تابآوري بانكها؛ حلقه مفقوده امنيت زيرساختهاي مالي
اختلالهاي مقطعي در خدمات بانكي طي ماههاي اخير، بار ديگر پرسشهايي درباره ميزان تابآوري زيرساختهاي بانكي كشور مطرح كرده است؛ پرسشهايي كه پاسخ آنها صرفا در خريد تجهيزات امنيتي يا نصب سامانههاي جديد خلاصه نميشود.
اختلالهاي مقطعي در خدمات بانكي طي ماههاي اخير، بار ديگر پرسشهايي درباره ميزان تابآوري زيرساختهاي بانكي كشور مطرح كرده است؛ پرسشهايي كه پاسخ آنها صرفا در خريد تجهيزات امنيتي يا نصب سامانههاي جديد خلاصه نميشود. كارشناسان حوزه شبكه معتقدند امنيت پايدار زماني محقق خواهد شد كه نوسازي زيرساختها، حذف نقاط آسيبپذير، مديريت مستمر ريسك و همكاري ميان دولت، بانكها و بخش خصوصي به يك برنامه دايمي تبديل شود؛ موضوعي كه اكنون بيش از هر زمان ديگري به يك اولويت ملي بدل شده است. افزايش وابستگي خدمات بانكي به بسترهاي ديجيتال باعث شده است كه پايداري و امنيت شبكههاي بانكي، بيش از گذشته به يكي از اركان ثبات اقتصادي كشور تبديل شود. امروز بخش عمدهاي از خدمات مالي، از انتقال وجه و پرداختهاي الكترونيكي گرفته تا فعاليت سامانههاي بينبانكي، بانكداري اينترنتي و همراهبانكها، بر بستر شبكههايي انجام ميشود كه بايد به صورت شبانهروزي و بدون وقفه در دسترس باشند. هرگونه اختلال در اين زيرساختها، علاوه بر ايجاد نارضايتي عمومي، ميتواند فعاليت كسبوكارها، بازارهاي مالي و حتي زنجيره تأمين كالا و خدمات را نيز تحت تأثير قرار دهد. در هفتهها و ماههاي اخير نيز بروز اختلال در برخي خدمات بانكي، بار ديگر توجه كارشناسان را به وضعيت زيرساختهاي شبكه بانكي جلب كرده است. هرچند هنوز گزارش رسمي درباره علت دقيق اين اختلالات منتشر نشده، اما متخصصان حوزه شبكه معتقدند مجموعهاي از عوامل فني و ساختاري ميتواند احتمال وقوع چنين رخدادهايي را افزايش دهد. در همين زمينه، رييس كميسيون شبكه سازمان نظام صنفي رايانهاي تهران تأكيد كرده است كه تا زمان انتشار گزارشهاي رسمي و نتايج بررسيهاي فني از سوي نهادهاي مسوول، نميتوان علت اين اختلالات را به عامل مشخصي نسبت داد. به گفته حميد بابادينيا، از منظر مهندسي شبكه، عوامل متعددي ميتوانند در ايجاد اختلال نقش داشته باشند و نبايد تنها بر يك سناريو يا يك عامل متمركز شد. او معتقد است وجود نقاط تكين خرابي يا Single Point of Failure يكي از مهمترين چالشهاي شبكههاي حياتي به شمار ميرود. در چنين شرايطي، از كار افتادن تنها يك تجهيز، يك مسير ارتباطي يا يك مركز داده ميتواند باعث اختلال گسترده در ارايه خدمات شود. معماري شبكه بايد به گونهاي طراحي شود كه خرابي يك بخش، كل سامانه را از دسترس خارج نكند. كارشناسان فناوري اطلاعات سالهاست بر حذف اين نقاط آسيبپذير تأكيد ميكنند. در معماريهاي جديد شبكه، اصل بر آن است كه براي تجهيزات حياتي، مسيرهاي ارتباطي، مراكز داده و حتي تأمينكنندگان خدمات، جايگزينهاي متعددي در نظر گرفته شود تا در صورت بروز حادثه، سرويس بدون وقفه ادامه پيدا كند. بابادينيا علاوه بر وجود نقاط تكين خرابي، به فرسودگي تجهيزات، وابستگي بيش از حد به زيرساختهاي متمركز، افزايش پيچيدگي شبكهها، محدوديت در نوسازي تجهيزات و ضعف در مديريت تغييرات به عنوان مهمترين چالشهاي فعلي اشاره كرده است. اين موضوع در شرايطي اهميت بيشتري پيدا ميكند كه حجم تراكنشهاي بانكي كشور طي سالهاي اخير به شكل قابل توجهي افزايش يافته است. ميليونها تراكنش روزانه، فشار سنگيني بر زيرساختهاي ارتباطي و مراكز داده بانكها وارد ميكند و همين موضوع ضرورت توسعه مداوم ظرفيت شبكهها را دوچندان كرده است. تهديدات سايبري نيز هر روز پيچيدهتر ميشوند. حملات منع سرويس، نفوذ به زيرساختهاي حياتي، حملات باجافزاري و سوءاستفاده از آسيبپذيريهاي نرمافزاري، تنها بخشي از تهديداتي هستند كه بانكها در سراسر جهان با آن مواجهاند. تجربه كشورهاي مختلف نيز نشان داده است كه حتي پيشرفتهترين موسسات مالي نيز از خطر حملات سايبري مصون نيستند و امنيت سايبري بيش از آنكه يك محصول باشد، يك فرايند دايمي است. وي نيز بر همين نكته تأكيد دارد و ميگويد هرچند بسياري از بانكهاي كشور در سالهاي اخير سرمايهگذاري قابل توجهي براي توسعه مراكز داده، استقرار تجهيزات امنيتي و سامانههاي پايش انجام دادهاند، اما سرعت تحول فناوري و تغيير روشهاي مهاجمان به اندازهاي زياد است كه هيچ زيرساختي را نميتوان كاملاً ايمن تلقي كرد. آمادگي در برابر تهديدات سايبري يك وضعيت ثابت نيست، بلكه فرايندي مستمر است كه بايد به صورت دايمي مورد بازنگري قرار گيرد. اين فرايند شامل ارزيابي مستمر ريسك، بهروزرساني فناوريها، تقويت مراكز عمليات شبكه (NOC)، توسعه مراكز عمليات امنيت (SOC)، بهرهگيري از سامانههاي هوشمند تشخيص تهديد، اجراي مانورهاي دورهاي و آموزش مستمر نيروهاي متخصص ميشود. يكي ديگر از موضوعاتي كه كارشناسان بر آن تأكيد ميكنند، توسعه مراكز داده به صورت Active-Active است. در اين معماري، دو يا چند مركز داده به صورت همزمان فعال هستند و در صورت بروز مشكل در يكي از آنها، مركز ديگر بدون ايجاد وقفه خدمات را ادامه ميدهد. چنين ساختاري علاوه بر افزايش پايداري خدمات، زمان بازيابي سامانهها را نيز به حداقل ميرساند. در كنار مراكز داده، تنوعبخشي به مسيرهاي ارتباطي نيز از اهميت بالايي برخوردار است. اگر تمام ارتباطات يك بانك تنها از يك مسير يا يك اپراتور عبور كند، هرگونه اختلال در آن مسير ميتواند ارايه خدمات را با مشكل مواجه كند. به همين دليل استفاده از مسيرهاي متعدد ارتباطي و تأمينكنندگان مختلف فناوري، يكي از استانداردهاي رايج در طراحي شبكههاي حياتي جهان به شمار ميرود.
تابآوري شبكه بانكي يك اولويت ملي است
بابادينيا افزايش تابآوري شبكههاي بانكي را يك اولويت ملي توصيف كرده و معتقد است براي تحقق اين هدف بايد برنامهاي جامع در سطح كشور تدوين شود. به گفته او، تدوين برنامه ملي نوسازي زيرساختهاي حياتي، حذف نقاط تكين خرابي، توسعه مراكز داده Active-Active، افزايش تنوع مسيرهاي ارتباطي، ارتقاي سامانههاي پايش، برگزاري مانورهاي بازيابي بحران، تقويت مراكز عمليات شبكه و امنيت، سرمايهگذاري در آموزش نيروي انساني و بهرهگيري از ظرفيت شركتهاي خصوصي از مهمترين اقداماتي است كه بايد در دستور كار قرار گيرد. نكته قابل توجه آن است كه بخش مهمي از امنيت شبكه، به نيروي انساني وابسته است. بسياري از گزارشهاي بينالمللي نشان ميدهد كه بخش قابل توجهي از رخدادهاي امنيتي، نه به دليل ضعف تجهيزات، بلكه به علت خطاهاي انساني، پيكربندي نادرست سامانهها يا تأخير در اعمال بهروزرسانيهاي امنيتي رخ ميدهد. بنابراين آموزش مستمر كارشناسان، تدوين دستورالعملهاي استاندارد و اجراي مانورهاي منظم، به اندازه خريد تجهيزات اهميت دارد. در همين راستا، رييس كميسيون شبكه سازمان نصر تهران پيشنهاد تشكيل يك كارگروه دايمي با حضور بانك مركزي، بانكها، وزارت ارتباطات، سازمان نظام صنفي رايانهاي، دانشگاهها و نمايندگان بخش خصوصي را مطرح كرده است. به اعتقاد او، اين كارگروه ميتواند به صورت مستمر وضعيت ريسكهاي زيرساختي را ارزيابي كرده، استانداردهاي لازم براي طراحي، توسعه و نگهداري شبكههاي بانكي را تدوين كند و بر اجراي آنها نظارت داشته باشد. چنين مدلي در بسياري از كشورهاي توسعهيافته نيز تجربه شده است؛ جايي كه امنيت زيرساختهاي حياتي تنها بر عهده يك دستگاه يا يك سازمان نيست، بلكه همكاري ميان دولت، نهادهاي تنظيمگر، بخش خصوصي، مراكز دانشگاهي و شركتهاي تخصصي، به عنوان يكي از مهمترين عوامل موفقيت شناخته ميشود. در نهايت، بابادينيا تأكيد ميكند كه افزايش امنيت و پايداري شبكههاي بانكي صرفاً با خريد تجهيزات جديد امكانپذير نيست. به گفته او، امنيت پايدار زماني شكل ميگيرد كه سرمايهگذاري در فناوري، آموزش نيروي انساني، مديريت ريسك، نوسازي مستمر زيرساختها و همكاري ميان تمامي بازيگران اين حوزه به يك روند دايمي تبديل شود.
