راه بی‌پایان
در مطالعات باستان‌شناسی در دیوارهای غاری با قدمت حداقل ۳۱.۰۰۰ ساله نقاشی‌هایی پیدا شذند که کنارش جای دست وجود دارد و به عبارتی دیگر با اثر دست و انگشت، فردی از قعر تاریخ، هویت و حضور خود را خطاب به آیندگان فریاد می‌زند. همچنین ژائو باروس (Joao de Barros)، نویسنده اسپانیایی، در خاطرات خود نوشته که بازرگانان چینی اولیه، برای عقد قراردادهای تجاری خود، از اثر انگشت استفاده می‌کردند و اثر انگشت به عنوان ابزار احراز و اثبات هویت مورد استفاده قرار می‌گرفته است. با چنین سابقه و قدمتی تصور می‌شود که برای این مسئله راه‌حل قطعی پیدا شده است و این راه به پایان رسیده است و دیگر این موضوع، دغدغه‌ای برای انسان و کسب‌وکار امروز نباشد؛ اما هست!
هویت، مفهومی است که به هر موجودیتی در زیست‌بوم اجازه تمایز می‌دهد و یکتایی هویت موجودیت تضمین می‌گردد. حال در هر اکوسیستمی که موجودیت می‌خواهد خدماتی اخذ کند، نیاز هست هویت خویش را اعلام کند و راستی‌آزمایی هویت ادعا شده، مسئله احراز هویت است. در این نقطه است که باید درباره ریسکهای احراز هویت به عنوان «مسئله احراز هویت» صحبت شود. ریسکهای جعل هویت و هویت ساختگی همواره وجود داشته است و در زیست‌بوم دیجیتال، این موضوع اهمیت مضاعفی پیدا می‌کند؛ به ویژه آن‌که احراز هویت دیجیتال بخواهد ابزاری برای اعطای مجوز بهره‌گیری از خدمات حساسی مانند خدمات مالی باشد.
هویت دیجیتال، نمایش دیجیتالی یک موجودیت با جزئیات کافی است؛ به عبارت دیگر بیانگر تمایز و هویت ویژه موجودیت در زیست‌بوم دیجیتال می‌باشد. در مفوم هویت در فضای فیزیکی، دو دسته‌بندی از هویت وجود داشت. نخست «هویت رسمی» است که مبتنی بر خصوصیات (ویژگی ها یا شناسه ها) شخصی و برای ایجاد یکتایی فرد را در میان جامعه است و از سوی دولت به رسمیت شناخته می‌شود و تمامی خدمات دولتی مبتنی بر آن ارائه خواهد شد. از سوی دیگر «هویت کاربردی» هویتی است که برای ارائه شناسایی، احراز هویت و صدور مجوز برای خدمات یا بخش‌های خاص مورد استفاده قرار می‌گیرد که در برخی اسناد به آن «صفت» هم گفته شده است. گواهینامه رانندگی، مدارک تحصیلی و … مدارکی هستند که برای اثبات هویت کاربردی شخص در حوزه هدف به کار گرفته می‌شوند. اما در زیست‌بوم دیجیتال، نوع سومی از هویت وجود دارد که اهمیت شایانی دارد و آن «هویت دیجیتال تراکنشی» است که شامل داده‌های دیجیتالی رفتار معاملاتی و تراکنشی شخص در زیست‌بوم دیجیتال می‌گردد و سبب تمایز فرد در زیست‌بوم می‌گردد.
فرایند اثبات هویت، فرآیندی است که طی آن ارائه دهنده خدمات هویتی اطلاعات مربوط به شخص را جمع‌آوری، اعتبارسنجی و ممیزی می‌نماید و رای به یکتایی شخص در یک جمعیت و یا زمینه مشخص می‌دهد. این فرایند در زیست‌بوم دیجیتال، اهمیت شایانی پیدا می‌کند به ویژه که ارائه دهنده خدمات هویتی بر اساس جمع آوری و تفکیک، اعتبار سنجی و ممیزی داده‌های دیجیتالی، گواهینامه دیجیتالی صادر خواهد کرد و و صاحب گواهینامه مذکور مجاز به بهره‌برداری از خدمات حساس خواهد شد.
شاید با توضیحات مذکور، دغدغه رگولاتورهای حوزه‌های مختلف برای مواجهه با مفهوم احراز هویت دیجیتال ترسیم شده باشد. برای همین است که فقط در اتحادیه اروپا، بیش از 94 راهکار احراز هویت دیجیتال در 28 کشور اتحادیه اروپا مورد بررسی و بهره‌برداری قرار گرفته است. از سوی دیگر، احراز هویت دیجیتال، زیرساخت بنیادین برای بسیاری از کسب‌وکارهایی است که در زیست‌بوم دیجیتال شکل گرفته است و این موضوع سبب شده است که «شمول مالی» جامعه تحت تاثیر قرار بگیرد و به‌کارگیری احراز هویت دیجیتال، نقش مهمی در گسترش شمول مالی اشخاص داشته باشد. از سوی دیگر این میزان تاثیر، شدت ریسکهای احراز هویت دیجیتال را افزایش داده است و نیاز به اسناد بالادستی برای ایجاد ضمانت برای تعامل پایدار اعضای زیست‌بوم با یکدیگر را مطرخ کرده است. اشخاص باید از امن بودن فرایند احراز هویت و حفظ حریم خصوصی، اطمینان حاصل کنند و از سوی دیگر کسب‌وکارها باید از صحت و کارایی فرایند اطمینان حاصل کنند تا دچار زیان‌های گسترده در تعاملات خودشان در زیست‌بوم نشوند.
اما هنوز اسنادبالادستی جامع و مانع، در زیست‌بوم دیجیتال ایران وجود ندارد. در حوزه مالی و بانکی، بخشنامه‌های بسیار برای احراز هویت حضوری وجود دارد و البته در بخش‌هایی به احراز هویت غیرحضوری مبتنی بر شناسایی انجام شده حضوری، وجود دارد اما تنها سند بالادستی که جامعیت بیشتری دارد، بخشنامه شورایعالی فضای مجازی است که در شهریورماه سال 1398 تحت عنوان «نظام هویت معتبر در فضای مجازی کشور» ابلاغ شده است. الزامات زیست‌بوم هویت معتبر در فضای مجازی، خطوط اجرایی و نگاشت نهادی مفاد این سند کوتاه هستند. اما هنوز نیاز است اسنادی تشریحی برای ترسیم اکوسیستم هویت دیجیتال منتشر و اجرایی شوند.
در کمیسیون تحول دیجیتال سازمان نظام صنفی رایانه‌ای کشور، کارگروهی شکل گرفت که با همکاری فعالان صنف بتواند پیش‌نویس الزامات و مقررات بالادستی مورد نیاز را تدوین و به شورای اجرایی فناوری اطلاعات کشور پیشنهاد بدهد.
نخستین گام، جمع‌آوری و مطالعه اطلاعات و اسناد در حوزه داخل کشور و اسناد معتبر بین‌المللی است. برای اسناد داخل کشور، سعی شده است تمامی اسنادی که توسط شورایعالی فضای مجازی کشور، معاونت علمی ریاست جمهوری، سازمان فناوری اطلاعات، بانک مرکزی ، سازمان بورس و سایر نهادها و سازمان‌ها صورت پذیرفته است، جمع‌آوری گردد و تاریخچه کارها و مطالعات انجام شده مورد بهره‌برداری قرار گیرد.
از سوی دیگر، مستندات معتبر بین‌المللی در حوزه هویت دیجیتال مانند FATF , NIST، eidas، ITU و ISO گردآوری و مطالعه شود و بعد بر مبنای شرایط اکوسیستم هویت دیجیتال ایران، مفاد لازم استخراج گردد.
همچنین نمونه‌های تجارب بین‌المللی چهارچوب هویت ملی دیجیتال در کشورهای استرالیا، انگلستان، بلژیک، استونی، امارات متحده عربی، هندوستان، پاکستان، سنگاپور، تایلند، مالزی و مقدونیه شمالی مورد بررسی و کاوش قرار گرفت.
در ابتدای کارسعی شد ادبیات موضوع سند به صورت شفاف تبیین گردد. لازم به ذکر است در حوزه تعاریف و مفاهیم سعی شده است به نص صریح متون مرجع پایبند بوده و برای اصطلاحات از واژه‌های استفاده شده در اسناد مشابه و یا واژه‌گزینی با تقریب معنایی صورت پذیرد. بعد از تعاریف هویت، احراز هویت، احراز هویت دیجیتال بحث شناسایی و بررسی ریسکهای حوزه احراز هویت دیجیتال در دستورکار قرار گرفت. ریسک ثبت نام و اثبات هویت، ریسک احراز هویت و مدیریت چرخه حیات، ریسکهای جعل هویت و هویت‌های ساختگی، ریسکهای ناشی از آسیب‌پذیری‌های احراز هویت چند عاملی و هویت بیومتریک از جمله ریسک‌هایی هستند که مورد بررسی و مطالعه قرار گرفت.
گام بعدی تدوین مدل مفهومی پیشنهادی هویت دیجیتال، بیان ویژگی‌های مدل و بررسی مدل از ابعاد امنیت، کارایی، حریم خصوصی و تجربه کاربری می‌باشد. هدف این است که از درون مدل مفهومی، معماری کلان پیشنهادی اکوسیستم هویت دیجیتال تبیین گردد. برای رسیدن به ساختاری پایدار در زیست‌بوم هویت دیجیتال، باید بازیگران اکوسیستم، نقش‌های آنان و رولبط آن‌ها با موجودیت‌های داخل و خارج زیست‌بوم به دقت تشریح گردد.
مدل کسب‌وکاری زیست‌بوم هویت دیجیتال، چالش بعدی است که باید برای آن چاره‌ای اندیشیده شود. برای تامین سرمایه مورد نیاز برپایی زیرساخت‌های زیست‌بوم هویت دیجیتال در کشورهای مختلف، استراتژی‌های مختلفی در پیش گرفته شده است؛ به عنوان نمونه در کشور استونی، بخش دولتی تامین سرمایه مورد نیاز را بر عهده گرفته است اما در مقابل در کشور ایتالیا، بخش خصوصی این کار را انجام داده است و البته در اکثر کشورها این تامین سرمایه به صورت مشترک توسط هر دو بخش خصوصی و دولتی تامین شده است. در مقابل برای جریان درآمدی باید مدلی پایدار تعیین شود تا بتواند هزینه‌های زیرساخت مذکور را پوشش بدهد. تعیین مدل کارمزدی بین اعضای اکوسیستم هویت دیجیتال، یکی از گام‌های مهم در نقشه‌راه کارگروه احراز هویت دیجیتال می‌باشد.
کاربردهای احراز هویت ،انواع سیستم‌های احراز هویت و معیارهای انتخاب یک سیستم احراز هویت برای موسسات مالی و غیرمالی ، انواع ابزارهای احرازهویت (بارکد، شناسه اختصاصی سیم‌کارت موبایل ، کارت هوشمند ،…) از جمله موضوعاتی هستند که در دستورکار این کارگروه قرار دارند.
چالش دیگر، مبحث به‌کارگیری فناوری های نوین در مدیریت هویت دیجیتال به ویژه بهره‌گیری از فناوری زنجیره‌ی بلوکی می‌باشد. از آن‌جایی که هنوز نسخه نهایی اسناد مرجع در این حوزه منتشر نشده است و مهمترین سند این حوزه ISO/TC 307 با مشارکت کارشناسانی از 44 کشور در حال توسعه می‌باشد، تدوین الزامات این فصل، بسیار دشوار می‌باشد که با بهره‌گیری از نظرات کارشناسان این حوزه در حال انجام می‌باشد.
به صورت موازی، فراخوانی عمومی منتشر گردید که از تمام شرکت‌هایی که در این حوزه محصول داشتند، دعوت گردید که به کمیته مشورتی سند بپیوندند. بعد از تشکیل این کمیته، پیش‌نویس سند تهیه شده در اختیار این کمیته قرار داده می‌شود تا آن را زیر ذره‌بین حرفه‌ای خویش قرار داده و نظرات خود را بر روی سند اعلام فرمایند. همچنین تدوین لیست اطلاعات شرکت‌های فعال در حوزه هویت دیجیتال در بازار کسب‌وکار ایران، شناخت و معرفی محصولات و راهکارهای ارائه شده در بازار کسب‌وکار به حوزه دولتی و خصوصی می‌باشد.
این راهی است که آغاز شده است و امید است به زیرساختی فراگیر برای احراز هویت دیجیتال تبدیل گردد و بتواند گره شناسایی و احراز هویت غیرحضوری مشتریان به ویژه در حوزه تجارت الکترونیک، بانکداری و پرداخت الکترونیکی را بگشاید. اما این نقطه پایان نیست. با گسترش و پیشرفت تکنولوژی‌های مختلف در حوزه احراز هویت و شناسایی ریسکهای جدید و انتشار نسخه‌های جدید استانداردهای بین‌المللی، نیاز است که در زمانبندی مشخص، سند تولیدی به‌روزرسانی گردد و پاسخگوی نیازمندی‌های حوزه کسب‌وکار در دوره‌های زمانی مختلف باشد. این راهی که از درون صنف و سازمان نظام صنفی رایانه‌ای کشور آغاز شده، انتظار و امیدی بسیار ایجاد کرده که این کار با مشارکت خود کسب‌وکارهای صاحب دغدغه و ایده پیش برود و متولی سند خودش دغدغه امنیت، پایداری و تداوم کسب‌وکارش را داشته باشد و لذا متعهد به پایش و بلوغ فرایندهای تدوین شده در سند، باشد و این شروعی زیبا برای راهی بی‌پایان است.
پی‌نوشت: این مطلب در صفحه 35 شماره 84 – آبان‌ماه 1399 ماهنامه پیوست منتشر شده است.
دیدگاه خود را ثبت کنید