ابوالقاسم رجبی؛ پژوهشگر حوزه سیاست‌گذاری فناوری اطلاعات و ارتباطات در گفت‌وگو با خبرنگار تازه‌های اقتصاد با اشاره به حملات اخیر به شبکه بانکی کشور، بیان کرد: حملات سایبری به زیرساخت‌های بانکی نباید کم‌اهمیت تلقی شود؛ چرا که مهاجمان با تصور هزینه اندک و عدم واکنش متقابل ایران، می‌توانند اختلال‌های گسترده‌ای در خدمات مالی و سایر خدمات ایجاد کنند. در حالی که برخی کشورها اعلام کردند که در صورت انجام حملات گسترده سایبری علیه زیرساخت‌های حیاتی خود، به منشأ حمله پاسخ نظامی فیزیکی هم خواهند داد؛ اما در کشور ما هنوز به صورت شایسته به موضوع استفاده از توان نظامی و حملات متقابل سایبری و حتی استفاده از توان موشکی در واکنش به حملات سایبری در تراز دولت‌های متخاصم توجه نشده است.

وی افزود: تصور اینکه حملات سایبری تنها به واسطه بحران یا حادثه فعلی شدت گرفته‌اند، نادرست است؛ چون پیش بینی مراجع تخصصی متعدد این است که با تسهیلاتی که هوش مصنوعی برای یافتن آسیب پذیری‌ها فراهم کرده، حملات با پیچیدگی بالا در سال‌های آینده شدت خواهد گرفت. تعداد زیادی از حملات سایبری علیه سازمان‌ها و زیرساخت‌های کشور، از جمله شبکه بانکی، انجام خواهد شد. بسیاری از این حملات به دلیل وجود لایه‌های امنیتی شناسایی و خنثی می‌شوند؛ اما اگر سازمان‌ها در الزامات امنیت سایبری دچار ضعف باشند، احتمال موفقیت مهاجمان به‌مراتب افزایش می‌یابد. البته بعضی شواهد از جمله تاخیر غیر معمول در بازیابی فرآیندهای کسب و کار بانکی نشان می‌دهد که حملات اخیر را نمی‌توان در زمره حملات روزمره و سطحی قرار داد؛ در نتیجه تهدیدات سایبری علیه شبکه بانکی، مسئله‌ای جدی، مستمر و رو به افزایش است.

رجبی تصریح کرد: با توجه به میزان وابستگی خدمات بانکی به زیرساخت‌های دیجیتال، آثار حملات سایبری علیه شبکه بانکی می‌تواند بسیار عمیق باشد. اختلال‌هایی که طی دو تا سه هفته اخیر در خدمات بانکی کشور مشاهده شد نیز مؤید آن است که این تهدید را باید جدی گرفت و آن را صرفاً یک اختلال فنی مقطعی ندانست.

وی با تأکید بر ضرورت تقویت توان دفاع سایبری کشور، اظهار کرد: باید امنیت سایبری را به یکی از اولویت‌های اصلی در حوزه دفاع از زیرساخت‌های حیاتی تبدیل کنیم؛ به‌گونه‌ای که هرگونه حمله سایبری برای مهاجمان هزینه‌بر باشد و بدون پاسخ باقی نماند. در کنار این موضوع، بازطراحی و تقویت زیرساخت‌های بانکی نیز باید به‌عنوان یک راهبرد بلندمدت در دستور کار قرار گیرد تا تاب‌آوری شبکه بانکی در برابر تهدیدات افزایش یابد.

نگهداری داده‌های غیرضروری ریسک نشت اطلاعات را تشدید می‌کند

این پژوهشگر حوزه سیاست‌گذاری فناوری اطلاعات و ارتباطات با اشاره به چالش «افزونگی داده» (data redundancy) بیان کرد: یکی از مشکلات موجود، نگهداری حجم زیادی از اطلاعاتی است که ضرورتی برای ذخیره‌سازی مستقل آنها توسط بانک وجود ندارد چرا که توسط یک مرجع تخصصی دیگر گردآوری و به‌روزرسانی می‌شوند؛ اما برای اجرای قوانین و مقررات قبلی، داده‌هایی فراتر از آنچه برای ارائه خدمت نیاز است، به صورت مستقل توسط بانک‌ها جمع آوری و نگهداری می‌شود و همین موضوع با افزایش غیر ضروری حجم داده هزینه بهبود امنیت را بالا می‌برد؛ در نتیجه در صورت وقوع نشت اطلاعات یا حمله موفق، دامنه خسارت افزایش می‌یابد.

وی ادامه داد: گردآوری اطلاعات هویتی افراد مانند انطباق هویت با کد ملی، یا نشانی محل سکونت و سایر داده‌های حساس نباید به صورت مستقیم از طرف بانک‌ها انجام شود و داده‌ها باید تا حد امکان به‌صورت تفکیک‌شده نگهداری شوند تا در صورت افشای یک پایگاه داده، حجم اطلاعاتی که در اختیار مهاجمان قرار می‌گیرد، به حداقل برسد.

رجبی تأکید کرد: امنیت سایبری از کیفیت ارائه خدمات بانکی جدا نیست. اگر خدمات بانکی به‌گونه‌ای طراحی نشده باشند که استفاده از آنها برای کاربران ساده و روان باشد، سردرگمی مشتریان باعث می‌شود آنها زمان بیشتری را برای انجام تراکنش‌های بانکی صرف کنند. این موضوع علاوه بر کاهش رضایت و کیفیت تجربه کاربران، فشار بیشتری بر منابع پردازشی بانک وارد می‌کند و به‌تدریج ظرفیت این منابع را مستهلک می‌سازد. در چنین شرایطی، پیاده‌سازی راهکارهای امنیت سایبری که خود به منابع پردازشی بیشتری نیاز دارد نیز دشوارتر خواهد شد.

وی در پایان گفت: هرچند بانک‌ها از تدابیر امنیتی متنوعی برای مقابله با تهدیدات سایبری استفاده می‌کنند، اما معماری خدمات بانکی باید به‌گونه‌ای طراحی شده باشد که حتی در صورت شکست بخشی از سازکارهای امنیتی در جریان حملات سایبری، ارائه خدمات حیاتی متوقف نشود. افزایش تاب‌آوری، ایجاد مسیرهای جایگزین برای ارائه خدمات و تنوع‌بخشی به زیرساخت‌ها، از مهم‌ترین اقداماتی هستند که می‌توانند از بروز اختلال‌های گسترده در چنین شرایطی جلوگیری کنند.

نویسنده: زهره رضایی