یک حفره امنیتی چگونه چند بانک را زمین‌گیر می‌کند؟

به گزارش خبرنگار اقتصاد معاصر؛ امنیت سایبری بانک‌ها از یک موضوع تخصصی در واحد فناوری اطلاعات، به یکی از ریسک‌های جدی نظام مالی تبدیل شده است. تکرار اختلال در خدمات بانکی طی ماه‌های گذشته و درگیر شدن همزمان چند بانک در برخی رخدادها نشان داد آسیب‌پذیری یک سامانه یا زیرساخت مشترک می‌تواند مستقیما دسترسی مردم به خدمات مالی را مختل کند؛ مساله‌ای که حالا مرکز ملی فضای مجازی را به سمت رتبه‌بندی رسمی امنیت سایبری بانک‌ها و بانک مرکزی را به سمت تقویت نقش فناوری اطلاعات در ساختار مدیریتی موسسات اعتباری سوق داده است.

در ۲۸ مهرماه نخستین نتایج رتبه‌بندی جامع امنیت سایبری بانک‌ها در جلسه‌ای با حضور مرکز ملی فضای مجازی، بانک مرکزی، مرکز مدیریت افتا، سازمان بازرسی کل کشور و مدیران بانک‌ها اعلام شد. رتبه‌ها در مرحله نخست فقط در اختیار مدیران بانک‌ها قرار گرفته و بانک‌ها یک ماه فرصت دارند ایرادهای شناسایی‌شده را اصلاح کنند. پس از پایان این مهلت، ارزیابی دوباره انجام خواهد شد و مرکز ملی فضای مجازی وعده داده نتایج نهایی را در اختیار مردم قرار دهد. همچنین قرار است این ارزیابی‌ها به صورت مستمر و در دوره‌های سه‌ماهه تکرار شود.

این تصمیم در ظاهر یک تغییر مهم در نظام نظارت است؛ زیرا تا پیش از این گزارش‌های امنیتی عمدتا میان دستگاه‌های مسوول و مجموعه‌های مورد ارزیابی باقی می‌ماند. سیدمحمدامین آقامیری، رئیس مرکز ملی فضای مجازی نیز اعلام کرده مردم حق دارند بدانند نهادی که خدمات مالی خود را به آن می‌سپارند از چه سطح امنیتی برخوردار است و بتوانند متناسب با میزان ریسک، درباره استفاده از خدمات بانک‌ها تصمیم بگیرند. 

با این حال انتشار رتبه به تنهایی نمی‌تواند ضعف‌های امنیتی شبکه بانکی را برطرف کند. مساله اصلی این است که بانک پایین‌تر در رتبه‌بندی پس از دریافت نتیجه چه الزام عملی برای اصلاح زیرساخت خود خواهد داشت و اگر در ارزیابی‌های بعدی همچنان نمره نامطلوب بگیرد، چه ضمانت اجرایی در انتظار آن خواهد بود. در اطلاعات منتشرشده تاکنون فرآیند شناسایی، فرصت اصلاح، ارزیابی مجدد و انتشار عمومی مشخص شده اما جزئیات روش برخورد نظارتی با بانکی که نتواند آسیب‌پذیری‌های مهم خود را برطرف کند هنوز به صورت عمومی روشن نشده است.

زنگ خطر از چند حمله همزمان

اهمیت این ارزیابی را باید در کنار رخدادهای چند ماه گذشته دید. در ۲۴ خرداد امسال اعلام شد یک حمله سایبری به زیرساخت ارتباطی مشترک مورد استفاده بانک ملی، بانک تجارت، بانک صادرات و بانک توسعه صادرات موجب اختلال در بخشی از خدمات این چهار بانک شده است. شورای هماهنگی بانک‌ها در آن زمان اعلام کرد دسترسی غیرمجاز به اطلاعات مشتریان یا حذف داده رخ نداده اما برای کنترل شرایط، اقدامات حفاظتی و بازیابی خدمات در دستور کار قرار گرفت.

حدود ۹ روز بعد نیز خدمات کارت در بانک‌های ملی، صادرات و تجارت تحت تاثیر حملات سایبری قرار گرفت و عملیات مرتبط با کارت به صورت موقت محدود شد. دستگاه‌های خودپرداز، پایانه‌های فروش و برخی خدمات موبایلی نیز درگیر این اختلال شدند. این رخدادها یک نکته مهم را آشکار کرد؛ امنیت بانکی را دیگر نمی‌توان صرفا در داخل دیوارهای هر بانک بررسی کرد. زمانی که چند بانک از زیرساخت ارتباطی، نرم‌افزار، مرکز داده یا شرکت فناوری مشترک استفاده می‌کنند، ضعف یک حلقه می‌تواند همزمان چند مجموعه را متاثر کند.

محسن پاشا، قائم‌مقام و معاون امنیت مرکز ملی فضای مجازی نیز در توضیح معیارهای جدید صراحتا به همین ریسک اشاره کرده و گفته ارزیابی باید مشخص کند آیا خطر ناشی از پیمانکاران، شرکت‌های فناوری وابسته و ارائه‌دهندگان خدمات مشترک به درستی مدیریت می‌شود یا خیر. به گفته وی یک آسیب‌پذیری در شرکت نرم‌افزاری مشترک یا اختلال در یک زیرساخت ارتباطی می‌تواند چند بانک و حتی زنجیره پرداخت را همزمان درگیر کند.

این موضوع پیش‌تر نیز در مصاحبه علیرضا بزرگمهری، عضو هیات‌مدیره انجمن تحول دیجیتال ایران با خبرنگار اقتصاد معاصر با عنوان «بانک‌ها زیر سایه ضعف حکمرانی فناوری؛ حملات سایبری از کجا آب می‌خورد؟» مطرح شده بود. این عضو انجمن تحول دیجیتال ایران ضعف حکمرانی فناوری و کاهش اثربخشی نظام نظارتی را مهم‌تر از نگاه صرفا فنی به رخدادها دانسته و نسبت به تمرکز بخشی از داده‌ها و خدمات بانکی نزد شرکت‌های ارائه‌دهنده زیرساخت هشدار داده بود. وی همچنین بر این باور است در چنین شرایطی رتبه‌بندی اگر فقط وضعیت خود بانک را بررسی کند اما ریسک شرکت ارائه‌دهنده Core Banking، مراکز داده، پیمانکاران امنیتی و زیرساخت ارتباطی مشترک را نسنجد، بخشی از ریسک واقعی شبکه خارج از ارزیابی باقی خواهد ماند.

امنیت از اتاق سرور به هیات‌مدیره رسید

تغییر مهم دیگری که همزمان با رتبه‌بندی اتفاق افتاده، انتقال مسئولیت امنیت سایبری از سطح فنی به سطح مدیریت ارشد بانک است. بانک مرکزی در بخشنامه جدید خود که پس از مصوبه ۲۸ شهریور ۱۴۰۵ هیات عامل صادر شده، به موسسات اعتباری توصیه کرده در ترکیب هیات‌مدیره از عضوی دارای دانش، مهارت و تجربه کافی در حوزه فناوری اطلاعات استفاده کنند. همچنین بر استفاده موثرتر از معاون فناوری اطلاعات در هیات عامل و تقویت کمیته فناوری اطلاعات هیات‌مدیره تاکید شده است. اهمیت این تصمیم از آن جهت است که بخش مهمی از ضعف‌های امنیتی الزاما ناشی از نبود تجهیزات نیست؛ اولویت‌بندی بودجه، انتخاب پیمانکار، معماری شبکه، سیاست پشتیبان‌گیری، مدیریت دسترسی‌ها و حتی تصمیم درباره ادامه فعالیت یک سامانه آسیب‌پذیر در سطوح مدیریتی اتخاذ می‌شود.

معاون امنیت مرکز ملی فضای مجازی نیز تاکید کرده ارزیابی امنیت نباید بر تعداد تجهیزات خریداری‌شده متمرکز باشد. بانک باید نشان دهد دارایی‌های حیاتی خود را می‌شناسد، مسوولیت امنیت در سطح هیات‌مدیره تعریف شده، توان تشخیص زودهنگام تهدید وجود دارد، برنامه واکنش به حادثه آزمایش شده و پس از حمله نیز امکان بازیابی سریع خدمات حیاتی فراهم است.

این رویکرد با مقررات قبلی بانک مرکزی نیز همخوانی دارد. در دستورالعمل حداقل الزامات استقرار نظام کنترل داخلی موسسات اعتباری، مسوولیت طراحی کنترل‌های فناوری، مدیریت امنیت اطلاعات، کنترل خدمات برون‌سپاری‌شده و ایجاد سازوکارهای مدیریت ریسک در نهایت به هیات‌مدیره و هیات عامل بانک‌ها سپرده شده است. بنابراین اصل مسوولیت مدیریتی موضوع تازه‌ای نیست؛ آنچه اکنون اهمیت دارد، اجرای واقعی و سنجش‌پذیر این تکالیف است.

رتبه‌بندی باید چه چیزی را بسنجد؟

مرکز ملی فضای مجازی دامنه مورد انتظار از ارزیابی را گسترده تعریف کرده است؛ از حکمرانی و مدیریت ریسک گرفته تا حفاظت از داده، امنیت زیرساخت، آمادگی نیروی انسانی، مدیریت رخداد، تداوم کسب‌وکار، بازیابی خدمات و امنیت زنجیره تامین. این دامنه اهمیت زیادی دارد؛ زیرا ممکن است یک بانک تجهیزات امنیتی گران‌قیمت در اختیار داشته باشد اما زمان کشف حمله در آن طولانی باشد، نسخه‌های پشتیبان آن عملا قابل بازیابی نباشد یا شرکت پیمانکار دسترسی بیش از اندازه به داده‌های حساس داشته باشد. رتبه‌بندی زمانی ارزشمند است که این تفاوت‌ها را آشکار کند؛ نه اینکه صرفا تعداد سامانه‌ها، بودجه فناوری یا گواهی‌های دریافت‌شده را به امتیاز تبدیل کند.

معاون امنیت مرکز ملی فضای مجازی نیز بر ضرورت شفاف بودن شاخص‌ها، قابل دفاع بودن معیارها، متناسب بودن مدل ارزیابی با اندازه بانک، وجود مسیر اعتراض، تمرکز بر ریسک واقعی و حفظ محرمانگی اطلاعات حساس تاکید کرده است. قرار است شاخص‌های ارزیابی در سال آینده نیز سخت‌گیرانه‌تر شوند. اما همین جا یک تعادل دشوار شکل می‌گیرد. مردم باید بدانند کدام بانک از امنیت بالاتر یا پایین‌تری برخوردار است اما انتشار جزئیات فنی آسیب‌پذیری‌ها می‌تواند خود به یک خطر امنیتی تبدیل شود. بنابراین گزارش عمومی باید به اندازه‌ای شفاف باشد که مشتری بتواند ریسک بانک را تشخیص دهد، بدون آنکه اطلاعاتی مانند نوع آسیب‌پذیری، معماری سامانه، نقاط نفوذ یا ضعف زیرساختی در اختیار مهاجمان قرار گیرد.

یک ماه برای اصلاح؛ آزمون واقعی از اینجا آغاز می‌شود

بانک‌ها اکنون نتایج اولیه خود را دریافت کرده‌اند و یک ماه برای اصلاح فرصت دارند. همین مرحله می‌تواند ارزش واقعی طرح را مشخص کند. اگر نواقص اعلام‌شده در همین دوره کوتاه اصلاح و در ارزیابی دوم راستی‌آزمایی شوند، رتبه‌بندی از یک ابزار اطلاع‌رسانی به یک سازوکار نظارتی عملیاتی تبدیل می‌شود. اما اگر اصلاحات به تهیه مستندات، خرید تجهیزات یا تغییر ظاهری فرآیندها محدود شود، جدول نهایی الزاما تصویری از تاب‌آوری واقعی شبکه ارائه نخواهد کرد.

یکی از نقاط ضعف تاریخی نظارت در این حوزه نیز همین فاصله میان وجود الزام و اجرای الزام بوده است. در گزارش‌های پیشین اقتصاد معاصر نیز از وجود اسناد و مقررات متعدد در حوزه ریسک فناوری اطلاعات سخن گفته شده بود اما نقد اصلی این بود که بخشی از شبکه بانکی با اجرای کامل آنها فاصله دارد و نظارت مستمر و دارای ضمانت اجرا تضعیف شده است. از این‌رو معیار موفقیت طرح جدید تعداد بانک‌هایی نیست که در پایان یک ماه رتبه خود را بهتر می‌کنند؛ مهم‌تر آن است که مشخص شود ضعف شناسایی‌شده واقعا در محیط عملیاتی رفع شده یا تنها پاسخ اداری برای آن تهیه شده است. آزمون سناریوهای حمله، زمان بازیابی سامانه، قابلیت استفاده واقعی از پشتیبان‌ها، سرعت کشف نفوذ، کنترل دسترسی پیمانکاران و توان ادامه خدمات در شرایط بحران شاخص‌هایی هستند که فاصله میان امنیت روی کاغذ و امنیت عملیاتی را مشخص می‌کنند.

مردم رتبه را می‌بینند؛ ضمانت اجرا را هم باید دید

انتشار عمومی نتیجه می‌تواند برای نخستین بار امنیت سایبری را به یکی از متغیرهای رقابت میان بانک‌ها تبدیل کند. مشتری بانکی که تاکنون عمدتا نرخ سود، کیفیت اپلیکیشن، تعداد شعب یا خدمات اعتباری را مقایسه می‌کرد، ممکن است از این پس رتبه امنیت را نیز در انتخاب خود لحاظ کند. این تغییر بالقوه می‌تواند فشار بازار را بر بانک‌های ضعیف افزایش دهد اما برای نظارت بر یک زیرساخت حیاتی، فشار مشتری به تنهایی کافی نیست. هنوز باید روشن شود بانکی که پس از فرصت اصلاح همچنان در سطح نامطلوب قرار می‌گیرد با چه اقدام نظارتی مواجه خواهد شد؛ آیا برنامه اصلاحی اجباری خواهد داشت؟ آیا محدودیت در توسعه خدمات دیجیتال برای آن در نظر گرفته می‌شود؟ آیا وضعیت مدیران مسوول فناوری و امنیت در ارزیابی صلاحیت حرفه‌ای آنها اثر خواهد گذاشت؟

مرکز ملی فضای مجازی خود تاکید کرده شاخص‌های کلیدی امنیت سایبری باید بخشی از ارزیابی عملکرد مدیران ارشد باشد و سرعت تشخیص حادثه، کیفیت بازیابی، حفاظت از داده مشتری و اجرای برنامه اصلاحی در سنجش عملکرد آنها لحاظ شود. اگر چنین پیوندی میان رتبه امنیتی و پاسخگویی مدیران شکل نگیرد، خطر آن وجود دارد که رتبه‌بندی به شاخصی اعتباری تبدیل شود که بانک‌ها برای بهبود تصویر عمومی خود دنبال می‌کنند، نه الزام عملیاتی که عدم رعایت آن هزینه مدیریتی و نظارتی داشته باشد.

رتبه امنیت پایان کار نیست

اجرای نخستین رتبه‌بندی جامع امنیت سایبری بانک‌ها را می‌توان یک تغییر مهم نسبت به الگوی نظارت صرفا محرمانه دانست. برای نخستین بار قرار است پس از فرصت اصلاح، نتیجه ارزیابی به مردم اعلام شود و این ارزیابی نیز هر سه ماه تکرار شود. اما تجربه حملات اخیر نشان داده مساله امنیت شبکه بانکی بزرگ‌تر از هر بانک به صورت منفرد است. زیرساخت‌های مشترک، شرکت‌های ارائه‌دهنده خدمات فناوری، مدیریت متمرکز داده، پیمانکاران و تصمیمات هیات‌مدیره همگی بخشی از زنجیره ریسک هستند.

بانک مرکزی نیز با توصیه به حضور متخصص فناوری در هیات‌مدیره عملا پذیرفته است که امنیت سایبری دیگر صرفا مسئولیت واحد IT نیست و باید به سطح حکمرانی بانک منتقل شود. از اینجا به بعد ارزش رتبه‌بندی با سه معیار سنجیده خواهد شد؛ آیا ضعف‌های واقعی و نه صرفا اسنادی را شناسایی می‌کند، آیا بانک ضعیف مجبور به اصلاح می‌شود و آیا مدیران و شرکت‌های فناوری در برابر نتیجه عملکرد خود پاسخگو خواهند بود.