بانک‌ها زیر سایه ضعف حکمرانی فناوری؛ حملات سایبری از کجا آب می‌خورد؟

به گزارش خبرنگار اقتصاد معاصر؛ حملات سایبری اخیر به شبکه بانکی و بروز اختلال در خدمات برخی بانک‌ها، بار دیگر موضوع امنیت زیرساخت‌های بانکی و حکمرانی فناوری را به یکی از مهم‌ترین دغدغه‌های کشور تبدیل کرده است. در همین راستا در گفت‌وگو با علیرضا بزرگمهری، عضو هیات مدیره انجمن تحول دیجیتال ایران به بررسی ریشه‌های این حوادث، چالش‌های نظام نظارتی، وضعیت زیرساخت‌های فناوری اطلاعات شبکه بانکی و راهکارهای جلوگیری از تکرار این رخدادها پرداخته‌ایم که مشروح آن را در ادامه می‌خوانید.

اقتصاد معاصر: در حال حاضر شبکه بانکی و زیرساخت‌های آن در چه وضعیتی قرار دارد؟

بزرگمهری: در چند هفته اخیر اتفاقات متعددی برای شبکه بانکی کشور رخ داده و آخرین آن هم لغو اعتبار گواهی امنیتی (SSL) شرکت شاپرک بود. در مجموع باید گفت که برخی از این رخدادها لزوما ارتباط مستقیمی با بانک‌ها نداشته و بیشتر مربوط به شرکت‌های ارائه‌دهنده محصولات بانکی و زیرساختی می‌شود و لازم است نقش بانک مرکزی، وزارت اقتصاد و سازمان فناوری اطلاعات برای جلوگیری از بروز چنین وقایعی و پیشگیری از این مسائل به دقت بررسی شود.

اقتصاد معاصر: با وجود تجربه مشابه در سال گذشته، چرا این حوادث دوباره تکرار شد؟ ریشه و منشا اصلی این مشکلات چیست؟

بزرگمهری: شاید بسیاری منشا مشکلات بانکداری دیجیتال را صرفا در مسائل فنی جست‌وجو کنند اما بخش مهمی از چالش‌های امروز به ساختار حکمرانی و ضعف فرآیندهای نظارتی بازمی‌گردد. در دوره‌ای که عضو کارگروه بانکداری دیجیتال وزارت امور اقتصادی و دارایی بودم، این کارگروه بر حوزه‌های مختلف نظام بانکی، شبکه پرداخت، سامانه‌های بانکی و پروژه‌های زیرساختی مرتبط با توسعه بانکداری دیجیتال نظارت داشت. در آن مقطع، پس از شناسایی کاستی‌های بانک‌ها، برای هر موضوع برنامه اصلاحی مشخصی تدوین و اجرای آن از طریق نظارت‌های ماهانه و بازرسی‌های حضوری فصلی پیگیری می‌شد. این نظارت به اندازه‌ای جدی بود که هیات‌مدیره بانک‌ها نیز روند اجرای برنامه‌ها را براساس زمان‌بندی تعیین‌شده رصد می‌کردند.

با تغییرات صورت‌گرفته در معاونت امور بانکی، بیمه و شرکت‌های دولتی وزارت اقتصاد در دولت قبل، این سازوکار حرفه‌ای به نوعی نظارت غیررسمی و شبه‌دورهمی تبدیل شد. برای مثال، مدیران یک بانک مامور ارزیابی بانک دیگری می‌شدند و در مقابل، مدیران همان بانک نیز مجموعه نخست را ارزیابی می‌کردند. چنین سازوکاری به دلیل تعارض منافع بالقوه، انگیزه سخت‌گیری در ارزیابی را کاهش داد و به‌ تدریج از اثربخشی نظام نظارتی کاست. از همین‌رو یکی از ریشه‌های مشکلات امروز را باید در نبود نظارت تنظیم‌گرانه موثر جست‌وجو کرد. نظارت صرفا صدور بخشنامه نیست، بلکه نیازمند چارچوب مشخص، ارزیابی مستمر و ضمانت اجراست؛ به‌ویژه در صنعت بانکداری که ضعف زیرساخت‌های آن می‌تواند پیامدهای اقتصادی و امنیتی جدی به همراه داشته باشد. 

در بسیاری از کشورها، الزامات حکمرانی بانکداری دیجیتال در قالب چارچوب‌های مشخص تدوین می‌شود تا تکالیف بانک‌ها، موسسات مالی و شرکت‌های ارائه‌دهنده خدمات بانکی روشن باشد. در ایران نیز بانک مرکزی چند سال پیش سند حداقل الزامات ریسک ناظر بر موسسات مالی و پولی را تدوین کرد که یکی از اسناد مهم این حوزه محسوب می‌شود. اجرای این سند در سال‌های نخست با جدیت از سوی بانک مرکزی و وزارت اقتصاد پیگیری می‌شد اما امروز بخش قابل توجهی از شبکه بانکی همچنان با الزامات آن فاصله دارد. به اعتقاد من، یکی از دلایل این وضعیت، تضعیف نظارت منسجم طی سه سال گذشته و واگذاری بخش قابل توجهی از تصمیم‌گیری‌ها به تشخیص و صلاحدید خود مجموعه‌ها بوده است.

در کنار ضعف نظارت، وضعیت شرکت‌های ارائه‌دهنده نرم‌افزارهای بانکداری متمرکز (Core Banking) نیز قابل تامل است. در دوره مدیریت دو مدیرعامل پیش از مدیرعامل فعلی بزرگ‌ترین شرکت دولتی این حوزه، نسبت به ادامه استفاده از جیرا (Jira) هشدار داده بودم اما این مجموعه همچنان از آن استفاده می‌کند. قابل پذیرش نیست که نسخه قفل‌شکسته و فاقد مجوز یک نرم‌افزار، جایگزین سامانه استاندارد مدیریت خدمات فناوری اطلاعات (ITSM) دارای تاییدیه افتا شود؛ به‌ ویژه آنکه نمونه بومی آن نیز وجود دارد. مساله جدی‌تر اینکه استفاده از چنین نسخه‌هایی به بانک‌های دریافت‌کننده خدمات نیز توصیه شده است. 

در عین حال، مسوولیت حقوقی و امنیتی چنین تصمیماتی میان بانک مرکزی، شرکت ملی انفورماتیک، وزارت اقتصاد و سایر نهادها روشن نیست. تعدد متولیان بدون مسوولیت‌پذیری مشخص هنگام بروز بحران، یکی از مصادیق خلا حکمرانی در این حوزه است. 

بخش مهمی از این الزامات در سند حداقل الزامات ریسک ناظر بر موسسات بانکی و پولی بانک مرکزی، از مدیریت ریسک و خدمات تا حکمرانی فناوری و امنیت اطلاعات پیش‌بینی شده بود. با این حال، با گذشت حدود پنج سال، همچنان بخش قابل توجهی از آن اجرایی نشده است؛ در حالی که مهلت اولیه اجرای کامل سند حداکثر دو سال تعیین شده بود. مشکل اساسی‌تر به حکمرانی فناوری بازمی‌گردد. مدیریت امنیت با سامانه‌های آفلاینی که صرفا فرم‌ها را ثبت می‌کنند اما وضعیت عملیاتی سوئیچ‌ها، مسیریاب‌ها و سرورها را به‌ صورت برخط رصد نمی‌کنند، امنیت موثری ایجاد نخواهد کرد. همین مساله درباره مراکز عملیات امنیت (SOC) نیز مطرح است. اگر مرکزی که باید هشدارها و رخدادهای امنیتی را تجمیع و تحلیل کند، خود بر بستر نرم‌افزارهای قفل‌شکسته فعالیت کند، با یک تناقض جدی امنیتی مواجه هستیم. 

از سوی دیگر، چهار تا پنج همت برای خرید سرور و تجهیزات ذخیره‌سازی هزینه می‌شود اما برای یک سامانه بومی مدیریت خدمات فناوری اطلاعات، دارای تاییدیه افتا و منطبق با ITIL، هزینه ۱۵ تا ۲۰ میلیارد تومانی پذیرفته نمی‌شود و استفاده از نسخه‌های قفل‌شکسته ترجیح داده می‌شود. این اولویت‌بندی نادرست، خود یکی از مصادیق ضعف حکمرانی فناوری در شبکه بانکی است.

اقتصاد معاصر: ارزیابی شما از ریشه مشکلات کنونی در مدیریت فناوری اطلاعات شبکه بانکی و تداوم استفاده از زیرساخت‌های قدیمی چیست؟

بزرگمهری: در بخشی از بدنه فنی همچنان گرایش به استفاده از نرم‌افزارهای قفل‌شکسته وجود دارد که یکی از دلایل آن، به‌روز نشدن دانش برخی مدیران ارشد و مدیران فناوری اطلاعات است. در پنج سال گذشته بارها نسبت به پیامدهای این رویکرد هشدار داده‌ام و مستندات آن نیز در قالب مقالات تخصصی موجود است. برخی مجموعه‌ها با وجود مسوولیت تامین امنیت حدود ۱۸۰ میلیون حساب بانکی، متناسب با ابعاد این مسوولیت تصمیم‌گیری نمی‌کنند. انتصابات غیرتخصصی نیز به این مشکل دامن زده است؛ از انتخاب مدیران فنی خارج از بدنه تخصصی بانکداری تا سپردن پروژه‌های بانکداری متمرکز (Core Banking) به مدیرانی با سوابق غیرمرتبط. این اقدامات گاه با عنوان تحول انجام می‌شود، در حالی که تحول واقعی به معنای اصلاح فرآیندهاست، نه تصمیمات غیرکارشناسی.

تا زمانی که نهادهای تنظیم‌گر به‌ صورت حرفه‌ای، مستقل و شجاعانه اشکالات را شناسایی و پیگیری نکنند، احتمال تکرار حوادث وجود دارد. به اعتقاد من، بیش از ۹۰ درصد مشکلاتی که در طول سال گذشته در یک بانک و امسال در چهار بانک مشاهده شد، قابل پیشگیری بود؛ هرچند برخی موارد مانند مسائل مربوط به اعتبارسنجی گواهی امنیتی SSL شاپرک، ابعاد پیچیده‌تری دارند. برای مواجهه با این مسائل نیازی به ابداع چارچوب‌های جدید نیست و می‌توان از استانداردها و اسناد معتبر بین‌المللی، از جمله چارچوب‌های هیئت ثبات مالی (FSB) و کمیته بازل (Basel) استفاده کرد. این استانداردها باید متناسب با شرایط کشور تدوین و ابلاغ شوند و مهم‌تر از آن، اجرای آن‌ها به‌ طور مستمر مورد نظارت قرار گیرد. با استقرار چنین نظام نظارتی، بخش عمده‌ای از مشکلات موجود قابل پیشگیری خواهد بود.

اقتصاد معاصر: به نظر می‌رسد بخش عمده این مشکلات با مدیریت آگاه و تصمیم‌های شجاعانه قابل پیشگیری باشد، درست است؟

بزرگمهری: مدیران پیش از هر چیز باید از دانش به‌روز برخوردار باشند و مفهوم حکمرانی، به‌ ویژه حکمرانی دیجیتال را به‌ درستی درک کنند. در کنار آن، آشنایی با استانداردهای بین‌المللی و شجاعت در تصمیم‌گیری ضروری است؛ چراکه تصمیم یک مدیرعامل می‌تواند یک سازمان را به سمت استفاده از نرم‌افزارهای قفل‌شکسته و ناایمن سوق دهد. 

کاربران بانکی معمولا از چنین مسائلی اطلاعی ندارند و صرفا لایه ظاهری خدمات را مشاهده می‌کنند، در حالی که بخش اصلی امنیت و پایداری سامانه در بک‌اند و زیرساخت شکل می‌گیرد. سوئیچ‌ها، مسیریاب‌ها، سامانه‌های مدیریت دارایی و پیکربندی، مدیریت امنیت و مدیریت خدمات، همگی خارج از دید کاربر قرار دارند. ممکن است یک نرم‌افزار در ظاهر بدون مشکل فعالیت کند اما منشا آسیب در پایگاه داده یا سایر اجزای زیرساختی باشد. در چنین شرایطی، صرف بازیابی نسخه پشتیبان مشکل را برطرف نمی‌کند و حتی ممکن است همان اختلال مجددا تکرار شود؛ چنان‌ که در برخی موارد، پس از بازیابی نسخه پشتیبان قدیمی نیز چند روز بعد مشکل دوباره بروز کرده است.

در چنین شرایطی، تصمیم بانک مرکزی برای توقف ارائه سرویس تا زمان شناسایی منشا مشکل، تصمیمی درست و ضروری بود. هر بانک باید پیش از ازسرگیری خدمات، منشا حادثه را به‌ طور دقیق شناسایی و وضعیت زیرساخت خود را تعیین تکلیف کند؛ رویکردی که برای کنترل بحران و جلوگیری از تکرار حادثه ضروری است.

اقتصاد معاصر: اگر بخواهیم مقایسه کنیم، چه تفاوتی میان بانک‌های آسیب‌دیده و بانک‌هایی که از این حملات در امان ماندند وجود داشت؟

بزرگمهری: دو ارائه‌دهنده اصلی خدمات بانکی، به دلیل سهم گسترده‌تر در شبکه بانکی، از قدرت و نفوذ بیشتری نسبت به شرکت‌هایی برخوردارند که فقط به یک یا دو بانک خدمات ارائه می‌کنند. رویکرد این شرکت‌ها این است که بانک‌ها برای حفظ امنیت، دسترسی مستقیم به داده‌های برخط خود نداشته باشند و اطلاعات در مراکز داده شرکت ارائه‌دهنده نگهداری شود. فارغ از اینکه این رویکرد صرفا با هدف تامین امنیت اتخاذ شده یا محدود کردن امکان توسعه خدمات مستقل توسط بانک‌ها بر پایه داده‌های خود، مساله مهم این است که حتی دسترسی بانک به داده‌های برون‌خط نیز با چند ساعت تاخیر و مستلزم پرداخت هزینه اضافی است. در چنین ساختاری، بخش مهمی از مسوولیت عملیاتی حفاظت از داده عملا از بانک به شرکت ارائه‌دهنده خدمات منتقل می‌شود. 

پیامد تمرکز داده‌ها در حادثه اخیر نیز قابل مشاهده بود؛ دو محل نگهداری داده هدف قرار گرفت که در هر یک اطلاعات دو بانک نگهداری می‌شد و در نتیجه چهار بانک به‌ طور هم‌زمان آسیب دیدند. اگر داده‌های هر بانک به‌ صورت مستقل و در اختیار همان بانک نگهداری می‌شد، احتمال آسیب هم‌زمان به چهار بانک اصلی به میزان قابل توجهی کاهش می‌یافت.

اقتصاد معاصر: برخی بازگشایی اینترنت را عامل حملات اخیر دانستند. دیدگاه فنی شما در این خصوص چیست؟

بزرگمهری: متاسفانه در کشور زمینه برای طرح برخی اظهارنظرهای غیرکارشناسی فراهم است. درباره حادثه اخیر، نخست باید مشخص شود شبکه آسیب‌دیده بر بستر اینترنت فعالیت می‌کرد یا اینترانت. این شبکه در واقع یک اینترانت با سطح بالایی از جداسازی از اینترنت بود و دسترسی به سرورها در مرکز نگهداری داده‌ها صورت گرفت؛ به‌ گونه‌ای که بخش راه‌انداز هارددیسک سرورها نیز آسیب دید. 

بنابراین نسبت دادن این حادثه به بازگشایی اینترنت، از منظر فنی قابل اتکا نیست. وزیر ارتباطات و فناوری اطلاعات و شماری از کارشناسان این حوزه نیز بر بی‌ارتباط بودن چنین ادعایی با منشا واقعی حادثه تاکید کرده‌اند. در چنین شرایطی این پرسش مطرح می‌شود که اگر فردی در جایگاه مسوولیت، بدون پشتوانه کارشناسی درباره یک حادثه مهم زیرساختی اظهارنظر کند، آیا از دانش و صلاحیت تخصصی متناسب با آن مسوولیت برخوردار است.

اقتصاد معصار: چه راهکارهای اجرایی برای اصلاح ساختار و جلوگیری از تکرار حوادث مشابه پیشنهاد می‌دهید؟

بزرگمهری: گام نخست، تعیین یک متولی مقتدر برای اعمال نظارت واقعی است. حکمرانی به معنای تدوین چارچوب‌های مشخص و نظارت دقیق بر اجرای آن‌هاست و نباید به اقدامات تشریفاتی و حاشیه‌ای محدود شود. بانک مرکزی و شاپرک باید از نظارت‌های صوری فاصله گرفته و نظارت حرفه‌ای، مستمر و مبتنی بر وظایف تنظیم‌گری را در اولویت قرار دهند.

گام دوم، اجرای کامل سند حداقل الزامات ریسک بانکی و پایش ماهانه آن است. در کنار آن، باید با استفاده از ظرفیت متخصصان، سند ملی حکمرانی بانکداری دیجیتال در کوتاه‌ترین زمان ممکن تدوین و اجرایی شود. در حوزه استانداردها نیز باید از تغییرات غیراصولی و راهکارهای خارج از چارچوب‌های بین‌المللی پرهیز کرد.انحراف از پروتکل‌های بین‌المللی و اعمال تغییرات و خلاقیت‌های غیراستاندارد، از جمله دستکاری در عوامل ریسک استاندارد ایزو ۸۵۸۳  ISO می‌تواند زمینه بروز آسیب‌هایی مانند فیشینگ و محدودیت در ارائه خدمات بانکی را فراهم کند. نمونه این مسئله را می‌توان در اتصال به شبکه بین‌المللی میر (Mir) مشاهده کرد. به دلیل انطباق نداشتن زیرساخت‌های داخلی با استانداردهای جهانی، دامنه خدمات عملا به برداشت وجه نقد از دستگاه‌های خودپرداز محدود شده است. این تجربه نشان می‌دهد شبکه بانکی باید از راهکارهای غیراستاندارد فاصله گرفته و به سمت اجرای اصولی استانداردها و الزامات پذیرفته‌شده بین‌المللی حرکت کند.

اقتصاد معاصر: احتمال تکرار این حوادث و نقش نهادهای متولی نظیر پدافند غیرعامل و شورای عالی فضای مجازی را چگونه ارزیابی می‌کنید؟

بزرگمهری: احتمال تکرار چنین حوادثی همچنان بالاست، زیرا هنوز مشخص نیست منشأ حمله به‌طور دقیق شناسایی شده یا خیر، حمله از کجا آغاز شده و عامل آن چه بوده است. همچنین پس از حادثه سال گذشته، گزارش جامع و شفافی که نحوه وقوع حادثه و راهکارهای جلوگیری از تکرار آن را برای شبکه بانکی تشریح کند، منتشر نشده یا دست‌کم در دسترس عموم قرار نگرفته است. از این رو، وزارت اقتصاد یا سازمان فناوری اطلاعات باید هم‌زمان با سایر اقدامات، تدوین و اجرای سند ملی حکمرانی فناوری را در دستور کار قرار دهند. این موضوع نباید به زمان دیگری موکول شود و اقدام برای آن باید از همین امروز آغاز شود.

در حادثه سال گذشته نیز بخشی از داده‌های مشتریان تحت تأثیر قرار گرفت. حال اگر حادثه‌ای با ابعاد گسترده‌تر برای بانک‌هایی با حدود ۱۸۰ میلیون حساب رخ دهد، پیامدهای اقتصادی، اجتماعی و امنیتی آن می‌تواند بسیار سنگین باشد. مشکل اصلی این است که ریشه‌های بروز چنین حوادثی هنوز به‌طور کامل برطرف نشده و گزارش شفاف، جامع و درس‌آموخته‌ای نیز برای استفاده سایر بانک‌ها و مؤسسات مالی منتشر نشده است. 

آمادگی در برابر بحران صرفا به تهیه و بازیابی نسخه پشتیبان محدود نمی‌شود، بلکه باید امنیت و تاب‌آوری کل زیرساخت را دربر گیرد. از سوی دیگر، انتظار می‌رفت شورای عالی فضای مجازی طی سال‌های گذشته تدوین و اجرای سند ملی حکمرانی این حوزه را در اولویت قرار دهد. تمرکز گسترده بر فیلترینگ، در حالی صورت گرفته که به برخی پیامدهای امنیتی ناشی از گسترش استفاده از فیلترشکن‌های نامطمئن توجه کافی نشده است.