همتی: معماری آینده شبکه بانکی بر فرض وقوع حمله سایبری طراحی می‌شود

به گزارش مجله خبری نگار،  عبدالناصر همتی رئیس کل بانک مرکزی در نشست علنی امروز سه‌شنبه (۱۰ اسفندماه) مجلس شورای اسلامی که به صورت مجازی برگزار شد، در خصوص گزارش کمیسیون اقتصادی مجلس پیرامون بررسی اختلالات شبکه سایبری در شبکه بانکی پرداخت و با تأکید بر اهمیت راهبردی شبکه بانکی کشور گفت: شبکه بانکی یکی از مهمترین زیرساخت‌های حیاتی کشور و امانتدار دارایی‌ها و اعتماد مردم است. زندگی روزمره میلیون‌ها شهروند، فعالیت بنگاه‌های اقتصادی، پرداخت حقوق و تعهدات و جریان پول در کشور به استمرار و امنیت این شبکه وابسته است؛ بنابراین پایداری شبکه بانکی در شرایط بحران، صرفاً موضوع فنی نیست، بلکه مستقیماً با ثبات اقتصادی، امنیت مالی و اعتماد عمومی مردم ارتباط دارد.

۲۰۳ میلیارد تراکنش در سال ۱۴۰۴ پردازش شده است

وی با اشاره به حجم عظیم تراکنش‌های شبکه بانکی، تصریح کرد: تنها در سال ۱۴۰۴، در شش سامانه مهم حاکمیت شامل شتاب، شاپرک، پایا، ساتنا، چکاوک و پل، حدود ۲۰۳ میلیارد تراکنش پردازش شده و ارزش مبالغ تصفیه شده در آنها بیش از ۲۰۰ هزار همت بوده است. در ۵ ماهه ابتدایی سال جاری نیز ۶۰ میلیارد تراکنش به ارزش ۱۳۴ هزار همت انجام شده است. این ارقام نشان می‌دهد که در برابر حملات سایبری، موضوع فقط حفاظت از چند سامانه و مرکز داده نیست، بلکه موضوع صیانت از دارایی‌های مردم، استمرار خدمات مالی، سلامت اطلاعات اقتصادی و تداوم فعالیت کشور است.

همتی با اشاره به اقدامات پیشگیرانه بانک مرکزی در سال‌های گذشته، تاکید کرد: شبکه بانکی بدون آمادگی قبلی وارد این شرایط نشد. طی سال‌های گذشته، چارچوب امنیتی و تداوم کسب و کار تدوین و ابلاغ شده و ۲۳ بانک و موسسه اعتباری مورد ممیزی بانک مرکزی قرار گرفته‌اند. از سال ۱۴۰۲ تا ۱۴۰۵، حداقل ۵۲ بخشنامه تخصصی در حوزه بازآوری سرویس، تداوم کسب و کار و امن سازی شبکه بانکی ابلاغ شده و برای سرویس‌های حاکمیتی نیز ۹ کلان پروژه تاب آوری و بازآوری تعریف و آزمون شده است.

رئیس کل بانک مرکزی با بیان اینکه از ابتدای سال ۱۴۰۳ تاکنون، سرویس‌های حاکمیتی بیش از ۱۲۲ هزار بار هدف حملات سایبری قرار گرفته‌اند که همگی مدیریت شده‌اند، افزود: با این حال، حملات اخیر به تعدادی از بانک‌ها نشان داد که سطح تهدید تغییر کرده و نه تنها سامانه اصلی، بلکه زیرساخت جایگزین و حتی فرایند بازیابی را نیز هدف قرار داده است.

وی در ادامه گفت: در جریان بحران اخیر، بخشی از زیرساخت بانکداری متمرکز چهار بانک دچار اختلال شد و پس از فعالسازی ظرفیت جایگزین و برقراری تدریجی خدمات پایه، همان سامانه جایگزین نیز مورد هدف حمله قرار گرفت. این تجربه نشان داد که صرف داشتن سایت پشتیبان یا برنامه تداوم کسب و کار کافی نیست و ظرفیت جایگزین باید مستقل، امن، عملیاتی و بهطور مستمر آزموده شود.

همتی با تشریح اقدامات بانک مرکزی در مدیریت بحران اخیر، گفت: بانک مرکزی مسئولیت خود را به سه اصل «مهار دامنه بحران»، «استمرار خدمات حیاتی مردم» و «بازیابی امن سامانه ها» استوار کرد. همزمان با استفاده از ظرفیت تنظیم گری، محدودیت‌های انتقال وجه در پایان ساعات کاری و سقف کارت به کارت اعمال شد و برخی دستور پرداخت‌ها به مسیر‌های جایگزین منتقل گردید. همچنین برای کاهش آثار اختلال بر چکها، ضمانتنامه ها، اقساط تسهیلات و اعتبارات اسنادی، تصمیمات لازم اتخاذ شد.

شبکه بانکی باید پیش از وقوع بحران برای حفاظت از اطلاعات و پاسخگویی به مردم آماده باشد

وی با تأکید بر لزوم عبور از رویکرد واکنشی به رویکرد پیشگیرانه، تصریح کرد: مدیریت بحران نباید فقط به واکنش پس از حادثه محدود شود؛ بانک مرکزی و شبکه بانکی باید پیش از وقوع بحران برای استمرار خدمات، حفاظت از اطلاعات و پاسخگویی به مردم آماده باشند. جمعبندی ما از این تجربه، ضرورت عبور از «امنیت سامانه» به «تاب آوری کارکرد‌های حیاتی» است. معماری آینده شبکه بانکی نباید بر این فرض بنا شود که هیچ حمله موفقی رخ نخواهد داد؛ فرض درست این است که حمله ممکن است رخ دهد، بنابراین شبکه باید به گونه‌ای طراحی شود که حتی در صورت موفقیت بخشی از حمله، دارایی‌های مردم مصون بماند، خدمات حیاتی ادامه یابد و بازیابی در زمان مشخص و قابل آزمون انجام شود.

رئیس کل بانک مرکزی همچنین برنامه‌های پیش بینی شده برای افزایش تاب آوری شبکه بانکی را تشریح کرد و گفت: امن سازی و ممیزی مجدد زیرساخت‌های حاکمیتی؛ همچنین بازطراحی برنامه‌های تداوم کسب و کار بانکها؛ به گونه‌ای که هر بانک در آزمون‌های منظم اثبات کند در صورت از دسترس خارج شدن مرکز اصلی، اینکه چه خدماتی را با چه ظرفیتی و در چه زمانی می‌تواند در اختیار مردم قرار دهد. مسئولیت این آمادگی مستقیماً بر عهده مدیرعامل و هیئت مدیره بانک است.

وی در ادامه افزود: از سوی دیگر بازنگری معماری نظام پرداخت و کاهش نقاط شکست واحد؛ تمرکز بالای تراکنش‌ها بر شبکه کارت و وابستگی چند بانک به زیرساخت‌ها و تأمین کنندگان مشترک باید به طور جدی بازنگری شود. اصل قطعی بانک مرکزی این است که از کار افتادن هیچ مؤلفه منفردی نباید بتواند اختلال فراگیر در خدمات حیاتی نظام بانکی ایجاد کند.

همتی یادآور شد: ارتقای نظارت، ممیزی و پاسخگویی؛ رتبه بندی بانک‌ها از نظر امنیت سایبری، پدافند غیرعامل، ریسک فناوری و پایداری خدمات در دستور کار قرار گرفته است. بانک‌هایی که الزامات تاب آوری را رعایت نکنند، بدون اصلاح وضعیت نمیتوانند به فعالیت در سطح فعلی ادامه دهند و مدیرعامل و هیئت مدیره هر بانک نسبت به سطح تاب آوری آن مسئول و پاسخگو خواهند بود.

رئیس کل بانک مرکزی تأکید کرد: تقویت ظرفیت‌های جایگزین ارائه خدمت؛ توسعه کورینگ بانک معین، مراکز داده‌های مستقل و مسیر‌های ارتباطی باید به گونه‌ای باشد که حتی با خروج کربانکینگ یک بانک از مدار، حداقل خدمت ضروری مردم استمرار یابد و مردم هزینه ضعف طراحی یا ناکافی بودن آمادگی بانک را نپردازند.

همتی اظهار کرد: حفظ سرمایه انسانی متخصص و ایجاد فرماندهی یکپارچه دائمی مدیریت بحران شبکه بانکی؛ مدیریت بحران باید از حالت موقت و موردی خارج شود و با مسئولیت‌ها و اختیارات روشن به صورت دائمی دنبال شود. حفظ نیرو‌های متخصص فناوری، امنیت و زیرساخت، بخشی از امنیت ملی و اقتصادی است که این موضوع در بانک‌های دولتی نیازمند همکاری وزارت اقتصاد است.

معماری آینده شبکه بانکی باید نه بر فرض عدم وقوع حمله، بلکه بر فرض وقوع طراحی شود

همتی در جمع بندی سخنان خود تأکید کرد: درس اصلی برای ما روشن است؛ معماری آینده شبکه بانکی باید نه بر فرض عدم وقوع حمله، بلکه بر فرض وقوع طراحی شود. اگر یک مرکز داده از دسترس خارج شد، خدمات حیاتی باید ادامه پیدا کند؛ اگر سرویس بانکی یک بانک متوقف شد، مردم نباید از خدمات ضروری مالی محروم شوند؛ و اگر یک زیرساخت یا تأمین کننده مشترک دچار اختلال شد، چند بانک نباید همزمان متوقف شوند. بانک مرکزی معتقد است اعتماد عمومی با اطمینان بخشی لفظی حفظ نمی‌شود؛ مردم باید در عمل ببینند که دارایی هایشان محفوظ است، خدمات ضروری استمرار دارد و در برابر اختلال، پاسخ روشن و مسئولانه دریافت میکنند.

وی با بیان اینکه پاسخ بانک مرکزی صرفاً خرید تجهیزات یا صدور بخشنامه جدید نیست، تصریح کرد: اصلاح معماری نظام پرداخت، کاهش نقاط شکست مشترک، بازطراحی تداوم کسب و کار، تقویت نظام نظارت و ممیزی، توسعه ظرفیت‌های جایگزین و حفظ سرمایه انسانی متخصص، اجزای یک برنامه فوری، منسجم و الزام آور برای افزایش تاب آوری نظام بانکی است. ما نمی‌گوییم حمله دیگر رخ نخواهد داد، اما از این پس شبکه بانکی به گونه‌ای طراحی و اداره می‌شود که حمله به یک جزء، هر قدر پیچیده و گسترده باشد، نتواند جریان حیات پولی و پرداخت کشور را متوقف کند و دارایی‌های مردم آسیب ببینند.

رئیس کل بانک مرکزی با تأکید بر ضرورت بازطراحی معماری شبکه بانکی کشور گفت: بانک مرکزی به عنوان دارنده سامانه‌های حاکمیتی نباید در کار‌هایی که مربوط به بانک‌های عامل است دخالت کند و باید بانک‌ها بتوانند به صورت مستقل خدمات خود را ارائه دهند.

همتی در بخش پایانی جلسه بررسی گزارش کمیسیون اقتصادی درباره تدابیر و اقدامات در راستای پایداری خدمات الکترونیکی بانک‌ها و تأمین امنیت سایبری شبکه بانکی کشور، اظهار کرد: نکاتی که دوستان مطرح کردند را قبول داریم و واقعیت این است که مشکلاتی داریم، اما نباید قسمت مثبت موضوع یا به اصطلاح قسمت پر لیوان را فراموش کنیم.

وی افزود: سال گذشته ۲۰۰ میلیارد تراکنش داشتیم و در پنج ماه نخست امسال نیز ۶۰ میلیارد تراکنش انجام شده است؛ همچنین در همین پنج ماه، ۱۳۴ هزار همت پول جابه‌جا شده است.

رئیس کل بانک مرکزی ادامه داد: دشمنان نه تنها حمله نظامی می‌کنند، بلکه تهاجم اقتصادی، محاصره و حملات سایبری نیز دارند. ما قطعاً جلوی بسیاری از این حملات را گرفته‌ایم، اما ممکن است در برخی موارد موفق به جلوگیری از حمله نشده باشیم؛ این ضعف ما نیست، بلکه نشان‌دهنده شدت حملات دشمن است.

همتی تصریح کرد: این اتفاق برای ما یک تجربه شد و دوستان قبل از من در بانک مرکزی تلاش‌های خودشان را انجام دادند و ما نیز همان تلاش‌ها را ادامه می‌دهیم، اما باید معماری جدیدی طراحی کنیم.

وی با اشاره به ضرورت تفکیک وظایف بانک مرکزی از بانک‌های عامل گفت: مهم‌ترین موضوعی که آقای دکتر حسینی، رئیس کمیسیون اقتصادی، مطرح کردند و من تمام فرمایشات ایشان را قبول دارم، این است که از قبل نیز پیگیر بودم بانک مرکزی به عنوان دارنده سامانه‌های حاکمیتی نباید در کار‌هایی که مربوط به بانک‌های عامل است دخالت کند.

رئیس کل بانک مرکزی افزود: اینکه بانک‌های عامل بتوانند به صورت مستقل کار خودشان را انجام دهند، جزو درخواست‌های ماست، البته اشکال اینجاست که خود بانک‌ها اصرار دارند از خدمات شرکت خدمات انفورماتیک استفاده کنند؛ ما آمادگی کامل داریم و این موضوع را نیز اعلام کرده‌ایم و با نظر آقای حسینی کاملاً موافق هستم.

همتی درباره علت حملات سایبری اخیر نیز گفت: اینکه چرا علت حملات مشخص نشد، علت را مرکز افتا باید اعلام کند و ما صلاحیت اعلام اینکه این حمله از کجا بوده و چگونه انجام شده را نداریم و این موضوع جزو صلاحیت‌هایی است که ان‌شاءالله توسط مراجع مربوط اعلام خواهد شد.

وی در ادامه با اشاره به مشکلات ایجادشده برای مردم در جریان اختلالات اخیر اظهار کرد: در این مدت بخش مهمی از مردم دچار مشکل شدند و من به عنوان رئیس بانک مرکزی، از طرف همکارانم، بخش فناوری اطلاعات، بانک ملی، بانک صادرات و بانک تجارت از مردم عزیز عذرخواهی می‌کنم؛ مردم اذیت شدند و این حداقل کاری است که ما می‌توانیم انجام دهیم.

اگر به افرادی آسیب مالی وارد شده باشد، باید به نحوی جبران شود

رئیس کل بانک مرکزی ادامه داد: بررسی‌هایی نیز در حال انجام است و اگر به افرادی آسیب مالی وارد شده باشد، باید به نحوی جبران شود. همچنین درباره کار‌هایی که به دلیل عقب‌افتادگی یا اختلالات ممکن است موجب ضرر مردم شده باشد نیز اعلام کرده‌ایم که موضوع پیگیری شود تا ان‌شاءالله مشکلی برای آنها پیش نیاید.

همتی در بخش دیگری از سخنان خود درباره کیف پول اظهار کرد: بر اساس پیش‌بینی‌هایی که در ارتباط با حاکمیت داشتیم و با توجه به حملات، کیف پول را راه‌اندازی کردیم و اکنون تقریباً ۹۰ میلیون، حدود ۸۸ میلیون نفر از جمعیت کشور عضو آن هستند و تلاش می‌کنیم به تدریج نقل و انتقال پول را از این طریق و از طریق USSD انجام دهیم.

وی تأکید کرد: این به مفهوم آن نیست که سایر خدمات الکترونیکی محدود شود، بلکه آنها نیز جای خود را دارند. مهم این است که یکپارچگی داشته باشیم و اگر به یک بخش حمله شد، سایر بخش‌ها دچار مشکل نشوند و این موضوع جزو بازآرایی معماری جدید ماست.

رئیس کل بانک مرکزی در پایان با اشاره به ضرورت حمایت مجلس از نیروی انسانی متخصص گفت: مجلس کمک کند تا نیرو‌های متخصص به صورت جداگانه دیده شوند؛ بانک‌های دولتی از این منظر در رنج هستند.