داود صفیخانی
اظهارات اخیر رئیس کل بانک مرکزی درباره لزوم طراحی شبکه بانکی با فرض وقوع حمله سایبری، ضرورتی انکارناپذیر است؛ اما نشان میدهد نگاه ما به امنیت سایبری همچنان واکنشی است، نه مبتنی بر معماری پیشگیرانه.
سرویسهای حاکمیتی در یک سال گذشته بیش از ۱۲۲ هزار بار هدف حمله قرار گرفتهاند و حملات اخیر حتی زیرساخت پشتیبان و فرآیندهای بازیابی را نیز درگیر کردهاند. دیگر نمیتوان امنیت بانکی را به نصب تجهیزات یا ایجاد یک سایت پشتیبان تقلیل داد.
در بانکداری نوین، امنیت بخشی از حکمرانی خدمات دیجیتال است. بانکی که بخش بزرگی از تراکنشهای مردم، کسبوکارها و خدمات دولتی را روی بستر الکترونیکی ارائه میکند، باید معماری خود را بر اساس ادامه خدمت در بحران طراحی کند، نه بازگرداندن سرویس پس از حادثه.
یکی از نکات مهم سخنان رئیس کل، اختلال در زیرساخت بانکداری متمرکز چند بانک و سپس هدف قرار گرفتن سامانه جایگزین است؛ هشداری که نشان میدهد داشتن نسخه پشتیبان بهتنهایی پاسخگوی تهدیدات جدید نیست.
تجربه کشورهای توسعهیافته مسیری روشن برای بازنگری در حکمرانی دیجیتال و تقویت تابآوری شبکه بانکی پیش روی ما میگذارد. نظامهای بانکی پیشرفته سالهاست از مفهوم صرف امنیت سایبری عبور کرده و به تابآوری عملیاتی رسیدهاند. فرض اصلی این نیست که آیا حمله رخ میدهد، بلکه این است که بانک وقتی حمله رخ داد، تا چه اندازه میتواند بدون توقف جدی خدمات حیاتی خود را ادامه دهد.
در ایالات متحده، نهادهای نظارتی بانکها را به ارزیابی مستمر ریسک، آزمون نفوذ و برنامه تداوم کسبوکار ملزم کردهاند. در اتحادیه اروپا نیز مقررات جدید بانکها را موظف میکند مدیریت ریسک فناوری، گزارشدهی رخدادها و بازیابی سریع خدمات را نظاممند اجرا کنند.
تفاوت اصلی با وضعیت فعلی ما این است که در کشور، موفقیت امنیتی هنوز با جلوگیری از نفوذ یا بازگرداندن سامانه پس از اختلال سنجیده میشود؛ در حالی که در استانداردهای جهانی، بانک موفق آن است که حتی در حمله نیز خدمات حیاتی را با کمترین آسیب ادامه دهد.
پشتیبانگیری هم نیازمند بازتعریف است. در نظامهای پیشرفته، داشتن یک سایت پشتیبان بهتنهایی معیار تابآوری نیست؛ کل زنجیره شامل معماری سامانه، وابستگی به پیمانکاران فناوری، فرآیند بازیابی و ارتباطات بحران ارزیابی میشود.
خلأ مهم دیگر، نبود استاندارد شفاف برای تعریف اختلال و تعیین خسارت است. اختلال یکساعته در ساعات کمتراکنش با اختلال چندساعته در زمان پرداخت حقوق یکسان نیست، اما مشخص نیست این تفاوت چگونه باید ثبت و ارزیابی شود.
بانک مرکزی باید با همکاری نهادهای تخصصی، چارچوبی ملی برای مدیریت رخدادهای سایبری تدوین کند؛ چارچوبی که دستکم شامل این موارد باشد:
- سطحبندی دقیق اختلالات، از محدود تا بحران ملی
- تعیین زمان مجاز بازیابی خدمات برای هر سطح
- الزام بانکها به گزارش عمومی و شفاف رخدادهای مهم
- تعیین مسئولیت هر دستگاه در زمان بحران
- فرآیند استاندارد محاسبه خسارت مشتریان و کسبوکارها
خسارت یکی از مهمترین بخشهای مغفول این حوزه است. اگر فروشگاه اینترنتی یا کسبوکار خردی به دلیل اختلال شبکه بانکی نتواند وجهی دریافت یا پرداخت کند، زیانش چگونه محاسبه میشود و پاسخگوی آن کیست؟ در بسیاری از نظامهای پیشرفته، خدمات حیاتی دیجیتال شاخصهای مشخص سطح خدمت (SLA) دارند و برای عدم تحقق آنها سازوکار جبران خسارت تعریف شده است؛ شبکه بانکی نیز باید از همین الگو پیروی کند.
استقلال بانکها از سامانههای متمرکز هم نیازمند بررسی دقیق است. بانک مرکزی نباید جای بانکهای عامل فعالیت اجرایی کند، اما این استقلال نباید به جزیرههای فناورانه و افزایش نقاط ضعف بینجامد. راهحل، حرکت به سمت استانداردهای مشترک و تقسیم درست مسئولیتهاست.
حملات سایبری اخیر را نباید صرفاً یک حادثه امنیتی دانست؛ باید آن را آزمونی برای بلوغ حکمرانی دیجیتال کشور تلقی کرد. عبور از این مرحله نیازمند آن است که نگاه بانک مرکزی از بازگرداندن سرویس پس از اختلال، به طراحی سیستمهایی برای تداوم خدمت حتی در زمان حمله تغییر کند.
امنیت بانکی بخشی از اعتماد عمومی به نظام مالی کشور است و هر اختلال گسترده، جز خسارت اقتصادی، سرمایه اجتماعی را نیز تحت تأثیر قرار میدهد.
