بهزاد صفری، معاون سابق فناوری اطلاعات بانک سپه، با انتقاد صریح از تعدد نهادهای ناظر و تورم دستورالعمل‌های بلااستفاده، «نبود متولی اجرا» را حلقه مفقوده امنیت سایبری کشور دانست. وی با هشدار نسبت به تمرکز بیش از حد سامانه‌های حاکمیتی و وابستگی مطلق کشور به تراکنش‌های آنلاینِ کارت‌محور، ورود شرکت‌های پشتیبان زیرساخت‌های ملی به بازار رقابتی سامانه‌های جامع بانکی (Core Banking) را زمینه‌ساز تعارض منافع آشکار و تضعیف تاب‌آوری شبکه توصیف کرد.
بهزاد صفری، معاون سابق فناوری بانک سپه در جریان برگزاری پنل «تاب‌آوری عملیاتی و مدیریت بحران سایبری» در استیج الکام‌تاکس با اشاره به معضل تعدد مراجع تصمیم‌گیر گفت: «امروز در حوزه نظارت، اپراتوری، بخشنامه‌ها و حتی شیوه‌های برخورد حقوقی و قضایی هیچ کمبودی نداریم؛ تا جایی که در جلسات گاهی تا ۱۲ نهاد ناظر مختلف شمرده می‌شوند. اما حلقه مفقوده اصلی، کیفیت و شیوه اجراست؛ در حقیقت هیچ مرجعی مسئولیت واقعی رفع چالش‌های میدانی و عملیاتی‌سازی الزامات سایبری را بر عهده نمی‌گیرد.»
وی افزود: «ما در لایه تاکتیکی، چه در بحث تاب‌آوری و چه در حوزه امنیت سایبری، با چالش‌های بنیادین روبه‌رو هستیم و این معضل مستقیماً به نقشه معماری شبکه بانکی کشور بازمی‌گردد.»
خطر تمرکزگرایی مفرط و وابستگی کامل به تراکنش‌های آنلاین
معاون سابق فناوری بانک سپه با نقد معماری متمرکز سامانه‌های ملی اظهار داشت: «تعدد سامانه‌های متمرکز حاکمیتی از جمله ساتنا، پایا، شتاب، شاپرک، رمز پویا (هریم) و سامانه‌های متمرکز استعلام و اعتبارسنجی تسهیلات خرد، آسیب‌پذیری سیستم را به شدت بالا برده است؛ به‌طوری‌که اختلال در یک لایه پیامکی یا ارتباطی، ارائه کل خدمات بانکی را قفل می‌کند. تجربه اختلالات سال‌های اخیر نشان داد این حجم از تمرکزگرایی، تاب‌آوری شبکه را در مواقع بحران به شدت کاهش می‌دهد.»
صفری با تأکید بر لزوم بازنگری در ابزارهای پرداخت کشور تصریح کرد: «چه لزومی دارد بیش از ۹۰ درصد تراکنش‌های خرد کشور به شیوه آنلاین و صرفاً متکی بر کارت‌های بانکی باشد؟ دنیا سال‌هاست به سمت ابزارهای پرداخت آفلاین و فناوری‌های جایگزین حرکت کرده است. توزیع‌پذیری و توسعه مدل‌های آفلاین، سطح تاب‌آوری را در برابر حوادث شبکه و قطعی‌ها ارتقا می‌دهد.»
تعارض منافع شرکت‌های حاکمیتی در بازار کُر‌بنکینگ
این کارشناس ارشد فناوری بانکی با اشاره به رابطه نادرست بانک‌ها با شرکت‌های ارائه‌دهنده خدمات زیرساختی گفت: «گاهی بانک‌ها با این تصور که پیمانکار آنها شرکت خدمات انفورماتیکِ وابسته به بانک مرکزی است، گمان می‌کنند در صورت بروز هرگونه رخداد، مسئولیت متوجه نهاد ناظر خواهد بود؛ در حالی که خدمات متعلق به بانک است و مسئولیت پاسخگویی مستقیم با خود بانک است.»
وی ادامه داد: «مسئله مهم دیگر، ورود نهادهای حاکمیتی به لایه‌های رقابتی است. وقتی شرکتی مسئولیت مدیریت و اپریشین سامانه‌های حاکمیتی و ملی را بر عهده دارد، نباید همزمان به حوزه توسعه سامانه‌های جامع بانکی (Core Banking) وارد شود و با بخش خصوصی رقابت کند؛ چراکه این همپوشانی منشأ شکل‌گیری تعارض منافع جدی است.»
نقش پررنگ عامل انسانی و احتمال نفوذ در رخدادهای اخیر
صفری در بخش پایانی سخنان خود به ریشه‌یابی رخدادهای اخیر زیرساخت‌های بانکی پرداخت و تأکید کرد: «نقش عامل انسانی در حوادث اخیر به شکل ملموسی احساس می‌شود و در مواردی شواهد جدی از نفوذ درون‌سازمانی به چشم می‌خورد.»
وی خاطرنشان کرد: «با وجود تصویب اسناد و ابلاغیه‌های مکرر از سوی شورای عالی فضای مجازی، احکام قوانین بودجه و مصوبات مرکز مدیریت راهبردی افتا، در مقام اجرا همواره تبصره‌ها و گریزگاه‌هایی شکل می‌گیرد که مانع پیاده‌سازی واقعی قوانین می‌شود. نزدیک به چهار سال است که این مطالبات پیگیری می‌شود اما خروجی ملموسی نداشته است؛ بنابراین وقت آن رسیده که یک بار برای همیشه بازنگری بنیادینی در حوزه اجرای الزامات سایبری داشته باشیم.»
نظرات کاربران