👆👆🛑نقد عملکرد استارتاپ رسمیو

یکی از چالشی‌ترین تقاطع‌های امنیت اطلاعات، حریم خصوصی و دسترسی آزاد به داده‌ها در خصوص عملکرد شرکت رسمیو میتواند موضوع بحث باشد، که اتفاقاً مشابه همین مباحث در بسیاری از کشورها (مانند عدالتِ داده‌ها و توازن امنیت-شفافیت) مطرح شده است.
بیایید موضوع را از دو بخش بررسی کنیم: تحلیل انتقادی پروژه رسمیو و مفهوم آن در امنیت اطلاعات.


⚖️ ۱) تحلیل انتقادی عملکرد رسمیو

الف) مزایا و انگیزه‌ها

رسمیو با جمع‌آوری داده‌ها (کراول، ترکیب منابع پراکنده، بازیابی داده‌های حذف‌شده یا ناقص) شفافیت بالاتری برای کسب‌وکارها ایجاد کرده است، مثلاً دسترسی به سوابق شرکت‌ها، مدیران، و… که به شفافیت اقتصادی و اعتبارسنجی کمک می‌کند.
داده‌های ثانویه‌ای که روزنامه رسمی عمداً پنهان/حذف می‌کند را بازتولید یا ترکیب کرده است؛ این برای برخی گردش‌های مالی و تصمیم‌گیری تجاری یک مزیت است.

ب) نقاط منفی و نقدهای امنیتی

حریم خصوصی افراد: علت اصلی حذف بخشی از داده‌ها توسط روزنامه رسمی، محافظت از اشخاص مهم بوده است: جلوگیری از شناسایی آسان مدیران ارشد، قضات، و… (به‌ویژه در مورد پرونده‌های ویژه یا پرخطر).
رسمیو با بازسازی و انتشار این داده‌ها، عملاً اقدامات روزنامه رسمی برای پنهان‌سازی یا حداقل‌سازی ریسک هدف قرار گرفتن افراد مهم را خنثی کرده است.
این موضوع می‌تواند تهدیدهایی مثل حملات مهندسی اجتماعی، سوءاستفاده دزدان هویت، اختلال خدمات، یا حتی سناریو‌های ترور یا اخاذی (بخصوص برای مدیران سطح بالا و پرخطر) و حتی ترور را افزایش دهد.
مسئله‌ی مطابقت با قوانین حمایت از داده‌ها (مثلاً GDPR معادل داخلی آن)، شفافیت در اعلام منبع داده، رضایت افراد و حذف پروفایل در صورت اعتراض، هم مطرح است.

🔐 ۲) دسته‌بندی این بحث در حوزه امنیت اطلاعات

در طبقه‌بندی کلاسیک امنیت اطلاعات، این موضوع در قالب مفاهیم زیر قابل تحلیل است:
۱. Privacy vs. Security

جمع‌آوری و انتشار اطلاعات افراد (خصوصاً افراد پرخطر) بدون رعایت حداقل الزامات حفاظت از حریم خصوصی یا رضایت، در “بازی با مرز امنیت و شفافیت” قرار می‌گیرد.

۲. Threat Intelligence Exposure

فراهم‌سازی اطلاعات شناسایی‌شده در سطح وسیع برای افراد خاص (VIP Exposure) عملاً به مخاطره انداختن OPSEC آن‌ها (Operations Security: امنیت عملیات) است.
در مدل VIP Threat Modeling، هرگونه data aggregation که موقعیت، آدرس یا روابط قدرت را آشکارتر کند، یک تهدید محسوب می‌شود.

۳. Data Aggregation Risks

رویکرد رسمیو با کنار هم گذاشتن داده‌های پراکنده و ساختن پروفایل جامع، یک نمونه مشخص از aggregation threat است؛ یعنی خطری که در تئوری امنیت اطلاعات با عنوان “aggregation vulnerability” شناخته می‌شود.

۴. Legal & Ethical Considerations

در جمع‌آوری، نگهداری و افشای داده‌ها، بحث‌های قانونی (data protection law) و اخلاقی (سود عامه در مقابل آسیب به فرد) هم مطرح است که فراتر از حوزه فنی صرف است.

📋 جمع‌بندی و توصیه

قابل نقد بودن: عملکرد رسمیو از منظر امنیت اطلاعات، به خصوص در حوزه حفاظت از شخصیت‌های حساس (VIP Protection) و حداقل‌سازی حملات هدفمند و ترور قابل نقد جدی است. هر پروژه Aggregator باید مکانیزم‌های حذف داده‌های حساس، امکان opt-out برای اشخاص و ارزیابی ریسک داشته باشد.
موضوع امنیتی: این بحث در دسته‌ی OPSEC (امنیت عملیات)، Aggregation Risk و VIP Threat Modeling قرار می‌گیرد.
توصیه: لازم است رسمیو و پروژه‌هایی از این جنس، علاوه بر رعایت قانون و دسته بندی اطلاعات ، یک چارچوب ethical و حداقل یک مکانیزم درخواست حذف (Right to be Forgotten) برای داده‌های حساس پیاده‌سازی کنند؛ و همچنین با نهادهای مسئول هماهنگ باشند.

#آکادمی_روزبه
مرکز تخصصی CISSP

✴️این مطلب پیرو تصویر پست قبل به نگارش در آمده است