Maher Publishing Institute دانشنامه فقه و حقوق تطبیقی 2 پیاپی 6 1403 06 20 Analysis of the Civil Liability of Information Technology Contractors for Cyberattacks on Industrial Control Systems in the South Pars Refineries تحلیل مسئولیت مدنی پیمانکاران فناوری اطلاعات در برابر حملات سایبری به سیستم‌های کنترل صنعتی در پالایشگاه‌های پارس جنوبی 430 447 10.61838/jecjl.663 FA ناصر محمدنژاد دانشجوی کارشناسی ارشد و پژوهشگر حقوق خصوصی، گروه حقوق، واحد یاسوج، دانشگاه آزاد اسلامی، یاسوج، ایران سید مصطفی هاشمی استادیار، گروه حقوق، واحد یاسوج، دانشگاه آزاد اسلامی، یاسوج، ایران Journal Article 1403/03/26 <p>Digital transformation in the oil and gas industry, particularly in critical infrastructure such as the South Pars refineries, has increased efficiency, data integration, automation, and reduced operational costs. At the same time, however, it has significantly expanded the cyberattack surface. In this context, information technology contractors, who play a central role in the design, installation, maintenance, updating, support, and integration of operational technology systems and industrial control systems, may incur civil liability when cyberattacks occur. The principal question addressed in this article is: What is the legal basis for the civil liability of these contractors for damage arising from attacks on industrial control systems in the South Pars refineries? Employing a descriptive-analytical method and an argumentative approach, and drawing on legal sources, industrial cybersecurity standards, and experience gained from major cyberattacks, this study demonstrates that a contractor’s mere reliance on technical complexity or the professional nature of the risks is insufficient to exempt it from liability. Rather, civil liability may be established whenever negligence is proven in secure system design, network segmentation, security patch management, access control, event logging, continuous monitoring, or user training. The article further concludes that, in information technology contracts concerning critical infrastructure, the traditional obligation-of-means model should be reconceptualized in favor of a heightened professional duty of care. This approach should be complemented by stronger contractual mechanisms, including risk allocation, cyber insurance, explicit obligations to comply with applicable standards, and security-audit clauses.</p> <p>تحول دیجیتال در صنعت نفت و گاز، به‌ویژه در زیرساخت‌های حساس نظیر پالایشگاه‌های پارس جنوبی، اگرچه موجب افزایش بهره‌وری، یکپارچگی داده‌ها، اتوماسیون و کاهش هزینه‌های عملیاتی شده است، اما هم‌زمان سطح حمله سایبری را نیز به‌طور معناداری گسترش داده است. در این میان، پیمانکاران فناوری اطلاعات که در طراحی، نصب، نگهداری، به‌روزرسانی، پشتیبانی و یکپارچه‌سازی سامانه‌های فناوری عملیاتی و سیستم‌های کنترل صنعتی نقش محوری دارند، در صورت وقوع حملات سایبری می‌توانند در معرض مسئولیت مدنی قرار گیرند. مسئله اصلی این مقاله آن است که مبنای مسئولیت مدنی این پیمانکاران در برابر خسارات ناشی از حمله به سامانه‌های کنترل صنعتی در پالایشگاه‌های پارس جنوبی چیست؟. این پژوهش با روش توصیفی-تحلیلی و رویکردی استدلالی، ضمن بهره‌گیری از منابع حقوقی، استانداردهای امنیت صنعتی و تجربه حملات مهم سایبری، نشان می‌دهد که صرف استناد پیمانکار به پیچیدگی فنی یا حرفه‌ای بودن مخاطرات، برای رهایی از مسئولیت کفایت نمی‌کند؛ بلکه هرگاه قصور در طراحی امن، تفکیک شبکه، مدیریت وصله‌های امنیتی، کنترل دسترسی، ثبت رخداد، پایش مستمر یا آموزش کاربران اثبات شود، مسئولیت مدنی وی قابل استقرار خواهد بود. همچنین مقاله نتیجه می‌گیرد که در قراردادهای فناوری اطلاعات مربوط به زیرساخت‌های حیاتی، باید الگوی سنتی تعهد به وسیله به نفع تعهد حرفه‌ایِ مشدد بازخوانی شود و در کنار آن، سازوکارهای قراردادی نظیر تقسیم ریسک، بیمه سایبری، تعهدات صریح انطباق با استانداردها و شروط بازرسی امنیتی تقویت گردد.</p> Civil liability IT contractor cyber attack industrial control systems South Pars refineries مسئولیت مدنی پیمانکار فناوری اطلاعات حمله سایبری سیستم‌های کنترل صنعتی پالایشگاه‌های پارس جنوبی https://www.jecjl.com/index.php/jecjl/article/download/663/385