقت گذاشتن و صرف هزینه و انرژی در حوزه امنیت اطلاعات ترغیب کرد؟

امنیت دغدغه چندم مدیرعامل یک بانک است؟

علیرضا عابدی نژاد: ما در کشوری زندگی می‌کنیم که بخش زیادی از اقتصاد، دولت محور است و نقش بخش خصوصی را کمرنگ کرده‌ایم. بخش خصوصی واقعی همیشه حواسش را به تمام دارایی‌هایش جمع می‌کند و می‌داند که اگر ماشین او را دزد ببرد، چقدر خسارت می‌بیند؛ پس مسئولیت محافظت از آن را می‌پذیرد و برای محافظت از آن تدابیر لازم را می‌اندیشد. ولی بخش دولتی، هم اطلاعات کافی راجع به ارزش دارایی‌هایش ندارد و هم به اندازه دارایی‌های شخصی خود نسبت به دارایی عمومی دغدغه نشان نمی‌دهد.

اگر بخواهیم بهای بیشتری به امنیت بدهیم، چاره کار در شفاف‌سازی برای مدیران ارشد است. مدیران فناوری اطلاعات در همه جا کم‌و‌بیش اهمیت امنیت را می‌دانند، اما دغدغه چند درصد از مدیران ارشد مربوط به امنیت است؟ مدیرعامل یک بانک چند درصد از فکر خود را صرف امنیت می‌کند؟ دغدغه درجه چندم اوست؟ شاید دغدغه بیستم اش هم نباشد. شاید مدیر بانک هنوز متوجه ریسک‌های پیش‌روی خود نباشد. هرچقدر که حاکمیت، بخش خصوصی و رسانه‌هایی مثل راه‌پرداخت و عصر تراکنش دغدغه‌های امنیتی را بیشتر مطرح کنند، جامعه آگاه‌تر خواهد شد.

به عنوان مثال، اتفاقی که برای کارت سوخت افتاد، چه خسارتی به کشور وارد کرد. شاید چند صد میلیارد تومان یا چند هزار میلیارد تومان خسارت دیدیم که الان دولت به دنبال جبران خسارت است. این فقط رقم خسارت مستقیم ریالی بوده، در حالیکه خسارت‌های معنوی و اعتباری زیادی نیز وارد شده که قابل تبدیل به ارقام مالی هستند. این اطلاعات باید در اختیار مدیران قرار گیرد. آیا مدیران مربوطه می‌دانند که چه میزان خسارت به صنعت نفت وارد شده؟ درباره پیگیری حقوقی خسارت‌ها صحبت نمی‌کنم؛ اهمیت شفاف‌سازی را می‌گویم. الان هیچ مرجع در ایران گزارش خسارت نمی‌دهد و کسی نسبت به داشته‌های خودش آگاه نیست. تمام سازمان‌ها و شرکت‌ها داشته‌های فیزیکی خود را قیمت‌گذاری می‌کنند و از موجودی مطلع هستند، ولی داشته‌های غیرفیزیکی قیمت‌گذاری نمی‌شوند.

من به عنوان یک مدیر ارشد باید بدانم ارزش سازمانی که تحویل گرفته‌ام، چقدر است. الان در بورس این عدد و رقم‌ها را تا حدی مشخص می‌کنند. به عنوان مثال داشته‌های فیزیکی یک شرکت پتروشیمی معلوم است، ولی می‌بینیم که با ارزش کل شرکت اختلاف فاحشی دارد؛ مثلا داشته‌های فیزیکی پنج هزار میلیارد تومان، ولی ارزش کل شرکت بیست هزار میلیارد تومان تخمین زده می‌شود. این فاصله ناشی از چیست؟ از همان استمرار کسب‌و‌کار که خانم آریا اشاره کردند. داشته‌های غیرفیزیکی شامل برند شرکت، اعتبار شرکت، دانش شرکت و روند مداوم کسب درآمد شرکت هستند که همگی در معرض آسیب امنیتی قرار دارند. آیا هیچ مرجعی این آمارها را بطور شفاف اعلام می‌کند؟ رسانه مسئولیت سنگینی در این رابطه دارد و نباید اتفاقاتی را که در کشور می‌افتد، رها کند. شاید اطلاعات محرمانه را رسانه‌ها نتوانند منتشر سازند، ولی می‌توانند اطلاعات مالی داده‌های عمومی را تخمین بزنند. میزان مصرف سوخت در کشور، تعداد جایگاه‌های سوخت و ... موجود است و می‌توان بر اساس آنها تخمین خسارت را انجام داد. مدیران ارشد ما از این واقعیت‌ها آگاهی ندارند.

اگر قرار باشد اتفاق خوبی در حوزه امنیت بیفتد، از طریق بالا بردن آگاهی‌های امنیتی مدیران ارشد خواهد بود. شاید لازم باشد دوره‌های ویژه برای آنها بگذاریم تا اهمیت دارایی‌هایشان را بهتر درک کنند. در یک سازمان خدمت محور دولتی که خدمات عمومی ارائه می‌دهد، ارزش‌ها ملموس نیست و مدیر می‌گوید: "نهایت‌اش این است ک سرویس ما چند روز قطع شود یا داده‌ها لو برود."

دغدغه ما شفاف‌سازی، آموزش و فرهنگ‌سازی است. این‌ها اگر اتفاق بیفتد خود مدیران می‌دانند که چطور بهای بیشتری به امنیت بدهند و اینکه داده‌های خود را چطور حفظ کنند و چقدر ارزش دارد. فرضا اگر شما بدانید مجموعه خدمات و استمرار کسب‌و‌کار سازمان 1000 میلیارد تومان ارزش دارد، حاضر می‌شوید برایش 10 یا 20 میلیارد تومان هزینه کنید، ولی وقتی تصور کنید "ارزشی نداره، رفت که رفت"، حتی 100 میلیون تومان هم نمی‌پردازید. مشکل اینجاست.

عصر تراکنش: آیا صنایع مالی ایران که شامل بانک‌ها، کارگزاری‌های بورس، هسته معاملات بورس، بیمه‌ها، شرکت‌های پی اس پی و پرداخت و ... می‌شوند، از نظر افتا در نقطه مطلوبی قرار دارند؟

صنایع مالی یقینا در افتا از سایر صنایع جلوتر هستند، ولی وضعیت مطلوبی ندارند

علیرضا عابدی نژاد: چند وقت پیش تحقیقی از گارتنر می‌خواندم در مورد صنایعی که در حوزه ICT هزینه می‌کنند. این دسته‌بندی نشان می‌داد کدام صنایع درصد بیشتری از درآمدشان را صرف ICT می‌کنند. بالاترین هزینه ICT مربوط به صنایع خدمت محور بود. صنایع مالی نیز ذیل همان دسته خدمت محور هستند که شامل بورس، بانک، بیمه و ... می‌شوند. صنایع مخابراتی نیز در همین دسته قرار می‌گیرند. علت هزینه بیشتر آنها روی ICT چیست؟ علت مشخص است؛ آنها هرچقدر که فرایندها و روش‌های خود را بیشتر مکانیزه کنند، درآمدزایی موثرتری دارند.

بخش عمده کارخانجات صنعتی شامل تجهیزات و ملک آنهاست، ولی در مورد بانک، شرکت بورسی، شرکت بیمه‌ای و کارگزاری بیشتر دارایی‌ها از نوع ناملموس است. در تمام دنیا این وضعیت را می‌بینیم و در ایران نیز همینطور است. می‌دانیم که بانک‌های ایران نیز خیلی بیش از دیگر بخش‌ها در ICT هزینه می‌کنند؛ پس به همین نسبت باید هزینه امنیتی بیشتری هم بپردازند. هرجا دارایی‌های نرم‌افزاری و داده بیشتری داریم، آسیب‌پذیری بیشتری نیز داریم. صنایع مالی نسبت به سایر صنایع بیشترین دارایی نرم را دارند. به نظر من یکی از مهم‌ترین اولویت‌های ملاحظات امنیتی، صنایع مالی هستند. آیا این صنایع الان در وضعیت مطلوبی هستند؟ قطعا خیر؛ ولی شاید این بازار جلوتر از دیگر صنایع باشد.

ما نمی‌توانیم وظایف صنایع مالی را عوض کنیم. وظیفه صنایع مالی مشخص است، پس باید مدام با تکنیک‌ها و ابزارهای جدید به مقابله با حملات برخیزیم. سرکار خانم آریا به‌درستی اشاره کردند که متاسفانه الان در تمام صنایع و بخصوص صنایع مالی، مدیران فکر می‌کنند تمام مقوله‌های امنیتی را می‌توان بصورت in-source مدیریت کنند. در هیچ جای دنیا این کار شدنی نیست؛ چون ایمن‌سازی یک شبکه بانکی از جنبه‌ها و زاویه‌های مختلف نیازمند دانش زیادی است و هیچ سازمانی تمام این دانش را در اختیار ندارد. اکنون همه بانک‌ها برای خودشان SOC راه می‌اندازند، ولی وقتی به آنها می‌گویی "همین سرویس را از بیرون بانک بگیر"، یا بانک مرکزی اجازه نمی‌دهد، یا شاپرک جلویشان را می‌گیرد یا افتا مانع می‌تراشد. هیچ سازمانی اینقدر متخصص ندارد که برای خودش یک SOC راه بیندازد. مقوله امنیت فقط به تجهیزات محدود نمی‌شود. تجهیزات لازم‌اند، ولی کافی نیستند. 50 درصد امنیت به تجهیزات وابستگی دارد و 50 درصد مربوط به فرایندها و نیروی انسانی می‌شود.

در تمام دنیا MSSP های متعددی برای تامین امنیت شکل گرفته‌اند. مالزی چهار MSSP درست و حسابی دارد که تمام صنایع را پوشش می‌دهند و همه شرکت‌ها امنیت خود را به آنها برون سپاری می‌کنند. سازمان‌های نظارتی هم فقط روی همین MSSP ها نظارت می‌کنند که نشت داده نداشته باشند و امنیت به درستی برقرار شود. مدل فعلی امنیتی صنایع مالی و دیگر صنایع این است که همه کار را خودشان انجام دهند. این مدل ما را با چالش بزرگی بنام فقر نیروی انسانی مواجه کرده که در کنار مهاجرت‌های فراوان به مرور به بحران نیروی انسانی تبدیل می‌شود.

عصر تراکنش: آیا شرکت‌های فعال حوزه افتا در ایران پاسخگوی نیازهای کسب‌و‌کارها و نهادها از لحاظ امنیتی هستند یا خیر؟ این سوال را، هم از دید نرم‌افزاری و هم سخت‌افزاری پاسخ دهید.

نهادهای رگولاتور باید تغییر رویکرد دهند

علیرضا عابدی نژاد: اکنون اکثر محصولات مورد نیاز بازار امنیت در شرکت‌های متعدد کشور موجودند و تعدادی هم در داخل کشور تولید می‌شوند. طبیعتا در بعضی شرکت‌ها محصولات ضعیف‌تری وجود دارد و در برخی قوی‌تر؛ اما آیا این محصولات درجه یک دنیا هستند؟ طبیعتا ضعف‌هایی از این لحاظ داریم. ما هم‌تراز با محصولات جهانی نیستیم. طبیعتا وقتی اقتصاد کل کشور ما کمتر از نیم درصد اقتصاد دنیاست، انتظارات ما نیز باید محدود باشند. ما شرکت‌های بین‌المللی واقعی نداریم و اگر هم داشته باشیم، اجازه فعالیت به آنها نمی‌دهیم. اگر شما تولید کننده یک محصول امنیتی بین‌المللی باشید، یا سازمان پدافند جلوی کارتان را می‌گیرد، یا افتا، یا یک جای دیگر. بدین ترتیب هرگز امکان صدور محصول را به عرصه‌های بین‌الملل نداریم. در این شرایط باید توقع خود را متناسب با توانمندی‌های کشور تنظیم کنیم.

آیا محصولات کنونی جوابگوی نیاز کشور هستند؟ به عقیده من هستند. به هرحال الان خیلی‌ها به دنبال ضربه زدن به کشور هستند و در اکوسیستمی زندگی می‌کنیم که آسیب‌پذیری را بالا می‌برد. کشوری مثل آمریکا یا اسرائیل تمام توان خود را به کار می‌گیرد که به ما از جهات مختلف ضربه بزند. در این شرایط طبیعتا نمی‌توانیم انواع تجهیزات آمریکایی را برای حوزه امنیت خریداری و استفاده کنیم و در شرایط بحران مطمئن باشیم که هیچ آسیبی نمی‌بینیم. این دیدگاه اشتباه است. در یکی، دو سال گذشته در اخبار شنیده‌ اید که کشور آمریکا راجع به استفاده از تجهیزات شرکت هواوی در اروپا حساسیت نشان داده است؛ چه رسد به خود آمریکا. آنها کلی رگولیشن گذاشته‌اند که مثلا اگر برای 5G به سراغ فناوری هواوی بروند، تحت تحریم و فشار قرار می‌گیرند و معاهده با آنها امضا نمی‌شود. چرا هواوی اینقدر برایشان مهم است؟ چون وقتی خودت را وابسته به تجهیزات یک کشور دیگر کنی، در شرایط بحران ممکن است آسیب‌پذیر شوی. نمی‌گویم تجهیزات آنها بک دور دارد یا ندارد، ولی به هر حال این وابستگی یک جنس از آسیب‌پذیری است. همین که نتوانی یک دستگاه را به موقع آپدیت و آپگرید کنی آسیب‌پذیر می‌شوی.

در مقوله امنیت باید توقع خود را در داخل کشور پایین‌تر بیاوریم و در عین حال شرکت‌های بومی را تقویت کنیم که محصولات و خدمات داخلی را ارائه دهند. فرض کنید شما به عنوان یک شرکت یا سازمان قرار باشد یک خزانه‌دار استخدام کنید. برای این کار دو راه دارید؛ استخدام خزانه‌دار متعهد یا استخدام خزانه‌دار متخصص. در مورد متعهد بودن یا امانت داری این متخصص اطمینان ندارید. از کدام یک استفاده می‌کنید؟ من شخصا در سازمان خود به سراغ خزانه دار متعهد می‌روم، ولی تخصص را نیز به او آموزش می‌دهم و در کنارش هستم تا به سطح کیفی مطلوب برسد. خیالم از او راحت است که امانت‌دار خوبی به شمار می‌رود. کسی که متخصص است، ولی متعهد نیست، همیشه برای ما نگرانی و آسیب‌پذیری ایجاد می‌کند. در حوزه امنیت نیز همین وضعیت را می‌بینیم. شما قرار است دارایی‌های خود را در اختیار یک سری محصولات خارجی بگذارید. پس طبیعتا باید نگران باشید. شاید شرکت‌های کوچک نگرانی جدی از این بابت نداشته باشند، چون در حملات بزرگ هدف حمله بشمار نمی‌روند، ولی صنایع بزرگ مالی و بانک‌های بزرگ اگر دچار آسیب جدی شوند، طی چند دقیقه خبرش در دنیا می‌پیچد. هر کدام از بانک‌های ما میلیون‌ها کاربر را تحت پوشش دارند، پس آسیب‌پذیری آنها اثر وسیعی دارد. اگر از نگاه امنیت ملی به موضوع ننگریم، دارایی اقتصادی بانک‌ها همان کاربران آنهاست. اگر یک بانک در طول یک ماه پنج بار دچار اختلال شود یا مشتریان او نگران نفوذ و نشت و امنیت حساب‌های بانکی شوند و به بانک دیگر کوچ کنند، دچار هزاران میلیارد خسارت می‌شود.

راه‌حل چیست؟ راه‌حل تقویت شرکت‌ها و محصولات بومی است. باید به سراغ خزانه‌دار متعهد برویم و او را به سطح خزانه‌دار متخصص برسانیم. باید شرکت‌هایی را شکل دهیم که در تامین امنیت توانمند و قابل اتکا باشند. تمام جنبه‌های امنیت را نمی‌توان بصورت درون سازمانی فراهم کرد. اکنون با چنین فقر نیروی متخصص که در کشور می‌بینیم، غیرممکن است یک سازمان تمام جنبه‌های امنیت خود را فراهم سازد. تعداد شرکت‌ها و سازمان‌های بزرگ کشور که به امنیت نیاز دارند، بی‌شمار است. اگر هر کدام از آنها بخواهد یک تیم حداقل 7 یا 10 نفره امنیتی را در سطح حرفه‌ای استخدام کند، هزینه سنگینی برمی‌دارد. آیا این تعداد متخصص در مملکت داریم؟ به نظر من قطعا نه؛ هنوز فاصله زیادی تا وضع مطلوب می‌بینیم. برای برقراری امنیت نیازمند بازنگری در روش‌ها هستیم.

با توجه به شرایط و نیروهای موجود در کشور، بازنگری در روش‌ها گریز‌ناپذیر است. خطاب به بانک مرکزی و افتا و دیگر رگولاتورها می‌گویم که برای این قضیه فکر اساسی کنند. با نیروی انسانی موجود در بازار نمی‌توان امنیت کشور را در حوزه فناوری اطلاعات تامین کرد؛ لااقل با مدل‌های موجود نمی‌شود؛ مگر اینکه مدل را تغییر دهیم.

عصر تراکنش: خواهشمندم جمع‌بندی و نکات نهایی خود را بفرمایید.

آموزش، آموزش، آموزش

علیرضا عابدی نژاد: به نظر من یکی از اتفاق‌های مهمی که باید بیفتد شفاف‌سازی، آموزش و فرهنگ‌سازی برای مدیران است تا ارزش دارایی‌های غیر‌ملموس و خسارت‌های احتمالی را که می‌تواند به آن وارد شود، بشناسند. این موضوع تاکنون مغفول بوده است. هرچقدر مدیران ارشد از حوزه امنیت حمایت کنند و آگاه باشند اولویت امنیت بالا می‌رود و اتفاقات بهتری در این رابطه می‌افتد. نکته دوم مربوط به رگولاتورها، اعم از بانک مرکزی و افتا و دیگر نهادهای قانون‌گذار است که باید روش‌ها و الزامات خود را در رابطه با تامین امنیت تغییر دهند. با توجه به منابع کنونی داخل کشور اتفاق بزرگی نمی‌تواند بیفتد. ما هم باید مثل تمام دنیا MSSP ها را شکل دهیم و شرکت‌های تخصصی تامین امنیت را فعال سازیم. حمایت از شرکت‌های بومی بسیار مهم است. خانم آریا اشاره درستی به اهمیت شرکت‌های بومی داشتند. حمایت از شرکت‌های بومی باید هوشمندانه باشد. من اصلا قائل به این نیستم که جلوی محصولات خارجی را بگیریم، ولی در بلند‌مدت، حمایت هوشمندانه و گام به گام از شرکت‌های بومی باید کمک کند که امنیت را بر عهده آنها بگذاریم. این اتفاق دیر یا زود خواهد افتاد؛ به شرطی که حمایت لازم صورت گیرد.

تمام حرف‌هایم را در یک کلمه خلاصه می‌کنم؛ آموزش، آموزش، آموزش. این آموزش باید در سطوح مختلف باشد؛ آموزش برای مدیران ارشد، آموزش برای تربیت نیروهای متخصص، آموزش برای مدیران میانی. هر کدام از این‌ها آموزش‌های خاص خود را می‌طلبند. برای سامان‌دهی این اقتصاد بزرگ نیازمند آموزش هستیم. واقعیت این است که دارایی‌های هنگفتی در کل کشور در معرض تهدید قرار دارند. برای حفاظت از این دارایی‌ها، اقتصاد بزرگی برای امنیت اطلاعات می‌تواند شکل بگیرد؛ به شرطی که به آن بها دهیم. نیروی متخصص کافی در این حوزه نداریم. باید آموزش بدهیم؛ گرچه مهاجرت هم آزار دهنده است. به هرحال آموزش می‌تواند بسیاری از مشکلات ناشی از مهاجرت را برطرف سازد.

همانطور که خانم آریا هم اشاره کردند، در نظام صنفی رایانه‌ای آمادگی تعامل همه جانبه با رگولاتورها را داریم. آنچه می‌تواند حلال مشکلات باشد، بخش خصوصی است که باید در تعامل نزدیک با رگولاتور، در سیاست گذاری‌ها بر مبنای واقعیت‌های بازار موثر واقع شود. متاسفانه تاکنون این تعامل وجود داشته، ولی کم بوده است.