معاون امنیت مرکز ملی فضای مجازی:
دفاع پیش دستانه و اقدام جدی در مقابل تهاجمات سایبری
به گزارش دانلود عکس، رویارویی با پدیده های سایبری، مستعد عبور قاطعانه از نگاههای سنتی و منفعلانه و حرکت شتابان به سوی دفاع پیش دستانه است و بانکها باید بتوانند قبل از وقوع بحران، مهاجمان را رصد کنند.
به گزارش دانلود عکس به نقل از مرکز ملی فضای مجازی، محسن پاشا قائم مقام و معاون امنیت مرکز ملی فضای مجازی در یادداشتی به موضوع رتبه بندی خدمات دهندگان فضای مجازی از نظر امنیت سایبری پرداخته است؛ متن کامل این یادداشت به شرح ذیل است:
رتبه بندی امنیت سایبری بانک ها
مرکز ملی فضای مجازی در امتداد تحقق «سند ارتقاء امنیت سایبری» (مصوب سال ۱۴۰۴ شورایعالی فضای مجازی) و با هدف استقرار نظام جامع پایش و ارزیابی پایداری زیرساخت های حیاتی، اخیراً در نشستی با حضور مدیران عامل و اعضای هیات مدیره بانک ها، نتایج اولین دوره رتبه بندی جامع امنیت سایبری شبکه بانکی کشور را ابلاغ نمود. این اقدام حاکمیتی، نقطه آغازی بر تغییر رویکرد از نظارت های ایستا به پایش عملیاتی و مستمر در حساس ترین بخش از زیرساخت های خدماتی کشور به حساب می آید. در همین جهت، این یادداشت تلاش می کند ضمن واکاوی ابعاد راهبردی و اهداف کلان این ارزیابی، الزامات گذار شبکه بانکی از نگاه سنتی بسمت «معماری واقعی تاب آور و افزایش اعتماد عمومی» را تبیین کند.
در عصر حاضر، امنیت سایبری شبکه بانکی به یکی از ارکان اصلی ثبات اقتصادی، ادامه خدمات عمومی، صیانت از حقوق شهروندان و افزایش «اعتماد عمومی» تبدیل گشته است. در اقتصادی که بخش بزرگی از مبادلات، پرداخت ها و خدمات مالی در بسترهای دیجیتال جریان دارد، هرگونه اختلال گسترده یا افشای داده های بانکی می تواند پیامدهایی فراتر از یک حادثه سایبری داشته باشد؛ پیامدهایی که فعالیت کسب و کارها، زندگی روزمره مردم و اعتبار نظام مالی کشور را به صورت مستقیم تحت تأثیر قرار می دهند.
از این منظر، رتبه بندی امنیت سایبری بانکها اقدامی راهبردی برای مقاوم سازی، توانمندسازی، شناسایی دقیق ریسک ها، اولویت بندی سرمایه گذاری ها، ارتقاء تاب آوری عملیاتی و ایجاد رقابت سازنده در شبکه بانکی کشور می باشد.
رتبه بندی؛ ابزاری برای بهبود و ادامه خدمت
در تعاملات و نشست های تخصصی با مدیران شبکه بانکی کشور، همیشه بر این نکته کلیدی تاکید شده است که هدف اصلی ارزیابی و رتبه بندی امنیت سایبری، ایجاد تصویری شفاف و واقعی از وضعیت آمادگی بانکها و کمک به اصلاح مستمر نقاط ضعف است.
نگاه به این ارزیابی ها باید از منطق سطحی «رتبه بندی برای رتبه بندی» فاصله بگیرد. ارزش واقعی رتبه بندی زمانی آشکار می شود که نتایج آن به نقشه راه اصلاحی، اختصاص بهینه منابع، ارتقاء توان دفاعی و بهبود ساختاری عملکرد بانکها منجر شود. بانکها باید بتوانند مبنی بر خروجی این ارزیابی ها، سطح بلوغ امنیتی خودرا به دقت بشناسند، ریسک های اولویت دار را مهار کنند و منابع محدود خودرا به حوزه هایی اختصاص دهند که بیشترین تأثیر را بر کاهش ریسک و ادامه خدمات دارند.
بر همین اساس، چارچوب رتبه بندی باید علاوه بر تمرکز صرف بر تامین تجهیزات سخت افزاری و زیرساختی، توان واقعی بانک را در پیشگیری، کشف، مهار، پاسخ و بازیابی از رخدادهای سایبری سنجش کند. برخورداری از پیشرفته ترین سامانه های امنیتی، بدون آمادگی عملیاتی، نیروی انسانی متخصص و چابک، فرآیندهای آزموده شده و مدیریت مؤثر بحران، به تنهایی هیچ تضمینی برای امنیت عرضه نمی دهد.
معیار اصلی؛ توان عملیاتی در برخورد با رخداد
امنیت سایبری جزء تفکیک ناپذیری از حکمرانی سازمانی، ادامه کسب و کار و تضمین خدمت رسانی پایدار به آحاد جامعه است. ارزیابی بانکها باید ابعاد همه جانبه ای را دربرگیرد؛ از حکمرانی و مدیریت ریسک سایبری گرفته تا صیانت از داده های کلان، امنیت زیرساخت ها، آمادگی سرمایه انسانی، مدیریت رخداد، ادامه کسب و کار، بازیابی سریع خدمات و امنیت زنجیره تامین.
در این چارچوب، پرسش های اساسی مدیران و ارزیابان نباید معطوف به تعداد ابزارهای خریداری شده باشد، بلکه باید به موارد زیر پاسخ دهد:
آیا بانک شناخت دقیق و به روزی از دارایی های حیاتی و داده های حساس خود دارد؟
آیا مسئولیت ها و پاسخگویی در قبال امنیت سایبری در بالاترین سطح، یعنی هیات مدیره و مدیران ارشد، تعریف و رصد می شود؟
آیا توان کشف سریع رفتارهای مشکوک و رخدادهای امنیتی در شبکه بانکی وجود دارد؟
آیا برنامه های واکنش به رخداد و ادامه خدمات به شکل میدانی و سناریومحور آزموده شده اند
آیا بانک می تواند در کوتاهترین زمان ممکن بعد از یک حمله یا اختلال، خدمات حیاتی خودرا بازیابی کند؟
آیا ریسک های ناشی از فعالیت پیمانکاران، شرکتهای فناوری وابسته و عرضه دهندگان خدمات مشترک به دقت مدیریت می شوند؟
آیا درس آموخته های رخدادهای گذشته به بازمهندسی فرآیندها و کنترل ها منتج شده است.
پاسخ به این پرسش هاست که عیار واقعی تاب آوری سایبری بانکها را نمایان می سازد؛ تصویری که هیچ گاه با تأکید بر میزان هزینه کرد ظاهری یا حجم تجهیزات انبارشده قابل ترسیم نیست.
**اعتماد عمومی؛ مهم ترین سرمایه شبکه بانکی
در عصر اقتصاد دیجیتال، «داده های هویتی، مالی و تراکنشی شهروندان، از ارزشمندترین سرمایه های ملی و بانکی به شمار می روند. افشای این داده ها می تواند پیامدهایی فراتر از خسارت مالی مستقیم داشته باشد و حریم خصوصی افراد، امنیت روانی جامعه، اعتبار بانک و در نهایت سرمایه اجتماعی کشور را مخدوش سازد.
اعتماد مردم به نظام بانکی، یک سرمایه ملی بی بدیل است. اگر شهروندان نسبت به امنیت حساب ها، تراکنش ها و اطلاعات شخصی خود دغدغه داشته باشند، کارایی اقتصاد دیجیتال و پذیرش نوآوری های مالی با مانع جدی رو به رو خواهد شد. به همین دلیل، صیانت از داده های شهروندان یک مسئولیت حاکمیتی، مدیریتی و اخلاقی است.
حکمرانی امنیت؛ تکلیفی متوجه مدیران ارشد
ارتقای امنیت سایبری در شبکه بانکی زمانی محقق می شود که از سطح واحدهای فنی خارج شده و در بالاترین لایه های تصمیم گیری سازمانی جای گیرد. امنیت نباید دغدغه انحصاری مدیر فناوری اطلاعات یا مسئول امنیت باشد؛ بلکه هیات مدیره و مدیران ارشد بانکها باید نسبت به تصمیمات کلان فناوری، سطح آمادگی سایبری، بودجه ریزی امنیتی، مدیریت ریسک برون سپاری و ادامه خدمات، پاسخگوی مستقیم باشند.
در همین راستا، لازم است شاخصهای کلیدی امنیت سایبری بعنوان قسمتی از ارزیابی عملکرد مدیران ارشد بانکها منظور گردد. آمادگی برای مدیریت بحران، سرعت تشخیص و مهار رخداد، کیفیت طرح های بازیابی، میزان صیانت از داده های مشتریان و حسن اجرای برنامه های اصلاحی، باید شاخص هایی سنجش پذیر در ارزیابی صلاحیت ها و عملکرد مدیران بانکی باشند. اختصاص بودجه امنیتی نیز باید از حالت واکنشی و جزیره ای خارج شده و برمبنای تحلیل ریسک مبتنی بر دارایی و سناریوهای تهدید شکل گیرد.
اصول بنیادین در ارزیابی؛ عدالت، شفافیت و محرمانگی
اعتبار هر نظام رتبه بندی، در گروی استقامت روش شناسی، بی طرفی نهاد ارزیاب و اعتماد ذی نفعان به پروسه آن است. چارچوب رتبه بندی امنیت سایبری باید روشن، قابل سنجش، عادلانه و متناسب با مقیاس و خاصیت های هر بانک باشد. رعایت اصول زیر در این راه اهمیت ویژه دارد:
شفافیت شاخصها و قابل دفاع بودن معیارهای ارزیابی؛
تفکیک الگوهای ارزیابی بلوغ امنیتی متناسب با اندازه و منابع بانک ها؛
تمرکز بر ریسک های واقعی و توان عملیاتی به جای اسناد ظاهری؛
پیش بینی سازوکار مشخص برای اعتراض، رسیدگی و بازنگری نتایج؛
تضمین محرمانگی اطلاعات حساس و جلوگیری از انتشار جزئیاتی که دشمنان یا مهاجمان بتوانند از آن سوءاستفاده کنند؛
ارائه برنامه های اصلاحی مشخص در کنار اعلام نتایج ارزیابی؛
بازنگری مستمر شاخصها همگام با تحولات فناوری و پیچیده تر شدن تهدیدات.
امکان اعتراض پذیر بودن نتایج، نشان دهنده دقت نظر، قانون مداری و ارتقاء پذیرش پذیری ارزیابی است. از جانب دیگر، انتشار نتایج رتبه بندی باید با رعایت دقیق ملاحظات امنیتی همراه باشد تا از تبدیل شدن نقاط ضعف ساختاری بانکها به بستری برای ضعف های جدید جلوگیری شود.
هم افزایی ملی؛ رویارویی با تهدیدات ترکیبی و زنجیره تأمین
امنیت سایبری شبکه بانکی، مسئله ای نیست که یک نهاد، بانک یا سازمان بتواند به تنهایی از عهده حل وفصل آن برآید؛ بلکه نیازمند هم افزایی مستمر و ساختاریافته میان حاکمیت، بانک مرکزی، بانک ها، عرضه دهندگان خدمات فناوری، اپراتورها و سایر اضلاع اکوسیستم مالی کشور است.
تهدیدات سایبری امروز، مرزهای سازمانی را به رسمیت نمی شناسند. یک ضعف پنهان در شرکت عرضه کننده خدمات نرم افزاری مشترک، یک اختلال در زیرساخت ارتباطی یا ضعفی کوچک در زنجیره تامین، می تواند چندین بانک و کل زنجیره پرداخت کشور را هم زمان درگیر کند. به همین دلیل، رتبه بندی امنیت سایبری باید فراتر از دیوارهای هر بانک، توانایی مدیریت ریسک های زنجیره تامین و تبادل امن اطلاعات تهدیدات را نیز ارزیابی و تقویت کند.
سخن پایانی؛ حرکت به سمت دفاع پیش دستانه
زیرساخت های مالی و بانکی جمهوری اسلامی ایران بازهم تمام کشورهای مستقل جهان که دشمن دارند، در معرض طیف پیچیده ای از تهدیدات چندلایه، از حملات هدفمند فنی تا عملیات اخلال، سرقت داده و جنگ شناختی مقابل اعتماد عمومی قرار دارد. رویارویی با این پدیده ها، مستعد عبور قاطعانه از رویکرد های سنتی و منفعلانه و حرکت شتابان بسمت دفاع پیش دستانه است.
بانک ها باید بتوانند قبل از وقوع بحران، مهاجمان را رصد کنند، ضعف ها را ترمیم کرده و در صورت بروز هرگونه حادثه، با چابکی کامل خدمات ضروری مردم را حفظ کنند. رتبه بندی امنیت سایبری، بستری پرارزش برای ایجاد رقابت سازنده میان بانکها در صیانت از سپرده های مردم و دارایی های دیجیتال کشور فراهم خواهد کرد؛ رقابتی که غایت آن نه کسب یک رتبه امنیت سایبری، بلکه تحقق امنیت، «تاب آوری حداکثری و آرامش خاطر شهروندان» در حوزه خدمات مالی است.
این مطلب را می پسندید؟
(1)
(0)
تازه ترین مطالب مرتبط
نظرات بینندگان در مورد این مطلب