مقابله با پدیده‌های سایبری، مستعد عبور قاطعانه از رویکردهای سنتی و منفعلانه و حرکت شتابان به سمت دفاع پیش‌دستانه است و بانک‌ها باید بتوانند پیش از وقوع بحران، مهاجمان را رصد کنند.
به گزارش خبرگزاری مهر به نقل از مرکز ملی فضای مجازی، محسن پاشا قائم مقام و معاون امنیت مرکز ملی فضای مجازی در یادداشتی به موضوع رتبه بندی خدمات دهندگان فضای مجازی از نظر امنیت سایبری پرداخته است؛ متن کامل این یادداشت به شرح ذیل است:
رتبه‌بندی امنیت سایبری بانک‌ها
مرکز ملی فضای مجازی در راستای تحقق «سند ارتقای امنیت سایبری» (مصوب سال ۱۴۰۴ شورای عالی فضای مجازی) و با هدف استقرار نظام جامع پایش و ارزیابی پایداری زیرساخت‌های حیاتی، اخیراً در نشستی با حضور مدیران‌عامل و اعضای هیئت‌مدیره بانک‌ها، نتایج نخستین دوره رتبه‌بندی جامع امنیت سایبری شبکه بانکی کشور را ابلاغ کرد. این اقدام حاکمیتی، نقطه آغازی بر تغییر رویکرد از نظارت‌های ایستا به پایش عملیاتی و مستمر در حساس‌ترین بخش از زیرساخت‌های خدماتی کشور به شمار می‌رود. در همین راستا، این یادداشت تلاش می‌کند ضمن واکاوی ابعاد راهبردی و اهداف کلان این ارزیابی، الزامات گذار شبکه بانکی از نگاه سنتی به سمت «معماری واقعی تاب‌آور و افزایش اعتماد عمومی» را تبیین کند.
در عصر حاضر، امنیت سایبری شبکه بانکی به یکی از ارکان اصلی ثبات اقتصادی، تداوم خدمات عمومی، حفاظت از حقوق شهروندان و افزایش «اعتماد عمومی» تبدیل شده است. در اقتصادی که بخش بزرگی از مبادلات، پرداخت‌ها و خدمات مالی در بسترهای دیجیتال جریان دارد، هرگونه اختلال گسترده یا افشای داده‌های بانکی می‌تواند پیامدهایی فراتر از یک حادثه سایبری داشته باشد؛ پیامدهایی که فعالیت کسب و کارها، زندگی روزمره مردم و اعتبار نظام مالی کشور را به طور مستقیم تحت تأثیر قرار می‌دهند.
از این منظر، رتبه‌بندی امنیت سایبری بانک‌ها اقدامی راهبردی برای مقاوم سازی، توانمندسازی، شناسایی دقیق ریسک‌ها، اولویت‌بندی سرمایه‌گذاری‌ها، ارتقای تاب‌آوری عملیاتی و ایجاد رقابت سازنده در شبکه بانکی کشور می باشد.
رتبه‌بندی؛ ابزاری برای بهبود و تداوم خدمت
در تعاملات و نشست‌های تخصصی با مدیران شبکه بانکی کشور، همواره بر این نکته کلیدی تأکید شده است که هدف اصلی ارزیابی و رتبه‌بندی امنیت سایبری، ایجاد تصویری شفاف و واقعی از وضعیت آمادگی بانک‌ها و کمک به اصلاح مستمر نقاط ضعف است.
نگاه به این ارزیابی‌ها باید از منطق سطحی «رتبه‌بندی برای رتبه‌بندی» فاصله بگیرد. ارزش واقعی رتبه‌بندی زمانی آشکار می‌شود که نتایج آن به نقشه راه اصلاحی، تخصیص بهینه منابع، ارتقای توان دفاعی و بهبود ساختاری عملکرد بانک‌ها منجر شود. بانک‌ها باید بتوانند بر مبنای خروجی این ارزیابی‌ها، سطح بلوغ امنیتی خود را به دقت بشناسند، ریسک‌های اولویت‌دار را مهار کنند و منابع محدود خود را به حوزه‌هایی اختصاص دهند که بیشترین تأثیر را بر کاهش ریسک و تداوم خدمات دارند.
بر همین اساس، چارچوب رتبه‌بندی باید علاوه بر تمرکز صرف بر تامین تجهیزات سخت‌افزاری و زیرساختی، توان واقعی بانک را در پیشگیری، کشف، مهار، پاسخ و بازیابی از رخدادهای سایبری سنجش کند. برخورداری از پیشرفته‌ترین سامانه‌های امنیتی، بدون آمادگی عملیاتی، نیروی انسانی متخصص و چابک، فرآیندهای آزموده‌شده و مدیریت مؤثر بحران، به‌تنهایی هیچ تضمینی برای امنیت ارائه نمی‌دهد.
معیار اصلی؛ توان عملیاتی در مواجهه با رخداد
امنیت سایبری جزء تفکیک‌ناپذیری از حکمرانی سازمانی، تداوم کسب‌وکار و تضمین خدمت‌رسانی پایدار به آحاد جامعه است. ارزیابی بانک‌ها باید ابعاد همه‌جانبه‌ای را دربرگیرد؛ از حکمرانی و مدیریت ریسک سایبری گرفته تا حفاظت از داده‌های کلان، امنیت زیرساخت‌ها، آمادگی سرمایه انسانی، مدیریت رخداد، تداوم کسب‌وکار، بازیابی سریع خدمات و امنیت زنجیره تأمین.
در این چارچوب، پرسش‌های اساسی مدیران و ارزیابان نباید معطوف به تعداد ابزارهای خریداری‌شده باشد، بلکه باید به موارد زیر پاسخ دهد:
آیا بانک شناخت دقیق و به‌روزی از دارایی‌های حیاتی و داده‌های حساس خود دارد؟
آیا مسئولیت‌ها و پاسخگویی در قبال امنیت سایبری در بالاترین سطح، یعنی هیئت‌مدیره و مدیران ارشد، تعریف و رصد می‌شود؟
آیا توان کشف زودهنگام رفتارهای مشکوک و رخدادهای امنیتی در شبکه بانکی وجود دارد؟
آیا برنامه‌های واکنش به رخداد و تداوم خدمات به‌صورت میدانی و سناریومحور آزموده شده‌اند
آیا بانک قادر است در کوتاه‌ترین زمان ممکن پس از یک حمله یا اختلال، خدمات حیاتی خود را بازیابی کند؟
آیا ریسک‌های ناشی از فعالیت پیمانکاران، شرکت‌های فناوری وابسته و ارائه‌دهندگان خدمات مشترک به دقت مدیریت می‌شوند؟
آیا درس‌آموخته‌های رخدادهای گذشته به بازمهندسی فرآیندها و کنترل‌ها منجر شده است.
پاسخ به این پرسش‌هاست که عیار واقعی تاب‌آوری سایبری بانک‌ها را نمایان می‌سازد؛ تصویری که هرگز با تکیه بر میزان هزینه‌کرد ظاهری یا حجم تجهیزات انبارشده قابل ترسیم نیست.
**اعتماد عمومی؛ مهم‌ترین سرمایه شبکه بانکی
در عصر اقتصاد دیجیتال، «داده‌های هویتی، مالی و تراکنشی شهروندان، از ارزشمندترین سرمایه‌های ملی و بانکی به شمار می‌روند. افشای این داده‌ها می‌تواند پیامدهایی فراتر از خسارت مالی مستقیم داشته باشد و حریم خصوصی افراد، امنیت روانی جامعه، اعتبار بانک و در نهایت سرمایه اجتماعی کشور را مخدوش سازد.
اعتماد مردم به نظام بانکی، یک سرمایه ملی بی‌بدیل است. اگر شهروندان نسبت به امنیت حساب‌ها، تراکنش‌ها و اطلاعات شخصی خود دغدغه داشته باشند، کارآمدی اقتصاد دیجیتال و پذیرش نوآوری‌های مالی با مانع جدی روبه‌رو خواهد شد. به همین دلیل، صیانت از داده‌های شهروندان یک مسئولیت حاکمیتی، مدیریتی و اخلاقی است.
حکمرانی امنیت؛ تکلیفی متوجه مدیران ارشد
ارتقای امنیت سایبری در شبکه بانکی زمانی محقق می‌شود که از سطح واحدهای فنی خارج شده و در بالاترین لایه‌های تصمیم‌گیری سازمانی جای گیرد. امنیت نباید دغدغه انحصاری مدیر فناوری اطلاعات یا مسئول امنیت باشد؛ بلکه هیئت‌مدیره و مدیران ارشد بانک‌ها باید نسبت به تصمیمات کلان فناوری، سطح آمادگی سایبری، بودجه‌ریزی امنیتی، مدیریت ریسک برون‌سپاری و تداوم خدمات، پاسخگوی مستقیم باشند.
در همین راستا، لازم است شاخص‌های کلیدی امنیت سایبری به عنوان بخشی از ارزیابی عملکرد مدیران ارشد بانک‌ها منظور گردد. آمادگی برای مدیریت بحران، سرعت تشخیص و مهار رخداد، کیفیت طرح‌های بازیابی، میزان حفاظت از داده‌های مشتریان و حسن اجرای برنامه‌های اصلاحی، باید شاخص‌هایی سنجش‌پذیر در ارزیابی صلاحیت‌ها و عملکرد مدیران بانکی باشند. تخصیص بودجه امنیتی نیز باید از حالت واکنشی و جزیره‌ای خارج شده و بر اساس تحلیل ریسک مبتنی بر دارایی و سناریوهای تهدید شکل گیرد.
اصول بنیادین در ارزیابی؛ عدالت، شفافیت و محرمانگی
اعتبار هر نظام رتبه‌بندی، در گروی استحکام روش‌شناسی، بی‌طرفی نهاد ارزیاب و اعتماد ذی‌نفعان به فرآیند آن است. چارچوب رتبه‌بندی امنیت سایبری باید روشن، قابل سنجش، عادلانه و متناسب با مقیاس و ویژگی‌های هر بانک باشد. رعایت اصول زیر در این مسیر اهمیت ویژه دارد:
شفافیت شاخص‌ها و قابل دفاع بودن معیارهای ارزیابی؛
تفکیک الگوهای ارزیابی بلوغ امنیتی متناسب با اندازه و منابع بانک‌ها؛
تمرکز بر ریسک‌های واقعی و توان عملیاتی به جای اسناد ظاهری؛
پیش‌بینی سازوکار مشخص برای اعتراض، رسیدگی و بازبینی نتایج؛
تضمین محرمانگی اطلاعات حساس و پیشگیری از انتشار جزئیاتی که دشمنان یا مهاجمان بتوانند از آن سوءاستفاده کنند؛
ارائه برنامه‌های اصلاحی مشخص در کنار اعلام نتایج ارزیابی؛
بازنگری مستمر شاخص‌ها همگام با تحولات فناوری و پیچیده‌تر شدن تهدیدات.
امکان اعتراض‌پذیر بودن نتایج، نشان‌دهنده دقت نظر، قانون‌مداری و ارتقای پذیرش‌پذیری ارزیابی است. از سوی دیگر، انتشار نتایج رتبه‌بندی باید با رعایت دقیق ملاحظات امنیتی همراه باشد تا از تبدیل شدن نقاط ضعف ساختاری بانک‌ها به بستری برای آسیب‌پذیری‌های جدید جلوگیری شود.
هم‌افزایی ملی؛ مقابله با تهدیدات ترکیبی و زنجیره تأمین
امنیت سایبری شبکه بانکی، مسئله‌ای نیست که یک نهاد، بانک یا سازمان بتواند به‌تنهایی از عهده حل‌وفصل آن برآید؛ بلکه نیازمند هم‌افزایی مستمر و ساختاریافته میان حاکمیت، بانک مرکزی، بانک‌ها، ارائه‌دهندگان خدمات فناوری، اپراتورها و سایر اضلاع اکوسیستم مالی کشور است.
تهدیدات سایبری امروز، مرزهای سازمانی را به رسمیت نمی‌شناسند. یک آسیب‌پذیری پنهان در شرکت ارائه‌دهنده خدمات نرم‌افزاری مشترک، یک اختلال در زیرساخت ارتباطی یا ضعفی کوچک در زنجیره تأمین، می‌تواند چندین بانک و کل زنجیره پرداخت کشور را هم‌زمان درگیر کند. به همین دلیل، رتبه‌بندی امنیت سایبری باید فراتر از دیوارهای هر بانک، توانایی مدیریت ریسک‌های زنجیره تأمین و تبادل امن اطلاعات تهدیدات را نیز ارزیابی و تقویت کند.
سخن پایانی؛ حرکت به سوی دفاع پیش‌دستانه
زیرساخت‌های مالی و بانکی جمهوری اسلامی ایران همچنان تمام کشورهای مستقل جهان که دشمن دارند، در معرض طیف پیچیده‌ای از تهدیدات چندلایه، از حملات هدفمند فنی تا عملیات اخلال، سرقت داده و جنگ شناختی علیه اعتماد عمومی قرار دارد. مقابله با این پدیده‌ها، مستعد عبور قاطعانه از رویکردهای سنتی و منفعلانه و حرکت شتابان به سمت دفاع پیش‌دستانه است.
بانک‌ها باید بتوانند پیش از وقوع بحران، مهاجمان را رصد کنند، آسیب‌پذیری‌ها را ترمیم کرده و در صورت بروز هرگونه حادثه، با چابکی کامل خدمات ضروری مردم را حفظ کنند. رتبه‌بندی امنیت سایبری، بستری ارزشمند برای ایجاد رقابت سازنده میان بانک‌ها در صیانت از سپرده‌های مردم و دارایی‌های دیجیتال کشور فراهم خواهد کرد؛ رقابتی که غایت آن نه کسب یک رتبه امنیت سایبری، بلکه تحقق امنیت، «تاب‌آوری حداکثری و آرامش خاطر شهروندان» در عرصه خدمات مالی است.