بانک‌های کشور از نظر امنیت سایبری رتبه‌بندی شدند/فرصت یک ماهه برای اصلاح نواقص

به گزارش اکو اقتصاد، دومین جلسه ارزیابی خدمات دهندگان فضای مجازی از منظر امنیت سایبری در راستای تحقق سند ارتقا امنیت سایبری مصوب سال ۱۴۰۴ شورای عالی فضای مجازی، به ریاست دبیر شورای عالی و رئیس مرکز ملی فضای مجازی و معاون امنیت مرکز ملی فضای مجازی، رئیس مرکز فرماندهی عملیات امنیت سایبری، معاون بانک مرکزی، رئیس مرکز مدیریت افتا، نمایندگان سازمان بازرسی کل کشور و مدیران بانک‌های کشور برگزار شد.

اطلاع‌رسانی به مردم درباره نتایج ارزیابی

سیدمحمدامین آقامیری، دبیر شورای عالی و رئیس مرکز ملی فضای مجازی، در نشست اعلام رتبه‌بندی بانک‌ها از نظر امنیت سایبری با اشاره به اهمیت امنیت سایبری در حوزه‌های مختلف اظهار کرد: امنیت سایبری موضوعی است که در بخش‌های مختلفی از جمله حوزه بانکی، دانشگاهی و کسب‌وکارها اهمیت دارد و ارزیابی وضعیت امنیتی مجموعه‌های خدمات‌دهنده باید به ارتقای کیفیت خدمات و حفاظت از داده‌های مردم منجر شود.

وی افزود: پیش از این، ارزیابی‌ها و گزارش‌های مربوط به امنیت سایبری به مجموعه‌های مورد بررسی منتقل می‌شد تا نواقص احتمالی را برطرف کنند، اما پیگیری‌ها عمدتاً درون همان مجموعه‌ها و میان دستگاه‌های مسئول انجام می‌شد. بر همین اساس، یکی از سازوکارهایی که سال گذشته در شورای عالی فضای مجازی به تصویب رسید، اطلاع‌رسانی به مردم درباره نتایج ارزیابی نهادهای تخصصی است؛ چراکه مردم حق دارند از وضعیت خدماتی که استفاده می‌کنند، آگاه باشند.

آقامیری با تشریح فرایند اجرای این سازوکار گفت: دستگاه‌های هماهنگ‌کننده، خدمات و مجموعه‌های مرتبط را بر اساس شاخص‌های مشخص ارزیابی و نتایج را به مرکز ملی فضای مجازی اعلام می‌کنند. در مرحله نخست، گزارش ارزیابی با مجموعه‌های مورد بررسی به اشتراک گذاشته می‌شود تا ضمن آگاهی از وضعیت خود، فرصت اصلاح نواقص احتمالی را داشته باشند.

یک ماه به بانک‌ها فرصت داده شد

وی ادامه داد: در این مرحله، یک ماه به بانک‌ها فرصت داده می‌شود تا نواقص و ایرادهای احتمالی خود را بر اساس شاخص‌های ارزیابی برطرف کنند. گزارش اولیه محرمانه است و پس از پایان این مهلت، دستگاه هماهنگ‌کننده ارزیابی مجدد را انجام می‌دهد و گزارش نهایی را به مرکز ملی فضای مجازی ارائه می‌کند تا نتایج آن در اختیار افکار عمومی قرار گیرد.

دبیر شورای عالی فضای مجازی با اشاره به تجربه کشورهای مختلف در انتشار دوره‌ای نتایج ارزیابی‌های امنیت سایبری تصریح کرد: این اقدام علاوه بر تأکید بر اهمیت حفاظت از داده‌های مردم، به افزایش آگاهی عمومی کمک می‌کند. مردم می‌توانند با اطلاع از نتایج ارزیابی‌ها و متناسب با میزان ریسکی که می‌پذیرند، درباره انتخاب بانک و استفاده از خدمات آن تصمیم بگیرند.

آقامیری با تأکید بر اینکه هدف از این فرایند صرفاً رتبه‌بندی بانک‌ها نیست، گفت: هدف اصلی این است که همه بانک‌ها در کوتاه‌ترین زمان ممکن به وضعیت مطلوب برسند. کارنامه مرکز ملی فضای مجازی و بانک‌ها در این زمینه یکی است و ارتقای امنیت سایبری هم موجب خوشحالی ما و هم موجب رضایت مردم خواهد بود. بنابراین باید تمام تلاش خود را برای هم‌افزایی و بهبود وضعیت امنیتی همه بانک‌ها به کار بگیریم.

وی با اشاره به جایگاه حوزه بانکی در اعتماد عمومی به خدمات دیجیتال اظهار کرد: حوزه بانکی یکی از مهم‌ترین بخش‌های مؤثر بر اعتماد مردم به خدمات مختلف است. اگر مردم از امنیت خدمات بانکی اطمینان داشته باشند، اعتماد آن‌ها به سایر خدمات نیز می‌تواند افزایش پیدا کند، اما نگرانی درباره امنیت این حوزه بر اعتماد مردم به دیگر خدمات نیز سایه می‌اندازد.

رئیس مرکز ملی فضای مجازی با تأکید بر ضرورت همکاری مجموعه‌های مرتبط خاطرنشان کرد: باید با همکاری و هم‌افزایی، شرایطی فراهم کنیم که مردم بتوانند با خیال راحت از خدمات بانکی استفاده کنند و از بهره‌مندی از این خدمات احساس اطمینان داشته باشند.

آقامیری با اشاره به ضرورت آمادگی نظام بانکی در برابر سناریوهای مختلف تهدید اظهار کرد: تجربه حوزه‌های دیگر نشان داده است هرجا آمادگی‌ها و مقدمات لازم به‌طور کامل فراهم شده و دشمن به این جمع‌بندی رسیده که با واردکردن ضربه به اهداف خود نمی‌رسد، از اقدام خود منصرف شده است. اگر بتوانیم حوزه بانکی را به نقطه‌ای برسانیم که نظام بانکی برای سناریوهای مختلف آمادگی لازم را داشته باشد، دشمن از برهم‌زدن آرامش مردم از طریق این مسیر ناامید می‌شود و دولت می‌تواند خدمات مورد نیاز مردم را به‌طور کامل ارائه دهد.

رتبه‌بندی سال آینده سخت‌گیرانه‌تر می‌شود

محسن پاشا، قائم‌مقام رئیس و معاون امنیت مرکز ملی فضای مجازی، هم در نشست اعلام رتبه‌بندی بانک‌ها از منظر امنیت سایبری، با اشاره به اهداف این رتبه‌بندی گفت: این برنامه با هدف ایجاد نقشه راهی برای مدیریت ریسک در کشور دنبال می‌شود تا مجموعه‌های عمومی بتوانند با آگاهی بیشتر از سطح ریسک خدمات‌دهندگان، برای انتخاب خدمات مورد نیاز خود تصمیم‌گیری کنند.

وی افزود: با مشخص‌شدن سطح ریسک هر مجموعه، خدمات‌گیرندگان می‌توانند خدماتی را انتخاب کنند که ریسک پایین‌تری دارند. نظام بانکداری کشور در خط مقدم جنگ ترکیبی قرار دارد و اقدامات و تلاش‌های این حوزه شایسته تقدیر است، اما تهدیدات سایبری امروز صرفاً به لایه فناوری محدود نیست و می‌تواند حکمرانی کشور را نیز با چالش مواجه کند.

پاشا با تأکید بر ماهیت تهدیدات سایبری علیه کشور اظهار کرد: تهدیدکنندگان، امروز صرفاً هکرهای معمولی نیستند، بلکه بازیگرانی هستند که تحت مدیریت دشمن متخاصم علیه کشور اقدام می‌کنند. اگر این اقدامات به‌درستی مدیریت نشوند، می‌توانند چالش‌های گسترده‌ای برای کشور ایجاد کنند که به لطف الهی، تاکنون اقدامات مخرب دشمن تا حد خوبی دفع شده است.

معاون امنیت مرکز ملی فضای مجازی با تشریح فرایند اجرای رتبه‌بندی امنیت سایبری بانک‌ها تصریح کرد: پس از مشخص‌شدن رتبه‌ها و سطح‌بندی مجموعه‌ها، یک ماه فرصت در نظر گرفته شده است تا با همکاری بانک‌ها و مجموعه‌های مسئول در مرکز ملی فضای مجازی، نواقص شناسایی‌شده، برطرف شود. پس از آن، ارزیابی مجدد انجام و نتایج نهایی برای اطلاع افکار عمومی منتشر خواهد شد.

وی ادامه داد: در سند ارتقای امنیت فضای مجازی، برای موارد اختلاف‌نظر میان نظام بانکی و مجموعه‌های نظارتی نیز سازوکار مشخصی پیش‌بینی شده است. مجموعه‌هایی که نسبت به شاخص‌ها اعتراض دارند، می‌توانند موضوع را به کمیسیون عالی امنیت فضای مجازی ارجاع دهند تا در آنجا بررسی شود و در صورت نیاز، شاخص مربوط اصلاح شود. همچنین ممکن است برخی شاخص‌ها با توجه به شرایط جنگی کشور نیازمند بازنگری باشند.

معاون امنیت مرکز ملی فضای مجازی با اشاره به اینکه سال جاری نخستین سال اجرای این رتبه‌بندی است، گفت: در این مرحله تلاش شده شاخص‌هایی تعیین شود که قابلیت اجرا داشته باشند، اما با عبور از این مرحله، شاخص‌های سخت‌گیرانه‌تری برای سال آینده در نظر گرفته خواهد شد و دقت ارزیابی نیز افزایش می‌یابد. امیدواریم که اجرای این برنامه به ارائه خدمات بهتر به مردم و تقویت اعتماد عمومی به حوزه پولی و مالی کشور بر پایه افزایش تاب‌آوری خدمات مالی منجر شود.

رفع آسیب‌پذیری‌های پایه در شبکه بانکی ضروری است

رئیس مرکز فرماندهی عملیات امنیت سایبری کشور هم در این نشست با تأکید بر ضرورت ارتقای امنیت سایبری شبکه بانکی گفت: با انجام ارزیابی‌های مستمر و آزمون‌های امنیتی و توجه به الزامات اولیه امنیتی، می‌توان از بسیاری از آسیب‌های سایبری جلوگیری کرد.

حجت، با قدردانی از تلاش‌های همکاران فناوری اطلاعات بانک مرکزی و شبکه بانکی در دوران جنگ، گفت: تجربه حملات سایبری اخیر نشان داد که بخش قابل‌توجهی از آسیب‌ها از ضعف‌های پایه‌ای ناشی می‌شود که با پایش مستمر و رعایت الزامات اولیه امنیتی می‌توان از بسیاری از آن‌ها جلوگیری کرد.

وی با اشاره به اینکه بخش قابل‌توجهی از آسیب‌ها ناشی از ضعف‌های اولیه امنیتی است، گفت: یکی از چالش‌های اصلی، نبود پایش مستمر امنیتی است؛ درحالی‌که با انجام ارزیابی‌های مستمر و آزمون‌های امنیتی می‌توان از بسیاری از این آسیب‌ها جلوگیری کرد.

حجت با اشاره به برخی از چالش‌های ساختاری امنیت سایبری در بانک‌ها گفت: استقلال واحد امنیت از واحد فناوری اطلاعات، ارتباط مستقیم مدیر امنیت با مدیرعامل و بازنگری در ساختارهای سازمانی از جمله اقداماتی است که می‌تواند به بهبود مدیریت امنیت سایبری در بانک‌ها کمک کند. همچنین بازطراحی سامانه‌های قدیمی و ارتقای برنامه‌های تداوم کسب‌وکار و بازیابی پس از بحران باید مورد توجه جدی قرار گیرد.

رئیس مرکز فرماندهی عملیات امنیت سایبری با تأکید بر ضرورت اتصال بانک‌ها به ظرفیت‌های ملی پایش و مقابله با تهدیدات سایبری گفت: با راه‌اندازی این مراکز، آثار و نشانه‌های حملات شناسایی و جمع‌آوری می‌شود تا امکان بررسی تهدیدات و جلوگیری از تکرار آسیب‌ها فراهم شود. از این رو اتصال بانک‌ها و مجموعه‌های مرتبط به این ظرفیت‌ها ضروری است تا از تکرار آسیب‌پذیری‌ها در سایر بخش‌ها جلوگیری شود.

حجت با هشدار درباره تهدیدات زنجیره تأمین گفت: با توجه به گستردگی استفاده از اپلیکیشن‌های بانکی، کنترل اجزای نرم‌افزاری، بررسی افزونه‌ها و نظارت بر زنجیره تأمین باید با جدیت دنبال شود تا از سوءاستفاده‌های احتمالی، جاسوسی و ردیابی کاربران جلوگیری شود

 در این نشست، نمایندگان مرکز افتای ریاست جمهوری، گزارشی از روند بررسی و ارزیابی اقدامات انجام شده توسط بانک‌ها در حوزه امنیت سایبری، ارائه کرده و رتبه بانک‌ها از نظر امنیت سایبری را به مدیران این بانک‌ها اعلام کرد.

براساس طرح رتبه بندی خدمات دهندگان فضای مجازی، قرار است جلساتی با هر گروه خدمات دهنده برگزار و پس از اعلام نتایج ارزیابی به این گروه‌ها، برای ایجاد رقابت سالم، خدمات‌دهندگان این حوزه‌ها فرصت یک ماهه برای ارتقای سطح خدمات خواهند داشت و پس از گذشت یک ماه، ارزیابی مجدد انجام شده و در نهایت نتایج به اطلاع مردم عزیز کشورمان خواهد رسید. 

در همین راستا، مرحله نخست این طرح با ارزیابی شرکت‌های ارائه‌دهنده خدمات پیامکی به دلیل فراگیری پیامک‌های انبوه و تبلیغاتی در جامعه و اثرات مخرب پیامک‌های انبوه آزاردهنده و لینک‌های آلوده منجر به هک، پیشتر برگزار شده بود.

در اجرای طرح رتبه بندی امنیت سایبری خدمات دهندگان فضای مجازی، چهار دستگاه هماهنگ کننده شامل مرکز افتا، پلیس فتا، سازمان پدافند غیرعامل و مرکز ماهر همکاری دارند و این ارزیابی‌ها به صورت مستمر و در دوره‌های سه‌ماهه تکرار خواهد شد.