نویسنده همکار: پیمان قاسمزاده، محقق حوزه فراگیری مالی / از زمان شروع درگیریهای نظامی در منطقه و افزایش تنشهای سایبری، شبکه بانکی کشور با مجموعهای از اختلالات و مسائل امنیتی روبرو بوده است. برخی از این مسائل بهطور رسمی از سوی مراجع ذیربط یا بانکها تأیید شده و برخی دیگر هرگز بهطور شفاف توضیح داده نشدهاند، اما تأثیرات آنها برای مشتریان کاملاً محسوس بوده است. در این مدت، بسیاری از شهروندان در زمانهای مختلف با مشکلاتی نظیر عدم دسترسی به اینترنتبانک و همراهبانک، اختلال در خدمات خودپرداز، تأخیر در انتقال وجه، مشکل در انجام تراکنشهای کارتبهکارت، اختلال در پرداختهای اینترنتی و حتی ناتوانی در دسترسی به موجودی یا گردش حساب خود مواجه شدهاند. در بسیاری از موارد، این اختلالات تنها یک مشکل فنی ساده نبودهاند. برای یک کسبوکار، چند ساعت عدم دسترسی به خدمات بانکی میتواند به معنای توقف فروش، ناتوانی در پرداخت به تأمینکنندگان یا تأخیر در انجام تعهدات مالی باشد. برای یک فرد عادی نیز ممکن است چنین اختلالی به ناتوانی در پرداخت هزینههای روزمره، انجام تعهدات قراردادی یا انتقال وجوه ضروری منجر شود. به همین دلیل، هرچند بسیاری از این رخدادها از منظر فنی در دسته «اختلال سامانه» یا «حادثه سایبری» قرار میگیرند، اما آثار آنها بسیار فراتر از یک مسئله فناوری اطلاعات بوده و بهطور مستقیم بر زندگی روزمره مردم و فعالیتهای اقتصادی تأثیر میگذارند.
نکته قابل توجه این است که رخدادهای اخیر محدود به یک نوع بانک، یک مدل کسبوکار یا یک بخش خاص از صنعت بانکی نبودهاند. بررسی رخدادهای ماههای اخیر نشان میدهد که تحلیل این مسئله صرفاً از زاویه عملکرد یک بانک، یک شرکت فناوری یا حتی یک حادثه مشخص، تصویر کاملی از واقعیت ارائه نمیدهد. دامنه بانکهای درگیر، تنوع نوع اختلالات، تفاوت در دلایل اعلامشده و تکرار رخدادها در بخشهای مختلف شبکه بانکی، همگی نشان میدهند که با مسئلهای فراتر از یک خطای فنی یا ضعف موردی مواجه هستیم. در این میان، آنچه بیش از هر چیز جلب توجه میکند، نبود یک الگوی مشخص در میان قربانیان این رخدادهاست. نه میتوان آن را صرفاً به بانکهای دولتی نسبت داد، نه به بانکهای خصوصی؛ نه یک پیمانکار مشخص فناوری اطلاعات در تمامی رخدادها حضور داشته و نه یک مدل عملیاتی واحد را میتوان در همه موارد مشاهده کرد. این پراکندگی، خود نشانهای از وجود عوامل عمیقتر و گستردهتر در سطح کل اکوسیستم بانکی است.
آنچه امروز مشاهده میشود، صرفاً مجموعهای از اختلالات پراکنده نیست؛ بلکه نشانههای شکلگیری یک ریسک سیستماتیک در زیرساخت مالی کشور است. اگر این گزاره را بپذیریم، در آن صورت نمیتوان راهحل را نیز در سطح یک بانک، یک شرکت فناوری یا یک رخداد خاص جستجو کرد. ریسکهای سیستماتیک معمولاً از نقاط مشترک میان بازیگران یک اکوسیستم نشأت میگیرند؛ نقاطی که مستقل از اندازه، مالکیت یا ساختار سازمانی هر بانک، بر عملکرد تمامی آنها تأثیر میگذارند. از این رو، برای درک بهتر وضعیت موجود و یافتن مسیرهای بهبود، باید به سراغ عواملی رفت که تقریباً در میان تمامی بازیگران شبکه بانکی مشترک هستند؛ عواملی مانند چارچوبهای مقرراتی و رگولاتوری، وضعیت زیرساختهای فناوری اطلاعات، مدل مدیریت سرمایه انسانی، ساختار زنجیره تأمین فناوری و شیوه اطلاعرسانی و پاسخگویی در زمان وقوع رخدادها.
چارچوبهای مقرراتی و رگولاتوری در تمامی صنایع، رگولاتورها با یک چالش دائمی مواجه هستند؛ ایجاد تعادل میان دو هدف که گاهی در تضاد با یکدیگر قرار میگیرند. از یک سو، حفظ امنیت، ثبات و کاهش ریسک قرار دارد و از سوی دیگر، نوآوری، رشد و پذیرش تغییرات. در صنعت بانکی، به دلیل ماهیت حساس فعالیتها و تأثیر مستقیم آن بر اقتصاد و زندگی روزمره مردم، طبیعی است که این تعادل تا حدی به سمت امنیت و ثبات متمایل باشد. در واقع، هیچکس انتظار ندارد که بانکها به اندازه یک استارتاپ فناوری ریسکپذیر باشند و اصل احتیاط در این صنعت یک دغدغه پذیرفتهشده و ضروری است. با این حال، رخدادهای اخیر نشان میدهد که صرف سختگیرانه بودن مقررات، الزاماً به معنای دستیابی به امنیت بیشتر نیست. وقوع اختلالات گسترده و حملات سایبری در چندین بانک کشور نشان میدهد که بخش قابل توجهی از چارچوبهای کنترلی موجود نتوانستهاند سطح مطلوبی از تابآوری و امنیت را ایجاد کنند.
این موضوع لزوماً به معنای ناکارآمد بودن تمام مقررات نیست، اما این پرسش را مطرح میکند که آیا هزینهای که نظام بانکی بابت محدودیتها، فرآیندها و الزامات متعدد پرداخت کرده است، متناسب با دستاوردهای امنیتی حاصل از آن بوده است یا خیر. در بسیاری از موارد، بانکها و شرکتهای فناوری با مجموعهای از الزامات، فرآیندها و محدودیتهای طولانی و پیچیده مواجه هستند که هدف اصلی آنها افزایش امنیت عنوان میشود. با این حال، تجربه عملی نشان میدهد که بخشی از این الزامات یا تأثیر امنیتی قابل توجهی ایجاد نکردهاند یا در عمل مسیرهای غیررسمی برای دور زدن آنها شکل گرفته است. زمانی که رعایت یک قاعده بسیار دشوار، زمانبر یا پرهزینه باشد، سازمانها به تدریج به یافتن راههای جایگزین و دور زدن آن عادت میکنند؛ رفتاری که در بلندمدت نهتنها به بهبود امنیت کمک نمیکند، بلکه فرهنگ تبعیت از مقررات را نیز تضعیف میکند.
تعدد رگولاتوری در کشور، از جمله بانک مرکزی، افتا، پدافند غیرعامل و هر نهاد دیگری که خود را متولی این حوزه میدانست، نه تنها مسئله امنیت را برطرف نکرد، بلکه با پیچیدهتر شدن قواعد، دستورالعملهای متناقض و خلاف یکدیگر، نامشخص بودن مسئول و مقصر مربوطه، فضا را آشوبناکتر نیز کرد. در چنین شرایطی، به نظر میرسد بازنده اصلی این وضعیت خود بانکها بودهاند؛ از یک سو، بخشی از ظرفیت نوآوری، چابکی و رشد آنها به دلیل الزامات و محدودیتهای متعدد کاهش یافته است و از سوی دیگر، رخدادهای اخیر نشان میدهد که سطح امنیت و تابآوری مورد انتظار نیز بهطور کامل محقق نشده است. به بیان دیگر، نظام بانکی در برخی موارد نه مزایای کامل امنیت را به دست آورده و نه فرصتهای کامل رشد و نوآوری را تجربه کرده است. از این رو، بازنگری در رویکردهای تنظیمگری میتواند یکی از مهمترین اقدامات پیشرو باشد.
تمرکز اصلی باید بر شناسایی و تقویت مقرراتی باشد که اثر واقعی و قابل اندازهگیری بر امنیت دارند و در مقابل، حذف یا بازطراحی الزاماتی که هزینه اجرایی بالایی ایجاد کردهاند اما دستاورد امنیتی مشخصی نداشتهاند. همچنین هرچه قوانین و فرآیندها سادهتر، شفافتر و قابل اجراتر باشند، احتمال تبعیت واقعی از آنها افزایش مییابد و انگیزه برای ایجاد مسیرهای غیررسمی و دور زدن مقررات کاهش پیدا میکند. هدف نهایی باید حرکت به سمت چارچوبی باشد که هم امنیت را افزایش دهد و هم امکان رشد، نوآوری و ارتقای توان رقابتی بانکها را حفظ کند.
زیرساختهای فناوری اطلاعات یکی از مهمترین نقاط مشترک میان بخش قابل توجهی از بازیگران صنعت بانکی، وضعیت زیرساختهای فناوری اطلاعات است. حجم قابل توجهی از زیرساختها، تجهیزات و سامانههای مورد استفاده در شبکه بانکی کشور قدیمی و فرسوده هستند و در بسیاری از موارد سالها از عمر مفید آنها گذشته است. هرچند طی این سالها تلاشهایی برای بهبود فرآیندها، تدوین دستورالعملهای امنیتی و ارتقای رویههای عملیاتی انجام شده، اما نباید فراموش کرد که امنیت سایبری در نهایت بر بستری از فناوری بنا میشود و کیفیت این بستر نقش تعیینکنندهای در میزان تابآوری سازمانها دارد. واقعیت آن است که حتی بهترین استراتژیها، فرآیندها و سیاستهای امنیتی نیز زمانی که بر روی زیرساختی فاقد توان پردازشی، ظرفیت عملیاتی و قابلیتهای فنی لازم اجرا شوند، نمیتوانند اثربخشی کامل داشته باشند.
بسیاری از راهکارهای مدرن امنیتی برای شناسایی، تحلیل و مقابله با تهدیدات پیشرفته نیازمند توان پردازشی بالا، تجهیزات بهروز و معماریهای جدید هستند؛ موضوعی که در بخشی از زیرساختهای بانکی کشور با محدودیتهای جدی مواجه است. در این میان، تحریمهای بینالمللی نیز نقش مهمی در فرسودگی زیرساختها ایفا کردهاند. طی سالهای گذشته، امکان نوسازی بسیاری از تجهیزات و سامانههای حیاتی با محدودیت مواجه بوده و در نتیجه بخشی از شبکه بانکی همچنان از فناوریهایی استفاده میکند که در بسیاری از نقاط جهان کنار گذاشته شدهاند. در برخی موارد، آسیبپذیریهای امنیتی شناختهشده این محصولات در نسخههای جدیدتر برطرف شده است، اما محدودیت در دسترسی به تجهیزات، نرمافزارها و خدمات پشتیبانی باعث شده است که سازمانها همچنان به استفاده از نسخهها و زیرساختهای قدیمی، در حالی که مهاجمان از نقاط ضعف آنها اطلاع دارند، ادامه دهند.
از سوی دیگر، ماهیت تهدیدات سایبری نیز طی سالهای اخیر دستخوش تغییرات اساسی شده است. مهاجمان دیگر صرفاً به ابزارهای سنتی متکی نیستند و از فناوریهایی نظیر هوش مصنوعی برای خودکارسازی حملات، تحلیل آسیبپذیریها و تولید بدافزارهای پیچیدهتر استفاده میکنند. همچنین گسترش تجهیزات متصل به اینترنت، شکلگیری باتنتهای مبتنی بر دستگاههای IoT و ظهور روشهای نوین حمله باعث شده است که مقیاس، سرعت و پیچیدگی تهدیدات به شکل قابل توجهی افزایش یابد. در چنین شرایطی، مقابله با تهدیدات نسل جدید مستلزم برخورداری از زیرساختهایی است که خود نیز متناسب با همین سطح از پیچیدگی طراحی و بهروزرسانی شده باشند.
متأسفانه برخی تصمیمات داخلی نظیر عدم استفاده از برندهای معتبر نظیر CisCo به علت آمریکایی بودن تجهیزات، آخرین ضربهای بود که زیرساختهای بانکی زده شد و سیستم را باز آسیبپذیرتر کرد. به همین دلیل، به نظر میرسد بخش مهمی از راهحل را باید در نوسازی زیرساختها جستجو کرد. تا زمانی که تغییرات محسوس و بنیادین در کیفیت زیرساختهای فناوری اطلاعات، تجهیزات پردازشی، شبکهها و سامانههای حیاتی صنعت بانکی ایجاد نشود، نمیتوان انتظار داشت که صرفاً از طریق اصلاح فرآیندها یا افزایش کنترلهای مدیریتی، سطح تابآوری سایبری به شکل معناداری افزایش پیدا کند. امنیت سایبری در نهایت به اندازه ضعیفترین بخش زیرساخت وابسته است و بدون سرمایهگذاری مستمر در این حوزه، کاهش پایدار ریسکهای موجود دور از انتظار خواهد بود.
مدیریت سرمایه انسانی یکی از موضوعاتی که در تحلیل تابآوری سایبری نظام بانکی کمتر مورد توجه قرار میگیرد، نحوه مدیریت سرمایه انسانی در این صنعت است. فرآیندهای جذب و استخدام در بسیاری از بانکها همچنان مبتنی بر الگوهای سنتی و آزمونمحور است. اگرچه این رویکرد از منظر عدالت استخدامی و شفافیت قابل دفاع است، اما لزوماً تضمینکننده جذب نیروهای متخصص و متناسب با نیازهای روز حوزه فناوری اطلاعات و امنیت سایبری نیست. علاوه بر این، طولانی بودن فرآیندهای جذب باعث میشود بانکها در تأمین سریع نیروهای مورد نیاز خود از چابکی کافی برخوردار نباشند. از سوی دیگر، سطح بالای امنیت شغلی در نظام بانکی باعث شده است که جایگزینی نیروهای کمکارآمد یا فاقد مهارتهای مورد نیاز با دشواری همراه باشد. در عمل، بسیاری از بانکها امکان بازآرایی سریع تیمهای تخصصی خود را ندارند و همین موضوع میتواند توان سازمان برای انطباق با تهدیدات جدید را کاهش دهد.
در محیطی که فناوری و تهدیدات سایبری با سرعت بالایی تغییر میکنند، توانایی جذب، نگهداشت و در صورت لزوم جایگزینی نیروها به یکی از عوامل کلیدی موفقیت تبدیل شده است. همچنین ساختار حقوق و مزایای صنعت بانکی در حوزه فناوری اطلاعات و امنیت سایبری الزاماً مزیت رقابتی قابل توجهی نسبت به بازار فناوری ایجاد نمیکند. بخش مهمی از جذابیت شغلی بانکها به عواملی نظیر امنیت شغلی، تسهیلات و وامهای کمبهره وابسته است؛ مزایایی که برای همه متخصصان حوزه فناوری جذابیت یکسانی ندارند و لزوماً نمیتوانند جایگزین پرداختهای رقابتی یا مسیرهای رشد حرفهای شوند.
